ป้องกันตนเองให้ปลอดภัยจากการจู่โจมแบบฟิชชิ่ง

คิดว่าฟิชชิ่งเป็นการจู่โจมที่ล้าสมัยอย่างนั้นหรือ? ลองคิดอีกที แม้ว่าระบบกรองอีเมลสแปมจะได้รับการพัฒนาให้ฉลาดขึ้นกว่าเดิม Anti-Phishing Working Group ได้รายงานว่าการจู่โจมแบบฟิชชิ่งที่มีคุณลักษณะเฉพาะนั้นมีจำนวนเพิ่มขึ้นถึง 18% ในไตรมาสสุดท้ายของปี 2014 และผู้เชี่ยวชาญด้านความปลอดภัยก็พยากรณ์ไว้ว่าการจู่โจมลักษณะนี้จะมีจำนวนมากขึ้นเรื่อยๆ ในปี 2016

ฟิชชิ่งยังคงเป็นกลวิธียอดนิยมในการขโมยข้อมูลที่มีความสำคัญ เช่น รหัสผ่าน รหัสความปลอดภัย และหมายเลขบัตรเครดิต อีกทั้งยังเป็นวิธีในการลอบนำมัลแวร์เข้าสู่อุปกรณ์ส่วนตัวและระบบของบริษัท แม้กระทั่งบัญชี LastPass ก็อาจเป็นเป้าหมายของการจู่โจมแบบฟิชชิ่งได้ การปกป้องจากการจู่โจมแบบฟิชชิ่งนั้นจำเป็นต้องใช้ซอฟต์แวร์ที่มีความชาญฉลาดในการตรวจจับมากขึ้น และตัวคุณเองก็จำเป็นต้องเตรียมตัวให้ดียิ่งขึ้นในฐานะแนวหน้าด่านแรกที่ต้องรับมือกับการจู่โจม

ในบทความนี้ เราขอนำเสนอแนวทางที่ LastPass ต่อสู้กับฟิชชิ่ง และสิ่งที่คุณสามารถทำได้ เพื่อเพิ่มความสามารถในการตรวจจับฟิชชิ่ง และปกป้องข้อมูลที่สำคัญที่สุดของคุณเมื่อถูกจู่โจมโดยไม่ทันตั้งตัว

ฟิชชิ่งคืออะไร?

การจู่โจมแบบฟิชชิ่งนั้นมีหลายรูปแบบ คุณอาจได้รับอีเมลจากผู้ที่ปลอมตัวเป็นธนาคารที่คุณใช้บริการ ขอคำยืนยันเกี่ยวกับกิจกรรมทางบัญชี หรือใบแจ้งหนี้ปลอมที่ขอให้คุณดาวน์โหลดเอกสารที่แนบมาเพื่อยืนยันการสั่งซื้อของคุณ ฟิชชิ่งอาจอยู่ในรูปโฆษณาหรือลิงก์บนโซเชียลมีเดียที่แฝงด้วยโปรแกรมที่เป็นอันตราย ผู้จู่โจมอาจลงทุนพาคุณไปยังหน้าเว็บเข้าสู่ระบบปลอมซึ่งจำลองเว็บไซต์ชื่อดังที่คุณใช้ประจำได้ใกล้เคียงต้นแบบอย่างยิ่ง

นอกจากนี้ยังมีการฟิชชิ่งรายบุคคลซึ่งมุ่งเป้าโจมตีบุคคลคนเดียวเป็นการส่วนตัว ผู้จู่โจมจะส่งอีเมลที่ทำทีเป็นเพื่อนร่วมงานหรือหัวหน้าของคุณ หรือแม้กระทั่งฝ่าย IT ของคุณ พวกเขาเรียนรู้ข้อมูลเกี่ยวกับตัวคุณเพื่อสร้างคำขอที่ดูสมจริง พร้อมหลอกขอข้อมูลเพิ่มเติมจากคุณ หรืออาจให้คุณดาวน์โหลดไฟล์ที่เป็นอันตราย ซ้ำร้ายยังอาจหลอกให้คุณโอนเงินไปให้พวกเขาอีกด้วย

วิธีระบุการจู่โจมแบบฟิชชิ่ง

การจู่โจมฟิชชิ่งจำนวนมากนั้นไม่ซับซ้อนและตรวจพบได้ง่าย แต่การโจมตีบางรูปแบบก็ซับซ้อนกว่านั้นมาก ดังนั้นคุณจึงควรมองดลกในแง่ร้ายเป็นพิเศษเมื่อพบกับอีเมล ลิงก์ และการแจ้งเตือนที่น่าสงสัย ต่อไปนี้เป็นวิธีระบุการจู่โจมแบบฟิชชิ่งขั้นพื้นฐาน:

  • ตรวจสอบ URL: ดูแถบที่อยู่ของเว็บไซต์ที่คุณเปิด หรือนำเมาส์เลื่อนไปที่ลิงก์เพื่อดู URL จากมุมซ้ายล่างของเบราว์เซอร์ เพื่อตรวจสอบยืนยันว่าเป็น URL จากแหล่งที่เชื่อถือหรือจากบุคคลแปลกปลอม ตัวอย่างเช่น เมื่อเข้าเว็บไซต์ LastPass คุณจะเห็น https://lastpass.com หรือ https://subdomain.lastpass.com. เสมอ แต่ URL ฟิชชิ่งอาจจะมีชื่อว่า http://lastpass.otherdomain.com. ในกรณีนี้ โดเมนนั้นมาจาก “otherdomain.com” จริงๆ และคุณก็ควรหลีกเลี่ยง
    Image credit: Lifehacker

    Image credit: Lifehacker

  • ตรวจสอบว่าส่งถึงใคร: คอยระแวดระวังอีเมลที่เขียนว่า “Dear customer” (เรียนคุณลูกค้า) หรืออีเมลที่ไม่ได้จ่าหน้าถึงใครโดยเฉพาะ ผู้ค้าปลีกส่วนใหญ่ในปัจจุบันจะระบุชื่อของคุณในอีเมล แต่การจู่โจมแบบฟิชชิ่งรายบุคคลมักจะมุ่งเป้าหมายมาที่คุณโดยเฉพาะ ดังนั้นวิธีนี้อาจใช้ป้องกันการจู่โจมไม่ได้
  • เปิดเว็บไซต์ด้วยตนเอง: ถ้าคุณไม่แน่ใจ ให้เปิดแท็บหรือหน้าต่างใหม่ในเบราว์เซอร์ของคุณ แล้วพิมพ์ URL โดยตรงด้วยตนเอง (หรือเปิดใช้งานจากโปรแกรมจัดการรหัสผ่านของคุณ) เท่านี้คุณก็มั่นใจได้ว่าเว็บไซต์ปลายทางเป็นเว็บไซต์ที่ถูกต้องScreen Shot 2016-01-20 at 9.14.38 AM (2)
  • ตรวจสอบว่าโปรแกรมจัดการรหัสผ่านของคุณแสดงข้อมูลเข้าสู่ระบบที่ตรงกันหรือไม่: : LastPass สามารถช่วยปกป้องคุณจากฟิชชิ่งได้โดยไม่กรอกข้อมูลเข้าสู่ระบบให้คุณโดยอัตโนมัติหากอยู่บนเว็บไซต์ปลอม เนื่องจากโดเมนของเว็บไม่ตรงกับข้อมูลที่ LastPass บันทึกไว้ โปรแกรมจึงไม่กรอกข้อมูลให้คุณ ตรวจสอบ URL หากเหตุการณ์นี้เกิดขึ้น
  • ใจเย็นๆ เวลาเห็นข้อความสั่งให้คุณทำอะไรเร่งด่วน: คำขอให้คุณดำเนินการโดยด่วนอาจเป็นกับดักที่พยายามชักจูงให้คุณทำสิ่งต่างๆ โดยไม่คิดให้รอบคอบ
  • ถามคำถามกับตนเอง: ฉันขอให้คนๆ นี้ส่งไฟล์แนบมาให้หรือเปล่า? สิ่งนี้เป็นนิสัยปกติของคนๆ นี้หรือเปล่า? หากสงสัย ให้คอยระวังตัวและสอบถามอยู่เสมอ
  • มองหา HTTPS:// และรูปแม่กุญแจ: เมื่อคุณอยู่บนเว็บไซต์ ให้ตรวจสอบแถบ URL ที่คุณเชื่อมต่อผ่าน HTTPS เสมอ เพื่อรับรองถึงการเชื่อมต่อที่ปลอดภัย พร้อมยืนยันว่ามีไอคอนรูปแม่กุญแจปรากฏขึ้น ซึ่งหมายความว่าเว็บไซต์ผ่านการรับรองจากหน่วยงานความปลอดภัยที่เป็นบุคคลภายนอก Screen Shot 2016-01-20 at 9.16.41 AM (2)

เมื่อฟิชชิ่งมุ่งเป้าไปที่โปรแกรมจัดการรหัสผ่านของคุณ

การจู่โจมแบบฟิชชิ่งนั้นไม่ได้จำกัดอยู่ที่อีเมล โฆษณา หรือลิงก์บนโซเชียลมีเดียที่เป็นอันตรายอีกต่อไป ฟิชชิ่งบางรูปแบบนั้นอาจมุ่งเป้าไปที่โปรแกรมส่วนขยายที่คุณใช้ในเบราว์เซอร์ รวมถึงการปลอมตัวเป็นโปรแกรมจัดการรหัสผ่าน

ตัวอย่างเช่น เว็บไซต์อันตรายอา ปลอมตัวเป็นส่วนขยายของเบราว์เซอร์ที่คุณใช้งาน โดยแสดงการแจ้งเตือนเพื่อขอข้อมูล เช่น ชื่อผู้ใช้ รหัสผ่าน และรหัสยืนยันสิทธิ์การใช้งานแบบสองปัจจัย บางทีการจำแนกการแจ้งเตือนนั้นทำได้ยาก การแจ้งเตือนอาจมาจากเว็บไซต์อันตราย แทนที่จะเป็นส่วนขยายเบราว์เซอร์ของคุณก็เป็นได้

LastPass ปกป้องคุณจากการจู่โจมแบบฟิชชิ่งได้อย่างไร

  • แจ้งเตือนว่ามีการป้อนรหัสผ่านหลักบนหน้าเว็บที่อยู่นอก LastPass: LastPass จะแสดงคำเตือนอย่างชัดเจน ก่อนที่คุณจะส่งรหัสผ่านหลักไปยังหน้าเว็บ ทุกครั้งที่คุณพยายามป้อนรหัสผ่านหลักของ LastPass บนหน้าเว็บที่อยู่นอก LastPass คุณจะรู้ได้ทันทีว่ารหัสผ่านหลักของคุณอาจตกอยู่ในอันตราย และสามารถเปลี่ยนรหัสผ่านได้ทันที
  • กำหนดให้รับรองการเข้าสู่ระบบจากสถานที่หรืออุปกรณ์ที่ไม่รู้จัก: LastPass มีกระบวนการยืนยันความถูกต้องทุกครั้งที่คุณพยายามเข้าสู่ระบบจากสถานที่หรืออุปกรณ์ที่ไม่รู้จัก ดังนั้นถ้าคุณป้อนรหัสผ่านหลักและข้อมูลสองปัจจัยโดยไม่ทันระวัง ขั้นตอนการยืนยันผ่านอีเมลจะช่วยป้องกันไม่ให้ผู้จู่โจมนำข้อมูลเหล่านั้นไปใช้ ผู้จู่โจมจำเป็นจะต้องเข้าถึงบัญชีอีเมลของคุณด้วย ซึ่งอาจได้รับการป้องกันจากขั้นตอนยืนยันสิทธิ์แบบสองปัจจัยของบัญชีอีเมล หากคุณเห็นคำขอยืนยันที่คุณไม่ได้ดำเนินการ คุณสามารถละเลยคำขอได้อย่างปลอดภัยและอัปเดตรหัสผ่านหลักในการตั้งค่าบัญชี LastPass Vault
  • ป้องกันการออกจากระบบ: แม้ว่าหน้าเว็บที่เป็นอันตรายอาจแสดงการแจ้งเตือนปลอมจาก LastPass บอกว่าคุณออกจากระบบแล้ว และจำเป็นต้องเข้าสู่ระบบอีกครั้ง คุณควรตรวจสอบเพื่อดูว่าคุณยังอยู่ในระบบของส่วนขยาย LastPass หรือไม่ และเข้าสู่ระบบจากส่วนขยายดังกล่าวเท่านั้น

นอกจากขั้นตอนการรักษาความปลอดภัยเหล่านี้ เรายังสนับสนุนให้ Google และเบราว์เซอร์อื่นช่วยปกป้องผู้ใช้อย่างมีประสิทธิภาพยิ่งขึ้น ด้วยวิธีแสดงการแจ้งเตือนอย่างปลอดภัยนอกวิวพอร์ตของเบราว์เซอร์

แนวทางปกป้องบัญชี LastPass สำหรับคุณ

นอกจากมาตรการความปลอดภัยที่เราเตรียมไว้ คุณยังสามารถปกป้อง Vault เก็บข้อมูลของคุณให้ปลอดภัยด้วยแนวทางปฏิบัติที่แนะนำดังต่อไปนี้:

  • เข้าสู่ระบบผ่านส่วนเสริม LastPass เสมอ วิธีเข้าสู่ระบบ . LastPass ที่ปลอดภัยที่สุดคือการคลิกที่ไอคอนส่วนขยายในแถบเครื่องมือเบราว์เซอร์ของคุณ Screen Shot 2016-01-20 at 9.24.22 AM (2)
  • อย่านำรหัสผ่านหลักมาใช้ซ้ำ . การใช้รหัสผ่านหลักซ้ำจะเพิ่มความเสี่ยงในการถูกขโมยข้อมูลจาก Vault ใช้รหัสผ่านหลักสำหรับ LastPass ที่ไม่ซ้ำกันทุกครั้ง และปฏิบัติตามคำเตือนของเราหากพิมพ์รหัสผ่านหลักในจุดอื่นนอกเหนือจากการเข้าสู่ระบบ LastPass
  • ใช้ความระมัดระวังเมื่อคุณดาวน์โหลด LastPass ดาวน์โหลด . LastPass จาก LastPass.com หรือจากร้านค้าแอดออนที่เตรียมให้ในเบราว์เซอร์หรืออุปกรณ์ของคุณเท่านั้น ห้ามใช้เว็บไซต์ดาวน์โหลดของบุคคลภายนอก และแม้แต่ในร้านค้าแอดออน คุณก็ต้องระวังรายการสินค้าที่ดูคล้ายกับ LastPass แต่จริงๆ แล้วเป็นโปรแกรมของผู้ผลิตรายอื่น และไม่มีการให้คะแนนใดๆ
  • อย่าเปิดเผยรหัสผ่านหลักของคุณ. ทีมงาน LastPass จะไม่มีทางขอทราบรหัสผ่านหลักของคุณ ระวังผู้ที่อ้างตัวว่ามาจาก LastPass และขอรหัสผ่านหลักจากคุณ ห้ามเปิดเผยรหัสผ่านหลักเด็ดขาดในทุกกรณี
  • เพิ่มการยืนยันสิทธิ์แบบสองปัจจัย . ความปลอดภัยที่ดีนั้นเกิดขึ้นได้จากแนวทางปกป้องที่ช่วยลดความเสี่ยง การยืนยันสิทธิ์แบบสองปัจจัย เป็นระบบที่ขอข้อมูลอื่นจากคุณก่อนจะยอมให้คุณเข้าถึงบัญชี แม้ว่าระบบนี้จะไม่สามารถป้องกันอันตรายทุกรูปแบบได้ แต่ก็มีประสิทธิภาพในการปกป้องบัญชีในระดับที่น่าพอใจ
  • ปกป้องอีเมลของคุณด้วยรหัสผ่านที่คาดเดายากและการยืนยันสิทธิ์แบบสองปัจจัย . บัญชีอีเมลของคุณมักจะมีกุญแจสำคัญที่ใช้เปิดเข้าสู่ข้อมูลสำคัญทั้งหมด ปกป้องอีเมลอย่างเต็มกำลัง เพราะชีวิตดิจิตอลของคุณดำเนินไปได้ด้วยข้อมูลต่างๆ ในนั้น LastPass สามารถสร้างรหัสผ่านที่คาดเดายากแต่ “อ่านออกเสียงได้” สำหรับอีเมลของคุณถ้าต้องการ ซึ่งคุณสามารถจำได้อย่างไม่ยากเย็น และเปิดการยืนยันสิทธิ์แบบสองปัจจัยเสมอ ถ้าผู้ให้บริการอีเมลของคุณจัดเตรียมไว้ให้

ความปลอดภัยออนไลน์จะเกิดขึ้นได้ก็ต่อเมื่อทุกภาคส่วนมุ่งมั่นรักษาความปลอดภัยอย่างต่อเนื่อง เช่นเดียวกับที่ LastPass มุ่งมั่นพัฒนาผลิตภัณฑ์เพื่อรับมือกับอันตรายรูปแบบใหม่ที่เกิดขึ้นและทำงานกับชุมชนวิจัยด้านความปลอดภัยเพื่อเสริมความแข็งแกร่งให้กับผลิตภัณฑ์ของเรา พวกเราในฐานะผู้ใช้งาน ก็ยังต้องมุ่งมั่นปฏิบัติตามแนวทางการรักษาความปลอดภัยที่แนะนำเช่นกัน