ตรวจโดเมนของลิงก์ก่อนกรอกข้อมูลส่วนตัว

ตรวจโดเมนของลิงก์โดยอ่านชื่อเว็บไซต์จริงจากแถบที่อยู่ของเบราว์เซอร์ แล้วเทียบกับช่องทางทางการที่คุณรู้จัก อย่าดูเพียงชื่อบนปุ่ม โลโก้ หรือ HTTPS หากชื่อสะกดต่าง มีคำแทรก หรือเปิดแล้วเปลี่ยนไปอีกโดเมน ให้หยุดกรอกข้อมูลและเข้าบริการผ่านแอปหรือบุ๊กมาร์กที่ตรวจสอบไว้ การดูโดเมนช่วยคัดกรองความผิดปกติ แต่ไม่ใช่หลักประกันว่าเว็บไซต์ปลอดภัยทุกด้าน

เริ่มตรวจโดเมนของลิงก์จากที่อยู่จริง

เมื่อได้รับข้อความให้ยืนยันบัญชีหรือแก้ไขข้อมูล อย่าเริ่มจากการกรอกแบบฟอร์ม ให้หาที่อยู่เว็บไซต์ก่อน โดยแยกข้อความที่ผู้ส่งเขียนออกจากปลายทางของลิงก์ ชื่อผู้ส่งและหน้าตาที่คุ้นเคยยังไม่เพียงพอสำหรับยืนยันตัวตน หากไม่เคยใช้บริการนั้น หรือไม่คาดว่าจะได้รับคำขอดังกล่าว ควรหยุดและตรวจสอบเหตุผลผ่านช่องทางอื่น

บนคอมพิวเตอร์ ให้วางเมาส์เหนือลิงก์โดยยังไม่คลิก แล้วอ่านปลายทางที่โปรแกรมแสดง ตามแนวทางในคู่มือป้องกันฟิชชิงของ Mozilla ข้อความบนปุ่มอาจไม่ตรงกับที่อยู่ปลายทาง เช่น ปุ่มเขียนว่าเข้าสู่ระบบ แต่ชี้ไปอีกโดเมน หากอ่านที่อยู่ไม่ครบหรือไม่รู้จักปลายทาง ให้เข้าเว็บไซต์จากบุ๊กมาร์กที่เคยตรวจสอบแทน

แยกชื่อโดเมนออกจากชื่อหน้าและโดเมนย่อย

คู่มือโครงสร้าง URL ของ MDN แยกชื่อโดเมนออกจากเส้นทางและพารามิเตอร์ของหน้าเว็บอย่างชัดเจน สำหรับลิงก์เว็บทั่วไป ชื่อโฮสต์อยู่ถัดจากส่วนโปรโตคอล ก่อนเส้นทางที่เริ่มด้วยเครื่องหมายทับ อย่าตัดสินจากชื่อองค์กรที่พบตรงไหนก็ได้ในลิงก์ เพราะชื่อนั้นอาจอยู่ในชื่อหน้า หรือข้อความต่อท้าย โดยไม่ได้บอกว่ากำลังเชื่อมต่อกับโดเมนขององค์กรนั้น

ตัวอย่างสมมติ account.example.com เป็นชื่อโฮสต์ภายใต้ example.com แต่ example.com.verify.example.net อยู่ภายใต้ example.net แม้จะขึ้นต้นด้วยชื่อที่ดูคุ้นเคย จุดแบ่งระหว่างชื่อจึงสำคัญกว่าความรู้สึกว่าอ่านแล้วคล้ายกัน อย่างไรก็ตาม อย่าใช้สูตรจำแค่สองส่วนท้ายกับทุกเว็บไซต์ เพราะส่วนท้ายของบางโดเมนมีหลายระดับ ควรเทียบชื่อเต็มกับแหล่งทางการเมื่อไม่แน่ใจ

จับชื่อเลียนแบบโดยเทียบทีละส่วน

ตรวจตัวสะกด ตัวเลข ขีดกลาง และส่วนท้ายของโดเมนให้ครบ การเปลี่ยนตัวอักษรเพียงตำแหน่งเดียวอาจทำให้เป็นคนละชื่อ เช่น ตัวแอลภาษาอังกฤษกับเลขหนึ่ง อย่าอ่านข้ามเพียงเพราะชื่อโดยรวมคล้ายบริการเดิม คำว่า secure, support หรือ verify ที่เพิ่มเข้ามาก็ไม่ได้พิสูจน์ความเกี่ยวข้อง ให้เทียบกับชื่อที่ยืนยันจากบริการนั้น ไม่ใช่ชื่อที่ผู้ส่งบอกให้เชื่อ

สมมติว่าคุณได้รับข้อความแจ้งให้แก้ไขที่อยู่จัดส่ง พร้อมโลโก้ร้านค้าที่เคยซื้อของ แทนที่จะใช้โลโก้เป็นหลักฐาน ให้เปิดแอปร้านค้าด้วยตัวเองแล้วตรวจรายการสั่งซื้อ หากไม่มีคำขอเดียวกัน อย่าเพิ่งส่งชื่อ เบอร์โทร หรือที่อยู่ผ่านลิงก์นั้น ตัวอย่างนี้ไม่ได้หมายความว่าทุกข้อความจัดส่งเป็นของปลอม แต่ชี้ว่าต้องตรวจคำขอกับระบบที่เข้าถึงเอง

ลิงก์ย่อและมือถือควรตรวจอย่างไร

ลิงก์ย่อทำให้ยังไม่เห็นชื่อปลายทางจากข้อความแรก จึงไม่ควรใช้ชื่อของบริการย่อลิงก์เป็นหลักฐานว่าแบบฟอร์มปลอดภัย หากเป็นคำขอข้อมูลสำคัญ ให้ข้ามลิงก์แล้วเข้าบริการโดยตรง ไม่จำเป็นต้องเปิดเพื่อพิสูจน์ทุกครั้ง เช่นเดียวกับคิวอาร์โค้ด หากเครื่องแสดงที่อยู่ก่อนเปิด ควรอ่านก่อน แต่ถ้าเห็นเพียงบางส่วนก็ยังสรุปปลายทางไม่ได้

บนมือถือ ให้แตะแถบที่อยู่เพื่อดูชื่อเต็มเมื่อเบราว์เซอร์แสดงชื่อแบบย่อ หากหน้าเปิดอยู่ภายในแอปและตรวจที่อยู่ไม่ได้ ให้หยุดทำรายการแล้วเข้าบริการผ่านช่องทางที่รู้จัก หลังการเปลี่ยนหน้าหรือก่อนเริ่มกรอกข้อมูล ควรตรวจอีกครั้ง เพราะชื่อที่เห็นตอนเริ่มต้นอาจไม่ใช่หน้าปลายทาง การเปลี่ยนโดเมนอาจเป็นขั้นตอนจริงได้ แต่ต้องยืนยันก่อนส่งข้อมูล

HTTPS และโดเมนตรงชื่อยังมีข้อจำกัด

HTTPS ช่วยปกป้องข้อมูลระหว่างการเชื่อมต่อ แต่ไม่ได้รับรองว่าเจ้าของเว็บไซต์เป็นองค์กรที่คุณต้องการติดต่อ คำแนะนำเรื่อง HTTPS และฟิชชิงของ FBI จึงเตือนไม่ให้เชื่อเว็บไซต์เพียงเพราะมี HTTPS หรือรูปกุญแจ เว็บไซต์เลียนแบบก็อาจใช้การเชื่อมต่อแบบเข้ารหัสได้ ต้องตรวจชื่อโดเมนควบคู่กับที่มาของข้อความและเหตุผลที่ขอข้อมูลเสมอ

แม้ชื่อโดเมนจะตรงกับที่ตรวจสอบไว้ ก็ควรพิจารณาว่าข้อมูลที่ร้องขอจำเป็นกับงานนั้นหรือไม่ ตัวอย่างเช่น การติดตามสถานะเอกสารไม่ควรทำให้คุณรีบกรอกรหัสผ่านของอีกบริการเพียงเพราะหน้าเว็บร้องขอ หากคำขอผิดจากขั้นตอนที่คุ้นเคย ให้สอบถามหน่วยงานผ่านข้อมูลติดต่อที่หาเอง และอย่าใช้เบอร์โทรจากข้อความน่าสงสัยเป็นหลักฐานยืนยันข้อความเดียวกัน

คำถามที่พบบ่อยก่อนส่งข้อมูล

เพื่อนส่งมาให้ เชื่อได้เลยหรือไม่? ยังควรตรวจ เพราะการรู้จักผู้ส่งไม่ได้ยืนยันปลายทางของลิงก์ หากข้อความผิดจากบทสนทนาปกติ ให้ติดต่อเพื่อนแยกอีกช่องทางหนึ่ง แล้วถามว่าเป็นผู้ส่งจริงและต้องการให้ทำอะไร ไม่ควรตอบด้วยการส่งรหัสยืนยันกลับไปในแชตเดิม หรือถือว่าการมีชื่อและรูปโปรไฟล์ถูกต้องเป็นเหตุให้ข้ามการตรวจเว็บไซต์

ถ้าเผลอกรอกข้อมูลแล้ว ควรทำอย่างไร? หยุดส่งข้อมูลเพิ่มเติมและเข้าบริการจริงด้วยตัวเอง หากเปิดเผยรหัสผ่าน ให้เปลี่ยนรหัสผ่านนั้น รวมถึงบัญชีอื่นที่ใช้รหัสเดียวกัน ติดต่อผู้ให้บริการเพื่อขอขั้นตอนป้องกันที่ตรงกับข้อมูลที่เปิดเผย เก็บข้อความและภาพหน้าจอไว้แจ้งเหตุโดยไม่เผยแพร่ข้อมูลส่วนตัวซ้ำ และอย่ากลับไปใช้ช่องทางในข้อความต้องสงสัยเพื่อขอความช่วยเหลือ