ผู้วิเคราะห์ กิติศักดิ์ จิรวรรณกูล
วันนี้ผมเห็นน้องในกลุ่ม 2600 โพสท์รูปว่าไปค้นหาคำว่า K-Cyber ในกูเกิล พบว่ามีโฆษณาให้เข้าเว็บเพื่อทำธุรกรรมออนไลน์ของธนาคาร แต่เอ๊ะ!! ทำไม URL จึงเป็น kasikorn.ru (ดังรูปที่ 1) ผมได้ขออนุญาตน้อง Non Baphomet ในการนำรูปนี้มาแชร์นะครับ
รูปที่ 1 แสดงหน้าเว็บกูเกิลที่ฟิชชิ่งนั้นมาโฆษณา
ความคันบังเกิดครับ ผมเลยไม่ยอมหลับยอมนอนกันเลยทีเดียว บรรยายพรุ่งนี้เช้าเอาไว้ก่อน ขอแงะเว็บนี้หน่อย เริ่มต้นจากดูว่าเว็บนี้มีโดเมนว่า http://login.kasikorn.ru/K-Online/login.jsp (ห้ามเข้าโดยเด็ดขาดนะครับ) หน้าตาเว็บเป็นดังรูปที่ 2
รูปที่ 2 แสดงหน้าเว็บฟิชชิ่ง
จุดสังเกตว่าเว็บนี้เป็นเว็บฟิชชิ่งหรือไม่
- เว็บนี้มีโดเมน .ru (รัสเซีย) แน่นอนครับว่าธนาคารกสิกรไทยคงไม่ไปเปิดเว็บไว้ที่รัสเซียแน่นอน (มโนเอง)
- เว็บธุรกรรมธนาคารส่วนใหญ่ต้องใช้ https แต่เว็บนี้ไม่มี
- ลิ้งค์ต่างๆ ของเว็บนี้ชี้ไปที่เว็บฟิชชิ่งนี้เว็บเดียว แต่พอหลังจากล็อกอินแล้วจะ redirect ไปหน้าธนาคารจริงๆ
เมื่อมั่นใจแล้วว่าเว็บนี้เป็นเว็บฟิชชิ่งแน่นอนแล้ว ต่อไปเราจะมาหาดูว่าเว็บนี้อยู่ที่ใด ซึ่งจากการทดสอบพบว่าเว็บฟิชชิ่งนี้มีหมายเลขไอพี 91.224.160.79 แต่ไม่สามารทำ rDNS ได้ จากรูปที่ 3 ดังนั้นสรุปได้ว่าน่าจะเป็นเว็บโฮสติ้ง
รูปที่ 3 แสดงการแปลงชื่อเว็บเป็นหมายเลขไอพี
จากนั้นลองเอาไปถามในเว็บ netcraft พบว่าถึงแม้ว่าโดเมนจะถูกจดในประเทศรัสเซีย แต่โฮสติ้งอยู่ที่บริษัท Bergdorf Group Ltd. ในประเทศเนเธอร์แลนด์ แถมเว็บนี้ติดตั้งในระบบปฏิบัติการลินุกซ์ พร้อมกับใช้ nginx เป็นเว็บเซิร์ฟเวอร์ ดังรูปที่ 4
รูปที่ 4 แสดงผลการค้นหาข้อมูลเว็บฟิชชิ่งจาก netcraft
ลองตรวจสอบเพิ่มอีกว่าหมายเลขไอพีนี้เป็นของบริษัท Bergdorf Group Ltd. จริงๆ โดยใช้คำสั่ง whois ดังรูปที่ 5
รูปที่ 5 แสดงผลที่ได้จากการข้อดูข้อมูลเจ้าของหมายเลขไอพี
วิธีการแก้ไขและป้องกัน
- ถ้าหากว่าได้กรอกข้อมูลส่วนตัวของเราลงในเว็บฟิชชิ่ง ให้ดำเนินการติดต่อธนาคารเพื่อขอเปลี่ยนรหัสผ่าน
- ติดตั้งโปรแกรมป้องกันไวรัส พร้อมอัพเดต แล้วสแกนองค์กรตลอดเวลา
- สังเกตชื่อเว็บไซต์และบริบทแวดล้อม ว่าพิมพ์ถูกต้องไหม หรือมี HTTPS หรือไม่
- ถ้าหากต้องการเข้าเว็บไซต์ของธนาคาร ควรพิมพ์ชื่อเว็บของธนาคารที่แสดงอยู่หลังบัตรด้วยตนเองทุกครั้ง
- ติตตั้งแอพพลิเคชั่น ส่วนขยาย หรือแม้กระทั่งโปรแกรมต่างๆ ที่จะช่วยเตือนภัยให้เขาได้ (อ่านเพิ่มที่ http://foh9.blogspot.com/2013/05/web-browser-security-2-chrome.html
