ฟิชชิงยังคงเป็นหนึ่งในภัยคุกคามความปลอดภัยทางไซเบอร์ที่ใหญ่ที่สุดในโลก
จากการวิจัยโดยบริษัทรักษาความปลอดภัยทางไซเบอร์ Barracuda ฟิชชิ่งได้แพร่ระบาดอย่างมากจนจำนวนการโจมตีแบบฟิชชิ่งที่เกี่ยวข้องกับโคโรนาไวรัสเพิ่มขึ้น 667 เปอร์เซ็นต์ตั้งแต่เดือนมกราคมถึงมีนาคมปีนี้ สิ่งที่น่าตกใจยิ่งกว่านั้นก็คือจากผลการศึกษาของ Intel พบว่าผู้คนกว่า 97 เปอร์เซ็นต์ไม่สามารถระบุอีเมลฟิชชิงได้
เพื่อหลีกเลี่ยงการตกเป็นเหยื่อ คุณจำเป็นต้องรู้วิธีต่างๆ ที่ฟิชเชอร์พยายามโจมตีคุณ ต่อไปนี้เป็นความพยายามในการฟิชชิงแปดประเภทที่คุณอาจพบ
1. อีเมลฟิชชิ่ง
นี่คืออีเมลฟิชชิ่งทั่วไปที่ออกแบบมาเพื่อเลียนแบบบริษัทที่ถูกต้องตามกฎหมาย เป็นการโจมตีที่ซับซ้อนน้อยที่สุดโดยใช้วิธี "สเปรย์และอธิษฐาน"
พวกเขาจะไม่กำหนดเป้าหมายไปที่บุคคลใดบุคคลหนึ่ง และมักจะส่งอีเมลทั่วไปถึงผู้ใช้หลายล้านคนโดยหวังว่าเหยื่อที่ไม่สงสัยบางคนจะคลิกลิงก์ ดาวน์โหลดไฟล์ หรือทำตามคำแนะนำในอีเมล
พวกเขามักจะไม่เป็นส่วนตัวดังนั้นพวกเขาจึงใช้คำทักทายทั่วไปเช่น "เรียนเจ้าของบัญชี" หรือ "เรียนสมาชิกผู้มีอุปการคุณ" พวกเขายังมักใช้ความตื่นตระหนกหรือหวาดกลัวด้วยคำพูดเช่น "ด่วน" เพื่อกระตุ้นให้ผู้ใช้คลิกลิงก์
2. Spear Phishing
นี่เป็นฟิชชิ่งประเภทที่ซับซ้อนและล้ำหน้ากว่าซึ่งกำหนดเป้าหมายไปยังกลุ่มใดกลุ่มหนึ่ง หรือแม้แต่เฉพาะบุคคล แฮ็กเกอร์ที่มีชื่อเสียงมักใช้เพื่อแทรกซึมองค์กร
นักต้มตุ๋นทำการวิจัยอย่างละเอียดเกี่ยวกับผู้คน ภูมิหลังของพวกเขา หรือผู้คนที่พวกเขาโต้ตอบด้วยเป็นประจำ เพื่อสร้างข้อความที่เป็นส่วนตัวมากขึ้น และเนื่องจากเป็นผู้ใช้ที่เป็นส่วนตัวมากกว่ามักไม่ค่อยสงสัยว่ามีบางอย่างผิดปกติ
ตรวจสอบที่อยู่อีเมลและรูปแบบของจดหมายเสมอกับสิ่งที่คุณมักจะได้รับจากผู้ติดต่อนั้น ทางที่ดีควรโทรหาผู้ส่งและยืนยันทุกอย่างก่อนดาวน์โหลดไฟล์แนบหรือคลิกลิงก์ แม้ว่าจะดูเหมือนมาจากคนที่คุณรู้จัก
3. การล่าปลาวาฬ
นี่เป็นฟิชชิ่งที่ซับซ้อนและซับซ้อนอีกประเภทหนึ่ง มีเพียงประเภทเดียวเท่านั้นที่กำหนดเป้าหมายกลุ่มคนโดยเฉพาะ—ผู้บริหารธุรกิจที่มีชื่อเสียง เช่น ผู้จัดการหรือ CEO
บางครั้งพวกเขาจะพูดถึงเป้าหมายโดยตรงในคำทักทาย และข้อความอาจอยู่ในรูปแบบของหมายเรียก การร้องเรียนทางกฎหมาย หรือบางสิ่งที่ต้องมีการดำเนินการอย่างเร่งด่วนเพื่อหลีกเลี่ยงการล้มละลาย การถูกไล่ออก หรือค่าธรรมเนียมทางกฎหมาย
ผู้โจมตีจะใช้เวลาส่วนใหญ่ในการทำวิจัยอย่างละเอียดเกี่ยวกับบุคคลนั้นและจัดทำข้อความเฉพาะเพื่อกำหนดเป้าหมายบุคคลสำคัญในองค์กรที่ปกติแล้วจะสามารถเข้าถึงเงินทุนหรือข้อมูลที่ละเอียดอ่อนได้
เป้าหมายจะถูกส่งลิงค์ไปยังหน้าเข้าสู่ระบบที่น่าเชื่อซึ่งแฮกเกอร์จะรวบรวมรหัสการเข้าถึงหรือข้อมูลการเข้าสู่ระบบ อาชญากรไซเบอร์บางคนยังขอให้เหยื่อดาวน์โหลดไฟล์แนบเพื่อดูหมายเรียกหรือจดหมายที่เหลือ ไฟล์แนบเหล่านี้มาพร้อมกับมัลแวร์ที่สามารถเข้าถึงคอมพิวเตอร์ได้
4. วิชิ่ง
Vishing หรือ Voice phishing เป็นฟิชชิ่งประเภทหนึ่ง แต่แทนที่จะส่งอีเมล ผู้โจมตีจะพยายามรับข้อมูลการเข้าสู่ระบบหรือรายละเอียดธนาคารทางโทรศัพท์
ผู้โจมตีจะแอบอ้างเป็นเจ้าหน้าที่จากองค์กรหรือเจ้าหน้าที่ฝ่ายสนับสนุนจากบริษัทที่ให้บริการ จากนั้นจึงเล่นอารมณ์เพื่อขอให้ผู้เสียหายส่งรายละเอียดธนาคารหรือบัตรเครดิต
บางครั้งข้อความอาจเกี่ยวกับจำนวนเงินที่ค้างชำระ เช่น ภาษี เงินรางวัลจากการแข่งขัน หรือมาจากเจ้าหน้าที่ฝ่ายสนับสนุนด้านเทคนิคปลอมที่ร้องขอการเข้าถึงคอมพิวเตอร์จากระยะไกล พวกเขาอาจใช้ข้อความที่บันทึกไว้ล่วงหน้าและหมายเลขโทรศัพท์ปลอมแปลง ทำให้การโทรไปต่างประเทศดูเหมือนเป็นการโทรในท้องถิ่น สิ่งนี้ทำเพื่อให้เกิดความน่าเชื่อถือในการโจมตีและทำให้เหยื่อเชื่อว่าการโทรนั้นถูกต้องตามกฎหมาย
ผู้เชี่ยวชาญแนะนำว่าอย่าให้ข้อมูลที่ละเอียดอ่อน เช่น รายละเอียดการเข้าสู่ระบบ หมายเลขประกันสังคม หรือรายละเอียดธนาคารและบัตรเครดิตทางโทรศัพท์ วางสายและโทรหาธนาคารหรือผู้ให้บริการของคุณทันทีแทน
5. การยิ้ม
Smishing คือฟิชชิ่งรูปแบบใดก็ตามที่เกี่ยวข้องกับการใช้ข้อความหรือข้อความ SMS นักฟิชชิ่งจะพยายามหลอกล่อให้คุณคลิกลิงก์ที่ส่งทางข้อความซึ่งจะนำคุณไปยังไซต์ปลอม คุณจะได้รับแจ้งให้พิมพ์ข้อมูลที่ละเอียดอ่อน เช่น รายละเอียดบัตรเครดิต แฮกเกอร์จะรวบรวมข้อมูลนี้จากเว็บไซต์
บางครั้งพวกเขาจะบอกคุณว่าคุณได้รับรางวัลหรือว่าถ้าคุณไม่พิมพ์ข้อมูลของคุณ คุณจะถูกเรียกเก็บเงินต่อชั่วโมงสำหรับบริการเฉพาะ ตามกฎทั่วไป คุณควรหลีกเลี่ยงการตอบกลับข้อความจากหมายเลขที่คุณไม่รู้จัก และหลีกเลี่ยงการคลิกลิงก์ที่ได้รับจากข้อความโดยเฉพาะหากคุณไม่ทราบแหล่งที่มา
6. ฟิชชิ่งตกปลา
กลวิธีฟิชชิ่งที่ค่อนข้างใหม่นี้ใช้โซเชียลมีเดียเพื่อหลอกล่อให้ผู้คนแชร์ข้อมูลที่ละเอียดอ่อน นักต้มตุ๋นตรวจสอบผู้ที่โพสต์เกี่ยวกับธนาคารและบริการอื่นๆ บนโซเชียลมีเดีย จากนั้นพวกเขาก็แกล้งเป็นตัวแทนฝ่ายบริการลูกค้าจากบริษัทนั้น
สมมติว่าคุณโพสต์โวยวายเกี่ยวกับการฝากเงินที่ล่าช้าหรือบริการธนาคารที่ไม่ดี และโพสต์นั้นมีชื่อธนาคารของคุณอยู่ด้วย อาชญากรไซเบอร์จะใช้ข้อมูลนี้เพื่อแสร้งทำเป็นว่ามาจากธนาคารแล้วติดต่อคุณ
จากนั้น ระบบจะขอให้คุณคลิกที่ลิงก์เพื่อพูดคุยกับตัวแทนฝ่ายบริการลูกค้า จากนั้นพวกเขาจะขอข้อมูลเพื่อ "ยืนยันตัวตนของคุณ"
เมื่อคุณได้รับข้อความเช่นนี้ คุณควรติดต่อฝ่ายบริการลูกค้าผ่านช่องทางที่ปลอดภัย เช่น หน้า Twitter หรือ Instagram อย่างเป็นทางการ โดยปกติจะมีเครื่องหมายบัญชีที่ยืนยันแล้ว
7. CEO Fraud Phishing
อันนี้เกือบจะเหมือนการล่าวาฬ มันตั้งเป้าไปที่ CEO และผู้จัดการ แต่มันจะยิ่งร้ายกาจยิ่งขึ้นไปอีก เนื่องจากเป้าหมายไม่ใช่แค่เพื่อรับข้อมูลจาก CEO เท่านั้น แต่เพื่อแอบอ้างเป็นเขาหรือเธอ ผู้โจมตีที่แอบอ้างเป็น CEO หรือคล้ายคลึงกันจะส่งอีเมลถึงเพื่อนร่วมงานเพื่อขอเงินผ่านการโอนเงินผ่านธนาคารหรือขอให้ส่งข้อมูลที่เป็นความลับทันที
โดยปกติ การโจมตีจะมุ่งเป้าไปที่บุคคลในบริษัทที่ได้รับอนุญาตให้ทำการโอนเงินผ่านธนาคาร เช่น ผู้ถืองบประมาณ บุคลากรจากฝ่ายการเงิน หรือองคมนตรีที่มีข้อมูลละเอียดอ่อน ข้อความนี้มักมีจุดมุ่งหมายเพื่อให้ดูเหมือนเร่งด่วน ดังนั้นเหยื่อจะไม่มีเวลาคิด
8. เสิร์ชเอนจิ้นฟิชชิ่ง
นี่เป็นหนึ่งในการโจมตีแบบฟิชชิ่งรูปแบบใหม่ล่าสุดที่ใช้เสิร์ชเอ็นจิ้นที่ถูกต้องตามกฎหมาย ฟิชเชอร์จะสร้างเว็บไซต์ปลอมที่เสนอข้อเสนอ สินค้าฟรีและส่วนลดสำหรับผลิตภัณฑ์ หรือแม้แต่ข้อเสนองานปลอม จากนั้นพวกเขาจะใช้เทคนิค SEO (การเพิ่มประสิทธิภาพกลไกค้นหา) เพื่อจัดทำดัชนีเว็บไซต์โดยเว็บไซต์ที่ถูกต้อง
ดังนั้นเมื่อคุณค้นหาบางสิ่ง เครื่องมือค้นหาจะแสดงผลลัพธ์ที่มีไซต์ปลอมเหล่านี้ จากนั้นคุณจะถูกหลอกให้เข้าสู่ระบบหรือให้ข้อมูลที่ละเอียดอ่อนที่อาชญากรไซเบอร์เก็บเกี่ยวได้
นักฟิชชิ่งเหล่านี้บางคนเริ่มชำนาญในการใช้เทคนิคขั้นสูงเพื่อจัดการกับเครื่องมือค้นหาเพื่อเพิ่มปริมาณการเข้าชมเว็บไซต์ของตน
รับทราบและระมัดระวัง
การรู้ชื่อของแต่ละประเภทไม่สำคัญเท่ากับการทำความเข้าใจ MO โหมดและช่องทางของการโจมตีแต่ละครั้ง คุณไม่จำเป็นต้องสับสนกับสิ่งที่พวกเขาเรียก แต่สิ่งสำคัญคือต้องรู้ว่าข้อความของพวกเขาถูกสร้างขึ้นมาอย่างไรและช่องทางใดที่ผู้โจมตีใช้เพื่อเข้าถึงคุณ
สิ่งสำคัญคือต้องระมัดระวังตัวอยู่เสมอ และรู้ว่ามีคนจำนวนมากที่ออกไปหลอกให้คุณเปิดเผยรายละเอียดของคุณ ทำความเข้าใจว่าบริษัทของคุณอาจตกเป็นเป้าหมายของการโจมตี และอาชญากรกำลังมองหาทางเข้าสู่องค์กรของคุณ
การรู้ว่ามีภัยคุกคามดังกล่าวเป็นขั้นตอนแรกในการป้องกันคอมพิวเตอร์ของคุณจากการเป็นจุดเริ่มต้นของผู้โจมตี การตรวจสอบแหล่งที่มาของข้อความอีกครั้งเป็นสิ่งสำคัญมากก่อนที่จะดำเนินการ
คุณต้องเข้าใจด้วยว่าบางครั้งผู้โจมตีใช้ความกลัวและความตื่นตระหนกของผู้คนเพื่อให้ผู้ใช้ทำในสิ่งที่พวกเขาต้องการ ดังนั้นเมื่อต้องเผชิญกับภัยคุกคามจึงเป็นสิ่งสำคัญที่จะสงบสติอารมณ์เพื่อที่คุณจะได้คิด และเมื่อพูดถึงการสังเกตโปรโมชันและการหลอกลวงของ freebie สุภาษิตโบราณยังคงใช้อยู่:หากมีสิ่งที่ฟังดูดีเกินกว่าที่จะเป็นจริง ก็น่าจะเป็นเช่นนั้น
