ឧក្រិដ្ឋជនសាយប័រកំពុងកែប្រែ Fake Refund Scam បែបចាស់ឱ្យមើលទៅជឿទុកចិត្តជាងមុន ដោយប្រើផ្លូវ Notification ពិតរបស់ Shopify Shop ជំនួសអ៊ីមែលក្លែងក្លាយ ឬគេហទំព័រក្លែងក្លាយ។ Huntress និយាយថាជនរងគ្រោះទទួល Purchase និង Invoice Alert ក្លែងក្លាយដោយផ្ទាល់ក្នុងកម្មវិធី Shop ពិត ហើយខ្លះមកជា Push Notification ធម្មតា។
អ្វីដែលធ្វើឱ្យយុទ្ធនាការនេះគួរឱ្យព្រួយបារម្ភ គឺវាប្រើទំនុកចិត្តលើ Platform ពិត។ Huntress និយាយថាបុគ្គលិករបស់ខ្លួនជាច្រើនបានទទួលសារបែបនេះរវាងខែឧសភា និងសីហា 2026។ គោលដៅគឺធ្វើឱ្យជនរងគ្រោះជឿថាមានការទិញដែលខ្លួនមិនបានធ្វើ ហើយនាំទៅកាន់ Contact ដែលអ្នកបោកប្រាស់គ្រប់គ្រង។
អ្នកវាយប្រហារប្រើ Infrastructure Notification របស់ Shopify ផ្ទាល់
Huntress គិតថា Scam នេះប្រើ Seller Account Shopify ក្លែងក្លាយ ឬ Account ដែលត្រូវបាន Compromise ដើម្បីបង្កើត Order ក្លែងក្លាយ។ ដោយ Order ត្រូវបានបង្កើតក្នុង Ecosystem Shopify ជនរងគ្រោះអាចទទួល Notification ពិតពីកម្មវិធី Shop ជំនួសអ៊ីមែល Phishing ពី Domain សង្ស័យ។
អ្នកស្រាវជ្រាវហៅវាថាជាទម្រង់មួយនៃ ‘Living Off Trusted Sites’។ Notification Mechanism របស់ Shopify ត្រូវបានប្រើជាផ្លូវផ្ញើ Alert ក្លែងក្លាយ ហើយធ្វើឱ្យអ្នកប្រើសង្ស័យតិចជាងមុន។
Order ក្លែងក្លាយត្រូវបានរចនាឱ្យជនរងគ្រោះទូរស័ព្ទទៅអ្នកបោកប្រាស់
Order ក្លែងក្លាយអាចដាក់ Contact របស់អ្នកវាយប្រហារនៅក្នុង Shipping Address ឬព័ត៌មាន Receipt។ ពេលឃើញ Purchase ច្រើន ឬមិនស្គាល់ ជនរងគ្រោះអាចគិតថាលេខទូរស័ព្ទ ឬអ៊ីមែលនោះជាផ្លូវត្រឹមត្រូវសម្រាប់ Dispute ឬស្នើ Refund។
Huntress ព្រមានថាអ្នកបោកប្រាស់អាចបង្ខំឱ្យផ្តល់ Remote Access, Online Banking Credential ឬស្នើឱ្យ ‘សង’ Overpayment ក្លែងក្លាយតាម Gift Card ឬ Wire Transfer។ Purchase ដំបូងជាក្លែងក្លាយ ប៉ុន្តែលុយដែលជនរងគ្រោះផ្ញើគឺពិត។
ត្រូវផ្ទៀងផ្ទាត់ Transaction តាម Channel ផ្សេង
Huntress ណែនាំកុំទូរស័ព្ទទៅលេខ កុំផ្ញើអ៊ីមែល និងកុំបើក Link ក្នុង Order មិនស្គាល់។ ត្រូវពិនិត្យ Bank, Card, PayPal ឬ Payment Account ផ្ទាល់ថាមាន Charge ពិតឬអត់។
អ្នកប្រើ Shopify អាច Mark Order សង្ស័យជា ‘Not my order’ បើមាន Option និង Shopify ណែនាំឱ្យ Report Phishing តាម Channel ផ្លូវការ។ Notification ដែលមកតាម Platform ពិតក៏អាចមាន Content ដែលអ្នកវាយប្រហារគ្រប់គ្រង។
ការប្រើ Platform ដែលគេទុកចិត្តកំពុងក្លាយជាបញ្ហា Cybersecurity ធំ
ករណី Shopify បង្ហាញ Trend ធំជាងនេះ៖ អ្នកវាយប្រហារព្យាយាមធ្វើការនៅក្នុងសេវាដែលអ្នកប្រើទុកចិត្តរួចហើយ។ Cloud Platform, Ad System, Collaboration Tool និង Customer Support ក៏អាចត្រូវបានប្រើដូចគ្នា។ ពេលឧក្រិដ្ឋជនខ្ចី Branding និង Notification Channel ពិត សញ្ញាភ្នែកបែបចាស់កាន់តែមិនអាចជឿបាន។
សម្រាប់អ្នកប្រើ និងអាជីវកម្ម វិធីសុវត្ថិភាពជាងគេគឺផ្ទៀងផ្ទាត់ Event តាម Channel ឯករាជ្យទីពីរមុនធ្វើអ្វី។ Alert ថាមានការចំណាយត្រូវពិនិត្យក្នុង Payment Account ពិត ហើយ Request ឱ្យទូរស័ព្ទ Support ត្រូវស្វែងរក Contact ផ្លូវការដោយឡែកពីសារសង្ស័យ។
