มีคนปลอมตัวเป็นผมออนไลน์ ใช้ชื่อ บทความที่ผมเขียน และอีเมลปลอม พยายามแฮกบัญชี Instagram ในเดือนผ่านมา ผมได้รับอีเมล 2 ครั้งจากเหยื่อที่นักหลอกลวงพยายายจะหลอก
นี่คือสิ่งที่เกิดขึ้นและบทเรียนที่คุณเรียนรู้ได้
พื้นหลัง
ปีที่แล้วผมเขียนบทความ "11 บัญชี Instagram ตลกที่คุณต้องติดตามทันที" แค่รายการ 11 บัญชีที่ผมชอบ คิดว่าคนอื่นก็จะชอบ ส่งให้บรรณาธิการ และไม่คิดอะไรเพิ่ม—ทำทุกวัน บทความเผยแพร่ ประสบความสำเร็จ จบเรื่อง... หรือคิดว่าจบ
ปลายเดือนกันยายนปีนี้ ผมได้อีเมลจาก The Exquisite Lifestyle บัญชี Instagram ไลฟ์สไตล์หรู 223,000 ติดตาม พวกเขาได้อีเมลจากคนปลอมเป็นผม กล่าวว่า:
พวกเขาแน่ใจว่าเป็นการหลอกลวง แจ้งให้เราทราบว่ามีเรื่องผิดปกติเกิดขึ้น
เราคุยกันภายใน MakeUseOf สรุปว่าไม่ทำได้มาก นักเขียนทั่วไปไม่เข้าถึงบัญชี Instagram คนอื่นได้! บรูซ เอปเปอร์ (Bruce Epper) ผู้เชี่ยวชาญความปลอดภัย ติดต่อ Google ปิดอีเมลปลอม แต่ไม่สำเร็จ ผมทิ้งไว้ข้างหลังไปต่อชีวิต
อีเมลครั้งที่สอง
ต้นพฤศจิกายน ได้อีเมลจากบัญชี Instagram อีกแห่ง นักปลอม联系了 Clothes.Models บัญชีแฟชั่น 131,000 ติดตาม เรื่องราวเดียวกัน แค่เปลี่ยนชื่อบัญชีในอีเมล:
แต่ Clothes.Models ไม่เร็วเห็นว่าเป็นหลอกลวง ตอบกลับว่าสนใจถูกนำเสนอ สิ่งที่เกิดต่อมาให้ข้อมูลมากขึ้น
นักหลอกลวงตอบกลับว่า:
นี่สำคัญ จะกลับมาพูดถึง
幾天後 นักหลอกลวงส่งอีเมลอีกฉบับ:
ลิงก์นำไปสู่หน้า Google Sign-in ปลอม ใส่รายละเอียดบัญชี คลิก Sign in → Redirect ไป Gmail จริง แต่นักหลอกลวงได้รายละเอียดล็อกอินของคุณแล้ว
โชคดีที่ Clothes.Models เห็นว่าเป็นหลอกลวง ไม่ได้ล็อกอิน แต่ติดต่อผมมายืนยัน จริงๆ แล้วไม่ได้เป็นไปอย่างถูกต้อง จึงเขียนบทความนี้
เกิดอะไรขึ้นจริงๆ?
แยกวิเคราะห์:
- นักหลอกลวงปลอมเป็นผม ติดต่อบัญชี Instagram ใหญ่ บอกอยากนำเสนอในบทความ
- พวกตอบกลับ → ขอเบอร์โทรติดต่อ
- ท้ายสุด บอกว่าบทความพร้อม ส่งลิงก์ "Google Docs" ให้ "อนุมัติ" ร่าง
ดูปกติ แต่มี_red_flags_ใหญ่: จบกระบวนการ นักหลอกลวงควบคุม Gmail ได้ทั้งหมด + ข้อมูลเพียงพอ Reset รหัสผ่าน Instagram + ข้อมูลพอ繞过 Two-Factor Authentication
สถานการณ์แย่มาก
Red Flags (สัญญาณเตือน)
โชคดีที่ทั้งสองบัญชีจับได้ก่อน 늦เกินไป มีสัญญาณเตือนใหญ่ในทุกอีเมล มาดู:
1. นักเขียนไม่ต้องขออนุญาต/การอนุมัติ ใส่ใจว่าเป็นความจริง ได้รับการคุ้มครองโดยกฎหมายเสรีภาพพูดในหลายประเทศ โดยเฉพาะบทความ "Top 15 Instagram Accounts Everybody Should Be Following" ถ้าเป็นแค่การโปรโมตเชิงบวก นักเขียนไม่มีทางติดต่อขออนุมัติ ผมไม่ได้ติดต่อบัญชีไหนในบทความ 11 บัญชีตลก
2. เว็บใหญ่อย่าง MakeUseOf ไม่ใช้อีเมล Gmail แบบ Generic นักเขียนแต่ละคนมีอีเมล AuthorName@MakeUseOf.com หาอีเมลนักเขียนได้จาก Author Page (นี่คือของผม)
3. บทความลิสต์ธรรมดาไม่จ่ายพอที่นักเขียนจะโทรหาทุกเว็บ ทำเงินออนไลน์ได้ แต่งานเขียนเยอะ ถ้าสัมภาษณ์ใหญ่/สืบสวนต่างออกไป แต่ลิสต์ 15 บัญชี Instagram ไม่มีทางต้องเบอร์โทร
4. แม้จะโชว์ร่างให้อนุมัติ ก็ไม่ใช่ Google Doc ที่แก้ไขได้ อาจขอ Fact-check หรือตรวจสอบมุมมองในสัมภาษณ์ แต่ไม่ให้เพิ่ม "อะไรก็ได้ที่อยากเพิ่ม"
5. ลิงก์หน้า Google Sign-in ที่ไม่นำไปสู่เว็บของ Google จริง = ปลอม อย่าใส่รายละเอียดเด็ดขาด ตรวจ SSL Certificate ด้วย หน้าปลอมนักหลอกลวงใช้ ไม่มี SSL อีกสัญญาณใหญ่
อยู่ปลอดภัยออนไลน์
อุตสาหกรรมขโมยบัญชีโซเชียลมีเดียใหญ่เติบโตขึ้น คุ้มค่าจริง ถ้าคุณดูแลบัญชีใหญ่ ระวังข้อมูลติดต่อมาก ผู้ใช้ทั่วไปก็โดนแฮกได้
อยู่ปลอดภัยออนไลน์ไม่ซับซ้อน: ตระหนักว่าทำอะไรอยู่ หาดูดีเกินจริง = น่าจะหลอกลวง รู้สึกผิดปกติจากใคร = น่าจะหลอกลวง อีเมลนักหลอกลวงมีสัญญาณเตือนเยอะ มองหาสิ่งเหล่านี้ หากไม่สบายใจ ตัดการติดต่อทันที
นี่คือ Spear Phishing แบบ Targeted ไม่ทุกคนจะเป็นเหยื่อแบบนี้ แตบทเรียนใช้ได้ทุกกรณี
ถูกปลอมตัวออนไลน์รู้สึกแปลกมาก ยังไม่รู้รู้สึกยังไง ถ้าคุณเคยเป็นเหยื่อการโจมตีแบบนี้ แชร์เรื่องราวในความคิดเห็นครับ เราอยากฟัง!
