เมื่อวันที่ 12 มกราคม 2016 เกิดเหตุการณ์โจมตีทางไซเบอร์ที่ส่งผลกระทบต่อลูกค้า 80,000 รายของผู้ให้บริการไฟฟ้าในยูเครน (Prykarpattyaoblenergo) นี่คือครั้งแรกที่สามารถบันทึกและยืนยันได้อย่างเต็มที่ว่าการไฟฟ้าดับเป็นผลมาจากแฮกเกอร์ที่ดำเนินการจากระยะไกล แฮกเกอร์เหล่านี้ไม่ได้มีอุปกรณ์หรือทรัพยากรที่ทันสมัยที่สุดเสมอไป แต่พวกเขามีทัศนคติและพรสวรรค์ที่ท้าทายมาตรการป้องกันด้วยหลักการเดียว: "จุดอ่อนที่สุดของระบบรักษาความปลอดภัยคือมนุษย์ที่ใช้งานมัน"
การสืบสวนเหตุการณ์ดังกล่าวสรุปได้ว่าเป็นเหตุการณ์ "สปียอร์ฟิชชิง" (Spear Phishing) แม้จะเคยพูดถึงหัวข้อนี้สั้นๆ ในบทความก่อนหน้า แต่ข้าพเจ้าคิดว่านี่คือโอกาสที่เหมาะสมที่จะขยายเนื้อหาและนำเสนอข้อมูลสำคัญให้มากที่สุดเกี่ยวกับรูปแบบการโจมตีประเภทนี้
สปียอร์ฟิชชิง (Spear Phishing) คืออะไร?
เคล็ดลับของสปียอร์ฟิชชิงอยู่ที่การรวบรวมข้อมูลส่วนบุคคลของเป้าหมาย (วันเกิด ชื่อ ข้อมูลที่เกี่ยวข้องอื่นๆ) ก่อนการโจมตีจริง การโจมตีจะนำข้อมูลเหล่านั้นมาใช้เพื่อหลอกลวงให้เป้าหมายเชื่อว่าผู้ส่งเป็นหน่วยงานที่ถูกต้องและ "รู้จัก" เป้าหมาย สปียอร์ฟิชชิงอันตรายเพราะมันใช้ความสัมพันธ์ระหว่างบุคคลและองค์กรเพื่อให้บรรลุวัตถุประสงค์ ซึ่งมักเกี่ยวข้องกับการขอข้อมูลสำคัญและมีประโยชน์ (มักเป็นข้อมูลทางการเงิน แต่ไม่ได้จำกัดเพียงแค่นั้น เช่น การขโมยข้อมูลตัวตน)
เว็บไซต์ของ FBI ใช้ตัวอย่างสมมติว่าแฮกเกอร์ปลอมตัวเป็นบริษัทโทรคมนาคมและส่งลิงก์ไปยังหน้าเว็บปลอมให้ลูกค้ากรอกวันเกิดและหมายเลขประกันสังคม นี่เป็นตัวอย่างคลาสสิกของสิ่งที่อธิบายไว้ข้างต้น โดยทั่วไป เหยื่อของสปียอร์ฟิชชิงมักมีความเชื่อมโยงกันในบางรูปแบบ เช่น เป็นลูกค้าของบริษัทเดียวกัน เพื่อนร่วมงาน หรือเพื่อนร่วมชั้น
ความแตกต่างระหว่างสปียอร์ฟิชชิงกับฟิชชิงทั่วไป
รูปแบบฟิชชิงแบบดั้งเดิมเกี่ยวข้องกับการส่งอีเมลแบบสุ่มไปยังรายชื่อจำนวนมาก แฮกเกอร์หวังที่จะได้รับการตอบกลับบ้าง แต่มากส่วนน่าจะไม่เป็นเหยื่อ ด้วยความซับซ้อนของสปียอร์ฟิชชิง จึงทำให้มีประสิทธิภาพมากกว่าและน่าจะสร้างเหยื่อได้แม้ในกลุ่มคนที่ควรจะรู้ดีว่าไม่ควรเชื่ออีเมลประเภทนี้ บางครั้งการโจมตีสปียอร์ฟิชชิงใช้ที่อยู่อีเมลทางการของบริษัทที่เลียนแบบ (เรียกว่า Spoofing) ทำให้อันตรายมากยิ่งขึ้น
แฮกเกอร์ที่ฉลาด แทนที่จะมองการรั่วไหลของฐานข้อมูลขนาดใหญ่ (เช่นเหตุการณ์ Target ในมีนาคม 2014) ว่าเป็นแค่รายชื่ออีเมลสุ่มที่สามารถยิงได้เพื่อสนุก พวกเขามองว่ามันเป็นโอกาสในการใช้ข้อมูลที่รวบรวมมาเพื่อทำให้ลูกค้าเป็นเหยื่อ โดยใช้ความไว้วिशวาสในบริษัทเป็นเหยื่อ นี่เป็นการกระทำที่เลวทราม? ใช่ เป็นการทำร้าย? แน่นอน แต่ก็ยังมีความทรงดงดื่มอีกด้วย!
วิธีป้องกันตัวเองจากสปียอร์ฟิชชิง
เพื่อต่อสู้กับสปียอร์ฟิชชิง การป้องกันเป็นสำคัญที่สุด คุณต้องปฏิบัติภายใต้หลักการที่ว่า ไม่มีบริษัทแห่งใดจะขอข้อมูลส่วนตัวผ่านข้อความอีเมล อย่าติดต่อหมายเลขโทรศัพท์ของบริษัทโดยใช้หมายเลขที่ให้มาในอีเมล เนื่องจากอาจเป็นของแฮกเกอร์ ไม่ใช่หน่วยงานจริง คุณควรค้นหาเบอร์โทรศัพท์ทางการของบริษัทและโทรไปโดยตรงหากได้รับอีเมลน่าสงสัย
หากอีเมลมาจากเพื่อนหรือสมาชิกในครอบครัว ให้โทรกลับหาพวกเขาแทนที่จะตอบกลับทางอีเมล ที่อยู่อาจถูกปลอม (Spoofed)
มีเคล็ดลับอื่นๆ ในการป้องกันไม่ให้กลายเป็นเหยื่อของสปียอร์ฟิชชิงไหม? บอกเราได้ในส่วนความคิดเห็น!
