Report Phishing: ตั้งปุ่มรายงานอีเมลหลอกลวงใน Outlook

Report Phishing คือเมนูในปุ่ม Report ที่ Microsoft ฝังมาใน Outlook ให้พนักงานรายงานอีเมลหลอกลวงได้ในคลิกเดียว ปุ่มเดียวกันมีเมนู Report junk สำหรับอีเมลขยะ และ Not junk สำหรับอีเมลดีที่ถูกย้ายไปโฟลเดอร์ Junk Email ใช้ได้กับกล่องจดหมายบน Exchange Online ทั้งใน classic Outlook for Windows รุ่น Microsoft 365, new Outlook for Windows, Outlook on the web, Outlook for Mac และ Outlook บน iOS กับ Android ผู้ดูแลเป็นผู้กำหนดว่ารายงานจะส่งไปที่กล่องจดหมายขององค์กร ส่งให้ Microsoft หรือทั้งสองที่

คู่มือนี้เขียนสำหรับผู้ดูแลระบบที่อยากให้พนักงานมีทางรายงานอีเมลน่าสงสัยที่ใช้ง่ายกว่าการ Forward หาไอที และอยากเห็นรายงานทั้งหมดในที่เดียว เมื่อทำครบ คุณจะมี reporting mailbox ที่ตั้งค่าถูกต้อง เปิดปุ่ม Report Phishing ให้ทุกคน ตรวจและตอบผลรายงานใน Microsoft Defender portal และมีแนวทางสั้น ๆ สำหรับสอนพนักงาน

สิ่งที่ต้องเตรียม

• กล่องจดหมายบน Exchange Online ปุ่ม Report Phishing และหน้า Submissions ใช้ได้ทุกองค์กรที่มี Exchange Online Protection โดยไม่ต้องซื้อเพิ่ม ส่วนการสืบสวนอัตโนมัติ (AIR) การส่งผลตรวจให้ผู้ใช้อัตโนมัติ และ Attack simulation training ต้องมี Microsoft Defender for Office 365 Plan 2
• บทบาท Security Administrator หรือสมาชิกกลุ่ม Security Administrator ใน Email & collaboration สำหรับแก้ User reported settings และ Organization Management ใน Exchange Online สำหรับตั้ง SecOps mailbox
• กล่องจดหมายสำหรับรับรายงานบน Exchange Online เช่น shared mailbox ชื่อ [email protected] ห้ามใช้ distribution group หรือกล่องจดหมายภายนอก
• Outlook ของผู้ใช้ต้องเป็นรุ่นที่รองรับ classic Outlook รุ่น Microsoft 365 ต้องเป็น Current Channel 16.0.17827.15010 ขึ้นไป หรือ Monthly Enterprise Channel 16.0.18025.20000 ขึ้นไป ส่วน Semi-Annual Channel ต้องเป็นรุ่น 2502 build 16.0.18526.20024 ขึ้นไป
• คนในทีมที่จะตรวจรายงานทุกวันทำการ ถ้าไม่มีใครตรวจ ปุ่มนี้จะกลายเป็นที่ทิ้งอีเมลที่ไม่มีใครดู

ขั้นตอนที่ 1: เตรียม reporting mailbox รับรายงานจาก Report Phishing

1. สร้าง shared mailbox ใน Exchange admin center ที่ Recipients > Mailboxes > Add a shared mailbox และให้สิทธิ์ Full Access เฉพาะทีมที่ตรวจรายงาน
2. ตั้งกล่องนี้เป็น SecOps mailbox เพื่อไม่ให้ระบบกรองอีเมลกักหรือลบอีเมลหลอกลวงที่ผู้ใช้ส่งมา ไปที่ Microsoft Defender portal > Email & collaboration > Policies & rules > Threat policies > Advanced delivery (ในส่วน Rules) แท็บ SecOps mailbox คลิก Add (หรือ Edit ถ้ามีรายการอยู่แล้ว) เลือกกล่องจดหมาย แล้วคลิก Add
3. ถ้าองค์กรใช้ Data Loss Prevention ให้ยกเว้นกล่องนี้ออกจากนโยบาย DLP

ขั้นตอนนี้สำคัญเป็นพิเศษถ้าองค์กรทำแบบทดสอบฟิชชิงกับพนักงาน เพราะถ้าไม่ตั้งเป็น SecOps mailbox อีเมลทดสอบที่ผู้ใช้กด Report Phishing อาจถูกนับเป็นการคลิกและสั่งให้ผู้ใช้เข้าอบรมโดยไม่ตั้งใจ

ขั้นตอนที่ 2: เปิดปุ่ม Report Phishing ใน User reported settings

1. ใน Microsoft Defender portal ไปที่ Settings > Email & collaboration > User reported settings หรือเปิดตรงที่ https://security.microsoft.com/securitysettings/userSubmission
2. ในส่วน Outlook ติ๊ก Monitor reported messages in Outlook แล้วเลือก Use the built-in Report button in Outlook
3. ติ๊ก Ask the user to confirm before reporting ถ้าต้องการให้ผู้ใช้เห็นหน้าต่างยืนยันก่อนส่งรายงาน
4. ในส่วน Reported item destinations เลือก Send reported items to เป็น Microsoft and my reporting mailbox (แนะนำ) My reporting mailbox only หรือ Microsoft only
5. ใส่ [email protected] ในช่อง Add an Exchange Online mailbox to Send reported items to แล้วคลิก Save

ระวังกับดักข้อนี้: ถ้าเลือกส่งเข้ากล่องจดหมายแต่ไม่ใส่ชื่อกล่อง ระบบจะใช้กล่องจดหมายของ Global Administrator เป็นค่าเริ่มต้น และหน้าตั้งค่าจะไม่แสดงชื่อนี้จนกว่าจะมีคนรายงานครั้งแรก ทำให้รายงานไปกองในกล่องของผู้ดูแลโดยไม่มีใครรู้ ถ้าเลือก My reporting mailbox only รายงานจะไม่ถึง Microsoft จนกว่าผู้ดูแลจะส่งเองจากหน้า Submissions

ขั้นตอนที่ 3: ตรวจปุ่ม Report Phishing ในแต่ละ Outlook

หลังบันทึกค่า ให้ทดสอบด้วยบัญชีผู้ใช้ทั่วไปในแต่ละรุ่นที่องค์กรใช้ วิธีใช้เหมือนกันทุกรุ่น คือเลือกอีเมลหนึ่งฉบับหรือหลายฉบับ คลิก Report แล้วเลือก Report phishing หรือ Report junk ใน classic Outlook ปุ่มอยู่บนแท็บ Home ส่วน new Outlook และ Outlook on the web อยู่บนแถบเครื่องมือเหนือรายการอีเมล

• Report phishing: อีเมลถูกลบออกจากกล่องจดหมายของผู้รายงาน และส่งสำเนาไปตามปลายทางที่ตั้งไว้ ใช้ได้จากทุกโฟลเดอร์
• Report junk: อีเมลถูกย้ายไป Junk Email และผู้ส่งถูกเพิ่มใน Blocked Senders ของผู้ใช้
• Not junk: ใช้ในโฟลเดอร์ Junk Email อีเมลจะถูกย้ายกลับไป Inbox

ถ้ารายงานจาก shared mailbox ผู้ใช้ต้องมีสิทธิ์ Send As กับ shared mailbox นั้น มิฉะนั้นอีเมลจะถูกลบออกจากโฟลเดอร์เท่านั้น ไม่ถูกส่งเข้า reporting mailbox ถ้าองค์กรเคยติดตั้ง Report Message add-in หรือ Report Phishing add-in รุ่นเดิม Microsoft ประกาศว่า add-in ทั้งสองอยู่ในสถานะ maintenance mode และแนะนำให้เปลี่ยนมาใช้ปุ่มในตัว ให้ถอน add-in เดิมออกจาก Integrated apps ตามคู่มือจัดการ Add-ins ของ Outlook เพื่อไม่ให้ผู้ใช้สับสนกับสองปุ่ม รายละเอียดรุ่นที่รองรับอยู่ในเอกสาร Report phishing and suspicious emails in Outlook for admins