VBSpam ไตรมาส 3/2026 ชี้อีเมลยืนยันตัวตนแล้ว ไม่ได้แปลว่าปลอดภัยจากฟิชชิง

อีเมลที่ผ่านการยืนยันทางเทคนิค ไม่ควรถูกตีความว่า “ปลอดภัย” โดยอัตโนมัติ ผลการรายงานจากการทดสอบเปรียบเทียบ VBSpam ไตรมาส 3 ปี 2026 ของ Virus Bulletin สะท้อนว่า ผู้โจมตีสามารถใช้ระบบส่งอีเมลที่ดูถูกต้องน่าเชื่อถือ แล้วโยกพฤติกรรมอันตรายไปไว้ในขั้นตอนถัดไปบนเว็บ ผ่านการเปลี่ยนเส้นทางหลายชั้นและการปิดบัง URL ตามเงื่อนไขของเบราว์เซอร์

การทดสอบดำเนินเป็นเวลา 16 วันตามแผนทดสอบของ AMTSO และประเมินอีเมล 103,969 ฉบับ โดยเป็นสแปม 103,380 ฉบับ 13

ผ่าน SPF, DKIM และ DMARC ก็ยังเป็นฟิชชิงได้

SPF, DKIM และ DMARC ช่วยตรวจสอบบางส่วนของเส้นทางการส่งอีเมลและความสอดคล้องกับโดเมนผู้ส่ง แต่ไม่ได้รับรองว่าเนื้อหาในอีเมลปลอดภัย ลิงก์ทุกลิงก์ไม่มีอันตราย หรือหน้าเว็บสุดท้ายหลังผ่านการ redirect เป็นของจริง

ประเด็นสำคัญของแคมเปญที่มีรายงานคือ คนร้ายใช้โครงสร้างพื้นฐานที่ผ่านการยืนยันตัวตนหรือดูน่าเชื่อถือ จากนั้นจึงรอให้ผู้ใช้เปิดลิงก์ในเบราว์เซอร์ ก่อนตรวจสอบข้อมูลอย่างเบราว์เซอร์ เขตเวลา ตำแหน่ง หรือช่วงเวลา แล้วค่อยแสดงปลายทางหลอกลวงแก่เป้าหมายที่เข้าเงื่อนไข 35

3 รูปแบบฟิชชิงที่ถูกยกมาในรายงาน

1. อีเมลทวงชำระเงินค้าง ส่งผ่าน Amazon SES

แคมเปญภาษาเยอรมันใช้ข้อความล่อว่าเป็นการแจ้งชำระเงินค้าง และส่งผ่าน Amazon SES จากโดเมนที่มี DKIM สอดคล้องกัน แทนที่จะใช้ไฟล์แนบ อีเมล HTML ดังกล่าวมีมาร์กอัปหลอกเพื่อเบี่ยงการวิเคราะห์ ข้อความซ่อนอยู่ iframe ขนาดศูนย์ และ JavaScript ที่ถูกทำให้อ่านวิเคราะห์ได้ยาก 35

เมื่อกดลิงก์ ระบบจะประเมินผู้เข้าชมโดยเก็บลายนิ้วมือของเบราว์เซอร์และข้อมูลเขตเวลา ส่งคำขอ POST ที่ซ่อนไว้ ก่อนเปลี่ยนเส้นทางผู้ที่ผ่านเงื่อนไขไปยัง OpenSea ลำดับนี้มีรายงานว่าสอดคล้องกับการฉ้อโกงคริปโตเคอร์เรนซีหรือ NFT แบบปิดบังเส้นทาง ซึ่งทำให้การตรวจอีเมลหรือลิงก์ตั้งต้นเพียงครั้งเดียวเห็นความเสี่ยงได้ยาก 35

2. ปลอมเป็น McAfee และ TotalAV หลอกต่ออายุสมาชิก

อีกแคมเปญหนึ่งเป็นภาษาเนเธอร์แลนด์ ปลอมตัวเป็น McAfee และ TotalAV โดยเตือนว่าพบ “ไวรัสอันตราย 631 รายการ” และเสนอส่วนลดต่ออายุสมาชิก เนื้อหาหลอกลวงอยู่ใน HTML ทั้งหมด ไม่ได้อาศัยไฟล์แนบมัลแวร์แบบเดิม 35

จุดหลบเลี่ยงหลักคือปลายทางสามารถเปลี่ยนตามเวลา ตำแหน่ง หรือโปรไฟล์ที่ระบบคาดว่าเป็นเหยื่อ ทำให้ระบบสแกนอัตโนมัติอาจเจอหน้าเว็บปกติ ข้อผิดพลาด หรือเส้นทาง redirect คนละแบบกับที่ผู้ถูกเล็งเป้าเห็น เป้าหมายที่รายงานคือการฉ้อโกงค่าบริการสมัครสมาชิก 35

3. ปลอมเป็น BCR S.A. อ้างต้องต่ออายุความยินยอม PSD2

อีเมลภาษาโรมาเนียปลอมเป็น BCR S.A. และอ้างว่าผู้รับต้องต่ออายุความยินยอมตาม PSD2 โดย PSD2 คือกรอบกำกับบริการชำระเงินของสหภาพยุโรป รายงานระบุว่าแคมเปญนี้ซ่อนปลายทางด้วย IPv6-mapped address ซึ่งเป็นเทคนิคที่อาจทำให้การแยกวิเคราะห์ URL และการสแกนของระบบซับซ้อนขึ้น 3

ธีม “ต้องดำเนินการเรื่องธนาคาร” สร้างแรงกดดันให้เหยื่อรีบทำตามในบริบทที่คุ้นเคย จึงเหมาะกับการหลอกขโมยข้อมูลรับรองบัญชี 3

จุดตัดสินอันตรายย้ายไปอยู่ในเบราว์เซอร์

ตัวอย่างเหล่านี้ชี้ว่าตรรกะสำคัญของฟิชชิงกำลังย้ายออกจากอีเมลฉบับแรก อีเมลอาจมาจากผู้ส่งที่ผ่านการยืนยันตัวตน และลิงก์แรกอาจยังไม่เผยเจตนาอันตรายอย่างชัดเจน แต่พฤติกรรมชี้ขาดเกิดขึ้นภายหลังในเบราว์เซอร์ เช่น

• HTML และ JavaScript ช่วยบดบังโครงสร้างที่แท้จริงของอีเมล
• redirect หลายชั้นแยกลิงก์ที่ส่งมากับปลายทางสุดท้ายออกจากกัน
• การตรวจเบราว์เซอร์ เขตเวลา ตำแหน่ง และเวลาช่วยแยกเหยื่อออกจากระบบอัตโนมัติ
• การตอบสนองแบบมีเงื่อนไขช่วยซ่อนเนื้อหาอันตรายจาก sandbox หรือการตรวจสอบตามชื่อเสียงของ URL แบบพื้นฐาน 35

ดังนั้น ไม่ใช่ว่าควรเลิกใช้การยืนยันตัวตนอีเมล แต่ควรใช้เป็นเพียงสัญญาณหนึ่งในการตัดสินใจ ร่วมกับการวิเคราะห์เนื้อหา ชื่อเสียงผู้ส่ง พฤติกรรมของลิงก์ และความเสี่ยงของปลายทาง 35

สิ่งที่ทีมความปลอดภัยควรให้ความสำคัญ

1. ปรับ URL ที่ถูกปิดบังให้อยู่ในรูปแบบมาตรฐาน ถอดรหัสและทำ canonicalization กับรูปแบบที่อยู่ผิดปกติก่อนตรวจชื่อเสียงหรือบังคับใช้นโยบาย
2. ติดตาม redirect ให้ครบทุกทอด ต้องประเมินทุกจุดที่ลิงก์พาไป รวมถึงหน้าเว็บปลายทาง ไม่ใช่ตรวจเฉพาะ URL แรก
3. วิเคราะห์พฤติกรรมฝั่งเบราว์เซอร์ เฝ้าดู redirect แบบมีเงื่อนไข การเก็บ fingerprint คำขอที่ซ่อนอยู่ และพฤติกรรมที่ปรากฏหลังเว็บรันโค้ด
4. วาง authentication ไว้ในบริบทที่ถูกต้อง SPF, DKIM และ DMARC สนับสนุนการประเมินความน่าเชื่อถือได้ แต่ไม่ควรกลบสัญญาณอันตรายจากเนื้อหาหรือปลายทาง
5. วัด false positive ควบคู่กับอัตราการตรวจจับ ระบบที่บล็อกภัยคุกคามได้มาก แต่ขัดขวางอีเมลปกติ ก็สร้างความเสี่ยงด้านการปฏิบัติงานอีกแบบหนึ่ง 35

ผลคะแนนที่รายงาน: ความสามารถแตกต่างกันมาก

ผลคะแนนรวมที่รายงานชี้ว่า ผลิตภัณฑ์ชั้นนำทำอัตราการตรวจจับรวมได้สูงมาก แต่ประสิทธิภาพไม่ได้ใกล้เคียงกันทุกตัว Net at Work NoSpamProxy ได้คะแนนสุดท้าย 99.995 โดยไม่มี false positive, Bitdefender GravityZone Premium ได้ 99.994 และ SEPPmail.cloudfilter ได้ 99.985 ส่วน Rspamd มีรายงานว่าได้ 62.5% 35

ตัวเลขเหล่านี้เป็นผลจากการทดสอบเปรียบเทียบครั้งนี้ ไม่ใช่คำรับประกันว่าทุกสภาพแวดล้อมจะให้ผลเช่นเดียวกัน อย่างไรก็ดี ความต่างดังกล่าวตอกย้ำว่าการรับมือผู้ส่งที่ผ่านการยืนยันตัวตน URL ที่ถูกทำให้อ่านยาก และเว็บโฟลว์แบบมีเงื่อนไข ต้องอาศัยการตรวจสอบหลายชั้น ไม่ใช่พึ่งกลไกควบคุมเพียงจุดเดียว 135

บทสรุป

รายงาน VBSpam ไตรมาส 3/2026 แสดงให้เห็นโมเดลฟิชชิงที่ผู้โจมตีทำให้อีเมลดูยอมรับได้ในช่วงส่งมอบ แต่จะเผยการหลอกลวงก็ต่อเมื่อเบราว์เซอร์ของผู้รับผ่านเงื่อนไขที่กำหนด การยืนยันตัวตนผู้ส่งยังจำเป็นต่อสุขอนามัยด้านความปลอดภัยของอีเมล ทว่าเกณฑ์ตัดสินว่าปลอดภัยหรือไม่ ต้องขยายไปตลอดสาย redirect จนถึงประสบการณ์จริงบนหน้าเว็บปลายทาง 35