วิธีป้องกันตัวเองจากการโจมตี Phishing

Phishing คืออะไร?

Phishing เป็นการโจมตีทางสังคมศาสตร์ที่ผู้โจมตีสร้างสำเนาของเว็บไซต์ที่ถูกต้องตามกฎหมายที่น่าเชื่อ — มักจะสมบูรณ์แบบจนถึงพิกเซล — และหลอกเหยื่อให้ป้อนข้อมูลการเข้าสู่ระบบที่นั่น ทันทีที่เหยื่อส่งแบบฟอร์ม ผู้โจมตีจะจับชื่อผู้ใช้ รหัสผ่าน และปัจจัยที่สองใด ๆ จากนั้นใช้มันเพื่อเข้าควบคุมบัญชีจริงภายในไม่กี่วินาที

คำนี้มาจากการเปรียบเทียบการ "ตกปลา" เหยื่อด้วยเหยื่อล่อ (มักจะเป็นอีเมล) การสะกดเปลี่ยนไปเพื่อเน้นว่าผู้โจมตีมักใช้หมายเลขโทรศัพท์ (SMS phishing หรือ "smishing") และโครงสร้างพื้นฐานที่ดูเป็นมืออาชีพ

ทำไม phishing ยังคงเป็นภัยคุกคามอันดับ 1

การละเมิดบัญชีขนาดใหญ่ในปัจจุบันส่วนใหญ่ไม่เกี่ยวข้องกับการแฮ็ก การถอดรหัสผ่าน หรือการหลีกเลี่ยงการเข้ารหัส แต่เกี่ยวข้องกับมนุษย์ที่พิมพ์รหัสผ่านเข้าไปในเว็บไซต์ปลอม Phishing คือ:

• ราคาถูก — ผู้โจมตีสามารถส่งอีเมลหลายล้านฉบับในราคา VPS และโดเมนปลอม
• ยากต่อการกรอง — ชุดเครื่องมือสมัยใหม่หมุนเวียนโดเมน ใช้โฮสติ้งที่ถูกต้องตามกฎหมาย และปรับตัวกับตัวกรองแบบเรียลไทม์
• มีประสิทธิภาพ — แม้แต่ผู้ใช้ที่ตระหนักถึงความปลอดภัยก็ตกเป็นเหยื่อความพยายามที่มีเป้าหมายและสร้างขึ้นอย่างดี (spear phishing)
• ขยายได้ — phishing ที่สำเร็จเพียงครั้งเดียวมักให้การเข้าถึงบริการที่เชื่อมต่อหลายสิบรายการผ่านการใช้รหัสผ่านซ้ำ

รายงาน Verizon Data Breach Investigations Report 2024 พบว่า phishing เป็นเวกเตอร์การเข้าถึงเริ่มต้นในมากกว่า 36% ของการละเมิดทั้งหมด — มากกว่าสาเหตุเดียวอื่น ๆ

วิธีการทำงานของ phishing สมัยใหม่

Phishing ได้พัฒนาไปไกลจากอีเมล "เจ้าชายไนจีเรีย" ของยุค 2000 การโจมตี phishing สมัยใหม่มักประกอบด้วย:

1. เหยื่อล่อที่น่าเชื่อ

มักจะเป็นอีเมล ข้อความ หรือข้อความแชทที่สร้างความเร่งด่วน ("บัญชีของคุณจะถูกระงับ") อำนาจ ("ทีมความปลอดภัย Microsoft") หรือความอยากรู้ ("มีคนแท็กคุณในรูป") Spear-phishing ไปไกลกว่านี้ด้วยรายละเอียดส่วนตัวที่ดึงมาจาก LinkedIn ฐานข้อมูลที่ถูกละเมิด หรือการติดต่อก่อนหน้านี้

2. เว็บไซต์ปลอมที่สมบูรณ์แบบทุกพิกเซล

ผู้โจมตีใช้ชุดเครื่องมือ phishing สำเร็จรูปที่โคลน HTML CSS และ JavaScript ของเว็บไซต์เป้าหมาย หลายชุดเครื่องมือขายเป็นบริการ (phishing-as-a-service) พร้อมแดชบอร์ดที่ใช้งานได้และฝ่ายสนับสนุนลูกค้า

3. พร็อกซีเรียลไทม์สำหรับ 2FA

ส่วนอันตราย: ชุดเครื่องมือสมัยใหม่ไม่เพียงแค่จับรหัสผ่านของคุณ พวกมันทำหน้าที่เป็นพร็อกซี man-in-the-middle ที่ส่งต่อทุกอย่างที่คุณพิมพ์ — รวมถึงรหัส TOTP ของคุณ — ไปยังเว็บไซต์จริงภายในไม่กี่วินาที หลีกเลี่ยง 2FA ส่วนใหญ่ เทคนิคนี้เรียกว่า adversary-in-the-middle (AiTM) และใช้ในเครื่องมือเช่น Evilginx2 และ Modlishka

4. การขโมยโทเค็นเซสชัน

เมื่อคุณตรวจสอบสิทธิ์ผ่านพร็อกซี ผู้โจมตีจะจับคุกกี้เซสชันของคุณและสามารถใช้มันเพื่อคงการเข้าสู่ระบบแม้หลังจากที่คุณเปลี่ยนรหัสผ่าน นี่คือเหตุผลที่การตอบสนองต่อ phishing มักรวมการเพิกถอนเซสชันที่ใช้งานอยู่ ไม่ใช่แค่การหมุนเวียนรหัสผ่าน

สิ่งที่หยุด phishing ได้จริง

กุญแจความปลอดภัยแบบฮาร์ดแวร์ (FIDO2 / WebAuthn)

นี่เป็นหมวดหมู่การป้องกันเพียงหมวดเดียวที่ป้องกัน phishing ได้ตั้งแต่การออกแบบ เมื่อคุณเข้าสู่ระบบด้วยกุญแจ FIDO2 กุญแจของคุณจะตรวจสอบโดเมนที่แน่นอนของเว็บไซต์ที่ขอการตรวจสอบสิทธิ์ด้วยการเข้ารหัส เว็บไซต์ปลอม — ไม่ว่าจะสมบูรณ์แบบทางภาพเพียงใด — มีโดเมนที่แตกต่าง ดังนั้นกุญแจจึงปฏิเสธที่จะตอบสนอง การจับมือด้วยการเข้ารหัสก็ไม่สำเร็จ

Google มีคำสั่งให้ใช้ YubiKey สำหรับพนักงานทั้งหมด 85,000+ คนในปี 2017 และรายงานการโจมตี phishing ที่สำเร็จเป็นศูนย์บนบัญชีบริษัทในปีที่ผ่านมา

Passkey

Passkey คือวิวัฒนาการของ FIDO2 ที่เป็นมิตรกับผู้บริโภค พวกมันใช้การเข้ารหัสแบบผูกกับโดเมนเดียวกันและมีอยู่ใน iOS Android macOS และ Windows หากเว็บไซต์ที่คุณใช้สนับสนุน passkey การเปิดใช้งานจะทำให้บัญชีนั้นป้องกัน phishing ได้

ตัวจัดการรหัสผ่าน

ตัวจัดการรหัสผ่านเป็นแนวป้องกันที่สองของคุณเพราะมันเติมข้อมูลการเข้าสู่ระบบอัตโนมัติเฉพาะบนโดเมนที่แน่นอนเท่านั้นซึ่งบันทึกไว้ หากคุณไปที่ paypaI.com (ตัว I พิมพ์ใหญ่) แทน paypal.com ตัวจัดการของคุณจะปฏิเสธการเติมแบบฟอร์มอย่างเงียบ ๆ การปฏิเสธนั้นเป็นคำเตือนที่ดังว่ามีบางอย่างผิดปกติ

การกรองอีเมลและ DNS

ผู้ให้บริการอีเมลใช้ DMARC SPF และ DKIM เพื่อตรวจจับที่อยู่ผู้ส่งปลอม ผู้ให้บริการสมัยใหม่ส่วนใหญ่จับความพยายามที่ชัดเจน แต่การโจมตีที่มีเป้าหมายยังคงหลุดผ่าน เปิดใช้งานปุ่ม "รายงาน phishing" ในไคลเอนต์เมลของคุณเพื่อช่วยให้ตัวกรองปรับปรุง

สัญญาณเตือนที่ต้องระวัง

เมื่อคุณได้รับข้อความขอให้เข้าสู่ระบบ ตรวจสอบ หรือดำเนินการอย่างเร่งด่วน:

• ความเร่งด่วนและการขู่ — "บัญชีของคุณจะถูกปิดภายใน 24 ชั่วโมง"
• คำทักทายทั่วไป — "ลูกค้าที่เคารพ" แทนชื่อของคุณ
• โดเมนที่ดูคล้าย — paypaI.com, app1e.com, secure-microsoft-login.net
• ไฟล์แนบที่ไม่คาดหวัง — โดยเฉพาะไฟล์ .zip .html หรือ .pdf ที่ขอให้คุณเข้าสู่ระบบเพื่อดู
• ข้อผิดพลาดทางไวยากรณ์หรือการจัดรูปแบบ — บริษัทใหญ่ตรวจทานอีเมลของตน
• ลิงก์ไม่ตรงกัน — วางเมาส์เหนือลิงก์และตรวจสอบว่าปลายทางตรงกับข้อความหรือไม่

หากอะไรรู้สึกผิดปกติ ให้ปิดอีเมล นำทางไปยังเว็บไซต์ด้วยตนเอง หากมีปัญหาจริง คุณจะเห็นมันเมื่อคุณเข้าสู่ระบบผ่านขั้นตอนปกติของคุณ

จะทำอย่างไรหากคุณตกเป็นเหยื่อ

ดำเนินการอย่างรวดเร็ว — ความเร็วสำคัญเพราะผู้โจมตีเริ่มใช้ข้อมูลการเข้าสู่ระบบภายในไม่กี่นาที

1. เปลี่ยนรหัสผ่านทันทีบนอุปกรณ์อื่น (โทรศัพท์ของคุณ ตัวอย่างเช่น หากคุณตกเป็นเหยื่อบนแล็ปท็อป)
2. เพิกถอนเซสชันที่ใช้งานอยู่ทั้งหมดในการตั้งค่าบัญชี — สิ่งนี้จะเตะใครก็ตามที่กำลังใช้โทเค็นเซสชันที่ถูกขโมยออกไป
3. เปิดใช้งาน 2FA หากยังไม่ได้เปิด และใช้กุญแจฮาร์ดแวร์หรือ passkey หากเป็นไปได้
4. ตรวจสอบกิจกรรมที่ไม่ได้รับอนุญาต — อีเมลที่ส่ง การเข้าสู่ระบบล่าสุด การเปลี่ยนแปลงการเรียกเก็บเงิน กฎการส่งต่อใหม่
5. แจ้งสถาบันที่ได้รับผลกระทบหากเป็นบัญชีทางการเงินหรือที่ทำงาน
6. ตรวจสอบบัญชีอื่นที่ใช้รหัสผ่านเดียวกัน — แม้ว่าคุณจะแน่ใจว่าไม่ได้ใช้รหัสผ่านซ้ำ ก็ให้ตรวจสอบ

สรุป

Phishing เจริญรุ่งเรืองเพราะมันหลีกเลี่ยงเทคโนโลยีและมุ่งเป้าไปที่มนุษย์ การป้องกันที่ดีที่สุดผสมสามชั้น: ตัวจัดการรหัสผ่าน (ปฏิเสธการเติมข้อมูลอัตโนมัติบนโดเมนที่ผิด) 2FA ที่ต้านทาน phishing (กุญแจฮาร์ดแวร์หรือ passkey ที่ผูกกับโดเมนจริง) และความสงสัยที่ดีต่อสุขภาพ (อย่าเข้าสู่ระบบจากลิงก์อีเมลเด็ดขาด)

เปิดใช้งานทั้งสามอย่างในบัญชีสำคัญที่สุดของคุณ — อีเมลของคุณ — ก่อน จากนั้น ส่วนที่เหลือของชีวิตดิจิทัลของคุณจะปลอดภัยขึ้นอย่างมีนัยสำคัญ