มิจฉาชีพใช้แอป Shop ปลอมใบเสร็จ หลอกให้โทรหา 'ฝ่ายบริการ' ก่อนขโมยข้อมูลและเงิน

มิจฉาชีพยุคใหม่ไม่รอในอินบ็อกซ์อีกต่อไป ตอนนี้พวกเขาบุกเข้ามาในแอปที่ผู้ใช้หลายคนไว้วางใจอย่าง 'Shop' แอปติดตามพัสดุจาก Shopify โดยการปลอมใบเสร็จรับเงินและสอดเข้าไปในประวัติการสั่งซื้อของผู้ใช้ เพื่อหลอกลวงให้โทรไปยังเบอร์โทรศัพท์ของแก๊งคอลเซ็นเตอร์ที่ปลอมตัวเป็นฝ่ายบริการลูกค้า กลลวงนี้ไม่ได้อาศัยช่องโหว่ของตัวแอปหรือระบบของ Shopify แต่เป็นการใช้ประโยชน์จากฟีเจอร์ปกติของระบบติดตามออเดอร์ที่ผู้ใช้ไว้วางใจ

กลลวงนี้ทำงานอย่างไร

หัวใจของกลลวงนี้คือการที่ผู้ใช้ไว้วางใจแอป Shop ตามปกติ เนื่องจากแอปสามารถดึงข้อมูลออเดอร์และการแจ้งเตือนจากร้านค้าหลายแห่งมารวมไว้ในที่เดียว มิจฉาชีพจะสร้างคำสั่งซื้อปลอมและแทรกเข้าไปในประวัติการสั่งซื้อของผู้ใช้ ทำให้มันไปปนกับออเดอร์จริงๆ ที่เคยซื้อ โดยอาศัยฟีเจอร์ของแอปที่สามารถดึงข้อมูลจากอีเมล (Gmail, Outlook ฯลฯ) ที่เชื่อมต่ออยู่ ทำให้ใบเสร็จปลอมนี้มีความน่าเชื่อถือสูงมาก

แบรนด์ที่ถูกแอบอ้างและวิศวกรรมสังคม

จากรายงานพบว่ามีใบเสร็จปลอมที่แอบอ้างเป็น Norton, McAfee, Apple (รวมถึง iPhone และ Apple Gift Card) และ PayPal-style การเลือกแบรนด์เหล่านี้ไม่ใช่เรื่องบังเอิญ เพราะเป็นวิศวกรรมสังคมที่แยบยล: ใบเสร็จปลอมสำหรับการสมัครสมาชิกโปรแกรมรักษาความปลอดภัยมูลค่า 300 เหรียญขึ้นไป หรือการซื้อ iPhone ราคาแพง จะสร้างความตกใจและรีบเร่งให้ผู้ใช้ต้องโทรไปยังเบอร์ที่ระบุเพื่อโต้แย้งทันที

จุดสำคัญ: Callback Phishing

องค์ประกอบสำคัญคือหมายเลขโทรศัพท์ที่ซ่อนอยู่ในรายละเอียดออเดอร์ ในช่องที่อยู่จัดส่ง หรือในคำอธิบายสินค้า โดยมักมีข้อความสั่งให้โทรหา 'ฝ่ายสนับสนุน' หากไม่ได้เป็นผู้ทำรายการ เมื่อเหยื่อโทรไป สายจะถูกรับโดยมิจฉาชีพที่แกล้งเป็นพนักงานฝ่ายบริการ และจะพยายาม:

• ขโมยหมายเลขบัตรเครดิตและข้อมูลส่วนตัวโดยอ้างว่าจะดำเนินการคืนเงิน
• ขอข้อมูลบัญชีหรือรหัสผ่าน
• หลอกลวงให้ติดตั้งโปรแกรมรีโมทคอนโทรลซึ่งจะทำให้มิจฉาชีพสามารถควบคุมอุปกรณ์ของเหยื่อได้อย่างสมบูรณ์

ในกรณีส่วนใหญ่ที่ถูกรายงาน จะไม่มีการเรียกเก็บเงินจริงในบัญชีธนาคารแต่อย่างใด อันตรายทั้งหมดอยู่ที่การโทรศัพท์นั่นเอง

การตอบสนองของ Shopify

Shopify ได้ตอบสนองต่อเหตุการณ์นี้ โดยแจ้งต่อ BleepingComputer ว่าทางบริษัทได้ระบุตัวผู้ไม่หวังดีที่ใช้แพลตฟอร์มในทางที่ผิด และได้ปรับใช้มาตรการควบคุมใหม่ที่ 'ลดกิจกรรมนี้ลงอย่างมากและเพิ่มความสามารถในการตรวจจับในอนาคต' แม้จะไม่เปิดเผยรายละเอียดทางเทคนิค แต่ Shopify แนะนำให้ผู้ใช้ปฏิบัติตามแนวทางความปลอดภัยอย่างเป็นทางการในการระบุภัยคุกคามแบบ Phishing, Vishing และ Smishing ซึ่งรวมถึงการตรวจสอบโดเมนอีเมลจากที่อยู่ทางการของ Shopify เช่น @shopify.com และไม่ควรโทรไปยังเบอร์ที่ดูน่าสงสัย

ช่องทางการรายงานอย่างเป็นทางการ

Shopify กระตุ้นให้ผู้ใช้ส่งต่ออีเมลที่น่าสงสัยไปที่ phishing@shopify.com ส่วน Gen Digital ซึ่งเป็นเจ้าของแบรนด์ Norton แนะนำให้รายงานอีเมลที่เกี่ยวข้องกับ Norton ไปที่ spam@norton.com

วิธีรับมือเมื่อเจอใบเสร็จต้องสงสัย

หากคุณพบคำสั่งซื้อหรือใบเสร็จที่ไม่คุ้นตาในแอป Shop ควรปฏิบัติดังนี้:

1. อย่าโทรไปยังหมายเลขใดๆ ที่อยู่ในออเดอร์ บริษัทที่ถูกต้องตามกฎหมายจะไม่ใส่เบอร์โทรศัพท์ให้คุณโทรไปโต้แย้งในใบเสร็จดิจิทัล

2. ตรวจสอบธุรกรรมโดยตรงกับธนาคารหรือผู้ออกบัตร ให้ล็อกอินเข้าบัญชีการเงินผ่านแอปหรือเว็บไซต์ทางการเท่านั้น ไม่ใช่ผ่านลิงก์ที่มากับการแจ้งเตือน เพื่อยืนยันว่ามีรายการเรียกเก็บเงินจริงหรือไม่

3. อย่าคลิกลิงก์หรือดาวน์โหลดไฟล์ใดๆ จากออเดอร์ต้องสงสัย

4. ถอดการเชื่อมต่ออีเมลกับแอป Shop ชั่วคราว โดยไปที่ การตั้งค่า > การเชื่อมต่ออีเมล เพื่อป้องกันไม่ให้ออเดอร์ปลอมใหม่ๆ ถูกดึงเข้ามาเพิ่ม

5. รายงานการหลอกลวง ส่งต่อการแจ้งเตือนหรืออีเมลไปที่ phishing@shopify.com และหากมีการแอบอ้างเป็น Norton ให้ส่งไปที่ spam@norton.com ด้วย

6. หากคุณโทรไปแล้ว ให้ติดต่อธนาคารทันทีเพื่อระงับบัญชี สแกนมัลแวร์ในอุปกรณ์ เปลี่ยนรหัสผ่าน Shopify และเปิดใช้งานการยืนยันตัวตนแบบสองปัจจัย

7. ทำเครื่องหมายออเดอร์ว่าเป็นของต้องสงสัยในแอป Shop (ถ้ามีฟีเจอร์นี้) เพื่อช่วยให้แพลตฟอร์มระบุและบล็อกออเดอร์ปลอมที่คล้ายกันได้

สรุป

กลลวง Callback Phishing ที่พุ่งเป้าไปที่แอป Shop ของ Shopify เป็นวิวัฒนาการที่สำคัญของเทคนิคฟิชชิ่ง: ผู้โจมตีไม่ได้หยุดแค่อีเมลอีกต่อไป แต่ย้ายไปวางใบเสร็จปลอมในแอปพลิเคชันที่ผู้ใช้ไว้ใจและใช้จัดการซื้อของจริงๆ การโจมตีนี้ใช้ประโยชน์จากความไว้วางใจที่ผู้ใช้มีต่อแพลตฟอร์ม มิใช่ช่องโหว่ทางเทคนิคในระบบของ Shopify แนวป้องกันที่มีประสิทธิภาพที่สุดคือการไม่โทรไปยังเบอร์โทรศัพท์ที่แปะมาในใบเสร็จเด็ดขาด และตรวจสอบธุรกรรมผ่านช่องทางที่ถูกต้องเท่านั้น