หากคุณทำงานในหรือเป็นเจ้าขององค์กร คุณจำเป็นต้องรู้ว่ามีความเสี่ยงสูงที่การโจมตีทางไซเบอร์และการหลอกลวงจะเกิดขึ้น อีเมลหลอกลวง^{(Email Scams)}เป็นเรื่องธรรมดาที่สุดในหมู่พวกเขา ฟิชชิงมีหลายรสชาติ เช่นTabnabbing, Spear Phishingเช่นเดียวกับVishing และ Smishing เมื่อไม่กี่วันก่อน เราได้ดูการฉ้อโกงออนไลน์ของ Pharming^{(Pharming online frauds)} – วันนี้เราจะมาดูที่Whaling Scamsซึ่งเป็นภัยคุกคามด้านความปลอดภัยทางไซเบอร์ที่เกิดขึ้นใหม่

กลโกงปลาวาฬคืออะไร

ใน การหลอกลวงแบบ ปลาวาฬ^(Whaling)คุณมักจะตกเป็นเป้าหมายทางอีเมล ซึ่งเป็น กล ลวงฟิชชิ่ง^{(Phishing scam)} เฉพาะ ทาง ผู้โจมตีศึกษากิจกรรมออนไลน์ของคุณและรับข้อมูลที่เป็นประโยชน์เกี่ยวกับตัวคุณจากแหล่งอื่น และข้อมูลดังกล่าวจะใช้เพื่อสร้างอีเมลส่วนบุคคลที่ดูเป็นมืออาชีพ การเห็นอีเมลอย่างเป็นทางการอาจทำให้คุณล้มเลิกการป้องกัน และคุณมีแนวโน้มที่จะเชื่อถืออีเมลดังกล่าว แนวคิดคือการได้รับข้อมูลจากคุณสำหรับกิจกรรมที่เป็นการฉ้อโกงเพิ่มเติม

ตอนนี้ คุณต้องตระหนักว่ามีข้อแตกต่างระหว่างWhaling ^(.)และ^(Whaling) Spear Phishing ^{(Spear Phishing)}โดยทั่วไปการ ล่าวาฬ^(Whaling)จะมุ่งเป้าไปที่ผู้บริหารระดับสูง ในขณะที่การหลอกลวงแบบหลังมุ่งเป้าไปที่พนักงานของบริษัท ลูกค้าของบริษัทโดยทั่วไป เรียกว่า การ ล่าวาฬ^(Whaling)เพราะว่าเป้าหมายมักจะใหญ่หรือสำคัญ ดังนั้นวาฬ^(Whales) จึง ถูกเลือกเพราะอำนาจและการเข้าถึงภายในองค์กร

การล่าวาฬ^(Whaling)ทำงานอย่างไรและทำไมคุณถึงตกเป็นเป้าหมาย

เป้าหมายส่วนใหญ่มักจะเป็นนักธุรกิจ ผู้ประกอบการซีอีโอ^(CEOs)และพนักงานในองค์กร เป้าหมายมักจะเป็นธุรกิจเฉพาะและมีการวางแผนการโจมตีเพื่อให้ได้มาซึ่งข้อมูลที่ละเอียดอ่อนเกี่ยวกับกิจกรรมขององค์กร

การโจมตีทางวิศวกรรมทางสังคมประเภทนี้ยากต่อการระบุตัวตน และผู้คนมักจะลงเอยด้วยการให้ข้อมูลแก่ผู้หลอกลวงดังกล่าว นักต้มตุ๋นจะส่งอีเมลส่วนบุคคลจากที่อยู่ที่คุณอาจคุ้นเคย นักต้มตุ๋นอาจเลียนแบบเป็นเจ้านายของคุณหรือองค์กรที่เป็นมิตรอื่นๆ หรือเขา/เธออาจเลียนแบบเป็นที่ปรึกษาทางการเงินหรือทนายความของคุณ เนื้อหาของอีเมลส่วนใหญ่เป็นการเรียกร้องความสนใจ เพื่อที่คุณจะได้ตอบกลับในทันทีและมีโอกาสน้อยที่สุดที่จะถูกจับได้

อีเมลอาจกำหนดให้คุณต้องโอนเงินบางส่วนเพื่อชำระเงินตามใบแจ้งหนี้ หรืออาจขอข้อมูลบริษัทบางอย่างที่จำเป็นสำหรับสำนักงานใหญ่ หรืออาจถามข้อมูลส่วนตัวเกี่ยวกับพนักงานขององค์กร

นักต้มตุ๋นหรือผู้โจมตีได้ทำการวิจัยเกี่ยวกับคุณเพื่อสร้างอีเมลส่วนบุคคลสำหรับคุณ และการวิจัยอาจขึ้นอยู่กับกิจกรรมออนไลน์ของคุณหรือข้อมูลใด ๆ ที่ได้รับจากแหล่งอื่น อีเมลล่าวาฬ^{(Whaling emails)}ดูเป็นเรื่องปกติและสมบูรณ์แบบ และนั่นเป็นเหตุผลเดียวที่ผู้คนจะตกหลุมพราง ชื่อ โลโก้ และข้อมูลอื่นๆ ที่ใช้ในอีเมลอาจเป็นจริงหรือไม่ก็ได้ แต่มันถูกนำเสนอในลักษณะที่คนปกติไม่สามารถทำเครื่องหมายความแตกต่างระหว่างอีเมลเหล่านี้

นอกจากนี้ ที่อยู่อีเมลของผู้ส่งหรือเว็บไซต์ที่กล่าวถึงนั้นคล้ายกับบุคคลที่คุณอาจรู้จัก สิ่งที่แนบมาอาจเป็นอันตรายหรือไม่ก็ได้ จุดประสงค์เดียวของการหลอกลวงเหล่านี้คือการโน้มน้าวใจคุณว่าอีเมลนั้นเป็นเรื่องปกติอย่างสมบูรณ์และจำเป็นต้องดำเนินการอย่างเร่งด่วน และเมื่อคุณทำตามคำแนะนำในอีเมล คุณจะสูญเสียข้อมูลที่เป็นความลับไปยังบุคคลหรือเว็บไซต์ที่ไม่ได้รับอนุญาต

วิธีป้องกันการโจมตีจากปลาวาฬ

คุณต้องเรียนรู้ที่จะระบุการโจมตีแบบฟิชชิ่ง^{(identify Phishing Attacks)}เพื่อทราบข้อมูลเพิ่มเติมเกี่ยวกับการป้องกันฟิชชิงโดยทั่วไป เพื่อหลีกเลี่ยงฟิชชิ่ง^{(avoid Phishing scams)}กล โกง

กุญแจสำคัญในการได้รับการปกป้องคือการเอาใจใส่ อ่านอีเมลที่เกี่ยวข้องกับงานทั้งหมดของคุณตั้งแต่ต้นจนจบและจับตาดูสิ่งที่คาว ถ้าคุณรู้สึกว่ามีบางอย่างผิดปกติกับอีเมล ให้ติดต่อองค์กรที่ระบุว่าเป็นอีเมลนั้น

1] ยืนยัน^(Verify)อีเมลของผู้ส่งแล้วตอบกลับเฉพาะอีเมลเท่านั้น โดยปกติ เว็บไซต์หรือที่อยู่อีเมลจากที่ที่คุณได้รับอีเมลเกือบจะเหมือนกับที่อยู่อีเมลปกติที่คุณอาจทราบ 'o' อาจถูกแทนที่ด้วย '0' (ศูนย์) หรืออาจมี 's' สองตัวแทนที่จะเป็น 's' ข้อผิดพลาดประเภทนี้มองข้ามได้ง่ายด้วยสายตามนุษย์ และเป็นพื้นฐานของการโจมตีดังกล่าว

2] หากอีเมลต้องการการดำเนินการเร่งด่วน คุณต้องพิจารณาอย่างรอบคอบแล้วจึงตัดสินใจ หากมีลิงก์เว็บไซต์ขาออก ให้ตรวจสอบที่อยู่ก่อนที่จะให้ข้อมูลใดๆ แก่เว็บไซต์นั้น ตรวจสอบสัญลักษณ์แม่กุญแจหรือตรวจสอบใบรับรองของเว็บไซต์ด้วย

3] อย่าให้รายละเอียดทางการเงินหรือการติดต่อใด ๆ แก่เว็บไซต์หรืออีเมลใด ๆ รู้ว่าเมื่อใดควรเชื่อถือเว็บไซต์^{(Know when to trust a website)}ใช้ความระมัดระวังก่อนที่จะคลิกลิงก์ของเว็บใดๆ^{(precautions before clicking on any web links)}และปฏิบัติตามบรรทัดฐานความปลอดภัยในการใช้งานอินเทอร์เน็ตขั้นพื้นฐาน

4] มีโปรแกรมป้องกันไวรัสที่เหมาะสม ซอฟต์แวร์ไฟร์วอลล์ปกป้องคอมพิวเตอร์ของคุณ และไม่ดาวน์โหลดไฟล์แนบใด ๆ จากอีเมลเหล่านี้ RAR/7zหรือไฟล์ปฏิบัติการอื่น ๆ ส่วนใหญ่สงสัยว่ามีมัลแวร์หรือโทรจัน ^(Trojans)เปลี่ยนรหัสผ่านเป็นประจำและสร้างสำเนาสำรองของเอกสารสำคัญในตำแหน่งที่ปลอดภัย

5 ]^{(] Completely)}ทำลายเอกสารทางกายภาพของคุณให้หมดก่อนที่จะทิ้งเพื่อไม่ให้ข้อมูลใด ๆ เกี่ยวกับคุณและองค์กรของคุณ

ตัวอย่างการโจมตีปลาวาฬ

ในขณะที่คุณสามารถหาเรื่องหลอกลวงออนไลน์ได้มากมาย แม้แต่บริษัทใหญ่ๆ อย่างSnapchatและSeagateก็ตกหลุมพรางของการหลอกลวงเหล่านี้ เมื่อปีที่แล้ว พนักงานระดับสูงของSnapchatตกเป็นเหยื่อของการหลอกลวงดังกล่าว โดยมีอีเมลที่แอบอ้างเป็น CEO ของบริษัทสอบถามเกี่ยวกับการจ่ายเงินเดือนของพนักงาน ดูตัวอย่างบางส่วน:

• ซีเกท^(Seagate) : การโจมตีปลาวาฬที่ประสบความสำเร็จทำให้ขโมยเอกสารภาษี W-2 ได้มากถึง 10,000 ฉบับสำหรับพนักงานปัจจุบันและอดีตทั้งหมด
• Snapchat : พนักงานรายหนึ่งตกหล่นในอีเมลที่แอบอ้างเป็นคำขอจากCEO Evan Spiegelและทำให้ข้อมูลบัญชีเงินเดือนของพนักงาน 700 คนถูกบุกรุก
• FACC : ซัพพลายเออร์ในอุตสาหกรรมเครื่องบินของออสเตรียสูญเสียเงินไป 50 ล้านยูโรเนื่องจากการล่าวาฬ
• Ubiquiti Networks : บริษัทเทคโนโลยีด้านเครือข่ายแห่งนี้ขาดทุน 39.1 ล้านดอลลาร์จากการล่าวาฬ
• Weight Watchers International : อีเมลล่าวาฬอนุญาตให้โจรรับข้อมูลภาษีสำหรับพนักงานปัจจุบันและอดีตเกือบ 450 คน

หลอกลวงแล้ว?

คุณคิดว่าคุณตกเป็นเหยื่อของการหลอกลวงปลาวาฬ หรือไม่? ^(Whaling)แจ้งหัวหน้าองค์กรของคุณและขอความช่วยเหลือทางกฎหมายทันที หากคุณให้รายละเอียดธนาคารหรือรหัสผ่านใดๆ แก่พวกเขา ให้เปลี่ยนทันที ปรึกษาผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์เพื่อติดตามเส้นทางและรู้ว่าใครเป็นผู้โจมตี ขอความช่วยเหลือทางกฎหมายและปรึกษาทนายความ

มีบริการออนไลน์ต่างๆ ที่คุณสามารถรายงานการหลอกลวงดังกล่าวได้ โปรดรายงานการหลอกลวงดังกล่าวเพื่อให้กิจกรรมของพวกเขาหยุดชะงักและผู้คนจำนวนมากขึ้นไม่ได้รับผลกระทบ

หากคุณสนใจที่จะทราบข้อมูลเพิ่มเติม มี eBook ที่ยอดเยี่ยมนี้ชื่อWhaling, Anatomy of an Attackซึ่งคุณสามารถดาวน์โหลดได้ฟรี

ปกป้องตัวคุณเอง พนักงาน และองค์กรของคุณจากการฉ้อโกงและการหลอกลวงทางออนไลน์ กระจายข่าวและช่วยให้เพื่อนร่วมงาน เพื่อน และครอบครัวของคุณได้รับการปกป้อง^{(Protect yourself, your employees and your organization from such frauds and online scams. Spread the word and help your colleagues, friends, and family stay protected.)}

อ่านที่นี่เกี่ยวกับการหลอกลวงและการฉ้อโกงทางออนไลน์และอีเมลที่พบบ่อย^{(most common Online and Email scams & frauds)}ที่สุด

What are Whaling scams & how to protect your Enterprise

If you work іn or own an enterprise, then you need to know that there is аlways a hіgh risk of cyber-attacks & scams taking place. Email Scams are the most common among them. Phishing comes in many flavors like Tabnabbing, Spear Phishing as well as Vishing and Smishing. A few days back, we took a look at Pharming online frauds – today we will take a look at Whaling Scams which is the emerging cyber-security threat.

What are Whaling scams

In Whaling scams, you are targeted usually by email – it is a specialized Phishing scam. The attacker studies your online activity and obtains useful information about you from other sources. And that information is used to create a professional looking personalized e-mail. Seeing an official email can cause you to drop your defenses and you are very likely to trust such email. The idea is to obtain information from you for further fraudulent activities.

Now you have to realize that there is a thin line of difference between Whaling and Spear Phishing. Whaling typically targets high-level executives, whereas the latter scam targets employees of a company, customers of a company generally. It is called Whaling because the targets are usually large or important. And so Whales are chosen because of their authority and access within an organization.

How does Whaling work and why are you targeted

Most of the targets are usually businessmen, entrepreneurs, CEOs, and corporate employees. The targets are usually business specific and attacks are planned for the purpose of obtaining any sensitive information about the activities of an organization.

These kind of socially engineered attacks are very difficult to identify and people usually end up giving data to such scammers. The scammer sends a personalized email from an address you may be familiar with. The scammer may mimic to be your boss or another friendly organization. Or he/she may mimic as your financial consultant or your lawyer. The content of the email is mostly attention seeking so that you may reply promptly and there is the least chance of them getting caught.

The email might require you to transfer some money as a payment to a due bill or it may ask you for some company data that is required at a head office. Or it may ask personal details about the employees of the organization.

The scammer or the attacker has already researched you to create a personalized email for you. And the research may be based upon your online activities or upon any information obtained from other sources. Whaling emails just seem normal and perfect and that is the only reason people fall into the trap. The names, logos and other information used in the email may be real or not. But it is presented in such a way that normally people cannot mark a difference between these emails.

Also, the email address of the sender or the website mentioned is similar to someone you may know. The attachments may or may not be malicious. The sole purpose of these scams is to convince you that the email is completely normal and requires urgent action. And when you follow the instructions in the email, you end up leaking out some confidential data to an unauthorized person or website.

How to stay protected from Whaling attacks

You have to learn to identify Phishing Attacks to know more about protection from phishing in general so that you can avoid Phishing scams.

The key to staying protected is to stay attentive. Read all your work related emails end to end and keep an eye on something fishy. If you just felt that there is something wrong with the email, contact the organization from which the email is said to be.

1] Verify the sender’s email and then only respond to emails. Usually, the websites or email addresses from where you are receiving emails are almost identical to normal email addresses that you may know. An ‘o’ may be replaced with a ‘0’ (zero) or there may be two ‘ss’ instead of one ‘s’. This kind of errors are easily overlooked by a human eye, and these forms the basis of such attacks.

2] If the email requires some urgent action, then you must look carefully and then take the decision. If there are any outbound website links, verify their address before supplying any information to that website. Also, check for the padlock sign or verify the website’s certificate.

3] Do not provide any financial or any contact details to any website or an email. Know when to trust a website, take precautions before clicking on any web links and follow the basic internet usage safety norms.

4] Have proper antivirus, firewall software protecting your computer and do not download any attachments from any of these emails. RAR/7z or any other executable files are most suspected to contain any malware or Trojans. Regularly change passwords and create a backup of important documents at a secure location.

5] Completely destroy your physical documents before disposing of them so that they cannot provide any information about you and your organization.

Whaling attack examples

While you can find a ton of such scam stories online. Even the major companies like Snapchat and Seagate have fallen into the traps of these scams. Last year, a high-rank employee of Snapchat was a victim of such a scam where an email impersonating the CEO of the company inquired about the payroll of the employees. Take a look at some examples:

• Seagate: A successful whaling attack landed thieves up to 10,000 W-2 tax documents for all current and past employees.
• Snapchat: An employee fell for an email impersonating a request from CEO Evan Spiegel and compromised payroll data for 700 employees.
• FACC: The Austrian aircraft industry supplier lost 50 million euros due to a whaling attack.
• Ubiquiti Networks: This networking tech company suffered a $39.1 million loss as a result of a whaling attack.
• Weight Watchers International: A whaling email allowed thieves to obtain tax data for nearly 450 current and former employees.

Already Scammed?

Do you think that you’ve been a victim of a Whaling scam? Immediately inform the head of your organization and seek legal help. If you provided them with any bank details or any sort of passwords, change them immediately. Consult a cyber-security expert to track back the path and know who the attacker was. Seek out for legal help and consult a lawyer.

There are various online services available where you can report such scams. Please report such scams so that their activity can be disrupted and more people are not affected.

If you are interested in knowing more, there is this excellent eBook titled Whaling, Anatomy of an attack, which you can download free.

Protect yourself, your employees and your organization from such frauds and online scams. Spread the word and help your colleagues, friends, and family stay protected.

Read here about the most common Online and Email scams & frauds.

Related posts

• วิธีตรวจสอบว่าลิงก์ปลอดภัยหรือไม่ใช้เว็บเบราว์เซอร์ของคุณ

• ค้นหาว่า online account ของคุณถูกแฮ็กและรายละเอียดอีเมลและรหัสผ่านรั่วไหลออกมา

• Online Safety Tips สำหรับ Kids, Students and Teens

• Internet Security article and tips สำหรับผู้ใช้ Windows 10

• Safeguard ลูก ๆ ของคุณจาก adult content โดยใช้ Clean Browsing

• ทำไม Microsoft ส่งข้อความถึงฉัน พวกเขาเป็นของแท้หรือฟิชชิง?

• การเภสัชคืออะไรและคุณจะป้องกัน Online Fraud นี้ได้อย่างไร

• Online Identity Theft: Prevention and Protection tips

• Coronavirus COVID-19 Phishing, Scams, Scams, Frauds and Schemes

• Password Spray Attack Definition and Defending ตัวคุณเอง

• Photo Collage maker Online Tools and Software ฟรี

• อันตรายและผลที่ตามมาของ Oversharing ใน Social Media

• Browser Fingerprinting วิธีปิดใช้งานลายนิ้วมือ Browser

• ฟรี Fake Name Generator เพื่อสร้าง Fake Identity

• Dark Patterns: Tricks เว็บไซต์, Examples, Types, Types, Spot & Avoid

• Best Free Online Flowchart Maker Tools

• man-in-the-middle Attack (MITM): นิยาม, Prevention, Tools, Tools

• Avoid online ธนาคารและการฉ้อโกงไซเบอร์อื่น ๆ - ความปลอดภัย Tips สำหรับผู้ใช้พีซี

• PDF Editor Online Tool ฟรีที่จะแก้ไข PDF ไฟล์ - PDF Yeah

• Pastejacking คืออะไร ทำไมคุณไม่ควรคัดลอกวางจากเว็บ?