Phishing Awareness
Phishing (ฟิชชิ่ง) คืออีเมลหรือลิงก์ปลอมที่หลอกให้เรากรอกรหัสผ่าน กดลิงก์ หรือเปิดไฟล์อันตราย.
เริ่มอ่านตรงนี้ก่อน
อธิบายแบบง่าย
Phishing Awareness คือเรื่องที่ช่วยให้เราใช้ป้องกันข้อมูล สิทธิ์ key token และความเสี่ยงจากการแชร์ผิดทางได้ถูกทางขึ้น
ระดับ
เหมาะกับคนเริ่มต้น
ใช้เมื่อไหร่
เมื่อได้รับอีเมลที่ขอให้รีบกรอกรหัสผ่าน ยืนยันบัญชี หรือโอนเงินด่วน.
อ่านแล้วทำอะไรต่อ
อีเมลแจ้งว่า บัญชีจะถูกระงับใน 24 ชม. ให้กดลิงก์ยืนยันรหัสผ่าน. เมื่อชี้เมาส์ดูลิงก์ ปลายทางเป็นโดเมนแปลก ไม่ใช่โดเมนบริษัท จึงเป็นฟิชชิ่ง ห้ามกด ให้รายงาน IT.
เห็นภาพ: ทริคนี้เป็นยังไง
ผู้ส่งแปลก คล้ายของจริง ลิงก์ไม่ตรงชื่อเว็บ เร่งให้รีบกด ขู่ว่าบัญชีจะถูกปิด ไฟล์แนบที่ไม่ได้ขอ
ชี้ดูลิงก์จริงก่อนคลิก ไม่กรอกรหัสจากลิงก์ในอีเมล สงสัย → โทรยืนยันช่องทางอื่น รายงาน IT
ใช้ตอนไหน?
- เมื่อได้รับอีเมลที่ขอให้รีบกรอกรหัสผ่าน ยืนยันบัญชี หรือโอนเงินด่วน.
- เมื่อเจอลิงก์หรือไฟล์แนบจากผู้ส่งที่ไม่คุ้น หรือผู้ส่งที่คุ้นแต่ข้อความผิดปกติ.
- หลังเผลอกดลิงก์หรือกรอกรหัสไปแล้ว ต้องรู้ว่าจะจำกัดความเสียหายอย่างไร.
ความหมาย
ผู้ไม่หวังดีปลอมเป็นคนหรือองค์กรที่เราไว้ใจ เช่น ฝ่าย IT ธนาคาร หรือหัวหน้า เพื่อหลอกเอา credential (ข้อมูลยืนยันตัวตน เช่น รหัสผ่าน) หรือให้เรากดลิงก์ที่พาไปหน้าเว็บปลอม. จุดสังเกตคือความเร่งรีบ ชื่อผู้ส่งที่ดูคล้ายของจริงแต่ไม่ตรง และลิงก์ที่ปลายทางไม่ใช่โดเมนองค์กร.
ขั้นตอนตรวจอีเมลก่อนกด
เช็กผู้ส่งจริง -> ชี้เมาส์ดู URL ปลายทางก่อนคลิก -> ระวังคำเร่งรีบ -> ถ้าสงสัยให้ยืนยันผ่านช่องทางอื่น -> รายงาน IT.
Sender? -> Hover link (real domain?) -> Urgency? -> Verify via phone/Teams -> Report to ITตัวอย่างการใช้
อีเมลปลอมเป็นฝ่าย IT
อีเมลแจ้งว่า บัญชีจะถูกระงับใน 24 ชม. ให้กดลิงก์ยืนยันรหัสผ่าน. เมื่อชี้เมาส์ดูลิงก์ ปลายทางเป็นโดเมนแปลก ไม่ใช่โดเมนบริษัท จึงเป็นฟิชชิ่ง ห้ามกด ให้รายงาน IT.
เผลอกรอกรหัสไปแล้ว
รีบเปลี่ยนรหัสผ่านทันที, ออกจากระบบทุกอุปกรณ์ (sign out everywhere), เปิด/ตรวจ MFA และแจ้ง IT เพื่อเฝ้าดูการเข้าใช้งานผิดปกติ.