ในยุคที่การทำโฆษณาผ่านโซเชียลกลายเป็นหัวใจของธุรกิจออนไลน์ ไม่ว่าจะเป็น Facebook Ads, Instagram Ads, หรือแพลตฟอร์มโฆษณาอื่น ๆ ผู้ดูแลแคมเปญโฆษณาต่างต้องเข้าใช้บัญชี Ad Manager อย่างสม่ำเสมอ
ล่าสุดมีรายงานจากสื่อด้านความปลอดภัยไซเบอร์ ว่า “คำเชิญผ่าน Calendly” ถูกปลอมอย่างแนบเนียนภายใต้ชื่อแบรนด์ใหญ่ (top brands) เพื่อหลอกให้ผู้รับคลิก เมื่อเหยื่อคลิกลิงก์แล้ว อาจนำไปสู่การ “Hijack บัญชี Ad Manager / โฆษณา” ของเหยื่อ
ปรากฏการณ์ที่เรียกว่า Fake Calendly invites นี้กลายเป็นภัยไซเบอร์รูปแบบใหม่ที่ธุรกิจและผู้ดูแลการตลาดออนไลน์ควรเฝ้าระวังอย่างสูง
ทำไมโจรไซเบอร์ใช้วิธีนี้ Fake Calendly invites ?
1. การปลอมแปลงชื่อ (Spoof) จากแบรนด์ที่น่าเชื่อถือ
แฮกเกอร์มักสร้างคำเชิญที่ดูเหมือนออกมาจากแบรนด์ระดับโลก หรือผู้ให้บริการที่ใช้งานจริงในองค์กร เช่น บริษัทที่เคยทำงานกับคุณ หรือพันธมิตรทางธุรกิจ จุดนี้ทำให้เหยื่อคลายความระแวงและคลิกลิงก์อย่างไว
2. อาศัยความรีบร้อนและความเชื่อใจในโซเชียลมีเดีย / อีเมล
โดยเฉพาะช่วงที่แคมเปญโฆษณาต้องรีบแก้ไข หรือทีมงานหลายคนเกี่ยวข้องกับหลายบัญชี แฮกเกอร์หวังว่าเหยื่อจะคลิกลิงก์โดยไม่ตรวจสอบอย่างละเอียด
3. ใช้ช่องโหว่ของผู้ใช้งานที่ไม่ระวังเรื่อง Security
หลายคนอาจคุ้นเคยกับ Calendly, โค้ดตารางนัดหมาย, หรือคำเชิญผ่านอีเมลที่ดู “ปกติ” ทำให้การ spoof สำเร็จง่าย
ผลลัพธ์ คือ เมื่อเหยื่อคลิกลิงก์ปลอม อาจถูกขโมยสิทธิ์เข้าถึงบัญชีโฆษณา (Ad Manager) ซึ่งอาจหมายถึงการถูกยึดแคมเปญ, ถูกแทรกโฆษณา, หรือแม้แต่ถูกล้างข้อมูลโฆษณาทั้งหมด
เหตุการณ์จริงที่ถูกรายงาน เกิดอะไรขึ้นกับองค์กรหลายแห่ง
ตามรายงาน มีองค์กรที่ได้รับคำเชิญปลอมในรูปแบบ Calendly โดยลิงก์ดูเหมือนของจริง แต่เมื่อคลิกแล้วระบบพยายามขอสิทธิ์ (permissions) เพื่อเข้าถึงบัญชีโฆษณา (Ad Accounts / Ad Manager) บางกรณีเหยื่อยินยอมให้สิทธิ์โดยไม่ทันตั้งตัว ทำให้บัญชีถูก Hijack แฮกเกอร์อาจสร้างโฆษณาใหม่ ล้างโฆษณาเก่า หรือใช้บัญชีเพื่อโฆษณาผิดกฎหมาย
เหตุการณ์นี้ถูกเปิดเผยในสื่อด้านความปลอดภัย ทำให้ผู้ใช้งานทั่วโลกตื่นตัว “Fake Calendly invites spoof top brands to hijack ad manager accounts” คำเตือนครั้งใหญ่สำหรับนักการตลาดและเจ้าของธุรกิจที่ใช้โฆษณาออนไลน์