อีเมลหลอกล่อหรือฟิชชิงเป็นวิธีที่คนร้ายใช้บ่อยที่สุดวิธีหนึ่ง เพราะมันอาศัยความเคยชินของเรา ไม่ใช่ความผิดพลาดของระบบ ข้อความพวกนี้พยายามทำให้เรารีบกดลิงก์หรือกรอกข้อมูล บทความนี้ชวนดูจุดสังเกตที่แยกอีเมลของจริงออกจากของปลอม
เริ่มจากดูชื่อผู้ส่งให้ละเอียด
สิ่งที่คนมักดูแค่ผ่าน ๆ คือ ชื่อที่แสดงของผู้ส่ง ซึ่งปลอมได้ง่ายมาก ชื่ออาจเขียนว่าเป็นธนาคารหรือบริการที่เรารู้จัก แต่ที่อยู่จริงข้างหลังไม่ตรง
- กดดูที่อยู่อีเมลเต็ม ๆ ไม่ใช่แค่ชื่อที่แสดง
- ดูโดเมนหลังเครื่องหมาย @ ว่าสะกดถูกเป๊ะไหม
- ระวังโดเมนที่เติมคำหรือสลับตัวอักษรเล็กน้อย
- ถ้าเป็นหน่วยงานจริง โดเมนต้องตรงกับเว็บทางการของเขา
สังเกตน้ำเสียงที่เร่งเร้า
ฟิชชิงมักใช้ ความกลัวหรือความรีบ เป็นเครื่องมือ เช่น บอกว่าบัญชีจะถูกระงับ มีพัสดุค้าง มีค่าปรับ หรือมีรางวัลรออยู่
- ข้อความที่บอกให้ทำทันทีภายในไม่กี่ชั่วโมง
- ขู่ว่าจะเสียสิทธิ์หรือถูกระงับบริการ
- อ้างว่ามีเงินหรือพัสดุรอรับ แต่ต้องกดลิงก์ก่อน
- เชื้อเชิญให้กรอกข้อมูลเพื่อ “ยืนยันตัวตน”
ของจริงมักไม่ผลักดันให้เรารีบตัดสินใจใจร้อนแบบนี้
อ่านที่อยู่ลิงก์ก่อนกด
จุดตัดสินใจสำคัญที่สุดคือ ลิงก์ในอีเมล อย่ากดเลยถ้ายังไม่ได้ดูว่ามันพาไปไหน
- วางเมาส์ค้างดูที่อยู่ปลายทางก่อนคลิก
- ดูโดเมนหลักที่อยู่ก่อนเครื่องหมายสแลชแรก
- ระวังโดเมนยาวที่มีคำของหน่วยงานจริงแทรกอยู่กลาง แต่ท้ายสุดเป็นโดเมนแปลก
- ระวังตัวย่อลิงก์ที่ซ่อนปลายทาง
ระวังไฟล์แนบที่ไม่คาดคิด
ไฟล์แนบเป็นอีกช่องทางที่อันตราย โดยเฉพาะไฟล์ที่ขอให้เปิดแล้วกรอกข้อมูล หรือไฟล์ที่ต้องเปิดใช้โปรแกรมพิเศษ
- ไฟล์แนบที่มาโดยที่เราไม่ได้ขอ
- ไฟล์ที่ดูเหมือนใบแจ้งหนี้หรือใบเสร็จที่เราไม่รู้จัก
- ไฟล์ที่ต้องกดเปิดใช้งานมาโครหรือสคริปต์
- ไฟล์บีบอัดที่มีรหัสผ่านแนบมาในอีเมลเดียวกัน
สังเกตความผิดปกติของเนื้อหา
- คำทักทายกว้าง ๆ ไม่มีชื่อเรา หรือเรียกชื่อผิด
- โลโก้และรูปแบบดูคล้ายของจริงแต่มีรายละเอียดเพี้ยน
- ภาษาแปลก ๆ สะกดผิด หรือประโยคไม่เป็นธรรมชาติ
- ลายเซ็นหรือที่อยู่ติดต่อไม่ตรงกับหน่วยงานจริง
- ให้ติดต่อกลับทางช่องทางที่ไม่เป็นทางการ
ทำยังไงถ้าไม่แน่ใจ
หลักที่ปลอดภัยที่สุดคือ อย่าตอบโต้ผ่านอีเมลนั้น ให้เข้าเว็บหรือแอปของหน่วยงานด้วยตัวเองโดยตรง แล้วเช็กข้อมูลจากที่นั่น
- พิมพ์ที่อยู่เว็บทางการเอง แทนการกดลิงก์
- โทรหาหน่วยงานด้วยเบอร์ที่หาเอง ไม่ใช่เบอร์ในอีเมล
- แยกอีเมลที่สงสัยไปไว้ก่อน ไม่ต้องรีบตอบ
- ถามคนที่ไว้ใจช่วยดูถ้ายังไม่แน่ใจ
ถ้าเผลอกดไปแล้ว
- รีบเปลี่ยนรหัสผ่านของบัญชีนั้นทันที
- เปลี่ยนรหัสซ้ำที่ใช้ที่อื่นด้วย
- แจ้งธนาคารถ้าเผลอกรอกข้อมูลบัตร
- สแกนเครื่องด้วยโปรแกรมความปลอดภัย
- รายงานอีเมลนั้นว่าเป็นฟิชชิง
เช็กลิสต์แยกอีเมลหลอกล่อ
- ดูที่อยู่ผู้ส่งเต็ม ไม่ใช่แค่ชื่อที่แสดง
- ระวังข้อความเร่งเร้าและขู่ให้กลัว
- ดูปลายทางลิงก์ก่อนกดทุกครั้ง
- อย่าเปิดไฟล์แนบที่ไม่คาดคิด
- สงสัยแล้วเข้าเว็บทางการเอง ไม่กดลิงก์
- เปิดการยืนยันตัวตนสองขั้นตอนในบัญชีสำคัญ
สรุปคืออีเมลหลอกล่อไม่ได้แนบเนียนเสมอ แต่จุดที่คนพลาดบ่อยคือการกดลิงก์เร็วเกินไปและไม่ดูที่อยู่ผู้ส่งจริง ๆ ถ้าสร้างนิสัยชะลอดูสักสามวินาทีก่อนกดทุกครั้ง และเข้าเว็บทางการด้วยตัวเองเมื่อไม่แน่ใจ ก็จะรอดจากกับดักส่วนใหญ่ได้โดยไม่ต้องพึ่งเครื่องมือพิเศษอะไรเลย