ลิงก์ที่อ้างว่าเป็นธนาคาร: ตรวจอะไรได้ก่อนกรอก OTP

ข้อความสั้นๆ ที่บอกว่าบัญชีมีปัญหา มีการทำรายการผิดปกติ หรือต้องยืนยันตัวตนภายในเวลาจำกัด พร้อมลิงก์ให้กดเข้าไปกรอกข้อมูล เป็นรูปแบบหนึ่งของกลโกงที่ธนาคารแห่งประเทศไทยได้เผยแพร่คำเตือนไว้ในหมวดกลโกงธนาคารออนไลน์ซึ่งครอบคลุมการหลอกเอาข้อมูลและรหัสผ่านของผู้ใช้ บทความนี้อธิบายสิ่งที่ตรวจได้ก่อนกรอกรหัส OTP หรือข้อมูลอ่อนไหวใดๆ ด้วยโดเมนตัวอย่างที่ไม่มีอยู่จริง และไม่ได้ระบุหมายเลขโทรศัพท์ของหน่วยงานใด เนื้อหาไม่ได้เกี่ยวกับการชวนเล่นเกมหรือเดิมพัน

ภาพประกอบที่สร้างขึ้น ไม่ใช่ภาพหน้าจอของแพลตฟอร์ม

ไม่ได้ระบุหมายเลขโทรศัพท์ของหน่วยงานใด และใช้เฉพาะโดเมนตัวอย่าง example.invalid

ลักษณะของข้อความฟิชชิง

ฟิชชิงคือการหลอกให้เหยื่อกรอกข้อมูลสำคัญในหน้าเว็บปลอม โดยทำให้ข้อความและหน้าเว็บดูเหมือนมาจากธนาคารหรือหน่วยงานที่น่าเชื่อถือ ธนาคารแห่งประเทศไทยจัดกลโกงลักษณะนี้ไว้ในคำเตือนเกี่ยวกับกลโกงธนาคารออนไลน์ โดยเน้นว่าผู้ไม่หวังดีพยายามได้ข้อมูลประจำตัวและรหัสยืนยันของผู้ใช้

ลักษณะที่พบบ่อยคือการเร่งรัด ขู่ว่าบัญชีจะถูกระงับ หรือเสนอผลประโยชน์ที่ต้องรับทันที ความเร่งด่วนถูกสร้างขึ้นเพื่อไม่ให้ผู้รับมีเวลาตรวจสอบ ดังนั้นข้อความที่เร่งให้ทำอะไรทันทีควรทำให้คุณช้าลง ไม่ใช่เร็วขึ้น

OTP ใช้เพื่ออะไร

รหัส OTP คือรหัสผ่านใช้ครั้งเดียวที่ส่งถึงคุณเพื่อยืนยันการกระทำที่คุณเริ่มเองและกำลังตรวจสอบอยู่ เช่น การเข้าสู่ระบบหรือการทำธุรกรรมที่คุณเป็นผู้สั่ง ควรกรอกรหัสนี้เฉพาะในช่องทางทางการที่คุณเปิดเอง และเฉพาะเมื่อคุณรู้ว่ารหัสนั้นเกี่ยวกับการกระทำอะไร

ไม่ควรบอกรหัสให้ใครทางข้อความ แชต หรือโทรศัพท์ และไม่ควรกรอกในหน้าเว็บที่เปิดจากลิงก์ในข้อความที่ไม่ได้ร้องขอ การที่ใครสักคนขอรหัสนี้จากคุณระหว่างสนทนาเป็นสัญญาณของกลโกง ไม่ว่าเขาจะอ้างว่ามาจากหน่วยงานใด

อ่านโดเมนจากขวาไปซ้าย

ที่อยู่เว็บแบ่งเป็นส่วนๆ ที่คั่นด้วยจุด ส่วนที่บอกเจ้าของจริงคือส่วนท้ายสุดก่อนเครื่องหมายทับตัวแรก ลองดูตัวอย่างที่ไม่มีอยู่จริงคือ login.bank.example.invalid เจ้าของโดเมนคือ example.invalid ส่วน login.bank เป็นชื่อย่อยที่เจ้าของโดเมนตั้งอย่างไรก็ได้

คำว่า bank หรือ secure ทางซ้ายจึงไม่ได้พิสูจน์อะไร ให้ระวังตัวอักษรที่คล้ายกัน เช่น เลข 0 กับตัวอักษร o หรือ rn ที่ดูคล้าย m และอย่าถือว่ามีรูปกุญแจในเบราว์เซอร์แล้วจะปลอดภัย เพราะกุญแจบอกเพียงว่าการเชื่อมต่อถูกเข้ารหัส ไม่ได้บอกว่าเจ้าของเว็บเป็นใคร

เปิดบริการด้วยตัวเอง

วิธีที่ปลอดภัยกว่าคือไม่กดลิงก์เลย แต่เปิดแอปของธนาคารที่คุณติดตั้งจากร้านแอปทางการอยู่แล้ว หรือพิมพ์ที่อยู่ทางการด้วยตัวเอง แล้วดูว่ามีการแจ้งเตือนจริงในบัญชีหรือไม่ ถ้ามีเรื่องจริง ข้อมูลนั้นจะปรากฏในช่องทางทางการ

การทำเช่นนี้ตัดความเสี่ยงจากลิงก์ปลอมออกทั้งหมด และไม่เสียเวลามาก หากไม่พบอะไรเลยในช่องทางทางการ ข้อความนั้นมีแนวโน้มสูงว่าเป็นกลโกง

ไม่ให้ใครควบคุมหน้าจอหรือโทรศัพท์ของคุณ

ผู้ไม่หวังดีบางรายขอให้ติดตั้งแอปสำหรับแชร์หน้าจอหรือควบคุมเครื่องจากระยะไกล โดยอ้างว่าจะช่วยแก้ปัญหา เมื่อให้สิทธิ์แล้ว เขาสามารถเห็นและควบคุมแอปธนาคารของคุณได้โดยตรง รวมถึงรหัสที่ส่งเข้ามา

ไม่มีเหตุผลที่ทำให้การมอบการควบคุมเครื่องแก่คนที่ติดต่อมาเองเป็นเรื่องปลอดภัย ถ้ามีคนขอ ให้วางสายหรือหยุดสนทนา และติดต่อธนาคารผ่านช่องทางที่คุณเปิดเอง เช่นหมายเลขที่พิมพ์บนบัตรหรือแอปทางการ บทความนี้จึงไม่ระบุหมายเลขใด

ถ้าเผลอกรอกข้อมูลไปแล้ว

ให้ติดต่อธนาคารทันทีผ่านช่องทางที่คุณเปิดเอง แจ้งว่าอาจกรอกข้อมูลในหน้าเว็บปลอม และถามว่าควรทำอย่างไรเพื่อป้องกันบัญชี เช่นการระงับการใช้งานชั่วคราวหรือเปลี่ยนรหัส

เปลี่ยนรหัสผ่านที่เกี่ยวข้องจากอุปกรณ์ที่คุณมั่นใจว่าปลอดภัย และจดบันทึกว่าเกิดอะไรขึ้นเมื่อไร ไม่ควรลบข้อความหรือภาพหน้าจอเพราะอาจจำเป็นต่อการแจ้งความหรือการตรวจสอบ ผลลัพธ์ไม่อาจรับประกันได้ แต่ยิ่งแจ้งเร็วยิ่งมีทางเลือกมากขึ้น

ความละอายไม่ควรทำให้เงียบ

คนจำนวนมากไม่กล้าบอกใครเมื่อถูกหลอกเพราะรู้สึกอับอาย ผู้ไม่หวังดีเข้าใจเรื่องนี้ดี และมักสร้างสถานการณ์ที่ทำให้เหยื่อรู้สึกว่าต้องเก็บเป็นความลับ การเล่าให้คนที่ไว้ใจฟังเป็นสิ่งที่ช่วยได้มากที่สุดอย่างหนึ่ง

บทความนี้ไม่ได้ชวนให้ใช้บริการหรือเล่นเกมใด และไม่ได้อ้างหมายเลขติดต่อ หากต้องการข้อมูลเพิ่มเติม ให้อ่านคำเตือนจากหน่วยงานทางการด้วยตัวเอง

คำถามที่ผู้อ่านสงสัย

แหล่งข้อมูลและบทความเพิ่มเติม

• i8 Live homepage (site descriptions only)
• ธนาคารแห่งประเทศไทย: กลโกงธนาคารออนไลน์

อ่านต่อ

• จดข้อมูลข้อผิดพลาดอย่างไรให้ตรวจสอบได้ง่าย
• ปิดแจ้งเตือนและพักหน้าจอ: ตั้งขอบเขตก่อนเริ่มอ่านเกม