--- title: ตัวบ่งชี้ที่น่าสงสัย description: ที่อยู่อีเมลเลียนแบบและการหยั่งเชิงที่อยู่ระหว่างเฝ้าระวัง อะไรยังเปิดอยู่และอะไรปิดแล้ว icon: Search verified: 2026-08-19 --- รายการนี้เป็นรายการที่มีชีวิต แก้ไขในที่เดิมทุกครั้งที่มีรายการเปิดขึ้นใหม่หรือปิดลง ข้อสังเกตทั้งหมดมาจาก [Track Delivery](/docs/it/email/track-delivery) และจาก DNS ระหว่างวันที่ 14 ถึง 17 สิงหาคม 2026 บริษัทถูกเล็งเป้าอย่างเห็นได้ชัดในแกนการเงินและการค้า ทั้งอีเมลที่ปลอมแปลงชื่อธนาคาร และที่อยู่อีเมลฟรีที่ตั้งชื่อเลียนแบบกล่องจดหมายของบริษัท รายการส่วนใหญ่ด้านล่างนี้ ต้องได้คำตอบจากคนภายในบริษัทก่อน จึงจะปิดได้ ## กฎถาวร ที่อยู่อีเมลใดก็ตามที่มีรูปแบบ `something.advmfr@gmail.com` หรือ `advmfr.something@gmail.com` และปรากฏขึ้นในเธรดอีเมลของงาน ต้องถูกรายงาน **ก่อน** ที่จะมีใครตอบกลับ ก่อนที่จะนำไปใส่ whitelist และก่อนที่จะโอนเงินโดยอาศัยอีเมลนั้นเป็นหลักฐาน กฎนี้มีอยู่เพราะรายการที่ 1 และตอนนี้ได้กลายเป็นส่วนหนึ่งของเงื่อนไขการแจ้งเตือนใน [การเฝ้าระวังอีเมลที่ถูกกักกัน](/docs/it/email/quarantine-watch) ## 1. `export.advmfr@gmail.com`: ปิดแล้ว 19 สิงหาคม ใช้งานโดยชอบ ที่อยู่ Gmail ที่เลียนแบบกล่องจดหมายของบริษัท `export@advmfr.net` โดยใช้รูปแบบ `.advmfr@gmail.com` และถูกสำเนาไว้ในจดหมายโต้ตอบเรื่องพิธีการศุลกากรและการขนส่ง **ข้อสรุป: ทีมส่งออกเป็นเจ้าของที่อยู่นี้เอง** ไม่มีการถูกเจาะระบบ ไม่มีความพยายามฉ้อโกง การสำเนาถึงที่อยู่นี้เป็นการกระทำโดยตั้งใจ เรื่องนี้ปิดการแจ้งเตือน แต่ไม่ได้ปิดประเด็น เอกสารส่งออกทั้งใบแจ้งหนี้ มูลค่าสินค้าที่จัดส่ง และเอกสารพิธีการ ยังคงไหลผ่านกล่องจดหมาย Gmail ส่วนตัวที่บริษัทไม่ได้ควบคุม ใครก็ตามที่ถือรหัสผ่านของบัญชีนั้น ย่อมถือร่องรอยเอกสารการส่งออกทั้งหมดไว้ในมือ และบริษัทไม่มีทางเพิกถอนสิทธิ์ ตรวจสอบย้อนหลัง หรือกู้คืนข้อมูลได้เลยหากบัญชีนั้นสูญหายไป ทางออกมีสองทาง และการตัดสินใจเป็นของทีมส่งออก - หยุดการสำเนาถึงที่อยู่นี้ หรือ - แทนที่ด้วยคลังเก็บเอกสารที่บริษัทควบคุมได้จริง **รายการนี้มีต้นทุนเท่าไร และทำไมจึงยังคงอยู่ที่นี่** การพิสูจน์ว่าที่อยู่นี้ใช้งานโดยชอบ ต้องอาศัยการอ่านโฟลเดอร์ Sent บันทึกการนำส่ง และเรกคอร์ด DNS นี่คือราคาที่ต้องจ่าย เมื่อกล่องจดหมายของบริษัทมีฝาแฝดเป็นอีเมลฟรี และราคานี้จะถูกจ่ายซ้ำอีกในการแจ้งเตือนครั้งถัดไป โดยคนที่ลืมไปว่าหน้านี้มีอยู่ ที่แย่กว่านั้นคือพนักงานจะเริ่มชินตากับการเห็นฝาแฝดนั้นในเธรดของตัวเอง ความเคยชินแบบนี้คือปฏิกิริยาที่ผู้โจมตีตัวจริงต้องการพอดี ที่อยู่ `something.advmfr@gmail.com` รายต่อไปที่โผล่ขึ้นมาก็จะดูธรรมดาไม่ต่างกัน ด้วยเหตุนี้ กฎถาวรข้างต้นจึงยังคงอยู่ต่อไป แม้รายการนี้จะปิดแล้วก็ตาม ## 2. `narinsoda33@gmail.com`: ระดับกลาง อีเมลขาเข้าวันที่ 17 สิงหาคม เวลา 10:31 ส่งถึง `account@advmfr.net` ซึ่งเป็นกล่องจดหมาย ที่ไม่มีอยู่จริง อีเมลจึงถูกปฏิเสธ ที่อยู่นี้เลียนแบบชื่อของบุคคลจริงบนบริการอีเมลฟรี และเล็งไปที่ที่อยู่ที่ดูเหมือนของฝ่ายบัญชี เป็นกลวิธีเดียวกับรายการที่ 1 แต่ครั้งนี้มาจากภายนอกเข้ามา **คำถามที่ยังไม่มีคำตอบ:** Gmail นี้เป็นของเขาจริงหรือไม่ ถ้าไม่ใช่ ต้องแจ้งที่อยู่นี้ให้ทีมทราบอย่างชัดเจน เพราะอีเมลจาก "Narin" ที่ส่งมาจากที่อยู่ Gmail คือสิ่งที่พนักงานจะเชื่อถือทันที ## 3. ทราฟฟิกจาก `kasikornbank.com`: ปิดแล้ว 17 สิงหาคม ใช้งานโดยชอบ ตอนแรกมีข้อสงสัยว่าเป็นการหยั่งเชิงด้วยการปลอมแปลงที่อยู่ผู้ส่ง เพราะ `tradefinance@kasikornbank.com` เขียนมาซ้ำ ๆ ถึง `ACCOUNT@advmfr.net` ที่ไม่มีอยู่จริง **ข้อสรุปหลังตรวจสอบเฮดเดอร์และกล่องจดหมาย:** ใช้งานโดยชอบ กล่องจดหมาย `chanhom@` เก็บข้อความจริงจาก Kasikornbank ไว้ 97 ฉบับ ทั้งใบแจ้งเครดิต สำเนาการชำระเงิน และรายงาน K-eDocument ประจำวัน ทุกฉบับระบุชื่อบริษัทเป็นผู้รับ Kasikornbank ประกาศ DMARC แบบ `p=reject` พร้อม SPF ที่เข้มงวด ซึ่งทำให้การปลอมแปลงชื่อโดเมนแบบตรงตัวทำได้ยาก ทราฟฟิกที่ส่งถึง `ACCOUNT@` เกือบแน่นอนว่าเป็นที่อยู่เก่าที่ค้างอยู่ในระบบข้อมูลของธนาคารเอง และการที่อีเมลเหล่านั้นถูกปฏิเสธก็ไม่ก่อความเสียหายใด มีกฎถาวรสองข้อที่ยังคงอยู่ต่อไปหลังการปิดรายการนี้ - **ห้ามนำโดเมนของธนาคารเข้า whitelist โดยเด็ดขาด** - อีเมลใดก็ตามจาก Kasikornbank ที่ขอให้ดำเนินการอย่างใดอย่างหนึ่ง เช่น เปลี่ยนข้อมูลการชำระเงิน หรือขอให้โอนเงินด่วน ต้องได้รับการยืนยันผ่านช่องทางอื่นนอกอีเมล โดเมนที่ตั้งชื่อเลียนแบบ เช่น `kasikornbank-secure.com` ยังคงเป็นภัยคุกคามตัวจริง ## 4. การหยั่งเชิงที่อยู่นามแฝงฝ่ายการเงินที่ไม่มีอยู่จริง: ระดับต่ำ มีอีเมลขาเข้าอย่างสม่ำเสมอถึง `account@`, `ACCOUNT@`, `it@` และ `advance@` ซึ่งไม่มีที่อยู่ใดมีอยู่จริงเลย โดยมาจากผู้ส่งที่หมุนเวียนเปลี่ยนไปเรื่อย ๆ ทั้งใบแจ้งหนี้ค่าขนส่งของ DHL ที่อยู่สำหรับส่งใบแจ้งหนี้ โดเมนที่สะกดผิดอย่าง `regencyhoildays.com` และที่อยู่แจ้งตีกลับของ Google ผู้โจมตีกำลังทำแผนที่ว่าที่อยู่ฝ่ายการเงินของบริษัทน่าจะเป็นอะไรบ้าง การที่อีเมลเหล่านี้ถูกปฏิเสธถือว่าเรียบร้อยดีและไม่ต้องดำเนินการใด แต่รูปแบบที่เห็น ยืนยันว่าบริษัทตกเป็นเป้าจริง **ผลที่ตามมา:** อย่าสร้างที่อยู่นามแฝงเหล่านี้ หากวันหนึ่งจำเป็นต้องสร้างขึ้นมาจริง ให้คาดหมายไว้ว่าจะมีสแปมเข้ามาตั้งแต่วันแรก