Chrome เตือนก่อนคุณวางคำสั่งจากหน้ายืนยันตัวตนปลอม แต่เฉพาะคนที่เปิด Enhanced Protection

ลองนึกภาพว่าคุณเปิดเว็บแล้วเจอกล่อง "ยืนยันว่าคุณเป็นมนุษย์" แบบที่เห็นจนชิน แต่รอบนี้ไม่ได้ให้เลือกรูปสัญญาณไฟ กลับบอกให้กดปุ่ม Windows กับ R แล้ววางข้อความลงไปและกด Enter ใครทำตาม เครื่องก็ติดมัลแวร์ด้วยมือของตัวเอง กลโกงนี้ชื่อ ClickFix และ Google เพิ่งประกาศว่า Chrome จะเริ่มเตือนตั้งแต่จังหวะที่คำสั่งนั้นถูกคัดลอก

ClickFix ได้ผลเพราะไม่ได้ให้คุณดาวน์โหลดไฟล์ ตอนกดช่องยืนยัน หน้าเว็บแอบคัดลอกคำสั่งลงคลิปบอร์ดไว้ให้แล้ว พอวางและกด Enter เครื่องมือที่มากับ Windows อย่าง PowerShell ก็ไปโหลดมัลแวร์มาติดตั้งเอง เหมือนมิจฉาชีพที่ไม่งัดประตูบ้าน แต่โทรมาขอให้เจ้าของเปิดประตูให้ ยามหน้าบ้านอย่างระบบตรวจไฟล์ดาวน์โหลดของเบราว์เซอร์จึงไม่ทันได้ตรวจ Microsoft รายงานว่าแค่ช่วงกุมภาพันธ์ถึงต้นพฤษภาคมปีนี้ มีคำสั่งแบบ ClickFix ถูกรันบนเครื่องกว่า 1.1 ล้านเครื่อง

ของใหม่คือ ถ้าคุณเปิดโหมดป้องกันระดับสูงของ Chrome ที่ชื่อ Enhanced Protection เมื่อข้อความที่ถูกคัดลอกดูเหมือนคำสั่ง ClickFix เบราว์เซอร์จะลบข้อมูลส่วนตัวออก แล้วส่งให้ระบบ Safe Browsing ของ Google ตรวจ ถ้าอันตรายก็ขึ้นคำเตือน และยังใช้ Gemini บนเซิร์ฟเวอร์ช่วยจับเว็บแอนตี้ไวรัสปลอมกับหน้าอัปเดตเบราว์เซอร์ปลอม แต่ยามคนใหม่นี้ไม่ได้ตรวจทุกอย่าง Google ตั้งใจให้เตือนเฉพาะตอนที่มั่นใจสูงเพื่อไม่รบกวนนักพัฒนาที่คัดลอกคำสั่งเป็นประจำ จึงอาจมีบางกรณีหลุดไป

ส่วนคำโฆษณาว่าผู้ใช้โหมดนี้ "ปลอดภัยกว่า 10 เท่า" นั้นนับจากจำนวนคำเตือนที่แต่ละกลุ่มได้เห็น ไม่ใช่จำนวนคนที่รอดจากการโดนหลอก และสิ่งที่ต้องแลกคือความเป็นส่วนตัว โหมดนี้ส่งที่อยู่ของทุกเว็บที่คุณเข้าให้ Google ตรวจ ขณะที่โหมดมาตรฐานส่งเพียงบางส่วนที่แปลงจนอ่านไม่ออก

ถ้ารับข้อแลกเปลี่ยนนี้ได้ เปิดได้ที่ การตั้งค่า > ความเป็นส่วนตัวและความปลอดภัย > ความปลอดภัย > การปกป้องที่ดียิ่งขึ้น ไม่ว่าจะเปิดหรือไม่ จำกฎข้อเดียวไว้ ไม่มีระบบยืนยันตัวตนไหนให้คุณกด Win+R หรือเปิด Terminal แล้ววางคำสั่ง เจอแบบนี้ให้ปิดหน้าเว็บทันที วิธีเปิดบนมือถือ ข้อมูลที่ส่งให้ Google และสิ่งที่ยังไม่ชัดอยู่ด้านล่าง

สรุปประเด็นสำคัญ

• ตรวจคำสั่งที่ถูกคัดลอก: ผู้ใช้ Chrome ที่เปิด Enhanced Protection จะได้รับคำเตือนเมื่อคัดลอกคำสั่งที่ Safe Browsing ตัดสินว่าเป็น ClickFix ที่อันตราย ข้อความในคลิปบอร์ดถูกลบข้อมูลส่วนบุคคล (PII) ออกก่อนส่งตรวจ
• Gemini ย้ายไปทำงานบนเซิร์ฟเวอร์: จากเดิมที่ใช้ Gemini Nano ในเครื่องตรวจเฉพาะเว็บหลอกแบบ "ฝ่ายช่วยเหลือด้านเทคนิค" บนอุปกรณ์ที่รองรับ ตอนนี้ใช้โมเดลบนเซิร์ฟเวอร์กับผู้ใช้ Enhanced Protection ทุกคน และขยายไปถึงแอนตี้ไวรัสปลอมกับอัปเดตเบราว์เซอร์ปลอม
• คำเตือนสองระดับ: เว็บ "น่าสงสัย" ได้คำเตือนแบบใหม่ที่เบากว่า ส่วนเว็บ "อันตราย" ยังเป็นหน้าจอแดงเต็มหน้าแบบเดิม
• ยังไม่มีกำหนดรายประเทศ: Google ไม่ระบุเวอร์ชัน Chrome วันเปิดใช้ ระบบปฏิบัติการ หรือประเทศที่ได้ฟีเจอร์ใหม่ จึงยังยืนยันไม่ได้ว่าผู้ใช้ในไทยได้ครบทุกอย่างแล้วหรือไม่

ClickFix หน้าตาเป็นอย่างไร

ClickFix คือการหลอกให้คุณรันคำสั่งอันตรายบนเครื่องตัวเองเพื่อ "แก้" ปัญหาที่ไม่มีอยู่จริง ทีม Microsoft Threat Intelligence อธิบายไว้ในรายงานเมื่อ 21 ส.ค. 2025 ว่าหน้าล่อมักเลียนแบบกล่องยืนยันตัวตนที่คนคุ้นเคย เช่น Google reCAPTCHA หรือ Cloudflare Turnstile และบางครั้งเลียนแบบหน้าจอ Chrome ค้าง ("Aw, Snap!") คนส่วนใหญ่มาถึงหน้านี้จากอีเมลฟิชชิง โฆษณาที่ฝังลิงก์อันตราย (malvertising) หรือเว็บไซต์ปกติที่ถูกเจาะ ส่วนรายงานกลโกงของ Google เมื่อ 8 มิ.ย. 2026 ระบุว่าพบแคมเปญ ClickFix ที่ใช้หน้าอัปเดตเบราว์เซอร์ปลอมกระจายมัลแวร์ผ่าน Google Sites

ขั้นตอนที่เกิดขึ้นจริงมีดังนี้

1. คุณกดช่อง "ฉันไม่ใช่โปรแกรมอัตโนมัติ" หน้าเว็บใช้ JavaScript คัดลอกคำสั่งลงคลิปบอร์ดเงียบ ๆ
2. หน้าเว็บบอกให้กด Win+R (เปิดหน้าต่าง Run ของ Windows) หรือเปิด PowerShell แล้ววางและรัน
3. คำสั่งเรียกเครื่องมือที่มากับระบบ เช่น PowerShell, mshta หรือ curl ไปโหลดมัลแวร์มาติดตั้ง

Google อธิบายเพิ่มว่าคำสั่งที่คุณวางจริง "มักไม่ใช่คำสั่งที่แสดงบนหน้าเว็บ" และเพราะเครื่องมือเหล่านี้เป็นของระบบปฏิบัติการที่โปรแกรมความปลอดภัยไว้ใจ (เรียกว่า LOLBins) การดาวน์โหลดจึงย้ายจากเบราว์เซอร์ไปอยู่ใน Terminal และ "เลี่ยงระบบป้องกันการดาวน์โหลดของ Chrome และ Safe Browsing ได้ทั้งหมด"

สัญญาณที่ควรสงสัยทันที

• หน้ายืนยันตัวตนที่สั่งให้กดคีย์ลัด เปิด Run, Terminal หรือ PowerShell
• ข้อความแนว "I am not a robot - reCAPTCHA Verification ID" ที่ Microsoft พบว่ามิจฉาชีพต่อท้ายคำสั่งไว้หลอกตา หรือวลีที่ฟังดูปลอดภัยอย่าง "Microsoft Defender Services Secure Access"
• หน้าเว็บที่บอกว่าเบราว์เซอร์ต้องอัปเดตหรือเครื่องติดไวรัส แล้วให้ทำตามขั้นตอนเอง

ผู้ใช้ Mac ก็ไม่รอด Microsoft พบแคมเปญที่ใช้หน้ายืนยันตัวตนปลอมปล่อยมัลแวร์ AMOS บน macOS โดยคำสั่งถามรหัสผ่านเครื่องซ้ำ ๆ แล้วปลดการกักกันไฟล์ด้วยสิทธิ์ผู้ดูแลระบบ

ทำไมต้องรีบรู้จัก ClickFix

• โดนกันมาก: รายงาน Microsoft Digital Defense Report 2026 (เผยแพร่ 1 ต.ค. 2026) ระบุว่าระหว่างกุมภาพันธ์ถึงต้นพฤษภาคม 2026 Microsoft Defender พบคำสั่งแบบ ClickFix ถูกรันบนอุปกรณ์ไม่ซ้ำกันกว่า 1.1 ล้านเครื่อง "เพิ่มขึ้นราว 8 เท่า" (รายงานไม่ได้ระบุว่าเทียบกับช่วงใด)
• ใครก็ซื้อชุดเครื่องมือได้: Microsoft พบชุดสร้างหน้า ClickFix ขายแบบสมาชิกราว 200–1,500 ดอลลาร์ต่อเดือน และบางเจ้าอ้างว่าเลี่ยงแอนตี้ไวรัสได้
• ของที่ติดมามักเป็นตัวขโมยข้อมูล: มัลแวร์ที่พบบ่อยที่สุดคือ Lumma Stealer ซึ่งเป็นมัลแวร์ขโมยรหัสผ่าน (infostealer) นอกจากนี้ยังพบโปรแกรมควบคุมเครื่องจากระยะไกลอย่าง AsyncRAT และ NetSupport

Chrome เพิ่มอะไรใน Enhanced Protection

Jasika Bawa ผู้จัดการผลิตภัณฑ์กลุ่มของ Chrome เขียนในบล็อก Google เมื่อ 20 ต.ค. 2026 ถึงฟีเจอร์ที่เพิ่มเข้ามาในปีนี้ และวันถัดมาทีม Chrome ประกาศเรื่องการเชื่อมต่อแบบไม่เข้ารหัสแยกอีกโพสต์หนึ่ง

เรื่อง HTTP นั้น Chrome จะถามครั้งแรกที่เข้าเว็บแบบไม่เข้ารหัส เมื่อคุณยอมรับแล้ว จะไม่ถามอีกจนกว่าคุณจะไม่ได้เข้าเว็บนั้นอย่างน้อยสองสัปดาห์ และไม่เตือนชื่อเครื่องในเครือข่ายภายในอย่าง intranet หรือ IP ในบ้านอย่าง 192.168.0.1 Google ระบุว่าข้อมูลช่วงแรกพบว่าผู้ใช้เดสก์ท็อปเกือบ 95% ไม่เห็นคำเตือนนี้เลยในแต่ละสัปดาห์ และไม่ถึง 1% เห็นตั้งแต่ 3 ครั้งขึ้นไป

วิธีเปิด Enhanced Protection

ชื่อเมนูภาษาไทยด้านล่างมาจากหน้าช่วยเหลือ Chrome ฉบับภาษาไทย ซึ่ง Google ระบุว่าอาจแปลด้วย AI ชื่อบนเครื่องจึงอาจต่างเล็กน้อย ในวงเล็บคือชื่อเมนูภาษาอังกฤษ

บนคอมพิวเตอร์ (Windows, Mac, Linux)

1. เปิด Chrome แล้วกดไอคอนสามจุด เพิ่มเติม (More) ที่มุมขวาบน
2. เลือก การตั้งค่า (Settings)
3. ที่แถบด้านซ้าย เลือก ความเป็นส่วนตัวและความปลอดภัย (Privacy and security) แล้วเลือก ความปลอดภัย (Security)
4. ใต้หัวข้อ "Google Safe Browsing" เลือก การปกป้องที่ดียิ่งขึ้น (Enhanced protection)

บน Android

1. เปิด Chrome แตะ เพิ่มเติม (More) แล้วแตะ การตั้งค่า (Settings)
2. แตะ ความเป็นส่วนตัวและความปลอดภัย (Privacy and security) แล้วแตะ Google Safe Browsing (Safe Browsing)
3. เลือก การปกป้องที่ดียิ่งขึ้น (Enhanced protection)

บน iPhone และ iPad

1. เปิด Chrome แตะ เพิ่มเติม (More) แล้วแตะ การตั้งค่า (Settings)
2. แตะ ความเป็นส่วนตัวและความปลอดภัย (Privacy and security) แล้วแตะ Google Safe Browsing (Safe Browsing)
3. เลือก การปกป้องที่ดียิ่งขึ้น (Enhanced protection)

สังเกตว่าบนมือถือ เมนูย่อยชื่อ Safe Browsing ไม่ใช่ "ความปลอดภัย" แบบบนคอมพิวเตอร์

เปิดระดับบัญชี Google (ไม่บังคับ) Google ยังชวนให้เปิด Enhanced Safe Browsing ในบัญชี Google ด้วย ซึ่งขยายการป้องกันไปถึง Gmail ทำได้ที่ myaccount.google.com เลือกหัวข้อ Security & sign-in เลื่อนไปที่ Enhanced Safe Browsing กด Manage Enhanced Safe Browsing แล้วเปิดหรือปิด ถ้าคุณล็อกอิน Chrome และเปิดซิงก์ไว้โดยไม่ได้ตั้งรหัสผ่านซิงก์แยก การเปิดในบัญชีจะเปิดใน Chrome ให้ด้วย และหน้าช่วยเหลือระบุว่าการปิดอาจใช้เวลาถึง 24 ชั่วโมงกว่าจะมีผล

เปิดแล้ว Google ได้ข้อมูลอะไรไปบ้าง

นี่คือข้อแลกเปลี่ยนหลักของโหมดนี้ ตามหน้าช่วยเหลือของ Chrome

Google ระบุว่าข้อมูลที่ส่งให้ Safe Browsing "ใช้เพื่อความปลอดภัยเท่านั้น" สำหรับฟีเจอร์ใหม่ Google ให้คำมั่นเพิ่มว่า

• Gemini บนเซิร์ฟเวอร์: Chrome ส่งข้อความในหน้าเว็บไปวิเคราะห์เฉพาะเมื่อเว็บมีสัญญาณหลอกลวงที่มั่นใจสูง และเนื้อหาที่ออกจากเครื่อง "ไม่ถูกบันทึก ไม่ถูกเก็บ และไม่ถูกใช้ฝึกโมเดล"
• คลิปบอร์ด: ส่งเฉพาะเมื่อสิ่งที่คัดลอกดูเหมือนสคริปต์ ClickFix และลบข้อมูลส่วนบุคคลออกก่อน Google ไม่ได้อธิบายว่าลบข้อมูลแบบใดบ้าง และไม่ได้ระบุว่าคำมั่นเรื่องไม่เก็บข้อมูลแบบเดียวกับ Gemini ใช้กับคลิปบอร์ดด้วยหรือไม่

ReadEval ประเมินว่าคนที่ควรเปิดมากที่สุดคือคนที่มักเจอลิงก์แปลก ๆ หรือช่วยดูแลเครื่องให้พ่อแม่หรือผู้สูงอายุ ส่วนคนที่ไม่อยากให้ Google เห็นรายการเว็บที่เข้า การใช้โหมดมาตรฐานคู่กับกฎ "ไม่วางคำสั่งจากเว็บ" ก็ยังเป็นทางเลือกที่สมเหตุสมผล

"ปลอดภัยกว่า 10 เท่า" วัดจากอะไร

เชิงอรรถในบล็อกของ Google เขียนว่าตัวเลขนี้ "คำนวณจากการเปรียบเทียบจำนวนคำเตือนด้านความปลอดภัยโดยเฉลี่ยที่แสดงต่อผู้ใช้ Chrome ที่เปิด Enhanced Protection กับผู้ใช้โหมดมาตรฐาน" พูดง่าย ๆ คือผู้ใช้ Enhanced Protection เห็นคำเตือนมากกว่า และ Google ตีความว่าแต่ละคำเตือนคือครั้งที่ได้รับการป้องกัน

ข้อจำกัดของตัวเลขนี้คือ

• ไม่ได้นับความเสียหายที่ป้องกันได้: คำเตือนไม่ได้แปลว่าผู้ใช้จะโดนหลอกถ้าไม่มีคำเตือน และไม่ได้บอกว่าผู้ใช้ทำตามคำเตือนหรือไม่
• ไม่บอกว่าคำเตือนถูกต้องแค่ไหน: ถ้าเตือนผิดบ้าง ตัวเลขก็สูงขึ้นด้วย
• ไม่มีตัวเลขดิบ: Google ไม่ได้เปิดเผยจำนวนคำเตือนหรือช่วงเวลาที่วัด

ReadEval จึงมองตัวเลขนี้เป็นสัญญาณว่าโหมดนี้ทำงานมากกว่า ไม่ใช่หลักฐานว่าลดการโดนโกงได้ 10 เท่า ส่วนตัวเลขผู้ใช้ Google เคยประกาศในปี 2025 ว่ามีผู้ใช้ Chrome เปิด Enhanced Protection มากกว่า 1,000 ล้านคน

ใช้ได้ในไทยไหม และเครื่องไหนได้บ้าง

• ในไทย: Chrome และ Enhanced Protection ใช้ได้ในไทย และหน้าช่วยเหลือมีฉบับภาษาไทย แต่ Google ไม่ได้ระบุว่าฟีเจอร์ใหม่ทั้งสามทยอยเปิดรายประเทศหรือไม่ และไม่ได้บอกว่า Gemini วิเคราะห์หน้าเว็บภาษาไทยได้ดีแค่ไหน ReadEval จึงยังยืนยันไม่ได้
• เวอร์ชัน: ทั้งบล็อกของ Google, SecurityWeek และ 9to5Google ไม่ได้ระบุเลขเวอร์ชัน Chrome ที่มีฟีเจอร์เหล่านี้ การอัปเดต Chrome ให้เป็นรุ่นล่าสุดจึงเป็นทางที่ปลอดภัยที่สุด
• ระบบปฏิบัติการ: Google ไม่ได้ระบุว่าการตรวจคลิปบอร์ดทำงานบนระบบใดบ้าง ตัวอย่างในบล็อกเป็นเครื่องมือของ Windows (PowerShell, cmd.exe) ส่วนภาพคำเตือนเว็บอันตรายมีทั้งเดสก์ท็อปและมือถือ

ถ้าเผลอวางคำสั่งไปแล้ว

แหล่งข่าวที่ ReadEval อ่านไม่ได้ให้ขั้นตอนสำหรับผู้ใช้ทั่วไปไว้ ข้อแนะนำต่อไปนี้จึงเป็นการประเมินของ ReadEval โดยอิงจากข้อมูลของ Microsoft ว่ามัลแวร์ที่ติดมากับ ClickFix ส่วนใหญ่เป็นตัวขโมยรหัสผ่านและโปรแกรมควบคุมเครื่องจากระยะไกล

1. ตัดอินเทอร์เน็ตของเครื่องนั้นก่อน เพื่อหยุดการส่งข้อมูลออก
2. ใช้อุปกรณ์เครื่องอื่นเปลี่ยนรหัสผ่านบัญชีสำคัญ (อีเมล ธนาคาร โซเชียล) และเปิดการยืนยันตัวตนสองขั้นตอน
3. สแกนเครื่องด้วยโปรแกรมป้องกันไวรัส ถ้าเป็นเครื่องที่ทำงาน ให้แจ้งฝ่ายไอทีทันที

แหล่งข่าวต่างกันตรงไหน

• "10 เท่า": 9to5Google พาดหัวว่า Enhanced Protection "ทำให้ผู้ใช้ปลอดภัยขึ้น 10 เท่า" โดยไม่ได้อธิบายวิธีวัด ส่วน SecurityWeek ระบุว่าตัวเลขมาจากจำนวนคำเตือนโดยเฉลี่ย ซึ่งตรงกับเชิงอรรถของ Google ReadEval ใช้คำอธิบายจากต้นทาง
• ใครได้ Gemini บนเซิร์ฟเวอร์: SecurityWeek เขียนว่าใช้ได้กับผู้ใช้ Enhanced Protection "ทุกคน" ซึ่งตรงกับบล็อก Google แต่ Google ก็ระบุว่า Chrome ส่งข้อความหน้าเว็บไปวิเคราะห์เฉพาะเมื่อเว็บมีสัญญาณหลอกลวงชัด ไม่ใช่ทุกหน้า สองข้อนี้ไม่ขัดกัน
• เส้นทางเมนู: 9to5Google ให้เส้นทาง Settings > Privacy and security > Security ซึ่งเป็นของคอมพิวเตอร์ บนมือถือหน้าช่วยเหลือของ Google ใช้เมนู Safe Browsing แทน
• ผู้ใช้ 1,000 ล้านคน: Google และ SecurityWeek เขียนว่า "มากกว่า 1,000 ล้านคน" ณ ปี 2025 ส่วน 9to5Google เขียนว่า 1,000 ล้านคน ReadEval ใช้ตัวเลขของ Google