เมื่อเราเรียนรู้ที่จะเข้าสู่เศรษฐกิจดิจิทัล ไทยแลนด์ 4.0 และการผลักดันให้ไทยเป็น “สังคมไร้เงินสด” ก็ต้องเรียนรู้ที่จะระวังไม่ตกเป็น “เหยื่อ” ถูก โจรไซเบอร์ปล้นเงียบโดยไม่รู้ตัว... ศูนย์ประสานงานการรักษาความมั่นคงปลอดภัยเทคโนโลยีสารสนเทศภาคการธนาคาร หรือ TB-CERT ออกโรงเตือนภัย ประชาชนให้ระวังอย่าให้ “ความโลภ” และ “ความกลัว” เป็นประตูเปิดให้แฮกเกอร์ เข้ามา ”ตกปลา” นำชื่อบัญชีและรหัส ที่ใช้ทำธุรกรรมทางการเงิน นำไปใช้ ระบุในช่วงไตรมาส 3 ที่ผ่านมาปริมาณการโจมตีแบบฟิชชิ่งเพิ่มสูงขึ้น 3-4 เท่าตัว
ศูนย์ประสานงานการรักษาความมั่นคงปลอดภัยเทคโนโลยีสารสนเทศภาคการธนาคาร (TB-CERT) ออกประกาศเตือนประชาชนทั่วไปถึงการโจมตีแบบฟิชชิ่ง (phishing) ที่มีมากขึ้นในช่วงหลัง
การ โจมตี ล้วงข้อมูลแบบฟิชชิ่ง ทำโดยการเข้ามาหลอกล้วงข้อมูลที่เป็น ชื่อบัญชี หรือ username และ รหัสผ่าน หรือ password แล้วนำไปใช้ ดูดเงินในบัญชี
นายยศ กิมสวัสดิ์ ประธานสำนักระบบการชำระเงิน สมาคมธนาคารไทย ระบุว่าการฟิชชิ่ง ถือเป็นเทคนิคการหลอกลวงข้อมูลที่มีนานแล้ว การโจมตีระบบในช่วงหลังมักใช้ social engineering ควบคู่ไปกับการแฮกแบบอื่น การที่เหยื่อถูกหลอกเอาข้อมูลไปบางครั้งไปประกอบกับช่องทางอื่นก็ทำให้ถูกโจมตีได้ ซึ่งตามปกติจะมีจำนวนฟิชชิ่งทั่วโลกเฉลี่ยแต่ละไตรมาสราว 200,000-250,000 ฟิชชิ่งไซต์ แต่ที่ผิดปกติอย่างมากเกิดในช่วงไตรมาส 3/2561 มีปริมาณสูงขึ้นเป็น 900,000 ฟิชชิ่งไซต์ ซึ่งพบว่าสามารถสร้างความเสียหายราว 2-3 % ส่วนในประเทศไทยตรวจพบว่ามี ฟิชชิ่งเว็บไซต์ 20 ฟิชชิ่งเว็บไซต์ เพิ่มขึ้นจากที่เคยตรวจพบราว 9-10 ฟิชชิงเว็บไซต์
“แม้ที่ผ่านมาจะมีการประสานงานระหว่างกันเพื่อช่วยป้องกัน ทั้งสื่อสารกับผู้ผลิตเบราว์เซอร์ต่างๆ ให้ช่วยบล็อกเว็บ และการประสานงานกับผู้ให้บริการอินเทอร์เน็ตเพื่อให้หยุดให้บริการหน้าเว็บฟิชชิ่งเหล่านั้น แต่ปัจจัยสำคัญยังคงเป็นที่ผู้ใช้ ซึ่งต้องออกมาเตือนกัน โดย พวกที่เข้ามาฟิชชิ่ง จะล้วงข้อมูลหลอกเอาชื่อบัญชีและรหัสผ่านไปได้ จาก 2 ประการคือใช้สถานการณ์จาก ความกลัว เช่นบอกว่าจะปิดบัญชี และ ความโลภ เช่นบอกว่าถูกรางวัล เป็นตัวที่ทำให้ตกเหยื่อได้ง่าย
ดังนั้น จึงต้องเตือนประชาชนว่า อย่าตกเป็นเหยื่อ ย้ำว่า ธนาคารจะไม่พยายามขอข้อมูลที่ธนาคารรู้อยู่แล้ว เช่น ชื่อ, เลขบัตรประชาชน, หมายเลขบัญชี ผ่านทางการส่งอีเมลไปขอข้อมูลจากลูกค้าอีก หากพบอีเมลเหล่านี้ให้สงสัยไว้ก่อนว่าเป็นเมลฟิชชิ่ง” นายยศกล่าว
ประชาชนต้องสังเกตว่ากำลังโดน ฟิชชิ่ง ได้ดังนี้ 1.ข้อความในอีเมลมีคำสะกดผิด ภาษาแปลก ผิดหลักไวยากรณ์ 2.รูปแบบอีเมลผิดปกติจากที่เคยได้รับ หรือลักษณะที่โน้มน้าวแจ้งเตือนแบบเร่งด่วน 3.ขอข้อมูลส่วนบุคคล เช่น รหัสผ่าน 4.ลิงค์ในอีเมลที่ส่งมาไม่ใช่เว็บไซต์ที่ต้องการใช้งาน 5.ใช้ชื่อหน่วยงานหรือบุคคลที่เป็นที่รู้จักเป็นผู้ส่งอีเมล
ดร.กิตติ โฆษะวิสุทธิ์ ประธานกรรมการ TB-CERT ระบุว่าแม้โดยทั่วไปการประสานงานกับผู้ผลิตเบราว์เซอร์จะให้ผลที่ดี มักบล็อกเว็บได้ภายในหนึ่งวัน และหลายครั้งก็ใช้เวลาเพียงไม่กี่ชั่วโมง แต่ก็ยังเป็นความเสี่ยงอยู่ ทั้งนี้ สถานการณ์ที่ตื่นตระหนก อย่างเช่น เครื่องบินตก พายุถล่ม แผ่นดินไหว มักจะมี มิจฉาชีพที่ใช้โอกาสแบบนี้ ส่งอีเมลปลอม หรือ ฟิชชิ่ง ออกไปเป็นจำนวนมาก และเชื่อว่าจะมีคนหลงกล ได้ง่าย โดยเฉพาะคนที่ตื่นตระหนก
ส่วนในประเทศไทยตรวจพบว่ามี ฟิชชิ่งเว็บไซต์ 20 ฟิชชิ่งเว็บไซต์ เพิ่มขึ้นจากที่เคยตรวจพบราว 9-10 ฟิชชิงเว็บไซต์
“โดยการสร้างฟิชชิ่งเว็บไซต์ จะใช้โดเมนของประเทศในแอฟริกา ประเทศอาณาเขตประเทศนิวซีแลนด์ เนื่องจากเป็นประเทศที่มีการใช้งานอินเทอร์เน็ตน้อย และสามารถจดทะเบียนโดเมนได้ง่าย และส่งฟิชชิ่งเมล อ้างว่าเป็นอีเมลจากธนาคาร”
ทั้งนี้ แนะนำ วิธีป้องกัน คือ 1. อย่าหลงเชื่อลิงค์ที่มาพร้อมกับอีเมลที่ไม่แน่ใจแหล่งที่มา ห้ามเปิดลิงค์แนบอย่างเด็ดขาด 2. ห้ามเปิดเผยข้อมูลส่วนตัวใด ๆ ผ่านการร้องขอทางอีเมล 3. หากพบอีเมลสงสัยติดต่อธนาคารทันที 4. ในกรณีหลงเชื่อไปแล้ว ให้รีบเปลี่ยนรหัสผ่านใหม่ทันที และติดต่อธนาคาร หากประชาชนสงสัยว่าให้ข้อมูลส่วนตัวไปแล้วให้เปลี่ยนรหัสผ่านและติดต่อธนาคาร เพื่อให้ตรวจสอบสิ่งผิดปกติของบัญชีโดยเร็ว และให้ใช้วิธี Copy ลิงค์ที่แนบมากับเมลและเปิดบนบราวเซอร์หน้าต่างใหม่จะตรวจสอบได้ว่าเป็นเมลปลอมหรือไม่