Smishing กลโกง SMS หลอกดูดข้อมูลและบัตรเครดิตระดับโลก
ลองจินตนาการว่าคุณได้รับข้อความแจ้งเตือนว่ามีค่าทางด่วนค้างชำระ หรือพัสดุจาก USPS ไม่สามารถจัดส่งได้เนื่องจากที่อยู่ไม่ครบถ้วน ข้อความเหล่านี้ดูเหมือนจะเป็นเรื่องปกติในชีวิตประจำวัน แต่แท้จริงแล้วมันคือจุดเริ่มต้นของ Smishing (สมิชชิ่ง) ซึ่งเป็นการผสมคำระหว่าง SMS และ Phishing (การหลอกลวงทางอีเมล) เพื่อล่อลวงให้เหยื่อเปิดเผยข้อมูลส่วนตัวผ่านข้อความทางโทรศัพท์ที่สร้างความรู้สึกเร่งด่วนจนเราขาดความระมัดระวัง
เมื่อเหยื่อคลิกลิงก์ในข้อความ จะถูกนำไปยังเว็บไซต์ที่ออกแบบมาให้ดูน่าเชื่อถือ เพื่อให้กรอกข้อมูลส่วนตัวและชำระเงินจำนวนเล็กน้อย แต่ในความเป็นจริง มิจฉาชีพกำลังดักจับข้อมูลและหมายเลขบัตรเครดิตของคุณแบบเรียลไทม์
เบื้องหลังเครือข่ายอาชญากรรมไซเบอร์ระดับมืออาชีพ
การโจมตีเหล่านี้ไม่ได้เกิดจากบุคคลเพียงคนเดียว แต่ดำเนินการโดยกลุ่มมิจฉาชีพที่พูดภาษาจีน ซึ่งบริหารจัดการองค์กรเหมือนกับบริษัทธุรกิจทั่วไป มีการพัฒนาเครื่องมือที่เรียกว่า Phishing Kits หรือชุดเครื่องมือสำหรับสร้างหน้าเว็บหลอกลวงที่มีคุณภาพสูง มีการอัปเดตระบบให้ทันสมัยและปลอดภัยจากการถูกตรวจจับอยู่เสมอ
ผู้เชี่ยวชาญด้านความปลอดภัยระบุว่า ปัจจุบันมีผู้ให้บริการในรูปแบบ Phishing-as-a-Service รายใหญ่ถึง 7 ราย ที่คอยสนับสนุนแคมเปญการหลอกลวงผ่าน SMS ทั่วโลก โดยกลุ่มเหล่านี้จะสร้างเว็บไซต์ปลอมที่เลียนแบบหน่วยงานรัฐ บริการไปรษณีย์ บริษัทโทรคมนาคม หรือผู้ให้บริการชำระเงิน และขายชุดเครื่องมือเหล่านี้ให้กับอาชญากรรายย่อยเพื่อนำไปใช้งานต่อ
Smishing Triad: เครือข่ายอันตรายระดับโลก
หนึ่งในกลุ่มที่โดดเด่นที่สุดคือ Smishing Triad ซึ่งสร้างความเสียหายในกว่า 121 ประเทศ โดยมีการจดโดเมนเนมปลอมมากกว่า 200,000 โดเมน (เช่น .top, .world, .vip) และมีสถิติผู้เข้าชมเว็บไซต์หลอกลวงมากกว่า 1 ล้านครั้งในช่วงเวลาเพียง 20 วัน
กลยุทธ์การขโมยเงินผ่าน Digital Wallet
เป้าหมายของมิจฉาชีพไม่ได้หยุดอยู่แค่การได้ข้อมูลบัตรเครดิต แต่ยังหลอกให้เหยื่อกรอกรหัส OTP (One-Time Password) หรือรหัสยืนยันตัวตน เพื่อนำบัตรเครดิตเหล่านั้นไปผูกกับ Apple Pay หรือ Google Wallet ซึ่งเปรียบเสมือนการสร้างบัตรเครดิตจำลองที่สามารถนำไปใช้จ่ายได้จากทุกมุมโลก
ในอดีต มิจฉาชีพอาจรอให้บัตร "บ่ม" (Ageing) ในระบบประมาณ 60-90 วันเพื่อให้ดูเหมือนการใช้งานปกติ แต่ปัจจุบันระยะเวลานี้ลดลงเหลือเพียงไม่กี่วัน หรือบางครั้งก็โจมตีทันทีด้วยความรวดเร็วและรุนแรง
| ขั้นตอน | วิธีการดำเนินการ | เป้าหมาย/ผลลัพธ์ |
|---|---|---|
| การล่อลวง | ส่ง SMS/iMessage/RCS ปลอม (เช่น ค่าทางด่วน, พัสดุ) | ให้เหยื่อคลิกลิงก์เข้าสู่เว็บไซต์ปลอม |
| การเก็บข้อมูล | ใช้ซอฟต์แวร์ เช่น Lighthouse จัดการข้อมูล | ชื่อ, อีเมล, ที่อยู่ และเลขบัตรเครดิต |
| การยึดครอง | หลอกขอรหัส OTP เพื่อผูกบัตรกับ Digital Wallet | นำบัตรไปใช้ใน Apple Pay หรือ Google Wallet |
| การโจมตี | รูดบัตรหรือชำระเงินออนไลน์อย่างรวดเร็ว | ขโมยเงินจากบัญชีเหยื่อ |
ข้อเท็จจริงสำคัญ
- Smishing คือการหลอกลวงผ่าน SMS ที่เน้นสร้างความเร่งด่วนเพื่อให้เหยื่อหลงเชื่อ
- มิจฉาชีพใช้ซอฟต์แวร์ชื่อ Lighthouse ในการบริหารจัดการข้อมูลเหยื่อและเลียนแบบแบรนด์การเงิน เช่น PayPal, Visa, Mastercard และ Stripe
- มีการใช้ระบบจัดการงานคล้าย Jira เพื่อติดตามปัญหาและข้อร้องเรียนภายในองค์กรอาชญากรรม
- Digital Wallet ถูกเปลี่ยนให้เป็นเครื่องมือในการ "โคลนนิ่งบัตร" ที่มีประสิทธิภาพสูง
- การป้องกันทำได้โดยการปรับปรุงระบบกรองข้อความขยะ และการตรวจสอบโดเมนปลอมโดยผู้ให้บริการจดทะเบียน
คำถามที่พบบ่อย
Smishing แตกต่างจาก Phishing ทั่วไปอย่างไร?
Phishing คือการหลอกลวงผ่านอีเมล แต่ Smishing ใช้ SMS ซึ่งมักจะสร้างความรู้สึกเร่งด่วนได้มากกว่า และผู้คนมักจะไว้วางใจข้อความในโทรศัพท์มากกว่าอีเมล ทำให้มีโอกาสตกเป็นเหยื่อได้ง่ายขึ้น
มิจฉาชีพนำข้อมูลบัตรเครดิตไปใช้ได้อย่างไรโดยไม่ต้องมีบัตรจริง?
มิจฉาชีพจะหลอกเอาข้อมูลบัตรและรหัส OTP เพื่อนำไปเพิ่มบัตรใน Apple Pay หรือ Google Wallet ทำให้สามารถชำระเงินผ่านสมาร์ทโฟนได้ทันทีโดยไม่ต้องใช้บัตรพลาสติก
เราจะสังเกตได้อย่างไรว่าข้อความที่ได้รับเป็น Smishing?
ให้ระวังข้อความที่แจ้งเรื่องเร่งด่วน เช่น ค่าปรับค้างชำระ หรือปัญหาการส่งพัสดุ และมีการแนบลิงก์ที่ให้กรอกข้อมูลส่วนตัวหรือชำระเงินจำนวนเล็กน้อย โดยเฉพาะลิงก์ที่มีนามสกุลแปลกๆ เช่น .top หรือ .vip
Google และ Apple มีมาตรการป้องกันเรื่องนี้อย่างไร?
Google ระบุว่ามีการทำงานร่วมกับผู้ออกบัตรเพื่อส่งสัญญาณแจ้งเตือนเมื่อมีการเพิ่มบัตรใหม่ลงใน Wallet เพื่อให้ธนาคารสามารถตรวจจับพฤติกรรมที่น่าสงสัยและระงับการทำรายการได้
