VBSpam ไตรมาส 3 ปี 2026 ชี้ฟิชชิงหลบการป้องกันอีเมลด้วยรีไดเร็กต์และโค้ดบนเบราว์เซอร์

อีเมลฟิชชิงในปัจจุบันไม่จำเป็นต้องมีไฟล์แนบอันตราย หรือมาจากผู้ส่งที่ดูผิดสังเกต จึงจะสร้างความเสียหายได้ ผลทดสอบเปรียบเทียบ VBSpam ไตรมาส 3 ปี 2026 ของ Virus Bulletin สะท้อนว่าผู้โจมตีใช้โครงสร้างพื้นฐานส่งอีเมลที่ดูน่าเชื่อถือและข้อความ HTML ที่ดูไม่อันตราย ก่อนย้ายขั้นตอนหลอกลวงหลักไปอยู่ในรีไดเร็กต์หลายชั้นและโค้ดที่ทำงานบนเบราว์เซอร์ของเหยื่อ แม้ผลิตภัณฑ์องค์กรชั้นนำจะทำผลงานได้แข็งแกร่ง แต่ผลนี้ชี้ว่าอีเมลเกตเวย์ไม่ควรเป็นแนวป้องกันฟิชชิงเพียงชั้นเดียว 2021

อีเมลเป็นเพียงด่านแรกของการโจมตี

การทดสอบแบบเปิดเผยต่อสาธารณะใช้เวลา 16 วัน ครอบคลุมผลิตภัณฑ์ความปลอดภัยอีเมล 11 รายการ และข้อความทั้งหมด 103,969 ฉบับ ซึ่งเป็นสแปม 103,380 ฉบับ รายงานระบุว่าเกตเวย์ระดับองค์กรชั้นนำมีอัตราตรวจจับฟิชชิงใกล้ 100% โดย Net at Work NoSpamProxy ทำคะแนนรวมสูงสุดที่ 99.995 ตรวจจับมัลแวร์ได้ 100% ตรวจจับฟิชชิง 99.990% และไม่มีการบล็อกอีเมลปกติผิดพลาด (false positive) 2021

ตัวเลขดังกล่าวไม่ได้แปลว่าระบบกรองอีเมลขององค์กรใช้การไม่ได้ ตรงกันข้าม มันแสดงให้เห็นว่าผู้โจมตีกำลังปรับวิธีส่งให้หลบการตรวจมากขึ้น แทนที่จะใส่เนื้อหาที่เป็นอันตรายอย่างชัดเจนไว้ในอีเมล พวกเขาอาจส่งข้อความที่ไม่มีไฟล์แนบ ใช้เส้นทางการส่งที่ดูถูกต้อง และใส่ URL ซึ่งจะเปลี่ยนพฤติกรรมหลังผู้รับกดคลิก

VBSpam เป็นโครงการทดสอบเปรียบเทียบสำหรับผลิตภัณฑ์ความปลอดภัยอีเมลที่เน้นการใช้งานในธุรกิจ โดยวัดการป้องกันสแปม ฟิชชิง และมัลแวร์ ควบคู่กับอัตราการบล็อกอีเมลปกติผิดพลาด การทดสอบใช้ภัยคุกคามอีเมลที่กำลังพบจริง ไม่ใช่ชุดตัวอย่างเก่าที่เก็บไว้แบบคงที่ 61213

3 แคมเปญที่สะท้อนการเปลี่ยนเกมของฟิชชิง

อีเมลทวงหนี้ภาษาเยอรมัน ผ่าน Amazon SES ก่อนพาไป OpenSea

แคมเปญภาษาเยอรมันที่ใช้คำว่า “Mahnschreiben” หรือหนังสือทวงชำระหนี้ มีรายงานว่าใช้ Amazon SES ส่งอีเมลผ่านโดเมน moolaah[.]com ที่ผ่านการตรวจสอบ DKIM แบบสอดคล้องกัน (DKIM-aligned) อีเมลไม่มีไฟล์แนบ แต่ลิงก์พาไปยังหน้าแรกที่ออกแบบให้ดูน่าสงสัยน้อยลงสำหรับระบบตรวจอัตโนมัติ โดยมีมาร์กอัปหลอก ข้อความซ่อนอยู่ iframe ขนาดศูนย์ และ JavaScript ที่ทำให้โค้ดอ่านยาก

หน้านี้มีรายงานว่าเก็บสัญญาณจากเบราว์เซอร์และเขตเวลาของผู้เข้าชม ก่อนใช้คำขอ POST ที่ซ่อนอยู่รีไดเร็กต์ไปยัง opensea[.]io การประเมินระบุว่าเป็นเส้นทางหลอกลวงด้านคริปโทเคอร์เรนซีหรือ NFT ที่ใช้เทคนิคซ่อนพฤติกรรม ไม่ใช่การปล่อยมัลแวร์ที่ยืนยันแล้ว ประเด็นสำคัญคือ ตรรกะการหลอกลวงอาจยังไม่ถูกเปิดใช้ หากผู้เข้าชมดูไม่ใช่เป้าหมายจริงหรือมีคุณสมบัติไม่ตรงตามที่คนร้ายต้องการ 20

หลอกต่ออายุแอนติไวรัสภาษาเนเธอร์แลนด์ ปลายทางเปลี่ยนได้ตลอด

อีเมลภาษาเนเธอร์แลนด์ที่ปลอมเป็น McAfee และ TotalAV ใช้ข้อความ HTML ล้วนเพื่อชักชวนให้ต่ออายุ โดยอ้างว่าผู้รับมี “ไวรัสอันตราย 631 รายการ” ขู่ปิดบัญชี และเสนอส่วนลด 90%

แทนที่จะพาไปยังหน้าฟิชชิงปลายทางเดียว แคมเปญนี้แยกเส้นทางสำหรับติดตามผล ยกเลิกรับอีเมล และปุ่มเรียกร้องให้ดำเนินการ (call-to-action) ผ่านโครงสร้างพื้นฐานรีไดเร็กต์ ปลายทางของเส้นทางเหล่านี้อาจเปลี่ยน หมดอายุ หรือแสดงเนื้อหาต่างกันตามเวลาและตำแหน่งที่ตั้ง จึงทำให้การตรวจ URL เพียงครั้งเดียวตอนอีเมลเข้าระบบไม่น่าเชื่อถือเท่าการวิเคราะห์ในขณะที่ผู้ใช้กดลิงก์จริง เป้าหมายที่ประเมินไว้คือการหลอกต่ออายุหรือโกงผ่านระบบแอฟฟิลิเอต และอาจขโมยข้อมูลการชำระเงิน ไม่ใช่การดาวน์โหลดมัลแวร์ที่ยืนยันแล้ว 20

หลอกขอความยินยอม PSD2 โดยปลอมเป็นธนาคาร BCR ของโรมาเนีย

อีกแคมเปญหนึ่งปลอมเป็น BCR S.A. และใช้ประเด็นการให้ความยินยอมตาม PSD2 เพื่อสร้างความเร่งด่วน โดย PSD2 คือกรอบกฎบริการชำระเงินของสหภาพยุโรป รายงานระบุว่าผู้โจมตีเข้ารหัสปลายทางด้วยรูปแบบ IPv6-mapped address ซึ่งเป็นเทคนิคทำให้ URL อ่านและตรวจสอบยากขึ้น และอาจหลบระบบแยกวิเคราะห์ URL หรือระบบตรวจสอบชื่อเสียงที่ทำงานแบบพื้นฐานได้ แคมเปญนี้ถูกประเมินว่าน่าจะมุ่งขโมยข้อมูลรับรองการเข้าใช้บัญชี แต่ข้อมูลที่มีไม่ได้ยืนยันหน้าเว็บปลายทางสุดท้ายหรือการระบุตัวผู้โจมตีที่เฉพาะเจาะจงกว่านั้น 20

ตัวเลขการตรวจจับบอกอะไร และไม่ได้บอกอะไร

รายงานไตรมาส 3 ชี้ให้เห็นช่องว่างระหว่างเกตเวย์องค์กรชั้นนำกับการติดตั้ง Rspamd แบบโอเพนซอร์สที่ถูกทดสอบต่อสาธารณะ โดยรายงานหนึ่งระบุว่า Rspamd ตรวจจับฟิชชิงได้ 62.550% ซึ่งต่ำกว่าผลลัพธ์ของผลิตภัณฑ์องค์กรระดับแนวหน้าอย่างมาก 21

อย่างไรก็ดี ไม่ควรนำตัวเลขนี้ไปสรุปแทน Rspamd ทุกการติดตั้ง หรือเหมารวมเครื่องมือโอเพนซอร์สทั้งหมด เพราะการตั้งค่า ฟีดข่าวกรองภัยคุกคาม การปรับจูน และมาตรการประกอบอื่น ๆ ล้วนส่งผลต่อประสิทธิภาพในการใช้งานจริง แต่ผลดังกล่าวตอกย้ำข้อเท็จจริงเชิงปฏิบัติว่า โครงสร้างรีไดเร็กต์ที่เปลี่ยนเร็วและกระบวนการฟิชชิงที่รับรู้ลักษณะเบราว์เซอร์นั้นตรวจจับได้ยากสำหรับชั้นอีเมลที่ตั้งค่าตามค่าเริ่มต้นหรือมีขอบเขตจำกัด

เพื่อประกอบบริบท การทบทวน VBSpam ไตรมาส 2 ปี 2026 แยกต่างหากรายงานว่า Rspamd มีอัตราตรวจจับฟิชชิง 54.810% ในการทดสอบครั้งนั้น และระบุว่าความสามารถด้านฟิชชิงยังตามหลังผลิตภัณฑ์ชั้นนำ ตัวเลขสองชุดเป็นคนละช่วงทดสอบ จึงไม่ควรนำมารวมเป็นเกณฑ์เดียวกัน 5

สิ่งที่ฝ่ายป้องกันควรทำเพิ่มจากอีเมลเกตเวย์

บทเรียนที่นำไปใช้ได้มากที่สุดคือ ต้องขยายการวิเคราะห์จาก ช่วงรับส่งอีเมล ไปสู่ ช่วงเวลาที่ผู้ใช้คลิก

• มองการยืนยันตัวตนของอีเมลเป็นสัญญาณบอกตัวตน ไม่ใช่คำรับรองว่าปลอดภัย การสอดคล้องของ SPF หรือ DKIM รวมถึงผู้ให้บริการส่งอีเมลที่มีชื่อเสียง ช่วยบอกได้ว่าอีเมลถูกส่งมาอย่างไร แต่ไม่ได้พิสูจน์ว่าข้อเสนอเชิงพาณิชย์หรือปลายทางของลิงก์เป็นของจริง
• ตรวจสอบรีไดเร็กต์ทุกทอด วิเคราะห์ทุกจุดที่ลิงก์พาไป และประเมิน URL ซ้ำตอนผู้ใช้คลิก เพราะปลายทางและชื่อเสียงของโดเมนอาจเปลี่ยนหลังอีเมลถูกส่งถึงแล้ว
• ใช้การวิเคราะห์แบบรันเบราว์เซอร์ได้ ระบบตรวจควรรัน JavaScript และตรวจพบฟอร์มซ่อน การทำงานของ iframe การเก็บลายนิ้วมือเบราว์เซอร์ และรีไดเร็กต์ตามเงื่อนไข ไม่ใช่เพียงสแกนข้อความอีเมลหรือ URL ที่มองเห็น
• ทำ URL รูปแบบแปลกให้เป็นมาตรฐานก่อนตรวจ ระบบความปลอดภัยควรแยกวิเคราะห์ที่อยู่แบบเข้ารหัสและ IPv6-mapped address อย่างปลอดภัย ก่อนใช้กฎบล็อกหรือข้อมูลชื่อเสียง
• ติดตามการเปลี่ยนแปลงของโครงสร้างพื้นฐาน เฝ้าดูการเปลี่ยน DNS โดเมนใหม่ HTTP redirect และชื่อเสียงของปลายทางตามช่วงเวลา
• ลดผลกระทบหากผู้ใช้เผลอคลิก การยืนยันตัวตนที่ต้านฟิชชิงและการป้องกันที่อุปกรณ์ปลายทางช่วยจำกัดการยึดบัญชี แม้หน้าขโมยข้อมูลรับรองจะไปถึงผู้รับแล้ว

ผู้ใช้ยังเป็นด่านสุดท้ายที่สำคัญ คำขอชำระเงิน การแจ้งให้ยินยอมกับธนาคาร หรือคำเตือนต่ออายุสมาชิก ควรตรวจสอบผ่านเว็บไซต์ แอป หรือช่องทางบริการลูกค้าที่ทราบแน่ชัดขององค์กรนั้น ไม่ใช่ผ่านลิงก์ในอีเมล

บทสรุป

VBSpam ไตรมาส 3 ปี 2026 ไม่ได้บอกว่าความปลอดภัยอีเมลแบบเดิมล้มเหลวในวงกว้าง ผลิตภัณฑ์องค์กรชั้นนำยังทำคะแนนทดสอบได้สูงมาก 2021 แต่ผลทดสอบบอกประเด็นที่เฉพาะเจาะจงกว่า: ผู้ปฏิบัติการฟิชชิงกำลังย้ายพฤติกรรมที่หลอกลวงที่สุดไปสู่ขั้นตอนแบบเฉพาะบุคคลบนเบราว์เซอร์ ซึ่งเกตเวย์ทั่วไปอาจมองเห็นได้ไม่ครบถ้วนในเวลาที่รับอีเมล

แนวทางระยะยาวจึงเป็นการป้องกันหลายชั้น: ใช้ระบบกรองอีเมลที่เข้มแข็งร่วมกับการวิเคราะห์รีไดเร็กต์ การตรวจสอบที่รับรู้พฤติกรรมบนเบราว์เซอร์ และการป้องกันบัญชีที่ทำให้รหัสผ่านที่ถูกขโมยไปมีประโยชน์น้อยลง