Phishing ภัยออนไลน์ที่คนเล่นหุ้นต้องรู้

ถ้าคุณเคยเห็นข่าวในโทรทัศน์หรือหนังสือพิมพ์ เกี่ยวกับ

• คนโดนขโมยเงินในบัญชีธนาคารโดยที่เจ้าตัวไม่รู้เรื่อง
• โดนแฮก Facebook หรือ LINE แล้วสวมรอยไปยืมเงินเพื่อนเราที่อยู่ในลิส
• ยึดอีเมล์หรือบัญชี Facebook เราไปใช้ดื้อ ๆ แถมเปลี่ยนพาสเวิร์ดให้เราเข้าไม่ได้ เพื่อเรียกค่าไถ่
• ภาพถ่ายหรือข้อมูลส่วนตัวโดนขโมยไปโพสว่อนเนท

อาชญากรรมทางอินเตอร์เนทเหล่านี้ดูเหมือนเป็นเรื่องไกลตัว และน่าจะทำโดยผู้มีความรู้ แต่จริง ๆ แล้วเราทุกคนแวดล้อมไปด้วยเหล่าโจรอินเตอร์เนทที่สามารถใช้โปรแกรมง่าย ๆ ที่หาดาวโหลดได้ฟรีเพื่อมา hack เรา หรือแม้กระทั่งวิธีการแบบ ขุดบ่อ – วางเหยื่อ เพื่อดักปลา หรือที่ฝรั่งเรียกว่า “Phishing” ซึ่งเป็นวิธีที่ง่าย ๆ พื้น ๆ ละใช้กันมานาน แต่ทุกวันนี้ก็ยังมีคนที่ไม่รู้จักตกเป็นเหยื่ออยู่เรื่อย ๆ

วิธีการง่าย ๆ แต่ยังใช้ได้ผลเสมอของ ฟิชชิ่ง คือส่ง เหยื่อล่อ ที่ทำปลอมขึ้นมา โดยนิยมส่งมาทาง email ซึ่งเนื้อหาอาจเป็นประมาณนี้

• แจ้งเตือนอัพเดทข้อมูลส่วนตัว (ถ้าไม่ทำก่อนวันนี้ ๆ จะถูกปิดบัญชี)
• ฝ่ายรักษาความปลอดภัยแจ้งเตือนการบุกรุกพยายามแฮกอีเมล์เรา ขอให้เราเปลี่ยนพาสเวิร์ดด่วน
• email จากเวปใหญ่ ๆ ที่เราใช้อยู่เช่น Paypal, Amazon, Ebay แถมมมีโลโก้ดูน่าเชื่อถือ ให้กรอกข้อมูลอะไรซักอย่าง (เรื่องที่กุขึ้นมาจะเปลี่ยนไปเรื่อย ๆ)
• email จากธนาคาร สถาบันการเงิน แจ้งอัพเดทระบบ ให้เราล๊อกอินเข้าไปอัพเดท

อีเมล์พวกนี้ทั้งหมดล้วนมีจุดประสงค์หลัก ๆ ที่แฮกเกอร์ต้องการคือ

• ดัก login และ password  : โดยจะสร้างหน้าเวปปลอมให้เหมือนจริง เช่นเวปธนาคาร ก็จะออกแบบขึ้นมาใช้สีและโลโก้ธนาคารนั้น มีช่องให้ใส่ login กับ password ตำแหน่งเดียวกับเวปธนาคารของจริง
• ติดตั้ง Trojan : อันนี้จะซับซ้อนขึ้นอีกหน่อย คืออาจหลอกให้เราคลิกไปที่เวปที่เตรียมไว้และถ้าเครื่องคอมเราอ่อนแอในด้าน security ก็อาจโดนรันสคริปต์บางตัวที่จะสามารถติดตั้งโปรแกรมเล็ก ๆ ในเครื่องเราได้ทันทีซึ่งก็มักจะเป็นพวกโทรจัน ที่จะแอบฝังตัวในเครื่องเราเงียบ ๆ เหมือนไม่มีอะไรเกิดขึ้น โดยมันมีหน้าที่เป็นไส้ศึก เปิดประตูรับการโจมตีจากแฮกเกอร์ตามที่กำหนดไว้

 

ตัวอย่างฟิชชิ่งอีเมล์(แบบไม่ค่อยเนียน) ซึ่งมาพร้อมคำขู่ว่าจะปิดอีเมล์เรา และต้องการให้คลิกปุ่ม อัพเดทข้อมูล เพื่อพาเราไปยังเวปที่เตรียมไว้ และเพื่อความสมจริงผมก็เสี่ยงตายคลิกให้ดูว่าเมื่อเราไปแล้วจะเป็นยังไงต่อ

เสียดายนิดที่เวปฟิชชิ่งอันนี้เลเวลอ่อนไปนิดเลยไม่ผ่านการตรวจสอบเบื้องต้นจาก chrome แต่รับรองได้ว่าใน 1000 ฉบับที่ส่งไปจะต้องมีเครื่องที่ไม่ได้รับการเตือนอย่างนี้ และตกเป็นเหยื่อบ้างอย่างแน่นอน

วิธีสังเกตและป้องกันตัวจากฟิชชิ่ง

ฟิชชิ่งส่วนใหญ่ไม่ได้ใช้เทคโนโลยีอะไรซับซ้อน คือมักจะหลอกเราดื้อ ๆ เลย เช่นปลอมเป็นธนาคาร ปลอมเป็นเฟสบุค แต่ก็มักจะมีจุดให้สังเกตเห็นได้ง่าย เช่น

• Address ผู้ส่ง ไม่สมเหตุสมผล : เมล์ส่งมาจากฝ่ายรักษาความปลอดภัยของ hotmail แต่ดันใช้อีเมล์ผู้ส่งเป็นแบบนี้ ก็คืออีเมล์ของผู้ใช้ hotmail ปกติทั่วไป

• URL แปลก ๆ ไม่เกี่ยวข้องกับเวปที่ส่งมา (แม้บางครั้งอาจลงทุนจดโดเมนให้คล้ายก็ตาม ตรงนี้ต้องสังเกตให้ดี) แค่เอาเมาส์ไปวางเหนือปุ่มก็จะเห็น URL ที่จะส่งให้เราไปหน้าเวปนั้นแล้ว และถ้ามันแปลก ๆ ก็ไม่ต้องไปคลิกให้เกิดความเสี่ยงก็จะดี 555

• หัวข้ออีเมล์มักจะใช้คำเร่งเร้าหรือข่มขู่ เช่น จะปิดอีเมล์เราถ้าเราไม่ลงทะเบียนยืนยัน, บัญชีเราไม่ปลอดภัยถ้าไม่อัพเดทข้อมูล, เราโดนแฮคต้องรีบล๊อกอินเข้าไปตรวจสอบและเปลี่ยนพาสเวิร์ดด่วน ต่าง ๆ เหล่านี้ สุดท้ายถ้าเราหลงเชื่อคลิกตามในอีเมล์ ก็พาไปหน้า ดักพาสเวิร์ด ที่ทำปลอมไว้รอท่า ส่วนจะแนบเนียนหรือไม่แนบเนียนก็อีกเรื่อง แล้วแต่ทุนทรัพย์และความสามารถของ hacker แล้วทีนี้

จริง ๆ แล้ว Phishing นอกจากจะส่งมาทางอีเมล์ซึ่งเป็นวิธีที่นิยมที่สุดเพราะสามารถ หว่านเหยื่อล่อไปได้ครั้งละมาก ๆ ก็ยังมีวิธี Phishing แบบล้ำ ๆ กว่านั้นที่อาจนึกไม่ถึงได้อีกเช่น

• ทำตู้ ATM ปลอมที่เหมือนจริงมาก ไปตั้งไว้ในแหล่งชุมชน พอคนเสียบบัตรเข้าไปก็อ่านแถบแม่เหล็กเอาไว้ พอคนกดรหัสก็บันทึกรหัสที่ใช้กับบัตรนั้นเอาไว้ แล้วก็ขึ้นข้อความว่า “ขออภัย ระบบขัดข้อง” เอาบัตรคืนไป คนต่อไปเดี๋ยวก็มากดและโดนฟิชชิ่งอีก พอตกเย็นคุณโจรก็มาขนเอาตู้ปลอมนี้กลับไปและได้ข้อมูลบัตรพร้อมรหัสอื้อเลย ไปทำบัตรปลอมตระเวณกดเงินต่อไป วิธีนี้ยังมาไม่ถึงไทย แต่ฝรั่งโดนกันไปเพียบแล้ว

• ติดกล้อง หรือแป้นกดปลอม และ skimmer (เครื่องอ่านข้อมูลบัตรแม่เหล็ก) ไว้ที่ตู้ ATM ก็ตู้จริงที่เรากดกันนั่นแหละครับ แต่แอบติดตัวอ่านบัตรสวมทับชองสอดบัตรจริง พอสอดบัตรเข้าไปข้อมูลบนแถบแม่เหล็กก็จะถูกอ่านและเก็บไว้โดยเครื่องนี้ และพอเรากดรหัสบนแป้น ก็จะถูกดักได้ 2 ทางคือวางแป้นกดปลอมทับแป้นจริง พอกดก็จะกดผ่านแป้นปลอมก่อน ซึ่งรหัสบัตรก็จะถูกบันทึกไว้ที่แป้นปลอม หรือถ้าลูกทุ่งกว่านั้นก็แอบติดกล้องตัวเล็ก ๆ ไว้ด้านบนตู้ (ทำได้เนียนมาก) เพื่อบันทึกมือเราว่ากดรหัสอะไร เสร็จแล้วพอกลางคืนปลอดคน ก็มาแกะ skimmer กับแป้นหรือกล้อง เพื่อนำรหัสที่ได้ไปทำบัตรปลอมตะเวณกดเงินเหมือนอันแรก

• โทรมาหลอกดื้อ ๆ เช่นบอกว่าเป็นเจ้าหน้าที่รัฐ มาสอบถามข้อมูลของคนในบ้าน อาจได้ชื่อ นามสกุล หรือเป็นเจ้าหน้าที่ธนาคาร เจ้าหน้าที่ค่ายมือถือ อาจได้เบอร์บัญชี เลขบัตรประชาชน หรือแม้กระทั่งรหัสบัตรไป ซึ่งส่วนใหญ่พวกนี้จะทำเป็นขบวนการโดยก่อนหน้าได้แอบเอาเอกสารของเราไปทำบัตร ATM หรือบัตรเครดิตแล้วส่งไปหาโจรรออยู่แล้ว และต้องการข้อมูลส่วนตัวของเราเพื่อเปิดใช้บัตรนั้น

 

สำหรับพวกเราเหล่านักลงทุนที่ชีวิตต้องพึ่งพาอาศัยคอมพิวเตอร์และอินเตอร์เนทในการส่งคำสั่งซื้อขาย การเบิกถอนเงินจากโบรกเกอร์ การทำธุรกรรมทางการเงินกับธนาคาร จึงจำเป็นที่จะต้องรู้ทันโจรไฮเทคพวกนี้ไว้ด้วยเช่นกันครับ