บัญชีและรหัสผ่าน · เริ่มต้น · ประมาณ 8 นาที
ลิงก์ที่ส่งมา ไม่กด เปิดแอปเองดีกว่า
ธนาคารและหน่วยงานรัฐไทยเลิกส่งลิงก์แล้ว ข้อความที่มีลิงก์ให้กดจึงเป็นสัญญาณให้สงสัยไว้ก่อน
สรุปสั้น
สรุปใน 3 บรรทัด
- ฟิชชิงคือการหลอกให้คุณกดลิงก์ เปิดไฟล์ หรือกรอกข้อมูลในหน้าเว็บปลอม เป้าหมายมีสองอย่างคือขโมยรหัสผ่านและติดตั้งมัลแวร์ [6][7]
- ธนาคารและหน่วยงานรัฐในไทยเลิกส่งลิงก์ทาง SMS และอีเมลแล้ว ข้อความที่มีลิงก์และอ้างชื่อพวกนี้จึงสงสัยไว้ก่อนได้เลย [16]
- ข้อความที่สะกดถูกทุกคำก็เป็นฟิชชิงได้ เพราะ AI ช่วยเขียน สิ่งที่พึ่งได้คือไม่กดลิงก์ที่ส่งมา แต่เข้าแอปหรือเว็บเองเสมอ [8][10]
ทำสิ่งนี้ตอนนี้
- เปิดแอปธนาคารและอีเมลที่ใช้ประจำ แล้วจำไว้ว่าช่องทางที่คุณเปิดเองนี้คือทางเข้าเดียวที่เชื่อได้ ไม่ใช่ลิงก์ที่ใครส่งมา [8][13]
- เปิดการยืนยันตัวตนหลายปัจจัย (MFA) ในอีเมลหลักตอนนี้ เพราะอีเมลคือกุญแจรีเซ็ตรหัสผ่านของบัญชีอื่นทั้งหมด [13][9]
- บันทึกเบอร์สายด่วนธนาคารที่ใช้ เบอร์ 1441 และเว็บ thaipoliceonline.go.th ไว้ในเครื่อง [16][18]
1 ลองคิด
อีเมลจาก "ฝ่ายไอที" บอกว่ารหัสผ่านของคุณจะหมดอายุใน 2 ชั่วโมง มีปุ่มให้กดต่ออายุ คุณจะกดไหม
ไม่ต้องกด ถ้าเป็นเรื่องจริง คุณเปิดระบบเองหรือถามฝ่ายไอทีผ่านช่องทางที่รู้จักอยู่แล้วได้เสมอ
ไม่ต้องตอบใคร แค่ตอบในใจ แล้วอ่านต่อ
2 ดูสัญญาณ
เรื่องนี้เกิดขึ้นอย่างไร
ฟิชชิงคือการ "ตกปลา" ด้วยเหยื่อล่อที่เป็นข้อความ คนโกงส่งอีเมล SMS หรือแชทที่ดูเหมือนมาจากคนหรือหน่วยงานที่คุณไว้ใจ แล้วล่อให้คุณทำสองอย่าง คือกรอกรหัสผ่านลงหน้าเว็บปลอม หรือเปิดไฟล์และลิงก์ที่ติดตั้งมัลแวร์ หน่วยงานความปลอดภัยไซเบอร์สหรัฐฯ สรุปว่าเป้าหมายของฟิชชิงมีแค่สองอย่างนี้ ขโมยบัญชี กับยึดเครื่อง [6][7] ส่วนช่องทางมีได้ทุกแบบ ทั้งอีเมล ข้อความ โทรศัพท์ และโซเชียล [9]
ลองนึกภาพว่ามีคนทำกุญแจบ้านคุณไม่ได้ เลยเขียนจดหมายปลอมเป็นนิติบุคคลหมู่บ้าน ขอให้เอากุญแจมาฝากที่ป้อมยาม "เพื่อตรวจสอบ" ฟิชชิงก็คืออย่างนั้น คนโกงเจาะระบบไม่ได้ ก็หลอกให้คุณยื่นกุญแจให้เอง ข้อมูลของ Verizon พบว่าการเจาะระบบร้อยละ 62 ในช่วงปลายปี 2024 ถึงปลายปี 2025 มี "คน" เป็นส่วนหนึ่งของเหตุการณ์ และฟิชชิงเป็นช่องทางเข้าเริ่มต้นร้อยละ 16 [4][5]
ปริมาณไม่ได้ลดลง รายงาน APWG ไตรมาส 2 ปี 2026 นับฟิชชิงได้ 1,069,681 ครั้ง เพิ่มร้อยละ 10.1 จากไตรมาสก่อน โดยฟิชชิงทาง SMS เพิ่มร้อยละ 40 และทางโทรศัพท์เพิ่มร้อยละ 20 [1] FBI รับแจ้งเรื่องฟิชชิงและการแอบอ้างในปี 2025 ถึง 191,561 เรื่อง มากที่สุดในทุกประเภทอาชญากรรมออนไลน์ [3]
ในไทย รูปแบบที่พบบ่อยคือ SMS หรืออีเมลอ้างบริการที่คนใช้ประจำ เช่น ค่าผ่านทาง พัสดุ ค่าไฟ หรือธนาคาร พร้อมลิงก์ไปยังโดเมนเลียนแบบ แล้วขอข้อมูลบัตรหรือ OTP [15] ข้อดีของไทยคือธนาคารและหน่วยงานรัฐเลิกส่งลิงก์ทาง SMS และอีเมลตั้งแต่ปี 2566 ข้อความที่มีลิงก์และอ้างชื่อพวกนี้จึงเป็นสัญญาณของปลอมได้โดยตรง [16]
เส้นทางการหลอก ทีละขั้น
ใช้ปุ่มลูกศรซ้าย/ขวา หรือกดแต่ละขั้นเพื่อดูรายละเอียด
สัญญาณเตือน
- เร่งรัด ขู่ผลร้าย หรืออ้างอำนาจ เช่น "บัญชีจะถูกระงับใน 2 ชั่วโมง" "พัสดุจะถูกส่งคืน" [10][8]
- เสนอสิ่งดีเกินจริง เงินคืน รางวัล หรืองานรายได้สูงที่ต้องกดรับภายในวันนี้ [10][13]
- ชื่อผู้ส่งดูถูกต้อง แต่ที่อยู่อีเมลจริงเป็นโดเมนอื่น หรือสะกดต่างจากของจริงเล็กน้อย [7][13]
- ลิงก์ที่ปลายทางไม่ตรงกับข้อความ ใช้ URL ย่อ ซ่อนลิงก์ใน QR code หรือมีไฟล์แนบที่คุณไม่ได้ขอ [7][10]
- ขอรหัสผ่าน OTP PIN เลขบัตร หรือให้ "ยืนยันข้อมูล" ผ่านลิงก์ [14][13]
- มีลิงก์ให้กดทั้งที่อ้างว่ามาจากธนาคารหรือหน่วยงานรัฐไทย [16]
- คำขอเปลี่ยนบัญชีรับเงินหรือโอนด่วนจาก "ผู้บริหาร" หรือ "คู่ค้า" ที่มาทางอีเมลอย่างเดียว [11][3]
สัญญาณที่ชัดที่สุดคือ "ต้องทำตอนนี้ ผ่านลิงก์นี้" ของจริงไม่เคยมีแค่ทางเดียว และอย่าใช้การสะกดผิดเป็นเกณฑ์ เพราะข้อความที่ AI ช่วยเขียนไม่มีคำผิดแล้ว [8][10]
ของจริง หรือของปลอม
อ่านตัวอย่างแล้วตัดสินใจก่อน จากนั้นกดเปิดเฉลย
ตัวอย่างเพื่อการศึกษา — ชื่อบุคคล หน่วยงาน เบอร์ และโดเมนในตัวอย่างเป็นชื่อสมมติ
อีเมลจาก "ฝ่ายไอที" ให้ต่ออายุรหัสผ่าน
จาก: ฝ่ายไอที บริษัท นภาเทค <it-helpdesk@napha-tech-support.example>
[ด่วน] รหัสผ่านอีเมลของคุณจะหมดอายุใน 2 ชั่วโมง
เพื่อไม่ให้การเข้าถึงอีเมลถูกระงับ โปรดยืนยันรหัสผ่านปัจจุบันผ่านลิงก์ด้านล่างภายใน 2 ชั่วโมง ทีมไอที
https://napha-tech.example.login-portal.example/renew
ปลอม
- โดเมนผู้ส่งเติมคำว่า support และลิงก์เอาชื่อบริษัทมาซ้อนไว้ข้างหน้าโดเมนอื่น ของจริงคือชื่อบริษัทอยู่ท้ายสุดก่อนนามสกุลโดเมน [7][13]
- ขู่ระงับภายใน 2 ชั่วโมง และขอ "รหัสผ่านปัจจุบัน" ซึ่งฝ่ายไอทีจริงไม่เคยต้องการ [10][6]
- ทางที่ถูกคือไม่กด แล้วถามฝ่ายไอทีผ่านช่องทางที่ใช้กันอยู่แล้ว และรายงานอีเมลนี้ [11]
SMS ค้างชำระค่าผ่านทาง
ระบบเก็บค่าผ่านทาง: คุณมียอดค้างชำระ 85 บาท หากไม่ชำระภายในวันนี้จะถูกปรับ 10 เท่า ชำระที่ https://tollpay-th-usa.example/pay
อีเมลแจ้งเตือนการเข้าสู่ระบบจากอุปกรณ์ใหม่
จาก: ธนาคารของคุณ (ส่งจากที่อยู่อีเมลทางการของธนาคาร)
แจ้งเตือน มีการเข้าสู่ระบบจากอุปกรณ์ใหม่
มีการเข้าสู่ระบบบัญชีของคุณจากโทรศัพท์เครื่องใหม่ เมื่อ 20:14 น. หากไม่ใช่คุณ โปรดเปิดแอปธนาคารแล้วไปที่เมนูตั้งค่าความปลอดภัย หรือโทรเบอร์ที่อยู่หลังบัตรของคุณ
3 ลองเลือก
ลองตอบ
4 วิธีรับมือ
วิธีป้องกัน
นิสัยเดียวที่กันได้เกือบทุกแบบ คือไม่กดลิงก์และไม่เปิดไฟล์แนบจากข้อความที่ไม่ได้ร้องขอ ถ้าเรื่องนั้นอาจเป็นจริง ให้เปิดแอปหรือพิมพ์ชื่อเว็บเอง หรือโทรเบอร์ที่รู้อยู่แล้ว เช่น เบอร์หลังบัตร ไม่ใช้เบอร์หรือลิงก์ในข้อความ [8][13][10] นิสัยนี้ใช้ได้โดยไม่ต้องรู้เลยว่าข้อความนั้นปลอมหรือไม่
ตรวจผู้ส่งและลิงก์ให้เป็น กดดูที่อยู่อีเมลจริงหลังเครื่องหมาย @ ไม่ใช่แค่ชื่อที่โชว์ บนคอมพิวเตอร์เอาเมาส์ชี้ลิงก์ค้างไว้เพื่อดูปลายทางก่อนกด และอ่านโดเมนจากท้ายไปหน้า ชื่อหน่วยงานต้องอยู่ติดกับนามสกุลโดเมน [7][13] สัญลักษณ์กุญแจหรือ https บอกแค่ว่าการเชื่อมต่อเข้ารหัส ไม่ได้บอกว่าเจ้าของเว็บเป็นของจริง [7][9]
ลดความเสียหายไว้ล่วงหน้า เปิด MFA ทุกบัญชีสำคัญ และเลือกแบบที่ทนฟิชชิง เช่น พาสคีย์หรือกุญแจ FIDO เมื่อบริการรองรับ เพราะรหัส OTP ยังถูกหลอกให้กรอกในหน้าเว็บปลอมได้ อย่ากดยอมรับการแจ้งเตือน MFA ที่คุณไม่ได้ล็อกอินเอง [6][9][14] ใช้รหัสผ่านไม่ซ้ำกัน เปิดอัปเดตอัตโนมัติ และสำรองข้อมูล [13][7] ถ้าได้ SMS หรือลิงก์ที่สงสัย ส่งไปตรวจที่ Cyber Scammer Shield ของ ThaiCERT ได้ [19]
สำหรับองค์กร ตั้งค่า DMARC SPF และ DKIM โดยตั้ง DMARC เป็น reject กำหนดให้การชำระเงินหรือเปลี่ยนบัญชีต้องยืนยันผ่านช่องทางที่สองเสมอ และสร้างวัฒนธรรมที่พนักงานกล้ารายงานโดยไม่ถูกตำหนิ แม้กดลิงก์ไปแล้ว [6][11]
ถ้าพลาดไปแล้ว ทำอะไรก่อน
- ถ้ากรอกรหัสผ่านไป เปลี่ยนรหัสผ่านบัญชีนั้นทันที และทุกบัญชีที่ใช้รหัสเดียวกัน แล้วตรวจการตั้งค่าส่งต่ออีเมลและอุปกรณ์ที่ล็อกอินอยู่ [7][9][11]
- ถ้าให้ข้อมูลบัตรหรือโอนเงินไป โทรสายด่วน 24 ชั่วโมงของธนาคารเพื่ออายัด แล้วโทร 1441 เพื่อประสานระงับบัญชีปลายทาง ข้อมูล ธปท. ชี้ว่าเงินครึ่งหนึ่งถูกโอนออกภายใน 3 นาที [16][17][18]
- แจ้งความออนไลน์ที่ thaipoliceonline.go.th พร้อมภาพข้อความ ลิงก์ และสลิป ธปท. แนะให้แจ้งภายใน 72 ชั่วโมงเพื่อให้การระงับธุรกรรมมีผลต่อ [16]
- ถ้าเปิดไฟล์แนบหรือติดตั้งอะไรไป ตัดอินเทอร์เน็ต อัปเดตและสแกนเครื่อง ถ้าเป็นมือถือที่สงสัยว่าถูกควบคุม ให้สำรองข้อมูลแล้วล้างเครื่อง [13][7]
- ถ้าเป็นบัญชีที่ทำงาน แจ้งผู้ดูแลระบบทันที แม้แค่สงสัย เพื่อให้รีเซ็ตรหัสและถอนการล็อกอินได้ทัน แล้วรายงานข้อความด้วยปุ่มรายงานฟิชชิงของผู้ให้บริการ [6][11][8]
การกดลิงก์ไม่ใช่ความผิด ข้อความพวกนี้ออกแบบมาให้คนปกติกด สิ่งที่ต่างคือคนที่แจ้งเร็วเสียหายน้อยกว่ามาก
ข้อผิดพลาดที่พบบ่อย
- เชื่อเพราะชื่อผู้ส่งถูกต้อง ชื่อที่โชว์ตั้งเป็นอะไรก็ได้ ต้องดูที่อยู่อีเมลจริง [7][13]
- เชื่อเพราะเห็นกุญแจ https กุญแจบอกแค่ว่าเข้ารหัส ไม่ได้บอกว่าเป็นเว็บของจริง [7][9]
- คิดว่ามี MFA แล้วกรอกอะไรก็ได้ หน้าเว็บปลอมขอทั้งรหัสผ่านและ OTP แล้วส่งต่อไปใช้ทันที [6][9]
- กดลิงก์ "ยกเลิกรับข่าวสาร" ในอีเมลที่สงสัย ทุกลิงก์ในอีเมลปลอมคือลิงก์ของคนโกง ให้รายงานแล้วลบแทน [8]
- โอนไปก่อนแล้วค่อยยืนยัน คำขอเปลี่ยนบัญชีรับเงินต้องโทรยืนยันด้วยเบอร์เดิมก่อนเสมอ ยอดเฉลี่ยที่พยายามหลอกต่อครั้งของ BEC อยู่ที่ราว 61,732 ดอลลาร์ในไตรมาส 2 ปี 2026 [11][1]
ใช้ในชีวิตจริงและที่ทำงาน
ที่บ้าน สอนคนในบ้านด้วยประโยคเดียว "ข้อความไหนมีลิงก์ ให้เปิดแอปเองแทน" ผู้สูงอายุอาจไม่ถนัดอ่านโดเมน แต่จำกติกาง่าย ๆ ได้ว่าธนาคารไม่ส่งลิงก์ [16] ปี 2025 กลุ่มอายุ 60 ปีขึ้นไปในสหรัฐฯ แจ้งความเสียหายจากอาชญากรรมออนไลน์รวม 7.7 พันล้านดอลลาร์ สูงกว่าทุกช่วงอายุ [3]
ที่ทำงาน ฝ่ายการเงินคือเป้าหมายของ BEC อีเมลที่อ้างเป็นผู้บริหารหรือคู่ค้าขอเปลี่ยนบัญชีรับเงินหรือโอนด่วน ต้องยืนยันด้วยการโทรเบอร์ที่มีอยู่เดิม ไม่ใช่เบอร์ในอีเมล และมีผู้อนุมัติสองคน [11][6] ผู้บริหารเองก็เป็นเป้าของ "วาฬ" เพราะข้อมูลสาธารณะของผู้บริหารถูกใช้เขียนอีเมลเจาะจงได้ง่าย [11]
บนมือถือ การทดสอบของ Verizon พบว่าคนกดลิงก์จากช่องทางมือถือมากกว่าอีเมลถึงร้อยละ 40 เพราะหน้าจอเล็กและเรามักอ่านระหว่างทำอย่างอื่น [4] กติกาสำหรับมือถือจึงง่ายกว่า คือไม่กดลิงก์ใน SMS เลย แล้วเปิดแอปของผู้ให้บริการแทน [8][16]
ถ้าแหล่งข้อมูลเห็นต่าง
- กุญแจ https ช่วยแค่ไหน คำแนะนำรุ่นเก่าของ CISA และ NIST ให้สังเกตกุญแจ แต่เอกสารรุ่นใหม่เน้นว่าสัญญาณผิวเผินพึ่งไม่ได้ และไม่มีตัวเลขว่าเว็บฟิชชิงใช้ https มากน้อยแค่ไหน บทนี้จึงสอนว่า "กุญแจไม่ได้แปลว่าปลอดภัย" โดยไม่อ้างตัวเลข [7][9][10]
- การสะกดผิดเป็นสัญญาณไหม เอกสาร CISA ปี 2021 ยังระบุเป็นสัญญาณ แต่หน้ารุ่นใหม่ของ CISA และ NCSC บอกว่าใช้ไม่ได้แล้วเพราะ AI บทนี้ยึดตามรุ่นใหม่ [7][8][10]
- สถิติสายด่วน 1441 ตัวเลขที่เผยแพร่ผ่านสื่อเป็นคำแถลงของรัฐบาล ยังไม่มีรายงานทางการฉบับเต็ม บทนี้จึงใช้ 1441 เป็นช่องทางแจ้งเหตุ แต่ใช้ตัวเลขจากเอกสาร ธปท. แทน [18][17]
5 จำให้ได้
ทำได้วันนี้
ติ๊กแล้วจำไว้ในเครื่องนี้เท่านั้น
ประโยคจำง่าย
ลิงก์ที่ส่งมา อย่ากด เข้าเองดีกว่า
ธนาคารไม่ส่งลิงก์ ใครส่งมาคือคนโกง
สะกดถูกทุกคำ ก็ปลอมได้
คำศัพท์ในบทนี้
- ฟิชชิง (phishing)
- การหลอกล่อผ่านอีเมล ข้อความ โทรศัพท์ หรือโซเชียล ให้คุณกดลิงก์ เปิดไฟล์ หรือกรอกรหัสผ่านในหน้าเว็บปลอม เพื่อขโมยบัญชีหรือติดตั้งมัลแวร์ [6][9]
- สมิชชิงและวิชชิง (smishing, vishing)
- ฟิชชิงที่มาทาง SMS เรียกว่าสมิชชิง มาทางโทรศัพท์เรียกว่าวิชชิง ซึ่งเบอร์โทรเข้าปลอมได้ผ่านระบบโทรผ่านอินเทอร์เน็ต [7]
- โดเมนเลียนแบบ (lookalike domain)
- ชื่อเว็บที่สะกดใกล้ของจริง เช่น เปลี่ยนตัวอักษรหนึ่งตัว เติมคำต่อท้าย หรือใช้นามสกุลโดเมนแปลก ๆ เพื่อให้คนอ่านผ่าน ๆ คิดว่าเป็นเว็บจริง [7][15]
- ชื่อผู้ส่งกับที่อยู่อีเมลจริง (display name)
- ชื่อที่โชว์ในช่อง "จาก" ตั้งเป็นอะไรก็ได้ ต้องกดดูที่อยู่อีเมลจริงหลังเครื่องหมาย @ จึงจะรู้ว่าส่งมาจากโดเมนไหน [7][13]
แหล่งอ้างอิง
ตรวจทานล่าสุด 28 ต.ค. 2569 · ระดับความมั่นใจของเนื้อหา: สูง
- Phishing Activity Trends Report, 2nd Quarter 2026
- 2025 Internet Crime Report (IC3 Annual Report)
- 2026 Data Breach Investigations Report — Executive Summary
- 2026 Data Breach Investigations Report (web page)
- Phishing Guidance: Stopping the Attack Cycle at Phase One
- Avoiding Social Engineering and Phishing Attacks (ST04-014)
- Recognize and Report Phishing (Secure Our World)
- Phishing — Small Business Cybersecurity Corner
- How to spot a scam email, text message or call
- Phishing attacks: defending your organisation
- Phishing: Spot and report scam emails, texts, websites and calls
- How To Recognize and Avoid Phishing Scams
- Recognize and avoid social engineering schemes including phishing messages, phony support calls, and other scams
- อย่าหลงเชื่อลิงก์ปลอม! รู้เท่าทันกลโกงมิจฉาชีพ แอบอ้าง SMS แจ้งยอดค้างชำระ M-Flow
- ประกาศ ธปท. ที่ 4/2568 Mobile Banking Security (+Q&A) และข่าว ธปท. ฉบับที่ 29/2566
- ความคืบหน้าการดำเนินการจัดการภัยทุจริตทางการเงิน (สไลด์แถลง 19 ส.ค. 2568)
- รัฐบาลลุยปราบสแกมเมอร์ ผลงานสายด่วน 1441 ตัดวงจรหลอกลวง
- Cyber Scammer Shield
คำนิยาม สัญญาณเตือน และวิธีรับมือยืนยันตรงกันจากหน่วยงานรัฐหลายประเทศ ตัวเลขสถิติอ่านจากรายงานต้นฉบับ ส่วนสถิติสายด่วน 1441 เป็นคำแถลงผ่านสื่อจึงไม่ใช้เป็นตัวเลขหลัก
เนื้อหาเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมายหรือการเงินเฉพาะบุคคล ตัวอย่างข้อความ ชื่อบุคคล หน่วยงาน และโดเมนในแบบฝึกเป็นชื่อสมมติ · เนื้อหาตรวจทานตามนโยบายเนื้อหา