‘ฟิชชิ่ง’ จาก ‘เอสเอ็มเอส’ ภัยไซเบอร์ ที่ไม่ควรมองข้าม

ภัยคุกคามทางไซเบอร์ที่เพิ่มความถี่ในการโจมตีมากขึ้น ปัจจัยสำคัญมากจากพฤติกรรมการใช้บริการดิจิทัลที่มักเปิดช่องโหว่การรั่วไหลของข้อมูลของผู้ใช้งาน ทั้งที่อาจไม่ได้ตั้งใจ “แคสเปอร์สกี้” ออกคำเตือนผู้ใช้อินเทอร์เน็ตชาวไทย ให้ระมัดระวังข้อความฟิชชิ่งจากข้อความ (เอสเอ็มเอส)ให้มากขึ้น และหลีกเลี่ยงการเปิดเผยข้อมูลที่ละเอียดอ่อน ซึ่งอาจทำให้เกิดความเสียหายที่ประเมินค่าไม่ได้ 

รายงานฉบับล่าสุดของแคสเปอร์สกี้ ชี้ว่า ผลิตภัณฑ์ของแคสเปอร์สกี้ได้บล็อกภัยคุกคามทางเว็บมากกว่า 5.2 ล้านรายการที่พยายามจะโจมตีผู้ใช้ในประเทศไทยในไตรมาสที่ 1 ปี 2564 ซึ่งสูงกว่าไตรมาสแรกของปีที่แล้วถึง 30.45% ขณะที่ จากข้อมูลของแคสเปอร์สกี้ ซิเคียวริตี้ เน็ตเวิร์ค (KSN) ยังตรวจพบและบล็อกภัยคุกคามที่เกิดจากอินเทอร์เน็ตได้มากถึง 5,263,148 รายการบนคอมพิวเตอร์ของผู้เข้าร่วม KSN ในประเทศไทยในไตรมาสที่ 1 ปี 2564 

โดยรวมแล้ว คิดเป็นผู้ใช้ 21.4% ที่เกือบโดนโจมตีจากภัยคุกคามทางเว็บในช่วงสามเดือนแรกของปีนี้ ทำให้ประเทศไทยอยู่ในอันดับที่ 97 ของโลก ขณะที่ จำนวนภัยคุกคามเพิ่มขึ้นจากช่วงเดียวกันของปีที่แล้ว 30.45% ซึ่งในไตรมาสที่ 1 ปี 2563 ตรวจพบความพยายามโจมตีทางเว็บจำนวน 4,034,474 รายการ

กลวิธีทั่วไปอย่างหนึ่งที่อาชญากรไซเบอร์ใช้บนเว็บ คือ “ฟิชชิ่ง” ฟิชชิ่ง เป็นการโจมตีทางวิศวกรรมสังคมประเภทหนึ่งที่ยืดหยุ่นที่สุด สามารถปลอมแปลงได้หลายวิธีและใช้เพื่อวัตถุประสงค์ที่แตกต่างกัน หน้าเว็บฟิชชิ่ง ถูกสร้างขึ้นเพื่อหลอกให้ผู้ใช้ป้อนข้อมูลส่วนบุคคล ข้อมูลดังกล่าวมักรวมถึงข้อมูลทางการเงิน เช่น รหัสผ่านบัญชีธนาคารหรือรายละเอียดบัตรชำระเงิน หรือข้อมูลเพื่อเข้าถึงบัญชีโซเชียลมีเดีย ฟิชชิ่งยังอาจเป็นการหลอกล่อให้ผู้ใช้เปิดไฟล์แนบหรือคลิกลิงก์ที่ดาวน์โหลดมัลแวร์ลงในคอมพิวเตอร์

ผลของการโจมตีด้วยฟิชชิ่งอาจมีตั้งแต่การสูญเสียเงินไปจนถึงการเข้าบุกรุกเครือข่ายองค์กรทั้งหมด การโจมตีแบบฟิชชิ่ง โดยเฉพาะที่เป็นลิ้งก์อันตรายและไฟล์แนบ กลายเป็นรูปแบบการทำให้ติดเชื้อที่เริ่มเป็นที่นิยมสำหรับการโจมตีแบบกำหนดเป้าหมายที่เป็นองค์กร

ในประเทศไทย มีฟิชชิ่งเพิ่มขึ้นอย่างเห็นได้ชัดผ่านทางข้อความ หรือที่เรียกว่าสมิชชิ่ง (Smishing) มีเป้าหมายเช่นเดียวกับฟิชชิ่งอื่น คือ การพยายามหลอกให้ผู้รับเปิดเผยข้อมูลที่ละเอียดอ่อน ซึ่งโดยทั่วไปแล้ว คือ รหัสผ่านธนาคารออนไลน์หรือข้อมูลบัตรธนาคาร โดยนักต้มตุ๋นจะส่งข้อความที่มักเกี่ยวกับปัญหาต่างๆ เช่น ปัญหาการจัดส่ง การเรียกเก็บเงินที่ค้างชำระ หรือบัญชีที่ถูกบล็อก เป็นต้น หรือแม้แต่ข้อเสนอเงินกู้ที่ผู้รับข้อความจะต้องคลิกที่ลิงก์

ผู้ใช้ส่วนใหญ่คุ้นชินกับอีเมลฟิชชิ่งไม่มากก็น้อย และคนส่วนใหญ่รู้วิธีที่จะระบุว่า เป็นอีเมลฟิชชิ่งและหลีกเลี่ยง แต่ข้อความเป็นช่องทางที่ไม่ใครคาดคิดว่าจะกลายเป็นกลโกงได้

ยิ่งไปกว่านั้น แม้ว่าผู้คนจะเชื่อถือข้อความตัวอักษรมากกว่า แต่ข้อความก็มักจะมีความปลอดภัยน้อยกว่าอีเมล ทุกวันนี้ บริการอีเมลที่ดีจะมีตัวกรองสแปมอันชาญฉลาด ถึงแม้ว่าตัวกรองสแปมจะไม่สมบูรณ์แบบนัก แต่นักต้มตุ๋นก็จำเป็นต้องคิดค้นกลวิธีใหม่ๆ เพื่อผ่านตัวกรองไปให้ได้ แต่น่าเสียดายที่ผู้ให้บริการมือถือมักละเลยเรื่องความยืดหยุ่นและความแม่นยำของตัวกรองสแปมไป

“เซียง เทียง โยว” ผู้จัดการทั่วไปประจำภูมิภาคเอเชียตะวันออกเฉียงใต้ แคสเปอร์สกี้ กล่าวว่า ฟิชชิ่งหลอกล่อเหยื่อให้เปิดเผยข้อมูลตัวตนสำหรับบัญชีที่มีความละเอียดอ่อน เช่น อีเมล อินทราเน็ตขององค์กร บัญชีธนาคารบนมือถือ และอื่นๆ เมื่ออาชญากรไซเบอร์ใช้กลยุทธ์และใช้คำสำคัญเพื่อหลอกล่อผู้ใช้ การตรวจจับการโจมตีแบบฟิชชิ่งและสมิชชิ่งก็เป็นเรื่องยากขึ้น 

ดังนั้น จึงเป็นเรื่องสำคัญที่ผู้ใช้จะต้องระมัดระวังเกี่ยวกับลิ้งก์ที่ได้รับจากอีเมล จากข้อความ จากแอปส่งข้อความโซเชียล และจัดการป้องกันความปลอดภัยขั้นพื้นฐานบนอุปกรณ์ที่ใช้ รวมถึงแล็ปท็อปและโทรศัพท์มือถือ

แคสเปอร์สกี้ แนะวิธีป้องกันตัวเองจากฟิชชิ่ง ให้ใช้สามัญสำนึกก่อนที่จะให้ข้อมูลที่ละเอียดอ่อน อย่าคลิกลิงก์ในอีเมล ควรเปิดหน้าต่างเบราว์เซอร์และพิมพ์ที่อยู่ลงในช่องยูอาร์แอลโดยตรง เพื่อให้แน่ใจว่าไซต์นั้นเป็นของจริง ควรหลีกเลี่ยงการคลิกลิงก์ที่ฝังในอีเมล เนื่องจากลิงก์เหล่านี้ สามารถติดมัลแวร์ได้ ระมัดระวังเมื่อได้รับข้อความจากผู้ขายหรือบุคคลที่สาม อย่าคลิกยูอาร์แอลที่ฝังในข้อความต้นฉบับ ให้ไปที่เว็บไซต์โดยตรงโดยพิมพ์ที่อยู่ ยูอาร์แอล ที่ถูกต้องเพื่อยืนยันคำขอ และตรวจสอบนโยบายและขั้นตอนการติดต่อของผู้ขายสำหรับการขอข้อมูล