Smishing คืออะไร? ต่างจาก Phishing ทั่วไปอย่างไร?

Smishing หรือ SMS Phishing เป็นหนึ่งในการโจมตีทางไซเบอร์ด้วยวิธีทางจิตวิทยา หรือเรียกอีกอย่างว่า Social Engineering (วิศวกรรมสังคม) ที่มุ่งเป้าไปยังบุคคลที่เป็นเหยื่อ โดยอาศัยข้อความบนอุปกรณ์มือถือที่มีเนื้อหาหลอกลวง คำว่า Smishing คือ การผสมระหว่างคำว่า "SMS" (Short Message Service) และ "Phishing" (ฟิชชิง) ซึ่งการโจมตีแบบ Smishing มีจุดประสงค์เพื่อหลอกลวงผู้รับข้อความให้ดำเนินการบางอย่าง เช่น คลิกลิงก์ที่เป็นอันตราย ดาวน์โหลดไฟล์ที่แฝงมัลแวร์ เปิดเผยข้อมูลส่วนตัว หรือแม้กระทั่งทำธุรกรรมทางการเงิน

ทำไม Smishing ถึงแพร่หลายมากขึ้นในปัจจุบัน

การโจมตีทางไซเบอร์ในลักษณะ Smishing มีจำนวนเพิ่มขึ้นอย่างมากในช่วงหลายปีที่ผ่านมา ด้วยเหตุผลหลากหลายประการ ไม่ว่าจะเป็นการเปลี่ยนแปลงทางเทคโนโลยีหรือพฤติกรรมของมนุษย์ ผู้ไม่หวังดีต่างเลือกใช้ Smishing เพื่อโจรกรรมข้อมูลสำคัญอย่างผิดกฎหมายเนื่องจากมีอัตราความสำเร็จที่สูงกว่าวิธีการอื่นๆ ภัยคุกคาม (Threats) ประเภทนี้จึงได้กลายเป็นหนึ่งในความท้าทายด้านความปลอดภัยไซเบอร์ที่องค์กรและบุคคลต่างต้องเผชิญในปัจจุบัน

• ช่องโหว่ที่มีมากขึ้น

หนึ่งในสาเหตุที่การโจมตีแบบ Smishing มีจำนวนมากขึ้น เพราะอาชญากรไซเบอร์ตระหนักว่าผู้คนมีแนวโน้มจะคลิกข้อความตัวอักษรมากกว่าการสื่อรูปแบบอื่น เช่น การเปิดอีเมล หรือการพูดคุยโทรศัพท์ ดังนั้นกลุ่มแฮกเกอร์จึงมักใช้ประโยชน์จากช่องโหว่ด้านพฤติกรรมนี้ เพื่อมุ่งเป้าไปยังบุคคลผ่านข้อความ SMS แทน

• ความก้าวหน้าของตัวกรองสแปม

ปัจจุบัน เครื่องมือรักษาความปลอดภัยอย่าง “ตัวกรองสแปม” (Spam Filter) ในการตรวจจับและบล็อกอีเมลฟิชชิง (Phishing Email) นั้นมีประสิทธิภาพการทำงานที่ดีขึ้นเรื่อยๆ ด้วยเหตุนี้เอง ทำให้อาชญากรไซเบอร์หันไปสำรวจช่องทางอื่นๆ เพื่อโจมตีเหยื่อ โดยเฉพาะ Smishing ผ่านข้อความ SMS ที่สามารถหลีกเลี่ยงการตรวจจับของตัวกรองอีเมล ทำให้มิจฉาชีพเข้าถึงเป้าหมายได้ง่ายขึ้น

• อัตราการคลิก SMS ที่สูงกว่า

งานวิจัยหลายแหล่งได้ระบุว่า ผู้คนมีแนวโน้มจะคลิกลิงก์ในข้อความตัวอักษรมากกว่าลิงก์ในอีเมล เนื่องจากปัจจัยต่างๆ เช่น ความเร่งด่วนและความน่าเชื่อถือของข้อความ SMS กลุ่มมิจฉาชีพจึงใช้ประโยชน์จากพฤติกรรมนี้เพื่อหลอกล่อให้เหยื่อคลิกลิงก์ที่เป็นอันตรายหรือเปิดเผยข้อมูลส่วนบุคคลที่มีความอ่อนไหว

• การใช้งานอุปกรณ์มือถือที่เพิ่มมากขึ้น

การเพิ่มขึ้นของนโยบาย Bring-Your-Own-Device (BYOD) และการทำงานระยะไกลในองค์กรต่างๆ ส่งผลให้มีการพึ่งพาอุปกรณ์มือถือในการทำงานมากขึ้น กระแสนโยบายนี้ขยายได้ขยายพื้นผิวการโจมตี (Attack Surface) ทางไซเบอร์ที่เพิ่มมากขึ้น เนื่องจากแฮกเกอร์สามารถใช้ประโยชน์จากช่องโหว่ในอุปกรณ์มือถือเพื่อเข้าถึงเครือข่ายขององค์กรได้

• เทคนิคทางจิตวิทยา (Social Engineering)

การโจมตีแบบ Smishing ใช้ประโยชน์จากเทคนิคทางจิตวิทยาเพื่อควบคุมอารมณ์ของเหยื่อและหลอกล่อให้พวกเขาทำตามสิ่งที่ต้องการ โดยอาจปลอมข้อความให้คล้ายกับข้อความที่มาจากหน่วยงานที่น่าเชื่อถือ เช่น สถาบันการเงิน หน่วยงานรัฐบาล หรือแบรนด์ที่มีชื่อเสียง นอกจากนี้ มิจฉาชีพมักเขียนข้อความในลักษณะที่สร้างความรู้สึกเร่งด่วน เพิ่มโอกาสที่เหยื่อจะหลงกล

• กลยุทธ์การโจมตีที่พัฒนาซับซ้อนมากขึ้น

อาชญากรไซเบอร์ที่ใช้การโจมตีแบบ Smishing มักจะปรับเปลี่ยนกลยุทธ์อย่างต่อเนื่อง เพื่อหลีกเลี่ยงมาตรการรักษาความปลอดภัยและใช้ประโยชน์จากความก้าวหน้าทางเทคโนโลยี โดยใช้เทคนิคต่างๆ เช่น การปลอมหมายเลขโทรศัพท์ ใช้งานโทรศัพท์ชั่วคราว (Burner Phone) หรือส่งข้อความผ่านอีเมลเพื่อปกปิดต้นแหล่งที่มาของข้อความ Smishing นอกจากนี้ มิจฉาชีพยังใช้ประโยชน์จากการย่อลิงก์ URL และความเคยชินของผู้คนในการรับข้อความจากธนาคารหรือแบรนด์ต่างๆ เพื่อหลอกลวงเหยื่อ

SMS Phishing ทำงานอย่างไร

ในการโจมตีแบบ Smishing ผู้โจมตีมักจะปลอมตัวเป็นหน่วยงานที่ถูกต้องตามกฎหมาย เช่น ธนาคาร หน่วยงานรัฐบาล หรือบริษัทที่มีชื่อเสียง เพื่อสร้างความไว้วางใจจากเหยื่อ จากนั้นจึงส่งข้อความไปยังโทรศัพท์มือถือของเหยื่อ ซึ่งมักมีเนื้อหาที่เร่งด่วนหรือน่าสนใจ เช่น แจ้งเตือนปัญหาเกี่ยวกับบัญชี เสนอรางวัลหรือส่วนลดสินค้า หรือแจ้งขอข้อมูลส่วนตัว เพื่อกระตุ้นให้เหยื่อตอบกลับอย่างเร่งด่วน โดยข้อความมักจะมีลิงก์หรือหมายเลขโทรศัพท์ให้เหยื่อได้โต้ตอบ ซึ่งการคลิกลิงก์หรือโทรออกไปยังหมายเลขที่ให้ไว้อาจนำไปสู่กิจกรรมที่เป็นอันตรายหรือความเสี่ยงต่างๆ

ขั้นตอนการทำงานของการโจมตีแบบ Smishing

ขั้นตอนที่ 1 - ติดต่อเริ่มแรก

ผู้โจมตีเริ่มกระบวนการ Smishing โดยส่งข้อความไปยังอุปกรณ์มือถือของเป้าหมาย ซึ่งข้อความอาจดูเหมือนมาจากแหล่งที่ถูกต้องตามกฎหมาย เช่น สถาบันการเงิน หน่วยงานรัฐบาล หรือแบรนด์ที่มีชื่อเสียง เป็นต้น

ขั้นตอนที่ 2 - สร้างเรื่องราวหลอกลวง

ข้อความ Smishing มักใช้เทคนิค Pretextingในการสร้างเรื่องปลอมหรือสถานการณ์เร่งด่วน เพื่อควบคุมอารมณ์ของเหยื่อและกระตุ้นให้ทำการบางอย่างทันที เช่น การปลอมตัวเป็นสถาบันการเงิน หน่วยงานรัฐบาล ฝ่ายบริการลูกค้า บริษัทขนส่ง หรือแม้กระทั่งเจ้านายและเพื่อนร่วมงาน แสร้งว่าส่งข้อความผิดหมายเลข หรืออื่นๆ กลยุทธ์เหล่านี้มีจุดมุ่งหมายเพื่อหลอกล่อให้เหยื่อเปิดเผยข้อมูลสำคัญ ดาวน์โหลดแอปที่แฝงด้วยมัลแวร์ หรือส่งเงินให้มิจฉาชีพ

ขั้นตอนที่ 3 - แนบลิงก์ที่เป็นอันตราย

ข้อความ Smishing อาจมีลิงก์ที่ดูเหมือนน่าเชื่อถือ แต่เมื่อคลิกเข้าไป ลิงก์จะ Redirect ผู้เหยื่อไปยังเว็บไซต์ปลอมที่เลียนแบบเว็บไซต์ของจริง ซึ่งออกแบบมาเพื่อรวบรวมข้อมูลสำคัญหรือแพร่กระจายมัลแวร์ สุดท้ายเหยื่ออาจถูกหลอกล่อให้ป้อนข้อมูลส่วนตัวเข้าสู่ระบบ หรือรายละเอียดเกี่ยวกับการทำธุรกรรมทางการเงิน

ขั้นตอนที่ 4 - ขโมยข้อมูล

หากเหยื่อคลิกลิงก์ที่เป็นอันตรายหรือได้กรอกข้อมูลสำคัญผ่านลิงก์นั้นๆ มิจฉาชีพสามารถใช้ข้อมูลเหล่านี้เพื่อวัตถุประสงค์ในการฉ้อโกงต่างๆ ซึ่งอาจเป็นการขโมยตัวตน ทำธุรกรรมทางการเงิน หรือการเข้าถึงบัญชีออนไลน์ของเหยื่อโดยไม่ได้รับอนุญาต

ขั้นตอนที่ 5 - การแพร่กระจายมัลแวร์

ในบางกรณี ข้อความ Smishing อาจมีไฟล์แนบหรือลิงก์ที่เมื่อคลิกแล้วจะดาวน์โหลดมัลแวร์ (Malware) ลงบนอุปกรณ์มือถือของเหยื่อ มัลแวร์นี้สามารถให้ผู้โจมตีควบคุมอุปกรณ์ ขโมยข้อมูล หรือสอดแนมกิจกรรมของเหยื่อได้

Smishing แพร่กระจายได้อย่างไร?

ข้อความ Smishing สามารถแพร่กระจายได้ผ่าน 2 วิธีการหลัก ได้แก่

1. การส่งข้อความมือถือปลอม

การโจมตีแบบ Smishing โดยส่วนใหญ่มักอาศัยระบบข้อความมือถือ SMS โดยจะส่งข้อความปลอมเพื่อหลอกให้ผู้คนดาวน์โหลดมัลแวร์ แชร์ข้อมูลสำคัญ หรือส่งเงินให้อาชญากรไซเบอร์ แน่นอนว่าผู้ที่โจมตีเหยื่อด้วย Smishing มักใช้ประโยชน์จากความจริงที่ว่า บุคคลมีแนวโน้มจะคลิกข้อความตัวอักษรมากกว่าการสื่อรูปแบบอื่นๆ อีกทั้งการโจมตีแบบ Smishing แพร่หลายมากขึ้นเนื่องจากการใช้อุปกรณ์มือถือที่เพิ่มขึ้นและความยากในการตรวจจับลิงก์อันตรายบนสมาร์ทโฟน

2. การส่งข้อความผ่านแอป

นอกจากข้อความมือถือบน SMS อาชญากรไซเบอร์ยังใช้แอปส่งข้อความ (Messaging App) เช่น WhatsApp, Messeger (Facebook) เพื่อเป็นสื่อกลางส่งข้อความปลอมต่างๆ เนื่องจากผู้คนมีแนวโน้มจะคลิกลิงก์ในข้อความตัวอักษรมากกว่า นอกจากนี้ มิจฉาชีพยังสามารถปกปิดแหล่งที่มาของข้อความ Smishing โดยการปลอมหมายเลขโทรศัพท์หรือใช้ซอฟต์แวร์ส่งข้อความผ่านอีเมลได้อีกด้วย

เคล็ดลับในการป้องกัน Smishing Attack

Smishing สามารถสร้างความเสียหายมูลค่ามหาศาลแก่ทั้งองค์กรและบุคคลในหลายด้าน ดังนั้นจึงควรศึกษาวิธีระบุการโจมตีลักษณะนี้ เพื่อลดความเสี่ยงต่อการตกเป็นเหยื่อของโจมตีแบบ Smishing โดยแนะนำให้คำนึงถึงประเด็นเหล่านี้ เมื่อต้องตอบกลับข้อความใดๆ ผ่าน SMS หรือ Messaging App เช่น

1. ระมัดระวังข้อความที่ไม่รู้ที่มา - ควรพึงระวังข้อความที่มาจากแหล่งที่ไม่รู้จักหรือน่าสงสัย หลีกเลี่ยงการโต้ตอบกับข้อความ SMS ที่ไม่ได้ขอไว้ โดยเฉพาะข้อความที่มีเนื้อหาขอข้อมูลส่วนบุคคลหรือธุรกรรมทางการเงิน

2. ตรวจสอบคำขอจากข้อความ - หากได้รับข้อความที่อ้างว่ามาจากองค์กรหรือบุคคลที่เชื่อถือได้ แนะนำให้ตรวจสอบข้อมูลผ่านช่องทางอย่างเป็นทาง โดยใช้ข้อมูลติดต่อที่ได้จากแหล่งที่เชื่อถือได้ เช่น เว็บไซต์อย่างเป็นทางการขององค์กร หรือหมายเลขโทรศัพท์จากแหล่งที่เชื่อถือได้ เพื่อยืนยันความถูกต้องของข้อความนั้นๆ

3. หลีกเลี่ยงการคลิกลิงก์ - อาชญากรไซเบอร์มักใช้เทคนิค Clickjackingร่วมกับการส่งข้อความ Smishing จึงควรงดเว้นการคลิกลิงก์ในข้อความจากผู้ส่งที่ไม่รู้จักหรือน่าสงสัย เพราะลิงก์เหล่านี้อาจนำไปสู่เว็บไซต์ที่เป็นอันตรายที่ออกแบบมาเพื่อขโมยข้อมูลส่วนบุคคลหรือส่งมัลแวร์ไปยังอุปกรณ์มือถือ

4. หลีกเลี่ยงการแชร์ข้อมูลสำคัญ - หลีกเลี่ยงการแชร์ข้อมูลสำคัญผ่านข้อความ SMS เช่น รหัสผ่าน PIN หรือรายละเอียดทางการเงิน โดยให้คำนึงไว้ว่า องค์กรที่ถูกต้องตามกฎหมายเช่น ธนาคาร หน่วยงานรัฐ และองค์กรเอกชนจะไม่ขอข้อมูลดังกล่าวผ่าน SMS

5. ระวังความเร่งด่วนและข้อเสนอ - ระมัดระวังเมื่อข้อความเร่งรัดให้กระทำบางอย่างเป็นการด่วน เนื่องจากมิจฉาชีพมักใช้กลยุทธ์นี้เพื่อจัดการให้เหยื่อดำเนินการทันทีโดยไม่ทันได้คิดวิเคราะห์

6. ติดตั้งซอฟต์แวร์รักษาความปลอดภัยบนมือถือ - แนะนำให้ใช้งานซอฟต์แวร์รักษาความปลอดภัยบนมือถือที่สามารถตรวจจับและบล็อกข้อความ Smishing ได้ เพื่อสร้างการป้องกันอีกชั้นจากข้อความที่เป็นอันตราย ในส่วนขององค์กร ปัจจุบันมีองค์กรหลายแห่งได้นำการทดสอบเจาะระบบ (Penetration Testing) มาใช้เพื่อประเมินความพร้อมในการรับมือกับภัยคุกคามอีกด้วย

7. อัปเดตอุปกรณ์อย่างสม่ำเสมอ - อัปเดตระบบปฏิบัติการ แอปพลิเคชัน และซอฟต์แวร์รักษาความปลอดภัยของอุปกรณ์มือถืออย่างสม่ำเสมอ เพราะการอัปเดตในแต่ละครั้งมักมาพร้อมกับแพทช์ความปลอดภัยที่แก้ไขช่องโหว่ของซอฟต์แวร์และป้องกันอุปกรณ์จากภัยคุกคามใหม่ๆ รวมถึงการโจมตีแบบ Smishing ด้วยนั่นเอง

8. เชื่อสัญชาตญาณของตนเอง - หากมีข้อความที่ดูน่าสงสัยหรือดีเกินจริง ให้เชื่อสัญชาตญาณของตัวเองและหลีกเลี่ยงข้อความเหล่านั้น หากมีข้อสงสัยเกี่ยวกับข้อความที่ได้รับ การระวังและหลีกเลี่ยงไว้ก่อนอาจดีวกว่าการโต้ตอบ

เปรียบเทียบ Smishing แตกต่างจาก Phishing อย่างไร

ทั้งการโจมตีแบบ smishing และ phishing อาศัยเทคนิค Social Engineeringเพื่อใช้ประโยชน์จากจิตวิทยามนุษย์ ความไว้วางใจ และหลอกลวงเหยื่อให้ดำเนินการที่เป็นประโยชน์ต่อผู้โจมตี ซึ่งข้อแตกต่างสำคัญของ Smishing และ Phishing นั้นอยู่ที่ “สื่อ” (Medium) ที่ใช้ในการโจมตี

Phishing คือ การโจมตีทางไซเบอร์ที่มิจฉาชีพใช้อีเมลหรือเว็บไซต์ปลอม เพื่อหลอกลวงให้เหยื่อเปิดเผยข้อมูลสำคัญ เช่น ข้อมูลบัญชี รหัสผ่าน หรือข้อมูลทางการเงิน การโจมตีแบบ Phishing มักเกิดขึ้นผ่านอีเมลหรือแพลตฟอร์มการสื่อสารอิเล็กทรอนิกส์เป็นหลัก

ในทางกลับกัน Smishing เป็นการโจมตีรูปแบบย่อยของ Phishing ที่มุ่งเป้าไปยังเหยื่อแบบเฉพาะเจาะจงผ่าน SMS หรือข้อความที่ส่งไปยังอุปกรณ์มือถือ โดยมีเป้าหมายหลักเพื่อหลอกลวงและขโมยข้อมูลส่วนบุคคล พร้อมแพร่กระจายมัลแวร์ หรือดำเนินการด้านอื่นๆ ตามจุดประสงค์ของผู้โจมตี

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับโซลูชัน Cybersecurity และ Cloud Computing ของ Sangfor สามารถเยี่ยมชมเว็บไซต์ www.sangfor.com