จินตนาการคลิกอีเมล Microsoft ที่ดูจริง มีโลโก้ Layout และ URL คุ้นเคย แล้วสุดท้ายสูญเสียข้อมูลเข้าสู่บัญชี อีเมลฟิชชิงกลายเป็นอัจฉริยะขึ้น เพราะผู้คุกคามกำลัง exploit ภาพลวงตาแบบพิมพ์ (typographical illusion) เพื่อหลอกคุณสละรายละเอียดล็อกอิน
รูปแบบการโจมตีนี้เรียกว่า typosquatting และมันลับลมกว้างอย่างหลอกลวง ต้องมองครั้งแรก ที่อยู่ผู้ส่งดูถูกต้อง การออกแบบอีเมลตรงกับที่คาดหวังจาก Microsoft แม้ลิงก์ในอีเมลก็ดูถูกต้อง แต่มองใกล้ๆ จะพบบางอย่างผิด: ตัวอักษรเดียวที่พอให้บัญชีของคุณถูกแฮก
Typosquatting คืออะไรและทำงานอย่างไร
ทริคทางสายตาที่ exploit วิธีที่เราอ่าน
ในกรณีนี้ ผู้คุกคามลงทะเบียนโดเมนอย่าง rnicrosoft.com และส่งอีเมลจากมันเหมือนเป็นสนับสนุน Microsoft อย่างเป็นทางการ ต้องมองครั้งแรก และโดยเฉพาะบนโทรศัพท์ สมองคุณอาจเห็นเป็น microsoft.com แทน "r-nicrosoft" นี่คือ typosquatting (หรือ URL hijacking) แบบคลาสสิกในการกระทำ
Typosquatting เกี่ยวข้องกับการสร้างโดเมนปลอมที่ดูเกือบเหมือนเว็บไซต์ยอดนิยม โจรใช้การสะกดผิด ตัวอักษรสลับ โดเมนระดับบนต่างๆ (.co แทน .com) หรือ subdomain ที่ปรับเปลี่ยน เพื่อจับคนให้ตกใจไม่ทัน
เป้าหมายคือหลอกคุณให้คลิกลิงก์หรือพิมพ์ URL นำไปยังโดเมนปลอม เมื่ออยู่ที่นั่น เหยื่อมักพบเว็บไซต์โคลนพร้อมแบรนด์และออกแบบตรงกัน คุณล็อกอิน ใส่รายละเอียดการชำระเงิน หรือดาวน์โหลดไฟล์ และให้โจรสิ่งที่พวกเขาต้องการ
Typosquatting ทำงานได้เพราะสมองเราประมวลผลคำที่คุ้นเคยเป็นรูปแบบ แทนที่จะอ่านตัวอักษรแต่ละตัวอย่างเดี่ยว เมื่อคุณเห็น "microsoft" หลายร้อยครั้ง สมองเริ่มจดจำรูปทรงแทนการตรวจสอบแต่ละตัวอักษร โจร exploit นี้โดยใช้ตัวอักษรที่ดูคล้าย เช่น "rn" แทน "m," "vv" แทน "w," หรือ "1" แทน "l"
ปัญหาแย่ลงบนอุปกรณ์มือถือ หน้าจอเล็ก ฟอนต์เริ่มต้น และการเลื่อนเร็ว ทำให้ความแตกต่างละเอียดอ่อนเหล่านี้เกือบมองไม่เห็น คุณเช็คอีเมลบนโทรศัพท์ระหว่างกลางวัน คุณเห็นข้อความจากสิ่งที่ดูเหมือน Microsoft และแตะเข้าไปโดยไม่คิดสองครั้ง
สิ่งที่ทำให้ typosquatting มีประสิทธิภาพคือการใช้ในอีเมลฟิชชิง โจรสามารถลงทะเบียน typo domain ตั้งค่าการยืนยันอีเมลที่ถูกต้อง (SPF, DKIM, DMARC) และส่งข้อความที่ดูถูกต้องอย่างสมบูรณ์ อีเมลผ่านตัวกรองสแปม ตกใน inbox และรอให้คุณคลิก
ทำไมตัวกรองเบราว์เซอร์และอีเมลไม่จับได้เสมอไป
โดเมนที่ดูถูกต้องเล 빠져나อกจากการตรวจสอบอัตโนมัติ
คุณอาจคิดว่าผู้ให้บริการอีเมลหรือเบราว์เซอร์จะจับ URL ปลอมหรือสะกดผิดที่ชัดเจน และบ่อยครั้งพวกเขาก็ทำได้ Edge และ Chrome จะตรวจจับ typo ใน URL ได้ น่าเสียดาย typosquatting exploit ช่องว่างที่ระบบอัตโนมัติพลาด
Typosquatted domains มักลงทะเบียนอย่างถูกต้องพร้อมใบรับรอง SSL ที่ถูกต้อง และเนื้อหาที่ดูไม่เป็นอันตราย Email gateways มุ่งเน้นรูปแบบสแปมและผู้ส่งที่รู้จักว่าแย่ แต่อีเมลจาก typo domain ที่ตั้งค่าถูกต้องพร้อมการยืนยันที่เหมาะสม อาจดูเหมือน traffic ที่ถูกต้องในทางสถิติ เว้นแต่ตัวกรองตรวจสอบ brand similarity โดยเฉพาะ หรือใช้ machine learning ที่ปรับสำหรับ lookalike domains มันจะไม่ทำเครื่องหมายข้อความว่าน่าสงสัย
การป้องกันเบราว์เซอร์มีข้อจำกัดคล้ายกัน โดเมน typo ใหม่ปรากฏตลอดเวลา และอาจใช้เพียงชั่วคราวก่อนหมุนเวียนไปโครงสร้างพื้นฐานใหม่ Blocklists และคุณสมบัติป้องกัน typo อาจตามไม่ทัน หรือพลาดการโจมตีปริมาณต่ำที่มุ่งเป้าเฉพาะเจาะจง จนกว่าโดเมนจะถูกทำเครื่องหมาย ความเสียหายมักเกิดขึ้นแล้ว
ป้องกัน typosquatting ได้ง่าย แตาต้องรู้วิธี
นิสัยและเครื่องมือง่ายๆ ที่รักษาความปลอดภัย
บริษัทเทคโนโลยีใหญ่อย่าง Google, Microsoft, Amazon และอื่นๆ ต่อสู้กับ typosquatting อย่างต่อเนื่อง และซื้อเวอร์ชันสะกดผิดทั่วไปของโดเมนของพวกเขา และ redirect ไปยังไซต์ทางการ ตัวอย่าง หากคุณพิมพ์ gooogle.com (มี "o" เพิ่ม) คุณจะถูก redirect ไป URL ที่ถูกต้อง Google.com นี่ป้องกันไม่ให้โจรลงทะเบียน typo ทั่วไป แต่พวกเขาไม่ซื้อทุก variation ที่เป็นไปได้ หมายความว่าคุณยังต้องระมัดระวัง
การป้องกันง่ายที่สุดคือ หยุดพักก่อนคลิก Hover เมาส์เหนือลิงก์ในอีเมลเพื่อดู URL จริงก่อนคลิก ตรวจสอบ address bar อย่างละเอียด โดยเฉพาะบนมือถือ ที่หน้าจอเล็กทำให้ความแตกต่างละเอียดอ่อนยากที่จะเห็น หากมีอะไรแปลกเกี่ยวกับหน้าล็อกอิน รวมถึงฟอนต์ผิด ขาดองค์ประกอบ หรืออะไรที่ดูไม่ถูกต้อง ปิดแท็บและไปที่ไซต์โดยตรงโดยพิมพ์ URL เองหรือใช้ bookmark
Password manager ให้การป้องกันในตัวที่นี่ หาก password manager ไม่ auto-fill บนหน้าล็อกอิน นั่นเป็นสัญญาณแรงว่าโดเมนไม่ใช่ที่คุณใช้ปกติ Password manager ตรวจสอบโดเมนที่แน่นอน ไม่ใช่ลักษณะที่มองเห็น ดังนั้น typosquatted sites จะไม่ทริกเกอร์ auto-fill
สำหรับการป้องกันที่แข็งแกร่งกว่า พิจารณาเปลี่ยนมาใช้ passkeys แทนรหัสผ่าน Passkeys ทนทานต่อฟิชชิงโดยการออกแบบ เนื่องจากผูกกับโดเมนเฉพาะและไม่ทำงานบนไซต์ปลอม คุณยังสามารถใช้ hardware security key สำหรับบัญชีที่รองรับ passkeys อุปกรณ์ทางกายภาพเหล่านี้ยืนยันความถูกต้องของเว็บไซต์ก่อนยืนยันตัวตน ทำให้การโจมตี typosquatting ไร้ประสิทธิภาพโดยสิ้นเชิง
เสมอสงสัยลิงก์อีเมล
Typosquatting ทำงานได้เพราะ exploit วิธีสมองประมวลผลข้อมูลที่คุ้นเคย เราเห็นสิ่งที่คาดหวัง ไม่ใช่สิ่งที่อยู่จริง โจรคำนึงถึงนี้ สร้างโดเมนและอีเมลที่ผ่านการทดสอบนวตติ้งมุมมอง
อย่างไรก็ตาม เมื่อคุณรู้ว่าทริคนี้ทำงานอย่างไร คุณจะเริ่มสังเกตการสลับตัวอักษรละเอียดอ่อนได้ง่ายขึ้น ใช้เวลาลงตรวจสอบที่อยู่ผู้ส่งและ URL ให้พิจารณา โดยเฉพาะหน้าล็อกอินและธุรกรรมทางการเงิน ใช้ bookmark สำหรับไซต์ที่เยี่ยมชมบ่อย และให้ password manager ทำการตรวจสอบโดเมนให้คุณ การหยุดพักสั้นๆ นี้อาจช่วยคุณหลีกเลี่ยงการมอบข้อมูลประจำตัวให้ใครที่ลงทะเบียนโดเมนที่ดูเกือบ — แต่ไม่ใช่ — ถูกต้อง
