Phishing : สร้างเว็บหลอกแล้วปอกลอก

พอดีว่าไปอ่านบล็อกของ Pakkardkaw (ขยันปั่นชิบ) เรื่องเว็บ Hotmail ปลอมหลอกถาม Password เลยขอเอามาขยายความหน่อย 🙂

เหตุการณ์อย่างที่กล่าวข้างต้นคือการทำ Phishing ซึ่งเป็นคำที่แสลงมาจาก Fishing อีกที ความหมายก็เป็นเหมือนๆการตกปลา คือปล่อยเหยื่อล่อแล้วให้ปลามากินเหยื่อ ในที่นี้ก็คือสร้างเว็บหลอกให้เราเข้าไปกรอกข้อมูล

ส่วนเหตุการณ์จริงก็จะเป็นประมาณสร้างเว็บหน้าตาเหมือนเว็บชื่อดังทั่วไป (ดูด้วยตาจะเหมือน 100% เลย) ส่วนใหญ่จะเน้นไปทางเว็บการเงิน เว็บเมล เว็บ Social Network หรือว่าง่ายๆก็คือเว็บที่น่าขโมย Username/Password ไปจนถึงรหัสบัตรเครดิต, บัญชีธนาคารกันเลยทีเีดียว

เมื่อมีเว็บที่หน้าตาเหมือนต้นฉบับแล้ว อันต่อมาก็คือ วิธีทำให้เหยื่อเข้าไปยังเว็บหน้านั้นๆ ส่วนใหญ่จะมากับ Link แบบต่างๆเช่น

• ลิงค์ที่มาจากรูปภาพ อันนี้ก็จะดูยากหน่อยว่าจริงๆแล้ว Link นั้นจะพาเราไปไหน
  
• ลิงค์ที่ตัวอักษรดูดี แต่ซ่อนปลายาทางไปอีกที่นึง เช่น ตัวอักษรเป็น Facebook.com แต่ตัว Link จริงๆพาไปที่ facebook.xfrg.tar.lb เป็นต้น
• อีกวิธีนึงที่เพิ่งจะได้ีรับความนิยมคือ ลิงค์ผ่านบริการย่อ URL (เช่น http://bit.ly/mA0LCq )อันนี้คนเข้าแทบจะไม่สามารถรู้ล่วงหน้าได้เลยว่า Link ที่ผ่านการย่อ URL มาแล้วนั้นจะพาเรา้ไปที่ไหน อันนี้นอกจากจะเจอ Phishing ได้ง่ายแล้ว บริการย่อลิงค์นี่อาจจะพาไปสู่ไวรัสและอันตรายอื่นๆอีกเยอะเลย
• เว็บไซต์สะกดผิด อันนี้จะเป็น URL ที่เผลอสะกดผิดง่ายๆ เช่น amazom.com ก็จะไปสร้างเว็บหลอกไว้ (แต่สำหรับ amazom นั้น ทาง amazon ตัวจริงไปจดเอาไว้แล้วพาไปเว็บจริงให้ถูกต้อง ถือเป็นการป้องกัน phishing อีกวิธีนึง)

ซึ่งสองสามแบบแรกนั้นหลายๆครั้งก็จะมาในรูปแบบอีเมล มาบอกว่า User คุณไม่ได้ใช้งานนานแล้ว ให้ login เพื่อยืนยันตัวตน (แล้วก็ทำลิงค์หลอกให้เข้าไป) หรือบางทีก็บอกว่า บังคับเปลี่ยน Password ให้เข้าลิงค์นี้แล้วใส่ username/password อันเก่า เป็นต้น

อีกหนทางนึงของ Phishing แบบรู้ทั้งรู้ ก็คือ เว็บ Proxy .. คือเว็บที่เป็นตัวกลางในการเข้าเว็บที่โดนบล็อกอยู่ เช่น ที่ทำงานเราบล็อก Facebook เราก็ไปเข้าเว็บ Proxy เพื่อให้ไปเข้า Facebook แทนเรา (ฟังดูน่าใช้เนอะ) … ซึ่งถ้าเว็บ Proxy ที่ไว้ใจไม่ได้ ก็อาจจะมีการเก็บ Username/Password ของเราได้โดยง่ายเลย เพราะเราเต็มใจกรอกลงไปเอง ทั้งๆที่รู้ว่าต้องผ่าน Proxy ก่อน

 

วิธีป้องกัน :

อันดับแรกเลย ง่ายที่สุด และสำคัญที่สุดก็คือ ก่อนที่เราจะเข้าเว็บ / กดลิงค์ใดๆก็ตาม เราต้องมั่นใจว่าลิงค์นั้นๆพาเราไปยังหน้าที่เราต้องการจริงๆ ดูได้จาก Status Bar ด้านล่างๆ เวลาเราเอาเมาส์ไปชี้ จะขึ้นมาให้เรา้เห็น

ส่วนถ้าเป็น Mobile Browser ที่พอโหลดหน้าเว็บเสร็จจะซ่อนตัว Address Bar ทำให้ไม่เห็นว่าเว็บที่เราเข้าอยู่นั้นเป็น URL อะไรกันแน่ … อันนี้ต้องระวังให้มากขึ้น ถ้าเข้าเว็บสำคัญก็ควรจะเลื่อนขึ้นมาดู URL ซักนิดเพื่อความอุ่นใจ 😉

 

ตัวช่วย :

จริงๆตอนนี้เว็บบราวเซอร์ต่างๆก็มีฟีเจอร์ในการป้องกันเว็บ Phishing เหล่านี้แล้ว โดยถ้าเว็บที่เราเข้ามีอยู่ในฐานข้อมูลก็จะขึ้นเตือนให้เรารู้ว่าเว็บนี้มี โอกาสหลอกลวง ..  แต่ถ้าเราเป็นเหยื่อรายแรกๆล่ะ ก็ซวยไป ..

ส่วนเรื่อง Short URL ลองดูเว็บ http://linkpeelr.appspot.com/ เอาไว้ตรวจสอบว่า Short URL ของเรานั้นว่าจริงๆจะพาไปที่ไหน (มี Chrome Extension ด้วย)

ถ้าเป็น Twitter ที่ซึ่งมีการใช้ Short URL เยอะมากกๆ ลองใช้พวก TweetDeck หรือ Client ที่มีการถอดรหัสตัว URL นั้นๆแล้วแสดงให้เราเห็นเมื่อเอาเมาส์ไปชี้ได้

 

ปล. แต่ที่ตลกคือ เคยมีบางเว็บที่จดไว้หลาย Domain แล้วคนไปเจอ Domain ที่ตัวเองไม่เคยเข้า ก็คิดว่าเป็น Phishing … สรุปว่าหลอกไปหลอกมา กลายเป็นหลอกตัวเอง ฮ่าๆๆ 😉

ปล2. เขียนเสร็จกลับมาอ่านอีกที ไม่แน่ใจว่าตัวเองเขียนวิธีการป้องกันหรือว่าวิธีการสร้างเว็บ Phishing กันแน่ -*-