|
|
|
| ชื่อเรื่อง : เทคนิคการโจมตีแบบ ''Phishing'' เรียบเรียงโดย : ดร.โกเมน พิบูลย์โรจน์ เผยแพร่เมื่อ : 1 มิถุนายน 2547 Phishing คือ การโจมตีในรูปแบบของการปลอมแปลงอี-เมล์ (Email Spoofing) และทำการสร้างเว็บไซต์ปลอม เพื่อทำการหลอกลวงให้เหยื่อหรือผู้รับอี-เมล์เปิดเผยข้อมูลทางด้านการเงินหรือข้อมูลส่วนบุคคลอื่นๆ อาทิ ข้อมูลของหมายเลขบัตรเครดิต บัญชีผู้ใช้ (Username) และ รหัสผ่าน (Password) หมายเลขบัตรประจำตัวประชาชน หรือข้อมูลส่วนบุคคลอื่นๆ Phishing สามารถทำได้โดยการขโมยหรือนำเครื่องหมายหรือสัญลักษณ์ตลอดจนรูปลักษณ์ของธนาคารหรือสถาบันการเงินที่มีชื่อเสียง และบัตรเครดิตประเภทต่างๆของผู้ประกอบการ การให้สินเชื่อทางอินเตอร์เน็ต มาประกอบเข้ากับการหลอกลวงเหยื่อหรือผู้ใช้ให้เปิดเผยข้อมูล ซึ่งมีการประเมินเบื้องต้นว่า การโจมตีในรูปแบบของ phishing สามารถหลอกให้เหยื่อร้อยละ 5 ของทั้งหมด เปิดเผยข้อมูลที่ต้องการ นอกจากนี้ ผู้โจมตี (Hacker หรือ Spammer) ยังใช้ยุทธวิธีการหลอกลวงแบบ Social Engineering ประกอบเพิ่มเติม เพื่อให้มีความน่าเชื่อถือยิ่งขึ้น เช่น การหลอกลวงชื่ออี-เมล์ เป็นต้นว่า เป็นเรื่องด่วนจากธนาคาร การหลอกลวงว่าบัญชีที่ใช้งานจะหมดอายุ การเสนอสินค้าที่มีดอกเบี้ยต่ำต่างๆ เป็นต้น เนื่องจากการโจมตีแบบ phishing ได้มีการแพร่ระบาดไปในหลายประเทศ ซึ่งทำให้คาดการณ์ได้ว่า อาจมีการแพร่เข้ามาในประเทศไทยในอีกไม่นานนี้ จึงมีความจำเป็นต้องแจ้งให้ประชาชนได้รับทราบถึงภัยที่มีความรุนแรงนี้ ระวังอี-เมล์หลอกลวง การหลอกลวงให้ลูกค้าธนาคารหลงเชื่อว่ามีอี-เมล์มาจากธนาคาร แจ้งข่าวว่ามีการปรับปรุงฐานข้อมูล ทำให้ข้อมูลที่เกี่ยวกับลูกค้าบางส่วนสูญหาย จึงต้องขอให้ลูกค้ากรอกข้อมูลบัตรเครดิตเข้าไปใหม่ โดย อี-เมล์ดังกล่าวมีสัญลักษณ์ของธนาคารจริง มี URL ให้คลิกได้โดยมีชื่อโดเมนและ subdirectory เป็นจริงมาก ลูกค้าธนาคารที่คุ้นเคยกับ URL นี้จะพบว่าเหมือน URL ปกติที่ใช้งานจริง แต่เมื่อวิเคราะห์ตรวจสอบโดยละเอียดแล้ว พบว่าข้อความที่เป็น URL ที่ขีดเส้นใต้นั้น (http://web.da-us.citbank.com/signin/citifi/scripts/login2/user_setup/jsp) อันที่จริงได้มีการทำ hypertext link ไปที่ (http://web.da-us.citibank.com/citifi/scripts/@isapi100.info/index.htm) ซึ่งหมายถึงเว็บไซต์อื่นที่ไม่ใช่ของธนาคารนั้น แต่เป็น http://isapi100.info/ คาดหมายได้ว่าเป็นเว็บดักให้คนมากรอกข้อมูลบัตรเครดิต คำแนะนำคือ หากมีอี-เมล์เช่นนี้มาถึงท่านและบังเอิญท่านใช้บริการบัตรเครดิตหรือ Internet Banking ของธนาคารนั้นอยู่ ท่านไม่ควรทำอะไรก็ตามที่อี-เมล์นั้นบอกมา ควรติดต่อธนาคารทางและสอบถามด้วยตัวท่านเอง สำหรับผู้ให้บริการ ISP ท่านอาจจะพิจารณาว่าจะสกัดเว็บเช่น isapi100.info หรือไม่ เพื่อป้องกันไม่ให้ลูกค้าของท่านถูกหลอกเอาข้อมูลบัตรเครดิต ตัวอย่าง phishing จาก http://antiphishing.org/ วิธีการป้องกันและรับมือกับการถูกโจมตีแบบ phishing หยุดคิดและพิจารณาข้อมูลที่ได้รับทางอี-เมล์ หรือข้อมูลที่เข้าไปดูในเว็บไซต์ทุกครั้ง ควรลบข้อมูลที่น่าสงสัยนั้นทิ้งทันที หากมีความจำเป็นต้องกรอกหรือส่งข้อมูลใดทางเว็บไซต์ ต้องพิจารณาความน่าเชื่อถือของเว็บไซต์ดังกล่าวว่ามีตัวตนหรือมีการรับรองหรือไม่ หากไม่แน่ใจควรติดต่อไปยังเจ้าของเว็บไซต์หรือเจ้าของสถาบันการเงินดังกล่าว เพื่อสอบถามข้อมูลและยืนยันข้อมูลก่อนการดำเนินการใดๆ ไม่ควรเข้าไปในเว็บไซต์หรือรันไฟล์ที่แนบมากับอี-เมล์ ซึ่งมาจากบุคคลที่ไม่รู้จัก หรือไม่มั่นใจว่าผู้ส่งเป็นใคร หรือไม่ทราบว่าไฟล์ดังกล่าวเป็นไฟล์อะไร ตลอดจนเว็บไซต์หรือไฟล์ที่ถูกส่งมาด้วยโปรแกรมสนทนาประเภทต่างๆ เช่น IRC, ICQ, MSN หรือ PIRCH เป็นต้น ติดตั้งโปรแกรมปรับปรุงช่องโหว่ (patch) ของทุกซอฟแวร์ที่มีการใช้อยู่ในเครื่องคอมพิวเตอร์ของท่านอยู่เสมอ ติดตามข่าวสารและการแจ้งเตือนทางด้านการรักษาความมั่นคงปลอดภัยคอมพิวเตอร์ ผ่านทางอี-เมล์ ของศูนย์ประสานงานการรักษาความปลอดภัยคอมพิวเตอร์ ประเทศไทย (ThaiCERT) http://www.thaicert.nectec.or.th/mailinglist/register.php แหล่งข้อมูลอ้างอิง http://www.antiphishing.org http://www.thaicert.nectec.or.th |
http://www.thaicert.org/paper/basic/phishing.php |
|
โดย: งาน: กลุ่มสาระการเรียนรู้การงานอาชีพและเทคโนโลยี อ้างอิงแผนงาน : - อ้างอิงโครงการ : - แหล่งที่มา: ThaiCert |
| Vote | |
| เป็นประโยชน์ต่อผู้โพสต์เอง | ☆ ☆ ☆ ☆ ☆ |
| เป็นประโยชน์ต่อฉัน | ☆ ☆ ☆ ☆ ☆ |
| เป็นประโยชน์ต่อผู้ปกครอง | ☆ ☆ ☆ ☆ ☆ |
| เป็นประโยชน์ต่อนักเรียน | ☆ ☆ ☆ ☆ ☆ |
| มีประโยชน์ต่อทุกคน | ☆ ☆ ☆ ☆ ☆ |
 |
 |
