ฟิชชิง & กลลวงทางใจ

01ข้อความที่มาตอนเราเผลอ The bait

สี่ทุ่มสี่สิบ ปิ่นเพิ่งกลับจากติวหนังสือ กำลังจะหลับอยู่แล้วตอนที่ SMS เด้งขึ้นมาบนจอ

“พัสดุของคุณไม่สามารถจัดส่งได้ เนื่องจากที่อยู่ไม่ครบถ้วน กรุณาอัปเดตข้อมูลภายในวันนี้” ตามด้วยลิงก์สั้น ๆ หนึ่งลิงก์ ปิ่นเพิ่งสั่งเคสมือถือไปเมื่อวานพอดี ลิงก์พาไปหน้าเว็บที่หน้าตาเหมือนบริษัทขนส่งไม่มีผิด ขอให้กรอกที่อยู่ใหม่ แล้วจ่าย “ค่าจัดส่งซ้ำ” สิบเก้าบาทด้วยบัตร ปิ่นกรอกเลขบัตร วันหมดอายุ และรหัสสามตัวหลังบัตรไปโดยแทบไม่ได้คิด เพราะเงินแค่สิบเก้าบาท

สามวันต่อมา บัตรใบนั้นถูกรูดซื้อของออนไลน์ไปหลายรายการ

ปิ่นเป็นตัวละครสมมติ แต่ข้อความหน้าตาแบบนี้ คนไทยหลายคนน่าจะเคยได้รับกับมือตัวเอง และสิ่งที่น่าคิดที่สุดในเรื่องนี้คือ ไม่มีใครเจาะอะไรเลย ไม่มีมัลแวร์ ไม่มีช่องโหว่ ปิ่นกรอกข้อมูลทุกตัวให้คนร้ายเองกับมือ

ในแฟ้มที่แล้ว เราเห็นมัลแวร์คลานเข้ามาทางไฟล์และช่องโหว่ แฟ้มนี้ต่างออกไป คนร้ายไม่ได้เล็งคอมพิวเตอร์ แต่เล็ง คนที่นั่งอยู่หน้าคอมพิวเตอร์ และเพราะคนเราเหนื่อย รีบ เกรงใจ และอยากช่วยคนอื่น ทางนี้จึงเป็นทางที่ถูกที่สุดและได้ผลที่สุดสำหรับเขา ข่าวดีคือกลลวงทุกแบบมีโครงเหมือนกัน และถ้าเห็นโครงนั้นชัดครั้งเดียว เราจะเริ่มเห็นมันทุกที่

ศัพท์น่ารู้: ฟิชชิง (Phishing) และวิศวกรรมสังคม (Social engineering)

ฟิชชิงมาจากคำว่า fishing หรือการตกปลา สะกดด้วย ph ตามธรรมเนียมการเล่นคำของแฮกเกอร์ยุคแรก คนร้ายโยนเหยื่อล่อออกไปเยอะ ๆ แล้วรอดูว่าใครจะงับ ส่วนวิศวกรรมสังคมคือคำเรียกรวมของการหลอกให้คน “ทำตาม” ไม่ว่าจะผ่านอีเมล แชต โทรศัพท์ หรือเดินมาคุยต่อหน้า ฟิชชิงจึงเป็นแค่หนึ่งในเครื่องมือของวิศวกรรมสังคม

02ผ่าข้อความหลอกหนึ่งฉบับ Anatomy of a phish

ลองชะลอเวลาให้ช้าลง แล้วผ่าอีเมลหลอกหนึ่งฉบับออกดูทีละส่วน อีเมลนี้อ้างว่ามาจาก “ธนาคารแสนสุข” ซึ่งเป็นธนาคารสมมติ แต่หน้าตาของมันคือแบบที่เจอได้จริงทุกวัน

จากห้าจุดนี้ สองจุดสุดท้ายสำคัญที่สุด เพราะคนร้ายจะแต่งข้อความให้สวยแค่ไหนก็ได้ ใส่โลโก้ ใส่ชื่อเราให้ถูก เขียนภาษาให้สุภาพไร้ที่ติ แต่สุดท้ายเขาต้อง พาเราไปที่ของเขา และต้อง ขอสิ่งที่เขาต้องการ สองอย่างนี้ปลอมไม่ได้ เพราะมันคือเหตุผลที่ข้อความนั้นถูกส่งมา

ทำไมชื่อผู้ส่งเชื่อไม่ได้

ชื่อที่โชว์ในกล่องจดหมาย เช่น “ธนาคารแสนสุข” เป็นแค่ป้ายที่ผู้ส่งพิมพ์เองได้ตามใจชอบ สิ่งที่บอกตัวตนจริงคือที่อยู่อีเมลเต็ม ๆ โดยเฉพาะส่วนหลังเครื่องหมาย @ และต่อให้ส่วนนั้นดูถูกต้อง ก็ยังต้องระวัง เพราะคนร้ายจดโดเมนหน้าตาคล้ายของจริงได้ง่ายมาก ซึ่งเราจะฝึกแยกให้ออกในหัวข้อที่ 04

ฝั่งผู้ดูแลระบบอีเมลมีเครื่องมือช่วยอยู่หลายตัว ระบบอีเมลสมัยใหม่จะตรวจว่าอีเมลที่อ้างว่ามาจากโดเมนหนึ่ง ถูกส่งจากเซิร์ฟเวอร์ที่โดเมนนั้นอนุญาตจริงหรือไม่ ถ้าไม่ผ่านก็โยนลงกล่องสแปมหรือติดป้ายเตือน แต่เครื่องมือเหล่านี้มีจุดบอดข้อหนึ่ง: ถ้าคนร้ายจดโดเมนหน้าคล้ายเป็นของตัวเอง เขาก็ตั้งค่าให้ผ่านการตรวจทุกอย่างได้ ระบบจึงช่วยกรองได้เยอะ แต่ไม่ได้ทำให้เราเลิกต้องอ่านเอง

ศัพท์น่ารู้: SPF, DKIM และ DMARC

สามมาตรฐานที่ทำงานคู่กันเพื่อกันการปลอมโดเมนผู้ส่ง SPF บอกว่าเซิร์ฟเวอร์ไหนส่งอีเมลในนามโดเมนนี้ได้ DKIM ใส่ลายเซ็นดิจิทัลไว้ในอีเมลเพื่อพิสูจน์ว่าไม่ถูกแก้ระหว่างทาง ส่วน DMARC บอกผู้รับว่าถ้าตรวจไม่ผ่านให้ทำอย่างไร เช่น ปฏิเสธทิ้ง ทั้งสามตัวกันการ “ปลอมโดเมนจริง” ได้ดี แต่กัน “โดเมนหน้าคล้าย” ไม่ได้

03จากลิงก์เดียว ถึงบัญชีที่ถูกยึด The credential-theft journey

หลายคนคิดว่าเปิดยืนยันตัวตนสองชั้นด้วย OTP แล้วจะรอดจากฟิชชิงแน่นอน ความจริงคือชุดเครื่องมือฟิชชิงสมัยนี้ทำงานแบบ “ส่งต่อทันที” คนร้ายไม่ได้แค่เก็บรหัสไว้ใช้ทีหลัง แต่ยืนอยู่ตรงกลางระหว่างเรากับเว็บจริง แล้วส่งต่อทุกอย่างที่เราพิมพ์ภายในไม่กี่วินาที ภาพนี้ไล่ให้ดูทีละข้อความ

ข้อ 4 ถึง 7 คือเหตุผลที่ OTP ทาง SMS หรือรหัสหกหลักจากแอป กันฟิชชิงได้ไม่เต็มร้อย มันกันได้ดีมากถ้าคนร้ายแค่ได้รหัสผ่านที่รั่วจากที่อื่นมา แต่ถ้าเราเป็นคนพิมพ์ OTP ส่งให้เขาเองแบบสด ๆ มันก็ไม่ต่างจากการยื่นกุญแจดอกที่สองให้ไปด้วย ชุดเครื่องมือบางตัวไปไกลกว่านั้นอีก คือขโมย “คุกกี้เซสชัน” ที่เว็บจริงออกให้หลังล็อกอินสำเร็จ ซึ่งเปรียบเหมือนสายรัดข้อมือที่ได้หลังผ่านประตูคอนเสิร์ต ใครถือไว้ก็เดินเข้าออกได้โดยไม่ต้องแสดงบัตรซ้ำ (เรื่องเซสชันเราจะเปิดฝาดูกันใน CASE-010)

สามจุดตัดในภาพเรียงจากง่ายไปแข็งแรงที่สุด จุดแรกพึ่งสายตาของเรา ซึ่งพลาดได้ตอนเหนื่อย จุดที่สองพึ่งตัวจัดการรหัสผ่าน ซึ่ง “ดูโดเมนเป็น” แทนเรา และจุดที่สามคือพาสคีย์ ที่ออกแบบมาให้ทำงานกับโดเมนที่ลงทะเบียนไว้เท่านั้น เว็บปลอมจึงขออะไรไปใช้ไม่ได้เลย ทั้งสองอย่างหลังคือพระเอกของ CASE-004

ศัพท์น่ารู้: Adversary-in-the-middle (AiTM)

การโจมตีที่คนร้ายแทรกตัวอยู่ระหว่างเรากับเว็บจริง แล้วส่งต่อข้อมูลไปมาแบบเรียลไทม์ เราเห็นหน้าเว็บที่ทำงานได้ทุกอย่าง เว็บจริงก็เห็นการล็อกอินที่ถูกต้องทุกขั้น แต่คนที่อยู่ตรงกลางเก็บทุกอย่างไว้ ฟิชชิงที่ข้าม OTP ได้ส่วนใหญ่ใช้หลักนี้

04อ่านลิงก์ให้เป็น Reading URLs

ถ้าบทนี้ให้ทักษะได้แค่ข้อเดียว ผมอยากให้เป็นข้อนี้: อ่านลิงก์แล้วบอกได้ว่าใครเป็นเจ้าของ ฟังดูเป็นเรื่องเทคนิค แต่จริง ๆ ใช้เวลาฝึกไม่ถึงสิบนาที และใช้ได้ไปตลอดชีวิต

อ่านเจ้าของลิงก์ในสามขั้น

1. หาจุดเริ่ม

   ข้าม https:// ไปก่อน ส่วนที่ตามมาคือชื่อโฮสต์ ซึ่งเป็นที่อยู่ของเว็บ

2. หาจุดจบ

   อ่านไปจนเจอเครื่องหมาย / ตัวแรก (หรือ ? หรือ :) ทุกอย่างหลังจากนั้นคือพาธและพารามิเตอร์ ซึ่งคนร้ายเขียนอะไรก็ได้ ไม่ต้องสนใจ

3. อ่านถอยหลังจากขวามาซ้าย

   ดูช่วงท้ายของชื่อโฮสต์ ถ้าลงท้ายด้วย .com .top หรือ .net ให้ดูสองช่วงสุดท้าย ถ้าเป็นโดเมนไทยอย่าง .co.th .ac.th หรือ .go.th ให้ดูสามช่วงสุดท้าย นั่นแหละคือเจ้าของตัวจริง ทุกอย่างทางซ้ายของมันเป็นแค่ซับโดเมนที่เจ้าของตั้งเองได้

ลองฝึกกับลิงก์หลอกตาเหล่านี้ดู อ่านด้วยกฎสามขั้นข้างบน แล้วค่อยดูเฉลยทางขวา

https://saensukbank.co.th-verify.com/login   → เจ้าของ: th-verify.com  (ขีดกลางไม่ใช่จุด)
https://saensukbank.co.th@secure-login.top/  → เจ้าของ: secure-login.top  (ทุกอย่างก่อน @ ถูกข้าม)
https://secure.saensukbank.co.th/th/login    → เจ้าของ: saensukbank.co.th
https://bit.ly/3kQ9xWz                       → เจ้าของ: ยังไม่รู้  (ลิงก์ย่อ ซ่อนปลายทางไว้)

ลิงก์ย่อและ QR โค้ดน่ากลัวตรงที่มันซ่อนปลายทางจนกว่าเราจะกด บนมือถือ ลองกดค้างที่ลิงก์เพื่อดูตัวอย่างปลายทางก่อนเปิด ส่วนแอปกล้องส่วนใหญ่จะโชว์ลิงก์ก่อนเปิดเมื่อสแกน QR ให้อ่านมันก่อนกดทุกครั้ง

สุดท้าย อย่าเชื่อรูปแม่กุญแจหน้าลิงก์มากเกินไป แม่กุญแจแปลว่าการเชื่อมต่อระหว่างเรากับเว็บนั้นถูกเข้ารหัส ไม่มีใครดักฟังได้ระหว่างทาง แต่ไม่ได้บอกเลยว่าคนที่อยู่ปลายทางเป็นคนดี เว็บฟิชชิงจำนวนมากก็มีแม่กุญแจ เพราะขอใบรับรองแบบฟรีได้ในไม่กี่นาที เรื่องนี้จะเห็นชัดขึ้นมากใน CASE-009

ศัพท์น่ารู้: โดเมนหน้าคล้าย (Look-alike domain) และ Homograph

โดเมนที่ตั้งให้คล้ายของจริงจนตาเผลอ เช่น สะกดผิดหนึ่งตัว (typosquatting) เติมขีด หรือเปลี่ยนนามสกุล ส่วน homograph คือการใช้ตัวอักษรจากภาษาอื่นที่หน้าตาเหมือนกันเป๊ะ เช่น а ของรัสเซียกับ a ของอังกฤษ เบราว์เซอร์สมัยใหม่จึงมักแสดงโดเมนแบบนี้เป็นรหัสที่ขึ้นต้นด้วย xn-- ให้เราเห็นว่ามีอะไรแปลก ๆ

05ครอบครัวฟิชชิง Spear, whale, smish, vish, quish

ฟิชชิงมีญาติเยอะ และชื่อของแต่ละตัวก็บอกตรง ๆ ว่ามันต่างกันตรงไหน มีสองแกนให้จำ แกนแรกคือ ช่องทาง ว่ามาทางอีเมล SMS โทรศัพท์ หรือ QR แกนที่สองคือ เล็งเป้าแค่ไหน ตั้งแต่หว่านแหไปทั่ว ไปจนถึงเจาะจงคนเดียวที่ถือเงินก้อนใหญ่

ชื่อเหล่านี้ไม่ต้องท่อง แค่จำหลักการสร้างคำก็พอ Smishing คือ SMS + phishing Vishing คือ voice + phishing ส่วน Quishing คือ QR + phishing ส่วน Spear phishing มาจากการแทงปลาด้วยฉมวกทีละตัว แทนการหว่านแห และ Whaling คือการล่าปลาตัวใหญ่ที่สุด ซึ่งก็คือผู้บริหารหรือคนที่อนุมัติเงินได้

สำหรับนักเรียนนักศึกษา แถวที่ต้องระวังเป็นพิเศษคือ “บัญชีเพื่อนถูกยึด” เพราะมันมาจากชื่อที่เราไว้ใจจริง ๆ ข้อความอาจขอยืมเงินด่วน ขอให้ช่วยกดลิงก์โหวตประกวด หรือขอให้ส่งรหัส OTP ที่ “ส่งผิดเข้าเบอร์เรา” ซึ่งอันหลังนี้คือการยึดบัญชีของเราต่อเป็นทอดที่สอง วิธีเช็กง่ายที่สุดคือโทรหาเพื่อนคนนั้นตรง ๆ ไม่ใช่ตอบในแชตเดิม

ศัพท์น่ารู้: การยึดบัญชี (Account takeover)

การที่คนร้ายได้สิทธิ์เข้าบัญชีของเรา แล้วใช้มันต่อเหมือนเป็นเจ้าของ บัญชีที่ถูกยึดมีค่ามากกว่าบัญชีปลอม เพราะมีประวัติ มีเพื่อน และมีความไว้ใจที่สะสมมานาน คนร้ายจึงใช้มันหลอกคนรอบตัวเราต่อได้แนบเนียนที่สุด

06คันโยกทางใจ Psychological levers

คนที่โดนหลอกไม่ได้โง่ และคนที่รอดก็ไม่ได้ฉลาดกว่า ประเด็นอยู่ที่ว่าตอนนั้นสมองเราทำงานโหมดไหน เวลารีบ เวลากลัว หรือเวลาดีใจมาก ๆ เราจะตัดสินใจด้วยโหมดอัตโนมัติที่เร็วแต่ไม่ค่อยตรวจทาน กลลวงทุกแบบจึงออกแบบมาเพื่อดึงเราเข้าโหมดนั้น ด้วยคันโยกไม่กี่อัน ซึ่งหลายอันตรงกับหลักการโน้มน้าวใจที่นักจิตวิทยาสังคมอย่าง Robert Cialdini อธิบายไว้นานแล้ว เช่น อำนาจ และความขาดแคลนหรือของที่ใกล้หมด

สังเกตว่าคันโยกมักมาเป็นชุด แก๊งคอลเซ็นเตอร์ที่อ้างเป็นตำรวจใช้ทั้งอำนาจ ความกลัว และความเร่งรีบพร้อมกัน แล้วปิดท้ายด้วยการ “ห้ามบอกใคร เพราะเป็นความลับทางคดี” เพื่อตัดเราออกจากคนที่จะช่วยดึงสติได้ ถ้าเมื่อไหร่มีคนบอกว่าเรื่องนี้ห้ามปรึกษาใคร นั่นคือสัญญาณที่ดังที่สุดว่าเราควรปรึกษาใครสักคนเดี๋ยวนี้

วิธีกันที่ได้ผลที่สุดจึงไม่ใช่การจำมุกให้ครบทุกมุก เพราะมุกใหม่เกิดทุกสัปดาห์ แต่คือการสังเกตอารมณ์ของตัวเอง ถ้าข้อความไหนทำให้ใจเต้นแรง ไม่ว่าจะเพราะกลัว รีบ หรือดีใจ ให้ถือว่านั่นคือสัญญาณให้หยุด แล้วค่อยเช็กผ่านช่องทางอื่น ความรู้สึกแบบนั้นคือคันโยกที่กำลังถูกดึงอยู่

07มุกที่คนไทยเจอบ่อย Scams in Thailand

กลลวงทั่วโลกมีโครงเดียวกัน แต่แต่ละประเทศมีสำเนียงของตัวเอง ในไทย ตัวละครหลักคือ แก๊งคอลเซ็นเตอร์ ที่โทรมาอ้างเป็นเจ้าหน้าที่ ตั้งแต่ตำรวจ บริษัทขนส่ง ไปจนถึงการไฟฟ้า และมักจบด้วยการหลอกให้ติดตั้ง แอปที่ควบคุมมือถือจากระยะไกล เพื่อดูดเงินออกจากบัญชี ภาพนี้ไล่ไทม์ไลน์แบบที่ตำรวจและสื่อเตือนกันบ่อย

จุดที่ทำให้มุกนี้ได้ผลคือคนร้าย รู้ข้อมูลของเราจริง ทั้งชื่อ ที่อยู่ บางครั้งรู้ถึงเลขพัสดุ ข้อมูลเหล่านี้มักรั่วมาจากที่อื่นนานแล้ว การที่ปลายสายรู้ข้อมูลเราจึงไม่ใช่หลักฐานว่าเขาเป็นเจ้าหน้าที่จริง มันแค่บอกว่าข้อมูลของเราอยู่ในมือคนอื่นแล้ว ซึ่งเป็นอีกเหตุผลที่เราควรให้ข้อมูลส่วนตัวเท่าที่จำเป็น (เรื่องนี้มีต่อใน CASE-005)

แอปดูดเงิน: ทำไมต้องหลอกให้ติดตั้ง

แอปธนาคารบนมือถือทุกวันนี้ป้องกันตัวเองแน่นหนาขึ้นมาก การขโมยรหัสอย่างเดียวจึงไม่พอ คนร้ายเลยเปลี่ยนไปยึด “มือถือทั้งเครื่อง” แทน แอปปลอมที่หลอกให้ติดตั้งจากลิงก์จะขอสิทธิ์พิเศษที่ปกติมีไว้ช่วยผู้พิการใช้งานหรือไว้แชร์หน้าจอ ซึ่งเปิดให้แอปมองเห็นทุกอย่างบนจอและกดแทนเราได้ พอได้สิทธิ์นี้ คนร้ายก็เปิดแอปธนาคารแล้วโอนเงินเองได้เหมือนนั่งถือมือถือของเราอยู่

ฝั่งธนาคารก็ไม่ได้นิ่งเฉย ธนาคารแห่งประเทศไทยและสมาคมธนาคารไทยออกมาตรการหลายชุด เช่น ธนาคารไม่มีนโยบายส่ง SMS ที่แนบลิงก์ทุกชนิด การโอนเงินตั้งแต่ 50,000 บาทต่อครั้ง หรือ 200,000 บาทต่อวัน ต้องสแกนใบหน้ายืนยันตัวตน และแอปธนาคารจะบล็อกการใช้งานเมื่อพบพฤติกรรมผิดปกติบนเครื่อง เช่น แอปที่วางหน้าจอทับเพื่อหลอกให้กด มาตรการเหล่านี้ช่วยได้มาก แต่คนร้ายก็ปรับมุกตามตลอด ด่านสุดท้ายจึงยังเป็นเราที่ไม่ยอมติดตั้งแอปจากลิงก์

มุกอื่นที่ต้องรู้จัก

• แอปเงินกู้เถื่อน: โฆษณาว่าอนุมัติไวไม่เช็กเครดิต แต่ขอ “ค่าธรรมเนียม” หรือ “ค่าค้ำประกัน” ก่อนปล่อยกู้ แล้วก็หายไป บางแอปขอสิทธิ์อ่านรายชื่อผู้ติดต่อ แล้วเอาไว้ข่มขู่ทวงหนี้กับคนรอบตัวเรา
• หลอกลงทุนและหลอกให้ทำงานออนไลน์: เริ่มจากงานง่าย ๆ ได้เงินจริงครั้งสองครั้งให้ตายใจ แล้วค่อยให้ “เติมเงิน” เพื่อปลดล็อกงานที่ได้มากกว่า สุดท้ายถอนไม่ได้
• หลอกซ้ำผู้เสียหาย: เพจหรือบัญชีไลน์ที่อ้างว่ารับแจ้งความ หรือรับตามเงินคืน มักใช้รูปคนดังหรือเครื่องแบบให้ดูน่าเชื่อ แล้วเก็บ “ค่าดำเนินการ” ซ้ำอีกรอบ ตำรวจย้ำว่าช่องทางรับแจ้งคดีออนไลน์ทางการมีเพียงสายด่วน 1441 และเว็บไซต์ thaipoliceonline.go.th เท่านั้น ช่องทางอื่นที่อ้างว่ารับแจ้งหรือเร่งคดีให้ ให้ถือว่าเป็นมิจฉาชีพไว้ก่อน
• ชวนรับจ้างเปิดบัญชีหรือขายซิม: “แค่เปิดบัญชีให้ ได้เงินฟรี” คือการเอาชื่อเราไปเป็นบัญชีม้ารับเงินโกง ซึ่งผิดกฎหมายเต็มตัว

ศัพท์น่ารู้: บัญชีม้า (Money mule account)

บัญชีธนาคารที่คนร้ายใช้พักและส่งต่อเงินที่โกงมา เพื่อให้ตามรอยยาก เจ้าของบัญชีมักเป็นคนที่ถูกจ้างหรือถูกหลอกให้เปิด การยอมให้คนอื่นใช้บัญชีหรือเบอร์มือถือของเราทั้งที่รู้หรือควรรู้ว่าจะเอาไปทำผิด เป็นความผิดตามพระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 มีโทษถึงจำคุก

08Pretexting และอีเมลปลอมสั่งโอนเงิน Pretexting & BEC

กลลวงบางแบบไม่มีลิงก์ ไม่มีไฟล์แนบ ไม่มีอะไรให้ระบบกรองสแปมจับได้เลย มีแค่ เรื่องเล่า ที่ฟังขึ้น เทคนิคนี้เรียกว่า pretexting คือการแต่งฉากและบทบาทขึ้นมาก่อน แล้วใช้ฉากนั้นขอสิ่งที่ต้องการ “สวัสดีครับ ผมจากฝ่ายไอที กำลังย้ายระบบอีเมลคืนนี้ ขอรหัสผ่านไว้ทดสอบหน่อย” หรือ “หนูเป็นเด็กฝึกงานใหม่ของฝ่ายบัญชี พี่ช่วยส่งไฟล์รายชื่อลูกค้าให้หนูหน่อยได้ไหมคะ หัวหน้ารีบใช้”

เมื่อเรื่องเล่าแบบนี้มาในรูปอีเมลถึงฝ่ายการเงิน เราจะเรียกมันว่า Business Email Compromise หรือ BEC อีเมลอาจปลอมเป็นผู้บริหารสั่งโอนเงินด่วนแบบลับ ๆ หรือปลอมเป็นคู่ค้าที่ส่งใบแจ้งหนี้มาตามปกติ เพียงแต่ “ช่วงนี้เปลี่ยนเลขบัญชีรับเงินใหม่” ไม่มีมัลแวร์สักตัว แต่เงินหายได้ทีละหลายล้าน

วิธีกัน BEC ในองค์กรจึงเป็นเรื่องของกระบวนการมากกว่าเทคโนโลยี เช่น ทุกครั้งที่คู่ค้าขอเปลี่ยนเลขบัญชี ต้องโทรยืนยันกลับไปที่เบอร์ที่มีอยู่ในระบบเดิม ไม่ใช่เบอร์ในอีเมลฉบับนั้น และการโอนเงินก้อนใหญ่ต้องมีคนอนุมัติอย่างน้อยสองคน หลักเดียวกันนี้ใช้กับชีวิตเราได้ทันที: คำขอที่เกี่ยวกับเงินหรือรหัส ให้ยืนยันผ่านช่องทางที่สองเสมอ

ศัพท์น่ารู้: การยืนยันนอกช่องทาง (Out-of-band verification)

การเช็กคำขอผ่านช่องทางที่แยกขาดจากช่องทางที่คำขอนั้นส่งมา เช่น อีเมลขอเปลี่ยนเลขบัญชี ให้เช็กด้วยการโทรไปเบอร์ที่เรามีอยู่แล้ว แชตเพื่อนขอยืมเงิน ให้เช็กด้วยการโทรหาเพื่อน เพราะถ้าช่องทางแรกถูกยึดหรือถูกปลอม คำตอบที่ได้จากช่องทางเดิมก็เป็นของปลอมเหมือนกัน

09เมื่อ AI เขียนฟิชชิงได้ AI-written phishing

คำแนะนำยุคเก่าบอกว่าข้อความหลอกดูง่าย เพราะภาษาแปลก สะกดผิด ไวยากรณ์เพี้ยน คำแนะนำนี้กำลังหมดอายุ ทุกวันนี้ใครก็ใช้ AI เขียนข้อความภาษาไทยที่สุภาพ ลื่นไหล และไม่มีคำผิดสักตัวได้ในไม่กี่วินาที แถมยังปรับข้อความให้เข้ากับคนรับทีละคนได้ เช่น หยิบชื่อโรงเรียน ชมรม หรือทริปล่าสุดที่เราโพสต์ไว้มาใส่ ทำให้ข้อความหว่านแหกลายเป็นข้อความเล็งเป้าได้ในราคาถูกมาก

ไม่ใช่แค่ตัวหนังสือ เทคโนโลยีเลียนเสียงและสร้างวิดีโอปลอมก็ทำให้ “เสียงของแม่” หรือ “หน้าของหัวหน้าในวิดีโอคอล” ถูกปลอมได้ด้วย เราจะลงลึกเรื่องนี้ใน CASE-022 และแฟ้มพิเศษที่รวบรวมคดีจริงที่แฮกเกอร์ใช้ AI แต่สิ่งที่ควรรู้ตั้งแต่ตอนนี้คือ เราต้องย้ายจุดสังเกต จาก “ข้อความหน้าตาเป็นอย่างไร” ไปเป็น “ข้อความนี้ขออะไร และมาทางไหน”

ในทางกลับกัน AI ก็อยู่ฝั่งป้องกันด้วย ระบบกรองอีเมลและแอปธนาคารจำนวนมากใช้การเรียนรู้ของเครื่องจับรูปแบบผิดปกติมานานแล้ว แต่ไม่มีระบบไหนรู้จักชีวิตเราดีเท่าเรา นิสัย “หยุดแล้วเช็กผ่านช่องทางอื่น” จึงยังเป็นด่านที่ AI ฝั่งคนร้ายข้ามได้ยากที่สุด

10เจอแล้วทำอย่างไร หรือพลาดไปแล้วทำอะไรก่อน What to do

ก่อนกด: สี่นิสัยที่ตัดได้ทุกมุก

1. หยุด เมื่อใจเต้นแรง

   รีบ กลัว หรือดีใจจนตัวลอย คือสัญญาณว่าคันโยกกำลังถูกดึง ให้วางมือถือลงสักนาทีก่อนทำอะไรต่อ

2. เช็กผ่านช่องทางที่สอง

   ไม่ตอบหรือโทรกลับเบอร์ในข้อความ เปิดแอปธนาคารที่อยู่ในเครื่องเอง พิมพ์ชื่อเว็บเอง หรือโทรเบอร์ที่หาเองจากเว็บทางการหรือหลังบัตร

3. ไม่ให้รหัส OTP และ PIN กับใครทั้งนั้น

   ไม่ว่าจะอ้างเป็นธนาคาร ตำรวจ หรือเพื่อนสนิท คนที่ต้องใช้ OTP ของเราจริง ๆ มีคนเดียวคือตัวเรา

4. ไม่ติดตั้งแอปจากลิงก์ ไม่แชร์หน้าจอให้คนแปลกหน้า

   ลงแอปจาก App Store หรือ Google Play เท่านั้น และไม่มีหน่วยงานไหนต้องดูหน้าจอมือถือเราเพื่อ “คืนเงิน”

ถ้าพลาดไปแล้ว: ทำตามลำดับนี้ ยิ่งเร็วยิ่งดี

1. ตัดการเชื่อมต่อ

   ถ้าเผลอติดตั้งแอปหรือแชร์หน้าจอไปแล้ว ให้เปิดโหมดเครื่องบินหรือปิดเน็ตทันที คนร้ายจะสั่งเครื่องจากระยะไกลไม่ได้

2. โทรธนาคารให้ระงับบัญชี

   ทุกธนาคารต้องมีสายด่วนตลอด 24 ชั่วโมง โทรจากเครื่องอื่นถ้ามือถือเราไม่ปลอดภัย แจ้งให้ระงับบัญชีหรือบัตรที่เกี่ยวข้องทันที

3. แจ้งเจ้าหน้าที่ผ่านช่องทางทางการ

   โทรสายด่วน 1441 ของศูนย์ AOC ที่รับแจ้งเรื่องภัยออนไลน์ตลอด 24 ชั่วโมงและประสานอายัดบัญชีได้ หรือแจ้งความออนไลน์ที่ thaipoliceonline.go.th สองช่องทางนี้เท่านั้น

4. เปลี่ยนรหัสผ่านจากเครื่องที่ปลอดภัย

   เริ่มจากอีเมลหลักและบัญชีที่ใช้รหัสเดียวกับที่หลุดไป แล้วเปิดการยืนยันตัวตนหลายชั้น ถ้ากรอกเลขบัตรไป ให้แจ้งอายัดบัตรด้วย

5. บอกคนรอบตัว

   ถ้าบัญชีโซเชียลถูกยึด เพื่อนของเราคือเป้าหมายต่อไป เตือนพวกเขาผ่านช่องทางอื่นว่าอย่าเชื่อข้อความจากบัญชีนั้น

6. ระวังโดนซ้ำ

   หลังโพสต์เล่าว่าโดนหลอก จะมีบัญชีแปลก ๆ ทักมาเสนอ “ตามเงินคืน” หรือ “รับแจ้งความด่วน” นั่นคือมิจฉาชีพรอบสอง อย่าจ่ายค่าดำเนินการให้ใคร

11สรุปให้จำ Recap

กลลวงเปลี่ยนหน้าตาได้ทุกสัปดาห์ แต่โครงของมันเหมือนเดิมเสมอ ถ้าจำได้หกข้อนี้ มุกใหม่แค่ไหนก็ตัดได้

• ดูสิ่งที่เขาขอ และที่ที่เขาพาไป สองอย่างนี้ปลอมไม่ได้ ภาษาสวยแค่ไหนก็ไม่ช่วย
• อ่านเจ้าของลิงก์ หา / ตัวแรก แล้วอ่านถอยหลัง สองช่วงสุดท้ายสำหรับ .com ส่วนโดเมนไทยดูสามช่วงสุดท้าย
• ใจเต้นแรงคือสัญญาณให้หยุด รีบ กลัว โลภ หรืออยากช่วย คือคันโยกที่กำลังถูกดึง
• เช็กผ่านช่องทางที่สองเสมอ เปิดแอปเอง โทรเบอร์ที่หาเอง ไม่ตอบในช่องทางเดิม
• OTP, PIN และหน้าจอของเรา ไม่ให้ใคร และไม่ติดตั้งแอปจากลิงก์
• พลาดแล้วต้องเร็ว ตัดเน็ต โทรธนาคาร แจ้ง 1441 หรือ thaipoliceonline.go.th และระวังโดนหลอกซ้ำ

ลองทบทวนดู