อีเมลเป็นเวกเตอร์โจมตีทั่วไปที่นักหลอกลวงและอาชญากรคอมพิวเตอร์ใช้ แตถ้าคุณคิดว่ามันใช้เฉพาะแพร่มัลแวร์ ฟิชชิง และการหลอกลวงค่าธรรมเนียมล่วงหน้านิเจเรีย (Nigerian advance fee scams) ให้คิดใหม่ มี การหลอกลวงผ่านอีเมลรูปแบบใหม่ ที่ผู้โจมตีจะปลอมตัวเป็นบอสของคุณ และหลอกคุณโอนเงินบริษัทหลายพันดอลลาร์ ไปยังบัญชีธนาคารที่พวกเขาควบคุม
มันเรียกว่า CEO Fraud หรือ "Insider Spoofing" (ปลอมตัวภายใน)
เข้าใจการโจมตี
การโจมตีนี้ทำงานอย่างไร? เพื่อให้ผู้โจมตีดึงการหลอกลวงนี้สำเร็จ พวกเขาต้องรู้ข้อมูลมากมายเกี่ยวกับบริษัทเป้าหมาย
ส่วนใหญ่เกี่ยวกับโครงสร้างลำดับชั้นของบริษัทหรือสถาบันเป้าหมาย พวกเขาต้องรู้ ว่า จะปลอมตัวเป็นใคร แม้จะเรียกว่า "CEO Fraud" จริงๆ แล้วมุ่งเป้า ทุกคน ที่มีบทบาทสูง — ใครก็ตามที่สามารถสั่งการโอนเงินได้ พวกเขาต้องรู้ชื่อ และอีเมล ยังช่วยได้ถ้ารู้ตารางเวลา และเวลาที่คนคนนั้นเดินทางหรือลา
สุดท้าย พวกเขาต้องรู้ว่า ใครในองค์การสามารถสั่งโอนเงินได้ เช่น บัญชี หรือคนในฝ่ายการเงิน
ข้อมูลส่วนใหญ่หาได้ฟรีจากเว็บไซต์ของบริษัทเป้าหมาย บริษัทขนาดกลางและเล็กหลายแห่ง มีหน้า "About Us" รายชื่อพนักงาน บทบาท หน้าที่ และข้อมูลติดต่อ
การหาตารางเวลาอาจยากกว่า ส่วนใหญ่ไม่เผยแพร่ปฏิทินออนไลน์ แตหลายคนเผยแพร่การเคลื่อนไหวบนโซเชียลมีเดีย เช่น Twitter, Facebook, และ Swarm (ก่อนหน้านี้ Foursquare) ผู้โจมตีแค่รอจนคนคนนั้นออกจากสำนักงาน แล้วก็โจมตี
เมื่อผู้โจมตีมีชิ้นส่วนครบ พวกเขาจะอีเมลพนักงานฝ่ายการเงิน ปลอมตัวเป็น CEO ขอให้สร้างการโอนเงินไปยังบัญชีที่พวกเขาควบคุม
เพื่อให้ทำงาน อีเมลต้องดู แท้จริง พวกเขาจะใช้อีเมลที่ดู 'ถูกต้อง' หรือน่าเชื่อถือ (เช่น firstname.lastname.arbitrarynumber@gmail.com) หรือ 'Spoofing' อีเมลจริงของ CEO — ส่งอีเมลพร้อม Header ที่ปรับเปลี่ยน ให้ฟิลด์ "From:" มีอีเมลจริงของ CEO ผู้โจมตีที่มีแรงจูงใจอาจพยายามให้ CEO อีเมลมาหาพวกเขา เพื่อเลียนแบบสไตล์และความสวยงามของอีเมล
ผู้โจมตีหวังว่าพนักงานฝ่ายการเงินจะถูกกดดันให้โอนเงินโดยไม่ตรวจสอบกับผู้บริหารเป้าหมายก่อน การเดิมพันนี้จ่ายผลบ่อย บางบริษัทจ่ายเงินไปหลายแสนดอลลาร์โดยไม่รู้ตัว บริษัทในฝรั่งเศสที่ BBC ติดตามรายงาน สูญเสีย 100,000 ยูโร ผู้โจมตีพยายามขอ 500,000 แตธนาคารบล็อกการโอนทั้งหมดยกเว้น 1 ครั้ง เพราะสงสัยการทุจริต
การโจมตี Social Engineering ทำงานอย่างไร
ภัยคุกคามความปลอดภัยคอมพิวเตอร์แบบดั้งเดิม มักเป็นลักษณะทางเทคโนโลยี ดังนั้นคุณจึงสามารถใช้มาตรการทางเทคโนโลยีป้องกัน หากติดมัลแวร์ ติดตั้งแอนตี้ไวรัส หากมีคนพยายามแฮกเว็บเซิร์ฟเวอร์ จ้างคนทำ Penetration test และแนะนำการ 'Hardening' เครื่อง
การโจมตี Social Engineering — ซึ่ง CEO Fraud เป็นตัวอย่างหนึ่ง — ยากกว่ามากที่จะลดทอน เพราะไม่ได้โจมตีระบบหรือฮาร์ดแวร์ พวกเขาโจมตี มนุษย์ แทนที่จะ exploit ช่องโหว่ในโค้ด พวกเขาใช้ข้อได้เปรียบจากธรรมชาติมนุษย์ และอัตวิสัยชีวภาพที่ไว้วางใจคนอื่น การอธิบายที่น่าสนใจที่สุดเกี่ยวกับการโจมตีนี้ ทำที่งานประชุม DEFCON ปี 2013
การแฮกที่ท้าทายความเชื่อมากที่สุดหลายกรณี มาจาก Social Engineering
ปี 2012 อดีตนักข่าว Wired ชื่อ Mat Honan โดนโจมตีโดยกลุ่มอาชญากรไซเบอร์ที่มุ่งมั่น จะทำลายชีวิตออนไลน์ของเขา ด้วย Social Engineering พวกเขาโน้มน้าว Amazon และ Apple ให้ข้อมูลที่จำเป็น เพื่อ Remote-wipe MacBook Air และ iPhone ของเขา ลบอีเมล และยึดบัญชี Twitter ที่มีอิทธิพล โพสต์ข้อความเหยียดเชื้อชาติและเกลียดเกย์ คุณอ่านเรื่องราวน่าสยองขวัญได้ที่นี่
การโจมตี Social Engineering ไม่ใช่นวัตกรรมใหม่ แฮกเกอร์ใช้มามากกว่าทศวรรษ เพื่อเข้าถึงระบบ อาคาร และข้อมูล หนึ่งใน Social Engineer ที่มีชื่อเสียงที่สุดคือ Kevin Mitnick ซึ่งในช่วงกลาง 90's ใช้หลายปีหลบตำรวจ หลังทำอาชญากรคอมพิวเตอร์ซ้ำๆ ต้องจำคุก 5 ปี และห้ามใช้คอมพิวเตอร์จนถึง 2003 ในฐานะแฮกเกอร์ Mitnick ใกล้เคียงกับสถานะ Rockstar ตอนได้อนุญาตใช่อินเทอร์เน็ต ถูกออกอากาศบน The Screen Savers ของ Leo Laporte
เขากลายเป็นคนดีในที่สุด ดำเนินบริษัทที่ปรึกษาความปลอดภัยคอมพิวเตอร์ และเขียนหนังสือหลายเล่มเกี่ยว Social Engineering และการแฮก ความเป็นที่นิยมสูงสุดคือ "The Art of Deception" (ศิลปะแห่งการหลอกลวง) ซึ่งเป็นแอนทอลอจี้เรื่องสั้น ดูว่าการโจมตี Social Engineering ดำเนินการอย่างไร และป้องกันอย่างไร ซื้อได้ที่ Amazon
ทำอะไรได้บ้างกับ CEO Fraud?
สรุป: เรารู้ว่า CEO Fraud น่าสยองขวัญ เรารู้ว่ามันทำให้บริษัทหลายแห่งเสียเงินมาก เรารู้ว่ายากมากที่จะลดทอน เพราะโจมตีมนุษย์ ไม่ใช่คอมพิวเตอร์ สิ่งสุดท้ายคือ เราต่อสู้มันอย่างไร
ง่ายกว่าพูด หากคุณเป็นพนักงาน และได้รับคำขอโอนเงินน่าสงสัยจากนายจ้างหรือบอส คุณควร ตรวจสอบด้วยวิธีอื่นนอกจากอีเมล ว่าจริงหรือไม่ พวกเขาอาจหงิดเล็กน้อยที่คุณรบกวน แตจะ หงิดมากกว่า หากคุณโอนเงินบริษัท $100,000 ไปยังบัญชีต่างประเทศ
มีโซลูชันทางเทคโนโลยีด้วย การอัปเดต Office 365 ของ Microsoft ที่จะมาถึง จะมีการป้องกันประเภทนี้ โดยตรวจสอบแหล่งที่มาของอีเมลแต่ละฉบับ ว่ามาจากผู้ติดต่อที่เชื่อถือได้หรือไม่ Microsoft คาดว่ามี การปรับปรุง 500% ในการระบุอีเมลปลอม/ซ้ำของ Office 365
อย่าให้ตกเป็นเหยื่อ
วิธีที่น่าเชื่อถือที่สุดในการป้องกันคือ ใจเย็นและสงสัย ทุกครั้งที่ได้อีเมลขอโอนเงินจำนวนมาก โทรหาบอสตรงๆ ดูว่าจริงหรือไม่ หากคุณมีอิทธิพลต่อฝ่าย IT พิจารณาขอให้ย้ายไป Office 365 ซึ่งนำหน้าด้านการต่อสู้ CEO Fraud
หวังว่าไม่เป็น แต่คุณเคยเป็นเหยื่อการหลอกลวงอีเมลเพื่อเงินไหม? ถ้าเคย ผมอยากฟัง แชร์ประสบการณ์ในความคิดเห็นด้านล่าง
เครดิตรูปภาพ: AnonDollar (Your Anon), Miguel The Entertainment CEO (Jorge)
