ข้อจำกัด: เครื่องมือนี้ใช้เพื่อฝึกวิเคราะห์การตัดสินใจกับอีเมล phishing เท่านั้น — ไม่มีการเก็บ credentials, อีเมล, tracking id หรือคะแนนใด ๆ. Grammar/TLS/spelling ไม่ใช่ตัวชี้ขาดว่าอีเมลเป็น phishing จริงหรือไม่.
อีเมล 'ต้องรีเซ็ตรหัสภายในวันนี้' จาก IT
สถานการณ์
ผู้ส่งอ้างว่าเป็น IT internal ระบุว่า password ของคุณจะหมดอายุใน 6 ชั่วโมง ต้องคลิกลิงก์เพื่อยืนยัน
สัญญาณที่สังเกตได้
- สัญญาณเข้ม domain ผู้ส่งไม่ตรงกับ tenant ของบริษัท
- ปานกลาง แรงกดดันเวลา (urgency)
- สัญญาณเข้ม ลิงก์ที่ hover แล้วชี้ไป domain ต่างประเทศ
- อ่อน ใช้ signature มาตรฐาน IT — ไม่ใช่ตัวบ่งชี้ใด ๆ
คุณจะทำอะไร?
อีเมลจาก CEO ขอโอนเงินด่วนให้ vendor รายใหม่
สถานการณ์
อีเมลจาก 'CEO' (ชื่อจริง แต่ domain เพี้ยนเล็กน้อย เช่น .co แทน .com) ขอให้ Finance โอนเงินให้ vendor รายใหม่ 500,000 บาทภายในเย็นนี้ 'เป็นความลับ อย่าพูดกับใคร' — CEO อยู่ต่างประเทศไม่รับสาย
สัญญาณที่สังเกตได้
- สัญญาณเข้ม Domain sender ต่างจาก tenant จริงเพียงตัวอักษรเดียว (typo-squatting)
- สัญญาณเข้ม Urgency + secrecy ('อย่าพูดกับใคร') — ปิดกั้น verification channel
- สัญญาณเข้ม Bank account ใหม่ที่ไม่เคยจ่ายมาก่อน
- ปานกลาง CEO อยู่ต่างประเทศ ไม่รับสาย → สร้าง friction ให้ verify ยาก
คุณจะทำอะไร?
โทรมาอ้างเป็นธนาคาร แจ้งบัญชีถูกโจมตี ต้องรีเซ็ต OTP ทันที
สถานการณ์
ผู้โทรอ้างเป็น 'ธนาคาร X ฝ่ายความปลอดภัย' บอกว่าบัญชีคุณกำลังถูกโจมตี ให้อ่าน OTP ที่ส่ง SMS มาให้เพื่อ 'ระงับการโจมตี' — ให้ความรู้สึกเร่งด่วน + แสดงว่ารู้ข้อมูลบางส่วน (ชื่อ, บัตรประชาชน 4 หลักสุดท้าย)
สัญญาณที่สังเกตได้
- สัญญาณเข้ม ธนาคารจริงไม่โทรขอ OTP — เป็น policy สากล
- สัญญาณเข้ม Urgency + fear ('บัญชีกำลังถูกโจมตี')
- ปานกลาง ผู้โจมตีรู้ข้อมูลบางส่วน (จาก data leak) เพื่อสร้างความน่าเชื่อถือ
- สัญญาณเข้ม Caller ID ปลอมได้ — ไม่ใช่หลักฐาน
คุณจะทำอะไร?
Video call จาก CFO ขอโอนเงิน — ภาพและเสียงเหมือนจริง
สถานการณ์
Finance รับ video call ผ่าน Teams/Zoom จาก 'CFO' (หน้าและเสียงเหมือนตัวจริง) ขอโอน 2 ล้านบาทเป็น urgent deal — เห็นหน้า + ได้ยินเสียงจริง + CFO ถามชื่อพนักงานได้ถูก (มีข้อมูลจาก LinkedIn)
สัญญาณที่สังเกตได้
- สัญญาณเข้ม Deepfake video call กำลังเป็น attack vector ที่พบมากขึ้น (2024+)
- สัญญาณเข้ม การเจอตัวจริงบนวีดีโอไม่ใช่หลักฐานยืนยันตัวตน — deepfake real-time มีจริง
- สัญญาณเข้ม Meeting invite มาจากอีเมลที่เพี้ยนเล็กน้อย หรือ Teams external tenant
- ปานกลาง Urgency + 'special deal' — บ่อยครั้งเป็น trigger
คุณจะทำอะไร?
อีเมลขอให้ 'อนุมัติ' M365 app เพื่อเข้าถึงเอกสารทีม
สถานการณ์
อีเมลอ้างว่าเป็น 'Team Collaboration App' ที่หัวหน้าติดตั้ง — คลิกลิงก์แล้วเปิดหน้า Microsoft consent (URL ถูกจริง login.microsoftonline.com) ขอ scope: 'Read your files, Send email as you'
สัญญาณที่สังเกตได้
- สัญญาณเข้ม URL Microsoft เป็นของจริง — แต่ app ขอ scope กว้างเกินไป
- สัญญาณเข้ม 'Send email as you' = ผู้โจมตีจะส่ง phishing ต่อได้จากบัญชีคุณ
- สัญญาณเข้ม 'Read your files' = leak เอกสารทีม
- สัญญาณเข้ม Publisher unverified หรือไม่ใช่ organization tenant ของคุณ
คุณจะทำอะไร?
โปสเตอร์ 'สแกน QR เพื่อ WiFi ฟรี' ในลิฟต์
สถานการณ์
โปสเตอร์แนบผนังลิฟต์ในอาคารสำนักงาน 'WiFi ฟรี' + QR code + logo โรงแรม/บริษัทข้างเคียง — สแกนแล้วเปิดหน้า WiFi login ที่ขอ email + password
สัญญาณที่สังเกตได้
- สัญญาณเข้ม QR code ปลอมแปะทับ QR จริงได้ง่าย (physical + digital hybrid attack)
- สัญญาณเข้ม หน้า login ขอ credentials ทั้งที่ WiFi captive portal ปกติไม่ต้อง
- สัญญาณเข้ม Domain URL ที่โผล่หลังสแกนไม่ตรงกับชื่อโรงแรม/บริษัท
- ปานกลาง Free WiFi = classic social engineering hook
คุณจะทำอะไร?
เจอ USB stick ในที่จอดรถบริษัท เขียนว่า 'Salary Info 2026'
สถานการณ์
เจอ USB stick หน้าตาปกติในที่จอดรถ มี label สติกเกอร์เขียน 'Salary Info 2026 - Confidential' + logo คล้ายบริษัท
สัญญาณที่สังเกตได้
- สัญญาณเข้ม USB drop = classic social engineering (curiosity + greed)
- สัญญาณเข้ม Label ทำให้ดูมีข้อมูล 'มีค่า' → กระตุ้นให้เสียบดู
- สัญญาณเข้ม USB สามารถซ่อน malicious payload (BadUSB, HID injection)
- สัญญาณเข้ม Payload อาจ install malware แบบไม่ต้อง click ไฟล์
คุณจะทำอะไร?
โทรศัพท์จาก 'ลูกชาย' ขอเงินฉุกเฉิน — เสียงเหมือนจริง
สถานการณ์
ผู้ปกครองรับสายจากเบอร์แปลก เสียงเหมือน 'ลูก' ร้องขอเงิน 50,000 บาทฉุกเฉิน (อ้างว่าตำรวจจับ / อุบัติเหตุ / ถูกเรียกค่าไถ่) ให้โอนเข้าบัญชีที่ไม่รู้จัก — พร้อมทั้งบอกไม่ให้บอกใคร
สัญญาณที่สังเกตได้
- สัญญาณเข้ม AI voice cloning ต้องการ sample เสียง 3-30 วินาที (จาก IG/TikTok/YouTube)
- สัญญาณเข้ม Urgency + emotional manipulation (fear) + secrecy
- สัญญาณเข้ม บัญชีปลายทางไม่ใช่ของลูกจริง
- ปานกลาง ลูกไม่รับสายจากเบอร์ตัวเอง (attacker บอกว่า 'โทรศัพท์อยู่กับตำรวจ')
คุณจะทำอะไร?
อีเมลจาก 'HR' ขอให้ update bank account สำหรับ payroll
สถานการณ์
อีเมลจาก 'hr@company.co' (สังเกต: .co ไม่ใช่ .com) แจ้งว่ามี 'มีการอัปเดตระบบ payroll' ให้พนักงานกรอก form ที่ลิงก์เพื่อ update bank account สำหรับ salary รอบถัดไป
สัญญาณที่สังเกตได้
- สัญญาณเข้ม Domain sender ปลอม (.co แทน .com — typo-squatting)
- สัญญาณเข้ม Bank account change request via email = high-risk operation (HR จริงมี process แยก)
- สัญญาณเข้ม Form external ที่ไม่ใช่ HRIS ของบริษัท
- ปานกลาง ส่งช่วงใกล้วันเงินออก = urgency
คุณจะทำอะไร?
เว็บสมาคมอุตสาหกรรมที่คุณใช้ประจำเปลี่ยน UI แจ้ง 'update Flash Player'
สถานการณ์
เข้าเว็บสมาคมอุตสาหกรรมที่ subscribe อยู่ (อ่านทุกวัน) — เห็น popup 'Flash Player is outdated, update now to view content'
สัญญาณที่สังเกตได้
- สัญญาณเข้ม Flash Player ถูก deprecated ตั้งแต่ 2020 — ไม่มี legitimate update แล้ว
- สัญญาณเข้ม Watering hole = compromise เว็บที่ target audience visit (industry-specific)
- สัญญาณเข้ม Update installer มักเป็น .exe / .dmg / .zip ที่ install malware
- ปานกลาง Popup UI ที่ไม่ตรงกับ design เดิมของเว็บ
คุณจะทำอะไร?
อีเมล invoice จาก 'PayPal' — ถ้าไม่ใช่คุณ ให้โทรกลับเบอร์นี้
สถานการณ์
อีเมลจาก 'PayPal' แจ้งว่าจ่ายเงินซื้อ crypto/gift card 999 USD สำเร็จ — ถ้าไม่ใช่คุณ ให้โทร +1-xxx-xxx-xxxx เพื่อ 'ยกเลิก' ภายใน 24 ชม.
สัญญาณที่สังเกตได้
- สัญญาณเข้ม Invoice ที่คุณไม่ได้ซื้อ + urgency = classic callback bait
- สัญญาณเข้ม เบอร์โทรใน invoice ไม่ใช่เบอร์ทางการของ PayPal
- ปานกลาง Amount สูงเพียงพอให้ตื่นตกใจ (fear-driven action)
- สัญญาณเข้ม Attacker จะให้ install remote access tool (AnyDesk/TeamViewer) ตอนโทร
คุณจะทำอะไร?
