SMS และลิงก์หลอกลวงดูอย่างไร เจอแล้วต้องทำอะไร

คำตอบสั้น

SMS หลอกลวงมักแอบอ้างเป็นหน่วยงานหรือบริการที่เราไว้ใจ แล้วเร่งให้กดลิงก์หรือกรอกข้อมูลทันที วิธีรับมือที่ได้ผลคือหยุดก่อน ไม่กดลิงก์และไม่โทรกลับเบอร์ในข้อความ จากนั้นตรวจสอบผ่านเว็บไซต์หรือแอปที่เราเปิดเอง ถ้าเผลอให้ข้อมูลไปแล้ว ให้แจ้งธนาคารหรือผู้ให้บริการและเปลี่ยนรหัสผ่านทันที ถ้าโอนเงินไปแล้วให้โทรสายด่วน 1441 เพื่อขออายัดบัญชีปลายทาง

SMS และลิงก์หลอกลวงคืออะไร

การหลอกลวงทางข้อความมีชื่อเรียกทางเทคนิคว่า phishing (ฟิชชิ่ง) คือการที่คนร้ายล่อให้เหยื่อเปิดลิงก์ ไฟล์แนบ หรือกรอกข้อมูลส่วนตัว ซึ่งอาจทำให้ข้อมูลถูกขโมยหรือเครื่องติดมัลแวร์ CISA หน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ อธิบายว่าข้อความแบบนี้มักมาในรูปอีเมล ข้อความ SMS ข้อความส่วนตัวในโซเชียลมีเดีย หรือสายโทรศัพท์ และถูกออกแบบให้ดูเหมือนมาจากคนหรือองค์กรที่เราเชื่อถือ

NCSC หน่วยงานด้านไซเบอร์ของสหราชอาณาจักรระบุว่า ปลายทางของลิงก์ในข้อความหลอกลวงมักเป็นเว็บไซต์ที่ใช้ดาวน์โหลดไวรัส หรือขโมยรหัสผ่านและข้อมูลส่วนตัว ดังนั้นการกดลิงก์เพียงครั้งเดียวก็อาจเป็นจุดเริ่มต้นของความเสียหายได้

สัญญาณเตือนที่ควรจำ

NCSC สรุปสัญญาณของข้อความหลอกลวงไว้เป็นหัวข้อที่จำง่าย 5 ข้อ คือ ความมีอำนาจ ความเร่งด่วน อารมณ์ ความขาดแคลน และเหตุการณ์ปัจจุบัน ข้อความหนึ่งฉบับอาจมีหลายข้อพร้อมกัน

สัญญาณ	ลักษณะที่พบ	คำถามที่ควรถามตัวเอง
แอบอ้างอำนาจ	อ้างว่ามาจากธนาคาร หน่วยงานรัฐ แพทย์ หรือทนายความ	ข้อความนี้มาจากหน่วยงานนั้นจริงหรือเปล่า
เร่งด่วน	กำหนดเวลา เช่น ภายใน 24 ชั่วโมง ขู่ว่าจะถูกปรับหรือระงับบริการ	ทำไมต้องรีบขนาดนี้
กระตุ้นอารมณ์	ทำให้ตกใจ กลัว ดีใจ หรืออยากรู้	ข้อความนี้กำลังทำให้เรารู้สึกอะไรอยู่
ของขาดแคลน	เสนอของที่หายาก เงิน หรือดีลที่ไม่ควรพลาด	ข้อเสนอดีเกินจริงหรือไม่
ตามกระแส	ใช้ข่าวใหญ่ เทศกาล หรือช่วงเวลาเฉพาะ เช่น ช่วงยื่นภาษี	เรากำลังรอข้อความแบบนี้อยู่จริงหรือเปล่า

CISA เพิ่มสัญญาณที่เห็นได้จากตัวข้อความ ได้แก่ การขอข้อมูลส่วนตัวหรือข้อมูลทางการเงิน ลิงก์ย่อที่ไม่รู้ที่มา และที่อยู่อีเมลหรือชื่อเว็บที่สะกดผิดเพี้ยนไปเล็กน้อยจากของจริง เช่น เปลี่ยนตัวอักษรบางตัวให้ดูคล้ายชื่อแบรนด์

อย่าใช้ “ภาษาไม่สวย” เป็นตัวตัดสิน

เมื่อก่อนข้อความหลอกลวงมักสะกดผิดหรือไวยากรณ์แปลก จึงดูออกง่าย แต่ทั้ง CISA และ NCSC เตือนตรงกันว่าปัจจุบันไม่ควรพึ่งสัญญาณนี้ CISA ระบุว่าในยุคปัญญาประดิษฐ์ ข้อความบางฉบับมีไวยากรณ์และการสะกดถูกต้องสมบูรณ์ ส่วน NCSC ระบุว่าการหลอกลวงฉลาดขึ้นจนบางฉบับหลอกผู้เชี่ยวชาญได้ ข้อความที่ภาษาเรียบร้อยจึงไม่ได้แปลว่าปลอดภัย ให้ดูที่พฤติกรรมของข้อความแทน คือพยายามเร่งเรา ขอข้อมูล หรือให้กดลิงก์หรือไม่

ตัวอย่างข้อความที่พบบ่อย (ตัวอย่างสมมติ)

ข้อความด้านล่างเขียนขึ้นเพื่อประกอบคำอธิบาย ไม่ได้คัดมาจากกรณีจริง แต่ละรูปแบบตรงกับสัญญาณเตือนข้างต้นอย่างน้อยหนึ่งข้อ

• เรื่องพัสดุ “พัสดุของคุณตกค้าง กรุณายืนยันที่อยู่ภายใน 24 ชั่วโมง มิฉะนั้นจะถูกตีกลับ” พร้อมลิงก์ย่อ ใช้ความเร่งด่วนและความคุ้นเคย เพราะคนส่วนใหญ่สั่งของออนไลน์อยู่แล้ว
• เรื่องบัญชี “บัญชีของคุณมีความเคลื่อนไหวผิดปกติ กรุณาเข้าสู่ระบบเพื่อยืนยันตัวตน” ใช้ความกลัว และให้กรอกรหัสผ่านในหน้าเว็บที่คนร้ายทำปลอมขึ้น
• เรื่องสิทธิประโยชน์หรือเงินคืน “คุณได้รับสิทธิ์รับเงินคืน กดรับภายในวันนี้” ใช้ความโลภและความขาดแคลน

CISA เล่าเหตุการณ์ตัวอย่างว่า ผู้ใช้รายหนึ่งได้รับอีเมลที่บอกว่าการชำระเงินสั่งซื้อไม่ผ่าน และให้เข้าสู่ระบบทันทีเพื่ออนุมัติวิธีชำระเงิน เขารีบจนไม่ได้สังเกตว่าโดเมนผู้ส่งไม่ตรงกับร้านค้า ผลคือรหัสผ่านและข้อมูลบัตรถูกขโมย กว่าจะติดต่อธนาคารและร้านค้าเพื่อเรียกเงินคืนได้ก็ใช้เวลานาน ปัจจุบันเขาเลือกพิมพ์ชื่อเว็บของร้านเองทุกครั้งแทนการกดลิงก์ในอีเมล

ขั้นตอนเมื่อได้รับ SMS ที่น่าสงสัย

1. หยุดก่อน อย่ากดลิงก์ อย่าเปิดไฟล์แนบ และอย่าโทรกลับเบอร์ที่ระบุในข้อความ NCSC อธิบายว่ามิจฉาชีพพยายามสร้างความไว้ใจอย่างรวดเร็วและกดดันให้เราทำตามโดยไม่คิด การหยุดเพียงไม่กี่นาทีจึงสำคัญ
2. ดูสัญญาณเตือน ไล่ตามตารางข้างต้นว่าตรงกี่ข้อ
3. ตรวจสอบกับต้นทางโดยตรง ถ้ายังสงสัยว่าอาจเป็นเรื่องจริง CISA แนะนำว่าอย่ากดลิงก์หรือโทรเบอร์ในข้อความ ให้ไปที่เว็บไซต์ของหน่วยงานนั้น ค้นหาข้อมูลติดต่อจากหน้าเว็บที่ยืนยันแล้ว หรือพิมพ์ที่อยู่เว็บเอง NCSC เพิ่มว่าข้อมูลติดต่อที่เป็นทางการมักพิมพ์อยู่บนใบแจ้งยอดหรือบัตรของหน่วยงานนั้นด้วย
4. ลบและรายงาน CISA แนะนำให้ลบข้อความ ไม่ตอบกลับ และไม่กดลิงก์ใดๆ แม้แต่ลิงก์ “ยกเลิกการรับข้อความ” และถ้ามีปุ่มรายงานให้กดรายงานด้วย แต่ถ้าเสียเงินหรือให้ข้อมูลไปแล้ว อย่าเพิ่งลบ ให้แคปหน้าจอข้อความ เบอร์ผู้ส่ง และลิงก์เก็บไว้เพื่อใช้แจ้งความก่อน

ถ้าเป็นข้อความจากคนที่รู้จัก

ข้อความแปลกๆ ที่มาจากเพื่อนหรือญาติ อาจเกิดจากบัญชีของเขาถูกยึด CISA แนะนำให้ยืนยันกับเจ้าตัวผ่านช่องทางอื่น เช่น โทรหาด้วยเบอร์ที่เราเก็บไว้เอง

ระวัง QR code ในข้อความและอีเมล

NCSC ระบุว่าคนร้ายใช้ QR code ในอีเมลหลอกลวงเพื่อพาไปยังเว็บปลอมมากขึ้น และ QR code ที่เจอตามร้านอาหารโดยทั่วไปถือว่าใช้ได้ จึงควรระวัง QR code ในอีเมลเป็นพิเศษ และควรใช้หลักเดียวกันกับ QR code ที่มากับข้อความ เพราะเรามองไม่เห็นปลายทางจนกว่าจะสแกน

ถ้าเผลอกดลิงก์หรือกรอกข้อมูลไปแล้ว

อย่าตกใจหรืออายจนปล่อยไว้ ยิ่งลงมือเร็วยิ่งมีโอกาสลดความเสียหาย ตารางนี้ดัดแปลงจากคำแนะนำของ NCSC และปรับช่องทางให้เข้ากับประเทศไทย

สิ่งที่เกิดขึ้น	สิ่งที่ควรทำ
ให้ข้อมูลบัญชีธนาคาร รหัสเข้าแอปธนาคาร หรือรหัส OTP ไปแล้ว	ติดต่อธนาคารทันทีผ่านแอปทางการ หรือเบอร์บนบัตรหรือเว็บไซต์ทางการ และขอให้ระงับบัญชีหรือธุรกรรม
คิดว่าบัญชีถูกยึดแล้ว (มีข้อความที่เราไม่ได้ส่ง หรือเข้าบัญชีไม่ได้)	ทำตามขั้นตอนกู้คืนบัญชีของผู้ให้บริการนั้น
ให้รหัสผ่านไปแล้ว	เปลี่ยนรหัสผ่านของทุกบัญชีที่ใช้รหัสเดียวกัน และถ้ามีตัวเลือกให้ใช้ passkey แทน
เปิดลิงก์หรือติดตั้งแอปหรือซอฟต์แวร์ตามคำสั่ง	บนคอมพิวเตอร์: สแกนทั้งเครื่องด้วยโปรแกรมป้องกันไวรัส แล้วให้โปรแกรมกำจัดสิ่งที่พบ บนมือถือหรือแท็บเล็ต: ถ้าติดตั้งแอปตามคำสั่งหรือสงสัยว่าเครื่องติดมัลแวร์ ให้ตัดอินเทอร์เน็ต แจ้งธนาคารจากเครื่องอื่น เปลี่ยนรหัสผ่านจากเครื่องที่ปลอดภัย แล้วล้างเครื่องกลับค่าโรงงาน NCSC ระบุว่าโปรแกรมป้องกันไวรัสมักแก้ปัญหาบนมือถือแบบบนคอมพิวเตอร์ไม่ได้
เสียเงินไปแล้ว	โทรสายด่วน 1441 (ศูนย์ AOC) ทันทีเพื่อขออายัดบัญชีปลายทาง แจ้งธนาคารของเรา แล้วแจ้งความ เว็บไซต์ตำรวจระบุว่าถ้าแจ้งธนาคารให้ระงับธุรกรรมชั่วคราว ต้องไปพบพนักงานสอบสวนภายใน 72 ชั่วโมง
ได้รับข้อความบนเครื่องของที่ทำงาน	แจ้งฝ่ายไอทีของหน่วยงาน

จุดที่หลายคนพลาดคือการใช้รหัสผ่านซ้ำกันหลายบัญชี ถ้าคนร้ายได้รหัสจากเว็บปลอมไปหนึ่งรหัส ก็จะนำไปลองกับอีเมลและแอปธนาคารของเราต่อ การเปลี่ยนรหัสของบัญชีที่ใช้รหัสเดียวกันทั้งหมดจึงเป็นขั้นตอนที่ไม่ควรข้าม หลังจากนั้นควรเปิดการยืนยันตัวตนสองขั้นตอน ดู 2FA และ Passkey และเลิกใช้รหัสเดียวซ้ำ ดู Password Manager

แจ้งหรือรายงานได้ที่ไหน

การรายงานช่วยให้ผู้ให้บริการหรือเจ้าหน้าที่ตรวจสอบต้นทางและปิดกั้นผู้ส่งได้ NCSC ระบุว่าการรายงานช่วยลดจำนวนข้อความหลอกลวงที่เราได้รับ ทำให้เราเป็นเป้าหมายที่ยากขึ้น และช่วยปกป้องคนอื่นด้วย

สำหรับประเทศไทย ช่องทางที่ยืนยันได้จากเว็บไซต์ทางการมีดังนี้

• ตำรวจ เว็บไซต์ของศูนย์ปราบปรามอาชญากรรมทางเทคโนโลยีสารสนเทศ สำนักงานตำรวจแห่งชาติ (thaipoliceonline.go.th) ระบุว่า ถ้าถูกหลอกให้โอนเงินหรือเสียหายทางการเงิน ให้รีบโทรสายด่วน 1441 ของศูนย์ AOC ทันทีเพื่ออายัดบัญชีปลายทาง สายนี้ให้คำปรึกษาเรื่องการแจ้งความได้ตลอด 24 ชั่วโมง และเว็บไซต์เดียวกันมีระบบแจ้งความออนไลน์
• ThaiCERT อยู่ภายใต้สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) มีศูนย์แจ้งเหตุภัยคุกคามทางไซเบอร์ที่รับแจ้งตลอด 24 ชั่วโมง และมีอีเมลสำหรับแจ้งเหตุ thaicert@ncsa.or.th ตามที่ระบุในเว็บไซต์ของ สกมช.
• ธนาคารและผู้ให้บริการที่ถูกแอบอ้าง ติดต่อผ่านช่องทางที่ประกาศบนเว็บไซต์หรือแอปทางการของหน่วยงานนั้น ไม่ใช่เบอร์ที่มากับข้อความ

สำหรับธนาคารและผู้ให้บริการอื่น ให้ใช้เบอร์ที่ประกาศบนเว็บไซต์ แอป หรือบัตรของหน่วยงานนั้นเสมอ

ลดโอกาสถูกหลอกในระยะยาว

• ใช้รหัสผ่านที่ยาวและไม่ซ้ำกัน และเปิดการยืนยันสองขั้นตอน เพื่อให้รหัสที่หลุดไปไม่เพียงพอสำหรับการเข้าบัญชี
• พิมพ์ชื่อเว็บหรือเปิดแอปเอง เมื่อต้องทำธุรกรรม แทนการกดลิงก์จากข้อความ
• ระวังข้อมูลที่โพสต์ในโซเชียลมีเดีย NCSC อธิบายว่าคนร้ายใช้ข้อมูลที่เราเปิดเผยออนไลน์มาทำให้ข้อความหลอกดูน่าเชื่อถือขึ้น จึงควรทบทวนการตั้งค่าความเป็นส่วนตัวและคิดก่อนโพสต์ข้อมูลของตัวเองและของคนอื่น
• อัปเดตระบบปฏิบัติการและแอปอยู่เสมอ CISA ระบุว่าช่องโหว่ของซอฟต์แวร์เป็นทางที่คนร้ายใช้เข้าถึงไฟล์และบัญชี การอัปเดตจึงช่วยปิดช่องเหล่านั้น
• คุยกับคนในบ้าน ให้ทุกคนรู้จักสัญญาณเตือน และรู้ว่าถามคนอื่นก่อนกดได้

คำถามที่พบบ่อย

ได้รับ SMS ที่มีลิงก์แต่ยังไม่ได้กด ต้องทำอะไรไหม

ยังไม่มีความเสียหาย ทำตามขั้นตอนที่ 4 ด้านบนได้เลย ถ้าข้อความอ้างเรื่องที่อาจเกี่ยวกับเราจริง เช่น พัสดุหรือบัญชี ให้เปิดแอปหรือเว็บทางการด้วยตัวเองเพื่อเช็กสถานะ แทนการใช้ลิงก์ในข้อความ

สแกน QR code ในอีเมลหรือข้อความได้ไหม

ไม่ควรสแกนถ้าไม่ได้รอข้อความนั้นอยู่ ถ้าต้องการใช้บริการที่ QR code พาไปจริง ให้เปิดเว็บหรือแอปทางการด้วยตัวเองแทนการสแกน ส่วน QR code ตามร้านอาหาร NCSC ถือว่าโดยทั่วไปใช้ได้

ธนาคารหรือหน่วยงานรัฐจะขอข้อมูลส่วนตัวทาง SMS หรือโทรศัพท์ไหม

NCSC ของสหราชอาณาจักรระบุว่าธนาคารและแหล่งที่เป็นทางการจะไม่ขอข้อมูลส่วนตัวผ่านอีเมล หรือโทรมาขอให้ยืนยันรายละเอียดบัญชี ควรใช้หลักเดียวกันนี้กับ SMS ด้วย หากไม่แน่ใจให้วางสายแล้วติดต่อหน่วยงานโดยตรงผ่านช่องทางที่ประกาศบนเว็บไซต์หรือบนเอกสารจริง

กดลิงก์ไปแล้วแต่ไม่ได้กรอกอะไร ต้องกังวลไหม

ถ้าแค่เปิดลิงก์โดยไม่ได้กรอกข้อมูลหรือติดตั้งอะไร ความเสี่ยงต่ำกว่า แต่ไม่ควรมองข้าม บนคอมพิวเตอร์ NCSC แนะนำให้สแกนทั้งเครื่องด้วยโปรแกรมป้องกันไวรัส บนมือถือให้ตรวจว่ามีแอปใหม่ที่เราไม่ได้ตั้งใจติดตั้งหรือไม่ ถ้าพบให้ทำตามตารางด้านบน หากบัญชีผิดปกติ เช่น มีข้อความที่เราไม่ได้ส่ง ให้ทำตามขั้นตอนกู้คืนบัญชีของผู้ให้บริการนั้น

แหล่งอ้างอิง

1. Recognize and Report Phishing — CISA (หน้าเก็บถาวร)
2. How to spot a scam email, text message or call — NCSC (UK)
3. Phishing scams: If you’ve shared sensitive information — NCSC (UK)
4. สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.)
5. ศูนย์ปราบปรามอาชญากรรมทางเทคโนโลยีสารสนเทศ — สำนักงานตำรวจแห่งชาติ
6. How to recover an infected device — NCSC (UK)
7. Report a scam text — NCSC (UK)

อ่านต่อ

• 2FA และ Passkey คืออะไร ต่างกันอย่างไร ควรเปิดแบบไหน
• Password Manager คืออะไร ปลอดภัยไหม และเริ่มใช้อย่างไร