คืออะไร
การล่อหลอกโดยแอบอ้างหน่วยงานที่น่าเชื่อถือ (ธนาคาร หน่วยงานรัฐ ร้านค้า เพื่อนร่วมงาน) เพื่อชักจูงให้คลิกลิงก์ กรอกบัญชี/รหัส หรือให้ติดตั้งซอฟต์แวร์ รูปแบบที่พบบ่อย: อีเมล (phishing), SMS (smishing), โทรศัพท์ (vishing), แชตและโซเชียลมีเดีย
เวกเตอร์ & เป้าประสงค์
- หน้าเข้าสู่ระบบปลอม (โคลน) เพื่อขโมยข้อมูลบัญชี (บางครั้งพยายามเลี่ยง 2FA)
- ไฟล์แนบ/กับดักสไตล์ “ใบแจ้งหนี้/พัสดุ” พาไปติดมัลแวร์หรือแมโคร
- Consent phishing (OAuth): ขอสิทธิ์เข้าถึงบัญชีอย่างดูเหมือน ‘ถูกต้อง’
- QRishing/คิวอาร์โค้ด, ลิงก์ย่อ และการรีไดเร็กต์แบบเปิด
ตัวอย่างที่พบบ่อย
- SMS แจ้งจัดส่ง/ค้างชำระ, ใบสั่งปรับปลอม, ภาษีค้างจ่าย
- อีเมล ‘ความปลอดภัยบัญชี’: รหัสผ่านหมดอายุ, พบการเข้าสงสัย, ขอให้ยืนยันด่วน
- ข้อความ WhatsApp/Instagram พร้อมลิงก์ไปเว็บปลอมหรือร้านค้าเงา
- แคมเปญแบบเจาะจง (spear-phishing/BEC) สวมรอยเป็นเพื่อนร่วมงาน/ผู้ขาย
- MFA fatigue: ส่งคำขออนุมัติถี่ ๆ เพื่อหลอกให้กดอนุมัติ
- คิวอาร์โค้ดบนโปสเตอร์/อีเมล พาไปหน้าเว็บขโมยบัญชี (QRishing)
ควรรับมืออย่างไร
- อย่าคลิก/อย่าตอบกลับ; ลบหรือเก็บไว้เป็นหลักฐาน ตรวจสอบข้อมูลผ่านช่องทางทางการ
- ตรวจลิงก์: เอาเมาส์ชี้/กดค้างเพื่อดู URL, คลายลิงก์ย่อ, จับตาอักษรคล้ายกัน (เช่น ‘rn’/‘m’, ‘0’/‘O’)
- ถ้าคลิกหรือกรอกข้อมูลไปแล้ว: เปลี่ยนรหัสผ่าน เปิดใช้ 2FA ปิดเซสชัน ถอนโทเคน/OAuth
- ส่งตัวอย่างที่ทำให้ไม่ระบุตัวตน (อีเมลแนบส่วนหัวเต็ม) และรายงานไปยัง ICU6
