หากเว็บไซต์แสดง CAPTCHA ปลอมแล้วสั่งให้เปิดหน้าต่าง Run, Terminal หรือวางคำสั่งลงในคอมพิวเตอร์ ให้ปิดหน้าเว็บทันที นักวิจัยพบเว็บที่ถูกแฮ็กมากกว่า 5,400 แห่งกำลังถูกใช้ส่งหน้าตรวจสอบปลอมลักษณะนี้ แม้เว็บนั้นอาจเป็นร้านค้า คลินิก หรือธุรกิจที่เคยเข้าใช้งานตามปกติ
รายงานของ Netskope วันที่ 3 กันยายน 2026 ระบุว่าเว็บที่พบกระจายอยู่ในองค์กรมากกว่า 2,200 แห่งทั่วโลก ส่วนใหญ่ที่ตรวจสอบเป็น WordPress และบางส่วนเป็น PrestaShop แต่ยังไม่ทราบว่าแต่ละเว็บไซต์ถูกเจาะเข้ามาครั้งแรกอย่างไร BleepingComputer รายงานต่อเมื่อวันที่ 5 กันยายนว่า ในแต่ละวันยังพบเว็บติดเชื้อทำงานอยู่มากกว่า 300 แห่ง
CAPTCHA ปลอมต่างจากการตรวจสอบทั่วไปอย่างไร
CAPTCHA ปกติอาจให้เลือกภาพ ติ๊กช่อง หรือกดปุ่มภายในหน้าเว็บ เพื่อแยกคนออกจากโปรแกรมอัตโนมัติ แต่ ClickFix เป็นกลลวงที่ทำให้ผู้ใช้ลงมือเปิดเครื่องมือของระบบและเรียกคำสั่งให้ผู้โจมตีเอง
สัญญาณที่ควรหยุดทันที ได้แก่:
- หน้าเว็บสั่งให้กดปุ่มลัดบนแป้นพิมพ์เพื่อเปิด Run, PowerShell หรือ Terminal
- ขอให้คัดลอกข้อความแล้ววางในหน้าต่างของระบบ
- อ้างว่าต้องติดตั้งแพตช์ ใบรับรอง หรือส่วนเสริมจึงจะพิสูจน์ว่าเป็นมนุษย์
- ทำพื้นหลังเบลอและเร่งให้ทำหลายขั้นตอนที่ไม่เคยเห็นใน CAPTCHA ทั่วไป
การเปิดหน้าเว็บเพียงอย่างเดียวไม่ได้แปลว่าเครื่องติดมัลแวร์จากขั้นตอน ClickFix ทุกครั้ง จุดเสี่ยงหลักคือการทำตามคำสั่งและเรียกโค้ดบนเครื่อง อย่างไรก็ตาม ควรปิดหน้าเว็บและไม่กลับไปทดลองซ้ำ เพราะรายงานยังพบรูปแบบใหม่ที่สร้างช่องทางสื่อสารผ่านเทคโนโลยีที่เบราว์เซอร์ใช้รับส่งข้อมูลแบบเรียลไทม์ ทำให้ทีมรักษาความปลอดภัยตรวจจับได้ยากขึ้น
ถ้าเผลอวางคำสั่งจาก CAPTCHA ปลอม
1. ตัดการเชื่อมต่ออินเทอร์เน็ตของเครื่องนั้น
2. หยุดใช้เครื่องทำธุรกรรมหรือเข้าสู่บัญชีสำคัญ
3. แจ้งฝ่ายไอทีหรือผู้ดูแลระบบทันที อย่าลบหลักฐานหรือพยายามแก้ด้วยคำสั่งจากเว็บอื่น
4. ตรวจมัลแวร์ด้วยเครื่องมือที่องค์กรอนุมัติ หรือขอผู้เชี่ยวชาญตรวจเครื่อง
5. เปลี่ยนรหัสผ่านของบัญชีที่เคยใช้บนเครื่องจากอุปกรณ์ที่เชื่อถือได้ และออกจากระบบทุกอุปกรณ์เมื่อบริการรองรับ
การเปลี่ยนรหัสผ่านบนเครื่องเดิมอย่างเดียวอาจไม่พอ หากโปรแกรมอันตรายยังทำงานอยู่ ร้านค้าหรือสำนักงานควรแจ้งพนักงานด้วยประโยคจำง่ายว่า “CAPTCHA ไม่สั่งให้เปิด Run หรือวางคำสั่ง” และกำหนดช่องทางให้ส่งภาพหน้าจอสอบถามก่อนทำตาม
เจ้าของเว็บไซต์ควรตรวจอะไร
Netskope แนะนำให้เจ้าของเว็บตรวจความสมบูรณ์ของไฟล์ในระบบจัดการเว็บไซต์ เพราะโค้ดที่ไม่พึงประสงค์อาจถูกต่อท้ายไฟล์ JavaScript จริงหรือซ่อนเป็นปลั๊กอินปลอม ควรประสานผู้ดูแลเว็บเพื่อตรวจไฟล์ที่เปลี่ยนแปลง อัปเดตระบบและส่วนเสริมจากแหล่งทางการ ทบทวนบัญชีผู้ดูแล และกู้คืนจากสำเนาที่มั่นใจว่าสะอาดเมื่อจำเป็น
อย่าสรุปว่าเว็บปลอดภัยเพียงเพราะมี HTTPS หรือหน้าตาคุ้นเคย เว็บไซต์จริงสามารถถูกแก้ไขโดยที่เจ้าของยังไม่ทราบได้ การหยุดเมื่อเจอคำสั่งผิดธรรมชาติเป็นเกราะชั้นสำคัญที่ผู้ใช้ทั่วไปทำได้ทันที
แหล่งข้อมูลและเครดิต
- [Netskope Threat Labs: Malware on the Blockchain — An Ongoing Campaign's New WebRTC Twist](https://www.netskope.com/blog/malware-on-the-blockchain-an-ongoing-campaigns-new-webrtc-twist) — รายงานวิจัยต้นทางวันที่ 3 กันยายน 2026
- [BleepingComputer: Over 5,400 hacked sites serve ClickFix payloads](https://www.bleepingcomputer.com/news/security/over-5-400-hacked-sites-serve-clickfix-payloads-stored-on-the-blockchain/) — เผยแพร่ 5 กันยายน 2026
- ภาพประกอบสร้างด้วย AI โดย Zone-Idea
[อ่านข่าวและบทความเพิ่มเติมจาก Zone-Idea](https://zoneidea.co.th/news)