การหลอกลวงแบบฟิชชิง

คำจำกัดความแบบสั้น

การหลอกลวงแบบฟิชชิง คือการที่ผู้โจมตีแอบอ้างเป็นองค์กรหรือบุคคลที่น่าเชื่อถือ เช่น โบรกเกอร์ ตลาดซื้อขาย ธนาคาร หน่วยงานกำกับดูแล ฝ่ายบริการลูกค้า หรือคนรู้จัก แล้วใช้ช่องทางอย่างอีเมล SMS โซเชียลมีเดีย โทรศัพท์ หรือเว็บไซต์ปลอม เพื่อหลอกให้ผู้ใช้เปิดเผยข้อมูลสำคัญหรือโอนเงิน

สำหรับนักเทรด ข้อมูลที่มักถูกหลอกเอาไป ได้แก่ รหัสผ่านเข้าสู่ระบบ รหัสยืนยันแบบใช้ครั้งเดียว เอกสารยืนยันตัวตน ข้อมูลบัตรหรือบัญชีธนาคาร สิทธิ์เข้าถึงบัญชีเทรด API key วลีช่วยจำของกระเป๋าคริปโต หรือ private key การหลอกลวงแบบฟิชชิงไม่ใช่กลยุทธ์การเทรด แต่เป็นความเสี่ยงด้านความปลอดภัยของบัญชีและเงินทุน

กลไกการทำงาน

ฟิชชิงมักอาศัยความไว้วางใจและความเร่งด่วนเพื่อทำให้เหยื่อตัดสินใจผิดพลาด ขั้นตอนที่พบบ่อยมีดังนี้:

1. แอบอ้างเป็นแหล่งที่เชื่อถือได้: ใช้ชื่อ โลโก้ ที่อยู่อีเมล หรือหน้าตาเว็บไซต์ที่คล้ายกับโบรกเกอร์ ตลาดซื้อขาย หรือธนาคารจริง
2. สร้างแรงกดดัน: อ้างว่าบัญชีผิดปกติ มาร์จินไม่เพียงพอ การถอนถูกระงับ ต้องยืนยันตัวตนใหม่ หรือมีประกาศด้านความปลอดภัยที่ต้องดำเนินการภายในเวลาจำกัด
3. ชักจูงให้คลิกหรือติดต่อกลับ: ขอให้ผู้ใช้กดลิงก์ ดาวน์โหลดไฟล์แนบ สแกน QR code เข้ากลุ่มแชต หรือติดต่อฝ่ายบริการลูกค้าที่อ้างว่าเป็นเจ้าหน้าที่เฉพาะ
4. ขโมยข้อมูลหรือยึดบัญชี: ใช้หน้าเข้าสู่ระบบปลอม ซอฟต์แวร์ช่วยเหลือระยะไกล หรือไฟล์แนบอันตราย เพื่อเอารหัสผ่าน รหัสยืนยัน หรือสิทธิ์ควบคุมอุปกรณ์
5. โอนเงินหรือหลอกซ้ำ: เข้าบัญชีจริง เปลี่ยนข้อมูลผู้รับเงิน สั่งถอนเงิน หรือเรียกเก็บค่าใช้จ่ายเพิ่มเติม เช่น ภาษี หลักประกัน หรือค่าปลดล็อกบัญชี

สถานการณ์ที่พบบ่อยในการเทรด

ตัวอย่างแบบเข้าใจง่าย

• คุณได้รับอีเมลที่ดูเหมือนมาจากโบรกเกอร์ หัวข้อระบุว่า บัญชีมีการเข้าสู่ระบบผิดปกติ โปรดยืนยันภายใน 30 นาที เมื่อกดลิงก์ หน้าเว็บดูแทบเหมือนเว็บไซต์จริง แต่ชื่อโดเมนมีตัวอักษรเพิ่มมา 1 ตัว หากกรอกบัญชีและรหัสยืนยัน ผู้โจมตีอาจนำข้อมูลไปพยายามเข้าสู่บัญชีจริงทันที
• มีคนบนแพลตฟอร์มโซเชียลอ้างว่าเป็นฝ่ายบริการลูกค้าของตลาดซื้อขาย และบอกว่าสามารถช่วยเร่งการถอนเงินได้ แต่ขอวลีช่วยจำของกระเป๋าเงิน หากวลีช่วยจำรั่วไหล สินทรัพย์ในกระเป๋าอาจถูกโอนออกไปโดยตรง และมักติดตามคืนได้ยาก
• SMS แจ้งว่าบัญชีเทรดของคุณต้องเติมหลักประกันเพื่อปลดล็อกการระงับ และให้โอนเงินไปยังบัญชีบุคคลหรือที่อยู่กระเป๋าคริปโต คำขอลักษณะนี้ควรระมัดระวังอย่างมาก โดยเฉพาะเมื่อไม่สามารถตรวจสอบผ่านแอปหรือเว็บไซต์ทางการได้

สัญญาณที่ควรสังเกต

สัญญาณต่อไปนี้ไม่ได้พิสูจน์โดยลำพังว่าเป็นการหลอกลวงเสมอไป แต่หากพบหลายข้อพร้อมกัน ความเสี่ยงจะยิ่งสูงขึ้น:

• อีเมลผู้ส่ง URL หรือชื่อแอปแตกต่างจากองค์กรจริงเพียงเล็กน้อย เช่น มีตัวอักษรเพิ่ม เปลี่ยนตัวสะกด หรือใช้โดเมนท้ายชื่อที่ไม่คุ้นเคย
• ใช้ลิงก์ย่อ QR code หรือไฟล์บีบอัด และไม่ยอมอธิบายปลายทางของลิงก์
• ขอรหัสผ่าน รหัสยืนยันแบบใช้ครั้งเดียว วลีช่วยจำ private key API key หรือข้อมูลบัตรธนาคารแบบครบถ้วน
• เร่งให้ดำเนินการทันทีโดยอ้างว่าบัญชีถูกระงับ ถอนเงินล้มเหลว ถูกตรวจสอบโดยหน่วยงานกำกับ หรือมีข้อเสนอจำกัดเวลา
• ขอให้ชำระเงินเข้าบัญชีบุคคล กระเป๋าเงินของบุคคลที่สาม หรือที่อยู่ที่ตรวจสอบไม่ได้
• อ้างว่าสามารถรับประกันการกู้คืนเงินที่สูญเสีย รับประกันการปลดล็อกบัญชี หรือรับประกันผลตอบแทนการลงทุน
• ฝ่ายบริการลูกค้าสื่อสารผ่านแอปแชตส่วนตัวเท่านั้น และปฏิเสธให้คุณตรวจสอบตัวตนผ่านเว็บไซต์หรือแอปทางการ

วิธีป้องกันสำหรับนักเทรดมือใหม่

• เข้าสู่ระบบจากช่องทางทางการ: พิมพ์ที่อยู่เว็บไซต์เอง หรือใช้แอปทางการจากแหล่งที่ยืนยันแล้ว อย่าเข้าสู่บัญชีเทรดผ่านลิงก์ในอีเมลหรือ SMS
• ตรวจสอบโดเมนและข้อมูลใบรับรอง: ดูตัวสะกด นามสกุลโดเมน และการเปลี่ยนเส้นทางของหน้าเว็บ อย่าดูแค่โลโก้หรือหน้าตาเว็บไซต์
• เปิดใช้การยืนยันตัวตนหลายปัจจัย: ใช้วิธียืนยันที่มีความปลอดภัยสูงขึ้น และเก็บรหัสสำรองไว้อย่างเหมาะสม
• อย่าแชร์ข้อมูลสำคัญ: โดยทั่วไป องค์กรที่ถูกต้องตามกฎหมายจะไม่ขอรหัสผ่าน รหัสยืนยันแบบใช้ครั้งเดียว วลีช่วยจำ private key หรือสิทธิ์ควบคุมอุปกรณ์จากระยะไกล
• จำกัดสิทธิ์ API: หากใช้ API สำหรับการเทรด ควรให้สิทธิ์เท่าที่จำเป็น หลีกเลี่ยงการเปิดสิทธิ์ถอนเงินเป็นค่าเริ่มต้น และเปลี่ยน key เป็นระยะ
• ตรวจสอบผ่านช่องทางทางการ: หากพบเรื่องบัญชีถูกระงับ การถอนผิดปกติ หรือคำขอยืนยันตัวตน ให้ตรวจสอบผ่านเว็บไซต์ทางการ แอปทางการ หรือเบอร์โทรศัพท์สาธารณะที่ประกาศอย่างเป็นทางการก่อน
• รักษาความปลอดภัยของอุปกรณ์: อัปเดตระบบปฏิบัติการและเบราว์เซอร์สม่ำเสมอ ไม่ติดตั้งปลั๊กอิน ซอฟต์แวร์ควบคุมระยะไกล หรือเครื่องมือเทรดจากแหล่งที่ไม่ทราบที่มา

หากเผลอกดลิงก์หรือกรอกข้อมูลไปแล้ว

หากสงสัยว่าตนเองเจอฟิชชิง ความรวดเร็วในการรับมือเป็นสิ่งสำคัญ แต่ควรหลีกเลี่ยงการทำตามคำสั่งของผู้หลอกลวงต่อไป:

1. หยุดโต้ตอบทันที: อย่ากดลิงก์เพิ่มเติม ดาวน์โหลดไฟล์ หรือโอนเงินต่อ
2. เปลี่ยนรหัสผ่าน: เข้าสู่ระบบผ่านช่องทางทางการ แล้วเปลี่ยนรหัสผ่านของบัญชีเทรด อีเมล และบัญชีชำระเงินที่เกี่ยวข้อง
3. เพิกถอนสิทธิ์ที่น่าสงสัย: ตรวจสอบอุปกรณ์ที่เข้าสู่ระบบ API key อีเมลที่ผูกไว้ หมายเลขโทรศัพท์ ที่อยู่ถอนเงิน และการอนุญาตให้บุคคลที่สาม
4. ติดต่อฝ่ายบริการลูกค้าทางการและธนาคาร: แจ้งว่าอาจถูกฟิชชิง และสอบถามว่าสามารถระงับบัญชี สกัดธุรกรรม หรือเพิ่มขั้นตอนยืนยันได้หรือไม่
5. เก็บหลักฐาน: เก็บอีเมล SMS บันทึกแชต ลิงก์ หลักฐานการชำระเงิน และ transaction hash ที่เกี่ยวข้อง
6. รายงานต่อหน่วยงานที่เกี่ยวข้อง: ตามพื้นที่ที่คุณอยู่ อาจรายงานต่อหน่วยงานกำกับดูแลทางการเงิน หน่วยงานคุ้มครองผู้บริโภค ช่องทางแจ้งอาชญากรรมไซเบอร์ หรือตำรวจ

มาตรการเหล่านี้ไม่สามารถรับประกันว่าจะกู้คืนความเสียหายได้ แต่ช่วยลดความเสียหายเพิ่มเติมและช่วยจัดเตรียมข้อมูลสำหรับการตรวจสอบ

ความแตกต่างจากการแจ้งเตือนความปลอดภัยตามปกติ

สถาบันการเงินที่ถูกต้องอาจส่งการแจ้งเตือนด้านความปลอดภัยหรือขอให้คุณยืนยันตัวตน แต่โดยทั่วไปจะให้คุณดำเนินการผ่านช่องทางทางการ ไม่ใช่ขอให้กรอกข้อมูลรับรองทั้งหมดในลิงก์ที่ไม่คุ้นเคย หรือโอนเงินเข้าบัญชีส่วนบุคคล ในการประเมินควรอ้างอิงแอปทางการ ประกาศบนเว็บไซต์ เอกสารสัญญา และเบอร์โทรศัพท์สาธารณะขององค์กรเป็นหลัก ไม่ควรตัดสินใจจากอีเมล SMS หรือข้อความบนโซเชียลมีเดียเพียงอย่างเดียว

คำศัพท์ที่เกี่ยวข้อง

• วิศวกรรมสังคม: วิธีโจมตีที่ใช้การชักจูงทางจิตวิทยาเพื่อให้ได้ข้อมูลหรือทำให้เหยื่อดำเนินการบางอย่าง ฟิชชิงเป็นรูปแบบหนึ่งที่พบบ่อย
• เว็บไซต์ปลอม: เว็บไซต์ที่เลียนแบบหน้าตาและโดเมนของเว็บไซต์จริง เพื่อขโมยข้อมูลเข้าสู่ระบบหรือข้อมูลการชำระเงิน
• มัลแวร์: ซอฟต์แวร์ที่ใช้ขโมยข้อมูล เฝ้าดูอุปกรณ์ หรือควบคุมระบบจากระยะไกล
• การยืนยันตัวตนหลายปัจจัย: การเพิ่มขั้นตอนยืนยันนอกเหนือจากรหัสผ่าน เพื่อลดความเสี่ยงบัญชีถูกขโมย
• การยึดบัญชี: การที่ผู้โจมตีได้สิทธิ์ควบคุมบัญชี แล้วแก้ไขข้อมูล ทำธุรกรรม หรือโอนเงินออก

แหล่งอ้างอิง

• https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
• https://www.finra.org/investors/insights/phishing-scams
• https://www.sec.gov/investor/pubs/onlinebrokerage.htm
• https://www.cisa.gov/secure-our-world/avoid-phishing