External Tagging: ติดป้ายอีเมลจากนอกองค์กรกันหลอกโอนเงิน
คำตอบสั้น ๆ: เปิด External Tagging ใน Exchange Online ให้ Outlook แสดงป้าย External บนอีเมลจากนอกองค์กร ตั้ง AllowList อย่างระวัง และเพิ่มแบนเนอร์เตือนด้วย Mail flow rule
คู่มือนี้อธิบาย External Tagging ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย
External Tagging คือการให้ Outlook แสดงป้าย External บนอีเมลที่มาจากนอกองค์กร ใน Exchange Online ฟีเจอร์นี้ชื่อ external sender identification และเปิดด้วยคำสั่ง Set-ExternalInOutlook เมื่อเปิด External Tagging แล้ว พนักงานจะเห็นป้ายในรายการอีเมลและหัวอีเมล ทำให้สังเกตได้ทันทีเมื่อมีคนนอกปลอมชื่อเป็นผู้บริหารหรือซัพพลายเออร์แล้วขอให้โอนเงิน ฟีเจอร์นี้มีในทุกแผนที่มี Exchange Online ไม่ต้องซื้อไลเซนส์เพิ่ม
คู่มือนี้เหมาะกับผู้ดูแลระบบ Microsoft 365 ที่เจอเหตุอีเมลหลอกโอนเงิน (Business Email Compromise หรือ BEC) หรืออยากลดความเสี่ยงก่อนเกิดเหตุ เมื่อทำครบ คุณจะเปิดป้าย External ตั้งรายการยกเว้นอย่างระมัดระวัง เลือกได้ว่าจะเพิ่มแบนเนอร์เตือนด้วย Mail flow rule หรือไม่ และวางขั้นตอนยืนยันการโอนเงินให้พนักงานใช้คู่กับป้าย
สิ่งที่ต้องเตรียม
บัญชีที่มีบทบาท Exchange Administrator และโมดูล ExchangeOnlineManagement บนเครื่องที่ใช้รัน PowerShell (Install-Module ExchangeOnlineManagement)
รายชื่อ Mail flow rule เดิมที่เติมคำอย่าง [External] หน้าหัวเรื่อง เพราะ Microsoft แนะนำให้ปิดกฎเหล่านี้ก่อนเปิด External Tagging เพื่อไม่ให้แสดงซ้ำ
รายชื่อโดเมนของบริษัทในเครือที่ใช้ tenant อื่น ถ้าต้องการยกเว้น
ข้อความแจ้งพนักงานว่าป้ายนี้คืออะไรและต้องทำอะไรเมื่อเห็น
ป้าย External บอกแค่ว่ามาจากนอกองค์กร การตัดสินใจโอนเงินยังต้องผ่านการยืนยันทางโทรศัพท์
ขั้นตอนที่ 1: เชื่อมต่อและตรวจสถานะ External Tagging
เปิด PowerShell แล้วเชื่อมต่อ Exchange Online ด้วยบัญชีผู้ดูแล จากนั้นดูค่าปัจจุบัน ถ้า Enabled เป็น False แปลว่ายังไม่ได้เปิด External Tagging
Connect-ExchangeOnline -UserPrincipalName [email protected]
Get-ExternalInOutlook | Format-List Enabled,AllowListขั้นตอนที่ 2: ปิดกฎเดิมที่เติมคำหน้าหัวเรื่อง
หลายองค์กรเคยใช้ Mail flow rule เติม [External] หน้าหัวเรื่อง วิธีนั้นทำให้หัวเรื่องยาวขึ้นทุกครั้งที่ตอบกลับ และใช้ร่วมกับ External Tagging แล้วจะซ้ำซ้อน ค้นกฎที่มีการแก้หัวเรื่องด้วยคำสั่งนี้
Get-TransportRule | Where-Object { $_.PrependSubject } | Format-Table Name,State,PrependSubjectจดชื่อกฎไว้ก่อน แล้วปิดด้วย Disable-TransportRule -Identity "ชื่อกฎ" ใช้คำสั่งปิด ไม่ใช่ลบ เพื่อให้เปิดกลับได้ถ้าจำเป็น หรือปิดใน Exchange admin center ที่ Mail flow > Rules โดยเลือกกฎแล้วสลับสถานะเป็น Disabled
ขั้นตอนที่ 3: เปิด External Tagging ทั้งองค์กร
Set-ExternalInOutlook -Enabled $trueคำสั่งนี้มีผลทั้งองค์กร Microsoft ระบุว่าหลังเปิดอาจใช้เวลา 24 ถึง 48 ชั่วโมงกว่าผู้ใช้จะเห็นป้าย External ใน Outlook ที่รองรับ ได้แก่ Outlook for Windows, Outlook for Mac, Outlook on the web และ Outlook for iOS and Android ช่วงนี้อย่าเพิ่งสรุปว่าไม่ทำงาน ป้ายจะแสดงบริเวณหัวเรื่องของอีเมลจากภายนอก และจะไม่แสดงในแอปอีเมลอื่น เช่น Mail ของ iPhone หรือแอปที่เชื่อมด้วย IMAP
ขั้นตอนที่ 4: ตั้งรายการยกเว้น (AllowList) เท่าที่จำเป็น
AllowList ของ External Tagging ใช้ยกเว้นผู้ส่งหรือโดเมนที่ไม่ต้องการให้ติดป้าย เช่น บริษัทในเครือที่อยู่ tenant อื่น ค่าที่รับได้คือโดเมน (subsidiary.example.net) โดเมนรวมโดเมนย่อย (*.example.net) หรือที่อยู่อีเมล รายการเทียบกับที่อยู่ From ที่ผู้รับเห็น (5322.From) ใส่ได้สูงสุด 200 รายการและรวมกันไม่เกิน 8 KB
Set-ExternalInOutlook -AllowList @{Add="subsidiary.example.net"}
Set-ExternalInOutlook -AllowList @{Remove="old-partner.example.org"}ใช้รูปแบบ @{Add=...} และ @{Remove=...} เสมอ ถ้าพิมพ์รายชื่อตรง ๆ ค่าใหม่จะเขียนทับรายการเดิมทั้งหมด ข้อควรระวังคือ ยิ่งยกเว้นมาก External Tagging ยิ่งช่วยน้อยลง และเพราะรายการเทียบกับ From อีเมลปลอมที่ใช้ From ของโดเมนในรายการก็จะไม่มีป้ายไปด้วย จึงควรยกเว้นเฉพาะโดเมนที่ตั้ง DMARC แบบ p=reject แล้ว และห้ามยกเว้นโดเมนสาธารณะอย่าง gmail.com
ใช้ @{Add=...} เพิ่มรายการยกเว้น เพื่อไม่ให้เขียนทับรายการเดิม
ขั้นตอนที่ 5: เพิ่มแบนเนอร์เตือนด้วย Mail flow rule (ถ้าต้องการ)
External Tagging แสดงผลเฉพาะใน Outlook ถ้าพนักงานบางส่วนใช้แอปอื่น หรือองค์กรต้องการข้อความเตือนที่ชัดกว่า ให้เพิ่มแบนเนอร์บนเนื้ออีเมลด้วย Mail flow rule ใน Exchange admin center
ไปที่ Mail flow > Rules คลิก Add a rule แล้วเลือก Apply disclaimers
ที่ Apply this rule if เลือก The sender > is external/internal > Outside the organization แล้วเพิ่มเงื่อนไข The recipient > is external/internal > Inside the organization
ที่ Do the following เลือก prepend a disclaimer คลิก Enter text แล้วใส่ข้อความเตือนสั้น ๆ
ที่ fallback action ห้ามเลือก Wrap เพราะ Microsoft ระบุว่ารบกวนการสแกน Safe Attachments ของอีเมลจากภายนอก Microsoft แนะนำ Reject ซึ่งจะตีกลับอีเมลที่ใส่แบนเนอร์ไม่ได้ เช่น อีเมลเข้ารหัส ถ้าไม่อยากให้อีเมลเหล่านั้นตีกลับ ให้เลือก Ignore ซึ่งส่งอีเมลเข้าโดยไม่มีแบนเนอร์
ที่ Except if เพิ่ม The subject or body > Subject or body matches these text patterns แล้วใส่ข้อความในแบนเนอร์ เพื่อไม่ให้แบนเนอร์ซ้อนกันในการตอบกลับ
ที่ Rule mode เลือก Test without Policy Tips ก่อน ตรวจผลแล้วจึงเปลี่ยนเป็น Enforce
แบนเนอร์นี้ทำงานแยกจาก External Tagging ถ้าสร้างด้วย PowerShell ใช้คำสั่งนี้ ค่า -Mode Audit คือโหมดทดสอบ ข้อความเตือนใส่เป็นภาษาไทยได้
New-TransportRule -Name "Banner - external sender" -FromScope NotInOrganization `
-SentToScope InOrganization -ApplyHtmlDisclaimerLocation Prepend `
-ApplyHtmlDisclaimerText "<p><strong>ระวัง:</strong> อีเมลนี้มาจากนอกองค์กร ตรวจผู้ส่งก่อนคลิกลิงก์หรือโอนเงิน</p>" `
-ApplyHtmlDisclaimerFallbackAction Ignore `
-ExceptIfSubjectOrBodyContainsWords "อีเมลนี้มาจากนอกองค์กร" -Mode Auditรายละเอียดของกฎประเภทนี้ เช่น การเลือกตำแหน่งข้อความและการทดสอบ อยู่ในคู่มือ Mail Flow Rule
เปิด External Tagging เป็นฐาน แล้วเพิ่มแบนเนอร์เมื่อพนักงานใช้โปรแกรมอื่นนอกจาก Outlook
ขั้นตอนที่ 6: สอนพนักงานและวางขั้นตอนยืนยันการโอนเงิน
External Tagging บอกได้แค่ว่าอีเมลมาจากนอกองค์กร ไม่ได้บอกว่าอีเมลนั้นปลอม ผู้โจมตีที่เจาะบัญชีของซัพพลายเออร์จริงได้ จะส่งอีเมลที่มีป้าย External ตามปกติเหมือนอีเมลจากคู่ค้าฉบับอื่น ป้ายจึงต้องใช้คู่กับกระบวนการ
อีเมลที่อ้างว่ามาจากผู้บริหารหรือเพื่อนร่วมงานแต่ External Tagging แสดงป้าย External ให้ถือว่าน่าสงสัยทันที
คำขอเปลี่ยนเลขบัญชีรับเงินหรือขอโอนด่วน ต้องโทรยืนยันกับเบอร์ที่มีอยู่ในระบบเดิม ไม่ใช่เบอร์ในอีเมล
การโอนเงินเกินวงเงินที่กำหนดต้องมีผู้อนุมัติสองคน
พนักงานรายงานอีเมลน่าสงสัยด้วยปุ่มในตัว ดู Report Phishing
ภาพรวมการป้องกันอีเมลหลอกโอนเงินทั้งด้านเทคนิคและด้านขั้นตอนอยู่ในคู่มือ BEC
ตรวจผลหลังเปิด External Tagging
หลังเปิด External Tagging ครบ 48 ชั่วโมง ให้ส่งอีเมลจากบัญชีภายนอก เช่น Gmail ส่วนตัว มาที่บัญชีทดสอบในองค์กร แล้วเปิดดูในทุกโปรแกรมที่บริษัทใช้ ป้าย External ควรแสดงบริเวณหัวเรื่อง จากนั้นส่งอีเมลระหว่างพนักงานด้วยกันเพื่อยืนยันว่าไม่มีป้าย และส่งจากโดเมนใน AllowList เพื่อยืนยันว่ารายการยกเว้นทำงาน ถ้าเปิดแบนเนอร์ด้วย ให้ตรวจว่าแบนเนอร์ไม่ซ้อนกันเมื่อตอบกลับหลายรอบ รายละเอียดของคำสั่งอยู่ในเอกสาร Set-ExternalInOutlook ของ Microsoft
ชื่อผู้ส่งเหมือนผู้บริหาร แต่มีป้าย External ต้องโทรยืนยันก่อนทำตาม (ภาพจำลอง)
ปัญหาที่พบบ่อยเกี่ยวกับ External Tagging
เปิด External Tagging แล้วแต่ยังไม่เห็นป้าย External ทำไม?
ส่วนใหญ่เพราะยังไม่ครบ 24 ถึง 48 ชั่วโมงหลังเปิด หรือผู้ใช้เปิดอีเมลในโปรแกรมที่ไม่รองรับ เช่น แอป Mail ของ iPhone ถ้าใช้ Outlook รุ่นเก่ามาก ให้อัปเดตเป็นรุ่นปัจจุบัน และตรวจว่าผู้ส่งไม่ได้อยู่ใน AllowList
อีเมลจากบริษัทในเครือขึ้นป้าย External ทำอย่างไร?
ถ้าบริษัทในเครือใช้ tenant แยก ระบบจะถือว่าเป็นอีเมลภายนอก ให้เพิ่มโดเมนนั้นใน AllowList ด้วย @{Add="..."} หลังตรวจว่าโดเมนนั้นตั้ง DMARC แบบ reject แล้ว
External Tagging ใช้แทน SPF, DKIM และ DMARC ได้หรือไม่?
ไม่ได้ เป็นคนละหน้าที่ External Tagging บอกผู้อ่านว่าอีเมลมาจากนอกองค์กร ส่วน SPF, DKIM และ DMARC ใช้ตรวจว่าผู้ส่งมีสิทธิ์ใช้โดเมนนั้นจริง ควรทำทั้งสองอย่าง และเปิดนโยบาย Anti-phishing เพื่อจับการปลอมชื่อผู้บริหาร
จะปิด External Tagging กลับต้องทำอย่างไร?
รัน Set-ExternalInOutlook -Enabled $false การเปลี่ยนแปลงอาจใช้เวลาใกล้เคียงกับตอนเปิดกว่าจะมีผลกับทุกเครื่อง ถ้าปิดเพราะต้องการกลับไปใช้กฎเติมหัวเรื่อง ให้เปิดกฎเดิมด้วย Enable-TransportRule
ถ้าองค์กรต้องการให้ช่วยวางมาตรการป้องกันอีเมลหลอกโอนเงิน ตั้งแบนเนอร์ หรือทบทวนนโยบายความปลอดภัยของอีเมล ติดต่อทีมงาน THAI DATA CLOUD ได้ องค์กรที่ต้องการจัดหาไลเซนส์หรือให้ทีมงานช่วยดูแล Microsoft 365 ดูรายละเอียดได้ที่หน้าบริการของเรา
อ่านเพิ่มเติมเกี่ยวกับ External Tagging
