กลโกงฟิชชิงใช้ข้อความหลอกลวงเพื่อขโมยข้อมูลส่วนบุคคลของเหยื่อและเข้าถึงบัญชีต่าง ๆ บทความตอนที่สองของสื่อผสมชุดสามตอนว่าด้วยกลโกงฟิชชิงนี้ ผู้สื่อข่าวไร้พรมแดน (Reporters Without Borders: RSF) จะมาอธิบายเทคนิคฟิชชิงที่พบบ่อยที่สุด 5 รูปแบบซึ่งนักข่าวอาจเผชิญ พร้อมแนวทางรับมือ
ฟิชชิงเป็นอาชญากรรมไซเบอร์รูปแบบหนึ่งที่หลอกให้บุคคลเปิดเผยข้อมูลส่วนบุคคลและข้อมูลเข้าสู่ระบบบัญชีผ่านข้อความและลิงก์หลอกลวง การโจมตีประเภทนี้อาจดำเนินการโดยรัฐบาล บริษัท หรือบุคคลที่ต้องการบ่อนทำลายการทำงานของนักข่าว ระบุตัวผู้ติดต่อ หรือขโมยเงินจากนักข่าว
1) ฟิชชิงทางอีเมล
คืออะไร ฟิชชิงทางอีเมลมักมาในรูปแบบข้อความที่นำเสนอโอกาสทางธุรกิจใหม่โดยอ้างชื่อบุคคลที่มีตัวตนจริง หรือข้อความแจ้งเตือนว่าบัญชีของผู้รับถูกแฮ็ก อีเมลจะหลอกให้เหยื่อคลิกลิงก์ โดยอ้างว่าเป็นช่องทางสำหรับติดต่อบุคคลหนึ่งหรือใช้ตั้งรหัสผ่านใหม่ แต่แท้จริงแล้วกลับนำผู้ใช้ไปยังเว็บไซต์อันตราย
ป้องกันตนเองอย่างไร หากมีข้อสงสัย ให้ตรวจสอบว่าที่อยู่อีเมลที่แสดงนั้นเป็นของจริงและลิงก์นำไปยังปลายทางที่ระบุจริงหรือไม่ เพื่อเพิ่มความปลอดภัย ผู้ใช้ยังสามารถปรับการตั้งค่าบริการอีเมลให้แสดงที่อยู่อีเมลแบบเต็มของผู้ส่งทุกครั้ง ซอฟต์แวร์ป้องกันไวรัสบางโปรแกรมมีฟังก์ชันตรวจจับความพยายามฟิชชิงด้วย
2) ฟิชชิงผ่าน HTML
คืออะไร ฟิชชิงผ่าน HTML เป็นการโจมตีที่ทำให้ลิงก์บนเว็บไซต์ดูเหมือนว่าจะนำไปยังปลายทางที่ปลอดภัย เช่น Facebook หรือหน้าเข้าสู่ระบบอีเมล แต่แท้จริงแล้วกลับส่งเหยื่อไปยังหน้าที่ขอให้กรอกข้อมูลบัญชีและรหัสผ่าน ลิงก์อาจแสดงเป็นข้อความขีดเส้นใต้ เช่น “คลิกที่นี่” หรือแสดงเป็นลิงก์แบบย่อจนยากที่จะทราบว่าลิงก์ดังกล่าวนำไปที่ใดกันแน่
ป้องกันตนเองอย่างไร ตรวจสอบว่าลิงก์นำไปยังปลายทางตามที่แสดงไว้จริงหรือไม่ โดยคลิกขวาที่ลิงก์ เลือก “คัดลอกที่อยู่ลิงก์” แล้วนำไปวางในโปรแกรมแก้ไขข้อความเพื่อดูที่อยู่แบบเต็ม สำหรับลิงก์แบบย่อ สามารถใช้บริการอย่าง CheckShortURL หรือ URLEX เพื่อดูที่อยู่ลิงก์แบบเต็มโดยไม่ต้องคลิก
3) สเปียร์ฟิชชิง
คืออะไร สเปียร์ฟิชชิง (Spear phishing) เป็นกลโกงรูปแบบหนึ่งที่ผู้โจมตีนำข้อมูลส่วนบุคคลของเหยื่อซึ่งค้นพบทางออนไลน์มาใช้แอบอ้างเป็นเพื่อนหรือเพื่อนร่วมงาน เพื่อหลอกให้เหยื่อส่งมอบข้อมูลที่มีความอ่อนไหว
ป้องกันตนเองอย่างไร หากจู่ ๆ บุคคลที่รู้จักขอข้อมูลส่วนบุคคลหรือข้อมูลที่มีความอ่อนไหวผ่านช่องทางออนไลน์ ให้ตรวจสอบตัวตนของบุคคลนั้นผ่านช่องทางอื่น เช่น โทรศัพท์ไปสอบถาม เนื่องจากบัญชีของบุคคลดังกล่าวอาจถูกแฮ็กและข้อมูลอาจถูกขโมยไปแล้ว
4) ฟิชชิงแบบเบราว์เซอร์ซ้อนเบราว์เซอร์
คืออะไร ฟิชชิงแบบเบราว์เซอร์ซ้อนเบราว์เซอร์ (Browser-in-the-browser หรือ BITB) จะแสดงหน้าต่างป๊อปอัปภายในเบราว์เซอร์ของเหยื่อ และขอให้เข้าสู่ระบบบัญชีหรือเปิดเผยข้อมูลส่วนบุคคล
ป้องกันตนเองอย่างไร ตรวจสอบว่าหน้าต่างป๊อปอัปเป็นของจริงหรือไม่ โดยลองลากหน้าต่างดังกล่าวออกไปนอกหน้าต่างเบราว์เซอร์เดิม หากไม่สามารถลากออกไปนอกแท็บหลักได้ ก็มีแนวโน้มว่าจะเป็นความพยายามในการทำฟิชชิง
5) ฟิชชิงแบบ OAuth
คืออะไร OAuth ซึ่งย่อมาจาก Open Authorisation หรือ “การอนุญาตแบบเปิด” เป็นโพรโทคอลที่ช่วยให้ผู้ใช้เข้าสู่ระบบแอปหรือเว็บไซต์ของบุคคลที่สามโดยไม่ต้องสร้างบัญชีใหม่ และอนุญาตให้แอปหรือเว็บไซต์ดังกล่าวเข้าถึงข้อมูลของผู้ใช้โดยที่ผู้ใช้ไม่ต้องเปิดเผยชื่อผู้ใช้หรือรหัสผ่าน ฟิชชิงแบบ OAuth เป็นกลโกงที่เลียนแบบหรือเจาะระบบยืนยันตัวตนเพื่อขโมยข้อมูลการเข้าสู่ระบบของเหยื่อ และเข้าถึงข้อมูลส่วนตัวหรือข้อมูลด้านการทำงาน
ป้องกันตนเองอย่างไร นักข่าวไม่ควรใช้ OAuth เพื่อยืนยันตัวตนผ่านแอปที่ไม่คุ้นเคย หากจำเป็นต้องเข้าสู่ระบบด้วยวิธีดังกล่าว ควรตรวจสอบว่าแอปหรือเว็บไซต์นั้นเป็นของจริง พิจารณาอย่างละเอียดว่าแอปหรือเว็บไซต์ต้องการเข้าถึงข้อมูลประเภทใด และประเมินความเสี่ยงจากการอนุญาตให้เข้าถึงข้อมูลดังกล่าว
The Thai translation was made possible with support from the Government of Canada and the Canada Fund for Local Initiatives (CFLI).