หลังจากเราเข้าไปตรวจสอบดูโดยละเอียด ก็ไม่พบอะไรผิดปกติมากนัก เพราะใน e-mail ที่โต้ตอบกัน มีเรื่องการทำ shipment การ book เรือตามปกติ จึงย้อนกลับไปอ่าน mail ที่เริ่มต้นครั้งแรก พบว่า e-mail address ของคนที่คุยด้วยมีคามผิดปกติแบบนี้
e-mail ของผู้ส่งคุยรอบแรกที่เป็นฝ่ายขาย คือ kimmy@lonza.com
e-mail ที่คุยกันล่าสุดคือ kimmy@lonzas.com
ซึ่งผลที่เกิดขึ้นคือฝ่ายการติดต่อต่างประเทศ แทบไม่รู้ตัวเลยว่าคุย e-mail กับคนที่ผิดอยู่ เพราะ domain ที่ใช้คือ lonza.com และ lonzas.com ที่ต่างกันเพียงแค่ตัว s ตัวเดียว เมื่ออ่านไปกลางทางจึงพบว่า ทาง mail ตัวปลอมได้ทำการแจ้งของเปลี่ยนหมายเลขบัญชีมาจริงๆ แต่ที่น่าตกใจคือ mail ปลอมสามารถดักการสื่อสารได้อย่างดี และสามารถแจ้งข้อมูลเรือและประเภทสินค้าได้อย่างแนบเนียน
จากการพิจารณาแล้ว ทาง mail ปลอมได้ตั้งใจดักข้อมูล โดยทำตัวเป็น Man in the Middle ที่ spoof ตัว domain name เพื่อทำการเบี่ยงเส้นทางการสื่อสารของทั้งสองทาง เมื่อผู้ดักข้อมูลได้จับคู่การสื่อสารแล้วก็ไปจด domain ที่คล้ายคลึงขึ้นมาทั้งสองฝั่ง เมื่อดัก e-mail จากด้านหนึ่งได้แล้ว ก็เริ่มทำการสวมการสื่อสารโดยใช้เนื้อหาเดิมเป็นผู้ส่งในการส่งต่อไป และหลังจากการส่งนั้น คนร้ายก็จะกลายเป็นตัวแทนในการส่ง e-mail ของทั้งสองฝั่งไปโดยปริยาย ซึ่งขั้นตอนที่คนร้ายดักการสื่อสารไปน่าจะเป็นแบบนี้
จากแผนภาพคือ
1) คนร้ายดัก e-mail การสื่อสารที่เกี่ยวข้องกับการคุยซื้อขายได้ อาจจะจาก Mail server หรือ Mailbox ของฝั่งใดฝั่งหนึ่ง
2) คนร้าย Resent e-mail ซ้ำซ้อนจาก domain ที่จดชื่อใกล้เคียง เพื่อให้ผู้รับกด Reply
3) หลังจากคู่สื่อสารด้านหนึง Reply หาคนร้ายแล้ว คนร้ายก็จะใช้เนื้อ mail ทำการสวมรอยเป็นอีกฝั่งด้วย domain ชื่อใกล้เคียงเช่นกัน
4) ท้ายสุด คนร้ายจะเป็นตัวกลางรับส่ง e-mail ของทั้งสองฝั่ง เมื่อมีข้อมูลเกี่ยวกับการชำระเงิน คนร้ายจะเปลี่ยนเป็นแบบไหนก็ได้
วิธีการป้องกันปัญหา
1) ถ้ามี e-mail จากผู้ส่งเดิมส่งซ้ำซ้อนกันเข้ามา ให้ดูชื่อผู้ส่งให้ชัดเจน
2) หากมีการขอเปลี่ยนเลขที่บัญชีธนาคาร ในการทำธุรกรรม ขอให้พิจารณาให้ละเอียดที่สุด
Written by Tiwakorn Laophulsuk
