ช่วงเดือนพฤษภาคม–กรกฎาคม 2025 รายงานของ McAfee พบว่าการหลอกลวงในรูปแบบข้อเสนองาน (job-related scams) เพิ่มขึ้นมากกว่า 1,000% — เป็นหนึ่งในหมวดการฉ้อโกงที่เติบโตเร็วที่สุดในช่วงเวลานั้น และบทความสรุปของ KnowBe4 ก็หยิบข้อมูลนี้มาเตือนผู้ใช้งานให้ระวังเป็นพิเศษ โดยเฉพาะผู้ที่กำลังหางานหรืออยู่ในช่วงเปลี่ยนงานซึ่งมักคาดหวังข้อความติดต่อจากนายจ้างมากขึ้น ซึ่งทำให้พวกเขาตกเป็นเป้าของมิจฉาชีพได้ง่ายกว่าเดิม

ภาพรวมปัญหา — ทำไม Job Scams ถึงระบาดหนัก

การหลอกลวงผ่าน “ข้อเสนองาน” ไม่ใช่เรื่องใหม่ แต่ความซับซ้อนและปริมาณของแคมเปญเพิ่มมากขึ้นด้วยปัจจัยสำคัญ 3 อย่าง

• โอกาสจากตลาดแรงงาน — คนหางานเปิดรับการติดต่อที่ไม่ได้ขอไว้ ทำให้ข้อความทาบทามจากแฮกเกอร์มีโอกาสถูกเปิดและเชื่อถือได้สูงขึ้น
  

• ช่องทางที่หลากหลาย — มิจฉาชีพใช้ SMS (smishing), อีเมล, LinkedIn, Facebook และช่องทางแชทต่าง ๆ เพื่อเข้าถึงเหยื่ออย่างรวดเร็ว
  

• Social engineering — แทนที่จะอาศัยช่องโหว่ของซอฟต์แวร์ หลายแคมเปญอาศัยการชักจูงทางอารมณ์ (เช่น ความตื่นเต้นจากข้อเสนอ, ความกังวลเรื่องค่าใช้จ่าย) เพื่อหลอกให้ผู้ใช้ทำสิ่งที่ไม่ควรทำ

รูปแบบการหลอกลวงที่พบบ่อย

ต่อไปนี้เป็นรูปแบบที่รายงานและเหตุการณ์จริงชี้ให้เห็นบ่อยครั้ง — อ่านแล้วควรทำเครื่องหมายเตือนเป็นพิเศษ

• อีเมล/ข้อความจาก “HR ปลอม” — ใช้ชื่อบริษัทจริง แต่ใช้อีเมลโดเมนฟรี (เช่น gmail) หรือลิงก์ไปยังเว็บฟิชชิ่งที่หน้าตาเหมือนหน้าสมัครงานของบริษัทจริง

• ขอข้อมูลส่วนตัวทันที — ขอสำเนาบัตรประชาชน เลขบัญชีธนาคาร หรือ OTP โดยอ้างเหตุผล “ยืนยันตัวตน” หรือ “เตรียมจ่ายเงินเดือน/สวัสดิการ”
  

• ขอให้จ่ายเงินล่วงหน้า — อ้างว่าเป็นค่าธรรมเนียมสมัคร ค่าอบรม หรือค่าดำเนินการ ซึ่งบริษัทที่จริงจังโดยทั่วไปจะไม่เรียกเก็บก่อนเริ่มงาน
  

• ลิงก์ไปยังพอร์ทัลปลอม — คลิกแล้วข้อมูลเข้าสู่ระบบถูกขโมย หรือมัลแวร์ดาวน์โหลดลงเครื่อง

ใครเสี่ยงที่สุด — ทำไมผู้หางานกับพนักงานองค์กรจึงตกเป็นเป้า

• ผู้หางาน — โดยธรรมชาติจะคาดหวังการติดต่อ และมักลดการตรวจสอบเมื่อมีโอกาสได้งานดี

• พนักงานในองค์กร — หากพนักงานคลิกลิงก์จาก “HR ปลอม” อาจดาวน์โหลดมัลแวร์ที่ขยายจากเครื่องบุคคลสู่เครือข่ายภายในองค์กร ทำให้เกิดความเสียหายวงกว้างได้

แนวทางตรวจสอบเบื้องต้น — Checklist สำหรับผู้หางาน

ก่อนตอบข้อความทาบทามงาน ให้ใช้ checklist นี้:

1. ตรวจสอบอีเมลผู้ส่ง บริษัทจริงมักใช้อีเมลองค์กร (@company.com) — ระวังอีเมลจากโดเมนฟรีหรือโดเมนใกล้เคียงที่มีตัวอักษรผิดเพี้ยน.

2. อย่าให้ข้อมูลสำคัญตั้งแต่แรก เลขบัตรประชาชน, เลขบัญชีธนาคาร, OTP — ไม่ควรถูกขอในขั้นต้น.

3. หลีกเลี่ยงการคลิกลิงก์จากข้อความ หากข้อความมีลิงก์ ให้เปิดเว็บบริษัทด้วยตัวเองจากเบราว์เซอร์หรือคอนแทคจากหน้าเว็บอย่างเป็นทางการ

4. สังเกตถ้อยคำที่เร่งรีบหรือดีเกินจริง ข้อความที่กดดันให้รีบตอบหรืออ้างสวัสดิการสูงผิดปกติ ควรสงสัยไว้ก่อน

5. ค้นหาข้อมูลบริษัท/ตำแหน่ง ตรวจสอบ LinkedIn, เว็บไซต์บริษัท และรีวิวบริษัท เพื่อยืนยันความน่าเชื่อถือ

ทำไมควรใช้ KnowBe4 — บทบาทของแพลตฟอร์มฝึกอบรม

KnowBe4 เป็นแพลตฟอร์มหนึ่งที่องค์กรหลายแห่งใช้เพื่อยกระดับความตระหนักรู้ของพนักงาน โดยมีฟีเจอร์เด่นดังนี้:

• Phishing Simulation — สร้างแคมเปญฟิชชิ่งจำลองที่เลียนแบบแคมเปญจริง (เช่น ข้อเสนองานปลอม) เพื่อทดสอบพนักงานในสภาพแวดล้อมจริง

• Interactive Training Modules — คอร์สออนไลน์สั้น ๆ ที่สอนการสังเกตและตอบสนองต่อการโจมตีแบบ social engineering

• Reporting & Metrics — แดชบอร์ดแสดงสถิติผู้ที่คลิกหรือรายงาน ทำให้ฝ่ายความปลอดภัยสามารถวัดระดับความเสี่ยงและปรับแผนการฝึกอบรมได้ตรงจุด