สิ่งที่ต้องทำอย่างเร่งด่วน! เมื่อรู้ตัวว่าเผลอกด Phishing Mail

Step 1: ตัดการเชื่อมต่ออินเทอร์เน็ตถ้าสงสัยว่ามีมัลแวร์

หากหลังจากกด Phishing mail แล้วเครื่องมีอาการผิดปกติ เช่น โปรแกรมเด้งขึ้นเอง คอมพิวเตอร์ช้าผิดปกติ มีหน้าต่างแปลก ๆ มีการดาวน์โหลดไฟล์อัตโนมัติ หรือคุณเผลอเปิดไฟล์แนบที่น่าสงสัย ให้รีบลดโอกาสที่มัลแวร์จะสื่อสารออกไปภายนอก

สิ่งที่ทำได้คือ:

• • • ถอดสาย LAN ออกจากเครื่อง
    • ปิด Wi-Fi ชั่วคราว
    • หากใช้โน้ตบุ๊กบริษัท ให้หยุดใช้งานเครื่องนั้นก่อน
    • อย่าปิดเครื่องทันทีหากองค์กรมีทีม IT หรือ SOC เพราะข้อมูลบางอย่างในเครื่องอาจช่วยตรวจสอบเหตุการณ์ได้

แต่ถ้าองค์กรของคุณมีนโยบายชัดเจน เช่น ให้ปิดเครื่องทันทีเมื่อสงสัยติดมัลแวร์ ให้ทำตามนโยบายขององค์กรเป็นหลัก เพราะแต่ละบริษัทมีแผน Incident Response ที่ต่างกัน

Step 2: รายงานทีม IT หรือ Security ทันที อย่ากลัวโดนดุ

นี่คือขั้นตอนที่สำคัญที่สุดข้อหนึ่งเมื่อเผลอกด Phishing mail: รายงานให้เร็วที่สุด หลายคนเลือกเงียบเพราะกลัวถูกตำหนิ กลัวเป็นเรื่องใหญ่ หรือคิดว่าอาจไม่มีอะไรเกิดขึ้น แต่ในมุมความปลอดภัยไซเบอร์ การรายงานเร็วช่วยให้ทีม IT ป้องกันความเสียหายต่อทั้งองค์กรได้ เช่น บล็อกลิงก์ ปิดกั้นโดเมน แจ้งเตือนพนักงานคนอื่น ตรวจสอบบัญชีที่เสี่ยง และหยุดการโจมตีก่อนลุกลาม

เวลารายงาน ให้ส่งข้อมูลให้ครบที่สุดเท่าที่จำได้:

• • • คุณได้รับอีเมลเวลาใด
    • หัวข้ออีเมลคืออะไร
    • ผู้ส่งแสดงชื่อหรืออีเมลว่าอะไร
    • คุณกดลิงก์หรือเปิดไฟล์แนบอะไร
    • คุณกรอกข้อมูลอะไรไปบ้าง เช่น อีเมล รหัสผ่าน OTP หรือข้อมูลบัตร
    • ใช้อุปกรณ์อะไร เช่น คอมบริษัท มือถือส่วนตัว หรือโน้ตบุ๊กส่วนตัว
    • มีอาการผิดปกติหลังคลิกหรือไม่

ถ้าบริษัทมีปุ่ม Report Phishing ในระบบอีเมล ให้ใช้ปุ่มนั้นก่อน หรือแจ้งผ่านช่องทางที่องค์กรกำหนด เช่น Helpdesk, IT Service Desk, Security Team หรือหัวหน้างาน

วัฒนธรรมที่ดีขององค์กรควรเป็นแบบ No-Blame คือไม่เน้นการหาคนผิด แต่เน้นการแก้ไขและเรียนรู้ เพราะถ้าพนักงานกลัวจนไม่กล้ารายงาน เหตุการณ์เล็กอาจกลายเป็นเหตุ Incident ขนาดใหญ่ได้

Step 3: เปลี่ยนรหัสผ่านทันที หากเผลอกรอกข้อมูล

ถ้าคุณเผลอกรอก Username และ Password ลงในหน้าเว็บที่สงสัยว่าเป็น Phishing ให้ถือว่ารหัสผ่านนั้นไม่ปลอดภัยแล้ว และต้องเปลี่ยนทันที โดยเฉพาะบัญชีอีเมลองค์กร ระบบ Microsoft 365, Google Workspace, VPN, HR, ERP, CRM หรือระบบการเงิน

แนวทางที่แนะนำคือ:

• • • เปลี่ยนรหัสผ่านจากอุปกรณ์ที่ปลอดภัย ไม่ใช่เครื่องที่สงสัยว่าติดมัลแวร์
    • ใช้รหัสผ่านใหม่ที่ไม่ซ้ำกับบริการอื่น
    • หลีกเลี่ยงรหัสผ่านเดิมที่เปลี่ยนแค่ตัวเลขท้าย เช่น Company123 เป็น Company124
    • ใช้ Password Manager หากองค์กรอนุญาต
    • แจ้งทีม IT หากคุณใช้รหัสผ่านเดียวกันในหลายระบบ เพื่อให้ช่วยประเมินความเสี่ยง

หากคุณเผลอกรอกรหัส OTP หรือกดอนุมัติ MFA โดยไม่ตั้งใจ ต้องรีบแจ้งทีม IT ทันที เพราะผู้โจมตีอาจกำลังพยายามเข้าสู่ระบบแบบ Real-time

Step 4: เปิดใช้ MFA และตรวจสอบการอนุมัติที่ผิดปกติ

MFA หรือ Multi-Factor Authentication เป็นชั้นป้องกันสำคัญที่ช่วยลดโอกาสบัญชีถูกยึด แม้รหัสผ่านจะรั่ว แต่ก็ไม่ได้แปลว่าปลอดภัย 100% เพราะผู้โจมตีบางรายใช้เทคนิคหลอกให้คุณกดอนุมัติ MFA หรือสร้างหน้าเว็บปลอมที่ดัก Session Token ได้

หลังจากเผลอกด Phishing mail คุณควรตรวจสอบ:

• • • มีการแจ้งเตือนเข้าสู่ระบบจากประเทศหรืออุปกรณ์แปลก ๆ หรือไม่
    • มี MFA Prompt เด้งขึ้นมาทั้งที่คุณไม่ได้พยายาม Login หรือไม่
    • มีการเพิ่มอุปกรณ์ MFA ใหม่หรือไม่
    • มีการตั้งค่า Forward อีเมลไปยังที่อยู่อื่นหรือไม่
    • มีการเปลี่ยน Recovery Email หรือเบอร์โทรหรือไม่

ถ้าเจอสิ่งผิดปกติ ให้จับภาพหน้าจอไว้และแจ้งทีม IT ทันที อย่าพยายามแก้ทุกอย่างเองหากไม่มั่นใจ เพราะทีม Security อาจต้องเก็บหลักฐานเพื่อวิเคราะห์เส้นทางการโจมตี

Step 5: สแกนมัลแวร์และอัปเดตระบบ

หากคุณดาวน์โหลดไฟล์หรือเปิดไฟล์แนบจากอีเมล Phishing ความเสี่ยงเรื่องมัลแวร์จะสูงขึ้น ควรให้ทีม IT ตรวจสอบเครื่อง หรือใช้เครื่องมือ Endpoint Security ขององค์กรสแกนอย่างละเอียด

สิ่งที่ควรทำเพิ่มเติม ได้แก่:

• • • อัปเดตระบบปฏิบัติการและเบราว์เซอร์
    • อัปเดตโปรแกรมป้องกันไวรัสหรือ EDR Agent
    • ลบไฟล์ดาวน์โหลดที่น่าสงสัยตามคำแนะนำของ IT
    • หลีกเลี่ยงการเสียบ USB หรือเชื่อมต่อ External Drive จนกว่าจะตรวจสอบเสร็จ
    • ตรวจสอบโปรแกรมที่ถูกติดตั้งใหม่โดยไม่รู้ตัว

ในบางกรณี ทีม IT อาจต้องแยกเครื่องออกจากเครือข่าย รีเซ็ตรหัสผ่านหลายระบบ หรือ Reimage เครื่องใหม่ นี่ไม่ใช่การลงโทษ แต่เป็นขั้นตอนป้องกันเพื่อให้มั่นใจว่าไม่มีมัลแวร์หลงเหลืออยู่

Step 6: แจ้งหัวหน้างานอย่างมืออาชีพ

นอกจากแจ้งทีม IT แล้ว คุณควรแจ้งหัวหน้างานหากเหตุการณ์เกี่ยวข้องกับข้อมูลลูกค้า เอกสารงานสำคัญ ระบบการเงิน หรือบัญชีที่ใช้ทำงานร่วมกัน วิธีสื่อสารที่ดีคือสั้น ชัดเจน และเน้นสิ่งที่ทำไปแล้ว

ตัวอย่างข้อความที่ใช้ได้:

สวัสดีค่ะ/ครับ พอดีเมื่อเวลาประมาณ 10.20 น. ผม/ดิฉันเผลอกดลิงก์จากอีเมลที่สงสัยว่าเป็น Phishing และได้แจ้งทีม IT แล้ว ขณะนี้หยุดใช้งานลิงก์ดังกล่าว ไม่ได้ส่งต่ออีเมล และกำลังทำตามขั้นตอนตรวจสอบความปลอดภัย หากมีความคืบหน้าจะแจ้งให้ทราบทันที

การรายงานแบบนี้แสดงให้เห็นว่าคุณมีความรับผิดชอบ ไม่ปกปิด และกำลังควบคุมสถานการณ์อย่างเป็นระบบ