ของปลอมที่ดูเนียนสร้างขึ้นมาได้โดยแทบไม่มีต้นทุน โลโก้ ฟอนต์ เลย์เอาต์ กระทั่งแม่กุญแจบนแถบที่อยู่ ล้วนลอกได้ภายในบ่ายเดียว สิ่งเดียวที่ผู้โจมตีลอกไม่ได้คือชื่อโดเมน นั่นคือเหตุผลว่าทำไมวิธีตรวจที่เชื่อถือได้ทุกวิธีจึงย้อนกลับมาที่การอ่าน URL ให้ถูก

บริการสมัครสมาชิกสำหรับผู้ใหญ่ดึงดูดการโจมตีแบบนี้ด้วยเหตุผลเฉพาะตัว คือเหยื่อมักไม่โทรหาฝ่ายบริการลูกค้า ไม่ส่งต่ออีเมลให้เพื่อนร่วมงานดู และไม่เอาเรื่องนี้ไปพูดที่ไหนหลังจากนั้น ความอยากเก็บเป็นความลับคือจุดที่ถูกใช้เป็นเครื่องมือ แค่รู้ทันว่าความอายเป็นส่วนหนึ่งของแบบแผนการโจมตี ก็เป็นการป้องกันไปแล้วครึ่งหนึ่ง

อ่าน URL ให้ถูกต้องทำอย่างไร?

อ่านจากขวาไปซ้าย ไม่ใช่จากซ้ายไปขวา โดเมนที่มีความหมายจริงคือชื่อที่อยู่ติดกับโดเมนระดับบนสุด

ทุกอย่างที่อยู่ทางซ้ายของชื่อนั้น คนที่คุมโดเมนตั้งเองได้ตามใจ รวมถึงคำที่อ่านแล้วรู้สึกอุ่นใจด้วย

URL ที่แสดงบนหน้าจอ โดเมนที่จดทะเบียน คำตัดสิน
account.example.com/billing example.com เป็นของ example.com
example.com.billing-secure.xyz billing-secure.xyz โดเมนของผู้โจมตี
example-billing.com example-billing.com คนละโดเมนกันคนละเรื่อง
examp1e.com examp1e.com ตัวอักษรหลอกตา — ใช้เลขหนึ่งแทนตัว l
example.com@evil.tld/pay evil.tld ทุกอย่างก่อนเครื่องหมาย @ ถูกมองข้าม

ยังมีกับดักอีกสองอย่าง โดเมนที่รองรับอักขระหลายภาษาแสดงตัวอักษรซีริลลิกหรือกรีกที่หน้าตาเหมือนอักษรละตินเป๊ะได้ เบราว์เซอร์มักแสดงโดเมนพวกนี้เป็นพันนีโค้ดที่ขึ้นต้นด้วย xn-- ดังนั้นถ้าแถบที่อยู่ขึ้น xn-- บนแบรนด์ที่คุณคุ้นเคย นั่นคือของปลอมแน่นอน อีกอย่างคือบนมือถือแถบที่อยู่จะตัดข้อความให้สั้นลง ให้แตะเพื่อขยาย URL เต็มก่อนตัดสินอะไรทั้งนั้น

ฟอร์มกรอกบัตรควรอยู่ที่ไหนกันแน่?

บนหน้าที่คุณไม่ได้เดินทางไปเอง มันไม่ควรมีอยู่ตั้งแต่แรก

ร้านค้าที่ถูกต้องส่วนใหญ่ไม่อยากแตะหมายเลขบัตรของคุณ เพราะการรับข้อมูลบัตรโดยตรงทำให้ต้องแบกภาระการปฏิบัติตามมาตรฐานที่หนักขึ้นมาก ร้านเหล่านั้นจะเลือกส่งคุณต่อไปยังโดเมนของผู้ให้บริการรับชำระเงิน หรือฝังช่องกรอกบัตรไว้ใน iframe ที่ผู้ให้บริการเป็นคนส่งมา ไม่ว่าทางไหน หมายเลขบัตรก็ถูกกรอกลงในหน้าของผู้ให้บริการรับชำระเงิน ไม่ใช่หน้าของร้าน

วิธีตรวจที่ใช้ได้จริง

  • คุณเป็นคนเริ่มเองหรือเปล่า? หน้าเรียกเก็บเงินที่คุณไปถึงด้วยการคลิกลิงก์ในอีเมล เป็นคนละเรื่องกับหน้าที่คุณไปถึงด้วยการพิมพ์ที่อยู่เว็บเองแล้วล็อกอิน มีแค่อย่างหลังที่ตรวจสอบย้อนกลับได้
  • เว็บนั้นมีข้อมูลบัตรของคุณอยู่แล้วหรือไม่? สมาชิกเดิมแทบไม่เคยถูกขอให้พิมพ์หมายเลขบัตรเต็มใหม่อีกรอบ ประโยค "กรุณายืนยันข้อมูลการชำระเงินอีกครั้ง" คือหนึ่งในสัญญาณเดี่ยวที่ชี้ว่าเป็นของปลอมได้ชัดที่สุด
  • ฟอร์มขอมากกว่าที่การจ่ายเงินต้องใช้หรือไม่? หมายเลขบัตร วันหมดอายุ CVC และรหัสไปรษณีย์ คือการจ่ายเงิน ถ้าเพิ่มวันเกิด เลขบัตรประชาชน รหัสผ่านบัญชี ชื่อสกุลเดิมของแม่ หรือรูปถ่ายหน้าบัตร นั่นคือการเก็บเกี่ยวข้อมูลยืนยันตัวตน
  • ระบบขอ CVC ซ้ำหรือไม่? ขั้นตอนของจริงถามครั้งเดียว

สัญญาณอะไรบ้างที่แยกหน้าปลอมออกจากหน้าเรียกเก็บเงินจริง?

ให้เทียบกับสิ่งที่เวอร์ชันของจริงทำ แทนที่จะไล่หาข้อผิดพลาด เพราะของปลอมสมัยนี้แทบไม่มีข้อผิดพลาดให้จับ

สัญญาณ หน้าฟิชชิง หน้าของจริง
คุณมาถึงหน้านี้ได้อย่างไร ลิงก์ในอีเมล ข้อความส่วนตัว หรือโฆษณา คุณพิมพ์ที่อยู่เว็บเองแล้วล็อกอิน
โดเมน ชื่อคล้ายของจริง มีขีดคั่น หรือไม่เกี่ยวอะไรเลย โดเมนที่เว็บนั้นจดทะเบียนไว้เอง
น้ำเสียง เส้นตาย ขู่ระงับบัญชี "แจ้งเตือนครั้งสุดท้าย" เป็นกลาง ไม่มีเวลานับถอยหลัง
ข้อมูลที่ขอ บัตร บวกรหัสผ่าน บวกเอกสารยืนยันตัวตน เฉพาะช่องข้อมูลบัตร
การกรอกบัตร ช่องกรอกอยู่บนหน้าเดียวกัน โดเมนของผู้ให้บริการรับชำระเงิน หรือ iframe ของผู้ให้บริการ
ช่องทางติดต่อ เบอร์โทรหรือลิงก์แชตบนหน้านั้นเอง ช่องทางติดต่อที่อยู่ในบัญชีที่ล็อกอินแล้ว
สถานะการล็อกอิน ให้คุณล็อกอินใหม่เพื่อ "ยืนยันตัวตน" คุณล็อกอินอยู่แล้ว
ภาษา ไวยากรณ์เพี้ยนเล็กน้อย สกุลเงินไม่สอดคล้องกัน สอดคล้องกับส่วนอื่นของเว็บ

อีเมลที่อ้างว่ามีคลิปของคุณล่ะ?

ให้มองอีเมลแบล็กเมลทางเพศเป็นสแปมที่แถมคำขู่มาด้วย เวอร์ชันมาตรฐานจะอ้างรหัสผ่านที่คุณจำได้ ซึ่งมาจากรายชื่อข้อมูลรั่วไหลเก่า ไม่ได้มาจากเครื่องของคุณ แล้วอ้างว่ามีคลิปที่อัดจากเว็บแคม

จุดที่แฉตัวเองคือข้อความพวกนี้ไม่เคยแนบตัวคลิปมาด้วย เพราะมันไม่มีอยู่จริง สิ่งที่แนบมามีแค่รหัสผ่าน เส้นตาย และที่อยู่กระเป๋าเงินคริปโต ถ้าผู้โจมตีมีคลิปจริง ข้อความแรกย่อมแนบภาพนิ่งสักเฟรมมาให้ดู

การตอบสนองที่ถูกต้องคือไม่จ่าย ไม่ตอบ และเปลี่ยนรหัสผ่านของทุกบัญชีที่ยังใช้รหัสผ่านที่ถูกอ้างถึงอยู่ การจ่ายเงินเท่ากับประกาศว่าคุณเป็นคนที่ยอมจ่าย และแทบทุกครั้งจะตามมาด้วยการเรียกเงินรอบสอง

ถ้ากรอกข้อมูลไปแล้วต้องทำอย่างไร?

ตรงนี้ลำดับสำคัญกว่าความเร็ว ถึงแม้ทั้งสองอย่างจะช่วยได้ก็ตาม

ขั้นตอน ทำไมถึงอยู่ลำดับนี้
1. โทรหาผู้ออกบัตรตามหมายเลขที่อยู่บนบัตร การอายัดหมายเลขบัตรหยุดความเสียหายได้ทันที อย่าใช้เบอร์จากหน้าเว็บหรืออีเมลที่น่าสงสัยเด็ดขาด
2. เปลี่ยนรหัสผ่านที่กรอกไป โดยเปลี่ยนบนเว็บตัวจริง ให้ถือว่าข้อมูลล็อกอินถูกเก็บไปตั้งแต่วินาทีที่คุณกดส่ง
3. เปลี่ยนรหัสผ่านนั้นในทุกที่ที่คุณใช้ซ้ำ การไล่ยิงรหัสผ่านเดิมกับบริการอื่นเกิดขึ้นภายในไม่กี่ชั่วโมง
4. ออกจากระบบทุกเซสชันในบัญชีตัวจริง โทเคนเซสชันที่ถูกขโมยไปยังใช้ได้ต่อแม้เปลี่ยนรหัสผ่านแล้วบนบางแพลตฟอร์ม
5. ตรวจการตั้งค่ากู้คืนบัญชี ผู้โจมตีมักเพิ่มอีเมลหรือเบอร์โทรสำรองไว้เพื่อรักษาสิทธิ์เข้าถึง
6. ไล่ดูรายการเดินบัญชีว่ามีการหักเงินจำนวนน้อย ๆ หรือไม่ การทดลองรูดยอดเล็กมักมาก่อนการรูดยอดจริง

มีข้อหนึ่งที่จงใจไม่ใส่ไว้ อย่ารับมือด้วยการติดตั้งเครื่องมือ "รักษาความปลอดภัย" ที่หน้าเว็บหรืออีเมลนั้นแนะนำ นั่นคือขั้นที่สองของการโจมตีชุดเดียวกันซึ่งเป็นที่รู้จักกันดี และมันเปลี่ยนปัญหาเรื่องบัตรให้กลายเป็นปัญหาที่ตัวเครื่องของคุณ

คำถามที่เกี่ยวข้อง