คิดว่าเราเข้าใจผิดหรือ?
จงพิสูจน์ให้เราเห็น
ส่งโดเมนของคุณเพื่อรับการทบทวนใหม่ เราจะตรวจสอบหลักฐานของเราโดยเปรียบเทียบกับฟีดข่าวภัยคุกคาม (threat-intel) ล่าสุด ดำเนินการทบทวนอัตโนมัติอย่างเป็นอิสระ และผู้เชี่ยวชาญจะพิจารณากรณีที่ไม่ชัดเจน
ทุกคำอุทธรณ์จะถูกวิเคราะห์บางส่วนโดย AI แต่การตัดสินใจขั้นสุดท้ายยังคงต้องอาศัยผู้ตรวจสอบที่เป็นมนุษย์ หากไม่มีผู้ตรวจสอบคนใดยืนยันคำอุทธรณ์ของคุณภายใน 48 ชั่วโมง ระบบ อนุมัติโดยอัตโนมัติ — โดเมนของคุณจะถูกนำออกจากเว็บไซต์ ฐานข้อมูล และคลัง GitHub ของเรา กระบวนการจะเริ่มนับเวลาทันทีที่คุณส่งคำขอ
วางรหัสการอุทธรณ์ (UUID) ของคุณ หรือเปิด URL ติดตามที่เราส่งให้
ตอบกันตรง ๆ
เรื่องคำขอโทษ เรื่องความ "รุนแรง" และสิ่งที่เราถูกกล่าวหา
ทำไมก่อนหน้านี้คุณถึงไม่ขอโทษ
เราลบโดเมนออกเสมอ — เรื่องนั้นไม่เคยเป็นที่สงสัย สิ่งที่เราไม่ได้ทำคือการเขียนไปขอโทษ ไม่ใช่เพราะความหยิ่งผยอง เราแค่ไม่คิดว่าจดหมายจากเราจะมีคุณค่าสำหรับใคร การลบเป็นการกระทำที่จับต้องได้ ส่วนคำขอโทษเป็นเพียงคำพูด เราคิดผิดในเรื่องนี้ สำหรับคนที่สูญเสียทราฟฟิกหรือต้องไปติดต่อกับผู้ให้บริการจดทะเบียนโดเมนของตน การได้ยินอย่างตรงไปตรงมาว่าความผิดพลาดเป็นของเรานั้นมีความหมาย เรื่องนี้ไม่ใช่เรื่องยากสำหรับเรา และเราก็พยายามทำเสมอเมื่อมีโอกาส
อุปสรรคที่แท้จริงคือข้อมูล เราต่อต้านการเก็บข้อมูลที่ไม่เป็นสาธารณะอย่างเด็ดขาด ที่อยู่อีเมลทุกรายการที่ถูกจัดเก็บไว้ล้วนเป็นภาระความรับผิดชอบและความเสี่ยง PhishDestroy ไม่ใช่งานประจำของเรา และถูกออกแบบมาให้พ้นจากการดูแลของเราได้ทุกเมื่อโดยไม่สะดุด มันต้องไม่พึ่งพาเรา รายชื่ออีเมล บันทึกข้อมูลผู้ใช้ และล็อกที่เก็บไว้ ล้วนผูกมันไว้กับตัวเราเป็นการส่วนตัว
ตอนนี้เราทำได้โดยไม่ต้องจัดเก็บอะไรเลย หากคำอุทธรณ์ของคุณได้รับการอนุมัติแล้ว — ไม่ว่าจะเป็นวันนี้หรือเมื่อใดก็ตามในอดีต — กรอกรหัสการอุทธรณ์และที่อยู่อีเมลด้านล่าง เราจะส่งคำขอโทษหนึ่งครั้ง พร้อมจดหมายในรูปแบบ PDF ที่คุณส่งต่อให้ผู้ให้บริการจดทะเบียนโดเมนหรือลูกค้าของคุณได้ จากนั้นที่อยู่อีเมลจะถูกลบทิ้ง ผลบวกปลอมหนึ่งครั้ง — จดหมายหนึ่งฉบับ
"PhishDestroy รุนแรงเกินไป"
เราได้ยินคำนี้บ่อย เราจะไม่โต้แย้ง — แต่พูดตามตรง เรามองไม่เห็นว่าความรุนแรงนี้อยู่ตรงไหน หรือมุ่งไปที่ใคร ดังนั้นนี่คือสิ่งที่เราทำอย่างละเอียด และคุณสามารถตรวจสอบได้ทุกส่วน
"พวกคุณรุมส่งรายงานถึงผู้ให้บริการจดทะเบียนโดเมนเป็นจำนวนมาก"
คำว่า "จำนวนมาก" หมายถึงจำนวนโดเมนฟิชชิงที่เราจัดการ ไม่ใช่ความหนักหน่วงที่เราจัดการกับโดเมนใดโดเมนหนึ่ง แต่ละโดเมนจะได้รับรายงานหนึ่งฉบับ ซึ่งส่งไปยังผู้ให้บริการจดทะเบียนโดเมนของโดเมนนั้น รายงานติดตามผลจะถูกส่งก็ต่อเมื่อโดเมนยังใช้งานอยู่เท่านั้น และอาจส่งไปยัง ICANN หรือผู้ดูแล TLD ด้วย รายงานติดตามผลถูกจำกัดความถี่อย่างเข้มงวด: จะไม่ส่งเร็วกว่า 48 ชั่วโมงหลังจากรายงานครั้งก่อน จากข้อมูลของเราเอง ในปี 2026 มีโดเมนประมาณ 7% ที่ได้รับอะไรก็ตามเกินกว่ารายงานฉบับแรก — และทุกโดเมนในนั้นได้รับการยืนยันแล้วว่าเป็นอันตราย ระบบของเราเปิดเผย: จำนวนรายงานที่ส่งสำหรับแต่ละโดเมนเป็นข้อมูลสาธารณะ
เราไม่ได้ตะโกนใส่ผู้ให้บริการจดทะเบียนโดเมนว่า "แบนพวกมันซะ" เราไม่มีอำนาจบังคับใคร และเทมเพลตรายงานของเราก็เปิดเผยต่อสาธารณะมานานแล้ว เทมเพลตเหล่านั้นขอให้ทีมรับเรื่องการละเมิด (abuse) ของผู้ให้บริการจดทะเบียนโดเมนตรวจสอบโดเมน เจ้าของ และเนื้อหาโดยด่วน เราไม่ได้อ้างว่าเจ้าของมีเจตนาร้าย หรือแม้แต่ว่าเนื้อหานั้นเป็นของพวกเขา เราระบุว่าเว็บไซต์อาจถูกเจาะระบบหรือถูกแฮก และขอให้ผู้ให้บริการจดทะเบียนโดเมนหรือผู้ให้บริการโฮสติ้งตรวจสอบ เราเคารพขั้นตอนภายในของพวกเขาอย่างชัดเจน และปล่อยให้การตัดสินใจเป็นไปตาม AUP และข้อกำหนดการให้บริการของพวกเขา รายงานยังระบุด้วยว่าโดเมนดังกล่าวถูกเพิ่มลงในรายการสาธารณะของเราพร้อมการประทับเวลา เพื่อแจ้งให้ชุมชนด้านความปลอดภัยทราบ
เราไม่ได้กล่าวหาใคร และไม่ได้เรียกร้องให้ปิดกั้น นั่นเป็นเรื่องที่ไม่เหมาะสม และเกินอำนาจของเรา ข้อสรุปของเรามาจากระบบสแกนที่มีมาตรฐานและตัวบ่งชี้ที่เรารวบรวมเอง แต่ไม่มีเครื่องมือสแกนใด ไม่ว่าจะได้รับการรับรองหรือไม่ ที่รับประกันได้ว่าจะไม่มีข้อผิดพลาดเลย — แค่เทคนิคการพรางเนื้อหา (cloaking) อย่างเดียวก็ทำให้เป็นเช่นนั้นแล้ว เราไม่เคยอ้างว่าเราไม่ทำผิดพลาด เราพูดตรงกันข้ามในทุกที่
หากเราโจมตีผู้ให้บริการจดทะเบียนโดเมนจริง พวกเขาคงขึ้นบัญชีดำเราไปนานแล้ว
ความเชื่อผิด ๆ นี้มีผู้สร้าง ราวหนึ่งปีก่อน มิจฉาชีพได้เผยแพร่คู่มือวิธีหลบเลี่ยงการระงับโดเมนของ NiceNIC จดหมายเทมเพลตถึงผู้ให้บริการจดทะเบียนโดเมนในคู่มือนั้นอ้างว่าคาสิโนหลอกลวงของพวกเขาตกเป็นเป้าหมายของ "การโจมตีจำนวนมากอย่างเป็นระบบที่คู่แข่งว่าจ้างมา"
"PhishDestroy ยิง DDoS ใส่เว็บไซต์"
ไม่จริง เรื่องนี้ถูก AI แต่งขึ้นจากคำว่า "seed-phrase flooding" สำหรับ AI คำว่า "flood" หมายถึงการโจมตีที่มุ่งร้าย แต่สิ่งที่เราทำไม่ใช่อย่างนั้น
การทำ seed flooding คือการส่งวลีกู้คืนปลอมเข้าไปในแบบฟอร์มเก็บข้อมูลของชุดเครื่องมือฟิชชิง วิธีนี้ทำให้ข้อมูลที่ถูกขโมยไปด้อยค่าลง และเผยให้เห็นว่าชุดเครื่องมือนั้นประมวลผลข้อมูลอย่างไร จึงสามารถรายงานแบ็กเอนด์ของมันได้ บริการอย่าง EmailJS ส่วนใหญ่ตอบสนองด้วยการเพิกถอนคีย์ที่ใช้ระบุตัวเว็บไซต์ฟิชชิงเหล่านั้น เราใช้วิธีนี้ในการสืบสวนโครงสร้างพื้นฐานมาแล้วหลายครั้ง และรายละเอียดวิธีการทั้งหมดอธิบายไว้ที่ /seed-flooding/
การรันทุกครั้งมีการบันทึกไว้ — เป้าหมาย เวลา และจำนวนคำขอ ปริมาณอาจสูงมาก บางครั้งมากถึง 1 ล้านครั้ง แต่แทบไม่เคยทำแบบอัตโนมัติทั้งหมด หลายปีก่อนเราเคยลองทำให้เป็นอัตโนมัติกับแบบฟอร์มฟิชชิงจากโฆษณา Google แต่ไม่ได้ผล: ผู้ทำฟิชชิงเปลี่ยนรูปแบบ เพิ่มแคปต์ชา และเข้ารหัสเพย์โหลด การหาจังหวะที่เหมาะสมโดยอัตโนมัติจึงเป็นไปไม่ได้
- การส่งหนึ่งครั้งคือคำขอ POST เพียงคำขอเดียวที่มี 12 คำ บวกกับสถานะการตอบกลับ การเปิดเว็บไซต์จาก IP ของคุณเองยังหนักกว่านั้นมาก
- การใช้งานเกือบทั้งหมดตลอดหลายปีที่ผ่านมาเกิดขึ้นภายใน Cloudflare จาก Cloudflare ไปยัง Cloudflare เมื่อพิจารณาจากขนาดแพ็กเก็ต โครงสร้างพื้นฐานที่ใช้ร่วมกัน และการกระจายโหลดแล้ว สิ่งนี้ไม่สามารถทำงานเป็นการโจมตีได้ ส่วนข้อยกเว้นสองกรณีนั้น เราใช้มาตรการป้องกันขั้นพื้นฐาน โดยแจ้งผู้ให้บริการโฮสติ้งล่วงหน้าเกี่ยวกับการทดสอบของเรา
- เราเป็นโครงการไม่แสวงหาผลกำไร เราไม่มีบอตเน็ต ไม่มีพร็อกซี ไม่มีอะไรที่ใช้ทำให้เซิร์ฟเวอร์ล่มได้
- เว็บไซต์ที่ถูกต้องตามกฎหมายไม่มีอะไรต้องกลัว ต่อให้คุณมีแบบฟอร์มอยู่ วลี 12/24 คำก็ไม่ส่งผลอะไรกับมัน ตัวจัดการข้อมูลของชุดเครื่องมือฟิชชิงมีตัวแปรเฉพาะ บนเว็บไซต์ทั่วไป สิ่งเหล่านี้เป็นเพียงคำขอ POST ที่ไม่เป็นอันตรายและไม่ได้ไปถึงไหน
สิ่งที่เราต้องการคือสิ่งที่ตรงข้ามกับการทำให้เว็บล่ม: เว็บไซต์ฟิชชิงต้องยังออนไลน์อยู่ในระหว่างที่ผู้ให้บริการจดทะเบียนโดเมนตรวจสอบ PhishDestroy ไม่เคยทำ DDoS ใส่ใครเลย เราไม่คิดว่าวิธีนี้น่าอภิรมย์ แต่ไม่มีเจตนาร้ายใด ๆ อยู่ในนั้น และเราควบคุมให้อยู่ในขอบเขตที่เหมาะสม
"มีคนใช้ระบบของคุณเล่นงานคู่แข่ง"
แจ้งเราโดยตรง — ผ่าน GitHub issue หรือ บอต Telegram เราจะตอบกลับ
เราไม่มีความสนใจที่จะใส่สิ่งที่ถูกต้องตามกฎหมายหรือสิ่งที่ผิดพลาดลงในรายการ เราไม่ได้อะไรจากมันเลย มีแต่ชื่อเสียงที่เสียหายและตัวกรองในระบบของเราเองที่เข้มงวดขึ้น แต่ระบบนี้มีผู้ร่วมส่งข้อมูล สิทธิ์ในการส่งโดยไม่ต้องผ่านการตรวจสอบจะได้รับก็ต่อเมื่อมีโดเมนจำนวนมากพอผ่านการตรวจสอบมาตรฐานก่อนแล้ว สถานะนี้มีคุณค่า และเคยถูกนำไปใช้ในทางที่ผิด เช่น กรณีของบริการ "stress-test" บางราย และกิจการคาสิโนสีเทาในอินโดนีเซีย
เราต่อต้านอย่างเด็ดขาดหากใครก็ตามใช้ PhishDestroy เพื่อผลประโยชน์ส่วนตัวแทนการต่อสู้กับฟิชชิง แม้บริการของคุณเองจะไม่ได้สะอาดทั้งหมด หากคุณเชื่อว่ามีใครบางคนจ่ายเงินเพื่อให้ปิดเว็บไซต์ ให้ส่งโดเมนนั้นหรือโดเมนเหล่านั้นมาให้เรา เราจะตรวจสอบ หากสมาชิกในชุมชนของเราขายบริการปิดเว็บไซต์ เราจะบล็อกสมาชิกคนนั้นและทุกโดเมนที่เขาใส่ไว้ในรายการเพื่อการค้า ทุกปัญหาแก้ไขได้ แต่หากเว็บไซต์ของคุณผิดกฎหมายจริง ๆ เราก็ไม่น่าจะลบออกให้
คุณตรวจสอบความผิดพลาดของตัวเองหรือไม่
ใช่ ผลบวกปลอมทุกกรณีจะถูกนำกลับไปปรับปรุงกฎของเรา กรณีที่เกิดเป็นจำนวนมากหรือความผิดปกติ — เช่น มีเว็บไซต์ที่ถูกต้องหลายแห่งอยู่ในฐานข้อมูลพร้อมกัน — จะไม่มีวันถูกมองข้าม: เราจะหาว่าสัญญาณใดทำงานผิดพลาด แหล่งข้อมูลใดป้อนสัญญาณนั้นเข้ามา และแหล่งข้อมูลนั้นส่งผลต่ออะไรอีกบ้าง
การแก้ไขทุกครั้งเปิดเผยต่อสาธารณะหรือไม่
ใช่ ทุกโดเมนที่เป็นผลบวกปลอมจะถูกนำออกจาก GitHub อย่างเปิดเผย และถูกเพิ่มลงใน allow/allowlist.json เป็นคอมมิตแยกต่างหาก การแก้ไขที่ไม่มีใครตรวจสอบได้ย่อมไม่มีค่าอะไรเลย
คำถามที่พบบ่อย
การตัดสินใจนั้นรวดเร็วเพียงใด
ภายใน 48 ชั่วโมงหลังการยื่นคำร้อง ระบบ AI จะดำเนินการตรวจสอบเบื้องต้นบางส่วนสำหรับแต่ละคำร้อง แต่การตัดสินใจขั้นสุดท้ายยังคงต้องอาศัยผู้ตรวจสอบจากฝ่ายปฏิบัติการ หากไม่มีผู้ดำเนินการใดสามารถยืนยันได้ทันเวลา ระบบ อนุมัติโดยอัตโนมัติ และนำโดเมนของคุณออกจากเว็บไซต์ ฐานข้อมูล และ GitHub repository ของเรา โดยไม่ต้องได้รับการอนุมัติจากมนุษย์ การนับเวลาถูกบังคับใช้ผ่านโค้ด ไม่ใช่ผ่านนโยบาย
คุณส่งอีเมลมาหาฉันได้ไหม
เฉพาะเมื่อคุณร้องขอเท่านั้น: หลังจากได้รับการอนุมัติ คุณสามารถขอรับคำขอโทษได้หนึ่งครั้งที่ด้านบน เราให้ความสำคัญกับความเป็นส่วนตัวเป็นอันดับแรก — เราไม่บันทึกบันทึกคำขอ (request logs) และไม่ดำเนินการระบบส่งอีเมลอัตโนมัติ (mailing pipeline) คุณสามารถติดตามสถานะการอุทธรณ์ของคุณผ่าน ID โดยใช้ลิงก์ที่เราให้ไว้เมื่อคุณส่งคำขอ เราจะติดต่อกลับทางอีเมลเฉพาะในกรณีพิเศษที่จำเป็นต้องขอข้อมูลเพิ่มเติมเท่านั้น
คุณดำเนินการปิดเว็บไซต์จริงหรือไม่
ไม่เราไม่มีปุ่ม "ลบเว็บไซต์นี้" เราดำเนินการสแกน วิเคราะห์ และส่งผลการค้นพบไปยังผู้จดทะเบียนโดเมน ผู้ให้บริการโฮสติ้ง และฟีดข่าวภัยคุกคาม (threat-intel) พันธมิตร การตัดสินใจในการระงับการใช้งานเป็นหน้าที่ของพวกเขา โดยผู้จดทะเบียนโดเมนจะดำเนินการเฉพาะในกรณีของฟิชชิ่งที่ผิดกฎหมายเท่านั้น หากเว็บไซต์ของคุณเป็นเว็บไซต์ที่ถูกต้องตามกฎหมาย คุณไม่จำเป็นต้องกังวล
ฉันจำเป็นต้องยื่นหลักฐานความเป็นเจ้าของหรือไม่
ไม่ เพียงส่งโดเมนและบริบทสั้นๆ หนึ่งประโยคมาเท่านั้น เราดำเนินการตรวจสอบด้วยตนเอง โดยตรวจสอบความถูกต้องกับข้อมูลภัยคุกคาม (threat-intel) ล่าสุด บันทึก DNS ประวัติการออกใบรับรอง (certificate history) และหลักฐานของเราเอง การขอให้เจ้าของโดเมนพิสูจน์ตัวตนนั้นรู้สึกเป็นการรุกรานความเป็นส่วนตัวมากเกินไป จึงได้ยกเลิกแนวทางดังกล่าว
ทำไมโดเมนของฉันจึงถูกรายชื่อขึ้นในอันดับแรก
รายการส่วนใหญ่มาจากกระบวนการตรวจจับอัตโนมัติของชุดเครื่องมือฟิชชิง (phishing kits) สคริปต์ขโมยข้อมูล (drainer scripts) การปลอมแปลงแบรนด์ หรือรายงานจากชุมชน หากคุณต้องการดูหลักฐานที่เราเก็บไว้ให้ชัดเจน กรุณาส่งคำอุทธรณ์และตรวจสอบหน้าติดตามสถานะสาธารณะ
คุณใช้ AI ตัดสินใจอัตโนมัติแล้วหรือยัง
ยังไม่ใช่ — เรากำลังดำเนินการอย่างระมัดระวังเพื่อมุ่งสู่เป้าหมายดังกล่าว ในปัจจุบัน คำอุทธรณ์จะถูกดำเนินการผ่านระบบคัดกรองอัตโนมัติ (automated triage) ซึ่งจะดึงสัญญาณต่าง ๆ (VirusTotal, urlscan, DNS, ประวัติใบรับรอง) มาแสดง แต่การตัดสินใจยังคงเป็นหน้าที่ของมนุษย์ เราปฏิเสธที่จะนำระบบอัตโนมัติมาใช้กับกระบวนการที่มีผลกระทบในโลกแห่งความเป็นจริงต่อเจ้าของเว็บไซต์ จนกว่าเราจะมั่นใจในระบบมากพอ
ถ้าฉันถูกปฏิเสธล่ะ
คุณสามารถยื่นคำขอใหม่ได้ภายหลังหากสถานการณ์เปลี่ยนแปลง หรือเปิด issue บน GitHub เพื่ออภิปรายสาธารณะ หากคุณเชื่อว่าคำปฏิเสธนั้นไม่ถูกต้อง เราไม่ดำเนินการผ่านกระบวนการอีเมลแบบโต้ตอบไปมา — เป้าหมายคือการตัดสินใจอย่างเป็นธรรม ไม่ใช่การเจรจาต่อรอง