วิธีหลีกเลี่ยงฟิชชิงด้วยพร็อกซี — อะไรที่ใช้ได้ผลจริง

APWG ระบุว่ามี การโจมตีแบบฟิชชิง 971,181 ครั้ง แค่ในไตรมาสแรกของปี 2026 ไตรมาสเดียว — เพิ่มขึ้น 13.8% จากไตรมาสก่อนหน้า และในเดือนมกราคม 2026 Google ก็ได้สกัดกั้นสิ่งที่เรียกว่า หนึ่งในเครือข่ายพร็อกซีสำหรับที่พักอาศัยที่ใหญ่ที่สุดในโลก หลังพบว่ามีกลุ่มภัยคุกคามมากกว่า 550 กลุ่มกำลังส่งทราฟฟิกผ่านเครือข่ายนี้ภายในสัปดาห์เดียว พูดง่าย ๆ คือ พร็อกซีอยู่ทั้งฝั่งรุกและฝั่งรับของศึกฟิชชิง

นี่แหละคือประเด็นที่บทความส่วนใหญ่เกี่ยวกับ “พร็อกซีและฟิชชิง” มักมองข้าม บางบทความบอกว่าพร็อกซีคือเกราะป้องกัน (ซื้อพร็อกซีสิ ปลอดภัยแน่นอน) ขณะที่บางบทความเตือนว่าพร็อกซีคืออาวุธของผู้โจมตี (น่ากลัวไว้ก่อน) แต่ความจริงมันซับซ้อนและน่าสนใจกว่านั้นมาก

ฝ่ายโจมตีใช้โครงสร้างพร็อกซีเพื่อปิดบังต้นทาง สลับ IP ที่ดูน่าเชื่อถือ และขโมยเซสชันที่ยืนยันตัวตนแล้ว — แม้จะผ่าน MFA ไปแล้วก็ตาม ส่วนฝ่ายป้องกันใช้พร็อกซีเพื่อเปิดลิงก์ต้องสงสัยอย่างปลอดภัย ทดสอบว่าหน้าฟิชชิงแสดงผลต่างกันในแต่ละประเทศหรือไม่ และกรองทราฟฟิกอันตรายก่อนจะเข้าถึงเว็บไซต์ของตัวเอง คู่มือนี้จะพาคุณดูทั้งสองมุม แล้วค่อยไล่ทีละขั้นของเวิร์กโฟลว์ที่เอาไปใช้ได้จริง ไม่มีคำกำกวม ไม่มีสูตรสำเร็จวิเศษ

• ระดับความยาก: ปานกลาง
• เวลาที่ใช้: ประมาณ 25 นาทีสำหรับการอ่านและวางแผน; ระยะเวลาติดตั้งจริงขึ้นอยู่กับแต่ละขั้นตอน
• สิ่งที่ต้องมี: ความเข้าใจพื้นฐานเกี่ยวกับโครงสร้างเว็บขององค์กร, สิทธิ์เข้าถึง DNS ของโดเมน, เบราว์เซอร์ Chrome (สำหรับขั้นตอนของ Thunderbit), และถ้ามีก็อาจใช้บัญชีผู้ให้บริการพร็อกซี

ฟิชชิงคืออะไร และทำไมธุรกิจของคุณถึงต้องใส่ใจ?

ฟิชชิงคือการโจมตีด้วยการหลอกลวง อาชญากรจะใช้อีเมล ข้อความ หน้าเข้าสู่ระบบปลอม QR code หรือเว็บไซต์ปลอม เพื่อหลอกให้เหยื่อส่งข้อมูลรับรอง อนุมัติการเข้าสู่ระบบ ติดตั้งมัลแวร์ หรือโอนเงิน

ทุกวันนี้มันไม่ใช่แค่ปัญหา “อีเมลแย่ ๆ” อีกต่อไป ฟิชชิงยุคใหม่มาพร้อมเพจที่โฮสต์บนคลาวด์ ฟลว์ล็อกอิน Microsoft 365 ปลอม QR code และการขโมย session token

สำหรับธุรกิจ ผลกระทบชัดเจนมาก รายงาน 2025 Cost of a Data Breach ของ IBM ระบุว่าค่าเสียหายเฉลี่ยของการรั่วไหลข้อมูลทั่วโลกอยู่ที่ 4.4 ล้านดอลลาร์สหรัฐ ส่วนรายงาน Internet Crime Report 2025 ของ FBI ระบุว่า IC3 ได้รับร้องเรียนอาชญากรรมไซเบอร์ที่เกี่ยวข้องกับการฉ้อโกงราว 453,000 เรื่อง โดยมี ความเสียหายที่รายงานเกิน 17.7 พันล้านดอลลาร์สหรัฐ และในจำนวนนั้น business email compromise (BEC) คิดเป็นมากกว่า 3 พันล้านดอลลาร์

ตั้งแต่การขโมยข้อมูลรับรอง การฉ้อโกงการโอนเงิน การเจาะซัพพลายเชน ไปจนถึงค่าปรับตามกฎระเบียบ ฟิชชิงกระทบได้ครบทุกเรื่อง

ต่อจากนี้เราจะดูว่าพร็อกซีเข้ามาเกี่ยวข้องทั้งฝั่งโจมตีและฝั่งป้องกันอย่างไร และการป้องกันแบบหลายชั้นที่ใช้ได้จริงควรหน้าตาเป็นแบบไหน

พร็อกซีมีสองด้าน: เกราะของคุณ และอาวุธของเขา

พร็อกซีคือคนกลางระหว่างอุปกรณ์ของคุณกับอินเทอร์เน็ต แทนที่เว็บไซต์จะเห็น IP จริงของคุณ มันจะเห็น IP ของพร็อกซีแทน ให้นึกภาพเหมือนบริการส่งต่อจดหมาย: ผู้รับจะเห็นจดหมายมาจากที่อยู่ของผู้ส่งต่อ ไม่ใช่จากบ้านคุณโดยตรง

คุณสมบัติเดียวกันนี้เองที่ทำให้พร็อกซีกลายเป็นของใช้ได้สองทาง ทีมความปลอดภัยใช้พร็อกซีเพื่อสืบสวนภัยคุกคามโดยไม่เปิดเผย IP ขององค์กรหรือเครื่องของนักวิเคราะห์ ส่วนผู้โจมตีก็ใช้เทคโนโลยีเดียวกันนี้เพื่อทำให้ทราฟฟิกอันตรายดูเหมือนมาจากผู้ใช้ทั่วไป มาจากประเทศอื่น หรือมาจากเครือข่ายที่พักอาศัยที่น่าเชื่อถือ บทวิเคราะห์ของ Barracuda ในเดือนเมษายน 2026 อธิบายไว้ชัดเจนว่า IP ที่อยู่อาศัยดูสมจริง เพราะผูกกับการเชื่อมต่ออินเทอร์เน็ตของบ้านหรือธุรกิจขนาดเล็กจริง ๆ ระบบตรวจจับโกงจึงมีโอกาสน้อยที่จะตั้งธงเตือน

บทความส่วนใหญ่เลือกเล่าแค่ด้านเดียว ทำให้ผู้อ่านได้ภาพไม่ครบ — และมีเกราะป้องกันไม่ครบถ้วนด้วย

ผู้โจมตีใช้พร็อกซีเล่นงานคุณอย่างไร

สำหรับฝ่ายป้องกันในธุรกิจ มี 3 แนวโจมตีหลักที่ต้องระวังมากที่สุด: การปกปิดตัวตนและการสลับ IP, การนำพร็อกซีที่อยู่อาศัยไปใช้ในทางผิด, และการหลบเลี่ยงบนแพลตฟอร์มที่น่าเชื่อถือ

อธิบายการฟิชชิงแบบ AiTM (Adversary-in-the-Middle)

AiTM คือการโจมตีที่ทำลายสมมติฐานว่า “มี MFA แล้วก็ปลอดภัย” (สปอยล์: MFA แบบดั้งเดิมเอาไม่อยู่)

ในการโจมตีแบบ AiTM ผู้โจมตีจะวาง reverse proxy คั่นกลางระหว่างเหยื่อกับหน้าเข้าสู่ระบบจริง เช่น Microsoft 365 ผู้ใช้จะเห็นเหมือนเป็นฟลว์ล็อกอินจริง กรอกข้อมูล รับรอง MFA จนเสร็จ และผู้ให้บริการยืนยันตัวตนตัวจริงจะออก session cookie มาให้ แต่เพราะทราฟฟิกทั้งหมดวิ่งผ่านพร็อกซีของผู้โจมตี ผู้โจมตีจึงดัก session cookie นั้นได้ แล้วนำไป replay เพื่อเข้าสู่บัญชี — ไม่ต้องใช้รหัสผ่านหรือ MFA อีก

การวิเคราะห์ Tycoon2FA ของ Microsoft ซึ่งเป็นหนึ่งในชุดเครื่องมือ AiTM ชั้นนำ แสดงให้เห็นว่าผู้ปฏิบัติการสามารถปลอมหน้า Microsoft 365, Outlook, SharePoint, OneDrive และหน้าเข้าสู่ระบบ Google ได้ ชุดเครื่องมือนี้สร้าง PDF และ QR code จัดการเส้นทาง redirect และติดตามการใช้ MFA กับการดัก session cookie โครงสร้างพื้นฐานของมันใช้ซับโดเมนอายุสั้นและโฮสต์ผ่าน Cloudflare เพื่อหลบหลีก blocklist

ทั้งหมดนี้ไม่ใช่ทฤษฎี AiTM kit ถูกนำไปใช้จริงในวงกว้าง และนี่คือเหตุผลอันดับหนึ่งที่คำว่า “เรามี MFA” ยังไม่ใช่คำตอบสุดท้ายของปัญหาฟิชชิง

การใช้พร็อกซีที่อยู่อาศัยในทางผิด และการสลับ IP

เครือข่ายพร็อกซีที่อยู่อาศัยจะส่งทราฟฟิกของผู้โจมตีผ่าน IP บ้านจริง ทำให้คำขอฟิชชิงดูเหมือนมาจากผู้ใช้จริง และหลุดรอดจากการตรวจจับโกงที่อิง IP ผู้ให้บริการหลายรายไม่ได้ตรวจสอบอย่างเข้มงวดว่า IP ของตนถูกนำไปใช้ในรูปแบบใด จึงเกิดตลาดเทา ๆ ขึ้นมา

ตัวอย่างที่ชัดที่สุดคือ ในเดือนมกราคม 2026 Google Threat Intelligence Group ได้สกัดกั้นเครือข่ายพร็อกซีที่อยู่อาศัย IPIDEA ทำให้จำนวนอุปกรณ์ที่ใช้งานได้ลดลงไปหลายล้านเครื่อง GTIG พบว่ามีกลุ่มภัยคุกคามกว่า 550 กลุ่มใช้ exit node ของ IPIDEA ภายในช่วง 7 วัน การสืบสวนยังพบความเชื่อมโยงกับ botnet, การละเมิดการเข้าถึง SaaS, การโจมตีแบบ password spray และผู้ปฏิบัติการจารกรรมระดับโลก การติดตั้ง SDK ของพร็อกซีหลายชุดก็ขาดการขอความยินยอมจากผู้ใช้ที่ชัดเจน

คำเตือนของ FBI ปี 2026 เกี่ยวกับพร็อกซีที่อยู่อาศัย ระบุการใช้ในทางอาชญากรรม เช่น ฟิชชิง การเข้าสู่ระบบด้วยข้อมูลที่ขโมยมา การโจมตีแบบ brute force การยึดบัญชี สแปม และการพราง C2

การโฮสต์บนแพลตฟอร์มที่น่าเชื่อถือ และการหลบเลี่ยงของ phishing kit

อีกหนึ่งเทคนิคในการหลบเลี่ยงคือ การโฮสต์หน้า phishing บนแพลตฟอร์มที่น่าเชื่อถือ เช่น SharePoint, Google Docs, Azure Blob Storage เพื่ออาศัยชื่อเสียงของโดเมนร่วมไปด้วย การวิเคราะห์ภัยคุกคาม Azure Blob Storage ของ Microsoft แสดงให้เห็นว่าผู้โจมตีใช้มันโฮสต์หน้าเข้าสู่ระบบ Microsoft ปลอม ทำให้ผู้ใช้แยกแยะความอันตรายได้ยากขึ้นหากดูแค่ใบรับรองเพียงอย่างเดียว

phishing kit ยังมีตรรกะหลบเลี่ยงในตัวอีกด้วย การวิเคราะห์ phishing kit ของ Cofense ระบุการกรองตามตำแหน่งทางภูมิศาสตร์, user-agent และภาษา, CAPTCHA, การตรวจจับ developer tools และการ redirect ไปยังหน้าเว็บจริง หากผู้เข้าชมไม่ตรงกับโปรไฟล์เหยื่อที่ต้องการ — เช่น อยู่คนละประเทศ ใช้เบราว์เซอร์ไม่ตรง หรือดูเหมือนเป็นระบบสแกนความปลอดภัย — หน้าเว็บก็จะแสดงหน้าเปล่าหรือ 404 แทน

การสแกนจาก IP องค์กรเพียงที่เดียวหรือจากดาต้าเซ็นเตอร์คลาวด์เพียงแห่งเดียวจะมองไม่เห็นเพจพวกนี้ เพราะ kit ถูกออกแบบมาให้ซ่อนตัวจากคุณโดยตรง

ฝั่งป้องกันใช้พร็อกซีสู้กลับอย่างไร

ในฝั่งรับ พร็อกซีมีหน้าที่ใช้งานได้จริง 4 อย่าง:

1. สแกน URL และโดเมนแบบไม่เปิดเผยตัวตน ส่งลิงก์ต้องสงสัยผ่านพร็อกซีที่ควบคุมได้ เพื่อให้ปลายทางเห็นแค่ IP ของพร็อกซี ไม่ใช่แล็ปท็อปของพนักงานหรือเครือข่ายองค์กร ลดความเสี่ยงจากการเชื่อมต่อโดยตรง และทำให้กระบวนการสืบสวนทำซ้ำได้

2. รวบรวม threat intelligence ใช้ rotating proxy ในการ crawl โครงสร้างพื้นฐานฟิชชิง รายชื่อโดเมน ฟีดภัยคุกคามสาธารณะ หรือแหล่งข้อมูลโดเมนที่เพิ่งจดใหม่ โดยไม่โดนบล็อกหลังส่งคำขอไปไม่กี่ครั้ง (ต้องทำภายใต้ข้อกฎหมายและเงื่อนไขการใช้งานเสมอ)

3. ตรวจจับฟิชชิงแบบกระจายตามภูมิภาค ใช้พร็อกซีหลายภูมิภาคเพื่อดูว่า URL ต้องสงสัยมีพฤติกรรมต่างกันหรือไม่เมื่อเปิดจากสหรัฐฯ สหภาพยุโรป APAC หรือภูมิภาคเป้าหมายอื่น วิธีนี้ช่วยจับ kit ที่ใช้ geofencing หรือกรอง user-agent — ซึ่งเป็นเทคนิคหลบเลี่ยงแบบเดียวกับที่กล่าวไปก่อนหน้า

4. ใช้งาน reverse proxy / WAF reverse proxy จะอยู่หน้าด้านหน้าโดเมนของคุณเอง มันไม่ช่วยหยุดพนักงานจากการคลิกลิงก์ฟิชชิงขาออก แต่ช่วยปกป้องเว็บทรัพย์สินขององค์กรจากบอท, credential stuffing, เพย์โหลดอันตราย และรูปแบบทราฟฟิกที่ละเมิดระบบ

ทำไม MFA อย่างเดียวถึงสู้ฟิชชิงที่ใช้พร็อกซีไม่ได้

ผมเคยเห็นประเด็นนี้ถกกันในฟอรัมไอทีนับสิบแห่ง: “เรามี MFA แล้ว ก็พอแล้ว” แต่คนดูแลระบบที่เคยเจอเหตุการณ์ AiTM จริง ๆ มักมองต่างออกไปมาก

กลไกมันตรงไปตรงมา เหยื่อทำ MFA สำเร็จบนฟลว์ล็อกอินที่ดูเหมือนของจริง จากนั้นผู้ให้บริการยืนยันตัวตนตัวจริงก็ออก session token ให้ ผู้โจมตีจึงดัก token นั้นผ่าน reverse proxy ของตัวเอง

การยืนยันตัวตนผ่านไปแล้ว — แต่ตอนนี้ผู้โจมตีถือครอง session นั้นอยู่ การรีเซ็ตรหัสผ่านอย่างเดียวอาจไม่พอ หาก session ที่ยังใช้งานอยู่และการแก้ไข MFA ที่ผู้โจมตีทำไว้ยังคงอยู่ Microsoft ระบุชัดเจน ว่าองค์กรที่ได้รับผลกระทบต้องเพิกถอน session cookie และย้อนกลับการเปลี่ยนแปลง MFA ที่ผู้โจมตีทำไว้ นอกเหนือจากการแก้ไขตามปกติ

SMS code, แอป OTP, การกดยืนยันแบบ push — ทั้งหมดนี้ก็ถูกฟิชชิงได้ หากผู้ใช้ทำทุกอย่างนั้นภายในฟลว์ที่ผู้โจมตีควบคุมอยู่ MFA ทำหน้าที่ของมันแล้ว ปัญหาคือผู้โจมตีเฝ้าดูอยู่ตลอดเวลา

อะไรที่หยุด AiTM Phishing ได้จริง

FIDO2 / Passkeys FIDO Alliance อธิบายว่า passkeys ถูกออกแบบมาให้ต้านฟิชชิงโดยธรรมชาติ: ไม่มีรหัสผ่านให้ขโมย และไม่มีข้อมูลล็อกอินที่นำกลับมาใช้ซ้ำได้ คู่กุญแจเข้ารหัสถูกผูกกับ origin ของโดเมนที่ถูกต้อง ทำให้พร็อกซีของผู้โจมตีไม่สามารถจำลอง challenge ได้ CISA ยืนยัน ว่า FIDO และ PKI คือวิธี MFA ที่ไม่ใช่กรรมสิทธิ์ของผู้ใดและใช้งานได้อย่างแพร่หลายเพียงสองแบบที่ช่วยป้องกัน credential phishing ได้

การยืนยันตัวตนด้วยใบรับรอง (certificate-based authentication) เป็นระดับองค์กร ตั้งค่าซับซ้อนกว่า แต่ทนฟิชชิงได้ดีเช่นกัน เพราะพึ่งพาใบรับรองของอุปกรณ์แทนการกรอกรหัสจากผู้ใช้

นโยบาย Conditional Access ในสภาพแวดล้อม Microsoft Conditional Access สามารถบังคับใช้อุปกรณ์ที่ผ่านเงื่อนไข, ตำแหน่งที่เชื่อถือได้, การตรวจสอบตามความเสี่ยง หรือความแข็งแกร่งของการยืนยันตัวตนแบบต้านฟิชชิง — ช่วยลดคุณค่าของ session token ที่ถูกขโมย แม้ผู้โจมตีจะได้ไปแล้วก็ตาม

ทั้งหมดนี้เป็นส่วนเสริมของการใช้พร็อกซี ไม่ใช่ตัวแทนกัน เป้าหมายคือการทำหลายชั้นป้องกัน

ทางเลือกที่ใช้ได้จริงสำหรับ SMB ที่งบจำกัด

คำแย้งที่ได้ยินบ่อยคือ: “Intune, MDM, กุญแจฮาร์ดแวร์ นั่นมันงบองค์กรใหญ่” ก็จริง ดังนั้นนี่คือทางเลือกแบบประหยัด:

• Passkeys บนเบราว์เซอร์ เบราว์เซอร์สมัยใหม่ส่วนใหญ่รองรับ passkeys ในตัว ไม่ต้องซื้อฮาร์ดแวร์ เริ่มจากบัญชีผู้ดูแลระบบ การเงิน และ HR ก่อน
• ตั้งค่า DMARC ฟรี ระเบียน SPF, DKIM และ DMARC สามารถเผยแพร่ได้โดยไม่เสียค่าใช้จ่าย Google Workspace และ Microsoft 365 มีคู่มือการตั้งค่าในตัว
• จดโดเมนป้องกันไว้ล่วงหน้า จดโดเมนที่สะกดคล้ายหรือเลียนแบบแบรนด์ของคุณไว้ ค่าโดเมนส่วนใหญ่ประมาณ 10–15 ดอลลาร์ต่อปีต่อโดเมน ตั้งค่า DMARC แบบ reject ให้แต่ละโดเมน
• อบรมแบบเจาะจง โฟกัสการให้ความรู้พนักงานไปที่ล่อเหยื่อแบบ AiTM โดยตรง: หน้าเข้าสู่ระบบ Microsoft 365 ปลอม, การแชร์เอกสารปลอม, QR code, การหลอกด้วย device code และเวิร์กโฟลว์แบบ “เร่งด่วนเรื่องเงินเดือน/ซัพพลายเออร์”

คิดแบบ “เริ่มตรงนี้ แล้วค่อยอัปเกรด” แม้จะทำได้ไม่ครบทั้งหมด แต่แค่เริ่มบางส่วนก็ลดความเสี่ยงลงได้มากแล้ว

พร็อกซีแบบไหนช่วยหลีกเลี่ยงฟิชชิงได้ดีที่สุด?

พร็อกซีแต่ละแบบเหมาะกับงานป้องกันฟิชชิงต่างกัน ถ้าเลือกผิดก็เสียเงินเปล่าหรือมองไม่เห็นจุดสำคัญ

ประเภทพร็อกซี	เหมาะที่สุดสำหรับการป้องกันฟิชชิง	ข้อดี	ข้อเสีย	ระดับค่าใช้จ่าย
ดาต้าเซ็นเตอร์	สแกน URL จำนวนมาก, เฝ้าดูโดเมน	เร็ว, ถูก, ปริมาณสูง	phishing kit ที่ซับซ้อนตรวจจับได้ง่าย	ต่ำ
ที่อยู่อาศัย	ตรวจจับฟิชชิงแบบเจาะภูมิภาค, ทดสอบจากมุมมองผู้ใช้	ดูเหมือนทราฟฟิกผู้ใช้จริง, ข้าม geo-block ได้	ช้ากว่า, แพงกว่า, มีประเด็นด้านจริยธรรมเรื่องแหล่งที่มา	สูง
แบบสลับ IP	เก็บ threat intel, เฝ้าระวังต่อเนื่อง	ลดการถูกแบน IP ระหว่าง crawl ระยะยาว	ตั้งค่ายากกว่า, latency แปรผัน	ปานกลาง
Reverse Proxy / WAF	ป้องกันเว็บทรัพย์สินของตัวเอง	กรองภัยคุกคามขาเข้า, ตรวจจับบอท, ป้องกัน DDoS	ไม่ช่วยเรื่องการตรวจจับฟิชชิงขาออก	ปานกลาง

หมายเหตุเรื่องแหล่งที่มาที่มีจริยธรรม กรณี Google/IPIDEA และคำเตือนของ FBI แสดงให้เห็นชัดว่าเครือข่ายพร็อกซีที่อยู่อาศัยอาจสร้างจากอุปกรณ์ที่ถูกยึดครอง, SDK ที่หลอกลวง, เงื่อนไข VPN ที่ซ่อนอยู่ หรือมัลแวร์ ก่อนซื้อทราฟฟิกพร็อกซีที่อยู่อาศัย ควรเรียกร้องความยินยอมของผู้ใช้อย่างโปร่งใส กลไก opt-out ความสามารถในการตรวจสอบย้อนหลัง และการจัดการ abuse จากผู้ให้บริการ ผู้ให้บริการที่เคยถูกระบุในงานวิจัยด้านความปลอดภัย (เช่น PacketStream หรือ 911 Proxy ที่เลิกให้บริการแล้ว) ควรระวังเป็นพิเศษ

สำหรับ SMB ส่วนใหญ่ ควรเริ่มจากดาต้าเซ็นเตอร์พร็อกซีสำหรับการสแกนจำนวนมาก และใช้ reverse proxy/WAF สำหรับโดเมนของตัวเองก่อน หากต้องใช้พร็อกซีที่อยู่อาศัย ค่อยเพิ่มเมื่อจำเป็นต้องทดสอบตามภูมิภาค และต้องตรวจสอบผู้ให้บริการให้ละเอียดจริง ๆ

ทีละขั้น: วิธีหลีกเลี่ยงฟิชชิงด้วยพร็อกซีแบบใช้งานได้จริง

บทความส่วนใหญ่จบที่ทฤษฎี แต่ทุกขั้นตอนด้านล่างมีคำแนะนำเครื่องมือและรายละเอียดพอให้ส่งต่อทีมไอที หรือทำตามเองได้

ขั้นตอนที่ 1: เฝ้าระวังโดเมนใหม่ที่หน้าตาคล้ายแบรนด์คุณ

ผู้โจมตีมักจดโดเมนที่คล้ายของคุณก่อนเริ่มแคมเปญ เช่น thunderb1t.com, thunderbit-login.com, thunderbit-support.net

การจับให้ทันตั้งแต่ต้นคือหนึ่งในงานป้องกันที่คุ้มค่าที่สุด

วิธีทำ:

1. สร้างรายการเฝ้าระวังจากคำที่เกี่ยวกับแบรนด์, ชื่อสินค้า, ชื่อผู้บริหาร และคำที่เกี่ยวกับการล็อกอิน (เช่น “login,” “portal,” “invoice,” “payment”)
2. ค้นหา Certificate Transparency (CT) logs ทุกวันผ่าน crt.sh ซึ่งให้ค้นบันทึกใบรับรองตามโดเมนหรือชื่อองค์กรได้ CT logs จะบันทึกใบรับรองที่ออกโดย CA ที่เชื่อถือได้แบบสาธารณะ ดังนั้นใบรับรองใหม่ของโดเมนปลอมจะโผล่มาให้เห็นที่นี่
3. ติดธงโดเมนที่สะกดใกล้เคียงกับแบรนด์, ใช้ TLD น่าสงสัย (.xyz, .top, .click) หรือมีคำว่า login/payment
4. เปิดดูหน้าเว็บที่ติดธงผ่านพร็อกซีหรือ sandbox — ห้ามใช้เบราว์เซอร์ของพนักงานโดยตรง

เชื่อมกับ Thunderbit: Thunderbit มี batch extract API ที่ประมวลผล URL ต้องสงสัยได้สูงสุด 100 รายการต่อหนึ่งงาน โดยใช้ renderMode: "full" เพื่อเรนเดอร์ phishing clone ที่ใช้ JavaScript หนัก ๆ คุณกำหนด JSON Schema สำหรับข้อมูลที่ต้องการกลับมาได้ เช่น ชื่อหน้า, มีฟอร์มล็อกอินหรือไม่, domain ของ form action, ผู้ออก SSL, เส้นทาง redirect, URL สุดท้าย ตัวอย่าง CLI ก็เหมาะกับการเฝ้าระวังแบบ cron:

thunderbit batch extract --file suspicious-urls.txt --schema phishing-signals.json --render-mode full

สำหรับผู้ใช้ที่ไม่ใช่สายเทคนิค ส่วนขยาย Thunderbit Chrome extension ก็ใช้สแกนและตรวจดูหน้าเว็บต้องสงสัยได้เร็ว ๆ ในไม่กี่คลิก เหมาะเวลาคุณแค่อยากไล่ดู URL ไม่กี่อัน แทนที่จะสร้าง pipeline แบบตั้งเวลา

ผลลัพธ์ที่คาดหวัง: รายงานรายวันหรือรายสัปดาห์ของโดเมนที่เพิ่งจดใหม่ซึ่งคล้ายแบรนด์คุณ พร้อม metadata แบบมีโครงสร้างสำหรับส่งต่อคัดกรองต่อ

ลองใช้ Thunderbit สำหรับตรวจสอบ URL ต้องสงสัย

ขั้นตอนที่ 2: ส่งลิงก์ต้องสงสัยผ่านพร็อกซีดาต้าเซ็นเตอร์

ก่อนใครก็ตามในองค์กรจะคลิกลิงก์ที่น่าสงสัย ให้ตรวจสอบผ่านเส้นทางที่ควบคุมได้ IP ที่ปลายทางเห็นจะเป็นของพร็อกซี ไม่ใช่อุปกรณ์ของพนักงานหรือเครือข่ายองค์กร

วิธีทำ:

• ถ้าต้องการตรวจเร็ว ๆ ใช้ urlscan.io (เว็บแซนด์บ็อกซ์ที่เลือกประเทศสำหรับสแกนได้) หรือ VirusTotal (สแกน URL เทียบกับผลิตภัณฑ์แอนติไวรัสและ blocklist จำนวนมาก)
• ถ้าเป็นสคริปต์ภายในหรือการวิเคราะห์ปริมาณสูง ให้ส่งทราฟฟิกผ่านดาต้าเซ็นเตอร์พร็อกซี:

curl -x http://proxy.example.com:8080 -I "https://suspicious.example"

• สำหรับหน้า phishing ที่ใช้งานจริง ให้ใช้ VM ทิ้งหรือ browser sandbox ปิดการกรอกข้อมูลรับรอง เก็บ redirect chain, page title, ปลายทางสุดท้าย, form post, script และภาพหน้าจอ
• ห้ามส่งข้อมูลรับรองจริงขององค์กร และต้องระวังบริการสแกนสาธารณะด้วย เพราะบางแห่งอาจเปิดเผย URL ที่ส่งไปหากไม่ได้ตั้งค่าเป็นส่วนตัวหรือไม่ถูกจัดแสดงต่อสาธารณะ

ผลลัพธ์ที่คาดหวัง: ประเมินปลายทาง พฤติกรรม และสัญญาณของลิงก์อย่างปลอดภัย โดยไม่กระทบสภาพแวดล้อมขององค์กร

ขั้นตอนที่ 3: ใช้พร็อกซีหลายภูมิภาคเพื่อจับแคมเปญฟิชชิงแบบเจาะกลุ่ม

phishing kit บางตัวจะแสดงเนื้อหาอันตรายเฉพาะผู้เข้าชมจากประเทศหรือการตั้งค่าภาษาที่กำหนดไว้ Cofense ระบุ ว่าการกรองตามตำแหน่งทางภูมิศาสตร์เป็นเรื่องที่ใช้กันทั่วไป: ผู้เข้าชมจากภูมิภาค “ไม่ถูก” จะเห็นหน้าเบนign หรือ 404 ขณะที่กลุ่มเป้าหมายจะเห็นฟอร์มขโมยข้อมูลรับรอง

วิธีทำ:

1. ทดสอบลิงก์ต้องสงสัยจากภูมิภาคที่พนักงาน ลูกค้า และทีมการเงินของคุณใช้งานจริง ถ้าองค์กรอยู่ในสหรัฐฯ แต่มีสำนักงานในสหราชอาณาจักร ก็ควรทดสอบทั้งสองที่
2. เปรียบเทียบ URL สุดท้าย, ภาพหน้าจอ, ชื่อหน้า, ฟอร์ม และ HTTP response code แยกตามภูมิภาค
3. หมุนค่า user-agent และภาษาเมื่อตรวจสอบล่อเหยื่อที่เป็น QR code หรือมือถือ — บาง kit กรองตามสองอย่างนี้ด้วย
4. ยกระดับ URL ที่แสดงเนื้อหาปลอดภัยในที่หนึ่ง แต่มีฟอร์มล็อกอินในอีกที่หนึ่ง นั่นคือสัญญาณฟิชชิงที่แรงมาก

ผลลัพธ์ที่คาดหวัง: ตรวจจับแคมเปญที่เจาะตามภูมิภาค ซึ่งการสแกนจากตำแหน่งเดียวจะมองไม่เห็น

ขั้นตอนที่ 4: ใช้ Reverse Proxy หรือ WAF กับโดเมนของคุณเอง

ถึงเวลาขยับจากการตรวจจับขาออกไปสู่การป้องกันขาเข้า Reverse proxy และ WAF จะอยู่หน้าทรัพย์สินเว็บของคุณ คอยตรวจทราฟฟิกที่เข้ามาก่อนส่งต่อไปยังเซิร์ฟเวอร์

วิธีทำ:

1. ชี้ DNS ของโดเมนไปยังผู้ให้บริการ reverse proxy Cloudflare เป็นตัวเลือกที่เข้าถึงง่ายสำหรับ SMB เพราะรวม DNS, CDN, WAF และกฎต่าง ๆ ไว้ในหน้าเดียว ส่วนแอปที่โฮสต์บน AWS AWS WAF ก็เหมาะถ้าคุณใช้ CloudFront, ALB หรือ API Gateway อยู่แล้ว
2. เปิดใช้ managed WAF rules เพื่อบล็อก IP อันตรายที่รู้จัก, กรอง bot traffic และตรวจจับพฤติกรรม credential stuffing
3. เปิด rate limit สำหรับหน้า login, รีเซ็ตรหัสผ่าน และฟอร์มติดต่อ
4. เพิ่ม bot rules หรือ challenge rules สำหรับ endpoint ที่มีความเสี่ยงสูง
5. ตรวจดูเหตุการณ์จาก WAF ทุกสัปดาห์ — อย่าตั้งแล้วปล่อยยาว

ผลลัพธ์ที่คาดหวัง: ทราฟฟิกอันตรายขาเข้าถูกกรองก่อนถึงเซิร์ฟเวอร์ของคุณ ความพยายาม credential stuffing กับหน้าเข้าสู่ระบบจะถูกบล็อกหรือทดสอบยืนยัน

ขั้นตอนที่ 5: ทำให้การเฝ้าระวังเป็นงานอัตโนมัติและทำตามรอบเวลา

ฟิชชิงไม่ใช่งานตรวจครั้งเดียวแล้วจบ โดเมนใหม่ kit ใหม่ และโครงสร้างใหม่เกิดขึ้นทุกวัน — ดังนั้นการเฝ้าระวังต้องมีจังหวะชัดเจน:

• ทุกวัน: สแกน CT lookalike และคิวโดเมนต้องสงสัย
• ทุกวันหรือทุกชั่วโมง (สำหรับแบรนด์เสี่ยงสูง): ตรวจ URL ผ่านแซนด์บ็อกซ์เมื่อค้นพบโดเมนใหม่
• ทุกสัปดาห์: รีวิวรายงาน DMARC aggregate และรูปแบบการปลอมแปลง
• ทุกสัปดาห์: ตรวจเหตุการณ์ WAF สำหรับ credential stuffing และ traffic spike จากบอท
• ทุกเดือน: เช็กความคืบหน้าการ rollout MFA ที่ต้านฟิชชิงได้
• ทุกไตรมาส: ทดสอบเวิร์กโฟลว์ของฝ่ายการเงินและ HR ด้วยสถานการณ์ AiTM และ BEC ที่สมจริง

เชื่อมกับ Thunderbit: เวิร์กโฟลว์การสแครปแบบตั้งเวลาและ CLI/API ของ Thunderbit ช่วยทีมปฏิบัติการที่ไม่ใช่สายเทคนิคให้ทำ monitoring ซ้ำ ๆ ได้ จุดเด่นไม่ใช่ “Thunderbit ป้องกันฟิชชิงได้ด้วยตัวเอง” แต่คือ “Thunderbit ช่วยทีมปฏิบัติการเก็บสัญญาณแบบมีโครงสร้างจากหน้าเว็บต้องสงสัยและแหล่งเฝ้าระวังโดเมน โดยไม่ต้องเขียนสแครปเปอร์ใหม่ทั้งหมด” ผลลัพธ์สามารถส่งเข้า Google Sheets หรือ Airtable เพื่อให้ทีมเห็นร่วมกัน หรือส่งต่อไป Slack ผ่านอินทิเกรชันง่าย ๆ

ผลลัพธ์ที่คาดหวัง: วงรอบเฝ้าระวังต่อเนื่องที่จับภัยคุกคามใหม่ได้ภายในไม่กี่ชั่วโมง ไม่ใช่หลายสัปดาห์

สิ่งที่พร็อกซีจับไม่ได้: ปกป้องอีเมลด้วย DMARC, SPF และ DKIM

ผู้ขายพร็อกซีมักไม่พูดเรื่องนี้ แต่พร็อกซีเป็นเพียงหนึ่งชั้นของการป้องกัน ขณะที่ฟิชชิงผ่านอีเมลซึ่งไม่แตะชั้นพร็อกซีเลยต้องมีการป้องกันแยกต่างหาก

การโจมตีฟิชชิงจำนวนมากมาจากอีเมลปลอมแปลง พร็อกซีจะไม่ช่วยดักตรงนั้น

ตั้งค่า SPF ให้ hard fail

SPF (Sender Policy Framework) คือระเบียน DNS ที่ระบุว่า IP ใดบ้างมีสิทธิ์ส่งอีเมลแทนโดเมนของคุณ ตั้งค่าเป็น -all (hard fail) แทน ~all (soft fail) เพื่อปฏิเสธผู้ส่งที่ไม่ได้รับอนุญาตทันที

ข้อผิดพลาดที่พบบ่อยคือ ลืมรวมบริการส่งอีเมลที่ถูกต้องทั้งหมด — CRM, แพลตฟอร์มการตลาด, ผู้ให้บริการอีเมลธุรกรรม, helpdesk ควรตรวจแหล่งส่งก่อนเผยแพร่ระเบียน

ติดตั้งการเซ็น DKIM

DKIM (DomainKeys Identified Mail) เพิ่มลายเซ็นเข้ารหัสให้กับอีเมลขาออก ผู้รับจะตรวจว่าเนื้อหาไม่ถูกดัดแปลงระหว่างทาง ทั้ง Google Workspace และ Microsoft 365 มีคู่มือ DKIM ในตัว ใช้เวลาประมาณ 15 นาที

บังคับใช้ DMARC แบบ reject

DMARC (Domain-based Message Authentication, Reporting & Conformance) บอกเซิร์ฟเวอร์ผู้รับว่าควรทำอย่างไรเมื่อ SPF หรือ DKIM ไม่ผ่าน ขั้นตอนสำคัญที่หลายองค์กรข้ามคือการยกระดับจาก p=none (แค่ดูรายงาน) ไปเป็น p=reject (บล็อกเมลที่ไม่ผ่าน) หลังจากตรวจสอบว่าอีเมลที่ถูกต้องทั้งหมดทำงานได้จริง

หลายองค์กรปล่อย DMARC ไว้ที่ p=none ตลอดไป — เห็นข้อมูลแต่ไม่มีการป้องกัน เหมือนติดกล้องวงจรปิดแต่ไม่เคยล็อกประตู

จดโดเมนที่คล้ายแบรนด์ไว้เพื่อป้องกัน

จดโดเมนสะกดผิดบ่อยหรือโดเมนที่คล้ายแบรนด์ของคุณไว้ล่วงหน้า แล้วตั้งนโยบาย DMARC แบบ reject บนโดเมนป้องกันเหล่านี้ เพื่อไม่ให้ถูกนำไปใช้ปลอมแปลงอีเมล ด้วยค่าเพียง 10–15 ดอลลาร์ต่อปีต่อโดเมน นี่เป็นหนึ่งในมาตรการที่ถูกและคุ้มค่าที่สุด — แต่ธุรกิจขนาดเล็กจำนวนมากกลับมองข้ามมันไปโดยสิ้นเชิง

สรุปทุกอย่างเข้าด้วยกัน: การป้องกันแบบหลายชั้นจากฟิชชิง

ไม่มีเครื่องมือใดหยุดฟิชชิงได้ทั้งหมด สิ่งที่ทำให้การป้องกันยืนอยู่ได้คือการผสมหลายชั้นเข้าด้วยกัน เช็กลิสต์แบบใช้งานจริง:

ฝั่งขาออก (สืบสวนภัยคุกคาม):

• สแกน URL ด้วยพร็อกซีสำหรับลิงก์ต้องสงสัย
• เฝ้าระวังโดเมนผ่าน CT logs และ batch extraction
• ทดสอบแบบกระจายภูมิภาคสำหรับแคมเปญที่เจาะกลุ่มเป้าหมาย

ฝั่งขาเข้า (ปกป้องทรัพย์สินของคุณ):

• Reverse proxy / WAF สำหรับโดเมนเว็บของคุณ
• DMARC/SPF/DKIM สำหรับการยืนยันตัวตนอีเมล
• จดโดเมนที่คล้ายแบรนด์ไว้เชิงป้องกัน

ฝั่งยืนยันตัวตน (ปกป้องบัญชี):

• FIDO2 / passkeys สำหรับ MFA ที่ต้านฟิชชิงได้
• นโยบาย Conditional Access (อุปกรณ์ที่ผ่านเงื่อนไข, ตรวจตามความเสี่ยง)
• การเฝ้าระวังและเพิกถอน session token เมื่อจำเป็น

คน (แนวป้องกันสุดท้าย):

• อบรมที่เน้น AiTM ล่อเหยื่อ, QR code และสถานการณ์ BEC โดยเฉพาะ
• สร้างวัฒนธรรมการแจ้งเหตุที่ชัดเจน — ให้พนักงานรายงานข้อความต้องสงสัยได้ง่ายและไม่ถูกลงโทษ
• ทดสอบเวิร์กโฟลว์ของฝ่ายการเงินและ HR เป็นประจำด้วยสถานการณ์ฟิชชิงที่สมจริง

แนวทางนี้สอดคล้องกับหลัก defense-in-depth ของ NIST Cybersecurity Framework: มีหลายชั้นที่ทำงานอิสระจากกัน เพื่อให้ความล้มเหลวของชั้นหนึ่งไม่เท่ากับการถูกเจาะทั้งหมด

สำหรับทีมที่ต้องสืบสวน URL ต้องสงสัย ดึงข้อมูลภัยคุกคาม หรือเฝ้าระวังโดเมนในระดับใหญ่ AI web scraper ของ Thunderbit ช่วยเร่งเวิร์กโฟลว์ได้ — ส่วนขยาย Chrome สำหรับผู้ใช้ที่ไม่ใช่สายเทคนิค และ API/CLI สำหรับทีมเทคนิค มันไม่ใช่ผลิตภัณฑ์ความปลอดภัยโดยตรง แต่ก็สมควรอยู่ในชุดเครื่องมือของนักวิเคราะห์ คุณสามารถอ่านเพิ่มเติมเกี่ยวกับ web scraping แบบไม่ต้องเขียนโค้ด หรือสำรวจแนวทาง AI web scraping บนบล็อกของเรา

ใช้ AI web scraping เพื่อเฝ้าระวังภัยคุกคาม Get Started Free

คำถามที่พบบ่อย

ผู้โจมตีใช้พร็อกซีทำฟิชชิงอย่างไร?

ผู้โจมตีใช้พร็อกซีที่อยู่อาศัยและพร็อกซีแบบสลับ IP เพื่อซ่อน IP จริง สลับผ่านที่อยู่ที่น่าเชื่อถือ หลบการตรวจจับโกงที่อิง IP และใช้ AiTM reverse proxy เพื่อดักเซสชันที่ยืนยันตัวตนแล้ว — แม้เหยื่อจะทำ MFA สำเร็จไปแล้วก็ตาม เหตุการณ์สกัดกั้น IPIDEA ในเดือนมกราคม 2026 แสดงให้เห็นว่ามีกลุ่มภัยคุกคามกว่า 550 กลุ่มใช้เครือข่ายพร็อกซีที่อยู่อาศัยเดียวกัน

reverse proxy ช่วยป้องกันฟิชชิงและการเจาะเว็บไซต์ได้อย่างไร?

reverse proxy จะอยู่หน้ามีเซิร์ฟเวอร์เว็บของคุณ และตรวจทราฟฟิกขาเข้าก่อนถึงโครงสร้างพื้นฐานของคุณ มันบล็อก IP อันตรายที่รู้จัก กรองบอท จำกัดจำนวนคำขอล็อกอิน และตรวจพฤติกรรม credential stuffing หรือกิจกรรมที่เกี่ยวข้องกับฟิชชิง อย่างไรก็ตาม มันไม่สามารถป้องกันพนักงานจากการคลิกลิงก์ฟิชชิงขาออกได้

พร็อกซีสามารถป้องกันฟิชชิงได้ทั้งหมดหรือไม่?

ไม่ได้ พร็อกซีเป็นเพียงหนึ่งชั้นสำคัญ แต่ฟิชชิงผ่านอีเมลต้องใช้ DMARC/SPF/DKIM และการยึดเซสชันผ่าน AiTM ต้องใช้ MFA ที่ต้านฟิชชิงได้ เช่น FIDO2/passkeys การป้องกันแบบหลายชั้นที่รวมพร็อกซี, การยืนยันตัวตนอีเมล, ข้อมูลรับรองที่ต้านฟิชชิงได้ และการอบรมพนักงานจึงจำเป็นมาก

AiTM phishing คืออะไร และทำไม MFA จึงหยุดมันไม่ได้?

AiTM (Adversary-in-the-Middle) phishing ใช้ reverse proxy คั่นกลางระหว่างเหยื่อกับหน้าเข้าสู่ระบบจริง เพื่อดัก session token หลังจาก MFA ผ่านแล้ว MFA แบบดั้งเดิมหยุดไม่ได้ เพราะผู้โจมตีขโมยเซสชันที่ยืนยันตัวตนแล้ว ไม่ใช่รหัสผ่าน FIDO2/passkeys ต้านการโจมตีนี้ได้ เพราะ challenge ทางเข้ารหัสถูกผูกกับโดเมนจริง และไม่สามารถ replay ผ่านพร็อกซีของผู้โจมตีได้

พร็อกซีชนิดไหนเหมาะที่สุดสำหรับการตรวจจับฟิชชิง?

พร็อกซีดาต้าเซ็นเตอร์เหมาะที่สุดสำหรับการสแกน URL จำนวนมาก (เร็วและราคาถูก) พร็อกซีที่อยู่อาศัยเหมาะที่สุดสำหรับการทดสอบแบบเจาะภูมิภาค (สมจริงกว่าแต่แพงกว่า — ต้องตรวจสอบแหล่งที่มาของผู้ให้บริการให้ดี) ส่วน reverse proxy/WAF เหมาะที่สุดสำหรับปกป้องเว็บของคุณเอง แนวทางที่แข็งแรงที่สุดคือการใช้หลายแบบร่วมกันตามสิ่งที่คุณต้องการตรวจจับหรือปกป้อง

ลองใช้ Thunderbit สำหรับเฝ้าระวังภัยคุกคามและ AI scraping Get Started Free

เรียนรู้เพิ่มเติม

• AI Web Scraping
• Web Scraping คืออะไร
• AI Lead Generation
• AI สำหรับงานขาย
• ทางเลือกแทน Instant Data Scraper