Phishing: คู่มือสำหรับพนักงานทุกคน และผู้ที่จัดการอบรม

บทความนี้มีสองส่วน ส่วนแรกเขียนสำหรับพนักงานทุกคน พิมพ์หรือส่งต่อได้เลย ส่วนที่สองเขียนสำหรับ IT หรือ HR ที่ต้องจัดการอบรม

ส่วนที่ 1: สำหรับพนักงาน

มาในรูปแบบไหนบ้าง

Phishing คือการหลอกให้คุณคลิกลิงก์ เปิดไฟล์ กรอกรหัสผ่าน หรือโอนเงิน และไม่ได้มาทาง Email อย่างเดียว

• Email ที่อ้างว่ามาจากธนาคาร Microsoft 365 บริษัทขนส่ง หรือคู่ค้า
• ข้อความ SMS, WhatsApp หรือ LINE ที่มีลิงก์
• สายโทรที่อ้างว่ามาจากธนาคาร หน่วยงานรัฐ หรือ "IT Support"
• QR Code ที่พาไปหน้า Login ปลอม
• Email ปลอมเป็นผู้บริหารหรือคู่ค้า ขอให้เปลี่ยนเลขบัญชีรับเงิน (เรียกว่า BEC)

แบบสุดท้ายสร้างความเสียหายมากที่สุด โดยเฉพาะบริษัทที่สั่งสินค้าจากไทยและจีนและจ่ายเงินข้ามแดนเป็นประจำ ผู้โจมตีมักอ่าน Email ของคู่ค้าที่ถูกยึดบัญชีมาหลายสัปดาห์ แล้วส่งข้อความในจังหวะที่คุณกำลังรอใบแจ้งหนี้อยู่แล้ว

สัญญาณที่ควรหยุดคิด

ไม่จำเป็นต้องเห็นครบทุกสัญญาณ แค่สัญญาณเดียวก็พอที่จะหยุดและตรวจสอบ

กลโกงแบบใหม่ที่ควรรู้

คำแนะนำเดิมว่า "ให้ดูคำสะกดผิด" ใช้ไม่ได้แล้ว คนร้ายเขียนภาษาลาว ไทย และอังกฤษได้คล่องด้วยเครื่องมือ AI ให้ระวังสิ่งเหล่านี้แทน:

• QR Code ที่ซ่อนอยู่ใน PDF หรือรูปภาพ ตัวกรองอีเมลจึงมองไม่เห็นลิงก์ ประโยคที่เจอบ่อยคือ "สแกนเพื่อเปิดใช้งานกล่องเมลอีกครั้ง"
• หน้าล็อกอินปลอมที่ผ่าน MFA ได้ คุณพิมพ์รหัสผ่านและรหัส OTP เว็บปลอมส่งต่อทั้งสองอย่างไปเว็บจริง แล้วยึด Session ของคุณไป ถ้าที่อยู่เว็บผิด อย่าพิมพ์อะไรเลย แม้จะมี MFA ก็ตาม
• ข้อความขอให้ "ใส่รหัสนี้" ข้อความขอให้คุณพิมพ์รหัสสั้น ๆ บนหน้าล็อกอินจริงของ Microsoft หรือ Google รหัสนั้นจะให้เครื่องของคนร้ายเข้าบัญชีคุณได้ อย่าใส่รหัสที่คุณไม่ได้ขอเอง
• หลอกให้โทรกลับ "ใบแจ้งหนี้" ค่าบริการที่คุณไม่เคยซื้อ พร้อมเบอร์โทรให้ยกเลิก คนที่รับสายจะพาคุณติดตั้งโปรแกรมควบคุมเครื่องระยะไกล
• เสียงปลอม ข้อความเสียงหรือสายสั้น ๆ ที่เสียงเหมือนผู้บริหาร สั่งโอนเงินด่วน วางสายแล้วโทรกลับเบอร์ที่คุณรู้จัก

ลองอ่านข้อความหนึ่งฉบับด้วยกัน

สมมติมีอีเมลเข้ามาวันศุกร์ 16:40 ใช้ชื่อซัพพลายเออร์ประจำของคุณ แจ้งว่าเปลี่ยนบัญชีธนาคาร แนบ PDF "ใบแจ้งหนี้ฉบับแก้ไข" มีสัญญาณสี่อย่าง: กำหนดเวลาก่อนวันหยุดพอดี ที่อยู่ผู้ส่งต่างไปหนึ่งตัวอักษร ขอเปลี่ยนบัญชีธนาคาร และขอให้ตอบทางอีเมลเท่านั้นเพราะ "โทรศัพท์เสีย" แค่ข้อเดียวก็เป็นเหตุผลพอที่จะโทรหาซัพพลายเออร์ด้วยเบอร์ที่คุณมีอยู่แล้ว

สิ่งที่ต้องทำ

หยุด ความเร่งด่วนคือเครื่องมือหลักของมิจฉาชีพ ห้านาทีที่ใช้ตรวจสอบไม่เคยทำให้งานเสีย

ตรวจสอบผ่านช่องทางอื่น โทรหาเบอร์ที่คุณมีอยู่แล้วหรือเบอร์บนเว็บไซต์ทางการ ไม่ใช่เบอร์ใน Email ที่น่าสงสัย

รายงาน ใช้ปุ่ม Report Phishing ใน Outlook หรือ Gmail หรือส่งต่อให้ IT การรายงานของคุณอาจช่วยเพื่อนร่วมงานอีกสิบคนที่ได้รับ Email เดียวกัน

ถ้าคลิกไปแล้ว

• กรอกรหัสผ่านแล้ว: เปลี่ยนรหัสทันที และแจ้ง IT ให้ยกเลิก Session ที่ Login อยู่ทั้งหมด
• เปิดไฟล์แล้ว: ถอดสาย LAN หรือปิด Wi-Fi แล้วโทรหา IT อย่าปิดเครื่องเอง
• โอนเงินแล้ว: โทรหาธนาคารทันที โอกาสระงับการโอนสูงที่สุดในชั่วโมงแรก

อย่าอายและอย่ารอ ทุกคนเคยเกือบคลิก การรายงานเร็วช่วยได้มากกว่าการปิดบังเสมอ

ส่วนที่ 2: สำหรับผู้จัดการอบรม

สิ่งที่ได้ผล

สั้นและบ่อย 10–15 นาทีทุกเดือน จำได้ดีกว่าสัมมนาสามชั่วโมงปีละครั้ง

ใช้ภาษาที่พนักงานอ่านจริง ในหลายองค์กรในลาว พนักงานอ่านลาว ไทย และอังกฤษในระดับต่างกัน เนื้อหาและ Email ทดสอบควรมีครบสามภาษา เพราะ Phishing จริงก็มาครบสามภาษา

ตัวอย่างที่คุ้นเคย แจ้งเตือนพัสดุ แจ้งเตือนจากธนาคาร ใบแจ้งหนี้จากผู้ขายในไทย และข้อความ WhatsApp จาก "เจ้าของบริษัท" ได้ผลกว่าตัวอย่างจากประเทศอื่น

Phishing Simulation ที่ไม่ลงโทษ เมื่อมีคนคลิกลิงก์ทดสอบ ให้แสดงหน้าอธิบายสั้นๆ ทันที การลงโทษหรือประกาศชื่อทำให้คนเลิกรายงาน ซึ่งเป็นสิ่งสุดท้ายที่คุณต้องการ

เน้นกลุ่มที่ถูกเล็ง บัญชี-การเงิน จัดซื้อ HR และผู้บริหาร ควรได้รับการอบรมเพิ่มและ Simulation ที่ยากกว่า

วัดผลอะไร

อัตราการรายงานสำคัญกว่าอัตราการคลิก ไม่มีองค์กรไหนทำให้การคลิกเป็นศูนย์ได้ แต่ถ้ามีคนรายงานภายในสิบนาที IT จะลบ Email นั้นออกจากทุก Mailbox ได้ก่อนคนอื่นเปิด

การอบรมอย่างเดียวไม่พอ

การอบรมช่วยลดความเสี่ยงแต่ไม่หยุดทุกอย่าง ต้องมีมาตรการทางเทคนิคควบคู่ ได้แก่ MFA ทุกบัญชี Email, Email Filtering ที่ตรวจลิงก์ตอนคลิก, DMARC บน Domain ของคุณ และขั้นตอนการเงินที่ไม่พึ่ง Email

ขั้นตอนสำคัญที่สุดที่เราแนะนำ: ทุกการเปลี่ยนเลขบัญชีรับเงินของคู่ค้า ต้องโทรยืนยันกับเบอร์ที่บันทึกไว้ในระบบก่อนหน้า และอนุมัติโดยสองคน ขั้นตอนนี้ไม่มีค่าใช้จ่ายและหยุด BEC ได้เกือบทั้งหมด

เก็บรายชื่อผู้เข้าร่วม หัวข้อ และผล Simulation แต่ละรอบ เมื่อเทียบกันในหนึ่งปี คุณจะเห็นว่าโครงการได้ผลจริงหรือไม่ และกลุ่มไหนต้องอบรมเพิ่ม

โปรแกรม 12 เดือนที่ทีมไอทีเล็ก ๆ ทำได้

เมื่อมีคนรายงานเข้ามา: 30 นาทีแรก

ปุ่มรายงานจะมีประโยชน์ก็ต่อเมื่อมีคนลงมือทำต่อ ขั้นตอนสั้น ๆ สำหรับไอที:

1. ตรวจ Header ของข้อความ และลิงก์หรือไฟล์แนบจริงด้วยวิธีที่ปลอดภัย
2. ค้นทุกกล่องเมลหาผู้ส่งหรือหัวเรื่องเดียวกัน แล้วลบสำเนาออก
3. บล็อกโดเมนผู้ส่งหรือลิงก์ที่ระบบกรองอีเมล
4. ถามว่าใครคลิกหรือตอบกลับ รีเซ็ตรหัสผ่านและยกเลิก Session ของคนเหล่านั้น
5. ดู Sign-in Log และหา Mailbox Rule ใหม่ที่ส่งต่อหรือซ่อนเมล คนร้ายมักสร้างกฎนี้ภายในไม่กี่นาทีหลังเข้าได้
6. ขอบคุณคนที่รายงาน ประโยคเดียวนี้ตัดสินว่าครั้งหน้าเขาจะรายงานอีกหรือไม่

เริ่มจาก Simulation หนึ่งครั้ง

ถ้าอยากรู้ว่าองค์กรอยู่ตรงไหน วิธีที่เร็วที่สุดคือส่ง Phishing ทดสอบหนึ่งครั้งเป็นภาษาลาวหรือไทยที่คล้ายสิ่งที่พนักงานได้รับจริง บอกเราว่ามีพนักงานกี่คนและใช้ภาษาอะไร เราจะออกแบบรอบแรก และประชุม 15 นาทีเพื่ออธิบายผล