ลิงก์ ฟิชชิง และชื่อเว็บไซต์

อ่านชื่อเว็บไซต์จากลิงก์ยาวอย่างไร ก่อนกรอกรหัสผ่านหรือข้อมูลบัตร

ลิงก์หนึ่งบรรทัดอาจใส่ชื่อแบรนด์ไว้ในส่วนที่ไม่ใช่ปลายทางจริง เครื่องมือในหน้านี้แยก URL ให้เห็นชื่อโฮสต์ โปรโตคอล พอร์ต และสัญญาณที่ควรหยุดตรวจเพิ่ม โดยไม่เปิดเว็บไซต์ปลายทาง

เขียนโดย พิทักษ์พงษ์ เทพเสน เผยแพร่ 24 ส.ค. 2026 · เพิ่มตัวอย่าง 9 ก.ย. 2026
ให้ URL parser แยกชื่อโฮสต์แทนการกะตำแหน่งด้วยสายตา เพราะ URL อาจมีข้อมูลผู้ใช้ พอร์ต หรือเครื่องหมาย @ ถ้ามี @ ชื่อโฮสต์จะอยู่ในส่วนหลังเครื่องหมายนั้น

ถ้าลิงก์มาจากข้อความเร่งด่วน

หากข้อความอ้างว่าบัญชีถูกล็อก มีธุรกรรม หรือขอ OTP วิธีที่ปลอดภัยกว่าไม่ใช่การพยายามพิสูจน์ว่าลิงก์ดี แต่คือเปิดแอปที่ติดตั้งอยู่แล้วหรือเว็บไซต์ที่คุณบันทึกไว้เอง แล้วตรวจการแจ้งเตือนจากภายในบริการ

อ่าน URL จากซ้ายไปขวา แต่หยุดดูชื่อโฮสต์ก่อน path

ใน URL แบบ https://login.example.com/account ส่วน login.example.com คือชื่อโฮสต์ ส่วน /account เป็นตำแหน่งภายในเว็บ ผู้ไม่หวังดีอาจใส่ชื่อแบรนด์ใน path เช่น https://strange.example/bank-name/login แต่ปลายทางยังคงเป็น strange.example

เครื่องหมาย @

ข้อความก่อน @ เป็นส่วนข้อมูลผู้ใช้และอาจดูเหมือนชื่อเว็บไซต์ แต่ URL parser จะอ่านชื่อโฮสต์จากส่วนหลัง @ เช่น https://[email protected]/ จะได้ attacker.invalid

ชื่อย่อยจำนวนมาก

bank.example.security-check.invalid มีคำว่า bank.example อยู่จริง แต่ทั้งหมดเป็นชื่อย่อยภายใต้ security-check.invalid

ตัวอักษรคล้ายกัน

ชื่อ Unicode อาจถูกแสดงเป็น Punycode ที่ขึ้นต้น xn-- หรือใช้ตัวอักษรคนละภาษาให้ดูคล้ายกัน ต้องเทียบชื่อกับแหล่งทางการ

IP address แทนชื่อเว็บ

บางระบบใช้ IP ได้โดยชอบธรรม แต่หน้าล็อกอินหรือชำระเงินที่ส่งมาทางข้อความและใช้ตัวเลขล้วนควรหยุดตรวจเพิ่ม

ลองอ่านลิงก์ 5 แบบ แล้วเทียบกับเฉลย

ตัวอย่างต่อไปนี้จัดทำขึ้นเพื่อฝึกแยกส่วน URL ไม่ใช่รายชื่อเว็บอันตราย และไม่ใช่ผลตรวจเว็บไซต์จริง คัดลอกข้อความไปวางในเครื่องมือด้านบนได้โดยไม่ต้องเปิดลิงก์ ลองตอบก่อนว่าชื่อโฮสต์คืออะไร แล้วจึงอ่านเฉลย

ปัดตารางไปด้านข้างเพื่ออ่านตัวอย่างและเฉลย

ข้อความตัวอย่างชื่อโฮสต์ที่ควรได้จุดที่ต้องแยกให้ออก
https://[email protected]/loginaccount.invalidexample.com อยู่ในส่วนข้อมูลผู้ใช้ก่อน @ ไม่ใช่ชื่อโฮสต์
https://example.com.account.invalid/example.com.account.invalidการมี example.com ด้านซ้ายไม่ได้ทำให้ลิงก์นี้เป็นเว็บ example.com
https://account.invalid/example.comaccount.invalidข้อความหลัง / เป็นเส้นทาง ไม่ได้เปลี่ยนเจ้าของชื่อโฮสต์
https://example.com/?next=https://account.invalidexample.comnext อาจถูกใช้ส่งต่อ แต่การอ่าน URL อย่างเดียวยืนยันไม่ได้ว่าเว็บจะส่งต่อจริงหรือไปที่ใด
http://example.com:8080/loginexample.comชื่อโฮสต์ไม่รวมพอร์ต 8080 และ HTTP ไม่ใช่ HTTPS แม้ชื่อเว็บจะดูคุ้นเคย

อ่านชื่อถูกแล้ว ยังตัดสินอะไรไม่ได้บ้าง

ชื่อโฮสต์ที่อ่านได้ไม่บอกว่าใครเป็นเจ้าของในปัจจุบัน หน้าเว็บถูกยึดหรือไม่ หรือปลายทางหลังเปลี่ยนเส้นทางเป็นที่ใด อย่าคิดว่าต้องเห็นคำเตือนจึงจะเป็นลิงก์หลอก และอย่าตัดชื่อเว็บเหลือสองส่วนท้ายเสมอ เพราะโดเมนบางประเภทมีส่วนท้ายหลายระดับ เช่น co.th

ถ้าเครื่องมือแสดงโฮสต์ต่างจากที่คุณคาด ให้หยุดใช้ลิงก์นั้นแล้วเปิดบริการจากช่องทางที่รู้จักเอง ไม่จำเป็นต้องทดลองกรอกรหัสผ่านเพื่อพิสูจน์ว่าหน้าเว็บจริงหรือปลอม

หลักการแยกชื่อโฮสต์อ้างอิง MDN: URL.hostname ตัวอย่างและคำอธิบายในส่วนนี้เพิ่มเมื่อ 9 กันยายน 2026

แม่กุญแจและ HTTPS ไม่ได้แปลว่า “บริษัทนี้เป็นของจริง”

HTTPS ช่วยเข้ารหัสข้อมูลระหว่างอุปกรณ์ของคุณกับโฮสต์ที่ระบุในแถบที่อยู่ หากโฮสต์นั้นเป็นของผู้โจมตี การเชื่อมต่อก็ยังเข้ารหัสถึงผู้โจมตีได้ ดังนั้น Chrome เองยังแนะนำให้ตรวจชื่อเว็บไซต์แม้สถานะการเชื่อมต่อเป็น secure

สองคำถามที่ต่างกัน

HTTPS: ทางเชื่อมถูกเข้ารหัสหรือไม่
ชื่อโฮสต์: คุณกำลังส่งข้อมูลให้ใคร

สัญญาณในลิงก์ที่ควรทำให้หยุด แต่ไม่ใช่หลักฐานตัดสินเพียงข้อเดียว

ปัดตารางไปด้านข้างเพื่อดูคอลัมน์ที่เหลือ

สัญญาณทำไมควรตรวจเพิ่มทางเลือกที่ปลอดภัยกว่า
ใช้ http://การเชื่อมต่อไม่เข้ารหัสอย่ากรอกข้อมูล เปิดบริการจากแอปหรือ HTTPS ทางการเอง
มี @ ใน URLข้อความก่อน @ อาจทำให้เข้าใจผิดว่าเป็นชื่อโฮสต์ดูค่าที่ URL parser แสดงและไม่เปิดถ้าไม่ตรงบริการ
ชื่อขึ้นต้น xn--เป็นการเข้ารหัสชื่อโดเมนสากล อาจปกติหรืออาจทำให้สับสนเทียบชื่อกับหน้า/แอปทางการ ไม่ตัดสินจากหน้าตาคล้าย
ไฟล์ .apk, .exe, .zip หรือ .rarเป็นไฟล์ติดตั้งหรือไฟล์บีบอัดที่อาจมีโค้ดดาวน์โหลดจากร้านแอปหรือเว็บไซต์ผู้ผลิตที่เปิดเอง
พารามิเตอร์ redirect หรือ urlอาจส่งต่อไปยังปลายทางอื่นหลังเปิดเปิดบริการต้นทางเองและไปยังเมนูที่ต้องการจากภายใน
ข้อความเร่งให้กรอกรหัสผ่าน/OTPแรงกดดันเป็นรูปแบบฟิชชิงที่พบบ่อยหยุดและติดต่อบริการผ่านเบอร์หรือแอปทางการ

เมื่อเป็นเรื่องบัญชี เงิน หรือเอกสารสำคัญ ให้เปลี่ยนเส้นทางแทนการเสี่ยงกับลิงก์

  1. อย่าตอบกลับผู้ส่งทันที
    บัญชีของคนรู้จักอาจถูกยึด จึงไม่ควรใช้การตอบในช่องทางเดิมเป็นหลักฐานเดียว
  2. เปิดแอปที่ติดตั้งไว้แล้ว
    ตรวจข้อความ ธุรกรรม หรือคำเตือนจากเมนูภายในแอป
  3. ถ้าต้องใช้เว็บ ให้พิมพ์ที่อยู่หรือใช้บุ๊กมาร์กเดิม
    อย่าคัดลอก URL จากข้อความแล้วแก้บางส่วน เพราะอาจพลาดส่วนที่ทำให้สับสน
  4. ติดต่อผ่านข้อมูลบนบัตรหรือเว็บไซต์ทางการ
    ไม่ใช้เบอร์โทรหรือบัญชีแชตที่มากับข้อความน่าสงสัย
  5. ถ้ากรอกข้อมูลไปแล้ว ให้แก้ผลกระทบก่อนวิเคราะห์ต่อ
    เปลี่ยนรหัสผ่าน ออกจากเซสชันอื่น เปิด 2 ขั้นตอน และติดต่อธนาคารหากเกี่ยวกับข้อมูลการเงิน

เครื่องมือนี้บอกอะไรได้ และบอกอะไรไม่ได้

บอกได้

  • ชื่อโฮสต์ที่ URL parser อ่าน
  • โปรโตคอล พอร์ต path และจำนวนพารามิเตอร์
  • รูปแบบบางชนิดที่มักทำให้คนอ่านผิด เช่น @, IP และ Punycode
  • นามสกุลไฟล์ที่ควรระวังเป็นพิเศษ

บอกไม่ได้

  • เจ้าของโดเมนเป็นคนที่อ้างจริงหรือไม่
  • เว็บไซต์มีมัลแวร์หรืออยู่ในฐานข้อมูลอันตรายหรือไม่
  • โดเมนที่ดูปกติไม่เคยถูกยึดหรือมีหน้าปลอม
  • ปลายทางหลัง redirect เพราะเครื่องมือไม่เปิดหรือเรียก URL

แหล่งข้อมูลที่ใช้ตรวจคำแนะนำ

ตรวจลิงก์และเนื้อหาหลักล่าสุด: 24 สิงหาคม 2026