Phishing คืออะไร

Phishing (ฟิชชิง) คือภัยคุกคามไซเบอร์อันดับ 1 ที่องค์กรทุกขนาดต้องเผชิญ โดยเป็นจุดเริ่มต้นของการโจมตีส่วนใหญ่ บทความนี้อธิบายทุกอย่างที่ต้องรู้เกี่ยวกับ Phishing — ตั้งแต่นิยาม ประเภท สถิติ วิธีสังเกต วิธีป้องกัน และสิ่งที่ต้องทำเมื่อคลิกไปแล้ว

Phishing คือ การโจมตีทางไซเบอร์ที่ผู้โจมตีปลอมตัวเป็นบุคคลหรือองค์กรที่น่าเชื่อถือ เพื่อหลอกล่อให้เหยื่อเปิดเผยข้อมูลที่สำคัญ เช่น ชื่อผู้ใช้ รหัสผ่าน หมายเลขบัตรเครดิต หรือติดตั้งมัลแวร์

ตามนิยามของ CISA (Cybersecurity and Infrastructure Security Agency) Phishing เป็นรูปแบบหนึ่งของ Social Engineering ที่ใช้การสื่อสารปลอม (เช่น อีเมล ข้อความ หรือเว็บไซต์) เพื่อหลอกล่อเหยื่อ [1]

NIST (National Institute of Standards and Technology) กำหนดนิยาม Phishing ว่าเป็น “เทคนิคที่ใช้เพื่อขอข้อมูลส่วนบุคคลจากผู้ใช้โดยไม่รู้ตัว” ในเอกสาร NIST SP 800-63 [2]

6 ประเภทของ Phishing ที่ต้องรู้จัก

1. Email Phishing (ฟิชชิงทางอีเมล)

รูปแบบที่พบมากที่สุด ผู้โจมตีส่งอีเมลปลอมเป็นจำนวนมากไปยังเป้าหมายหลายราย โดยปลอมตัวเป็นองค์กรที่รู้จัก เช่น ธนาคาร ผู้ให้บริการอีเมล หรือหน่วยงานรัฐ มักมีลิงก์ไปยังเว็บไซต์ปลอมเพื่อขโมย Credentials

2. Spear Phishing (ฟิชชิงแบบเจาะจงเป้าหมาย)

โจมตีบุคคลหรือกลุ่มเฉพาะเจาะจง โดยผู้โจมตีค้นคว้าข้อมูลเกี่ยวกับเป้าหมายล่วงหน้า (เช่น ตำแหน่งงาน โปรเจกต์ที่ทำ เพื่อนร่วมงาน) เพื่อสร้างข้อความที่น่าเชื่อถือสูง มีอัตราสำเร็จสูงกว่า Email Phishing ทั่วไปมาก

3. Whaling (ฟิชชิงเจาะผู้บริหารระดับสูง)

Spear Phishing ที่เจาะจงเป้าหมายเป็น ผู้บริหารระดับสูง (CEO, CFO, CTO) หรือบุคคลที่มีอำนาจตัดสินใจสำคัญ มักปลอมเป็นหน่วยงานกำกับดูแลหรือคู่ค้าระดับสูง เพื่อหลอกให้โอนเงินหรือเปิดเผยข้อมูลลับ

4. Smishing (ฟิชชิงทาง SMS)

ส่งข้อความ SMS ที่มีลิงก์อันตราย มักอ้างว่ามาจากธนาคาร ขนส่ง หรือหน่วยงานรัฐ ตัวอย่าง: “พัสดุของคุณไม่สามารถจัดส่งได้ กรุณายืนยันที่อยู่ที่ [ลิงก์ปลอม]”

5. Vishing (ฟิชชิงทางโทรศัพท์)

ผู้โจมตีโทรศัพท์หาเหยื่อ ปลอมตัวเป็นเจ้าหน้าที่ธนาคาร ตำรวจ หรือฝ่ายสนับสนุนด้าน IT เพื่อหลอกให้เปิดเผยข้อมูลหรือติดตั้งซอฟต์แวร์ มีรายงานว่า Callback Phishing (ฟิชชิงแบบให้โทรกลับ) เพิ่มขึ้น 500% ในไตรมาส 4 ปี 2025 [3]

6. Clone Phishing (ฟิชชิงแบบโคลน)

ผู้โจมตีคัดลอกอีเมลจริงที่เหยื่อเคยได้รับ แล้วแก้ไขลิงก์หรือไฟล์แนบเป็นเวอร์ชันที่เป็นอันตราย แล้วส่งกลับมาอ้างว่าเป็น “ฉบับอัปเดต” ยากต่อการสังเกตเพราะเนื้อหาเกือบเหมือนอีเมลจริงทุกประการ

สถิติ Phishing ที่ต้องรู้

ข้อมูลจากแหล่งที่น่าเชื่อถือหลายแห่งชี้ให้เห็นขนาดของปัญหา:

80–95% ของเหตุการณ์ Breach ที่เกี่ยวข้องกับ Human Element เริ่มต้นจาก Phishing — Comcast Business Cybersecurity Threat Report [4]
Phishing คิดเป็น 33% ของเหตุการณ์ด้านความปลอดภัยบน Cloud — IBM X-Force 2025 Threat Intelligence Index [4]
มี Spam Email ที่เป็น Phishing ส่งออกประมาณ 3.4 พันล้านฉบับต่อวัน ทั่วโลก — AAG IT Services [5]
มีเพียง 13% ของพนักงานที่ตกเป็นเป้าหมายรายงาน Phishing กลับไปยังองค์กร — CISA [5]
60% ของ Breach ทั้งหมดมี Human Element เกี่ยวข้อง — Verizon DBIR 2025 [6]
AI-assisted Phishing เพิ่มขึ้นอย่างรวดเร็ว — 56% ของอีเมล Phishing ที่ตรวจพบในเดือนธันวาคม 2025 มีตัวบ่งชี้ว่าใช้ AI ช่วยสร้างเนื้อหา [3]

วิธีสังเกต Phishing — 7 สัญญาณเตือน

1. ตรวจสอบผู้ส่ง (Sender)

ที่อยู่อีเมลไม่ตรงกับองค์กรจริง เช่น support@b4nk-of-thailand.com แทน support@bot.or.th
ชื่อที่แสดง (Display Name) อาจดูถูกต้อง แต่อีเมลจริงไม่ตรง
ตรวจสอบ Domain อย่างละเอียด — ผู้โจมตีมักใช้ Domain ที่คล้ายคลึง เช่น rn แทน m หรือเพิ่มตัวอักษร

2. ความเร่งด่วนผิดปกติ (Urgency)

“บัญชีของคุณจะถูกระงับภายใน 24 ชั่วโมง”
“ต้องยืนยันตัวตนทันที มิฉะนั้นจะถูกปิดบัญชี”
“คุณมีพัสดุรอรับ กรุณาชำระค่าธรรมเนียมภายในวันนี้”

Phishing มักสร้างความเร่งด่วนเพื่อให้เหยื่อตัดสินใจเร็วโดยไม่ทันคิด

3. ลิงก์ที่น่าสงสัย (Suspicious Links)

Hover ก่อนคลิก — เลื่อนเมาส์ไปวางที่ลิงก์เพื่อดู URL จริงก่อนคลิก
ลิงก์ที่แสดงเป็นข้อความหนึ่ง แต่ URL จริงเป็นอีกอย่าง
URL ที่ใช้ IP Address แทนชื่อ Domain
URL ที่ยาวผิดปกติหรือมีอักขระแปลก

4. ไฟล์แนบที่อันตราย (Malicious Attachments)

ไฟล์ .exe, .scr, .js, .bat, .ps1 ที่ไม่คาดคิด
ไฟล์ Office ที่ขอให้เปิด Macro
ไฟล์ .zip หรือ .rar ที่มีรหัสผ่าน (ใช้เพื่อหลบ Scanner)
ไฟล์ HTML ที่แนบมา — เป็นเทคนิคที่เพิ่มขึ้น โดย HTML Attachment คิดเป็น 5.6% ของไฟล์แนบที่เป็นอันตรายทั้งหมดในปี 2025 [3]

5. ไวยากรณ์และการสะกดผิดปกติ (Grammar Issues)

ข้อความภาษาไทยที่มีการสะกดผิดหรือโครงสร้างประโยคแปลก
ข้อความที่ดูเหมือนแปลจากภาษาอื่นด้วยเครื่อง
ข้อควรระวัง: AI Phishing ทำให้ข้อความถูกต้องตามหลักภาษามากขึ้น ดังนั้นไม่ควรพึ่งเรื่องไวยากรณ์เป็นตัวบ่งชี้หลัก

6. การปลอมแบรนด์ (Brand Impersonation)

โลโก้ที่ดูคล้ายแต่มีคุณภาพต่ำหรือสีผิดเพี้ยน
หัวอีเมลที่เลียนแบบรูปแบบขององค์กรจริง
เว็บไซต์ที่หน้าตาเหมือนจริงแต่ Domain ต่างกัน

7. ข้อเสนอที่ดีเกินจริง (Too Good to Be True)

“คุณได้รับรางวัล 1,000,000 บาท คลิกเพื่อรับ”
“คุณได้รับทุนการศึกษา กรุณากรอกข้อมูลบัญชีธนาคาร”
ข้อเสนอที่ไม่ได้สมัคร ไม่ได้ร้องขอ มักเป็น Phishing

วิธีป้องกัน Phishing สำหรับองค์กร

1. ตั้งค่า Email Security — DMARC, SPF, DKIM

ตั้งค่ามาตรฐานการยืนยันตัวตนอีเมลครบทั้ง 3 ส่วน:

SPF (Sender Policy Framework) — ระบุ Mail Server ที่ได้รับอนุญาตให้ส่งอีเมลในนาม Domain ขององค์กร
DKIM (DomainKeys Identified Mail) — เพิ่ม Digital Signature ในอีเมลเพื่อยืนยันว่าเนื้อหาไม่ถูกแก้ไขระหว่างทาง
DMARC (Domain-based Message Authentication, Reporting & Conformance) — กำหนดนโยบายว่าจะทำอย่างไรกับอีเมลที่ไม่ผ่านการตรวจสอบ SPF/DKIM

2. เปิดใช้ Multi-Factor Authentication (MFA)

แม้รหัสผ่านจะถูกขโมยไปจาก Phishing MFA จะเป็นด่านป้องกันชั้นที่สอง โดยเฉพาะ:

อีเมลองค์กร
ระบบ VPN / Remote Access
ระบบ Admin ทุกประเภท
Cloud Services (Microsoft 365, Google Workspace)

3. จัดอบรม Security Awareness Training

DBIR 2025 พบว่าหลังจากอบรม อัตราการรายงาน Phishing โดยพนักงานเพิ่มขึ้น 4 เท่า [6] ดังนั้น:

จัด Security Awareness Training เป็นประจำทุก 3–6 เดือน
ใช้ตัวอย่าง Phishing จริงในการอบรม
สร้างวัฒนธรรม “เห็นอะไรน่าสงสัย ให้รายงาน” โดยไม่ลงโทษ

4. ทำ Phishing Simulation

ทดสอบความตระหนักรู้ของพนักงานด้วย Phishing Simulation ซึ่งเป็นการจำลองส่ง Phishing Email ให้พนักงาน เพื่อ:

วัดอัตราการคลิกลิงก์ (Click Rate)
วัดอัตราการรายงาน (Report Rate)
ระบุกลุ่มที่ต้องการอบรมเพิ่มเติม
ติดตามแนวโน้มความตระหนักรู้เมื่อเวลาผ่านไป

5. สร้างกระบวนการ Incident Reporting

กำหนดช่องทางรายงานที่ง่าย เช่น ปุ่ม “Report Phishing” ใน Email Client
ตอบสนองต่อการรายงานทุกครั้ง แม้จะเป็น False Alarm
แจ้งเตือนทั้งองค์กรเมื่อพบ Phishing Campaign ที่เจาะจงองค์กร

ถ้าคลิกลิงก์ Phishing ไปแล้ว — ทำอย่างไร

หากคุณหรือพนักงานคลิกลิงก์ Phishing หรือเปิดไฟล์แนบที่น่าสงสัยไปแล้ว ให้ดำเนินการทันที:

ทำทันที (ภายใน 5 นาที)

ตัดการเชื่อมต่อเครือข่าย — ถอดสาย LAN หรือปิด Wi-Fi ของเครื่องนั้นทันที
อย่าปิดเครื่อง — หลักฐานใน RAM อาจสำคัญสำหรับ Forensics
แจ้ง IT/Security Team — โทรแจ้งทันที อย่ารอส่งอีเมล

ทำภายใน 1 ชั่วโมง

เปลี่ยนรหัสผ่านทุกบัญชี — โดยเฉพาะบัญชีที่ใช้รหัสผ่านเดียวกัน ทำจากเครื่องอื่นที่ปลอดภัย
เปิดใช้ MFA — หากยังไม่ได้เปิด ให้เปิดทันทีจากอุปกรณ์อื่น
ตรวจสอบกิจกรรมล่าสุด — ดู Login History ของบัญชีต่าง ๆ ว่ามีการเข้าถึงที่ผิดปกติหรือไม่

ทำภายใน 24 ชั่วโมง

สแกนเครื่องด้วย Endpoint Security — ใช้ EDR หรือ Antivirus สแกนเครื่องนั้นอย่างละเอียด
ตรวจสอบ Email Forwarding Rules — ผู้โจมตีมักตั้ง Rule ส่งต่ออีเมลไปยังบัญชีของตน
แจ้งเตือนพนักงานอื่น — หาก Phishing นั้นเจาะจงองค์กร คนอื่นอาจได้รับด้วย

กรณี PDPA

ตาม PDPA มาตรา 37(4) ผู้ควบคุมข้อมูลแจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ หากมีความเสี่ยงสูงให้แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย ผู้ประมวลผลข้อมูลแจ้งผู้ควบคุมข้อมูลตามมาตรา 40 โดยพิจารณาหน้าที่ของแต่ละฝ่ายแยกกัน

ITSL ช่วยองค์กรรับมือ Phishing

Phishing Simulation — จำลอง Phishing Campaign เพื่อทดสอบและวัดผลความตระหนักรู้ของพนักงาน
Security Awareness Training — อบรมพนักงานให้สังเกตและรายงาน Phishing ได้อย่างมีประสิทธิภาพ

แหล่งอ้างอิง

CISA, “Malware, Phishing, and Ransomware,” Cybersecurity and Infrastructure Security Agency. https://www.cisa.gov/topics/cyber-threats-and-advisories/malware-phishing-and-ransomware
NIST, “NIST SP 800-63: Digital Identity Guidelines,” National Institute of Standards and Technology. https://pages.nist.gov/800-63-3/
Hoxhunt, “Phishing Trends Report (Updated for 2026),” 2026. https://hoxhunt.com/guide/phishing-trends-report
Fortinet, “Cybersecurity Statistics 2025: Rising Threats And Industry Data,” 2025. https://www.fortinet.com/resources/cyberglossary/cybersecurity-statistics
University of San Diego, “47 Cybersecurity Statistics and Facts [2026],” 2026. https://onlinedegrees.sandiego.edu/cyber-security-statistics
Verizon, “2025 Data Breach Investigations Report (DBIR),” 2025. https://www.verizon.com/business/resources/reports/2025-dbir-data-breach-investigations-report.pdf
ราชกิจจานุเบกษา, “พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562,” มาตรา 37(4).

Phishing คืออะไร — วิธีสังเกตและป้องกันสำหรับองค์กร