Phishing ภัยร้ายใกล้ตัว แฝงมาใน Mail หรือ Website ต้องระวัง

     ในปัจจุบันภัยคุกคามทางไซเบอร์ คือ การโจมตีโดยใช้คอมพิวเตอร์ และ อินเทอร์เน็ตเป็นเครื่องมือหลัก เพื่อต้องการแสวงหาผลประโยชน์จากเหยื่อ ซึ่งจะใช้การล่อหลอก เพื่อขอข้อมูลผู้ใช้งาน โดยหลัก ๆ แล้วเหล่าอาชญากร หรือ แฮกเกอร์ มักจะรวบรวมข้อมูลมาได้แล้วก็จะปลอมแปลงตัวเองเป็นผู้ใช้งาน และนำข้อมูลสำคัญต่าง ๆ ที่ขโมยได้มาใช้เพื่อสร้างประโยชน์แก่ตัวเองอย่างง่ายดาย วิธีการนี้ว่า Social Engineering  หนึ่งในภัยคุกคามทางไซเบอร์ที่พบบ่อยที่สุดโดยเฉพาะประเทศไทย   เช่น ส่งข้อความยืมเงินผ่าน Facebook, , การส่งอีเมล,  การขโมยเงินในบัญชีจาก E-Banking , ส่งให้คลิกลิงก์ปลอม หรือ SMS แจ้งว่าเป็นผู้โชคดีได้รับรางวัลต่าง ๆ รวมไปถึงการโจมตีระบบเครือข่ายขององค์กร หรือ ขโมยข้อมูลส่วนบุคคลของผู้ที่เข้ามาติดต่อกับผู้ใช้งาน เป็นต้น 

             ซึ่งการหลอกล่อขอข้อมูลนั้น ใช้หลักการทำ “Phishing” ซึ่งจุดประสงค์หลัก ๆ คือ การหลอก โดยทำการหลอกล่อผู้ใช้งาน ให้กรอกข้อมูลต่าง ๆ ที่สำคัญ โดยการสร้างเว็บไซต์ปลอม หรือ ลิงก์ปลอม เพื่อให้ดูน่าเชื่อถือ โดยเหยื่อส่วนใหญ่ที่เป็นผู้ใช้งานทั่วไป อาจจะไม่มีความรู้เรื่องภัยคุกคาม หรืออาจไม่ได้ตระหนักถึงความปลอดภัยในการใช้งานเทคโนโลยีสารสนเทศมากนัก จึงทำให้มีคนจำนวนมากตกเป็นเหยื่อภัยคุกคามไซเบอร์ประเภทนี้

 

Phishing คืออะไร

       Phishing เป็นคำเปรียบเทียบที่พ้องเสียงมาจาก Fishing ที่แปลว่า การตกปลา โดยจะตกเหยื่อได้ต้องมีเบ็ดมาล่อ จึงเปรียบเทียบถึง การสร้างสถานการณ์โดยการส่งข้อความ อีเมล  ลิงก์  หรือเว็บไซต์ปลอม เพื่อให้เหยื่อเข้ามาติดเบ็ดและ หลอกล่อผู้ใช้ให้กรอกข้อมูลส่วนตัวต่าง ๆ  ซึ่งการทำ Phishing ที่พบเห็นบ่อยในประเทศไทยมีอยู่ 2 รูปแบบ คือ

1. Web Phishing Email Phishing
2. Email Phishing

 

Web Phishing คืออะไร 

          Phishing web คือ การปลอมแปลงหน้าเว็บไซต์จริง เพื่อหลอกเอาข้อมูลเช่น username และ password ของผู้ใช้งาน หรือผู้เสียหาย  ถ้าหากผู้ใช้งานไม่ระมัดระวังก็อาจจะกรอกข้อมูลต่าง ๆ ส่งให้แฮกเกอร์โดยที่ไม่รู้ตัว โดยPhishing web มักจะเป็นลิงก์ปลอมที่แนบมากับอีเมล เมื่อเหยื่อกดเปิดลิงก์ ก็จะเข้าสู่หน้า Web Phishing (เว็บไซต์ปลอมที่ทำเลียนแบบเว็บไซต์ของจริง ) ที่แฮกเกอร์สร้างขึ้นเพื่อหลอกให้เหยื่อ กรอก ข้อมูลส่วนตัว ทั้ง username และ password และข้อมูลส่วนตัวอื่นๆ  ทันที โดยทั้งหมดทำผ่านหน้าเว็บที่คล้ายของจริง ที่แฮกเกอร์เป็นคนตั้งขึ้นมา ข้อมูลตั้งหมดที่เหยื่อกรอกจะส่งตรงไปยังแฮกเกอร์ทันที   
   ภาพจาก : www.krungthai.com/th/content/financial-partner/security-tips-for-digital-life/web-phishing


                                                              เว็บปลอมธนาคารเกลื่อนกูเกิล  

Email Phishing คืออะไร 

          Email Phishing คือ การส่ง Email หลอกลวงต่าง ๆ โดยจะใช้ความสัมพันธ์ของบุคคล  ลูกค้า องค์กร สถาบันการเงิน มหาวิทยาลัย  หรือตำแหน่ง เช่น CEO, เจ้าของบริษัท หรือเจ้าหน้าที่ธนาคาร อันเป็นที่รู้จักของเหยื่อ เพื่อให้ผู้ที่ได้รับ Email ไม่สงสัยและหลงเชื่อ ซึ่งเนื้อหาใน Email  อาจบอกถึงความจำเป็นเร่งด่วน ที่จะต้องกรอกข้อมูล หรือแจ้งการให้ข้อมูลส่วนบุคคล เช่น username และ password สำหรับเข้าระบบขององค์กร หรือจะเป็น username และpassword สำหรับใช้ในการทำธุรกรรมทางการเงินอย่าง E-Banking  หรือ แนบใบเสนอราคา เอกสารที่ให้กดลิงก์ เป็นต้น  หรือหลอกให้ติดตั้ง Malware จากการคลิกลิงก์หรือไฟล์แนบ ซึ่งจะทำให้ผู้ไม่ประสงค์ดีสามารถโจรกรรมข้อมูลสำคัญ เข้าถึงข้อมูลส่วนตัว หรือนำข้อมูลที่ได้ไปปลอมแปลง ส่งผลให้ผู้เสียหายและองค์กรเสื่อมเสียชื่อเสียง หากผู้ไม่ประสงค์ดีมีการนำข้อมูลที่ได้มาไปใช้งานอย่างผิดกฎหมาย ผู้เสียหายอาจถูกฟ้องร้องดำเนินคดีได้
 

ตัวอย่าง Top 3 Email Phishing 

         

7  ข้อ ที่จะช่วยตรวจสอบอีเมลว่าเป็น Phishing email หรือไม่

 

1.  สังเกตชื่อผู้ส่งผิดปกติหรือไม่  

           เช่นที่อยู่ของ Paypal ต้องเป็น @mail.paypal.com ไม่ใช่ @ppservice.com หรืออีเมลอื่นๆ เป็นต้น นี่อาจเป็นตัวบ่งชี้ที่สำคัญของอีเมลว่าเป็นอีเมลปลอมหรือไม่

2.  มีพิมพ์ข้อความผิดหลายจุด

           หากคุณได้รับอีเมลจากที่อ้างว่าเป็นหน่วยงานที่เป็นทางการ เช่น ร้านค้าปลีกขนาดใหญ่หรือหน่วยงานของรัฐบาล คุณคงคาดหวังว่าการสะกดคำและไวยากรณ์ของอีเมลนั้นถูกต้อง ทางการ  คงหายากที่คุณจะได้รับอีเมลจากแบรนด์หรือบุคคลที่น่าเชื่อถือแต่เต็มไปด้วยคำผิดไวยากรณ์ หรือข้อความผิดหลายจุด

3. ข้อความ “ด่วน”

         อีเมลที่ระบุว่าคุณต้องดำเนินการทันที เร่งด่วน เพื่อหลีกเลี่ยงผลที่ตามมา คุณมีแนวโน้มที่จะทำตามขั้นตอนที่อีเมลนั้นบอกไว้ มิจฉาชีพได้พิมพ์ข้อความแบบใส่ความรู้สึกลงในอีเมลฟิชชิง เพื่อกดดันให้คุณที่กำลังอ่านนั้น หลงเชื่อคลิกและทำตามอีเมลที่บอกอย่างเร่งด่วน

4.  ไฟล์แนบแปลกๆ  ผิดปกติ ไม่รู้จัก

          แฮกเกอร์มักใช้ไฟล์แนบที่เป็นอันตราย เพื่อติดตั้งมัลแวร์ลงในอุปกรณ์ของคุณโดยที่คุณไม่รู้ตัว ดังนั้นควรตรวจสอบไฟล์แนบที่คุณได้รับเสมอ เพื่อให้แน่ใจว่าไฟล์ที่ได้รับนั้นเปิดได้อย่างปลอดภัย โดยหมั่นสแกนไวรัสก่อนเปิดทุกครั้ง โดยทั่วไป ไฟล์แนบจะอยู่ในรูปแบบ .pdf, .jpg, .csv, .bmp, .doc และ .docx หากคุณเคยได้รับไฟล์แนบที่อยู่ในประเภทไฟล์ .exe, .vbs, .wsf, .cpl หรือ .cmd ให้ตรวจสอบด้วยความระมัดระวัง

5.  ตรวจสอบลิงก์ที่ให้มา  เอ๊ะอยู่เสมอ หรือเชื่อในสัญชาตญาณของเรา

          การหลอกลวงแบบฟิชชิงโดยทั่วไป ผู้โจมตีจะส่งอีเมลถึงเหยื่อพร้อมลิงก์ปลอม หรือลิงก์อันตรายที่แนะนำให้คลิก โดยอ้างว่านี่คือหน้าเข้าสู่ระบบ หน้ายืนยัน หน้าดังกล่าวมักจะต้องป้อนข้อมูลส่วนตัว ซึ่งเป็นการดักรอขโมยข้อมูล ดังนั้นลองนำเมาส์มาชี้ จะปรากฎ URL  ออกมาดูว่าไปเว็บไหนด้วย

6.  ระวังอีเมลขอข้อมูลที่ละเอียดอ่อน  ไม่กรอก Password หากไม่แน่ใจ 

       ในบางครั้งมี Email ส่งลิงก์มาให้คลิกเพื่อทำการยืนยันบัญชี หรืออื่น ๆ โดยเมื่อคลิกไปแล้ว ให้ทำการกรอก Username หรือ Password ในกรณีที่ไม่แน่ใจห้ามกรอกข้อมูลเด็ดขาด โดยเฉพาะเกี่ยวกับบัญชีธนาคาร ให้ถือซะว่าเป็นข้อมูลเท็จ เพราะธนาคารไม่มีนโยบายสอบถามข้อมูลเช่นนี้กับผู้ใช้งาน

7.  ผู้ให้บริการอีเมล แจ้งเตือนว่าจดหมายฉบับนี้เป็นสแปม

          ผู้ให้บริการอีเมลหลายรายมีคุณสมบัติป้องกันสแปม หากพบอีเมลที่น่าจะเป็นสแปม ผู้ให้บริการอีเมลของคุณจะแจ้งให้คุณทราบ โดยมักจะมีแถบคำเตือนที่ด้านบนของข้อความ ถ้าคุณเจอคำเตือนแบบนี้ อาจกำลังเผชิญกับอีเมลฟิชชิง
 

5 สิ่งสำคัญที่จะช่วยป้องกัน Phishing  สำหรับในองค์กรได้อย่างไร

1. ให้ความรู้พนักงานในองค์กรเพื่อตระหนักถึงความมั่งคงปลอดภัย (Security Awareness) โดยเห็นความสำคัญของการแชร์ข้อมูลส่วนตัวเพื่อระมัดระวังตัวเองและทราบถึงรูปแบบการโจมตีที่อาจจะเกิดขึ้นกับตน รู้จักรายงานอีเมลต้องสงสัยและปรึกษาทีมไอทีก่อนที่จะติดตั้งซอฟต์แวร์จากภายนอกหรือการให้ Credential ต่างๆ กับใคร

2. ทีมความมั่นคงปลอดภัยควรจะหมั่นค้นหาภัยคุกคามในองค์กรหรือแม้กระทั่งจ้างนักทดสอบระบบ เพื่อช่วยให้ได้รับข้อมูลว่าใครคือคนก่อเหตุและรู้จุดอ่อนของตน

3. ปิดการรั่วไหลของข้อมูลที่อาจจะค้นหาได้ทางอินเทอร์เน็ตซึ่งมีการแนะนำไว้อยู่แล้วถึงวิธีการ รวมถึงโดเมนและ IP ที่ลงทะเบียนไว้ก็ควรตั้งค่าชื่อให้ไม่บอกข้อมูลเกินจำเป็นมากนัก IT หลายคนก็มีการทำกระบวนการเหล่านี้เพียงแต่ไม่เคยตรวจสอบ

4. องค์กรมีหน่วยงานด้าน IT และมีงบประมาณเพียงพอที่สามารถจัดหาอุปกรณ์ หรือระบบป้องกันภัยคุกคามไอที ก็จะช่วยป้องกันองค์กรไม่ให้เป็นเป้าโจมตีของแฮกเกอร์ได้
 
 5.  ติดตั้งซอฟต์แวร์ที่ช่วยป้องกันความปลอดภัย Web Phishing  และ Email Phishing และภัยคุกคามอื่นๆ  เช่น  Sophos , Kaspersky  , Sonicwall , Cloudflare , Recorded Future ,  Proofpoint  เป็นต้น  โดยทางVSM365  เป็นตัวแทนจำหน่ายซอฟต์แวร์ที่จะช่วยป้องกัน Phishing หรือภัยคุกคามต่างๆสำหรับองค์กรของคุณได้อีกด้วย