วิธีสังเกตอีเมล SMS และเว็บไซต์หลอกลวง (ฟิชชิง) และต้องทำอย่างไรถ้าหลงกดไปแล้ว
อีเมลแจ้งว่าบัญชีของคุณถูกระงับ ข้อความ SMS บอกว่ามีพัสดุตกค้างต้องจ่ายค่าธรรมเนียม ข้อความแชตจากเพื่อนที่ขอให้ช่วยโอนเงินด่วน หรือหน้าเว็บที่หน้าตาเหมือนธนาคารทุกอย่าง ทั้งหมดนี้อาจเป็นการหลอกแบบเดียวกัน เรียกว่าฟิชชิง (Phishing) คือการวางเหยื่อล่อให้เรากดลิงก์ กรอกข้อมูล หรือโอนเงินด้วยความเต็มใจ
ฟิชชิงได้ผลเพราะมันไม่ได้เจาะระบบ แต่เจาะที่ความรีบร้อนและความกลัวของคน และตัวหลอกลวงก็พัฒนาให้ดูน่าเชื่อถือขึ้นเรื่อยๆ ทั้งภาษาที่เป็นธรรมชาติขึ้น และหน้าเว็บที่เลียนแบบได้เหมือนมาก การรู้เท่าทันจึงเป็นเกราะป้องกันที่ดีที่สุด
บทความนี้รวบรวมจุดสังเกตที่ใช้ได้จริงกับอีเมล ข้อความ SMS และเว็บไซต์ พร้อมขั้นตอนรับมือเมื่อพลาดไปแล้ว ซึ่งเป็นเรื่องที่ทุกคนควรรู้ไว้ล่วงหน้า เพราะเวลาเกิดเรื่องจริงเรามักตกใจจนคิดไม่ออก
ชื่อเมนูในแอปและเบราว์เซอร์อาจต่างกันตามเวอร์ชัน ถ้าหาไม่เจอ ให้ลองค้นหาในเมนูตั้งค่าหรือความช่วยเหลือของบริการนั้น
ฟิชชิงคืออะไร และมีกี่รูปแบบ
ฟิชชิงคือการปลอมตัวเป็นองค์กรหรือคนที่เราไว้ใจ เช่น ธนาคาร บริษัทขนส่ง หน่วยงานรัฐ แพลตฟอร์มสังคมออนไลน์ หรือแม้แต่คนรู้จัก เพื่อหลอกให้เราเปิดเผยข้อมูลสำคัญ หรือทำสิ่งที่เป็นประโยชน์กับคนร้าย รูปแบบที่พบได้บ่อยมีดังนี้
- อีเมลฟิชชิง ปลอมเป็นอีเมลจากบริการที่เราใช้ แล้วให้กดลิงก์หรือเปิดไฟล์แนบ
- SMS ฟิชชิง หรือที่เรียกว่า Smishing ข้อความสั้นๆ แนบลิงก์ มักอ้างเรื่องพัสดุ บัญชีถูกล็อก หรือรางวัล
- เว็บไซต์ปลอม หน้าล็อกอินที่ทำเลียนแบบหน้าจริง เพื่อดักรหัสผ่านที่กรอก
- การโทรหลอกลวง หรือ Vishing ปลอมเป็นเจ้าหน้าที่แล้วขอข้อมูลหรือให้ทำตามขั้นตอนที่เสียหาย
- ข้อความแชตหรือโซเชียลมีเดีย ที่มาจากบัญชีเพื่อนที่ถูกยึด หรือบัญชีปลอม ขอให้กดลิงก์หรือโอนเงิน
ทุกรูปแบบมีแกนเหมือนกัน คือทำให้เรารู้สึกว่าต้องรีบทำตอนนี้ และให้ทำผ่านช่องทางที่คนร้ายเตรียมไว้
1. ตั้งสติเมื่อเจอข้อความที่เร่งรีบหรือขู่ให้กลัว
ก่อนจะดูรายละเอียดทางเทคนิค ให้เริ่มจากอารมณ์ของตัวเองก่อน เพราะฟิชชิงทุกชนิดอาศัยการกดดันให้เราตัดสินใจเร็ว
- ขู่ว่าจะเสียหาย เช่น บัญชีจะถูกปิดภายในหนึ่งชั่วโมง หรือมีการเข้าสู่ระบบที่น่าสงสัย ต้องยืนยันตอนนี้
- ล่อด้วยผลประโยชน์ เช่น ได้รับรางวัล ได้คืนเงิน หรือมีงานรายได้ดี ทำง่าย
- อ้างหน่วยงานที่มีอำนาจ เช่น ตำรวจ ศาล สรรพากร หรือบริษัทขนส่ง แล้วให้ทำตามทันที
- ขอให้เก็บเป็นความลับ หรือห้ามบอกใคร ซึ่งเป็นสัญญาณเตือนที่ชัดเจนมาก
2. สังเกตอีเมลที่น่าสงสัยทีละจุด
อีเมลฟิชชิงมักมีร่องรอยบางอย่างให้จับได้ ถ้ารู้ว่าต้องมองตรงไหน
- ดูที่อยู่อีเมลผู้ส่ง ไม่ใช่แค่ชื่อที่แสดง ชื่อที่แสดงปลอมได้ง่าย ให้กดดูที่อยู่จริงว่าตรงกับโดเมนของบริการนั้นหรือไม่ ระวังตัวสะกดที่ใกล้เคียง เช่น ตัวอักษรหายหรือเพิ่มมา
- ดูคำทักทาย อีเมลจริงของบริการที่เราสมัครมักเรียกชื่อเรา ถ้าขึ้นต้นว่า เรียนลูกค้า หรือ เรียนผู้ใช้งาน อาจเป็นข้อความที่ส่งเป็นชุด
- อ่านภาษาและรูปแบบ คำผิดแปลกๆ ภาษาแปลกๆ โลโก้เบลอ หรือการจัดหน้าที่ดูไม่เป็นมืออาชีพ แต่อย่าไว้ใจเพียงเพราะภาษาดี เพราะเดี๋ยวนี้ทำได้เหมือนมาก
- เอาเมาส์ชี้ที่ลิงก์โดยไม่คลิก บนคอมพิวเตอร์ ที่อยู่จริงจะปรากฏที่มุมล่างของหน้าต่าง ตรวจว่าตรงกับเว็บทางการหรือไม่ บนมือถือให้กดค้างที่ลิงก์เพื่อดูตัวอย่างที่อยู่
- ระวังไฟล์แนบ โดยเฉพาะไฟล์ที่ไม่ได้ขอ เช่น ไฟล์บีบอัด ไฟล์ที่มีนามสกุลแปลกๆ หรือเอกสารที่ขอให้เปิดใช้งานมาโคร
- คำขอที่ผิดปกติ เช่น ขอรหัสผ่านหรือรหัสยืนยัน ขอข้อมูลบัตร หรือขอให้โอนเงินไปบัญชีใหม่
ถ้าเป็นอีเมลที่อ้างว่าเป็นบริการที่เราใช้อยู่จริง ให้ปิดอีเมลนั้นไว้ก่อน แล้วเปิดเว็บไซต์หรือแอปของบริการนั้นโดยพิมพ์ที่อยู่เอง หรือเปิดจากบุ๊กมาร์ก เพื่อดูว่ามีการแจ้งเตือนเรื่องเดียวกันหรือไม่
3. สังเกต SMS และข้อความแชตหลอกลวง
ข้อความบนมือถือเป็นช่องทางที่ถูกใช้มากขึ้น เพราะเรามักเชื่อและเปิดอ่านเร็ว และลิงก์ในหน้าจอเล็กก็ตรวจยากกว่า
- ข้อความที่มาจากเบอร์แปลกหรือชื่อผู้ส่งที่ไม่ใช่ของบริการจริง และอ้างเรื่องพัสดุ ค่าธรรมเนียม หรือการยืนยันที่อยู่
- ลิงก์ย่อ หรือลิงก์ที่ไม่ใช่โดเมนทางการของบริการ
- ข้อความที่ให้ติดตั้งแอปจากลิงก์ภายนอก แทนที่จะติดตั้งจากร้านแอปทางการ
- เพื่อนหรือญาติที่ทักมาขอยืมเงินด่วน ขอให้ช่วยกดรับรหัส หรือขอรหัสที่เพิ่งส่งไปที่เบอร์เรา ให้โทรหาเพื่อนโดยตรงเพื่อยืนยันก่อน
- ข้อความที่อ้างว่าเป็นธนาคารแล้วขอรหัส OTP ธนาคารจริงไม่ขอรหัสนี้จากเรา
ถ้าพัสดุมีปัญหาจริง ให้เปิดแอปหรือเว็บของบริษัทขนส่งโดยตรงแล้วกรอกหมายเลขพัสดุเอง ไม่ต้องกดลิงก์จากข้อความ
4. ตรวจเว็บไซต์ก่อนกรอกข้อมูลทุกครั้ง
เว็บไซต์ปลอมเก่งขึ้นมาก บางหน้าเหมือนของจริงทุกพิกเซล เพราะฉะนั้นต้องดูที่ที่อยู่เว็บไซต์เป็นหลัก ไม่ใช่หน้าตา
- อ่านชื่อโดเมนให้ละเอียดตั้งแต่ซ้ายไปขวา ส่วนที่สำคัญคือชื่อหลักก่อนนามสกุลโดเมนตัวแรก เช่น ชื่อบริการ.com ถ้ามีคำอื่นมาต่อ เช่น ชื่อบริการ-secure-login.xyz แสดงว่าไม่ใช่เว็บทางการ
- ระวังตัวอักษรหน้าตาคล้ายกัน เช่น เลข 0 กับตัวอักษร O หรือตัว l กับเลข 1
- กุญแจที่ขึ้นข้างที่อยู่ไม่ได้แปลว่าปลอดภัย หมายถึงแค่การเชื่อมต่อถูกเข้ารหัส เว็บปลอมก็มีได้
- เปิดเว็บจากที่อยู่ที่พิมพ์เอง บุ๊กมาร์ก หรือแอปทางการ แทนการกดลิงก์ในข้อความ
- สังเกตสิ่งที่เว็บขอ ถ้าหน้าเข้าสู่ระบบขอข้อมูลมากผิดปกติ เช่น ขอเลขบัตรหรือ OTP พร้อมรหัสผ่าน ให้หยุดทันที
- ใช้โปรแกรมจัดการรหัสผ่านช่วย ถ้ามันไม่เสนอรหัสให้กรอกในหน้านั้น อาจเป็นเพราะที่อยู่เว็บไม่ตรงกับที่บันทึกไว้
การสแกนคิวอาร์โค้ดก็ควรระวังเช่นกัน ถ้าโค้ดมาจากข้อความหรือสติกเกอร์ที่ไม่รู้ที่มา ให้ดูที่อยู่ที่ปรากฏก่อนกดเปิด
5. ถ้าหลงกดลิงก์ไปแล้ว แต่ยังไม่ได้กรอกอะไร
ตั้งสติ การกดลิงก์ครั้งเดียวไม่ได้แปลว่าเสียหายเสมอไป แต่ควรจัดการให้รัดกุมไว้ก่อน
- ปิดแท็บหรือเบราว์เซอร์ทันที อย่ากรอก อย่าคลิกอะไรต่อ
- ถ้ามีไฟล์ถูกดาวน์โหลดโดยอัตโนมัติ อย่าเปิดไฟล์นั้น ให้ลบทิ้ง
- สแกนเครื่องด้วยโปรแกรมป้องกันไวรัสที่เชื่อถือได้ เช่น Windows Security บนวินโดวส์
- อัปเดตระบบและเบราว์เซอร์ให้เป็นปัจจุบัน
- เฝ้าดูบัญชีสำคัญในช่วงหลังจากนั้นว่ามีการเข้าสู่ระบบหรือการเคลื่อนไหวแปลกๆ หรือไม่
6. ถ้าหลงกรอกข้อมูลหรือติดตั้งอะไรไปแล้ว ทำทันทีตามลำดับนี้
ยิ่งลงมือเร็ว ความเสียหายยิ่งน้อย ทำตามลำดับด้านล่างโดยไม่ต้องรอ
- เปลี่ยนรหัสผ่านของบัญชีที่กรอก ทันที โดยทำจากอุปกรณ์ที่ปลอดภัย และถ้าเคยใช้รหัสเดียวกันที่อื่น ให้เปลี่ยนที่อื่นด้วย
- เปิด 2FA ถ้ายังไม่ได้เปิด และออกจากระบบอุปกรณ์อื่นทั้งหมด ซึ่งบริการส่วนใหญ่มีเมนูออกจากระบบทุกอุปกรณ์
- ถ้ากรอกข้อมูลบัตรหรือบัญชีธนาคาร ติดต่อธนาคารตามเบอร์ที่อยู่หลังบัตรหรือบนเว็บทางการทันที เพื่อระงับบัตร และตรวจรายการเดินบัญชี
- ถ้าให้รหัส OTP ไป แจ้งธนาคารหรือผู้ให้บริการทันที แล้วตรวจว่ามีการทำรายการที่ไม่ได้ทำเองหรือไม่
- ถ้าติดตั้งแอปหรือเปิดไฟล์แปลกๆ ตัดการเชื่อมต่ออินเทอร์เน็ตของเครื่อง สแกนด้วยโปรแกรมป้องกันไวรัส ถอนการติดตั้งแอปนั้น และพิจารณาให้ผู้เชี่ยวชาญตรวจ ถ้าเครื่องมีข้อมูลสำคัญ
- แจ้งคนรอบตัว ถ้าบัญชีโซเชียลหรืออีเมลถูกยึด ให้บอกเพื่อนและครอบครัวว่าอย่ากดลิงก์หรือโอนเงินที่มาจากบัญชีนั้น
- เก็บหลักฐาน เช่น ภาพหน้าจอข้อความ ที่อยู่เว็บ และเวลา เผื่อใช้แจ้งความหรือแจ้งผู้ให้บริการ
- แจ้งผู้ให้บริการและหน่วยงานที่เกี่ยวข้อง ตามช่องทางทางการ ถ้ามีความเสียหายด้านการเงิน ควรแจ้งความโดยเร็ว
7. สร้างระบบป้องกันไว้ล่วงหน้า
นอกจากการสังเกต ยังมีสิ่งที่ตั้งค่าไว้ล่วงหน้าเพื่อให้พลาดแล้วเสียหายน้อยลง
- เปิด 2FA ทุกบัญชีสำคัญ และเลือกแอปยืนยันตัวตนหรือกุญแจความปลอดภัยก่อน SMS
- ใช้โปรแกรมจัดการรหัสผ่าน ใช้รหัสไม่ซ้ำ ถ้ารั่วที่หนึ่งก็ไม่ลามไปที่อื่น
- อัปเดตระบบ เบราว์เซอร์ และแอป ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ
- เปิดตัวกรองสแปมและการป้องกันเว็บอันตราย ในบริการอีเมลและเบราว์เซอร์
- ตั้งวงเงินและแจ้งเตือนการใช้จ่าย ในแอปธนาคารหรือบัตร เพื่อให้รู้ทันทีเมื่อมีรายการแปลก
- ติดตั้งแอปจากร้านทางการเท่านั้น และไม่ติดตั้งจากลิงก์หรือไฟล์ที่ส่งมา
- ตกลงกับครอบครัว ว่าถ้ามีใครขอโอนเงินด่วนทางแชต ให้โทรกลับยืนยันก่อนเสมอ
บทความเรื่องการยืนยันตัวตนสองขั้นตอน และเรื่องโปรแกรมจัดการรหัสผ่าน เป็นสองเรื่องที่ควรอ่านต่อ เพราะช่วยเสริมเกราะป้องกันไว้ก่อนเกิดเรื่อง
คำถามที่พบบ่อย
- ถ้าแค่เปิดอีเมลฟิชชิงโดยไม่กดอะไร อันตรายไหม โดยทั่วไปเสี่ยงต่ำ แต่อย่ากดลิงก์หรือเปิดไฟล์แนบ และควรลบหรือรายงานเป็นสแปม
- ถ้าไม่แน่ใจว่าเป็นของจริงหรือเปล่า ควรทำอย่างไร อย่าตอบ อย่ากดลิงก์ ให้ติดต่อบริการนั้นผ่านเว็บหรือเบอร์ทางการที่เรารู้จักอยู่แล้ว
- ทำไมอีเมลฟิชชิงบางฉบับจึงดูเนียนมาก เพราะเครื่องมือเขียนข้อความและทำหน้าเว็บพัฒนาขึ้น จึงไม่ควรตัดสินจากความสวยงามหรือภาษาที่ถูกต้อง แต่ให้ตรวจที่อยู่ผู้ส่ง ลิงก์ และสิ่งที่เขาขอ
- ใช้โปรแกรมป้องกันไวรัสอย่างเดียวพอไหม ไม่พอ เพราะฟิชชิงมุ่งหลอกคน ไม่ใช่ระบบ ต้องใช้ร่วมกับความระวังและ 2FA
สรุป
ฟิชชิงทำงานด้วยความเร่งรีบและความกลัว ถ้าตั้งสติและตรวจผู้ส่ง ลิงก์ และสิ่งที่ถูกขอ ก็รอดได้เกือบทุกครั้ง และเมื่อพลาดไปแล้ว ให้เปลี่ยนรหัส เปิด 2FA ติดต่อธนาคาร และเก็บหลักฐานทันที
วันนี้ลองทำสามอย่าง เปิด 2FA ให้อีเมลหลัก ตั้งการแจ้งเตือนรายการในแอปธนาคาร และคุยกับคนในครอบครัวเรื่องกฎโทรกลับยืนยันก่อนโอนเงิน แค่นี้ก็ลดความเสี่ยงไปได้มาก
