Social Engineering (วิศวกรรมทางสังคม) ในบริบทความปลอดภัยเครือข่ายคืออะไร?
การใช้ จิตวิทยาและการหลอกลวงมนุษย์ เพื่อให้เผยข้อมูลลับ ทำการกระทำที่อันตราย หรือให้สิทธิ์เข้าถึงระบบ/เครือข่าย โดยไม่ต้องใช้ความรู้ทางเทคนิคหรือการโจมตีทางดิจิทัลโดยตรง เป็น จุดอ่อนที่ใหญ่ที่สุด เพราะ "มนุษย์ไม่สามารถแพทช์ได้"
4 ประเภทหลักของ Social Engineering
| ประเภท | คำอธิบาย | ตัวอย่าง |
|---|---|---|
| Phishing (ฟิชชิง) | อีเมล/ข้อความปลอม แทรกลิงก์/ไฟล์แนบอันตราย หลอกให้กรอก Credential | Email ปลอมธนาคาร, Microsoft 365, HR, Shipping Notification |
| Spear Phishing / Whaling | Phishing แบบ Targeted ใช้ข้อมูลส่วนบุคคล/องค์กร (OSINT) ทำให้น่าเชื่อถือ | CEO Fraud (BEC), Invoice Fraud, Targeted Executive |
| Vishing (Voice Phishing) | โทรศัพท์ปลอม (Caller ID Spoofing) หลอกให้เปิดเผยข้อมูล/โอนเงิน | ปลอม IT Support, Bank, Police, Microsoft "Virus Alert" |
| Smishing (SMS Phishing) | ข้อความ SMS/Chat App ปลอม หลอกคลิกลิงก์/ตอบกลับ | Package Delivery, Bank Alert, 2FA Code Request |
| Pretexting (การสร้างสถานการณ์) | สร้างบทบาท/สถานการณ์ปลอม (Survey, Audit, IT Support) เพื่อขอข้อมูล | โทรปลอม IT Helpdesk ขอ Password "เพื่อแก้ปัญหา" |
| Baiting (การวางเหยื่อ) | วางของมีค่า (USB Drive, Hard Drive, Free Download) ที่มี Malware | USB ติดฉลาก "Salary 2024" "Confidential" วางที่ล็อบบี้/ที่จอดรถ |
| Tailgating / Piggybacking | ตามเข้าโซนควบคุมการเข้าถึงโดยไม่มี Badge (ถือประตู, ปลอม Visitor) | ถือกล่องหนัก ขอให้พนักงานช่วยถือประตู Server Room |
| Quid Pro Quo | เสนอบริการ/ของขวัญแลกกับข้อมูล/การเข้าถึง | "Free Pen Test" "Free Security Audit" "Gift Card สำหรับ Survey" |
วัฏจักรการโจมตี (Attack Lifecycle)
- Reconnaissance (OSINT): รวบรวมข้อมูลจาก LinkedIn, Facebook, Website, DNS, Breach Data
- Hook (Engagement): สร้าง Pretext, Urgency, Authority, Fear, Curiosity, Greed
- Play (Exploitation): เล่นบทบาท ขอ Credential, คลิกลิงก์, เปิดไฟล์, ให้ Access
- Exit (Cleanup): ลบหลักฐาน, Persistence, Lateral Movement, Data Exfiltration
เหตุผลที่ Social Engineering ประสบความสำเร็จ
- Cognitive Biases: Authority Bias (เชื่อผู้มีอำนาจ), Urgency (ตัดสินใจเร็ว), Social Proof (คนอื่นทำ), Reciprocity (ตอบแทนความดี)
- ขาดการฝึกอบรม: พนักงานไม่รู้จัก Red Flags
- วัฒนธรรมองค์กร: ไม่อยากมื้อเพื่อนร่วมงาน, กลัวโทษจากผู้บังคับบัญชา
- Technical Controls ไม่ครอบคลุม: Firewall/EDR ไม่บล็อกการสนทนาทางโทรศัพท์หรือการเข้าพื้นที่ทางกายภาพ
การป้องกันและลดความเสี่ยง (Mitigation)
| มาตรการ | รายละเอียด |
|---|---|
| Security Awareness Training | ฝึกอบรมประจำปี + Phishing Simulation (Quarterly) + Micro-learning |
| Technical Controls | Email Security (DMARC/DKIM/SPF, Sandbox, URL Rewriting), MFA (Phishing-resistant: FIDO2/WebAuthn), EDR, Browser Isolation |
| Process & Policy | Verify Out-of-band (โทรกลับ), Approval Workflow สำหรับ Wire Transfer/Data Access, Clean Desk Policy |
| Physical Security | Badge Access, Mantrap, Visitor Escort, Tailgating Detection, Server Room Lock |
| Incident Reporting | No-blame Culture, Easy Reporting (Phish Button, Hotline), Fast Response |
| Red Team / Social Engineering Assessment | จ้างทีมทดสอบจริง (Phishing, Vishing, Physical) ปีละ 1-2 ครั้ง |
กรณีศึกษา nổi tiếng
- Google & Facebook ($100M+): Evaldas Rimasauskas - Fake Invoice Vendor (Quanta Computer) - BEC
- Twitter (2020): Vishing โทรปลอม IT Support → Employee Credentials → Internal Tools → Celebrity Account Takeover
- RSA (2011): Spear Phishing Email "2011 Recruitment Plan.xls" (Excel 0-day) → SecurID Seed Stolen
- Target (2013): Phishing Vendor (HVAC) → VPN Credentials → POS Malware → 40M Credit Cards
สรุป
Social Engineering เป็น Initial Access Vector #1 (Verizon DBIR: 70-90% ของ Breaches) การป้องกันต้องรวม People (Training, Culture), Process (Verification, Policy), Technology (MFA, Email Sec, EDR) ไม่มี Silver Bullet ต้องทำต่อเนื่องและวัดผล
