ด้วยความนิยมของ Steam สำหรับเกม PC ไม่แปลกใจที่นักหลอกลวงใช้มันสำหรับแผนหลอกลวงหลากหลาย ทุกคนที่มีบัญชี Steam ต้องตระหนักถึงการโจมตีที่เป็นไปได้ เพื่อไม่ตกเป็นเหยื่อ
การโจมตี Steam ยอดนิยมพยายามหลอกให้คุณให้ Credentials (ข้อมูลเข้าสู่ระบบ) ผ่านข้อความจาก "เพื่อน" เกี่ยวกับ Tournament (การแข่งขัน) ปลอม นี่คือวิธีการทำงาน และวิธีอยู่ปลอดภัย
การหลอกลวง Steam Tournament จาก "เพื่อน" ของคุณ
ในกรณีนี้ การหลอกลวง Steam Tournament เริ่มเมื่อเพื่อนจริง (ปิดบังด้วยสีน้ำเงินด้านล่าง เราจะเรียกว่า "Blue") ของเหยื่อที่คาดการณ์ (เราจะเรียกว่า "Green") ติดต่อมาด้วยข้อความทั่วไปผ่าน Steam Chat
Blue เป็นเพื่อนจริงของ Green แต่ไม่ได้คุยกันมานาน Green จึงตอบกลับเพื่อแชทตามทัน Blue ตอบงวดๆ แต่พอที่จะดำเนินการสนทนาต่อไป
หลังแชทเล่นๆ สักพัก Blue ก้าวเข้าสู่การหลอกลวง บอกว่าเพื่อนคนหนึ่งต้องการโหวตเพิ่มเพื่อคัดเลือกเข้า Tournament CS:GO (Counter-Strike: Global Offensive) และขอให้ Green โหวตให้ทีมของเพื่อนเขา
ณ จุดนี้ Greenสงสัย เพราะการหลอกลวงฟิชชิงหลายแบบเกี่ยวข้องกับการขอ "ช่วยเหลือ" พยายามใช้ความดีของเพื่อน Green จึงถาม Blue ว่าพบกันที่ไหน Blue ตอบผิด
Green บอกนักหลอกลวงให้หาย แล้วแจ้งเพื่อนจริงผ่าน Facebook ให้เปลี่ยนรหัสผ่าน Steam ด้วยการเปลี่ยนรหัสและ Sign out อุปกรณ์ทั้งหมดที่ล็อกอิน Steam อยู่ เขาก็ขับนักหลอกลวงออกจากบัญชี
เหยื่อต้นทางอธิบายว่าเขาสูญเสียบัญชีอย่างไร
เมื่อ Blue ควบคุมบัญชี Steam กลับมา เขาอธิบายว่าบัญชีถูกแฮ็กอย่างไรตั้งแต่แรก เขาตกกับดักคล้ายกัน เพื่อนที่ไม่คุ้นเคยมาก ติดต่อมาบน Steam พร้อมลิงก์ "โหวต" สำหรับ Tournament ปลอม
เรายังรู้ว่าเมื่อนักหลอกลวงควบคุมบัญชี Blue แล้ว พวกเขาบล็อก Green ทำให้เจ้าของบัญชีจริงไม่ได้รับ Notification (การแจ้งเตือน) เกี่ยวกับแชทบนอุปกรณ์ของตัวเอง การแจ้งเตือนเหล่านี้ควรเตือนเขาว่ามีบางอย่างผิดปกติ ในขณะของการสนทนา เจ้าของบัญชีจริงกำลังออนไลน์เล่นเกมอยู่
ดู Preview ของเว็บไซต์ปลอมใน Steam Chat (ด้านล่าง) ชัดเจนว่าไม่ได้เกี่ยวข้องกับ Steam การขาด Space หลังจุดในคำอธิบาย และประโยคไม่สมบูรณ์ "Any Rank." เป็นสัญญาณว่าไม่ได้เขียนโดยองค์กรที่ถูกต้อง
ไม่ชัดเจนว่านักหลอกลวงผ่าน Steam Guard ของ Blue อย่างไร น่าจะเป็นเว็บปลอมขอให้กรอก Two-Factor Authentication Code ซึ่งสร้างในแอป Steam Mobile หรือส่งทางอีเมล
หาก Green ตกกับดัก นักโจมตีจะใช้บัญชีของเขา誘導เพื่อนของเขาให้ตกกับดักอีก ด้วยจำนวนบัญชีมาก ขโมยสามารถทำการเทรด Steam ผิดกฎหมาย หรือการหลอกลวงขั้นสูงมากขึ้น
ตรวจสอบเว็บไซต์ Steam Tournament ปลอม
เราซ่อน URL เพื่อความปลอดภัย แต่ Blue ให้ลิงก์เว็บปลอม มาดูรายละเอียดเพื่อเรียนรู้สัญญาณบอกเลยของเว็บปลอม
ลองดูคร่าวๆ เว็บดูน่าเชื่อถือพอสมควร ใช้แบรนด์ ASUS ROG (Republic of Gamers) เพื่อดูเหมือนจริง มี "ข้อมูล" เกี่ยวกับ "Tournament" แต่ดูรายละเอียดใกล้ชิด จะพบว่า曖昧 (Vague) มาก ไม่มีวันที่/เวลาของ Tournament ระบุ แค่แจ้งให้ "Sign in to see actual date for your time zone" (ล็อกอินดูวันที่จริงตามโซนเวลา)
สัญญาณแดงอีกอย่าง: กดที่แท็บ Quick Match, Challenges หรือแท็บอื่นๆ บนสุด ไม่ทำงานอะไรเลย ทั้งหมดพูดให้ Sign in เข้าบัญชี Steam ซึ่งเป็นเป้าหมายของเว็บปลอมนี้
ส่วน Support ระบุอีเมลโดเมนที่ไม่มีอยู่จริง (เป็นเว็บปลอมอีกตัวสำหรับการหลอกลวงนี้) โปรดสังเกต แม้เว็บใช้ HTTPS แต่ไม่ได้หมายความว่าเว็บปลอดภัย HTTPS หมายถึงการเชื่อมต่อเข้ารหัส แต่องค์กรอาจมีการเชื่อมต่อปลอดภัยไปยังเว็บไซต์อันตราย
รัน WHOIS Lookup บนโดเมน พบว่าสร้างขึ้น 1 วันก่อนการหลอกลวงนี้ และจดทะเบียนในรัสเซีย — สัญญาณชัดเจนว่าไม่ถูกต้อง
มีข้อผิดพลาดพิมพ์เล็กน้อยบนหน้า เช่น "Good Luck" ตัว L ใหญ่ และ "Please contact the support" phrasing แปลก
รวมแล้ว นี่คือสัญญาณบอกเลยของเว็บปลอม แต่หากคุณรีบช่วย "เพื่อน" คุณอาจไม่สังเกต หากกรอก Credentials ลงเว็บนี้ = ให้ข้อมูลแก่นักหลอกลวง ไม่ใช่โหวตให้ใครใน Tournament
วิธีอยู่ปลอดภัยจากการหลอกลวง Steam เหล่านี้
ตอนนี้เราเห็นรูปแบบการหลอกลวง และลักษณะเว็บปลอมแล้ว สามารถทำอะไรเพื่อป้องกันตัวได้บ้าง?
แรก จำไว้ว่า แค่ข้อความมาจากบัญชีเพื่อน ไม่ได้หมายความว่าถูกต้อง คลุมกับ Facebook Cloning Scams แผนอย่างนี้พึ่งพาความไว้วางใจในเพื่อนโดยไม่ตั้งคำถาม
เมื่อนักหลอกลวงปลอมเป็นคนที่คุณรู้จัก พวกเขาใช้ภาษางวดงวด (Vague) เพื่อหลอกคุณ ในรูปสุดท้ายของการสนทนาข้างต้น เราเห็นว่า Green รู้สึกแปลก เพราะปลอมพูด "bro" (บรอ) ส่วนเพื่อนจริงของเขาไม่ใช้คำนี้เลย หากสงสัย ให้ถามคำถามที่แค่คนจริงจะรู้
สอง ระวังลิงก์ทุกตัว หากกดลิงก์ที่ "เพื่อน" ส่งมา ให้วิเคราะห์มัน เช่นเราทำข้างต้น ก่อนกรอกข้อมูลส่วนตัว การพบปัญหาข้างต้นและถามนักหลอกลวง จะทำให้พวกเขาแก้อีก ตีบอกว่าเป็นปลอม
สาม อย่า Sign in ด้วยบัญชี Steam บนเว็บไซต์ภายนอก (Third-party) เว้นแต่มั่นใจว่น่าเชื่อถือ
บางบริการถูกต้อง เช่น เว็บแจ้งราคาเกม อนุญาต Sign in ด้วย Steam แต่ไม่ควรทำแบบสุ่ม หาความคิดเห็นออนไลน์ ว่าคนอื่นไว้วางใจเว็บนั้นหรือไม่ ก่อนล็อกอินด้วย Credentials Steam
วิธีดีตรวจสอบความถูกต้อง: ล็อกอินบัญชีบนเว็บไซต์ Steam ก่อน แล้วเปิดหน้า Login ของเว็บภายนอก หากถูกต้อง จะเห็นแค่ปุ่ม Sign In เว็บที่ขอ Credentials Steam ขณะคุณล็อกอินอยู่แล้ว = พยายามหลอกคุณ
ดูคู่มือความปลอดภัยบัญชี Steam ของเรา สำหรับวิธีเพิ่มเติมเก็บรักษาบัญชี หากตกกับดักแบบนี้ ให้เปลี่ยนรหัสผ่าน Steam ทันที
อย่าสูญเสียบัญชี Steam ให้การหลอกลวง
การหลอกลวง Steam Tournament นี้ไม่ใช่เรื่องใหม่ โอกาสสูงเว็บนี้จะปิดเร็วๆ นี้ แต่อีกเว็บจะขึ้นแทน ตระหนักว่านักหลอกลวงสามารถเข้าบัญชีเพื่อนของคุณได้ด้วยวิธีนี้ และควรแชร์ภาพรวมนี้ให้เพื่อน เพื่อไม่ให้พวกเขาตกดักในอนาคต
สำหรับการป้องกันที่แข็งแกร่งกว่า ควรทราบวิธีอยู่ปลอดภัยขณะเล่นเกมออนไลน์
