รู้จักกับ Social Engineering ศิลปะการหลอกลวงของแฮ็คเกอร์

sophos_logo

หลายท่านน่าจะเคยได้ยินคำว่า Social Engineering กันมาบ้างแล้ว บทความนี้เราจะมาทำความเข้าใจความหมาย ตัวอย่าง และวิธีป้องกันในยุคปัจจุบันกันครับ

Social Engineering หรือที่มีภาษาไทยสวยหรูว่า “วิศวกรรมสังคม” เป็นศิลปะการหลอกลวงผู้คนเพื่อผลประโยชน์ตามที่แฮ็คเกอร์ต้องการ โดยอาศัยจุดอ่อน ความไม่รู้ หรือความประมาทเลินเล่อ ทำให้เป็นการโจมตีทีได้ผลดีมากเมื่อเทียบกับการโจมตีไซเบอร์รูปแบบอื่นๆ โดยเฉพาะกับคนที่ไม่มีความรู้ทางด้านความมั่นคงปลอดภัย

ttt_terrorist_on_computer-oneinchpunch
Credit: oneinchpunch/ShutterStock

Social Engineering เป็นกุญแจสำคัญของการดำเนินการของแฮ็คเกอร์ อาจเรียกได้ว่าเป็นขั้นตอนแรกที่แฮ็คเกอร์ใช้เพื่อโจมตีเป้าหมาย ซึ่งส่วนใหญ่มักปรากฏในรูปของแคมเปญ Phishing โดยเฉพาะการหลอกให้เปิดไฟล์ที่แนบมากับอีเมล หรือเข้าถึงเว็บไซต์ที่มีมัลแวร์แฝงตัวอยู่

ศิลปะการใช้ Social Engineering เพื่อหลอกให้เหยื่อกระทำการตามที่ตนต้องการ

  • สร้างสถานการณ์ฉุกเฉิน เช่น มีการตั้งเดดไลน์สำหรับการกระทำบางอย่าง
  • ปลอมเป็นผู้อื่นที่มีความสำคัญมากๆ เช่น CEO ของบริษัท
  • กล่าวถึงเหตุการณ์หรือสถานการณ์ในปัจจุบันเพื่อให้ดูสมจริง
  • อำพราง URL อันตรายให้เหมือนกับ URL ทั่วๆ ไป
  • เสนอผลตอบแทนหรือโปรโมชันเพื่อสร้างแรงจูงใจ

Phishing จะไม่มีทางประสบความสำเร็จได้เลยถ้าแฮ็คเกอร์ทำ Social Engineering เพื่อโน้มน้าวเหยื่อให้กระทำตามที่ตนต้องการไม่สำเร็จ อย่างไรก็ตาม ปัจจุบันนี้แฮ็คเกอร์มีเทคนิคการหลอกลวงผู้คนได้อย่างแนบเนียนและตรงกลุ่มเป้าหมายมากกว่าในอดีต

Credit: The Cute Design Studio/ShutterStock
Credit: The Cute Design Studio/ShutterStock

นอกจากนี้ Social Engineering ก็ไม่จำเป็นต้องกระทำผ่านแคมเปญ Email Phishing เสมอไป แฮ็คเกอร์สามารถทำการหลอกลวงผ่านโซเชียลมีเดีย ผ่านการพบปะซึ่งหน้า หรือแม้แต่ผ่านทางโทรศัพท์ เช่น โทรศัพท์สายตรงมาที่โต๊ะทำงานของคุณโดยระบุว่ามาจาก “Tech Support” เพื่อหลอกถามข้อมูลเล็กๆ น้อยๆ เกี่ยวกับระบบคอมพิวเตอร์หรือแอพพลิเคชันที่คุณใช้งาน ข้อมูลที่ได้เหล่านี้นับว่าเป็นขุมทรัพย์สำคัญของแฮ็คเกอร์เลยทีเดียว

เป็นเรื่องยากที่จะหลีกเลี่ยงการตกเป็นเหยื่อของ Social Engineering ซึ่งทาง Sophos ก็ได้ให้คำแนะนำแก่ผู้ที่ไม่ได้อยู่ในสายงาน IT ให้สามารถปกป้องตัวเองได้ ดังนี้

  • เชื่อมั่นในสัญชาตญาณของตนเอง ถ้ารู้สึกอะไรแหม่งๆ ให้ใจเย็นๆ และยังไม่ต้องทำอะไรทั้งสิ้น ควรยืนยันสถานการณ์ให้แน่ชัดเสียก่อน ยกตัวอย่างเช่น โทรถามหัวหน้าว่าอีเมลที่ได้รับมานั้น มาจากหัวหน้าจริงหรือไม่ เป็นต้น
  • ถ้าถูกถามถึงข้อมูลสำคัญ เช่น ชื่อผู้ใช้และรหัสผ่าน ผ่านทางโทรศัพท์ ให้วางสายโดยทันที ไม่ว่าบริษัทใด ฝ่ายบริการลูกค้าหรือทีมซัพพอร์ตจะไม่ถามเกี่ยวกับข้อมูลเหล่านั้นโดยเด็ดขาด
  • หลีกเลี่ยงการคลิ๊กลิงค์บนอีเมล หรือเปิดไฟล์ที่แนบมา ถ้าไม่แน่ใจว่ารู้จักกับผู้ส่งและมั่นใจว่าเป็นอีเมลที่ผู้ส่งนั้นๆ ส่งมาจริงๆ จำไว้เสมอว่าแฮ็คเกอร์สามารถปลอมตัวเป็นคนที่คุณรู้จักหรือเพื่อนที่ทำงานได้ไม่ยากนัก
  • ระลึกไว้เสมอว่า คุณเป็นคนควบคุมจัดการทุกอย่าง อย่าให้คนอื่นๆ มาครอบงำคุณให้ทำสิ่งที่คุณไม่แน่ใจ ไม่ต้องสนใจแรงกดดัน แต่ให้ใจเย็นๆ และพิจารณาสิ่งต่างๆ อย่างถี่ถ้วน
  • ที่สำคัญคือ ควรตระหนักถีงอันตรายไซเบอร์และระมัดระวังตัวอยู่เสมอ ของฟรีไม่มีในโลก และอะไรที่ดูดีเกินไปมักนำอันตรายมาสู่คุณโดยไม่รู้ตัว

ที่มา: https://blogs.sophos.com/what-is/social-engineering/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Dynatrace Webinar: ทำ DevSecOps ให้ไหลลื่นด้วยการใช้ระบบ AI

Dynatrace ร่วมกับ DPM (Thailand) ขอเรียนเชิญผู้บริหารและผู้ปฏิบัติงานด้าน IT เข้าร่วมงานสัมมนา Dynatrace Webinar เรื่อง "ทำ DevSecOps ให้ไหลลื่นด้วยการใช้ระบบ AI" พร้อมอัปเดตความท้าทายและแนวทางปฏิบัติด้าน DevSecOps ล่าสุด ในวันพุธที่ 27 ตุลาคม 2021 เวลา 14:00 น. ผ่านทาง Live Webinar ฟรี

Beryl 8 Plus Webinar: DRIVING A DATA CULTURE FOR OPTIMAL BUSINESS PERFORMANCE WITH TABLEAU BY BERYL 8 PLUS [26 Oct 2021]

Beryl 8 Plus ขอเชิญร่วมสัมมนาออนไลน์ในหัวข้อ "การขับเคลื่อนข้อมูลเพื่อประสิทธิภาพทางธุรกิจสูงสุดด้วย Tableau จากเบริล 8 พลัส" ในวันอังคารที่ 26 ตุลาคม 2021 เวลา 14.00 - 15.30 น. โดยมีกำหนดการลงทะเบียนดังนี้