หน้าต่างล็อกอินปลอมเลียนแบบ URL ได้—จับ Browser-in-the-Browser ให้ทัน

ถ้าหน้าต่างเข้าสู่ระบบแสดง URL และรูปกุญแจที่ดูถูกต้อง อย่าใช้ภาพนั้นตัดสินว่าเชื่อถือได้ ให้แยกแถบที่อยู่จริงของเบราว์เซอร์ออกจากแถบที่หน้าเว็บวาดขึ้น ลองลากกรอบล็อกอินให้พ้นขอบหน้าต่างหลัก และดูว่าตัวจัดการรหัสผ่านเสนอข้อมูลของผู้ให้บริการตามปกติหรือไม่ หากตรวจไม่ได้หรือยังสงสัย ให้ปิดคำขอนั้น แล้วเปิดเว็บไซต์ผู้ให้บริการจากที่อยู่ที่พิมพ์เองหรือบุ๊กมาร์กที่รู้จักก่อนกรอกข้อมูล

Browser-in-the-Browser สร้างกรอบคล้ายป๊อปอัปอยู่ในหน้าเว็บเดิม ผู้ใช้จึงอาจเห็นชื่อโดเมนถูกต้องในกรอบเล็ก ทั้งที่แบบฟอร์มรับข้อมูลอยู่บนเว็บของผู้โจมตี งานวิจัยของ Island พบหน้าเชื่อมต่อบัญชีโฆษณาปลอมที่วาดหน้าต่าง Google พร้อม accounts.google.com และรูปกุญแจ ขณะที่แถบที่อยู่จริงยังเป็นโดเมนฟิชชิง ผู้ควบคุมยังเลือกขั้นตอนขอรหัสผ่านหรือ MFA ที่ผู้ใช้เห็นต่อได้ จึงควรหยุดตรวจตั้งแต่ก่อนส่งข้อมูลช่องแรก

แถบที่อยู่ใดเป็นของเบราว์เซอร์จริง

เริ่มจากมองขอบของโปรแกรมเบราว์เซอร์ทั้งหน้าต่าง แถบที่อยู่จริงอยู่ในส่วนควบคุมของเบราว์เซอร์ ไม่ได้เป็นข้อความที่วางอยู่กลางเนื้อหาของเว็บไซต์ แต่ป๊อปอัปเข้าสู่ระบบจริงก็อาจเปิดเป็นหน้าต่างแยก ซึ่งมีแถบที่อยู่ของตัวเองได้เช่นกัน ดังนั้นต้องดูว่ากรอบเล็กเป็นหน้าต่างแยกที่ระบบจัดการจริง หรือเป็นภาพจำลองที่ซ้อนอยู่บนหน้าเดิม

กรอบปลอมสร้างองค์ประกอบให้เหมือนโปรแกรมได้ ทั้งแถบชื่อเรื่อง ปุ่มปิด ช่องที่อยู่ รูปกุญแจ และช่องลงชื่อเข้าใช้ ผู้โจมตีใส่ชื่อผู้ให้บริการที่สะกดถูกทุกตัวลงในช่องที่วาดเองได้ โดยไม่ต้องควบคุมโดเมนนั้น รูปกุญแจที่วาดอยู่ในกรอบก็ไม่ได้บอกว่าข้อมูลจะถูกส่งไปที่ใด จุดที่ต้องตรวจจึงเป็นที่อยู่ของหน้าต่างเบราว์เซอร์จริง และความสัมพันธ์ระหว่างหน้าต่างหลักกับกรอบที่เด้งขึ้นมา

ถ้าเริ่มจากเว็บไซต์ภายนอก เช่น หน้าเครื่องมือการตลาด เว็บไซต์นั้นอาจเป็นจุดเริ่มของการเข้าสู่ระบบที่ถูกต้อง บริการจำนวนมากให้ผู้ใช้กดเชื่อมบัญชีจากหน้าแอป แล้วเปิดหน้าต่างของผู้ให้บริการยืนยันตัวตน การเห็นโดเมนของแอปในหน้าต่างหลักจึงยังไม่ใช่คำตัดสินว่าป๊อปอัปปลอม สิ่งที่แยกกรณีออกจากกันคือแบบฟอร์มล็อกอินอยู่ในหน้าต่างของผู้ให้บริการจริง หรืออยู่ในองค์ประกอบที่เว็บไซต์ภายนอกควบคุมเอง

อย่าให้ความคุ้นเคยกับหน้าตาทำหน้าที่แทนการตรวจสอบ หน้าเว็บปรับสี ขอบเงา และตำแหน่งปุ่มให้คล้ายเบราว์เซอร์ที่ผู้ใช้เปิดอยู่ได้ แม้ข้อความ URL ในกรอบจะดูคมชัดและมีรูปกุญแจอยู่ข้างหน้า สิ่งเหล่านั้นยังเป็นส่วนของหน้าเว็บได้เหมือนข้อความทั่วไป หากเห็นแถบที่อยู่สองตำแหน่ง ให้ระบุชัดว่าตำแหน่งใดเป็นแถบของโปรแกรมจริง ก่อนสนใจข้อความในกรอบกลาง

บนคอมพิวเตอร์ การลองย้ายกรอบเล็กช่วยตอบคำถามเรื่องขอบเขตได้ บทวิเคราะห์ของ Assumed Breach อธิบายว่ากรอบปลอมอาจถูกทำให้ลากได้ แต่ยังออกพ้นขอบหน้าต่างเบราว์เซอร์หลักไม่ได้ ถ้าลากแล้วกรอบหยุดหรือถูกตัดตรงขอบหน้าเว็บ ให้หยุดกรอกข้อมูลและกลับไปเปิดผู้ให้บริการโดยตรง การเห็นกรอบขยับภายในหน้าเฉย ๆ ยังไม่พอ เพราะเว็บไซต์กำหนดการเคลื่อนไหวภายในพื้นที่ของตัวเองได้

การทดสอบนี้ใช้ได้เมื่อมองเห็นหน้าต่างหลักครบ และมีพื้นที่ให้ลากกรอบข้ามขอบจริง ลองย่อหน้าต่างหลักลงก่อนหากหน้าต่างเต็มจอ แล้วลากกรอบเล็กไปยังพื้นที่นอกหน้าต่าง หรือจออีกด้านถ้ามี เมื่อกรอบเป็นหน้าต่างแยกจริง มันควรออกนอกหน้าต่างที่เปิดหน้าเชื่อมต่อได้ ถ้าระบบหรือขนาดจอทำให้ทดสอบไม่ได้ ให้ถือว่าผลยังไม่ชัด แล้วใช้ทางเข้าที่รู้จักแทน

บนโทรศัพท์ ลักษณะหน้าต่างอาจต่างจากคอมพิวเตอร์จนการลากข้ามขอบใช้ไม่ได้ หน้าเข้าสู่ระบบอาจแสดงเต็มจอ หรือเปิดในแท็บของแอปที่เรียกใช้ อย่าฝืนใช้เกณฑ์การลากกับสถานการณ์ที่ไม่มีกรอบให้ลาก ให้ดูแถบที่อยู่ที่เบราว์เซอร์แสดงจริง และย้ายไปเริ่มจากแอปหรือเว็บไซต์ของผู้ให้บริการเองเมื่อยังไม่มั่นใจ การข้ามการทดสอบที่ทำไม่ได้ดีกว่าตีความว่าไม่พบความผิดปกติ

เช็กลิสต์ก่อนกรอกข้อมูล

ใช้ลำดับสั้น ๆ เมื่อปุ่ม “เชื่อมต่อบัญชี” เปิดหน้าต่างให้ลงชื่อเข้าใช้ เป้าหมายคือหยุดการส่งรหัสผ่านหรือรหัสยืนยันจนกว่าจะรู้ว่าหน้าต่างใดเป็นของจริง แต่ละข้อให้หลักฐานต่างกัน จึงไม่ควรใช้สัญญาณเดียวตัดสินว่าปลอดภัย ถ้าข้อใดทำไม่ได้ ให้ไปยังทางเลือกที่ควบคุมจุดเริ่มต้นได้ด้วยตัวเอง

1. หาแถบที่อยู่จริง: มองส่วนบนของเบราว์เซอร์หลัก และดูว่าเว็บไซต์ใดพามาถึงหน้าต่างนี้ อย่าอ่านเพียง URL ในกรอบเล็ก เพราะเว็บไซต์สามารถพิมพ์ชื่อผู้ให้บริการลงในกรอบนั้นได้ ถ้าหน้าต่างแยกจริงเปิดขึ้นมา ให้สังเกตแถบที่อยู่ของหน้าต่างแยกนั้นด้วย
2. ทดสอบขอบหน้าต่าง: บนคอมพิวเตอร์ให้ลากกรอบล็อกอินออกนอกหน้าต่างหลัก ไม่ใช่เลื่อนกรอบไปมาอยู่ตรงกลาง ถ้ากรอบถูกตัดที่ขอบหน้า ให้หยุดทันที ถ้าออกนอกขอบได้ ยังต้องตรวจโดเมนจริงและเหตุผลที่ถูกขอให้เข้าสู่ระบบ
3. ดูตัวจัดการรหัสผ่าน: หากเคยบันทึกรหัสของผู้ให้บริการไว้ ให้ดูว่าโปรแกรมเสนอข้อมูลสำหรับโดเมนนั้นตามปกติหรือไม่ การไม่เสนอข้อมูลเป็นเหตุให้หยุดตรวจ ไม่ใช่เหตุให้คัดลอกรหัสผ่านมาใส่เองเพื่อให้ผ่านหน้าจอ
4. เริ่มจากช่องทางที่รู้จัก: ปิดหน้าเชื่อมต่อที่น่าสงสัย เปิดเว็บไซต์ผู้ให้บริการโดยพิมพ์ที่อยู่เองหรือใช้บุ๊กมาร์กเดิม แล้วตรวจคำขอเชื่อมแอปจากภายในบัญชี หากแอปหรือคำขอไม่ปรากฏในช่องทางที่ตรวจสอบได้ ให้ถามผู้ดูแลก่อนให้สิทธิ์

ตัวจัดการรหัสผ่านจับคู่กับโดเมนจริงของหน้าที่รับข้อมูล ไม่ได้อ่านเฉพาะข้อความที่วาดให้เห็นเหนือแบบฟอร์ม ถ้ารหัสที่บันทึกไว้สำหรับผู้ให้บริการไม่ปรากฏในหน้าต่างที่เพิ่งเปิด สาเหตุหนึ่งคือแบบฟอร์มอยู่บนโดเมนอื่น ความผิดปกตินี้มีน้ำหนักมากขึ้นเมื่อโปรแกรมเคยเสนอรหัสให้บัญชีเดียวกันเป็นประจำ โดยเฉพาะเมื่อหน้าต่างใหม่ขอให้พิมพ์รหัสด้วยมือแทน

อย่างไรก็ดี การไม่เติมอัตโนมัติอาจเกิดจากบัญชียังไม่เคยบันทึก โปรแกรมถูกปิด ส่วนขยายไม่ทำงาน หรือขั้นตอนเข้าสู่ระบบเปลี่ยนไป จึงให้ใช้เป็นสัญญาณเตือนมากกว่าหลักฐานชี้ขาด อย่าแก้ความไม่แน่นอนด้วยการคัดลอกข้อมูลเข้าไปในแบบฟอร์มที่ยังตรวจไม่ได้ การพิมพ์ด้วยมือทำให้ข้ามการตรวจโดเมนที่ตัวจัดการรหัสผ่านช่วยทำให้

หากโปรแกรมเสนอข้อมูล ไม่ได้หมายความว่าทุกขั้นตอนหลังจากนั้นปลอดภัยโดยอัตโนมัติ ให้ดูว่าคำขอเชื่อมต่อแอปมาจากบริการที่ตั้งใจใช้จริง และอ่านสิทธิ์ที่แอปขอเข้าถึง ผู้ใช้อาจเริ่มจากหน้าจริงของผู้ให้บริการ แต่ถูกชวนให้อนุมัติแอปที่ไม่รู้จักในขั้นถัดไป คำถามเรื่อง “หน้าล็อกอินจริงหรือไม่” กับ “ควรให้สิทธิ์แอปนี้หรือไม่” จึงต้องตอบแยกกัน

ถ้าจำเป็นต้องใช้บัญชีงาน ให้หยุดเมื่อเจอคำขอที่ไม่ตรงกับงานที่กำลังทำอยู่ เช่น หน้าเครื่องมือขอสิทธิ์จัดการบัญชีโฆษณาทั้งหมด ทั้งที่ต้องการเพียงดูรายงานบัญชีเดียว นี่เป็นเกณฑ์ตัดสินตามขอบเขตงาน ไม่ใช่การเดาว่าโลโก้ดูเหมือนของจริงหรือไม่ เมื่อข้อมูลเกี่ยวกับแอปไม่ชัด ให้ตรวจจากผู้ให้บริการหรือผู้ดูแลสิทธิ์ภายในองค์กรก่อน

กรณีมีรหัสผ่านหลายบัญชีในตัวจัดการ อย่าเลือกรายการใดรายการหนึ่งเพียงเพื่อให้หน้าต่างผ่านไป การเสนอรายการที่ไม่ตรงบัญชีอาจสะท้อนว่าหน้าอยู่ผิดโดเมน หรืออยู่ผิดโปรไฟล์ของเบราว์เซอร์ ตรวจชื่อบัญชีและโดเมนจากส่วนควบคุมจริง แล้วกลับไปยังทางเข้าที่ใช้ประจำ วิธีนี้ลดโอกาสส่งข้อมูลของบัญชีงานไปยังหน้าที่ไม่เกี่ยวข้อง

เมื่อเจอข้อความเร่งให้ทำทันที เช่น อ้างว่าการเชื่อมบัญชีจะหมดเวลา ให้ใช้ลำดับเดิมโดยไม่ข้ามข้อ หากเป็นคำขอที่ถูกต้อง ก็ควรยืนยันผ่านบัญชีหรือผู้ดูแลที่รับผิดชอบได้ การเร่งรัดจากหน้าเชื่อมต่อไม่ได้เปลี่ยนวิธีตรวจที่อยู่จริงของเบราว์เซอร์ และไม่ได้ทำให้การเติมรหัสผ่านผิดโดเมนกลายเป็นเรื่องปกติ

แบบฝึกหัดภาพนิ่ง: แยกสิ่งที่เห็นจากสิ่งที่ต้องทดสอบ

ลองใช้ภาพนิ่งสมมติของหน้าเชื่อมบัญชีโฆษณา แถบที่อยู่ด้านบนสุดของเบราว์เซอร์เป็นโดเมนของหน้าเครื่องมือ ส่วนกลางหน้าเป็นกรอบล็อกอินที่เขียน accounts.google.com พร้อมรูปกุญแจ คำถามแรกคือแถบใดระบุเว็บไซต์ที่เปิดอยู่ในเบราว์เซอร์หลัก คำตอบคือแถบด้านบนของเบราว์เซอร์ ไม่ใช่ข้อความในกรอบกลางที่อาจถูกเว็บไซต์วาดขึ้น

คำถามถัดมาคือภาพนิ่งนี้พิสูจน์แล้วหรือยังว่ากรอบกลางปลอม คำตอบคือยัง เพราะเว็บไซต์ภายนอกอาจเปิดหน้าต่างเข้าสู่ระบบของผู้ให้บริการจริงได้ ภาพนิ่งบอกตำแหน่งและข้อความที่เห็น แต่ไม่บอกว่ากรอบกลางเป็นหน้าต่างแยกหรือองค์ประกอบในหน้า การตรวจจึงต้องเพิ่มพฤติกรรมที่ภาพนิ่งแสดงไม่ได้ คือการข้ามขอบหน้าต่าง และการตอบสนองของตัวจัดการรหัสผ่าน

ให้ผู้ฝึกชี้ขอบหน้าต่างหลักด้วยสายตาก่อน จากนั้นถามว่าถ้าลากกรอบกลางไปทางขวาจนพ้นขอบ จะเกิดอะไรขึ้นกับกรอบที่เป็นส่วนหนึ่งของหน้าเว็บ คำตอบคือมันจะไปต่อในฐานะหน้าต่างอิสระไม่ได้ หากกรอบยังดูเหมือนเลื่อนได้ในระยะสั้น อย่ารีบตอบว่าจริง ต้องดูตอนถึงขอบของพื้นที่เว็บ จุดเปลี่ยนนี้ทำให้แบบฝึกหัดทดสอบความเข้าใจ มากกว่าความจำเรื่องสีหรือรูปกุญแจ

ในภาพนิ่งอีกจังหวะของสถานการณ์สมมติเดียวกัน กรอบล็อกอินถูกตัดตรงขอบหน้าต่างหลักหลังถูกลาก ผู้ฝึกควรอธิบายได้ว่าเหตุใดภาพนี้เพิ่มหลักฐานเชิงพฤติกรรม ภาพก่อนหน้ามีเพียงหน้าตาที่เลียนแบบได้ ส่วนภาพนี้เผยขอบเขตการทำงานของกรอบ ถ้าผู้ฝึกตอบเพียงว่า URL สะกดถูกจึงเข้าได้ แปลว่ายังสับสนระหว่างข้อความในหน้าเว็บกับแถบของเบราว์เซอร์

เพิ่มคำถามเรื่องตัวจัดการรหัสผ่านโดยไม่ต้องเปิดเผยรหัสจริง สมมติว่าผู้ใช้บันทึกรหัสสำหรับบัญชี Google ไว้ และโปรแกรมเคยเสนอรหัสให้ตามปกติ แต่กรอบใหม่ไม่เสนออะไรเลย คำตอบที่เหมาะคือหยุดและตรวจโดเมนที่รับข้อมูล ไม่ใช่พิมพ์รหัสด้วยมือทันที ผู้ฝึกควรบอกด้วยว่าสัญญาณนี้ยังมีสาเหตุอื่นได้ จึงต้องใช้ร่วมกับการตรวจขอบหรือการเปิดทางเข้าที่รู้จัก

สำหรับผู้ใช้มือถือ ให้เปลี่ยนโจทย์จาก “ลากกรอบออกนอกหน้าต่าง” เป็น “จะเริ่มใหม่จากทางใด” เมื่อหน้าจอไม่มีขอบให้ทดสอบ คำตอบคือออกจากหน้าเชื่อมต่อที่ชวนสงสัย เปิดแอปหรือเว็บไซต์ผู้ให้บริการจากช่องทางที่รู้จัก แล้วมองคำขอเชื่อมต่อในบริบทนั้น การใช้โจทย์ที่เหมาะกับอุปกรณ์ช่วยไม่ให้ผู้ฝึกจำวิธีที่ใช้จริงไม่ได้บนโทรศัพท์

แบบฝึกหัดไม่ควรสอนให้จำรูปลักษณ์กรอบปลอมแบบเดียว เพราะผู้ทำหน้าฟิชชิงเปลี่ยนรูปลักษณ์ได้ ให้ประเมินคำอธิบายว่าใครควบคุมแต่ละส่วนของจอ เบราว์เซอร์ควบคุมแถบที่อยู่จริง เว็บไซต์ควบคุมเนื้อหาภายในหน้า และหน้าต่างแยกจริงมีขอบเขตของตัวเอง เมื่อแยกสามสิ่งนี้ได้ ผู้ใช้จะไม่ต้องท่องจำภาพตัวอย่างทุกยี่ห้อ

ทีมการตลาดวางแนวป้องกันอย่างไร

บัญชีที่ดูแลโฆษณาและสิทธิ์ลูกค้ามีผลกระทบเกินกว่าบัญชีผู้ใช้คนเดียว หากตัวตนที่ถูกหลอกเข้าถึงบัญชีผู้จัดการ บัญชีที่เชื่อมอยู่ก็อาจถูกตรวจหรือเปลี่ยนสิทธิ์ได้ ทีมจึงควรระบุชัดว่าใครอนุมัติการเชื่อมแอปใหม่ ใครตรวจโดเมนของผู้ให้บริการ และช่องทางใดใช้ยืนยันคำเชิญที่ไม่คาดไว้ ขั้นตอนนี้มีประโยชน์กับเครื่องมือการตลาดใหม่ที่อ้างว่าสามารถเชื่อมบัญชีได้ทันที

กำหนดรายชื่อบริการที่ทีมใช้จริง และวิธีเข้าถึงจากบุ๊กมาร์กหรือพอร์ทัลภายในที่ดูแลอยู่ หากมีหน้าโฆษณาหรืออีเมลชวนเชื่อมบัญชี ให้พนักงานเริ่มจากช่องทางดังกล่าวก่อนเสมอ การปิดหน้าเดิมแล้วเริ่มใหม่ช่วยตัดอิทธิพลของ URL ที่วาดอยู่ในกรอบเล็ก ขณะเดียวกันทีมยังตรวจได้ว่าเครื่องมือที่อ้างชื่อผู้ให้บริการมีอยู่ในขั้นตอนงานที่อนุมัติแล้วหรือไม่

ใช้ตัวจัดการรหัสผ่านที่ผูกข้อมูลกับโดเมนจริง และฝึกให้พนักงานหยุดเมื่อข้อมูลที่เคยเติมไม่ปรากฏ นโยบายที่สั่งให้คัดลอกรหัสผ่านไปใส่เองทุกครั้งทำให้สัญญาณนี้หายไป หากบัญชีรองรับ passkey หรือกุญแจความปลอดภัยแบบ FIDO2 ให้เปิดใช้กับบัญชีสิทธิ์สูงก่อน เพราะการยืนยันตัวตนชนิดนี้ผูกกับโดเมนที่เบราว์เซอร์เข้าถึงจริง การวาดชื่อโดเมนที่ถูกต้องบนกรอบปลอมไม่ทำให้หน้าของผู้โจมตีใช้กุญแจของผู้ให้บริการได้

ตรวจช่องทางสำรองด้วย หากบัญชีเปิดให้กลับไปใช้รหัสผ่านกับรหัสครั้งเดียว หรืออนุมัติผ่านข้อความแจ้งเตือน ผู้โจมตีอาจชวนให้ใช้ทางนั้นแทน passkey นโยบายองค์กรจึงต้องระบุวิธีที่อนุญาตสำหรับบัญชีสำคัญ และวิธีกู้คืนบัญชีเมื่ออุปกรณ์ยืนยันตัวตนใช้ไม่ได้ การติดตั้งวิธีที่ทนฟิชชิงเพียงอย่างเดียวไม่พอ หากผู้ใช้ยังถูกนำไปยังวิธีที่อ่อนกว่าได้ง่าย

ในฝั่งเครือข่าย ให้บล็อกโดเมนฟิชชิงที่ตรวจพบจริงตามกระบวนการขององค์กร และมีช่องทางรายงาน URL ที่พนักงานเปิดเจอ การบล็อกควรยึดโดเมนที่ตรวจสอบได้ ไม่ใช่เดาจากชื่อแบรนด์ที่คล้ายกัน เพราะอาจกระทบเว็บไซต์ปกติ ควรเก็บ URL ของหน้าแม่และเวลาที่พบไว้สำหรับการตรวจบันทึก แต่อย่าให้พนักงานต้องเปิดหน้าต้องสงสัยซ้ำเพื่อหาหลักฐานเพิ่ม

ทีมผู้ดูแลควรเห็นการลงชื่อเข้าใช้จากอุปกรณ์หรือสถานที่ใหม่ และการเปลี่ยนสิทธิ์ที่เกิดหลังการเชื่อมบัญชี การเตือนเพียงตอนใส่รหัสผ่านอาจช้าเกินไป ถ้าผู้ใช้เผลออนุมัติคำขอไปแล้ว ให้ตรวจแอปที่ได้รับสิทธิ์ ผู้ดูแลที่เพิ่มเข้ามา และบัญชีลูกค้าที่เชื่อมกับตัวตนนั้น การตรวจตามขอบเขตสิทธิ์จริงช่วยให้รู้ว่าต้องปกป้องบัญชีใดต่อ

ระหว่างอบรม ให้ใช้ภาพนิ่งเพื่อฝึกแยกแถบที่อยู่จริง แล้วฝึกการลากด้วยตัวอย่างที่ควบคุมได้ เกณฑ์ผ่านควรเป็นคำอธิบายเหตุผลของการหยุด ไม่ใช่การกดตอบว่า “ปลอม” ให้ถูกจากภาพที่จำไว้ หลังฝึกให้ผู้ใช้รู้ว่าจะรายงานผ่านช่องทางใด และข้อมูลใดควรส่งพร้อมเหตุการณ์ การรายงานที่ง่ายช่วยให้ทีมตอบสนองตั้งแต่พบหน้าต่างผิดปกติ

ถ้ากรอกรหัสผ่านหรือ MFA ไปแล้ว

หยุดตอบคำขอเพิ่มทันที แม้หน้าต่างจะบอกว่ารหัสผ่านผิด รหัสหมดอายุ หรือกำลังตรวจสอบอยู่ อย่าลองรหัสอีกชุด และอย่ากดยืนยันคำขอใหม่ที่โทรศัพท์เพียงเพราะหน้าจอเดิมขอให้ทำ การแสดงข้อผิดพลาดอาจเป็นส่วนหนึ่งของขั้นตอนที่ควบคุมจากอีกฝั่งได้ ให้ปิดหน้าต้องสงสัย แล้วแจ้งทีมความปลอดภัยผ่านช่องทางที่รู้จักอยู่ก่อน

ตอนแจ้งเหตุ ให้ส่ง URL ของหน้าเว็บที่เปิดอยู่จริง เวลาที่เกิดเหตุ ชื่อบัญชีที่ใช้ และชนิดข้อมูลที่กรอก แยกให้ชัดว่าเพียงพิมพ์ชื่อบัญชี กรอกรหัสผ่าน กรอกรหัสครั้งเดียว หรือกดอนุมัติการแจ้งเตือน หากจำไม่ได้ว่าได้ส่งข้อมูลขั้นใด ให้บอกตามตรง อย่ากลับไปเปิดหน้าเดิมเพื่อทดลองอีกครั้ง เพราะการตรวจบันทึกควรทำจากระบบที่ทีมดูแล

สำหรับบัญชีงาน ให้ผู้ดูแลจำกัดหรือระงับการเข้าถึงตามความเสี่ยง แล้วเปลี่ยนรหัสผ่านผ่านเว็บไซต์หรือแอปที่เชื่อถือได้ คำแนะนำของ Microsoft สำหรับบัญชี Microsoft 365 ที่ถูกยึด ให้เพิกถอนเซสชันที่ใช้งานอยู่ ตรวจวิธี MFA ที่ลงทะเบียน แอปที่ได้รับความยินยอม บทบาทผู้ดูแล และกฎส่งต่ออีเมลที่ผิดปกติ ขั้นตอนเหล่านี้แยกหน้าที่กัน การเปลี่ยนรหัสผ่านไม่ได้แทนการตัดเซสชันหรือถอนสิทธิ์แอปที่ผู้โจมตีอาจได้รับ

ถ้าเพิ่งส่งรหัส MFA ไป ให้บอกทีมว่าเป็นรหัสชนิดใดและส่งในช่วงใด ข้อมูลนี้ช่วยกำหนดช่วงเวลาตรวจการเข้าสู่ระบบและคำขออนุมัติ หากมีแจ้งเตือนให้กดอนุมัติที่ไม่ได้เริ่มเอง ให้ปฏิเสธและรายงานทันที ไม่ต้องรอให้เห็นหลักฐานว่ามีใครเข้าสู่ระบบสำเร็จ การตอบสนองเร็วเปิดโอกาสให้ผู้ดูแลตัดการเข้าถึงก่อนมีการเปลี่ยนสิทธิ์เพิ่มเติม

หากใช้รหัสผ่านเดียวกันกับบริการอื่น ให้เปลี่ยนในบริการเหล่านั้นจากทางเข้าที่รู้จักเช่นกัน เริ่มจากบัญชีที่มีสิทธิ์สูงหรือเชื่อมกับอีเมลกู้คืน และให้ผู้ดูแลตรวจว่ามีการเพิ่มวิธีกู้คืนหรืออุปกรณ์ MFA ที่ไม่รู้จักหรือไม่ การตรวจนี้แยกจากการตั้งรหัสใหม่ เพราะผู้โจมตีอาจพยายามคงทางเข้าผ่านวิธีที่เพิ่มไว้ก่อนหน้า

สำหรับทีมโฆษณา ให้ตรวจบัญชีและลูกค้าที่ตัวตนดังกล่าวเข้าถึงได้ ดูการเพิ่มผู้ดูแลหรือพาร์ตเนอร์ การเปลี่ยนสิทธิ์ การแก้ข้อมูลกู้คืน และแคมเปญหรือค่าใช้จ่ายที่ไม่อนุมัติ หากพบการเปลี่ยนแปลง ให้ประสานเจ้าของบัญชีและผู้ให้บริการผ่านช่องทางทางการ พร้อมเก็บบันทึกเวลาและสิทธิ์ก่อนแก้ไขเท่าที่ระบบอนุญาต สิ่งที่ต้องตรวจขึ้นอยู่กับสิทธิ์ของบัญชีที่ถูกกรอก ไม่ใช่ชื่อผลิตภัณฑ์ที่หน้าฟิชชิงอ้าง