กลโกง Smishing แอบอ้าง USPS หลอกดูดข้อมูลบัตรเครดิตระดับโลก
ในช่วงต้นปีที่ผ่านมา เกิดการระบาดของข้อความ SMS หลอกลวงจำนวนมหาศาลที่แอบอ้างเป็น United States Postal Service (USPS) โดยแจ้งว่ามีพัสดุที่จัดส่งไม่สำเร็จและขอให้ผู้รับกรอกข้อมูลเพิ่มเติม รวมถึงหมายเลขบัตรเครดิตผ่านเว็บไซต์ปลอม เพื่อให้การส่งพัสดุดำเนินการต่อไปได้
เหตุการณ์นี้ไม่ได้เป็นเพียงการหลอกลวงรายย่อย แต่เป็นปฏิบัติการขนาดใหญ่ที่ส่งผลกระทบต่อผู้คนนับแสนราย จนนำไปสู่การสืบสวนโดย Grant Smith วิศวกร Red Team (ผู้เชี่ยวชาญด้านการทดสอบเจาะระบบเพื่อหาช่องโหว่) และผู้ก่อตั้งบริษัท Phantom Security ซึ่งตัดสินใจไล่ล่ากลุ่มมิจฉาชีพเหล่านี้หลังจากภรรยาของเขาตกเป็นเหยื่อ
การเจาะระบบเพื่อเปิดโปงเครือข่ายมิจฉาชีพ
Grant Smith เริ่มต้นจากการวิเคราะห์โดเมนที่น่าสงสัยและดักจับข้อมูลการรับส่งของเว็บไซต์ จนพบช่องโหว่ประเภท Path Traversal (การเข้าถึงไฟล์ในระบบที่ไม่อนุญาต) และ SQL Injection (การส่งคำสั่งฐานข้อมูลผ่านช่องกรอกข้อมูลเพื่อดึงข้อมูลลับ) ซึ่งทำให้เขาสามารถเข้าถึงเซิร์ฟเวอร์และฐานข้อมูลของคนร้ายได้
จากการสืบค้น Smith พบว่ากลุ่มมิจฉาชีพใช้บัญชี Telegram ภาษาจีนในการจำหน่าย Smishing Kit หรือชุดเครื่องมือสำหรับสร้างเว็บไซต์หลอกลวงสำเร็จรูป ซึ่งทางบริษัท Resecurity ได้ระบุชื่อกลุ่มนี้ว่า "Smishing Triad" โดยเครื่องมือนี้ช่วยให้มิจฉาชีพสร้างหน้าเว็บปลอมที่ดูน่าเชื่อถือได้อย่างรวดเร็ว
Smith ยังพบจุดอ่อนที่น่าตกใจคือ ผู้ดูแลเว็บไซต์ปลอมหลายรายไม่ได้เปลี่ยนรหัสผ่านเริ่มต้น โดยยังคงใช้ชื่อผู้ใช้ว่า "admin" และรหัสผ่าน "123456" ทำให้เขาสามารถเจาะเข้าสู่เครือข่ายเว็บไซต์หลอกลวงจำนวนมากและดึงข้อมูลเหยื่อออกมาเพื่อส่งต่อให้หน่วยงานที่เกี่ยวข้อง
ความเสียหายและขอบเขตของปฏิบัติการ
ข้อมูลที่ Smith รวบรวมได้เผยให้เห็นความรุนแรงของปัญหา โดยพบว่ามีผู้หลงเชื่อกรอกข้อมูลบัตรเครดิตที่ไม่ซ้ำกันถึง 438,669 ใบ ผ่านโดเมนปลอมกว่า 1,133 แห่ง นอกจากนี้ยังมีการเก็บข้อมูลอีเมลมากกว่า 50,000 รายการ ซึ่งรวมถึงอีเมลของมหาวิทยาลัยและหน่วยงานรัฐบาลของสหรัฐฯ ด้วย
ข้อมูลที่มิจฉาชีพจัดเก็บไม่ได้มีเพียงเลขบัตรเครดิต แต่ยังรวมถึง ชื่อ-นามสกุล, ที่อยู่, รหัสความปลอดภัยของบัตร (CVV), เบอร์โทรศัพท์, วันเดือนปีเกิด และชื่อธนาคาร ซึ่งเพียงพอที่จะนำไปใช้ช้อปปิ้งออนไลน์ในนามของเหยื่อได้ทันที
| รายการข้อมูล | จำนวน/รายละเอียด |
|---|---|
| จำนวนบัตรเครดิตที่ถูกขโมย | 438,669 ใบ |
| จำนวนโดเมนปลอมที่ตรวจพบ | 1,133 โดเมน |
| จำนวนข้อมูลทั้งหมดที่ถูกกรอก | มากกว่า 1.2 ล้านรายการ |
| รัฐที่ได้รับผลกระทบสูงสุด | แคลิฟอร์เนีย (141,000 รายการ) |
| จำนวนอีเมลที่ถูกจัดเก็บ | มากกว่า 50,000 รายการ |
เบื้องหลังการทำงานของ Smishing Triad
กลุ่ม Smishing Triad มีโครงสร้างการทำงานที่ซับซ้อน โดยแบ่งเป็นสองส่วนหลัก คือ ทีมผู้พัฒนาชาวจีนที่สร้างและดูแลชุดเครื่องมือ Smishing Kit และกลุ่มผู้ซื้อเครื่องมือไปใช้งาน โดยคิดค่าบริการเป็นรายเดือนประมาณ 200 ดอลลาร์
กลุ่มนี้มีความเชี่ยวชาญสูง โดยส่งข้อความหลอกลวงผ่าน SMS และ iMessage ของ Apple ซึ่งมีการเข้ารหัส ทำให้ตรวจจับได้ยาก โดยส่งข้อความเฉลี่ย 50,000 ถึง 100,000 ข้อความต่อวัน และไม่ได้มุ่งเป้าไปที่ผู้ใช้ภาษาจีน แต่เน้นโจมตีในสหรัฐฯ ยุโรป อินเดีย ปากีสถาน และสหรัฐอาหรับเอมิเรตส์
ข้อเท็จจริงสำคัญ
- Smishing คือการทำ Phishing ผ่านทาง SMS เพื่อหลอกให้เหยื่อคลิกลิงก์ปลอม
- กลุ่ม Smishing Triad ใช้โมเดลธุรกิจแบบสมัครสมาชิก (Subscription) ในการขายเครื่องมือหลอกลวง
- ข้อมูลที่ถูกขโมยถูกนำไปใช้ในธุรกรรมออนไลน์ เช่น การเรียกใช้บริการ Uber
- การใช้ SMS มีอัตราความสำเร็จในการหลอกลวงสูงกว่าอีเมลเนื่องจากผู้ใช้มักเปิดอ่านทันที
- Grant Smith ได้ส่งมอบข้อมูลเหยื่อให้แก่ FBI, USPIS และธนาคาร เพื่อระงับความเสียหาย
คำถามที่พบบ่อย
Smishing แตกต่างจาก Phishing ทั่วไปอย่างไร?
Phishing คือการหลอกลวงทางออนไลน์ในภาพรวม แต่ Smishing (SMS Phishing) คือการเจาะจงใช้ข้อความทางโทรศัพท์ (SMS) เป็นช่องทางหลักในการส่งลิงก์ปลอมเพื่อขโมยข้อมูล
จะสังเกตได้อย่างไรว่าข้อความที่ได้รับเป็นของปลอม?
ให้ระวังข้อความจากเบอร์ที่ไม่รู้จัก, มีการเร่งรัดให้ดำเนินการทันที, หรือมีลิงก์ที่ให้คลิกเพื่อกรอกข้อมูลส่วนตัวและข้อมูลทางการเงิน
หากเผลอกรอกข้อมูลบัตรเครดิตไปแล้วควรทำอย่างไร?
ควรรีบติดต่อธนาคารเจ้าของบัตรเพื่อทำการอายัดหรือยกเลิกบัตรทันที เนื่องจากมิจฉาชีพอาจพยายามนำข้อมูลไปใช้แม้บัตรจะถูกยกเลิกไปแล้วในบางกรณี
ทำไมมิจฉาชีพถึงเลือกใช้ iMessage ในการหลอกลวง?
เนื่องจาก iMessage มีการเข้ารหัสข้อมูล ทำให้การตรวจสอบและดักจับเนื้อหาของข้อความโดยหน่วยงานความมั่นคงทำได้ยากกว่า SMS ปกติ
การ "Hacking Back" หรือการเจาะระบบกลับเพื่อหาหลักฐานถูกกฎหมายหรือไม่?
การกระทำดังกล่าวอยู่ใน "พื้นที่สีเทา" ทางกฎหมาย ในสหรัฐฯ อาจขัดต่อกฎหมาย Computer Fraud and Abuse Act แม้ว่าเป้าหมายจะเป็นอาชญากรต่างชาติก็ตาม
