เช็กลิงก์ฟิชชิงด้วย VirusTotal: อย่าส่ง URL ที่มีข้อมูลลับไปสแกน

ถ้าได้รับลิงก์น่าสงสัย ให้คัดลอกที่อยู่โดยไม่เปิดหน้าเว็บ ตรวจชื่อโดเมนปลายทาง แล้วอ่าน URL ทั้งเส้นว่ามีโทเค็นหรือข้อมูลส่วนตัวหรือไม่ ก่อนนำไปใช้กับ VirusTotal หากพบข้อมูลลับ ให้หยุดก่อนส่งลิงก์นั้น เพราะคำแนะนำการค้นหาของ VirusTotal ระบุว่าตัวบ่งชี้ที่ส่งหรือค้นผ่านหน้าเว็บจะถูกสแกนและเพิ่มในชุดข้อมูลที่ชุมชนเข้าถึงได้

เมื่อชื่อโดเมนเป็นข้อมูลที่เปิดเผยได้ ให้ค้นรายงานของโดเมนก่อน ส่วนการค้นรายงาน URL เดิมหรือสั่งสแกนใหม่เหมาะกับลิงก์ที่ตรวจแล้วว่าไม่มีข้อมูลอ่อนไหว ผลตรวจช่วยชี้สัญญาณเสี่ยง แต่ใช้แทนการยืนยันตัวผู้ส่งไม่ได้ หากยังสงสัยคำขอ ให้เข้าบริการผ่านแอปหรือที่อยู่ทางการที่ทราบอยู่แล้ว

เก็บที่อยู่ลิงก์โดยไม่เปิดหน้าเว็บ

บนคอมพิวเตอร์ โปรแกรมอีเมลและเบราว์เซอร์จำนวนมากแสดงปลายทางเมื่อวางตัวชี้เมาส์เหนือลิงก์ ให้อ่านข้อความที่ปรากฏโดยไม่คลิก และดูจนถึงส่วนท้ายของชื่อโฮสต์ อย่าตัดสินจากคำบนปุ่ม เพราะข้อความที่เห็นกับที่อยู่ปลายทางอาจเป็นคนละอย่างกัน หากโปรแกรมแสดงที่อยู่ไม่ครบ ให้ใช้คำสั่งคัดลอกที่อยู่ลิงก์แทนการเปิด

บนโทรศัพท์ การแตะค้างอาจเปิดเมนูที่มีคำสั่งคัดลอกลิงก์ แต่ลักษณะเมนูต่างกันตามแอปและระบบ ให้เลือกเฉพาะคำสั่งคัดลอกที่อยู่ ไม่เลือกเปิดลิงก์หรือเปิดตัวอย่าง หากไม่แน่ใจว่าแตะค้างแล้วแอปจะพาไปปลายทางหรือไม่ ให้หยุดที่ข้อความเดิม แล้วตรวจคำขอผ่านช่องทางทางการ

วางข้อความที่คัดลอกในพื้นที่ส่วนตัวซึ่งไม่สร้างตัวอย่างเว็บอัตโนมัติ เช่น โน้ตที่เก็บไว้ในเครื่อง การวางลงแชตกลุ่มหรือระบบรับแจ้งงานอาจเผยลิงก์แก่คนอื่นก่อนตรวจเสร็จ บางแอปสร้างตัวอย่างจาก URL โดยติดต่อปลายทางเอง จึงไม่ควรวางลิงก์น่าสงสัยในช่องสนทนาที่ทำงานเช่นนั้น แม้ยังไม่ได้กดส่งข้อความ

หากอีเมลมีทั้งปุ่มและที่อยู่เว็บที่พิมพ์เป็นข้อความ ให้ตรวจปลายทางของปุ่มแยกต่างหาก ตัวอักษรที่มองเห็นไม่ได้บังคับให้ปุ่มพาไปที่เดียวกัน เช่นเดียวกับชื่อผู้ส่งหรือรูปโลโก้ ซึ่งไม่ใช่ส่วนของ URL ที่เบราว์เซอร์จะเปิด สิ่งที่ต้องอ่านคือที่อยู่ที่ผูกกับลิงก์จริง

การคัดลอกช่วยให้เห็นที่อยู่ แต่ไม่ได้พิสูจน์ว่าเนื้อหาในข้อความถูกต้อง อีเมลจากชื่อผู้ส่งที่คุ้นเคยอาจแนบลิงก์ไปคนละโดเมน และข้อความในแชตอาจกล่าวถึงบริการจริงโดยใช้ลิงก์อื่น ตรวจปลายทางก่อนเสมอเมื่อมีคำขอให้ใส่รหัสผ่าน รหัสยืนยัน หรือข้อมูลชำระเงิน เพราะข้อมูลเหล่านี้เป็นสิ่งที่ผู้ส่งข้อความต้องการให้คุณมอบผ่านหน้าเว็บ

ถ้าแอปไม่ให้คัดลอกที่อยู่เต็มเส้น หรือแสดงเพียงชื่อเว็บโดยไม่มี URL อย่ากดเพื่อดูว่าปลายทางคืออะไร การไม่มีที่อยู่ให้อ่านเป็นข้อจำกัดของวิธีตรวจในแอปนั้น ไม่ใช่เหตุให้ต้องเสี่ยงเปิดหน้า ย้ายไปยืนยันคำขอในแอปทางการหรือช่องทางที่เคยใช้อย่างเชื่อถือได้แทน

อ่านชื่อโฮสต์ให้พ้นคำลวงใน URL

ในที่อยู่เว็บรูปแบบทั่วไป ชื่อโฮสต์อยู่หลัง https:// หรือ http:// และสิ้นสุดก่อนเครื่องหมาย / เครื่องหมาย ? หรือเครื่องหมาย # ตัวแรกที่ตามมา ตัวอย่างสมมติ https://service.example.com.example.invalid/login มีชื่อโฮสต์คือ service.example.com.example.invalid ซึ่งอยู่ใต้ example.invalid คำว่า service.example.com ที่ปรากฏด้านหน้าเป็นเพียงส่วนของชื่อที่ยาวกว่า ไม่ได้ทำให้ปลายทางเป็นเว็บไซต์ของ example.com

ให้อ่านชื่อโฮสต์จนจบก่อนเทียบกับโดเมนทางการ ระวังส่วนท้ายหลายระดับที่ใช้กันจริง เช่น .co.th ซึ่งทำให้การมองเพียงคำหลังจุดสุดท้ายไม่พอ หากไม่รู้ว่าโดเมนทางการสะกดอย่างไร ให้เปิดแอปที่มีอยู่หรือใช้ที่อยู่ที่เคยบันทึกไว้อย่างเชื่อถือได้ การเดาจากโลโก้ในข้อความอาจพาไปเทียบกับชื่อผิดตั้งแต่ต้น

ตัวอย่างสมมติ https://example.invalid/login?next=https://service.example.com มีปลายทางแรกคือ example.invalid ข้อความหลัง ? เป็นค่าพารามิเตอร์ แม้จะมีชื่อบริการที่รู้จักอยู่ในค่านั้น ก็ไม่ได้เปลี่ยนโฮสต์ที่เบราว์เซอร์จะติดต่อก่อน ค่าดังกล่าวอาจเกี่ยวกับการเปลี่ยนเส้นทางภายหลัง แต่ยังไม่ใช่หลักฐานว่าลิงก์เริ่มต้นเป็นของบริการที่ถูกอ้างชื่อ

ชื่อแบรนด์ในพาธก็มีข้อจำกัดเดียวกัน หากเห็นตัวอย่างสมมติ https://example.invalid/bank/login คำว่า bank อยู่หลังชื่อโฮสต์และเป็นตำแหน่งหน้าภายในเว็บไซต์นั้น ผู้ควบคุม example.invalid สามารถตั้งชื่อพาธเช่นนี้ได้ การอ่านเฉพาะคำที่คุ้นตาในช่วงท้ายของ URL จึงทำให้พลาดคำตอบว่าใครเป็นเจ้าของปลายทางแรก

อีกตัวอย่างสมมติคือ https://[email protected]/login ใน URL ที่ใช้เครื่องหมาย @ ส่วนก่อน @ เป็นข้อมูลผู้ใช้ในส่วนที่อยู่ ส่วนโฮสต์ที่ต้องตรวจคือ example.invalid รูปแบบนี้อ่านยากและไม่จำเป็นสำหรับลิงก์เข้าบัญชีทั่วไป หากพบในข้อความที่ขอข้อมูลส่วนตัว ให้หลีกเลี่ยงการกด แล้วเข้าบริการจากทางที่รู้จักอยู่แล้ว

ชื่อโดเมนที่สะกดคล้ายกันเพียงเล็กน้อยอาจชี้ไปคนละเจ้าของ รวมถึงคำเพิ่มอย่าง secure หรือ support ที่ทำให้ดูเกี่ยวข้องกับบริการจริง ตรวจทุกส่วนของชื่อ ไม่ใช่เพียงคำที่สะดุดตาด้านหน้า หากตัวอักษรบางตัวหน้าตาคล้ายกันมากจนอ่านไม่ออกจากหน้าจอเล็ก การยืนยันผ่านแอปทางการย่อมตรงกว่าการเดาว่าตัวใดถูกใช้

การขึ้นต้นด้วย https:// หมายถึงการเชื่อมต่อกับโฮสต์ที่ระบุมีการเข้ารหัส ไม่ได้ยืนยันว่าหน่วยงานที่ถูกอ้างชื่อในข้อความเป็นเจ้าของโฮสต์นั้น ดังนั้นการเห็นรูปกุญแจในเบราว์เซอร์กับการตรวจชื่อโดเมนตอบคนละคำถาม ลิงก์ฟิชชิงสามารถใช้การเชื่อมต่อที่เข้ารหัสได้เช่นเดียวกับเว็บไซต์ทั่วไป

ลิงก์ย่อทำให้มองไม่เห็นโฮสต์ปลายทางจากข้อความสั้นที่ได้รับ ต่อให้โดเมนของบริการย่อลิงก์สะกดถูกต้อง ก็ยังไม่ทราบว่าลิงก์นั้นจะพาไปที่ใด ลิงก์ที่เปลี่ยนเส้นทางหลายทอดอาจจบที่โฮสต์อื่นอีก หากตรวจปลายทางไม่ได้โดยไม่เปิดหน้า ให้ยืนยันคำขอผ่านช่องทางทางการแทนการเดา

แยกข้อมูลลับก่อนใช้เครื่องมือตรวจสาธารณะ

URL ไม่ได้มีแค่ชื่อเว็บไซต์ หลังชื่อโฮสต์อาจมีพาธที่ชี้ไปยังบัญชีหรือเอกสาร ส่วนหลัง ? เรียกว่าคิวรีและมักเก็บค่าพารามิเตอร์ ส่วนหลัง # เรียกว่าแฟรกเมนต์ซึ่งแอปบนหน้าเว็บอาจนำไปใช้ ข้อมูลในส่วนเหล่านี้อาจระบุตัวบุคคลหรือให้สิทธิ์เข้าถึง แม้ค่าที่เห็นจะเป็นชุดตัวอักษรยาว ๆ ที่อ่านความหมายไม่ออก

ตัวอย่างสมมติ https://portal.example.com/reset?token=DEMO_TOKEN&email=demo%40example.com#session=DEMO_SESSION แสดงโฮสต์ พาธรีเซ็ตรหัสผ่าน ค่า token อีเมล และค่า session ในข้อความเดียวกัน ค่าที่เขียนว่า DEMO ไม่มีบัญชีจริง แต่ลิงก์ที่ส่งให้ผู้ใช้จริงอาจมีค่าที่ใช้งานได้อยู่ตำแหน่งเดียวกัน การส่ง URL ทั้งเส้นจึงอาจเผยทั้งตัวระบุผู้รับและข้อมูลสำหรับเข้าหน้าเฉพาะคน

ตรวจพาธด้วย ไม่ใช่มองเฉพาะคิวรี ลิงก์สมมติ https://portal.example.com/reset/DEMO_TOKEN วางรหัสไว้หลังเครื่องหมาย / โดยไม่มีคำว่า token ในพารามิเตอร์ ระบบอื่นอาจใส่เลขคำร้อง หมายเลขคำสั่งซื้อ หรือรหัสลูกค้าในพาธ การตัดเฉพาะส่วนหลัง ? ออกจึงยังอาจเหลือข้อมูลที่ไม่ควรเผยแพร่

คิวรีอาจมีชื่อพารามิเตอร์ที่บอกหน้าที่ชัด เช่น token, code, email หรือ phone แต่ชื่อทั่วไปอย่าง id, ref และ key ก็อาจอ้างถึงผู้ใช้หรือรายการเฉพาะ ค่าอีเมลอาจถูกเข้ารหัสใน URL จนเครื่องหมาย @ กลายเป็น %40 ซึ่งยังถอดกลับเป็นข้อมูลเดิมได้ อย่ามองว่าตัวอักษรยาวหรือสัญลักษณ์เปอร์เซ็นต์ทำให้ข้อมูลปลอดภัยต่อการแชร์

บางลิงก์มีรหัสที่ใช้ได้เพียงครั้งเดียว บางลิงก์ผูกกับช่วงเวลาหรือบัญชีเฉพาะ แต่ผู้รับข้อความมักบอกเงื่อนไขนั้นจากหน้าตาของ URL ไม่ได้ จึงไม่ควรเดาว่าโทเค็นหมดอายุแล้ว และนำไปส่งสาธารณะเพื่อทดสอบ แม้ลิงก์ใช้ไม่ได้ในภายหลัง ค่าในลิงก์ก็อาจยังบอกข้อมูลเกี่ยวกับลูกค้าหรือกระบวนการภายใน

แฟรกเมนต์หลัง # ตามหลักการทำงานของเว็บไม่ได้ถูกส่งไปยังเซิร์ฟเวอร์ปลายทางในคำขอ HTTP ปกติ แต่ยังเป็นส่วนหนึ่งของข้อความที่คัดลอก และหน้าเว็บอาจอ่านค่านั้นเพื่อนำไปใช้งาน หากวาง URL เต็มเส้นลงในแบบฟอร์มค้นหาหรือแชต ก็ได้ส่งข้อความที่มีแฟรกเมนต์ออกไปแล้ว จึงต้องตรวจส่วนนี้เช่นเดียวกับส่วนอื่น

ถ้าต้องการตรวจเพียงชื่อโดเมน ให้คัดลอกเฉพาะชื่อโฮสต์ที่เปิดเผยได้ โดยไม่แนบพาธ คิวรี หรือแฟรกเมนต์ ผลของโดเมนเป็นข้อมูลเกี่ยวกับโฮสต์ ไม่ใช่ผลตรวจลิงก์รีเซ็ตรหัสผ่านเดิม หากลบโทเค็นแล้วนำ URL ที่เหลือไปสแกน ผลที่ได้ก็เป็นผลของ URL ที่แก้แล้ว ซึ่งอาจตอบกลับคนละหน้าหรือใช้งานไม่ได้

อย่าตัดพารามิเตอร์ออกแล้วบอกผู้อื่นว่าลิงก์ต้นฉบับผ่านการตรวจ การตัดค่าอาจเปลี่ยนสิ่งที่เซิร์ฟเวอร์แสดงหรือเปลี่ยนปลายทางหลังเข้าสู่ระบบ หากจำเป็นต้องบันทึกผล ให้ระบุชัดว่าตรวจเฉพาะโดเมนหรือ URL ที่ปกปิดข้อมูลแล้ว ขอบเขตนี้สำคัญเมื่อมีคนอื่นต้องใช้ผลประกอบการตัดสินใจ

สำหรับทีมสนับสนุนลูกค้า ลิงก์ในอีเมลติดตามเรื่องหรือคำร้องอาจมีตัวระบุผู้รับ แม้ชื่อโฮสต์จะเป็นของบริษัทจริง ก่อนส่งต่อให้ทีมความปลอดภัย ให้ใช้ช่องทางภายในที่กำหนดและระบุว่าส่วนใดถูกปกปิด ผู้รับจะได้ทราบว่าตรวจโดเมนได้ แต่ยังไม่ได้วิเคราะห์ลิงก์เฉพาะบัญชีเต็มเส้น

ค้นรายงานเดิม แล้วจึงพิจารณาสแกน

หลังตรวจว่าโดเมนที่คัดออกมาไม่มีข้อมูลภายใน สามารถค้นชื่อโดเมนใน VirusTotal เพื่อดูข้อมูลที่บริการเคยพบได้ รายงานโดเมนรวบรวมความสัมพันธ์กับที่อยู่และกิจกรรมที่เกี่ยวข้อง แต่ไม่ได้ให้คำตัดสินแทน URL ทุกพาธภายใต้โดเมนนั้น เว็บไซต์ที่ถูกต้องอาจมีหน้าเฉพาะที่ถูกใช้ในทางผิด และบางพาธอาจยังไม่มีรายงาน

หาก URL เต็มเส้นไม่มีค่าเฉพาะบุคคลหรือข้อมูลภายใน จึงค่อยค้นที่อยู่เดิมเพื่อดูรายงานล่าสุดที่มีอยู่ การค้นรายงานเดิมช่วยให้เห็นสิ่งที่บริการบันทึกไว้โดยไม่ต้องขอผลวิเคราะห์ใหม่ แต่ยังเป็นการส่งตัวบ่งชี้ให้บริการตรวจ จึงต้องผ่านการตรวจความลับก่อนกดค้นหาเช่นเดียวกับการสแกน

VirusTotal ทำให้รูปแบบ URL เป็นมาตรฐานก่อนเทียบกับรายการในฐานข้อมูล ดังนั้นที่อยู่ที่แสดงในรายงานอาจไม่เหมือนข้อความที่ป้อนทุกตัวอักษร ให้เทียบชื่อโฮสต์ พาธ และค่าที่มีนัยสำคัญก่อนใช้ผลนั้น หากพบว่าเป็นคนละหน้า ผลดังกล่าวช่วยประเมินโดเมนโดยรวมได้บ้าง แต่ไม่ใช่คำตัดสินของลิงก์ที่ได้รับ

การค้นรายงานเดิมกับการสั่งสแกนใหม่เป็นคนละการกระทำ แต่ทั้งคู่ต้องผ่านเกณฑ์ความลับเดียวกัน อย่าทดลองวางลิงก์รีเซ็ตรหัสผ่านเพื่อดูว่ามีรายงานอยู่แล้วหรือไม่ หาก URL มีข้อมูลลูกค้า การกดค้นหาไม่ใช่ขั้นตอนที่เป็นส่วนตัวกว่าการส่งสแกน ให้กลับไปตรวจเฉพาะโดเมนที่เปิดเผยได้ หรือใช้กระบวนการภายในสำหรับข้อมูลลับ

หากรายงานเก่าเกินบริบทของข้อความ และ URL เปิดเผยได้จริง จึงค่อยพิจารณาวิเคราะห์ซ้ำเพื่อดูข้อมูลใหม่ การตรวจใหม่อาจให้คำตอบเปลี่ยนเมื่อผู้ให้บริการตรวจจับปรับข้อมูล แต่ต้องอ่านผลตามเวลาที่รายงานระบุ เวลาของรายงานไม่ใช่เวลาที่ผู้ส่งสร้างลิงก์ และไม่รับรองว่าเนื้อหาเว็บไม่เปลี่ยนหลังตรวจ

การค้น URL ที่ตัดพารามิเตอร์ออกช่วยดูภาพของหน้าอื่นภายใต้โฮสต์เดียวกันเท่านั้น พารามิเตอร์บางค่าใช้เลือกผู้รับ สถานะของหน้า หรือปลายทางถัดไป ผลของลิงก์ที่แก้แล้วจึงไม่สามารถแทนผลของลิงก์ต้นฉบับ หากต้องสืบเหตุการณ์ที่เกี่ยวกับบัญชีจริง ให้ผู้มีหน้าที่ใช้ช่องทางภายในที่รองรับข้อมูลนั้น

การตรวจโดเมนสาธารณะก็ต้องพิจารณาว่าเป็นชื่อที่เปิดเผยได้จริงหรือไม่ ชื่อโฮสต์ของระบบภายใน ชื่อโครงการที่ยังไม่เปิดตัว หรือโดเมนที่ผูกกับงานลูกค้าอาจเป็นข้อมูลขององค์กร แม้ไม่มีโทเค็นติดอยู่ หากไม่แน่ใจขอบเขตการเปิดเผย ให้ตรวจตามแนวทางของทีมความปลอดภัยก่อนนำชื่อไปค้นในบริการสาธารณะ

อ่านคำตัดสินหลายแหล่งตามขอบเขตของรายงาน

รายงาน URL แสดงจำนวนผู้ตรวจที่มองว่าเป็นอันตราย รายชื่อและชนิดคำตัดสิน รวมทั้งเวลาที่ตรวจ ตามคำอธิบายรายงานของ VirusTotal คำว่า phishing ใช้กับเว็บที่พยายามขโมยข้อมูลรับรอง ส่วน suspicious บอกความน่าสงสัย และ unrated หมายถึงผู้ตรวจรายนั้นไม่ได้ให้คะแนน อย่ารวมสถานะเหล่านี้เป็นคำว่า “ปลอดภัย” เหมือนกัน

หากผู้ตรวจรายหนึ่งระบุฟิชชิง ให้หยุดก่อนเปิดหน้า แล้วดูว่า URL ในรายงานตรงกับที่ได้รับหรือไม่ ผลเตือนหนึ่งรายอาจเป็นการตรวจพบจริงหรือผลบวกผิดพลาด จึงควรพิจารณาชนิดคำเตือนควบกับชื่อโฮสต์และบริบทของข้อความ จำนวนรายที่ไม่เตือนมากกว่าไม่ใช่การลงคะแนนรับรองความปลอดภัย เพราะผู้ตรวจแต่ละรายใช้ข้อมูลและเกณฑ์ต่างกัน

ผลที่ไม่มีผู้เตือนก็มีขอบเขตของมัน รายงานอาจยังไม่มีข้อมูลเกี่ยวกับหน้าที่เพิ่งสร้าง หรือผู้ตรวจบางรายอาจไม่เคยประเมิน URL นั้นเลย ถ้าข้อความขอให้ใส่รหัสผ่านทั้งที่โดเมนสะกดผิด ผลสแกนที่เงียบไม่ทำให้คำขอนั้นน่าเชื่อถือ ให้ใช้ชื่อโฮสต์และเหตุผลที่ผู้ส่งขอข้อมูลประกอบการตัดสินใจเสมอ

ดูเวลาตรวจครั้งล่าสุดควบกับชนิดผลด้วย รายงานที่สร้างก่อนข้อความที่ได้รับอาจสะท้อนเนื้อหาหรือฐานข้อมูลผู้ตรวจในช่วงก่อนหน้า บางเว็บไซต์เปลี่ยนหน้าที่แสดงตามพารามิเตอร์หรือเวลา ผลการตรวจที่อยู่คล้ายกันแต่คนละพาธจึงไม่แทนกัน การอ่านเวลาและ URL ที่ตรวจช่วยจำกัดข้อสรุปให้อยู่กับสิ่งที่บริการเห็นจริง

คะแนนชื่อเสียงจากชุมชนในรายงานเป็นอีกข้อมูลหนึ่ง แต่ไม่เหมือนคำตัดสินของผู้ตรวจ URL สมาชิกอาจแสดงความเห็นหรือให้คะแนนจากประสบการณ์ที่ต่างกัน จึงใช้เป็นบริบทประกอบ ไม่ใช่ใบรับรองว่าเจ้าของโดเมนตรงกับผู้ส่งข้อความ หากคะแนนชุมชนกับคำเตือนของผู้ตรวจไม่ตรงกัน ให้กลับไปตรวจที่อยู่และคำขอในข้อความก่อน

รายงานโดเมนกับรายงาน URL ตอบคำถามต่างกัน รายงานโดเมนช่วยดูความสัมพันธ์และกิจกรรมที่เคยพบภายใต้ชื่อหนึ่ง ส่วนรายงาน URL เจาะจงที่อยู่ซึ่งถูกตรวจ การเห็นโดเมนมีประวัติทั่วไปไม่ได้แปลว่าพาธที่ส่งมาไม่เป็นอันตราย และการเห็น URL หนึ่งถูกเตือนก็ไม่จำเป็นต้องอธิบายทุกหน้าบนโดเมนเดียวกัน

เบราว์เซอร์และบริการบางชนิดยังมีคำเตือนอีกชั้นหนึ่ง Google Safe Browsing อธิบายว่า Chrome และเบราว์เซอร์ที่รองรับแสดงคำเตือนก่อนเข้าบางเว็บไซต์ที่พบว่าอันตราย และมีเครื่องมือตรวจสถานะเว็บไซต์ คำเตือนเป็นเหตุให้หยุด ส่วนการไม่เห็นคำเตือนหมายเพียงว่าไม่มีสัญญาณที่ระบบแสดงในขณะนั้น ไม่ได้ยืนยันผู้ส่งหรือความปลอดภัยของทุกหน้า

เมื่อ URL มีข้อมูลลับหรือผลยังไม่ชัด

ถ้าข้อความอ้างว่าต้องรีเซ็ตรหัสผ่าน ยืนยันการชำระเงิน หรือแก้บัญชีด่วน ให้เปิดแอปทางการที่ติดตั้งไว้แล้ว หรือพิมพ์ที่อยู่ที่ทราบจากแหล่งเชื่อถือได้ด้วยตนเอง จากนั้นดูว่ามีการแจ้งเตือนหรือรายการเดียวกันในบัญชีจริงหรือไม่ วิธีนี้ตรวจคำอ้างโดยไม่ต้องเปิดปลายทางจากข้อความ และไม่ต้องส่งโทเค็นไปยังบริการตรวจลิงก์สาธารณะ

ถ้าต้องติดต่อองค์กร ให้ใช้เบอร์หรือช่องทางที่อยู่ในแอป ใบแจ้งยอดที่เชื่อถือได้ หรือเว็บไซต์ทางการที่เข้าด้วยตนเอง ไม่ใช้เบอร์ในข้อความน่าสงสัยเพื่อยืนยันลิงก์นั้นเอง ผู้ที่ส่งลิงก์ปลอมสามารถแนบช่องทางติดต่อปลอมมากับข้อความเดียวกันได้ การตรวจกลับจึงต้องแยกช่องทางจากข้อความที่กำลังสงสัย

หากเป็นลิงก์ของลูกค้าที่ทีมงานต้องตรวจจริง ให้ส่งต่อผ่านระบบรับเรื่องภายในตามสิทธิ์ที่เหมาะสม พร้อมอธิบายว่าโดเมนที่เห็นคืออะไรและส่วนใดของ URL ถูกปกปิดไว้ ผู้ตรวจจะได้ไม่เข้าใจผิดว่าผลของโดเมนเป็นผลของลิงก์ต้นฉบับทั้งหมด เมื่อไม่มีวิธีตรวจ URL เต็มเส้นโดยรักษาความลับ การยืนยันผ่านบริการต้นทางยังตอบเรื่องบัญชีได้ตรงกว่าการสแกน URL ที่เปลี่ยนค่าแล้ว

หากผู้ส่งเป็นเพื่อนร่วมงาน ให้ติดต่อกลับในช่องทางที่เคยใช้และถามถึงคำขอโดยไม่ส่งลิงก์ลับซ้ำในแชตกลุ่ม การได้รับข้อความจากบัญชีที่รู้จักไม่ได้บอกว่าคำขอนั้นเกิดจากเจ้าของบัญชีจริงเสมอไป สำหรับลิงก์ที่อ้างถึงบริการภายนอก ให้ตรวจจากบัญชีของตนในบริการนั้นโดยตรงก่อนทำรายการ

เมื่อยังยืนยันชื่อโฮสต์ไม่ได้หรือข้อมูลใน URL ทำให้สแกนสาธารณะไม่ได้ ให้หยุดที่การตรวจแบบไม่เปิดหน้า การไม่กดลิงก์จากข้อความยังเปิดทางให้ทำธุรกรรมหรือจัดการบัญชีผ่านแอปและที่อยู่ทางการได้ โดยไม่ต้องเผยโทเค็นเพื่อแลกกับผลตรวจที่อาจไม่ครอบคลุมลิงก์เฉพาะบุคคลนั้น