Baiting (เบตติ้ง) ในความปลอดภัยเครือข่าย: เทคนิคหลอกลวงทางสังคมที่อันตราย

Baiting (การวางเหยื่อ) คืออะไร?

Baiting เป็นรูปแบบหนึ่งของ Social Engineering (วิศวกรรมทางสังคม) ที่โจมตีใช้ "สิ่งที่เหยื่อต้องการ" เป็นเหยื่อ เพื่อล่อให้เหยื่อทำอย่างที่โจมตีต้องการ เช่น:

• ดาวน์โหลดไฟล์ที่ติดมัลแวร์
• กรอกข้อมูลส่วนตัว/ข้อมูลรับรอง (Credentials)
• เสียบ USB ที่ติดมัลแวร์เข้าคอมพิวเตอร์
• คลิกลิงก์ไปยังเว็บไซต์ปลอม

แตกต่างจาก Phishing ที่ใช้ "ความกลัว/ความเร่งด่วน" Baiting ใช้ "ความอยากได้/ความสงสัย/ความโลภ"

ประเภทของ Baiting

Baiting vs Phishing vs Pretexting

ตัวอย่างการโจมตี Baiting จริง

1. Stuxnet (2010): USB ติดมัลแวร์ถูกวางไว้ใกล้สถานที่นิวเคลียร์อิหร่าน พนักงานเสียบเข้าระบบ Air-gapped
2. RSA Breach (2011): Phishing Email ไฟล์ Excel ติด Exploit (Flash) 題目 "2011 Recruitment Plan" → โดนขโมย Seed ของ SecurID Token
3. Target Breach (2013): Vendor (HVAC) โดน Phishing/Baiting → เข้าเครือข่าย Target → โจมตี POS
4. COVID-19 Baiting: "Free Vaccine Appointment", "WHO Safety Guidelines.pdf.exe", "Stimulus Check Calculator"

วิธีป้องกัน Baiting

ระดับองค์กร (Technical Controls)

• ปิด USB Port / ใช้ USB Port Blocker / ใช้ Device Control (EDR)
• Disable AutoRun/AutoPlay สำหรับ Removable Media
• Application Whitelisting (AppLocker, WDAC) - ไม่ให้รัน .exe จาก USB
• Email/Web Gateway: Block Malicious Attachments, URLs, File Types
• Network Segmentation: จำกัดการแพร่ระบาด
• EDR/XDR: ตรวจจับพฤติกรรมผิดปกติจากไฟล์ที่รันจาก USB

ระดับบุคคล/องค์กร (Administrative Controls)

• Security Awareness Training: ฝึกพนักงานรู้จัก Baiting, Phishing, Pretexting, Tailgating
• Phishing/Baiting Simulation: ส่ง USB ทดสอบ / Email ทดสอบ วัดอัตราคลิก/เสียบ
• Clear Policy: "ห้ามเสียบ USB ต่างหู", "ห้ามดาวน์โหลดจากแหล่งไม่ไว้ใจ", "รายงานของเจ็บ/อีเมลน่าสงสัย"
• Clean Desk Policy: ไม่ทิ้งเอกสาร/อุปกรณ์ไว้สาธารณะ
• Incident Reporting: ช่องทางรายงานง่าย ไม่โทษเมื่อรายงาน善意

จิตวิทยาของเหยื่อ: ทำไมคนจึงตก Baiting?

• Curiosity (ความสงสัย): "ไฟล์นี้มีอะไรอยู่?" "รหัสผ่านนี้เป็นของใคร?"
• Greed (ความโลภ): "ฟรีจริงหรอ?" "ได้เงิน/ของรางวัลง่ายๆ"
• Helpfulness (ความช่วยเหลือ): "ช่วยเพื่อนร่วมงานหน่อย" (Quid Pro Quo)
• Fear of Missing Out (FOMO): "โปรโมชั่นจบใน 1 ชั่วโมง"
• Compliance to Authority: "ผมจาก IT บอกให้ทำ" (Pretexting overlap)

สรุป

Baiting เป็นภัยคุกคามที่หลอกลวงพื้นฐานมนุษย์ (Human Nature) ไม่ใช่ช่องโหว่ทางเทคนิค การป้องกันต้องใช้ People + Process + Technology ร่วมกัน: ฝึกอบรมให้รู้จัก, นโยบายชัดเจน, ควบคุม USB/Application, ตรวจจับพฤติกรรมผิดปกติ และสร้างวัฒนธรรม "คิดก่อนคลิก คิดก่อนเสียบ"

ทำไมต้องมี Network Security ถ้า Harden System แล้ว? ความแตกต่างระหว่าง System Hardening และ Network Security

Network Security Key คืออะไร? เมื่อตั้งค่าอินเทอร์เน็ตบนแลปท็อป ต้องกรอกอะไร?