วิศวกรรมสังคม: วิธีที่ไซเบอร์อาชญากรเอาเปรียบจิตวิทยามนุษย์เพื่อบุกผ่านระบบป้องกันดิจิทัล

เมื่อการสื่อสารดิจิทัลเพิ่มขึ้น ความเสี่ยงจากการโจมตีวิศวกรรมสังคมต่อองค์กรก็เพิ่มขึ้น แต่สำหรับไซเบอร์อาชญากร ความเสี่ยงลดลง

วิศวกรรมสังคม (Social Engineering) คือศิลปะการเข้าถึงเครือข่าย ระบบ หรือข้อมูลขององค์กรโดยการเอาเปรียบจิตวิทยามนุษย์ ไซเบอร์อาชญากรแทนที่จะใช้เทคนิคแฮกเพื่อเข้าถึงข้อมูล ใช้เทคนิควิศวกรรมสังคมหลอกลวงผู้ใช้ให้เปิดเผยข้อมูลลับ

วิศวกรสังคมอาจโทรไปพนักงานทำเป็นเจ้าหน้าที่ IT และหลอกให้เปิดเผยรหัสผ่านและข้อมูลลับอื่นๆ

หากคุณคิดว่าคุณมีมาตรการความปลอดภัยครบครันแล้ว คุณผิดปกติ วิศวกรสังคมเก่งๆ สามารถหาทางเลี้ยวผ่านได้ง่ายๆ เนื่องจากแฮกเกอร์แต่ละวันคิดวิธีหลอกลวงพนักงานและบุคคลให้洩ข้อมูลมีค่าของบริษัท

วิศวกรรมสังคมเกี่ยวข้องกับปัจจัยมนุษย์ ดังนั้นไม่มีองค์กรไหนปลอดภัย มนุษย์คือจุดอ่อนที่สุดของความปลอดภัย และองค์กรที่จัดการกับพนักงานการป้องกันก็ยาก

ในบทความนี้เราจะอธิบายเรื่องสำคัญของวิศวกรรมสังคม เช่น เทคนิคที่แฮกเกอร์ใช้ สוגการโจมตีวิศวกรรมสังคม และอื่นๆ

เดือนตุลาคมเป็นเดือนรับรู้ความปลอดภัยไซเบอร์แห่งชาติ และเราเป็นบริษัทที่จัดการเครื่องมือความปลอดภัยอย่าง Advanced System Protector สำหรับ Windows, Systweak Anti-Malware สำหรับ Mac, Systweak Anti-Malware สำหรับ Android กำลังริเริ่มศึกษาบริษัท พนักงาน ผู้ใช้ปลายทาง ให้รู้จักวิธีระบุความพยายามวิศวกรรมสังคมและป้องกันการโจมตีเหล่านี้

ไม่แค่นี้ เรายังจะทำให้คุณรู้จักการโจมตีวิศวกรรมสังคมที่โด่งดัง วิธีป้องกัน และประเภทของการโจมตี

วิศวกรรมสังคมคืออะไร?

ศิลปะการเอาเปรียบพฤติกรรมมนุษย์เพื่อทำการฉ้อโกงคือ วิศวกรรมสังคม ตรงข้ามกับความเชื่อทั่วไปที่ว่าแฮกกิ้งเกี่ยวกับการหาช่องโหว่ในซอฟต์แวร์หรือระบบปฏิบัติการ ให้บอกว่า ไซเบอร์อาชญากรที่หาและพบช่องโหว่ในพฤติกรรมและนิสัยมนุษย์ ก็เป็นประเภทหนึ่งของแฮกกิ้ง เพราะมันก่อให้เกิดความเสียหายต่อความปลอดภัยขององค์กรมากกว่าอะไรก็ตาม

ตัวอย่างที่พบบ่อยที่สุดคือ กรีกใช้ม้าทรอยจีนเพื่อเข้าไปภายในกำแพงโทรย เวลานี้ ไซเบอร์อาชญากรหรือวิศวกรสังคมสมัยใหม่อยู่บนเส้นทางเดียวกัน พวกเขาใช้ข้อผิดพลาดของมนุษย์เพื่อข้ามมาตรการความปลอดป้องทางเทคโนโลยี

บริษัทเสี่ยงอย่างไร?

ผู้ใช้ปลายทางคือภัยคุกคามความปลอดภัยที่ใหญ่ที่สุดสำหรับองค์กรใดๆ และวิศวกรสังคมรู้เรื่องนี้ พวกเขาทำการวิจัยอย่างละเอียดเกี่ยวกับองค์กร พนักงาน วิธีการทำงาน และอื่นๆ ผ่านเว็บไซต์เครือข่ายสังคมอย่าง Facebook, LinkedIn และอื่นๆ

วิศวกรสังคมรู้ว่าคนไม่ระมัดระวังในการแชร์ข้อมูลบนเว็บไซต์สังคม ช่วยให้พวกเขาเก็บข้อมูลมากที่สุดเท่าที่จะทำได้ เพื่อสร้างอีเมลฟิชชิง โทรทำเป็นผู้บังคับบัญชา หน่วยบังคับกฎหมาย หรือเพื่อนร่วมงาน เพื่อขโมยรหัสผ่านและข้อมูลละเอียดอ่อน

วิศวกรรมสังคมทำงานอย่างไร?

วิศวกรรมสังคมหนึ่งในวิธีโจมตีไซเบอร์ที่พบบ่อย กำลังเป็นที่นิยมเพราะโจรมุ่งเป้าจุดอ่อนที่สุดในโซ่ความปลอดภัย

ผู้ใช้มักถูกมุ่งเป้า 2 ทาง: โทรศัพท์หรือออนไลน์

ทางโทรศัพท์: ไซเบอร์อาชญากรทำเป็นพนักงาน ผู้บริหารระดับสูง หรือเจ้าหน้าที่บังคับกฎหมาย เพื่อสร้างความเชื่อมั่น และถามคำถามเพื่อวัตถุประสงค์นี้ เมื่อเหยื่อเชื่อ พวกเขาจะขอข้อมูลล็อกอินหรือรหัสผ่าน ซึ่งไม่ถูกสังเกตเพราะฝ่ายตรงข้ามเชื่อในผู้โทร

ฟิชชิง (Phishing): เทคนิคหลอกลวงยอดนิยมและพบบ่อยที่สุดที่ผู้โจมตีไซเบอร์ใช้ ในวิธีนี้ ผู้ใช้แชร์ข้อมูลเพราะเชื่อว่าอยู่บนเว็บไซต์ปลอดภัยและน่าเชื่อถือ อีกวิธีหนึ่งของวิศวกรรมสังคมออนไลน์คือผ่านไฟล์แนบที่เป็นมัลแวร์

ตอนนี้เรารู้แล้วว่าวิศวกรรมสังคมคืออะไร วิศวกรสังคมหลอกลวงผู้ใช้อย่างไร หยิบข้อมูลละเอียดอ่อน ถึงเวลารู้ประเภทการโจมตีวิศวกรรมสังคม

ประเภทการโจมตีวิศวกรรมสังคม

องค์กรต้องฝึกอบรมพนักงานให้รู้จักประเภทการโจมตีวิศวกรรมสังคมทั่วไป ได้แก่ สเปียร์ฟิชชิง (Spear Phishing), ควิดโพรคโคว (Quid Pro Quo), เบตติ้ง (Baiting), ฟิชชิง (Phishing), พรีเท็กซติ้ง (Pretexting), และเทลเกตติ้ง (Tailgating)

บริษัทแน่นอนสามารถใช้วิธีอย่างไฟร์วอลล์ ตัวกรองอีเมล และเครื่องมือตรวจสอบเครือข่ายจัดการการโจมตีวิศวกรรมสังคมได้ แต่สิ่งนี้ไม่ลดความเสี่ยงจากข้อผิดพลาดของมนุษย์ ดังนั้น เพื่อลดอุบัติการณ์การโจมตีวิศวกรรมสังคม พนักงานต้องรู้จักประเภททั่วไปและวิธีจัดการ

นี่คือรายละเอียดวิธีการวิศวกรรมสังคมทั่วไปที่ไซเบอร์อาชญากรใช้:

1. สเปียร์ฟิชชิง (Spear Phishing) – ประเภทของการโจมตีฟิชชิงที่มุ่งเน้นองค์กรหรือบุคคลเฉพาะ เพื่อให้การโจมตีสำเร็จและดูถูกต้อง ผู้โจมตีใช้ข้อมูลที่เก็บจากโซเชียลมีเดียของเหยื่อหรือกิจกรรมออนไลน์อื่นๆ

2. ควิดโพรคโคว (Quid Pro Quo) – เมื่อผู้โจมตีขอข้อมูลลับแลกกับสิ่งที่ใครบางคนต้องการ จะเกิดการโจมตีควิดโพรคโคว ตัวอย่าง หากเหยื่อถูกขอให้ล็อกอินหรือแชร์ข้อมูลส่วนตัวเพื่อรับของรางวัล อาจเป็นการโจมตีควิดโพรคโคว อย่าลืม ถ้าอะไรดูดีเกินจริง ต้องมีบางอย่างไม่ถูกต้อง

3. เบตติ้ง (Baiting) – เมื่อบุคคลใช้ USB ฟลัชไดรว์หรือซีดีที่ติดไวรัสซึ่งผู้โจมตีทิ้งไว้ จะเกิดการโจมตีเบตติ้ง หมายถึงผู้โจมตีทิ้งอุปกรณ์ติดไวรัสไว้ที่มองเห็นง่าย และใครบางคนจะหยิบไปใช้ เมื่ออุปกรณ์เชื่อมต่อ มัลแวร์จะติดตั้งบนเครื่องและผู้โจมตีควบคุมได้

4. ฟิชชิง (Phishing) – เมื่อบุคคลโดนหลอกให้ติดตั้งมัลแวร์ แชร์ข้อมูลส่วนตัว การเงิน หรือองค์กร จะเกิดการโจมตีฟิชชิง เป็นโหมดที่พบบ่อยและยอดนิยมที่สุดของการโจมตีวิศวกรรมสังคม เพื่อให้สำเร็จ โจรส่งการสื่อสารปลอมให้เหยื่อ แปลงเป็นสิ่งถูกต้องหรืออ้างว่าเป็นแหล่งเชื่อถือได้ ปกติผู้โจมตีเอาเปรียบจากภัยธรรมชาติและส่งเมลขอการกุศลหลังจากเหตุร้าย ใช้จิตใจดีของคนขอให้บริจาคโดยบันทึกข้อมูลส่วนตัวหรือการชำระเงิน

5. พรีเท็กซติ้ง (Pretexting) – เมื่อผู้โจมตีสร้างสถานการณ์ปลอมเพื่อบังคับเหยื่อให้เข้าถึงข้อมูลลับหรือระบบที่ป้องกัน ตัวอย่าง โจรทำเป็นส่วนหนึ่งขององค์กรที่เชื่อถือได้ หลอกให้เปิดเผยข้อมูลล็อกอินหรือให้เข้าถึงข้อมูลลับ

6. เทลเกตติ้ง (Tailgating) – เป็นเทคนิควิศวกรรมสังคมทางกายภาพ เกิดขึ้นเมื่อบุคคลไม่ได้รับอนุญาตเดินตามบุคคลเข้าไปในพื้นที่ปลอดภัย เป้าหมายคือเข้าถึงและขโมยข้อมูลมีค่า

วิศวกรรมสังคมเป็นภัยคุกคามที่ต่อเนื่องและรุนแรงต่อองค์กรและพนักงานที่โดนหลอก ดังนั้น ขั้นตอนแรกเพื่อความปลอดภัยคือฝึกอบรมพนักงานและทำให้รู้จักวิธีวิศวกรรมสังคมที่ซับซ้อนที่วิศวกรสังคมใช้ เพื่อเข้าถึงข้อมูลลับ

วิธีฝึกอบรมผู้ใช้ปลายทางป้องกันการโจมตีวิศวกรรมสังคม

ขั้นตอนแรกเพื่อความปลอดภัยคือสร้างความตระหนักระหว่างพนักงานและทำให้คุ้นเคยกับกลยุทธ์ที่วิศวกรสังคมใช้ขโมยข้อมูล นอกจากนี้ จุดต่อไปนี้ควรจำไว้:

1. สร้างความตระหนักด้านความปลอดภัยโดยฝึกอบรมพนักงานซ้ำๆ

2. รับประกันการจัดโปรแกรมฝึกอบรมความปลอดภัยครบถ้วนเพื่ออัปเดตพนักงานและให้รู้จักภัยคุกคามฟิชชิงล่าสุดและวิธีการเกิดขึ้น

3. ให้การฝึกอบรมทั้งผู้บริหารระดับสูงและระดับต่ำ

4. ให้แน่ใจว่าไม่มีใครแชร์ข้อมูลลับทางโทรศัพท์หรืออีเมล

5. ตรวจสอบกระบวนการเดิมเป็นระยะๆ

6. อีเมลสำหรับ CEO หรือผู้บริหารขอข้อมูลการเงินหรือความลับธุรกิจควรเป็นสัญญาณเตือน และไม่ควรเชื่อถูกหลอก

7. จัดทดสอบจำลอง (Mock Test) ดูว่าพนักงานเข้าใจพอเกี่ยวกับฟิชชิงและวิศวกรรมสังคมไหม

8. หลีกเลี่ยงการแชร์ข้อมูลล็อกอิน รหัสผ่านกับใคร หากบุคคลที่ถูกต้องต้องเข้าถึงข้อมูล พวกเขาจะทำได้โดยไม่ต้องขอคุณแชร์

9. ตรวจสอบว่า URL ถูกต้องและแท้จริงก่อนกรอกข้อมูลอย่างชื่อผู้ใช้ รหัสผ่าน หรือรายละเอียดบัญชี

10. หากได้รับไฟล์แนบจากผู้ส่งไม่รู้จัก อย่าเปิดหรือดาวน์โหลด

แม้คุณคิดว่าการโจมตีวิศวกรรมสังคมตรวจจับง่ายและจัดการง่าย นี่คือการโจมตีวิศวกรรมสังคมที่โด่งดังซึ่งอาจเปิดตาของคุณ

การโจมตีวิศวกรรมสังคมที่โด่งดัง

2016: อีเมลสมัชชาแห่งชาติประชาธิปไตย (Democratic National Convention): ผู้โจมตีสร้างอีเมลสเปียร์ฟิชชิงที่ดูถูกต้อง ทำให้ขโมยอีเมล 150,000 ฉบับจากพนักงาน 12 คนของแคมเปญคลินตัน

2016: กรมยุติธรรมสหรัฐ (United States Department of Justice): โดนแฮกเกอร์หลอกเพราะเขาทำเป็นพนักงานใหม่ขอความช่วยเหลือ ทำให้ได้รหัสเข้าถึงนำไปสู่การรั่วไหลข้อมูลพนักงาน FBI 20,000 คน และ DHS 9,000 คน

2015: การโจมตี BEC ของ Ubiquiti Networks: สูญเสียประมาณ 46.7 ล้านดอลลาร์ เป็นการโจมตีอีเมลสเปียร์ฟิชชิงพิเศษ ผู้โจมตีทำเป็นผู้บริหารระดับสูงมุ่งเป้าพนักงานที่มีอำนาจโอนเงินหรือเข้าถึงบันทึก HR อีเมลขอโอนเงินไปบัญชีพาร์ทเนอร์ แต่จริงๆ อยู่ภายใต้การควบคุมแฮกเกอร์ องค์กรต้องรับความเสียหายทางการเงินจากพนักงานโดนหลอก

2014: การแฮก Sony Pictures

2014: การแฮก Yahoo: การแฮก Yahoo ปี 2014 มีความสำคัญ เสี่ยงถึง 500 ล้านผู้ใช้ การโจมตีสเปียร์ฟิชชิงมุ่งเป้า "พนักงานสิทธิพิเศษครึ่งหนึ่ง" ของ Yahoo

2013: Twitter ของ Associated Press

2013: การขโมยใบรับรอง Bit9

2013: Target Point of Sale

2013: United States Department of Labor Watering Hole

2011: RSA SecurID

สรุป

บทความนี้อาจเป็นองค์ประกอบสำหรับบางคนที่อ่านเกี่ยวกับการตัดสินใจด้านความปลอดภัยที่แย่ แต่นี่คือความจริง ไม่มีใครปลอดภัยจากการโจมตีวิศวกรรมสังคม และแม้แต่คนฉลาดที่สุดก็โดนเหยื่อ ดังนั้น จำเป็นต้องคิดถึงความปลอดภัยออนไลน์อย่างจริงจังและเกล็ดสังเกตทุกคำขอออนไลน์ด้วยตาเงียบ