Phishing คืออะไร? วิธีป้องกันมิจฉาชีพขโมยคริปโตและ Seed Phrase

ฟิชชิง (Phishing) คืออะไร

ฟิชชิง (Phishing) คือกลลวงที่มิจฉาชีพสวมรอยเป็นบุคคลหรือบริการที่เราคุ้นเคย เพื่อหลอกให้เปิดเผยข้อมูลสำคัญหรือทำบางอย่างที่เปิดทางให้เข้าถึงทรัพย์สิน ในโลกคริปโต สิ่งที่คนร้ายต้องการมักไม่ใช่รหัสผ่านธรรมดา แต่อาจเป็น Seed Phrase, รหัสผ่านของบัญชีซื้อขาย, รหัสยืนยันตัวตน หรือการกดยืนยันธุรกรรมที่เราไม่ได้ตรวจให้ละเอียด

รูปแบบที่พบบ่อยคือข้อความแจ้งว่า “บัญชีมีปัญหา” “ต้องยืนยันกระเป๋า” หรือ “ต้องอัปเดตระบบภายในเวลาจำกัด” แล้วแนบลิงก์ไปยังเว็บไซต์หน้าตาคล้ายของจริง เมื่อเราหลงเชื่อและกรอกข้อมูล คนร้ายก็สามารถนำข้อมูลนั้นไปเข้าถึงกระเป๋าหรือบัญชีของเราได้

สิ่งสำคัญคือ ฟิชชิงไม่ได้เกิดผ่านอีเมลเท่านั้น อาจมาในรูปแบบโฆษณาบนเสิร์ชเอนจิน ข้อความใน LINE หรือ Telegram บัญชีปลอมบน X, Facebook และ Instagram แอปปลอม รวมถึงส่วนขยายเบราว์เซอร์ที่แอบอ้างชื่อแบรนด์ที่คุ้นเคย

ทำไมคนที่ระวังตัวก็ยังถูกหลอกได้

คนร้ายไม่ได้หวังให้ทุกคนเชื่อทันที แต่หวังให้ใครสักคนตัดสินใจตอนกำลังรีบ กังวล หรือเสียสมาธิ ข้อความที่สร้างความกลัว เช่น “มีผู้พยายามถอนเงินจากกระเป๋าของคุณ” หรือ “หากไม่ยืนยันภายใน 15 นาที สินทรัพย์จะถูกระงับ” จึงได้ผล เพราะทำให้เราอยากแก้ปัญหาโดยเร็ว

อีกเหตุผลหนึ่งคือหน้าเว็บปลอมทำได้เหมือนของจริงมากขึ้นทุกวัน ทั้งโลโก้ สี ปุ่ม และหน้าต่างแชต เมื่อประกอบกับชื่อโดเมนที่ต่างจากของจริงเพียงตัวอักษรเดียว ก็เพียงพอที่จะทำให้หลายคนมองข้ามรายละเอียดสำคัญ

กลลวงที่พบบ่อยในคริปโต

1. เว็บไซต์เลียนแบบแบรนด์หรือแพลตฟอร์ม

มิจฉาชีพซื้อชื่อโดเมนที่สะกดคล้ายเว็บจริง แล้วทำหน้าเข้าสู่ระบบหรือหน้ากู้คืนกระเป๋าให้เหมือนต้นฉบับ เป้าหมายคือให้คุณกรอกข้อมูลลงในหน้าที่พวกเขาควบคุมอยู่ ก่อนกรอกข้อมูลใดๆ ให้ดูชื่อโดเมนแบบเต็ม ไม่ใช่ดูแค่โลโก้หรือชื่อที่แสดงบนแท็บเบราว์เซอร์

2. ข้อความที่อ้างว่าเป็นฝ่ายสนับสนุน

บัญชีปลอมมักทักมาก่อนด้วยข้อเสนอว่าจะช่วยแก้ปัญหา ช่วยกู้เงิน หรือช่วยอัปเดตกระเป๋า บางรายส่งลิงก์ให้ “ยืนยัน Seed Phrase” หรือให้ติดตั้งโปรแกรมเพื่อให้เจ้าหน้าที่เข้าดูเครื่อง ข้อความลักษณะนี้ควรถูกมองว่าเสี่ยงไว้ก่อน เพราะฝ่ายสนับสนุนที่ถูกต้องไม่จำเป็นต้องขอ Seed Phrase ของคุณ

3. แอปและส่วนขยายเบราว์เซอร์ปลอม

อย่าค้นหาชื่อแอปแล้วติดตั้งผลลัพธ์แรกทันที โดยเฉพาะเมื่อมาจากโฆษณาหรือเว็บไซต์ดาวน์โหลดที่ไม่ใช่แหล่งทางการ ควรเริ่มจากเว็บไซต์ทางการที่คุณพิมพ์เองหรือบันทึกไว้ แล้วค่อยตามลิงก์ไปยังร้านแอปที่เกี่ยวข้อง

4. ลิงก์สำหรับรับของแจกหรือเคลมเงินคืน

ข้อเสนอแจกเหรียญ แจก NFT หรือช่วยกู้ทรัพย์สินที่สูญหาย มักถูกใช้เป็นเหยื่อล่อให้เชื่อมกระเป๋าหรือเซ็นข้อความที่อ่านไม่ออก หากมีคนติดต่อคุณโดยไม่ได้นัดหมายและเรียกเก็บค่าดำเนินการล่วงหน้าเพื่อช่วยกู้เงิน ให้หยุดการติดต่อก่อนเสมอ

สัญญาณเตือนที่ควรหยุดทันที

• มีคนหรือเว็บไซต์ขอ Seed Phrase, คีย์ส่วนตัว หรือไฟล์สำรองกระเป๋า
• ข้อความเร่งให้ทำทันทีโดยอ้างว่าบัญชีหรือสินทรัพย์กำลังตกอยู่ในอันตราย
• ผู้ส่งทักมาก่อน แล้วส่งลิงก์ ไฟล์ หรือ QR code ให้สแกน
• ชื่อบัญชีคล้ายแบรนด์ แต่ชื่อผู้ใช้หรือโดเมนไม่ตรงกับช่องทางทางการ
• หน้าเว็บขอให้เชื่อมกระเป๋าหรือเซ็นข้อความ ทั้งที่คุณยังไม่เข้าใจว่ากำลังทำอะไร
• มีข้อเสนอผลตอบแทนสูง ของแจก หรือบริการกู้เงินที่ฟังดูดีเกินจริง

วิธีป้องกันฟิชชิงให้เป็นนิสัย

เข้าเว็บด้วยวิธีที่คุณควบคุมเอง

บันทึกเว็บที่ใช้บ่อยไว้เป็นบุ๊กมาร์ก และเปิดจากบุ๊กมาร์กนั้นแทนการกดลิงก์จากข้อความหรือโฆษณา หากได้รับอีเมลแจ้งปัญหา ให้ปิดอีเมลก่อน แล้วเข้าเว็บไซต์หรือแอปที่คุณใช้อยู่เป็นประจำด้วยตัวเอง

แยกการตรวจสอบออกจากความเร่งรีบ

เมื่อเจอข้อความที่ทำให้ตกใจ อย่าตอบสนองทันที หยุดสักครู่ ตรวจชื่อผู้ส่ง ตรวจ URL และค้นหาข้อมูลผ่านช่องทางที่คุณรู้ว่าเป็นของจริง การรอสั้นๆ มักป้องกันความเสียหายที่ย้อนกลับไม่ได้

ใช้การยืนยันตัวตนที่แข็งแรง

เปิดใช้การยืนยันตัวตนสองชั้นกับอีเมล บัญชีซื้อขาย และบัญชีสำคัญทั้งหมด หากเลือกได้ คีย์รักษาความปลอดภัยที่รองรับ FIDO2 ช่วยลดความเสี่ยงจากหน้าเข้าสู่ระบบปลอมได้ดีกว่าการรับรหัสทาง SMS เพียงอย่างเดียว

อัปเดตอุปกรณ์และแอปจากแหล่งที่เชื่อถือได้

อัปเดตระบบปฏิบัติการ เบราว์เซอร์ และเฟิร์มแวร์ของอุปกรณ์ตามช่องทางทางการ แต่ไม่ต้องกดลิงก์อัปเดตจากข้อความที่ส่งมาเอง การอัปเดตควรเริ่มจากเว็บไซต์หรือแอปที่คุณเปิดอยู่แล้ว

Hardware Wallet ช่วยได้แค่ไหน

Hardware Wallet ช่วยแยกคีย์ส่วนตัวออกจากคอมพิวเตอร์และโทรศัพท์ ทำให้มัลแวร์หรือเว็บไซต์ไม่สามารถดึงคีย์ไปใช้ได้ง่ายๆ จุดสำคัญคือก่อนส่งธุรกรรม คุณต้องดูรายละเอียดบนหน้าจอของอุปกรณ์เอง ทั้งปลายทาง จำนวนเงิน และเครือข่าย แล้วค่อยกดยืนยัน

อย่างไรก็ตาม Hardware Wallet ไม่ใช่เกราะที่ทำให้กดอะไรก็ได้โดยไม่ต้องตรวจ หากคุณเปิดเผย Seed Phrase หรือกดยืนยันธุรกรรมที่คนร้ายหลอกให้ทำ อุปกรณ์ก็ไม่อาจย้อนรายการกลับมาให้ได้ ความปลอดภัยจึงเกิดจากทั้งอุปกรณ์ที่ช่วยปกป้องคีย์ และนิสัยการตรวจสอบของผู้ใช้

เผลอกรอก Seed Phrase หรือกดอนุมัติไปแล้ว ต้องทำอย่างไร

หากกรอก Seed Phrase ลงในเว็บไซต์ แอป หรือแบบฟอร์มที่ไม่แน่ใจ

ให้ถือว่า Seed Phrase ชุดนั้นไม่ปลอดภัยแล้ว อย่ารอดูว่าจะมีความเสียหายหรือไม่ ให้สร้างกระเป๋าใหม่พร้อม Seed Phrase ชุดใหม่บนอุปกรณ์ที่เชื่อถือได้ และย้ายสินทรัพย์ไปยังที่อยู่ใหม่โดยเร็ว ตรวจสอบที่อยู่ปลายทางบนหน้าจอ Hardware Wallet ทุกครั้งก่อนยืนยัน

หากเชื่อมกระเป๋ากับเว็บน่าสงสัยหรือกดอนุมัติสิทธิ์ไปแล้ว

ยกเลิกสิทธิ์การใช้งานของสัญญาอัจฉริยะที่ไม่รู้จัก และย้ายสินทรัพย์ที่ยังย้ายได้ไปยังกระเป๋าใหม่ หากไม่แน่ใจว่ารายการใดถูกอนุมัติไว้ ให้หยุดทำธุรกรรมเพิ่มเติมและขอให้ทีม SIAMBC ช่วยตรวจสอบแนวทางที่ปลอดภัยก่อนดำเนินการต่อ

หากติดตั้งแอปหรือส่วนขยายที่น่าสงสัย

ตัดการเชื่อมต่อจากบัญชีสำคัญก่อน ถอนการติดตั้งสิ่งที่น่าสงสัย สแกนอุปกรณ์ เปลี่ยนรหัสผ่านของอีเมลและบัญชีที่เกี่ยวข้องจากอุปกรณ์ที่ไว้ใจได้ และตรวจสอบการตั้งค่าการยืนยันตัวตนสองชั้นอีกครั้ง

คำถามที่พบบ่อย

ฝ่ายสนับสนุนตัวจริงขอ Seed Phrase ได้หรือไม่

ไม่ได้ แบรนด์ ร้านค้า แพลตฟอร์มซื้อขาย และทีมสนับสนุนที่ถูกต้องไม่จำเป็นต้องขอ Seed Phrase เพื่อช่วยตรวจสอบปัญหาหรือแนะนำการใช้งาน

หากกรอก Seed Phrase ลงในเว็บปลอมแล้ว ยังใช้กระเป๋าเดิมต่อได้หรือไม่

ไม่ควรใช้เก็บสินทรัพย์ต่อ ให้สร้างกระเป๋าใหม่พร้อม Seed Phrase ชุดใหม่บนอุปกรณ์ที่เชื่อถือได้ แล้วรีบย้ายสินทรัพย์ไปยังที่อยู่ใหม่

มี Hardware Wallet แล้วจะไม่โดนฟิชชิงเลยหรือไม่

ไม่เสมอไป Hardware Wallet ช่วยปกป้องคีย์ส่วนตัว แต่ผู้ใช้ยังต้องปฏิเสธคำขอที่น่าสงสัยและตรวจทุกธุรกรรมบนหน้าจออุปกรณ์ก่อนยืนยัน

สรุป

ฟิชชิงอาศัยความรีบ ความกลัว และความคุ้นตาเป็นเครื่องมือ เมื่อมีข้อความหรือเว็บไซต์ใดขอให้เปิดเผย Seed Phrase กดลิงก์ หรือเซ็นธุรกรรมโดยไม่ชัดเจน ให้หยุดก่อนเสมอ การเข้าเว็บจากช่องทางที่คุณเลือกเอง ตรวจสอบบนหน้าจอ Hardware Wallet และไม่บอก Seed Phrase กับใคร คือแนวปฏิบัติพื้นฐานที่ช่วยลดความเสี่ยงได้มากที่สุด