วิธีป้องกัน DNS Hijacking บน Router D-Link ไม่ให้ถูกพาไปเว็บปลอม

DNS Hijacking คือการที่ค่า DNS ของ Router หรืออุปกรณ์ในเครือข่ายถูกเปลี่ยนไปยัง DNS Server ที่ไม่พึงประสงค์ ทำให้เมื่อผู้ใช้พิมพ์ชื่อเว็บไซต์ เช่น ธนาคาร อีเมล หรือบริการออนไลน์ ระบบอาจถูกชี้ไปยังปลายทางอื่นแทนเว็บไซต์จริงได้

ปัญหานี้อันตรายเพราะผู้ใช้อาจเห็นหน้าเว็บไซต์ที่หน้าตาคล้ายของจริงและกรอก Username, Password หรือข้อมูลสำคัญโดยไม่รู้ว่ากำลังอยู่บนเว็บไซต์ปลอม

สำหรับ Router D-Link การป้องกัน DNS Hijacking ไม่ได้ขึ้นอยู่กับการตั้ง DNS เพียงอย่างเดียว แต่ต้องป้องกันหน้า Admin, อัปเดต Firmware, ปิด Remote Management ที่ไม่ใช้ และตรวจ Configuration เป็นระยะด้วย

บทความนี้จาก comsiam จะอธิบายวิธีป้องกัน DNS Hijacking บน D-Link ตั้งแต่การตรวจ DNS ปัจจุบันไปจนถึงการ Hardening Router ให้ปลอดภัยขึ้น

① DNS คืออะไร

DNS ย่อมาจาก

Domain Name System

ทำหน้าที่แปลงชื่อเว็บไซต์ เช่น

example.com

ให้เป็น IP Address ที่ระบบ Network สามารถใช้เชื่อมต่อได้

หาก DNS ถูกควบคุม ผู้โจมตีอาจพยายามตอบกลับด้วย IP Address ที่ไม่ถูกต้อง

② DNS Hijacking คืออะไร

DNS Hijacking คือการเปลี่ยนเส้นทางการ Query DNS ไปยัง Server หรือคำตอบที่ผู้ใช้ไม่ได้ตั้งใจใช้

อาจเกิดจาก

• Router Configuration ถูกเปลี่ยน

• Malware บนอุปกรณ์

• DNS ของ Client ถูกแก้

• Browser หรือ Proxy ผิดปกติ

• Network Infrastructure ถูกควบคุม

จึงต้องตรวจทั้ง Router และ Client

③ DNS Hijacking บน Router อันตรายอย่างไร

Router เป็น Gateway ของอุปกรณ์หลายเครื่อง

หาก Router แจก DNS ที่ผิดให้ Client ทั้งบ้าน อาจทำให้

• PC

• Smartphone

• Smart TV

• Tablet

ได้รับค่า DNS เดียวกัน

จึงเกิดผลกระทบหลาย Device พร้อมกันได้

④ สัญญาณที่ควรสงสัย DNS Hijacking

ตัวอย่างอาการ เช่น

• เว็บถูก Redirect ไปหน้าแปลก

• เว็บไซต์เดิมเปิดไปคนละหน้า

• Browser แจ้ง Certificate ผิดปกติ

• หลาย Device มีปัญหาเหมือนกัน

• DNS ใน Router เปลี่ยนเอง

• Search Result พาไปเว็บผิด

• หน้า Login บริการสำคัญดูแปลก

ถ้าเกิดเฉพาะเครื่องเดียว อาจเป็นปัญหาที่ Client มากกว่า Router

⑤ ถ้าหลายเครื่องถูก Redirect พร้อมกันควรตรวจอะไร

ควรตรวจ Router ก่อน โดยเฉพาะ

• WAN DNS

• DHCP DNS

• Proxy

• VPN

• DNS Override

เพราะปัญหาที่เกิดพร้อมกันหลาย Device มักเกี่ยวข้องกับ Network กลาง

⑥ วิธีเข้าไปตรวจ DNS บน D-Link

ชื่อเมนูแตกต่างกันตามรุ่น แต่โดยทั่วไปให้เข้า

• Internet

• WAN

• Network

• DNS

• DHCP

แล้วดูว่ามีค่า

• Primary DNS

• Secondary DNS

เป็นอะไร

⑦ WAN DNS คืออะไร

WAN DNS คือ DNS ที่ Router ใช้หรือได้รับจาก ISP สำหรับการ Resolve Domain

อาจถูกตั้งเป็น

• Automatic

• ISP DNS

• Manual DNS

ถ้าใช้ Manual DNS ควรรู้ว่าตั้งค่าโดยใครและเพื่ออะไร

⑧ DHCP DNS คืออะไร

DHCP DNS คือค่า DNS ที่ Router แจกให้ Client ภายใน

บางรุ่นแจก IP ของ Router เองเป็น DNS Proxy

บางรุ่นอาจแจก DNS Server โดยตรง

จึงควรตรวจทั้ง WAN และ DHCP

⑨ DNS แปลกหมายความว่าถูกแฮกแน่นอนไหม

ไม่เสมอไป

DNS อาจถูกเปลี่ยนโดย

• ผู้ดูแล Network

• ISP

• VPN

• Security Software

• Parental Control

แต่ถ้าไม่มีใครตั้งและค่าเปลี่ยนเอง ควรตรวจ Security ทันที

⑩ ควรตั้ง DNS แบบ Automatic หรือ Manual

ทั้งสองแบบสามารถปลอดภัยได้

Automatic

ใช้ DNS ที่ ISP แจก

Manual

ผู้ดูแลเลือก DNS เอง

สิ่งสำคัญคือ DNS ต้องมาจากแหล่งที่เชื่อถือได้และไม่ถูกเปลี่ยนโดยไม่ได้รับอนุญาต

⑪ การเปลี่ยน Admin Password ช่วยป้องกัน DNS Hijacking ได้ไหม

ช่วยมาก

หากผู้โจมตีเข้า Router Admin ได้ ก็อาจเปลี่ยน DNS ได้

ดังนั้น Admin Password ควร

• ยาว

• ไม่ซ้ำ

• ไม่เหมือน Wi-Fi Password

• ไม่แชร์ให้ผู้ใช้ทั่วไป

⑫ Default Admin Password ควรใช้ไหม

ไม่ควร

Router ที่ยังใช้ Default Credential มีความเสี่ยงมากกว่า

หลังติดตั้งควรเปลี่ยน Admin Password ทันที

⑬ Admin Password กับ Wi-Fi Password ควรต่างกันไหม

ควรต่างกัน

เพราะ Wi-Fi Password อาจถูกแชร์ให้สมาชิกหรือ Guest

แต่ Admin Password ควรรู้เฉพาะผู้ดูแล

⑭ Remote Management เกี่ยวกับ DNS Hijacking อย่างไร

ถ้า Remote Management เปิด ผู้ที่เข้าถึงหน้า Router จาก WAN อาจพยายาม Login

หาก Account ถูกเจาะ ผู้โจมตีอาจเปลี่ยน

• DNS

• Port Forwarding

• Firewall

• Wi-Fi

ได้

ดังนั้นถ้าไม่ใช้ควรปิด Remote Management

⑮ HTTPS Admin ช่วยอะไร

HTTPS ช่วยเข้ารหัส Traffic ระหว่าง Browser กับ Router Admin

ถ้า Router รองรับควรใช้ HTTPS มากกว่า HTTP

โดยเฉพาะเมื่อ Login และเปลี่ยน Configuration สำคัญ

⑯ WPS เกี่ยวข้องโดยตรงกับ DNS Hijacking ไหม

ไม่โดยตรง

แต่ WPS เป็นอีกช่องทางในการเชื่อม Wi-Fi

ถ้าไม่ใช้ควรปิดเพื่อลด Attack Surface

Security ที่ดีควรลด Feature ที่ไม่จำเป็นทั้งหมด

⑰ Firmware เก่ามีผลกับ DNS Hijacking ไหม

มี

หาก Firmware มีช่องโหว่ที่เปิดทางให้ Configuration ถูกแก้ ผู้โจมตีอาจเปลี่ยน DNS ได้

จึงควรใช้ Firmware Stable ที่ตรง

• Model

• Hardware Revision

• Region

และยังได้รับการสนับสนุน

⑱ Router หมด Support ควรระวังอะไร

Router ที่หมด Support อาจไม่ได้รับ Security Patch ใหม่

ถ้ามีช่องโหว่เกี่ยวกับ Admin Interface หรือ DNS Configuration อาจไม่มี Firmware ใหม่แก้

หากเป็น Gateway หลักควรพิจารณาเปลี่ยนรุ่นใหม่

⑲ UPnP ทำให้ DNS ถูกเปลี่ยนไหม

UPnP ไม่ได้มีหน้าที่เปลี่ยน DNS โดยตรง

แต่ถ้าไม่ใช้ก็ควรพิจารณาปิด เพราะเป็น Service เพิ่มเติมที่เปิดให้ Client ภายในสร้าง Port Mapping

หลักคือเปิดเฉพาะสิ่งที่จำเป็น

⑳ DMZ เกี่ยวข้องกับ DNS Hijacking ไหม

ไม่โดยตรง

แต่ DMZ เพิ่ม Exposure ให้ Device ภายใน

ถ้าไม่ใช้ควรปิด เพราะการลด Attack Surface ของ Network ทั้งระบบช่วยลดโอกาสเกิด Security Incident อื่น ๆ

㉑ Port Forwarding ควรตรวจด้วยไหม

ควร

ถ้าสงสัยว่า Router ถูกแก้ Configuration ให้ตรวจ

• Port Forwarding

• DMZ

• Remote Management

• DNS

• Firewall

พร้อมกัน

หากพบ Rule ที่ไม่รู้จักควรตรวจทันที

㉒ Telnet และ SSH ควรปิดไหม

ถ้าไม่ใช้ควรปิด

ทั้งสองเป็น Management Service

โดยเฉพาะไม่ควร Exposure จาก WAN โดยไม่มีเหตุผล

㉓ Guest Wi-Fi ช่วยลดความเสี่ยงได้ไหม

ช่วยแยกผู้มาติดต่อออกจาก Main Network

Guest ควร

• ใช้ Password แยก

• เข้า Internet ได้

• เข้า Main LAN ไม่ได้

• เข้า Router Admin ไม่ได้

หาก Router รองรับ

㉔ Guest ควรเข้าหน้า Router ได้ไหม

โดยทั่วไปไม่ควร

หาก Guest สามารถเข้าถึง Gateway Admin Interface ได้ แม้ยังต้อง Login ก็เพิ่มความเสี่ยงโดยไม่จำเป็น

ควรใช้ Guest Isolation หรือ LAN Isolation ตามที่ Router รองรับ

㉕ DNS Hijacking อาจมาจาก Malware ใน PC ได้ไหม

ได้

Malware อาจเปลี่ยน

• Local DNS

• Proxy

• Browser Setting

• Network Adapter

โดยไม่แตะ Router เลย

ดังนั้นหากปัญหาเกิดเครื่องเดียวต้องตรวจ Client ด้วย

㉖ วิธีแยกว่า Router หรือ PC มีปัญหา

ทดสอบหลาย Device

ถ้า

ทุกเครื่องมีปัญหาเหมือนกัน

ควรสงสัย Router, DNS หรือ ISP

ถ้า

มีเพียงเครื่องเดียว

ควรตรวจ Local DNS, Browser, Proxy, VPN และ Malware ในเครื่องนั้นก่อน

㉗ Browser Extension ทำให้ Redirect ได้ไหม

ได้

Extension ที่ไม่ปลอดภัยอาจ

• เปลี่ยน Search

• Redirect Link

• Inject Advertisement

ดังนั้น Redirect ไม่ได้หมายความว่า DNS ถูก Hijack เสมอไป

㉘ Proxy ต้องตรวจไหม

ควร

ถ้าเครื่องตั้ง Proxy ที่ไม่รู้จัก Traffic Web อาจถูกส่งผ่าน Server อื่น

ควรตรวจ Network Proxy โดยเฉพาะเมื่อมีปัญหาเพียงเครื่องเดียว

㉙ VPN มีผลกับ DNS ไหม

มี

VPN หลายระบบจะกำหนด DNS ของตัวเองขณะเชื่อมต่อ

ดังนั้นเห็น DNS เปลี่ยนตอนเปิด VPN ไม่ได้หมายความว่าถูกแฮกเสมอไป

ควรตรวจว่าเป็น VPN ที่ผู้ใช้ตั้งใจใช้งานหรือไม่

㉚ DNS Cache ทำให้เห็นอาการเก่าได้ไหม

ได้

หลังเปลี่ยน DNS ระบบอาจยังมี Cache ของ Domain เดิม

จึงอาจต้อง

• Restart Browser

• Refresh Network

• Flush DNS Cache

ตามระบบปฏิบัติการ

แต่ควรแก้ต้นเหตุที่ Router ก่อน

㉛ HTTPS ช่วยป้องกันเว็บปลอมได้อย่างไร

HTTPS ใช้ Certificate เพื่อยืนยันตัวตนของเว็บไซต์

หาก DNS ชี้ไปยัง Server ผิด Browser อาจแจ้ง Certificate Error เมื่อชื่อ Domain ไม่ตรง

ดังนั้นไม่ควรกดข้ามคำเตือน Certificate โดยไม่เข้าใจ

㉜ ถ้า Browser แจ้ง Certificate Error ควรทำอย่างไร

อย่ากรอกข้อมูลสำคัญ

ให้ตรวจ

• URL

• วันที่/เวลาของเครื่อง

• DNS

• Network

• Certificate Warning

ก่อนใช้งานต่อ

โดยเฉพาะเว็บไซต์ธนาคาร อีเมล และระบบ Login

㉝ DNS Hijacking สามารถขโมย Password ได้ไหม

อาจนำผู้ใช้ไปยังหน้า Phishing ที่เลียนแบบเว็บไซต์จริง

ถ้าผู้ใช้กรอก

• Username

• Password

• OTP

• Card Information

ข้อมูลอาจถูกขโมยได้

จึงต้องตรวจ URL และ HTTPS ทุกครั้งที่พบหน้าแปลก

㉞ ถ้ากรอก Password ในเว็บปลอมไปแล้วควรทำอย่างไร

ควรเปลี่ยน Password ของ Account นั้นทันทีจากอุปกรณ์และ Network ที่เชื่อถือได้

ถ้าใช้ Password ซ้ำกับ Account อื่นควรเปลี่ยนทั้งหมด

และเปิด MFA หากบริการรองรับ

㉟ ถ้าเป็นบัญชีธนาคารควรทำอย่างไร

หากสงสัยว่าได้กรอกข้อมูลธนาคารลงเว็บปลอม ควรติดต่อธนาคารผ่านช่องทางทางการและตรวจธุรกรรมทันที

อย่ากดลิงก์จากหน้าเว็บที่สงสัยนั้นต่อ

㊱ Factory Reset ช่วยแก้ DNS Hijacking ได้ไหม

ถ้า DNS ถูกเปลี่ยนใน Router Configuration การ Factory Reset สามารถล้างค่าเหล่านั้นได้

แต่ต้องตั้งใหม่อย่างปลอดภัยและไม่ Restore Backup ที่น่าสงสัย

พร้อม Update Firmware

㊲ หลัง Factory Reset ควรตั้ง DNS อย่างไร

ตรวจให้แน่ใจว่า

• WAN DNS ถูกต้อง

• DHCP DNS ถูกต้อง

• ไม่มี DNS แปลก

• Remote Management ปิด

• Admin Password ใหม่

จากนั้นค่อยเชื่อม Client กลับ

㊳ ควร Restore Backup Config เก่าหรือไม่

ถ้าสงสัยว่า DNS Hijacking เกิดจาก Router Configuration ไม่ควร Restore Backup ที่ไม่มั่นใจ

เพราะอาจนำ DNS หรือ Rule ผิดปกติกลับมา

ควรตั้งค่าใหม่แบบ Clean Configuration

㊴ DNS over HTTPS ช่วยได้ไหม

DNS over HTTPS หรือ DoH ช่วยเข้ารหัส DNS Query ระหว่าง Client กับ DNS Resolver ที่รองรับ

จึงลดการแก้ไข DNS ระหว่างทางบางประเภท

แต่ไม่สามารถทดแทน Router Security ได้ทั้งหมด

หาก Router Admin ถูกยึด ระบบอื่นยังอาจถูกเปลี่ยนได้

㊵ DNS over TLS คืออะไร

DNS over TLS หรือ DoT เป็นอีกวิธีเข้ารหัส DNS Query

หลักการคล้าย DoH แต่ใช้ Protocol และ Port ต่างกัน

การรองรับขึ้นอยู่กับ Router, Client และ DNS Resolver

㊶ Secure DNS บน Browser ช่วยได้ไหม

Browser บางตัวมี Secure DNS หรือ DoH

อาจช่วยป้องกัน DNS Query จากการถูกแก้ระหว่างทาง

แต่ถ้า Device ติด Malware หรือ Browser ถูกควบคุม ก็ยังมีความเสี่ยง

จึงต้องใช้หลายชั้นร่วมกัน

㊷ DNSSEC ช่วยอะไร

DNSSEC ช่วยตรวจสอบความถูกต้องของข้อมูล DNS ที่ถูก Sign

ช่วยลดความเสี่ยงจากการปลอม DNS Response บางรูปแบบ

แต่ต้องมีการรองรับตลอด Chain ที่เกี่ยวข้อง

DNSSEC ไม่ใช่สิ่งเดียวที่ใช้ป้องกัน DNS Hijacking ทั้งหมด

㊸ Router ควรใช้ DNS ที่เชื่อถือได้เท่านั้น

ใช่

ไม่ควรตั้ง DNS Server ที่ได้มาจาก

• เว็บไซต์สุ่ม

• Forum ที่ไม่รู้ที่มา

• ข้อความแนะนำจากบุคคลแปลกหน้า

DNS เป็น Infrastructure สำคัญของ Network

ควรใช้ Server ที่มีแหล่งที่มาชัดเจน

㊹ ควรตรวจ DNS เป็นระยะไหม

ควร โดยเฉพาะหลัง

• Firmware Update

• Factory Reset

• ช่างเข้ามาตั้ง Router

• พบ Redirect

• Admin Password รั่ว

• Security Incident

ช่วยจับ Configuration ที่เปลี่ยนผิดปกติได้เร็วขึ้น

㊺ System Log ช่วยตรวจ DNS Hijacking ได้ไหม

อาจช่วยได้หาก Router Log บันทึก

• Admin Login

• Configuration Change

• WAN Event

แต่ Router บ้านบางรุ่นไม่ได้บันทึกรายละเอียดการเปลี่ยน DNS

จึงไม่ควรพึ่ง Log เพียงอย่างเดียว

㊻ Backup Config ที่สะอาดมีประโยชน์ไหม

มี

หลังตั้ง Router ถูกต้องและตรวจ Security แล้ว สามารถ Backup Configuration ชุดใหม่ไว้

หากภายหลังเกิดปัญหา จะมี Baseline ที่รู้ว่าเชื่อถือได้

ควรเก็บไฟล์ไว้ในพื้นที่ส่วนตัว

㊼ Checklist ป้องกัน DNS Hijacking บน D-Link

ควรทำอย่างน้อย

1. เปลี่ยน Admin Password

2. ใช้ Admin Password คนละชุดกับ Wi-Fi

3. Update Firmware

4. ปิด Remote Management ถ้าไม่ใช้

5. ใช้ HTTPS Admin หากรองรับ

6. ปิด WPS หากไม่ใช้

7. ปิด Telnet/SSH หากไม่ใช้

8. ตรวจ WAN DNS

9. ตรวจ DHCP DNS

10. ตรวจ Port Forwarding

11. ปิด DMZ ถ้าไม่ใช้

12. แยก Guest Wi-Fi

13. ตรวจ Connected Devices

14. Scan Malware ใน Client

15. Backup Clean Config

㊽ ถ้าพบ DNS เปลี่ยนเองควรทำอะไรทันที

ให้ทำตามลำดับ

1. บันทึก DNS ปัจจุบัน

2. ตรวจว่าใครเป็นผู้ตั้ง

3. เปลี่ยน Admin Password

4. ปิด Remote Management

5. ตรวจ Firmware

6. ตรวจ Port Forwarding/DMZ

7. ตรวจ Client Malware

8. ตั้ง DNS ที่ถูกต้องใหม่

9. ตรวจทุก Device

หาก Configuration เปลี่ยนหลายจุดให้พิจารณา Factory Reset

㊾ หลังแก้แล้วต้องเปลี่ยน Password บัญชีออนไลน์ไหม

ถ้าก่อนแก้เคยกรอก Credential ลงเว็บไซต์ที่สงสัย ควรเปลี่ยน

โดยเฉพาะ

• Email

• Banking

• Social Media

• Cloud

• Shopping

และควรใช้ Password ที่ไม่ซ้ำ

㊿ แนวทางป้องกันที่สำคัญที่สุด

จำง่าย ๆ ว่า

ป้องกันหน้า Admin + ใช้ Firmware ใหม่ + ตรวจ DNS + ลด Service ที่ไม่จำเป็น

เพราะ DNS Hijacking บน Router มักอันตรายเมื่อผู้โจมตีสามารถแก้ Configuration ของ Gateway ได้

คำถามที่พบบ่อย

DNS Hijacking บน D-Link คืออะไร

คือการที่ค่า DNS หรือเส้นทาง DNS ถูกเปลี่ยนจน Domain อาจถูกชี้ไปยังปลายทางที่ผู้ใช้ไม่ได้ตั้งใจ

วิธีดูว่า DNS ของ D-Link ถูกเปลี่ยนไหม

เข้า Router Admin แล้วตรวจ WAN DNS และ DHCP DNS ว่าตรงกับค่าที่ตั้งใจใช้หรือไม่

DNS แปลกหมายความว่าถูกแฮกไหม

ไม่เสมอไป อาจมาจาก ISP, VPN หรือผู้ดูแล แต่ถ้าไม่มีใครตั้งควรตรวจ Security

Factory Reset แก้ DNS Hijacking ได้ไหม

ช่วยได้ถ้าปัญหาอยู่ใน Router Configuration แต่ควร Update Firmware และตั้งใหม่แบบ Clean ด้วย

ควรปิด Remote Management ไหม

ถ้าไม่ใช้ควรปิด เพื่อลดโอกาสหน้า Admin ถูกเข้าถึงจาก Internet

Secure DNS ช่วยป้องกันได้ไหม

DoH หรือ DoT ช่วยเข้ารหัส DNS Query บางส่วน แต่ไม่แทนที่ Router Security

ถ้าถูกพาไปเว็บปลอมและกรอกรหัสแล้วทำอย่างไร

เปลี่ยน Password จาก Network ที่เชื่อถือได้ เปิด MFA และตรวจ Account ที่ใช้รหัสเดียวกันทันที

สรุป

วิธีป้องกัน DNS Hijacking บน Router D-Link ที่สำคัญที่สุดคือ ป้องกันไม่ให้บุคคลอื่นแก้ Configuration ของ Router ได้ โดยใช้ Admin Password ที่แข็งแรง ปิด Remote Management เมื่อไม่ใช้ อัปเดต Firmware และตรวจ WAN/DHCP DNS เป็นระยะ

หากหลาย Device ถูก Redirect ไปเว็บไซต์ผิดพร้อมกัน ควรตรวจ Router และ DNS ก่อน แต่ถ้าเกิดเพียงเครื่องเดียวควรตรวจ Local DNS, Proxy, VPN, Browser Extension และ Malware บนอุปกรณ์นั้นด้วย

สำหรับผู้อ่าน comsiam หากพบ DNS ถูกเปลี่ยนโดยไม่ทราบสาเหตุ ไม่ควรแก้เพียงตัวเลข DNS แล้วจบ แต่ควรตรวจ Port Forwarding, DMZ, Remote Management, Firmware และ Admin Security ทั้งหมดด้วย

เมื่อใช้แนวทาง Firmware ที่ทันสมัย + Admin Password ที่ไม่ซ้ำ + HTTPS + ปิด Service ที่ไม่จำเป็น + DNS ที่เชื่อถือได้ จะช่วยลดความเสี่ยงที่ Router D-Link ถูกใช้เป็นจุดเปลี่ยนเส้นทางผู้ใช้งานไปยังเว็บไซต์ปลอมได้อย่างมาก