Phishing คืออะไร?
Phishing คือการหลอกลวงทางไซเบอร์ที่ผู้โจมตีปลอมตัวเป็นบุคคลหรือองค์กรที่น่าเชื่อถือ เพื่อชักจูงให้เหยื่อดำเนินการบางอย่าง เช่น
- กรอก Username และ Password
- เปิดเผยข้อมูลส่วนบุคคลหรือข้อมูลทางการเงิน
- แจ้งรหัส OTP หรือรหัสยืนยันตัวตน
- กดลิงก์เข้าสู่เว็บไซต์ปลอม
- เปิดไฟล์แนบที่มีมัลแวร์
- โอนเงินหรือเปลี่ยนเลขบัญชีผู้รับเงิน
- อนุญาตให้อุปกรณ์หรือแอปเข้าถึงบัญชี
Phishing ไม่ได้เกิดขึ้นเฉพาะทางอีเมล หากส่งผ่าน SMS มักเรียกว่า Smishing หากใช้การโทรหรือเสียงปลอมจะเรียกว่า Vishing ส่วนการหลอกบุคคลหรือองค์กรที่กำหนดเป้าหมายไว้อย่างเฉพาะเจาะจงเรียกว่า Spear Phishing
หน่วยงาน CISA อธิบายว่าสัญญาณที่พบได้บ่อยในข้อความ Phishing ได้แก่ การใช้ภาษาที่เร่งด่วนหรือกระตุ้นอารมณ์ การขอข้อมูลส่วนตัว และการใช้ลิงก์หรือที่อยู่อีเมลที่ไม่น่าเชื่อถือ ผู้ใช้งานสามารถศึกษาแนวทางเพิ่มเติมได้จาก คู่มือ Recognize and Report Phishing ของ CISA
ในอดีต เราอาจสังเกตอีเมลปลอมได้จากการสะกดผิด ภาษาไม่เป็นธรรมชาติ หรือประโยคที่ดูเหมือนแปลด้วยโปรแกรม แต่ Generative AI สามารถช่วยสร้างและปรับปรุงเนื้อหาได้อย่างรวดเร็ว ทำให้สัญญาณแบบเดิมอาจไม่ชัดเจนอีกต่อไป
1. เขียนข้อความเป็นธรรมชาติและถูกต้องมากขึ้น
AI สามารถสร้างข้อความที่มีไวยากรณ์ดี เลือกใช้ระดับภาษาให้เหมาะสม และเลียนแบบรูปแบบการสื่อสารขององค์กรได้
ผู้โจมตีอาจให้ AI เขียนอีเมลในโทนของธนาคาร มหาวิทยาลัย บริษัทขนส่ง หรือผู้บริหาร พร้อมปรับให้เป็นภาษาไทยหรือภาษาอื่นได้ภายในเวลาไม่นาน
ดังนั้น ข้อความที่เขียนดี ไม่มีคำผิด และดูเป็นมืออาชีพ ไม่ได้หมายความว่าข้อความนั้นปลอดภัยเสมอไป
2. ปรับข้อความให้ตรงกับเป้าหมายแต่ละคน
ข้อมูลบางส่วนของบุคคลและองค์กรอาจปรากฏอยู่บนเว็บไซต์ ข่าวประชาสัมพันธ์ หรือโซเชียลมีเดีย เช่น ชื่อ ตำแหน่ง หน่วยงาน โครงการที่กำลังดำเนินงาน หรือกิจกรรมที่เพิ่งเข้าร่วม
ผู้โจมตีสามารถนำข้อมูลเหล่านี้มาสร้างข้อความที่ดูเกี่ยวข้องกับผู้รับโดยตรง เช่น อ้างชื่อผู้บริหาร ชื่อวิชา ชื่อโครงการ หรือคู่ค้าขององค์กร ทำให้เหยื่อรู้สึกว่าข้อความมีบริบทจริง
FBI เตือนว่าอาชญากรไซเบอร์ใช้เครื่องมือ AI ทั้งแบบสาธารณะและแบบพัฒนาขึ้นเฉพาะ เพื่อสนับสนุนแคมเปญ Phishing ที่เจาะจงเป้าหมาย รวมถึงช่วยเพิ่มความเร็ว ขนาด และระบบอัตโนมัติของการโจมตี อ่านรายละเอียดได้จาก คำเตือนเรื่องภัยไซเบอร์ที่ใช้ AI จาก FBI
ภัยหลอกลวงยุคใหม่อาจใช้ AI สร้างเสียงเลียนแบบบุคคล สร้างภาพปลอม หรือสร้างวิดีโอ Deepfake เพื่อเพิ่มความน่าเชื่อถือ
ตัวอย่างเช่น ผู้เสียหายอาจได้รับข้อความจากบัญชีที่ใช้ชื่อผู้บริหาร ก่อนถูกโทรด้วยเสียงที่คล้ายบุคคลนั้นเพื่อยืนยันคำสั่งให้โอนเงิน หรือได้รับวิดีโอคอลที่ดูเหมือนบุคคลจริงกำลังเข้าร่วมประชุม
ThaiCERT ระบุว่า AI สามารถถูกนำมาใช้สนับสนุน Social Engineering ทั้งการสร้างตัวตนปลอม การเลียนเสียง และการสร้างเนื้อหาหลอกลวงที่เจาะจงเป้าหมายมากขึ้น สามารถศึกษาเพิ่มเติมจาก บทความ AI-Driven Social Engineering ของ ThaiCERT
Cyber Scam บางรูปแบบไม่ได้ส่งลิงก์อันตรายทันที แต่เริ่มจากการพูดคุยเพื่อสร้างความไว้วางใจ ผู้โจมตีอาจตอบคำถาม อธิบายเหตุผล หรือสร้างสถานการณ์ต่อเนื่องจนเหยื่อรู้สึกว่ากำลังติดต่อกับเจ้าหน้าที่จริง
ThaiCERT รายงานถึงแคมเปญที่ใช้ระบบ Live Chat ปลอมเป็นบริการของแพลตฟอร์มที่ผู้ใช้คุ้นเคย โดยผู้โจมตีพูดคุยและสร้างความมั่นใจก่อนพยายามขอข้อมูลสำคัญหรือนำไปสู่การยึดบัญชี อความหลอกลวงที่อาจพบ
ตัวอย่างต่อไปนี้เป็นข้อความสมมติ เพื่อใช้ฝึกสังเกตสัญญาณของ Phishing
ตัวอย่างที่ 1: ปลอมเป็นระบบมหาวิทยาลัย
แจ้งเตือน Account นักศึกษา
พื้นที่จัดเก็บข้อมูลของคุณเต็มและจะถูกระงับภายในวันนี้ กรุณายืนยันบัญชีผ่านลิงก์ด้านล่างเพื่อป้องกันข้อมูลสูญหาย
จุดที่ต้องสงสัย: สร้างความเร่งด่วน ขู่ว่าข้อมูลจะสูญหาย และขอให้เข้าสู่ระบบผ่านลิงก์ในข้อความ
ตัวอย่างที่ 2: ปลอมเป็นผู้บริหาร
ตอนนี้ผมติดประชุมอยู่ ช่วยซื้อ Gift Card จำนวน 10 ใบให้ก่อน เป็นเรื่องเร่งด่วน เดี๋ยวผมคืนเงินให้ภายหลัง กรุณาอย่าเพิ่งโทรมา
จุดที่ต้องสงสัย: ขอให้ดำเนินการทางการเงินอย่างผิดปกติ เร่งให้ทำทันที และพยายามป้องกันไม่ให้ตรวจสอบผ่านการโทร
ตัวอย่างที่ 3: ปลอมเป็นธนาคาร
ตรวจพบรายการเข้าสู่ระบบจากอุปกรณ์ใหม่ หากไม่ใช่คุณ โปรดยืนยันตัวตนและยกเลิกรายการภายใน 15 นาที
จุดที่ต้องสงสัย: ทำให้ตกใจ กำหนดเวลาสั้น และส่งลิงก์ให้กรอกข้อมูลบัญชี
ตัวอย่างที่ 4: ปลอมเป็นคู่ค้าหรือฝ่ายบัญชี
ตามเอกสารแนบ บริษัทได้เปลี่ยนบัญชีรับชำระเงินตั้งแต่รอบนี้ กรุณาโอนยอดค้างชำระไปยังบัญชีใหม่ภายในวันนี้
จุดที่ต้องสงสัย: เปลี่ยนข้อมูลทางการเงินผ่านอีเมลกะทันหัน และเร่งให้ชำระเงินโดยไม่ผ่านกระบวนการยืนยันเดิม
Checklist ก่อนคลิกลิงก์: หยุดตรวจสอบ 10 ข้อ
ก่อนกดลิงก์ เปิดไฟล์ หรือกรอกข้อมูล ให้ตรวจสอบรายการต่อไปนี้
1. รู้จักผู้ส่งจริงหรือไม่?
อย่าดูเฉพาะชื่อที่แสดง ควรเปิดดูที่อยู่อีเมลเต็มและตรวจสอบชื่อโดเมน ตัวอย่างเช่น ตัวอักษร o อาจถูกเปลี่ยนเป็นเลข 0 หรือมีคำเพิ่มเติมที่ทำให้ดูคล้ายโดเมนจริง
2. ข้อความนี้สอดคล้องกับบริบทหรือไม่?
ถามตัวเองว่าเคยติดต่อเรื่องนี้หรือไม่ กำลังรอเอกสารนี้อยู่หรือเปล่า และองค์กรดังกล่าวปกติใช้ช่องทางนี้ในการติดต่อหรือไม่
3. ข้อความกำลังเร่งหรือกดดันเราหรือไม่?
คำว่า “ทันที” “ภายใน 10 นาที” “ครั้งสุดท้าย” หรือ “ห้ามบอกใคร” มักถูกใช้เพื่อลดเวลาคิดและทำให้เหยื่อรีบตัดสินใจ
4. มีการขอรหัสผ่าน OTP หรือข้อมูลสำคัญหรือไม่?
หน่วยงานที่น่าเชื่อถือไม่ควรขอ Password, PIN หรือ OTP ผ่านอีเมล แชต หรือโทรศัพท์
5. ลิงก์พาไปยังเว็บไซต์ใด?
บนคอมพิวเตอร์ ให้นำเมาส์ไปวางเหนือลิงก์โดยยังไม่คลิก บนโทรศัพท์อาจกดค้างเพื่อดูปลายทาง ตรวจสอบชื่อโดเมนหลักให้ครบถ้วน ไม่ใช่ดูเพียงโลโก้หรือชื่อที่เขียนบนปุ่ม
6. ไฟล์แนบเป็นประเภทที่คาดไว้หรือไม่?
ระวังไฟล์ที่สั่งให้เปิด Macro ไฟล์บีบอัด ไฟล์ติดตั้ง หรือเอกสารที่ขอให้ปิดระบบรักษาความปลอดภัยก่อนเปิด
7. ผู้ส่งขอให้เปลี่ยนช่องทางหรือไม่?
ผู้หลอกลวงอาจพยายามย้ายการสนทนาไปยังแอปส่วนตัว เพื่อหลีกเลี่ยงระบบตรวจจับและการตรวจสอบขององค์กร
8. มีการขอให้โอนเงินหรือเปลี่ยนบัญชีหรือไม่?
ควรยืนยันกับเจ้าของเรื่องผ่านหมายเลขโทรศัพท์หรือช่องทางเดิมที่มีอยู่แล้ว ห้ามใช้หมายเลขที่อยู่ในข้อความน่าสงสัยนั้น
9. สามารถเข้าเว็บไซต์หรือแอปโดยตรงได้หรือไม่?
แทนการกดลิงก์ ให้พิมพ์ชื่อเว็บไซต์เอง เปิดแอปอย่างเป็นทางการ หรือใช้ Bookmark ที่บันทึกไว้ แล้วตรวจสอบว่ามีการแจ้งเตือนเดียวกันจริงหรือไม่
10. ได้ตรวจสอบผ่านช่องทางที่สองแล้วหรือยัง?
หากข้อความอ้างถึงอาจารย์ หัวหน้า เพื่อนร่วมงาน ธนาคาร หรือคู่ค้า ให้โทรหรือสอบถามผ่านช่องทางอื่นก่อนดำเนินการ โดยเฉพาะเรื่องเงิน ข้อมูลส่วนบุคคล และสิทธิ์เข้าถึงระบบ
FTC แนะนำว่าไม่ควรกดลิงก์หรือดาวน์โหลดไฟล์จากข้อความที่ไม่ได้คาดหมาย หากคิดว่าข้อความอาจเป็นเรื่องจริง ควรติดต่อองค์กรผ่านหมายเลข เว็บไซต์ หรือช่องทางที่ทราบว่าเป็นของจริง สามารถอ่านคำแนะนำเพิ่มเติมได้ที่ คู่มือป้องกัน Phishing จาก FTC
สิ่งสำคัญคืออย่าตกใจและอย่าปกปิดเหตุการณ์ ควรรีบดำเนินการดังนี้
- ปิดหน้าเว็บไซต์และหยุดการดาวน์โหลดไฟล์ทันที
- เปลี่ยนรหัสผ่านจากอุปกรณ์ที่เชื่อถือได้
- หากใช้รหัสเดียวกันในบริการอื่น ให้เปลี่ยนทุกบัญชีที่เกี่ยวข้อง
- ออกจากระบบจากอุปกรณ์หรือ Session ทั้งหมด
- เปิดใช้ Multi-Factor Authentication
- ติดต่อธนาคารทันที หากเปิดเผยข้อมูลทางการเงินหรือโอนเงินไปแล้ว
- แจ้งฝ่ายไอที ผู้ดูแลระบบ หรือผู้รับผิดชอบด้าน Cybersecurity
- เก็บภาพหน้าจอ อีเมล หมายเลขโทรศัพท์ URL และหลักฐานการสนทนา
- ตรวจสอบอุปกรณ์ด้วยเครื่องมือรักษาความปลอดภัย หากเปิดไฟล์หรือติดตั้งโปรแกรม
- แจ้งเตือนผู้ที่อาจได้รับข้อความจากบัญชีของเรา หากสงสัยว่าบัญชีถูกยึด
ยิ่งรายงานเหตุการณ์เร็วเท่าใด องค์กรก็ยิ่งมีโอกาสบล็อกลิงก์ ระงับบัญชี ตรวจสอบผู้ได้รับผลกระทบ และจำกัดความเสียหายได้เร็วขึ้น
ในยุค AI เราต้องเปลี่ยนจาก “จับคำผิด” เป็น “ตรวจสอบกระบวนการ”
AI ทำให้ข้อความ Phishing มีภาษาที่ดีขึ้น เป็นส่วนตัวมากขึ้น และสามารถมาในรูปแบบของข้อความ เสียง ภาพ หรือบทสนทนาที่ต่อเนื่องได้ การพิจารณาเพียงว่าข้อความเขียนดีหรือมีโลโก้ถูกต้องจึงไม่เพียงพอ
สิ่งที่ควรตรวจสอบคือกระบวนการทั้งหมด ได้แก่
- ผู้ส่งเป็นใครจริง
- ข้อความมาถูกช่องทางหรือไม่
- คำขอสอดคล้องกับขั้นตอนปกติหรือไม่
- เหตุใดจึงต้องรีบดำเนินการ
- มีการขอข้อมูล เงิน หรือสิทธิ์เข้าถึงอะไร
- สามารถยืนยันผ่านช่องทางอื่นได้หรือไม่
สำหรับนักเรียนและนักศึกษา Cyber Awareness ช่วยปกป้องบัญชีเรียนออนไลน์ ข้อมูลส่วนตัว และผลงานที่จัดเก็บไว้บนระบบ Cloud สำหรับคนทำงาน ทักษะนี้ช่วยลดความเสี่ยงต่อข้อมูลและระบบขององค์กร ส่วนผู้ประกอบการ การอบรมพนักงานและกำหนดกระบวนการยืนยันคำสั่งด้านการเงินที่ชัดเจนสามารถช่วยลดโอกาสเกิดความเสียหายได้
ข้อความหลอกลวงอาจแนบเนียนขึ้นตามความสามารถของเทคโนโลยี แต่หลักการป้องกันยังเริ่มจากพฤติกรรมง่าย ๆ คือ หยุดก่อนคลิก ตรวจสอบก่อนเชื่อ และยืนยันก่อนดำเนินการ
