TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
หลายท่านน่าจะเคยได้ยินคำว่า Social Engineering กันมาบ้างแล้ว บทความนี้เราจะมาทำความเข้าใจความหมาย ตัวอย่าง และวิธีป้องกันในยุคปัจจุบันกันครับ
Social Engineering หรือที่มีภาษาไทยสวยหรูว่า “วิศวกรรมสังคม” เป็นศิลปะการหลอกลวงผู้คนเพื่อผลประโยชน์ตามที่แฮ็คเกอร์ต้องการ โดยอาศัยจุดอ่อน ความไม่รู้ หรือความประมาทเลินเล่อ ทำให้เป็นการโจมตีทีได้ผลดีมากเมื่อเทียบกับการโจมตีไซเบอร์รูปแบบอื่นๆ โดยเฉพาะกับคนที่ไม่มีความรู้ทางด้านความมั่นคงปลอดภัย
Social Engineering เป็นกุญแจสำคัญของการดำเนินการของแฮ็คเกอร์ อาจเรียกได้ว่าเป็นขั้นตอนแรกที่แฮ็คเกอร์ใช้เพื่อโจมตีเป้าหมาย ซึ่งส่วนใหญ่มักปรากฏในรูปของแคมเปญ Phishing โดยเฉพาะการหลอกให้เปิดไฟล์ที่แนบมากับอีเมล หรือเข้าถึงเว็บไซต์ที่มีมัลแวร์แฝงตัวอยู่
ศิลปะการใช้ Social Engineering เพื่อหลอกให้เหยื่อกระทำการตามที่ตนต้องการ
- สร้างสถานการณ์ฉุกเฉิน เช่น มีการตั้งเดดไลน์สำหรับการกระทำบางอย่าง
- ปลอมเป็นผู้อื่นที่มีความสำคัญมากๆ เช่น CEO ของบริษัท
- กล่าวถึงเหตุการณ์หรือสถานการณ์ในปัจจุบันเพื่อให้ดูสมจริง
- อำพราง URL อันตรายให้เหมือนกับ URL ทั่วๆ ไป
- เสนอผลตอบแทนหรือโปรโมชันเพื่อสร้างแรงจูงใจ
Phishing จะไม่มีทางประสบความสำเร็จได้เลยถ้าแฮ็คเกอร์ทำ Social Engineering เพื่อโน้มน้าวเหยื่อให้กระทำตามที่ตนต้องการไม่สำเร็จ อย่างไรก็ตาม ปัจจุบันนี้แฮ็คเกอร์มีเทคนิคการหลอกลวงผู้คนได้อย่างแนบเนียนและตรงกลุ่มเป้าหมายมากกว่าในอดีต
นอกจากนี้ Social Engineering ก็ไม่จำเป็นต้องกระทำผ่านแคมเปญ Email Phishing เสมอไป แฮ็คเกอร์สามารถทำการหลอกลวงผ่านโซเชียลมีเดีย ผ่านการพบปะซึ่งหน้า หรือแม้แต่ผ่านทางโทรศัพท์ เช่น โทรศัพท์สายตรงมาที่โต๊ะทำงานของคุณโดยระบุว่ามาจาก “Tech Support” เพื่อหลอกถามข้อมูลเล็กๆ น้อยๆ เกี่ยวกับระบบคอมพิวเตอร์หรือแอพพลิเคชันที่คุณใช้งาน ข้อมูลที่ได้เหล่านี้นับว่าเป็นขุมทรัพย์สำคัญของแฮ็คเกอร์เลยทีเดียว
เป็นเรื่องยากที่จะหลีกเลี่ยงการตกเป็นเหยื่อของ Social Engineering ซึ่งทาง Sophos ก็ได้ให้คำแนะนำแก่ผู้ที่ไม่ได้อยู่ในสายงาน IT ให้สามารถปกป้องตัวเองได้ ดังนี้
- เชื่อมั่นในสัญชาตญาณของตนเอง ถ้ารู้สึกอะไรแหม่งๆ ให้ใจเย็นๆ และยังไม่ต้องทำอะไรทั้งสิ้น ควรยืนยันสถานการณ์ให้แน่ชัดเสียก่อน ยกตัวอย่างเช่น โทรถามหัวหน้าว่าอีเมลที่ได้รับมานั้น มาจากหัวหน้าจริงหรือไม่ เป็นต้น
- ถ้าถูกถามถึงข้อมูลสำคัญ เช่น ชื่อผู้ใช้และรหัสผ่าน ผ่านทางโทรศัพท์ ให้วางสายโดยทันที ไม่ว่าบริษัทใด ฝ่ายบริการลูกค้าหรือทีมซัพพอร์ตจะไม่ถามเกี่ยวกับข้อมูลเหล่านั้นโดยเด็ดขาด
- หลีกเลี่ยงการคลิ๊กลิงค์บนอีเมล หรือเปิดไฟล์ที่แนบมา ถ้าไม่แน่ใจว่ารู้จักกับผู้ส่งและมั่นใจว่าเป็นอีเมลที่ผู้ส่งนั้นๆ ส่งมาจริงๆ จำไว้เสมอว่าแฮ็คเกอร์สามารถปลอมตัวเป็นคนที่คุณรู้จักหรือเพื่อนที่ทำงานได้ไม่ยากนัก
- ระลึกไว้เสมอว่า คุณเป็นคนควบคุมจัดการทุกอย่าง อย่าให้คนอื่นๆ มาครอบงำคุณให้ทำสิ่งที่คุณไม่แน่ใจ ไม่ต้องสนใจแรงกดดัน แต่ให้ใจเย็นๆ และพิจารณาสิ่งต่างๆ อย่างถี่ถ้วน
- ที่สำคัญคือ ควรตระหนักถีงอันตรายไซเบอร์และระมัดระวังตัวอยู่เสมอ ของฟรีไม่มีในโลก และอะไรที่ดูดีเกินไปมักนำอันตรายมาสู่คุณโดยไม่รู้ตัว
