<h4><span class="headnews"><strong><span style="font-size: medium;">ตัวอย่างอีเมลฟิชชิ่งประเภท Data URI ใช้เทคนิคแสดงชื่อบน address bar หลอกให้เข้าใจว่าเป็นเว็บไซต์จริง</span></strong></span></h4>
บริษัท Proofpoint ได้แจ้งเตือนการโจมตีผ่านอีเมลหลอกลวงพาไปยังหน้าเว็บไซต์ฟิชชิ่ง เพื่อหลอกขโมยรหัสผ่านของผู้ใช้บริการธนาคาร National Australia Bank โดยผู้ประสงค์ร้ายได้ใช้เทคนิคการหลอกลวงที่น่าสนใจ ดังนี้

1. หัวข้ออีเมลที่ส่งมามีข้อความว่า "Yοur NAB accοunt requires an additiοnal verificatiοn" โดยตัวอักษร o ในหัวข้ออีเมลไม่ใช่ตัว o ของอักขระภาษาอังกฤษ แต่เป็นตัวอักษรกรีกที่มีลักษณะคล้ายตัว o จุดประสงค์ที่ทำแบบนี้เพื่อหลีกเลี่ยงระบบตรวจจับอีเมลสแปม

2. ในอีเมลมีไฟล์ .html แนบมาด้วย ซึ่งไฟล์ดังกล่าวเป็นหน้าเว็บไซต์ฟิชชิ่งในลักษณะ Data URI (ดูเพิ่มเติมได้จากบทความของไทยเซิร์ต <a href="https://www.thaicert.or.th/papers/technical/2012/pa2012te012.html">https://www.thaicert.or.th/papers/technical/2012/pa2012te012.html</a>) โดยมีความพิเศษคือในส่วนที่เป็น Data URI มีการใส่ URL ของเว็บไซต์ธนาคารเข้ามาด้วยเพื่อหลอกให้เหยื่อเข้าใจว่าเป็นเว็บไซต์จริง

จากข้อ 2. เมื่อผู้ใช้ดับเบิลคลิกเปิดไฟล์ .html ที่แนบมากับอีเมล หน้าต่างเบราว์เซอร์จะแสดงขึ้นมา โดยในช่อง address bar จะมีข้อความลักษณะ data:text/html;https://ib.nab.com.au/nabib/update.jsp;base64,PHNjcmlwdCBs... (ดูรูปประกอบได้จาก<a href="https://www.proofpoint.com/sites/default/files/users_content/3256/fig-8.png">https://www.proofpoint.com/sites/default/files/users_content/3256/fig-8.png</a>)

ถึงแม้ว่าในช่อง address bar จะมี URL เว็บไซต์จริงของธนาคารปรากฏอยู่ แต่หากสังเกตด้านหน้าสุดของ URL จะมีข้อความ data:text/html ซึ่งหมายความว่าหน้าเว็บไซต์ที่ปรากฏนี้เป็นการแสดงผลข้อมูล Data URI จากไฟล์ .html ที่แนบมา ไม่ใช่ข้อมูลจากเว็บไซต์จริงของธนาคาร ซึ่งหากผู้ใช้ไม่ได้สังเกตรายละเอียดในจุดนี้ก็อาจตกเป็นเหยื่อเว็บไซต์ฟิชชิ่งได้

ที่ผ่านมา ไทยเซิร์ตเคยพบการโจมตีแบบฟิชชิ่งในลักษณะนี้แล้ว ผู้ใช้ควรใช้ความระมัดระวังในการเข้าใช้งานเว็บไซต์ธนาคาร เพื่อความปลอดภัยควรพิมพ์ URL ของเว็บไซต์ด้วยตนเอง ไม่คลิกผ่านลิงก์จากอีเมลหรือจากเว็บไซต์อื่น

<strong>ที่มา: <a href="http://thcert.co/PbPQ2N">Proofpoint</a> l <a href="https://www.thaicert.or.th/newsbite/2016-09-15-03.html#2016-09-15-03">ThaiCert</a></strong>