Email Security: ป้องกันฟิชชิงและ BEC หลายชั้น

Email security คือการป้องกันอีเมลขององค์กรจากผู้โจมตีที่ใช้อีเมลหลอกคน ภัยคุกคามหลักมีสองแบบ แบบแรกคือฟิชชิง (phishing คือการส่งอีเมลปลอมให้ผู้รับคลิกลิงก์ เปิดไฟล์ หรือกรอกรหัสผ่าน) แบบที่สองคือ BEC (Business Email Compromise คือการหลอกให้โอนเงินหรือเปลี่ยนบัญชีรับเงินผ่านอีเมล) ไม่มีมาตรการเดียวที่หยุดได้ทั้งสองแบบ จึงต้องป้องกันหลายชั้นซ้อนกัน

ภัยสองแบบและตัวเลขที่ควรรู้

หน่วยงานของสหรัฐสี่แห่ง คือ CISA (หน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ของสหรัฐ) NSA FBI และ MS-ISAC (เครือข่ายแบ่งปันข้อมูลภัยไซเบอร์ของรัฐและท้องถิ่นสหรัฐ) ออกคู่มือร่วมกันเมื่อตุลาคม 2023 คู่มือนี้ระบุว่าผู้โจมตีใช้ฟิชชิงเพื่อสองเป้าหมายหลัก คือขโมยข้อมูลรับรองการเข้าใช้ (credential เช่น ชื่อผู้ใช้และรหัสผ่าน) และติดตั้งมัลแวร์ (malware คือซอฟต์แวร์อันตราย) ส่วน BEC นั้น FBI อธิบายว่าเป็นการหลอกเพื่อให้เกิดการโอนเงินโดยไม่ได้รับอนุญาต

• ฟิชชิงเพื่อขโมยข้อมูลเข้าระบบ: ผู้โจมตีแอบอ้างเป็นหัวหน้า เพื่อนร่วมงาน หรือฝ่าย IT แล้วให้ผู้ใช้กรอกชื่อผู้ใช้และรหัสผ่านบนหน้า login ปลอม CISA ระบุว่าการหลอกแบบเดียวกันมาทาง SMS และแอปแชต เช่น Teams หรือ WhatsApp ด้วย ไม่ใช่แค่อีเมล
• ฟิชชิงเพื่อลงมัลแวร์: ลิงก์หรือไฟล์แนบที่ทำให้เครื่องดาวน์โหลดและรันมัลแวร์ เพื่อเจาะเข้าระบบ ขโมยข้อมูล หรือยกระดับสิทธิ์ให้สูงขึ้น
• BEC: ผู้โจมตียึดบัญชีอีเมลจริง หรือแอบอ้างเป็นคนที่ผู้รับรู้จัก แล้วขอให้โอนเงินหรือเปลี่ยนบัญชีรับเงิน FBI ระบุว่าเป้าหมายคือธุรกิจที่ทำงานกับซัพพลายเออร์และโอนเงินผ่านธนาคารเป็นประจำ

IC3 (Internet Crime Complaint Center ศูนย์รับแจ้งอาชญากรรมทางอินเทอร์เน็ตของ FBI) รวบรวมเรื่องที่ผู้เสียหายแจ้งเข้ามา รายงานประจำปี 2025 ระบุว่า BEC มี 24,768 เรื่อง ความเสียหายที่แจ้งรวมประมาณ 3,050 ล้านดอลลาร์สหรัฐ ส่วนปี 2024 มี 21,442 เรื่อง และประมาณ 2,770 ล้านดอลลาร์สหรัฐ ทั้งจำนวนเรื่องและความเสียหายที่แจ้งจึงเพิ่มขึ้น

ตัวเลขนี้นับเฉพาะเรื่องที่มีผู้แจ้ง IC3 และไม่ใช่สถิติของประเทศไทย แต่ช่วยให้เห็นขนาดของปัญหา ในรายงานเดียวกัน ประเภท Phishing/Spoofing (ฟิชชิงและการปลอมตัว) มีผู้แจ้งมากที่สุดถึง 191,561 เรื่อง ส่วนความเสียหายที่แจ้งจาก BEC สูงเป็นอันดับสองรองจากการหลอกลงทุน ประกาศของ FBI เมื่อกันยายน 2024 ระบุว่า ความเสียหายจาก BEC ที่แจ้งทั่วโลกตั้งแต่ตุลาคม 2013 ถึงธันวาคม 2023 รวมกันเกิน 55,000 ล้านดอลลาร์สหรัฐ

ป้องกันห้าชั้น

ไม่มีชั้นไหนชั้นเดียวหยุดได้ทุกอย่าง แต่ละชั้นหยุดภัยคนละส่วน และชั้นถัดไปรับช่วงเมื่อชั้นก่อนหน้าพลาด ห้าชั้นในบทความนี้คือ พิสูจน์ตัวผู้ส่ง กรองที่ทางเข้า ปกป้องบัญชี ตรวจซ้ำก่อนโอนเงิน และให้คนรู้ทันพร้อมช่องทางรายงาน

ชั้นที่ 1: พิสูจน์ตัวผู้ส่ง

อีเมลทุกฉบับมีโดเมน (domain) ของผู้ส่ง คือชื่อหลังเครื่องหมาย @ เช่น example.com ผู้โจมตีมักปลอมโดเมนขององค์กรหรือของคู่ค้า มีมาตรการสามอย่างที่ช่วยให้ระบบรับอีเมลตรวจได้ว่า อีเมลที่อ้างโดเมนหนึ่งส่งมาจากระบบที่ได้รับอนุญาตจริงหรือไม่ ได้แก่ SPF (รายการที่อยู่ IP ที่ได้รับอนุญาตให้ส่งอีเมลแทนโดเมน) DKIM (ลายเซ็นดิจิทัลที่แนบกับอีเมล) และ DMARC (กฎที่บอกผู้รับว่าจะทำอย่างไรกับอีเมลที่ตรวจไม่ผ่าน) วิธีตั้งค่าอยู่ในบทความคู่กัน คือ DMARC, SPF และ DKIM: ตั้งค่าอย่างไรให้ถูกต้อง

• CISA แนะนำ: เปิดการตรวจ DMARC กับอีเมลขาเข้า และตั้งนโยบาย DMARC ของโดเมนตัวเองเป็น reject (ให้ผู้รับปฏิเสธอีเมลที่ตรวจไม่ผ่าน) เพื่อให้อีเมลปลอมที่แอบอ้างโดเมนขององค์กรถูกปฏิเสธที่เซิร์ฟเวอร์อีเมลก่อนถึงผู้รับ
• NIST SP 800-177 Rev. 1 แนะนำ: โดเมนที่ใช้ SPF หรือ DKIM ควรประกาศ DMARC record ของโดเมนนั้นด้วย และผู้รับควรจัดการอีเมลตามนโยบาย DMARC ที่ผู้ส่งประกาศไว้
• ข้อจำกัด: มาตรการนี้ปกป้องชื่อโดเมนจริงขององค์กร แต่ไม่ได้กันโดเมนเลียนแบบที่สะกดคล้ายกัน (look-alike domain) และไม่ได้กันอีเมลที่ส่งจากบัญชีจริงที่ถูกยึดไปแล้ว

CISA แนะนำ reject แต่ RFC 9989 (มาตรฐาน DMARC ฉบับใหม่ ออกเมื่อพฤษภาคม 2026 แทน RFC 7489) เตือนว่าโดเมนที่พนักงานใช้ส่งอีเมลทั่วไป และอาจโพสต์ในเมลลิงลิสต์ (mailing list คือกลุ่มอีเมลที่ระบบส่งต่อข้อความให้สมาชิกทุกคน) ไม่ควรใช้ reject ก่อนดูรายงานผลจริง จึงควรเริ่มจากโหมดเฝ้าดู (monitoring) แล้วเข้มขึ้นทีละขั้นตามที่บทความคู่กันอธิบาย

ชั้นที่ 2: กรองและบล็อกที่ทางเข้า

ชั้นนี้ลดจำนวนอีเมลอันตรายที่ไปถึงผู้ใช้ และลดความเสียหายถ้ามีคนเผลอคลิก มาตรการต่อไปนี้มาจากคู่มือของ CISA

• รายการบล็อก (denylist): ที่ประตูรับอีเมล (email gateway) ให้บล็อกโดเมน URL และที่อยู่ IP ที่รู้ว่าอันตราย รวมถึงไฟล์นามสกุลเสี่ยง เช่น .scr .exe .pif .cpl และไฟล์ที่ตั้งนามสกุลหลอก เช่น ไฟล์ .exe ที่ตั้งชื่อเป็น .doc
• ปิด macro เป็นค่าเริ่มต้น: macro คือชุดคำสั่งที่ฝังอยู่ในไฟล์ Office ซึ่งมัลแวร์มักใช้
• DNS ป้องกัน (protective DNS): บริการ DNS (ระบบที่แปลงชื่อเว็บเป็นที่อยู่ IP) ที่กันไม่ให้เครื่องถูกพาไปยังเว็บอันตราย
• จำกัดสิทธิ์ผู้ดูแลเครื่อง: ผู้ใช้ทั่วไปไม่ควรมีสิทธิ์ผู้ดูแล (admin) บน Windows และ macOS เพื่อให้มัลแวร์ที่รันแล้วทำได้น้อยลง
• เฝ้าดูอีเมลและข้อความภายใน: ผู้ใช้อาจถูกหลอกจากภายนอกโดยทีมความปลอดภัยไม่รู้ จึงควรตรวจอีเมลภายในด้วย และตั้ง baseline (ค่าปกติที่ใช้เทียบ) เพื่อดูสิ่งที่ผิดไปจากปกติ

NIST SP 800-177 Rev. 1 มีมาตรการเพิ่มสำหรับอีเมลขาออก โดยแนะนำให้ปิดพอร์ต 25 ขาออก ยกเว้นเครื่องส่งอีเมลที่ได้รับอนุญาต (พอร์ต 25 คือช่องทางที่เซิร์ฟเวอร์อีเมลใช้ส่งต่อให้กัน) และไม่ให้ระบบที่ไม่เกี่ยวกับอีเมลส่งอีเมลเอง เพื่อลดความเสี่ยงที่เครื่องซึ่งไม่ได้รับอนุญาตจะส่งอีเมลในนามองค์กร NIST ยังแนะนำให้ใช้ TLS (การเข้ารหัสการเชื่อมต่อ) ระหว่างเซิร์ฟเวอร์อีเมล TLS กันการดักอ่านระหว่างทางได้ แต่ไม่ได้ช่วยตัดสินว่าอีเมลฉบับนั้นเป็นการหลอกหรือไม่

ชั้นที่ 3: ปกป้องบัญชีไม่ให้ถูกยึด

ผู้โจมตีที่ได้รหัสผ่านของพนักงานสามารถส่งอีเมลจากบัญชีจริงผ่านเซิร์ฟเวอร์จริงขององค์กร อีเมลแบบนี้มักผ่านการตรวจ SPF DKIM และ DMARC และน่าเชื่อถือที่สุดสำหรับผู้รับ IC3 อธิบายว่า BEC ทำได้ด้วยการยึดบัญชีอีเมลหรือช่องทางสื่อสารอื่น ดังนั้นต้องกันไม่ให้บัญชีถูกยึดตั้งแต่ต้น

• MFA แบบต้านฟิชชิง: MFA (การยืนยันตัวตนหลายปัจจัย คือต้องใช้อย่างอื่นนอกจากรหัสผ่าน) แบบ FIDO (เช่น passkey ซึ่งเป็นกุญแจเข้าใช้ที่ผูกกับเว็บไซต์จริง) หรือแบบ PKI (ใช้ใบรับรองดิจิทัล) ต้านฟิชชิงได้ CISA ชี้ว่า MFA ทางโทรศัพท์ (SMS หรือเสียง) และแบบ push ที่ไม่มี number matching (ดูคำอธิบายในข้อถัดไป) ยังถูกหลอกได้
• ถ้ายังใช้แบบ push ให้เปิด number matching: ผู้ใช้ต้องพิมพ์ตัวเลขที่เห็นบนหน้า login ลงในแอป เพื่อกันการกดอนุมัติพลาดเมื่อถูกส่งคำขอซ้ำ ๆ
• เริ่มที่บัญชีผู้ดูแลระบบและบัญชีสิทธิ์สูง: เช่นบัญชีที่เข้าถึงข้อมูลลูกค้าหรือข้อมูลการเงินได้กว้าง
• ใช้ SSO: SSO (single sign-on คือล็อกอินกลางครั้งเดียวแล้วเข้าได้หลายระบบ) ลดโอกาสที่ผู้ใช้ถูกหลอกให้กรอกรหัสผ่านหลายที่ และมีบันทึกให้ตรวจย้อนหลัง
• ตั้งการแจ้งเตือนการล็อกอินผิดปกติ: ตรวจดูการยืนยัน MFA ที่ถูกปฏิเสธหรือถูกพยายามซ้ำ ๆ และล็อกบัญชีเมื่อการโจมตียังต่อเนื่อง

เปรียบเทียบวิธี MFA แต่ละแบบได้ใน MFA แบบไหนปลอดภัยกว่ากัน: SMS, แอป, Push และ Passkey

ชั้นที่ 4: ตรวจซ้ำก่อนโอนเงิน

BEC เป็นภัยที่เครื่องมืออาจจับไม่ได้ เพราะคำขอโอนเงินอาจมาจากบัญชีจริง หรืออาจเลียนแบบบัญชีจริงได้เนียน ดังนั้นต้องมีขั้นตอนที่ไม่ขึ้นกับการตัดสินใจของคนเดียว IC3 แนะนำให้ยืนยันคำขอเปลี่ยนข้อมูลบัญชีผ่านอีกช่องทางหนึ่ง หรือใช้การยืนยันตัวตนสองปัจจัย

• ยืนยันผ่านอีกช่องทางหนึ่ง: คำขอเปลี่ยนบัญชีรับเงินหรือขอโอนเงินต้องยืนยันนอกอีเมลฉบับที่ส่งคำขอมา (ตาม IC3)
• โทรกลับเบอร์ที่มีอยู่เดิมในระบบ: ไม่ใช้เบอร์ที่มากับอีเมลที่ขอเปลี่ยน ข้อนี้เป็นแนวปฏิบัติทั่วไป ไม่ได้ระบุไว้ในเอกสารของ IC3
• แยกคนขอเปลี่ยนกับคนอนุมัติ: อย่าให้คนเดียวรับคำขอ แก้ข้อมูล และโอนเงิน ข้อนี้เป็นแนวปฏิบัติทั่วไปเช่นกัน
• ดูที่อยู่ผู้ส่งจริงและโดเมนในลิงก์: IC3 แนะนำให้ตรวจที่อยู่อีเมลจริงของผู้ส่ง โดยเฉพาะบนมือถือ และระวังลิงก์ที่สะกดโดเมนผิดเล็กน้อย
• ไม่ส่งรหัสผ่านหรือข้อมูลส่วนบุคคลทางอีเมล: แม้คำขอจะดูน่าเชื่อถือ

การยืนยันด้วยเสียงหรือวิดีโอคอลอย่างเดียวก็ไม่พอ เพราะเสียงและภาพปลอมด้วย AI ก็ใช้หลอกให้โอนเงินได้ ควรโทรกลับเบอร์ที่บันทึกไว้เดิมและให้อีกคนร่วมตรวจ ดู Deepfake และการหลอกลวงด้วย AI: องค์กรรับมืออย่างไร

ชั้นที่ 5: คนและการรายงาน

การอบรมช่วยให้ผู้ใช้สังเกตอีเมลน่าสงสัย ไม่โต้ตอบกับลิงก์หรือไฟล์นั้น และรายงานทันที แม้เผลอเปิดไปแล้ว CISA ระบุว่าการรายงานเป็นวิธีที่มีประสิทธิภาพที่สุดวิธีหนึ่ง เพราะช่วยให้ผู้ให้บริการอีเมลระบุการโจมตีรูปแบบใหม่หรือที่กำลังแพร่หลายได้ และแนะนำให้ใช้ปุ่มรายงานที่มีในโปรแกรมอีเมลบนคลาวด์ เช่น Outlook เรื่องการอบรมและการจำลองฟิชชิงอยู่ใน Security Awareness และ Phishing Simulation ที่ได้ผล

เมื่อสงสัยว่าถูกหลอก: ทำอะไรก่อน

ถ้าเกี่ยวกับการโอนเงิน ให้ดำเนินการเร็วที่สุด IC3 ระบุว่าเวลาสำคัญมากหลังพบการโอนที่ฉ้อโกง ให้ติดต่อธนาคารทันทีเพื่อขอเรียกคืนเงิน และแจ้งเรื่องกับ IC3 ไม่ว่ายอดเสียหายเท่าใด ถ้ามีบัญชีหรือเครื่องที่อาจถูกยึด CISA แนะนำให้ออกข้อมูลรับรองการเข้าใช้ (credential) ชุดใหม่ให้บัญชีนั้น ตรวจประวัติการเข้าใช้ และแยกเครื่องที่เปิดมัลแวร์ออกจากเครือข่าย

ข้อผิดพลาดที่พบบ่อย

• คิดว่า DMARC อย่างเดียวพอ: DMARC ไม่หยุดโดเมนเลียนแบบ และไม่หยุดอีเมลจากบัญชีจริงที่ถูกยึด
• ตั้ง DMARC เป็น reject โดยไม่อ่านรายงานก่อน: อีเมลจริงที่ส่งจากระบบที่ถูกลืมอาจถูกปฏิเสธไปด้วย
• ใช้ MFA แบบ SMS หรือ push ที่ไม่มี number matching กับบัญชีสำคัญ: CISA ชี้ว่ายังถูกหลอกได้
• ยืนยันการเปลี่ยนบัญชีโดยตอบกลับอีเมลฉบับเดิม: คำตอบไปถึงผู้ส่งคนเดิม ซึ่งอาจเป็นผู้โจมตี
• ให้คนเดียวดูแลทั้งการรับคำขอ การแก้ข้อมูล และการโอนเงิน: ไม่มีใครตรวจซ้ำ
• รอให้แน่ใจก่อนจึงแจ้งธนาคาร: IC3 ระบุว่าเวลาสำคัญมากหลังพบการโอนที่ฉ้อโกง
• เฝ้าดูแต่อีเมลขาเข้าจากภายนอก: CISA ระบุว่าผู้ใช้อาจถูกหลอกโดยทีมความปลอดภัยไม่รู้ จึงต้องดูอีเมลและข้อความภายในด้วย

ขั้นแรกที่ทำได้ทันที

• ตรวจสถานะ SPF, DKIM และ DMARC ของทุกโดเมนที่ใช้ส่งอีเมล: ถ้ายังไม่มี DMARC ให้เริ่มจากโหมดเฝ้าดูตาม DMARC, SPF และ DKIM: ตั้งค่าอย่างไรให้ถูกต้อง
• เปิด MFA ต้านฟิชชิงให้บัญชีผู้ดูแลระบบและผู้บริหารก่อน: บัญชีอื่นที่ใช้ push ให้เปิด number matching ไปก่อน
• บล็อกไฟล์นามสกุลเสี่ยงและปิด macro เป็นค่าเริ่มต้น: ทำที่ประตูรับอีเมลและที่เครื่องผู้ใช้
• เขียนขั้นตอนยืนยันการเปลี่ยนบัญชีรับเงินให้จบในหน้าเดียว: ใช้กับทุกคนรวมถึงผู้บริหาร และระบุว่าต้องโทรกลับเบอร์ไหน
• เปิดปุ่มรายงานฟิชชิงให้ผู้ใช้: และกำหนดว่าใครรับเรื่อง
• จดช่องทางติดต่อธนาคารสำหรับขอเรียกคืนเงินไว้ในแผนรับเหตุ: เพราะต้องแจ้งให้เร็วที่สุด

ถ้าอยากรู้ว่าการป้องกันอีเมลและการยืนยันตัวตนขององค์กรอยู่ตรงไหนเมื่อเทียบกับแนวปฏิบัติที่ดี ลองใช้ แบบประเมินตนเอง

ขอบเขตและความแม่นยำ

ตัวเลขของ IC3 นับเฉพาะเรื่องที่มีผู้แจ้งเข้าศูนย์ ไม่ใช่สถิติของประเทศไทย และไม่ครอบคลุมทุกเหตุการณ์ คำแนะนำด้านเทคนิคมาจากคู่มือร่วมของ CISA (เผยแพร่ตุลาคม 2023) และ NIST SP 800-177 Rev. 1 (กุมภาพันธ์ 2019 ฉบับนี้อ้างอิง RFC 7489 ซึ่งถูกแทนที่แล้ว) ส่วนมาตรฐาน DMARC ฉบับล่าสุดคือ RFC 9989 ข้อที่ระบุว่าเป็นแนวปฏิบัติทั่วไปเป็นความเห็นของเรา ไม่ได้มาจากเอกสารเหล่านั้น ควรตรวจเอกสารต้นฉบับอีกครั้งก่อนนำไปใช้ เพราะข้อมูลและแนวปฏิบัติเปลี่ยนได้ ข้อมูลอ่านจากเอกสารต้นฉบับเมื่อ 22 ตุลาคม 2026

แหล่งอ้างอิงและข้อมูลเพิ่มเติม

• Phishing Guidance: Stopping the Attack Cycle at Phase One (CISA, NSA, FBI, MS-ISAC): คู่มือร่วม ตุลาคม 2023 ว่าด้วยเทคนิคฟิชชิง มาตรการสำหรับทุกองค์กร และขั้นตอนเมื่อเกิดเหตุ
• FBI IC3: 2025 Internet Crime Report: จำนวนเรื่องและความเสียหายของ BEC และ Phishing/Spoofing ปี 2025 เทียบปี 2024
• FBI IC3 Public Service Announcement I-091124-PSA (September 2024): ตัวเลข BEC สะสมถึงธันวาคม 2023 มาตรการป้องกัน และวิธีขอเรียกคืนเงิน
• FBI IC3: ช่องทางแจ้งความเสียหายจากอาชญากรรมทางอินเทอร์เน็ต
• NIST SP 800-177 Rev. 1: Trustworthy Email: แนวทางด้าน SPF, DKIM, DMARC, TLS และการควบคุมอีเมลขาออก
• RFC 9989: DMARC: มาตรฐาน DMARC ฉบับปัจจุบัน แทน RFC 7489