ประกาศแจ้งเตือนระวังการขโมยข้อมูลส่วนบุคคลด้านการเงิน
ผ่านการหลอกลวงแบบ Phishing

เนื่องด้วยทีมงาน ThaiCERT ได้รับการแจ้งเหตุการณ์การหลอกลวงแบบ Phishing [1] เพื่อขโมยข้อมูลส่วนบุคคลด้านการเงินของสถาบันการเงินในประเทศไทยเป็นจำนวน มากในช่วงนี้ โดยผู้ไม่ประสงค์ดี หรือแฮกเกอร์จะสร้างเว็บเพจที่มีรูปแบบคล้ายกับเว็บเพจของสถาบันการเงิน นั้นๆ แล้วส่งอีเมล์เพื่อหลอกให้ผู้เสียหายเข้าไปกรอกข้อมูลส่วนบุคคลในหน้าเว็บเพ จที่แฮกเกอร์ได้สร้างขึ้น ซึ่งข้อมูลที่หลอกให้กรอกได้แก่ ข้อมูลรหัสบัตรเครติด username/password หมายเลขบัญชีหรือข้อมูลรหัส ATM เป็นต้น

รูปแบบการหลอกลวง

ผู้ไม่ประสงค์ดี หรือแฮกเกอร์จะส่งอีเมล์ที่มีหัวข้ออีเมล์ และเนื้อหาของอีเมล์ที่ทำให้ผู้รับเชื่อว่าเป็นอีเมล์ที่ส่งจากสถาบันการ เงินจริงๆ โดยที่ในเนื้อหาอีเมล์อาจจะระบุถึงคำเชื้อเชิญหรือคำชักจูงให้ผู้เสียหาย ซึ่งเป็นลูกค้าของสถาบันการเงินนั้นๆ คลิกลิงก์ที่เชื่อมโยงไปยังเว็บของผู้ไม่ประสงค์ดีที่ปลอมแปลงเป็นหน้าเว็บ สำหรับรับข้อมูลสำคัญด้านการทำธุรกรรมผ่านอินเทอร์เน็ตของลูกค้า หากผู้เสียหายหลงเชื่อกรอกข้อมูลต่างๆ เข้าไป ผู้ไม่ประสงค์ดี หรือแฮกเกอร์ก็จะได้รับข้อมูลต่างๆเหล่านั้นทันที

ผลกระทบ

1. ผู้เสียหายที่เป็นลูกค้าของสถาบันการเงินอาจจะสูญเสียเงินในบัญชี หรือวงเงินในบัตรเครดิตที่ผู้ไม่ประสงค์ดี หรือแฮกเกอร์นำไปใช้จ่ายโดยไม่ได้รับอนุญาต
2. ข้อมูลส่วนบุคคลของลูกค้าอาจถูกเปิดเผยในอินเทอร์เน็ต หรือถูกนำไปใช้ในทางเสียหายได้แนวทางป้องกัน
3. ลูกค้าของสถาบันการเงินควรมีความตระหนักต่อความเสี่ยงของการหลอกลวงนี้
และตรวจสอบความน่าเชื่อถือของอีเมล์ที่ได้รับจากสถาบันการเงินว่ามีความน่าเชื่อถือหรือไม่
4. โดยปกติสถาบันการเงินส่วนใหญ่ในประเทศไทยไม่มีนโยบายในการส่งข้อมูลส่วนบุคคล
หรือข้อมูลทางการเงินรวมถึงการแจ้งเปลี่ยนรหัสผ่านหรือขอรับบัญชีใหม่หรือ ธุรกรรมที่เกี่ยวข้องทางการเงินผ่านอินเตอร์เน็ตทางอีเมล์ถ้ามีอีเมล์จาก ธนาคารให้เชื่อไว้ก่อนว่าอาจจะเป็นการหลอกลวง
5. ลูกค้าต้องตรวจสอบลิงก์ที่ปรากฏในอีเมล์ว่าทำการเชื่อมต่อไปยังเว็บของ สถาบันการเงินแห่งนั้นจริงหรือไม่หากจำเป็นต้องเข้าไปยังเว็บไซต์ดังกล่าว
6. การเข้าใช้งานเว็บทางด้านธุรกรรมการเงินของสถาบันการเงินต้องอยู่ในรูปแบบ ของการเข้ารหัสแบบ HTTPS เท่านั้น ตัวอย่างชื่อเว็บไซต์ควรเป็น https:/www.examplebank.com เป็นต้น
7. สถาบันการเงินต้องแจ้งให้ลูกค้ารับทราบถึงความเสี่ยง และการหลอกลวงชนิดนี้ให้กับลูกค้ารับทราบ
8. หากไม่มั่นใจในอีเมล์หรือเว็บเพจที่เข้าใช้งานลูกค้าควรโทรศัพท์ติดต่อไปยัง สถาบันการเงินเพื่อยืนยันความมั่นใจก่อนเข้าใช้งานระบบธุรกรรมด้านการเงิน ผ่านอินเทอร์เน็ต
9. ศีกษาข้อมูลเพิ่มเติม พร้อมแนวทางป้องกันจาก [1]

เอกสารอ้างอิง

[1] เทคนิคการโจมตีแบบ "Phishing"
http://www.thaicert.nectec.or.th/paper/basic/phishing.php
ท่านสามารถอ่านเอกสารฉบับนี้ได้ จาก http://www.thaicert.nectec.or.th

ข้อมูลติดต่อศูนย์ประสานงานการรักษาความปลอดภัยคอมพิวเตอร์ประเทศไทย (ThaiCERT)
ศูนย์ประสานงานการรักษาความปลอดภัยคอมพิวเตอร์ประเทศไทย (ThaiCERT)
ศูนย์เทคโนโลยีอิเล็กทรอนิกส์และคอมพิวเตอร์แห่งชาติ

112 อุทยานวิทยาศาสตร์ประเทศไทย ถนนพหลโยธิน ตำบลคลองหนึ่ง อำเภอคลองหลวง
จังหวัดปทุมธานี 12120
โทรศัพท์: 0-2564-6868
โทรสาร: 0-2564-6871
E-mail: thaicert@nectec.or.th
รายละเอียดการบริการแจ้งข่าวสารด้านความปลอดภัยคอมพิวเตอร์ผ่านอี-เมล์
ศูนย์ประสานงานการรักษาความปลอดภัยคอมพิวเตอร์ประเทศไทย (ThaiCERT) ให้บริการแจ้งข่าวสารด้านความปลอดภัยคอมพิวเตอร์ผ่านอี-เมล์ แก่ผู้สนใจ ท่านสามารถสมัคร แก้ไขข้อมูล หรือ ยกเลิกการเป็นสมาชิกรับข่าวสาร ได้ที่