หากคุณเป็นผู้ดูแลระบบ คุณอาจคิดว่ารายการภารกิจประจำวันของคุณครอบคลุมถึงการติดตั้งเครื่องมือความปลอดภัย กำหนดค่ามันเพื่อป้องกันภัยคุกคามล่าสุด แพทช์เซิร์ฟเวอร์และเอ็นพอยท์และนั่งแก้ไขระบบเมื่อพวกมันติดไวรัส มันไม่ใช่งานที่ง่าย แต่ก็ตรงไปตรงมา
อย่างไรก็ตามหากคุณกำลังทำทั้งหมดนั้น คุณแค่ทำงานเพียงครึ่งเดียวเท่านั้นเองนะ
การโจมตีทางไซเบอร์ที่มีประสิทธิภาพมากที่สุดบางส่วนไม่ได้พุ่งเป้าไปที่ฮาร์ดแวร์หรือซอฟต์แวร์ – แต่มันพุ่งเป้าไปที่ผู้คน การโจมตีวิศวกรรมสังคมมักรวมถึงอะไรที่มากกว่าโทรศัพท์หรือที่อยู่อีเมล
และเพราะมนุษย์นั้นมีความสามารถที่จะทำผิดพลาดมากกว่าซอฟต์แวร์ อย่าง โปรแกรมแอนตี้ไวรัส ดังนั้นการโจมตีเหล่านี้จึงถือเป็นเรื่องปกติ เราจะแสดงให้คุณดูถึงวิธีป้องกันมันในอนาคต
การโจมตีวิศวกรรมสังคมคืออะไร?
วิศวกรรมสังคมเป็นรูปแบบหนึ่งของการหลอกลวงที่ที่นักโจมตีลอกเลียนแบบแหล่งข้อมูลที่น่าเชื่อถือเพื่อโน้มน้าวให้บุคคลดำเนินการบางอย่างที่เจาะจง เช่น ให้สิทธิ์ในการเข้าถึงคอมพิวเตอร์หรือบัญชีหรือเปิดเผยข้อมูลส่วนตัว เช่น รหัสผ่าน
มันทำงานแบบนี้: ขั้นตอนแรกนักโจมตีจะโทรหาหรือส่งอีเมลไปยังบริการความช่วยเหลือและแสร้างทำเป็นเหยื่อเป้าหมาย พวกเขาจะกล่าวว่าพวกเขาลืมรหัสผ่าน พวกเขามักจะกุเรื่องที่น่าเชื่อถือเหล่านี้อยู่บ่อยๆ
พวกเขาจะโน้มน้าวตัวแทนบริการลูกค้าให้เปลี่ยนที่อยู่อีเมลที่ลงทะเบียนของเป้าหมายไปเป็นที่อยู่ที่เป็นของนักโจมตีแทนและจะดำเนินการส่งโทเค็นรีเซ็ตรหัสผ่านไปยังที่อยู่นั้นๆ ด้วยการกระทำดังกล่าว นักโจมจะมีสิทธิ์ในการเข้าถึงบัญชีของเป้าหมายอย่างเต็มรูปแบบ
การโจมตีวิศวกรรมเป็นเรื่องปกติมากแค่ไหน?
การโจมตีวิศวกรรมทำงานได้ดีและไม่จำเป็นต้องมีทักษะพิเศษใดๆ เลย เทคโนโลยีที่รู้จักกันในชื่อ VoIP (การสื่อสารทางเสียงผ่านอินเตอร์เน็ตหรือ Voice over Internet Protocol) ช่วยให้นักโจมตีสามารถโทรออกจากหมายเลขโทรศัพท์ของเป้าหมายได้ – เทคโนโลยีนี้มีให้บริการอย่างกว้างขวางและไม่ต้องมีความเชี่ยวชาญใดๆ เพื่อใช้งาน
ดังนั้นจึงไม่น่าประหลาดใจที่ความแพร่หลายของการโจมตีนี้จะอยู่ในระดับสูงมากและยังคงมีการเติบโตขึ้นอย่างต่อเนื่อง ในปี 2017 ข้อมูลของผู้เชี่ยวชาญด้านความปลอดภัยถึง 76 เปอร์เซ็นต์ตกเป็นเป้าหมายของการโจมตีวิศวกรรมสังคมผ่านทางโทรศัพท์หรืออีเมล โดยอีเมลเป็นเวกเตอร์หลัก ในปี 2018 ตัวเลขดังกล่าวกระโดดเพิ่มขึ้นมาเป็น 83 เปอร์เซ็นต์เลยทีเดียว
ตัวอย่างที่มีชื่อเสียงของวิศวกรรมสังคม
การเพิ่มขึ้นของวิศวกรรมสังคมและอีเมลการโจมตีฟิชชิ่งนำไปสู่การเพิ่มขึ้นของเหตุการณ์ที่เกิดขึ้นกับเหยื่อที่มีโปรไฟล์สูงซึ่งรวมถึง:
- แบล็กร็อก
ผู้จัดการสินทรัพย์ที่ยิ่งใหญ่ที่สุดในโลกตกเป็นเหยื่อโจมตีโดยนักกิจกรรมด้านสิ่งแวดล้อมซึ่งหลอกทั้ง The Financial Times และ Consumer News and Business Channel (CNBC)
แฮ็กเกอร์ส่งข่าวปลอมที่น่าเชื่อถืออย่างมากออกมาโดยบอกว่าบริษัทกำลังจะขึ้นตรงกับกลุ่มนักสิ่งแวดล้อมซึ่งทำให้เกิดความโกรธเกรี้ยวในระยะเวลาสั้นๆ
- สกุลเงินดิจิทัล
ผู้ใช้สกุลเงินดิจิทัลที่รู้จักกันในชื่อ Ethereum ได้รับการโจมตีฟิชชิ่งที่ปลอดตัวเป็นข้อความผิดพลาด สิ่งเหล่านี้มาในรูปแบบอีเมลที่แจ้งเตือนให้ผู้ใช้ติดตั้งแพทช์
ทั้งที่จริงแล้วลิงก์ที่แนบมาให้นั้นเป็นเวอร์ชั่นที่จะสร้างช่องโหว่ให้กับซอฟต์แวร์ของกระเป๋าสตางค์ซึ่งทำให้นักโจมตีเก็บเกี่ยวเงินดิจิทัลของพวกเขาได้
- หน่วยงานข่าวกรอง
ย้อนกลับไปในปี 2015 แฮ็กเกอร์วัยรุ่นสามารถโทรติดต่อ Verizon, ค้นหาข้อมูลส่วนบุคคลที่เป็นของ John Brennan ผู้เป็นผู้กำกับของ CIA และขโมยการเข้าถึงที่อยู่อีเมล AOL ของเขาได้ ที่อยู่นี้ประกอบไปด้วยข้อมูลความลับซึ่งรวมถึงรายละเอียดแอปพลิเคชันของผู้กำกับที่ใช้สำหรับยืนยันด้านความปลอดภัย
แฮ็กเกอร์ยังสามารถพูดคุยสั้นๆ กับผู้กำกับ Brennan ทางโทรศัพท์ได้ด้วย มันใช้เวลายาวนานกว่าสองปีก่อนที่นักโจมตีจะถูกจับกุม
เหตุการณ์นี้แสดงให้เห็นว่าการทำให้เกิดความเสียหายนั้นง่ายดายเพียงใดโดยใช้เครื่องมือที่ง่ายที่สุดเท่าที่จะเป็นไปได้
แฮ็กเกอร์สามารถขโมยเงิน หลอกสื่อและล้อหลอกเอาความลับที่ทรงพลังมากที่สุดในโลกของบุคคลได้โดยใช้อะไรที่มากกว่าแค่โทรศัพท์และที่อยู่อีเมล
จะรู้ได้อย่างไรว่านั่นเป็นการโจมตีวิศวกรรมสังคม
ระวังคำแนะนำหรือความช่วยเหลือที่ไม่พึงประสงค์ โดยเฉพาะอย่างยิ่งที่ต้องการการดำเนินการจากคุณ เช่น คลิกลิงก์หรือดาวน์โหลดไฟล์ คำขอใดๆ สำหรับรหัสผ่านหรือข้อมูลส่วนบุคคลมีแนวโน้มสูงว่าจะเป็นการโจมตีวิศวกรรมสังคม
ให้ระมัดระวังเวลาที่คุณได้รับโทรศัพท์จากใครก็ตามที่อ้างว่าเป็นฝ่ายบริการด้านเทคนิคหรือได้รับ ‘การตรวจสอบ’ ที่ไม่มีกำหนดการ ฝ่ายบริการด้านเทคนิคมีงานยุ่งมากพออยู่แล้ว ดังนั้นพวกเขาคงไม่มองหาปัญหาใหม่และการตรวจสอบที่ว่ามานั้นก็มีแนวโน้มสูงว่าจะเป็นการติดตั้งคีย์ล็อกเกอร์บนคอมพิวเตอร์ของคุณ
อยู่ให้ห่างจากอะไรก็ตามที่อ้างเป็นสิ่งที่ต้องทำโดยด่วนเพราะพวกเขาใช้วิธีนี้หลอกให้คุณทำเช่นนั้นเพื่อที่คุณจะได้ไม่ลองนั่งคิดทบทวนดูให้ดีและระวังเรื่องราวโศกเศร้าหรือการหลอกลวงทางจิตวิทยาในรูปแบบอื่นๆ ด้วย
มองหาการอ้างอิงและตรวจสอบอีกครั้งเสมอ หากคุณได้รับอีเมลหรือโทรศัพท์ที่น่าสงสัยหรือมีการขอให้คุณเปิดเผยข้อมูลหรือดำเนินการบางอย่าง ประการแรกให้ตรวจสอบก่อนว่ามันถูกต้องก่อนที่จะดำเนินการ
วิธีป้องกันการโจมตีวิศวกรรมสังคม
มีสองวิธีในการป้องกันการโจมตีวิศวกรรมสังคม
1. ประการแรกคือมีเทคโนโลยี โซลูชั่นที่รู้จักกันในชื่อ DMARC (Domain-based Message Authentication, Reporting & Conformance) ได้รับการออกแบบมาเพื่อตรวจจับและกักกันอีเมลปลอมแปลง
ซึ่งหมายความว่าที่อยู่ที่ผู้รับเห็นนั้นไม่ใช่ที่อยู่ที่ใช้ส่งอีเมลจริงๆ แม้ว่าเทคโนโลยีนี้จะปกป้องลูกค้าของแบรนด์ต่างๆ ได้โดยการทำให้แน่ใจว่าอีเมลของพวกเขานั้นไม่สามารถทำอันตรายได้ แต่อัตราการเป็นที่ยอมรับนั้นน้อยมากๆ – ต่ำกว่า 50 เปอร์เซ็นต์ในทุกอุตสาหกรรม
2. ประการที่สอง มีนโยบาย – ในกรณีนี้เราหมายถึงการฝึกอบรมความตระหนักด้านความปลอดภัย ผู้ดูแลด้านความปลอดภัยให้การอบรมกับพนักงานโดยการทดสอบพวกเขาเกี่ยวกับตัวอย่างอีเมลปลอม เป้าหมายคือเพื่อทำให้พนักงานสามารถบอกความแตกต่างระหว่างอีเมลหลอกและอีเมลจริงได้
การอบรมความตระหนักด้านความปลอดภัยถือว่ามีประสิทธิภาพมากกว่าระดับปานกลาง – อัตราการเปิดอีเมลฟิชชิ่งลดน้อยลง 75 เปอร์เซ็นต์หลังการอบรมความตระหนักด้านความปลอดภัย – แต่นักโจมตีก็ยังต้องการหลอกคนแค่เพียงคนเดียวเท่านั้นเพื่อให้เกิดการรั่วไหล
วิธีกำจัดวิศวกรรมสังคม
เนื่องจากวิศวกรรมสังคมนั้นไม่ใช่ฮาร์ดแวร์ที่จับต้องได้จริงๆ หรือซอฟต์แวร์ ดังนั้นโดยเทคนิคแล้วคุณจึงไม่สามารถกำจัดมันได้ สิ่งที่คุณทำได้มากที่สุดคือการพยายามและหลีกเลี่ยงการตกเป็นเหยื่อตั้งแต่ที่แรกโดยให้ตระหนักถึงความเป็นไปได้ที่จะเกิดการหลอกลวงและโจมตีและตรวจสอบอีกครั้งเสมอ
หากคุณตกเป็นเหยื่อการโจมตีวิศวกรรมสังคม การดำเนินการที่ดีที่สุดคือการติดตั้งแอนตี้ไวรัสที่ทรงพลังบนคอมพิวเตอร์ของคุณเพื่อกำจัดภัยคุกคามใดๆ ที่นักโจมตีอาจทิ้งเอาไว้ เช่น มัลแวร์ ไฟล์อันตรายอาจแอบซ่อนอยู่ในแบ็กกราวน์เพื่อรอให้คุณเข้าสู่ระบบและขโมยข้อมูลส่วนบุคคลของคุณ
นอกจากนี้เรายังขอแนะนำให้คุณเปลี่ยนรหัสผ่านทั้งหมดของคุณ – การใช้แอนตี้ไวรัสที่มีผู้จัดการรหัสผ่านที่ยอดเยี่ยมนั้นถือเป็นวิธีที่ดีในการทำสิ่งนี้
สรุป
สรุปก็คือความตระหนักและการอบรมที่ถูกต้องเช่นเดียวกับการตอบสนองที่รวดเร็วนั้นถือเป็นการป้องกันฟิชชิ่งและการโจมตีวิศวกรรมสังคมที่ดีที่สุด
แม้ว่านักโจมตีที่มุ่งมั่นจะมีโอกาสอันดีมากๆ ที่จะหลอกลวงพนักงานด้วยอีเมลหรือโทรศัพท์หลอก แต่ผู้ดูแลที่ดีจะสามารถตรวจจับบัญชีที่ถูกครอบครองได้เมื่อมันเกิดขึ้นและแม้ว่ามันอาจจะง่ายสำหรับนักโจมตีที่จะขโมยบัญชี แต่ก็ยังมีความเป็นไปได้ในการจำกัดขอบเขตความเสียหายที่พวกเขาอาจเป็นสาเหตุได้