คำตอบสั้น ๆ: รู้จักสัญญาณของอีเมล Phishing ทั้งโดเมนปลอม ลิงก์แฝง ไฟล์แนบอันตราย และการหลอกให้โอนเงิน พร้อมขั้นตอนรับมือทันทีหากเผลอคลิกหรือกรอกรหัสผ่านไปแล้ว
คู่มือนี้อธิบาย Phishing ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย
Phishing คืออีเมลที่ปลอมตัวเป็นบุคคลหรือองค์กรที่คุณไว้ใจ เช่น ธนาคาร ผู้ให้บริการอีเมล หัวหน้า หรือคู่ค้า เพื่อหลอกให้กรอกรหัสผ่าน เปิดไฟล์ที่มีมัลแวร์ หรือโอนเงินไปบัญชีของมิจฉาชีพ อีเมลเหล่านี้หลายฉบับผ่านตัวกรอง Spam ได้ เพราะส่งจากบัญชีจริงที่ถูกเจาะ หรือเขียนมาให้ดูเหมือนอีเมลธุรกิจทั่วไป ตัวกรองจึงช่วยได้ไม่ทั้งหมด ผู้ใช้เองต้องเป็นด่านสุดท้าย
บทความนี้รวบรวมสัญญาณที่ตรวจได้จริงภายในไม่ถึงนาที พร้อมขั้นตอนที่ต้องทำทันทีหากเผลอคลิกหรือกรอกข้อมูลไปแล้ว
สิ่งที่ต้องเตรียม (Phishing)
- โปรแกรมอีเมลหรือ Webmail ที่ใช้อยู่ประจำ
- รู้ว่าองค์กรของคุณใช้อีเมลบนระบบใด (Microsoft 365, Google Workspace หรืออีเมลโฮสติ้ง) เพื่อรู้ว่าหน้า Login จริงหน้าตาและที่อยู่เป็นอย่างไร
- ช่องทางติดต่อผู้ดูแลระบบไอทีขององค์กร
สัญญาณเตือน 8 ข้อ (Phishing)
| สัญญาณ | ตัวอย่าง | วิธีตรวจ |
|---|---|---|
| โดเมนผู้ส่งเลียนแบบ | [email protected], example-com.net, example.co | ดูที่อยู่อีเมลเต็ม ไม่ใช่แค่ชื่อที่แสดง |
| ชื่อที่แสดงเป็นคนรู้จัก แต่ที่อยู่ไม่ใช่ | ชื่อ "ผู้จัดการฝ่ายบัญชี" แต่ส่งจากอีเมลฟรี | บนมือถือให้แตะชื่อผู้ส่งเพื่อดูที่อยู่จริง |
| เร่งรัดหรือขู่ | "บัญชีจะถูกปิดภายใน 24 ชั่วโมง", "กล่องอีเมลเต็ม กรุณายืนยัน" | ความเร่งด่วนคือเครื่องมือหลักของมิจฉาชีพ ให้หยุดและตรวจก่อนเสมอ |
| ลิงก์ไม่ตรงกับข้อความ | ข้อความเขียนชื่อธนาคาร แต่ลิงก์ไปโดเมนแปลก | เอาเมาส์ชี้ค้าง (ไม่คลิก) ดูที่อยู่ที่มุมล่างของจอ บนมือถือกดค้างเพื่อดูลิงก์ |
| ขอรหัสผ่านหรือ OTP | "กรุณาตอบกลับพร้อมรหัสผ่านเพื่อยืนยันตัวตน" | ผู้ให้บริการจริงไม่ขอรหัสผ่านหรือ OTP ทางอีเมล |
| ไฟล์แนบชนิดเสี่ยง | .html, .htm, .iso, .img, .exe, .js, ไฟล์ zip ที่ใส่รหัสผ่านมาให้ในเนื้อความ, เอกสาร Office ที่ขอให้กด Enable Content | ไม่เปิดไฟล์ที่ไม่ได้คาดหวัง ถ้าจำเป็นให้ยืนยันกับผู้ส่งทางช่องทางอื่นก่อน |
| QR Code ในอีเมล | "สแกนเพื่อยืนยันการตั้งค่า MFA" | QR Code ซ่อนลิงก์จากตัวกรองและพาไปเปิดบนมือถือที่ป้องกันน้อยกว่า ให้ถือว่าน่าสงสัยเป็นพิเศษ |
| ขอเปลี่ยนเลขบัญชีรับเงิน | "บริษัทเปลี่ยนบัญชีธนาคาร กรุณาโอนงวดนี้เข้าบัญชีใหม่" | ยืนยันทางโทรศัพท์ด้วยเบอร์ที่มีอยู่เดิม ห้ามใช้เบอร์ในอีเมลฉบับนั้น |
ขั้นตอนที่ 1: ตรวจลิงก์ก่อนคลิก
อ่านชื่อโดเมนจากขวาไปซ้าย โดเมนจริงคือส่วนที่อยู่ติดกับเครื่องหมาย / ตัวแรกหลัง https:// เช่น
https://login.example.com.verify-account.example.net/signinลิงก์นี้ไม่ใช่ของ example.com แต่เป็นของ example.net ซึ่งตั้ง Subdomain ให้ดูเหมือน ถ้าจำเป็นต้องเข้าระบบ ให้พิมพ์ที่อยู่เว็บเองหรือใช้ Bookmark แทนการคลิกลิงก์ในอีเมลทุกครั้ง แม่กุญแจบนเบราว์เซอร์บอกแค่ว่าการเชื่อมต่อเข้ารหัส ไม่ได้บอกว่าเว็บนั้นเป็นของจริง
ขั้นตอนที่ 2: ตรวจ Header เมื่อยังไม่แน่ใจ
เปิด Header ของอีเมลแล้วหาบรรทัด Authentication-Results ถ้า From เป็นโดเมนขององค์กรที่รู้จัก แต่ผลเป็น dmarc=fail แปลว่าผู้ส่งไม่ได้รับอนุญาตจากเจ้าของโดเมน ดูวิธีอ่านอย่างละเอียดที่ อ่าน Email Header ทั้งนี้ dmarc=pass ก็ไม่ได้รับประกันว่าปลอดภัย เพราะอาจเป็นโดเมนเลียนแบบที่มิจฉาชีพจดเองและตั้งค่าถูกต้อง หรือเป็นบัญชีจริงที่ถูกเจาะ
ขั้นตอนที่ 3: รายงานและลบ
- Outlook และ Microsoft 365: ใช้ปุ่ม Report แล้วเลือก Report phishing (ชื่อปุ่มต่างกันได้ตามรุ่นและการตั้งค่าขององค์กร)
- Gmail: กดสามจุด แล้วเลือก Report phishing
- Webmail อื่น: ย้ายเข้า Junk หรือ Spam เพื่อช่วยสอนตัวกรอง
- แจ้งผู้ดูแลไอทีขององค์กร เพราะอีเมลลักษณะเดียวกันมักถูกส่งถึงหลายคนพร้อมกัน
- ห้ามตอบกลับ และห้ามกด Unsubscribe ในอีเมลที่น่าสงสัย เพราะเป็นการยืนยันว่าที่อยู่นี้มีคนใช้งาน