Phishing: คืออะไร และทำไมคุณต้องรู้จักมัน
ทุกวัน มีอีเมลปลอม ข้อความ SMS และเว็บไซต์หลอกลวงถูกส่งออกไปนับพันล้านรายการ โดยมีเป้าหมายเดียว คือหลอกให้คุณมอบข้อมูลส่วนตัว เทคนิคนี้เรียกว่า phishing และยังคงเป็นหนึ่งในการโจมตีทางไซเบอร์ที่ได้ผลและแพร่หลายที่สุดในปัจจุบัน ไม่ใช่เพราะมันซับซ้อนทางเทคนิค แต่เพราะมันมุ่งเป้าไปที่จิตวิทยาของมนุษย์แทนที่จะเป็นระบบคอมพิวเตอร์
Phishing คืออะไร?
Phishing เป็นรูปแบบหนึ่งของ social engineering ที่ผู้โจมตีแกล้งทำเป็นบุคคลหรือองค์กรที่คุณไว้วางใจ ไม่ว่าจะเป็นธนาคาร บริการสตรีมมิง นายจ้าง หรือแม้แต่หน่วยงานของรัฐ เพื่อจัดการให้คุณดำเนินการบางอย่างที่ปกติคุณจะไม่ทำ การกระทำนั้นอาจเป็นการคลิกลิงก์ที่เป็นอันตราย การดาวน์โหลดไฟล์แนบที่ติดมัลแวร์ หรือการพิมพ์รหัสผ่านของคุณลงในหน้าเข้าสู่ระบบปลอม
ชื่อนี้ถูกตั้งขึ้นโดยเล่นคำกับคำว่า "fishing" หรือการตกปลา ผู้โจมตีหว่านเหยื่อออกไปแล้วรอดูว่าใครจะกัดเบ็ด
Phishing ทำงานอย่างไร?
การโจมตีแบบ phishing ส่วนใหญ่มีรูปแบบที่คาดเดาได้ดังนี้:
- เหยื่อล่อ: คุณได้รับข้อความที่ดูเหมือนของจริง อาจเลียนแบบการแจ้งเตือนการเรียกเก็บเงินของ Netflix คำเตือนด้านความปลอดภัยของ PayPal หรืออีเมลเร่งด่วนจากฝ่าย IT ของบริษัทคุณ
- ตะขอเกี่ยว: ข้อความสร้างความรู้สึกเร่งด่วน เช่น บัญชีของคุณกำลังจะถูกระงับ มีกิจกรรมที่น่าสงสัย หรือคุณต้องยืนยันตัวตนโดยทันที
- กับดัก: คุณถูกนำไปยังเว็บไซต์ปลอมที่มีหน้าตาเหมือนเว็บจริงทุกประการ เมื่อคุณกรอกข้อมูลการเข้าสู่ระบบ ข้อมูลนั้นจะถูกส่งตรงไปยังผู้โจมตี
ยังมีรูปแบบที่เจาะจงเป้าหมายมากขึ้นด้วย Spear phishing คือการโจมตีเฉพาะบุคคลที่มีการปรับแต่งเนื้อหาให้เหมาะสม มักใช้ข้อมูลที่รวบรวมจากโซเชียลมีเดีย Whaling มุ่งเป้าไปที่ผู้บริหารระดับสูง Smishing ใช้ข้อความ SMS ในขณะที่ vishing เกิดขึ้นผ่านการโทรศัพท์
เว็บไซต์ phishing สมัยใหม่มักใช้ HTTPS และแสดงไอคอนแม่กุญแจ ซึ่งหลายคนเข้าใจผิดว่าหมายความว่าเว็บไซต์นั้นปลอดภัย ที่จริงแล้วมันเพียงแค่หมายความว่าการเชื่อมต่อถูกเข้ารหัสเท่านั้น ไม่ได้การันตีว่าตัวเว็บไซต์เองนั้นน่าเชื่อถือ
ทำไมเรื่องนี้ถึงสำคัญสำหรับผู้ใช้ VPN
ความเข้าใจผิดที่พบบ่อยคือการใช้ VPN จะช่วยปกป้องคุณจาก phishing แต่ความจริงคือมันไม่ได้ช่วย อย่างน้อยก็ไม่ใช่โดยตรง VPN เข้ารหัสการรับส่งข้อมูลทางอินเทอร์เน็ตของคุณและซ่อน IP address แต่ไม่สามารถหยุดคุณจากการกรอกข้อมูลการเข้าสู่ระบบลงในเว็บไซต์ปลอมได้
อย่างไรก็ตาม ผู้ใช้ VPN ก็ไม่ได้ไร้การป้องกันเสียทีเดียว:
- VPN บางตัวมีฟีเจอร์ป้องกันภัยคุกคาม ที่บล็อกโดเมน phishing ที่รู้จักก่อนที่เบราว์เซอร์ของคุณจะโหลดหน้าเว็บด้วยซ้ำ
- VPN สามารถ ป้องกัน DNS hijacking ซึ่งเป็นเทคนิคที่ผู้โจมตีใช้เพื่อเปลี่ยนเส้นทางคุณไปยังเว็บไซต์ปลอมโดยไม่รู้ตัว แม้ว่าคุณจะพิมพ์ที่อยู่ที่ถูกต้องก็ตาม
- การใช้ VPN บน Wi-Fi สาธารณะจะช่วยป้องกันการโจมตีแบบ man-in-the-middle ซึ่งบางครั้งถูกใช้ร่วมกับ phishing เพื่อดักข้อมูลการเข้าสู่ระบบ
อย่างไรก็ตาม การพึ่งพา VPN เพียงอย่างเดียวในการป้องกัน phishing จะทำให้คุณรู้สึกปลอดภัยอย่างลวงๆ คุณยังคงต้องมีสุขอนามัยดิจิทัลที่ดีด้วย
ตัวอย่างในชีวิตจริง
- คุณได้รับอีเมลจาก "Apple Support" แจ้งว่าบัญชีของคุณถูกล็อก ลิงก์ในอีเมลพาคุณไปที่ apple-support-login.com ซึ่งเป็นเว็บปลอมที่ดูน่าเชื่อถือและขโมย Apple ID ของคุณ
- ข้อความ SMS อ้างว่าธนาคารของคุณตรวจพบการทุจริต และขอให้คุณโทรหาหมายเลข 800 ที่ระบุไว้ หมายเลขดังกล่าวเชื่อมต่อไปยังมิจฉาชีพที่แกล้งทำเป็นผู้เชี่ยวชาญด้านการป้องกันการทุจริต
- อีเมลในที่ทำงานที่ดูเหมือนส่งมาจากฝ่าย HR ขอให้พนักงานเข้าสู่ระบบพอร์ทัลสวัสดิการใหม่ ซึ่งที่จริงแล้วเป็นหน้าเว็บที่ออกแบบมาเพื่อขโมยข้อมูลการเข้าสู่ระบบ
วิธีปกป้องตัวเอง
- ตรวจสอบที่อยู่อีเมลจริงของผู้ส่งเสมอ ไม่ใช่แค่ชื่อที่แสดง
- วางเมาส์เหนือลิงก์ก่อนคลิกเพื่อดู URL ปลายทางที่แท้จริง
- เปิดใช้งานการยืนยันตัวตนแบบสองขั้นตอน (two-factor authentication) สำหรับบัญชีสำคัญทุกบัญชี แม้แต่รหัสผ่านที่ถูกขโมยก็จะไร้ประโยชน์หากไม่มีปัจจัยที่สอง
- ใช้ password manager ซึ่งจะไม่กรอกข้อมูลการเข้าสู่ระบบโดยอัตโนมัติบนเว็บไซต์ปลอม
- เมื่อมีข้อสงสัย ให้เข้าไปยังเว็บไซต์ทางการโดยตรงแทนที่จะคลิกลิงก์ใดๆ
Phishing ได้ผลเพราะมันเรียบง่ายและทำได้ในวงกว้าง การเข้าใจวิธีการทำงานของมันคือแนวป้องกันด่านแรกของคุณ