5 กลยุทธ์การทำ Social Engineering ของแฮกเกอร์

วิศวกรรมทางสังคม หรือ Social Engineering คือ เทคนิคทางจิตวิทยาที่ผู้ไม่หวังดี หรือแฮกเกอร์ใช้โจมตีโดยอาศัยจุดอ่อนจากพฤติกรรมของเหยื่อ เพื่อล่อลวงให้เหยื่อเปิดเผยข้อมูลหรือทำตามที่ตนต้องการ

ในทางเทคนิค Social Engineering มักไม่มีวิธีการโจมตีที่เจาะจงหรือตายตัว ดังนั้นในวันนี้ทาง Cloudsec Asia จึงจะขอพามาแนะนำให้รู้จักกับ 5 กลยุทธ์การทำ Social Engineering ที่พบเห็นได้บ่อยครั้งในชีวิตประจำวันค่ะ

1. SMSishing

SMSishing เป็นกลยุทธ์ในการโจมตีทาง Social Engineering ที่ใช้วิธีการส่งข้อความ SMS หลอกลวงไปหาเหยื่อเป็นจำนวนมากพร้อม ๆ กัน โดยมีจุดประสงค์เพื่อขโมยข้อมูลส่วนตัวหรือข้อมูลทางการเงินของเหยื่อ

เมื่อได้รับข้อความในลักษณะนี้ ทางเราขอแนะนำให้
1. ตรวจสอบเบอร์โทรศัพท์ หรืออีเมลที่ทำการส่งข้อความมาว่ามีความน่าสงสัยหรือไม่
2. อย่าเปิดไฟล์แนบ หรือคลิกลิงก์ที่ไม่มั่นใจ
3. งดเว้นการให้ข้อมูลส่วนตัว รหัสผ่าน หรือรหัส OTP แก่คนที่ไม่รู้จัก

2.Vishing

Vishing คือ เทคนิคการหลอกลวงเหยื่อผ่านการโทรศัพท์ เพื่อล่อลวงให้เหยื่อเปิดเผยข้อมูลสำคัญหรือหลอกล่อให้เหยื่อกระทำตามที่ตนต้องการ ซึ่งอาจมาในรูปแบบของการแอบอ้างเป็น Call Center หรือแสร้งเป็นคนรู้จักของเหยื่อ

โดยในช่วงนี้มักพบเหตุการณ์ที่มีมิจฉาชีพแอบอ้างชื่อของบริษัทขนส่งพัสดุชื่อดัง ซึ่งในการโจมตีครั้งนี้มีการใช้เทคนิคในการสร้างความกลัวด้วยการอ้างเรื่องพัสดุผิดกฎหมาย รวมทั้งมีการหลอกให้เหยื่อพูดคุยกับมิจฉาชีพคนอื่น ๆ ที่แสร้งเป็นตำรวจเพื่อสร้างความสมจริง จนทำให้เหยื่อหวาดกลัวและหลงเชื่อ ยอมโอนเงินไปตามที่มิจฉาชีพต้องการ

ดังนั้น เมื่อได้รับสายโทรศัพท์ในลักษณะนี้จากเบอร์ที่ไม่คุ้นเคย สิ่งแรกที่เราทุกคนควรทำ คือ
1. ตั้งสติ และวิเคราะห์ความเป็นไปได้ของเหตุการณ์
2. งดเว้นการให้ข้อมูลส่วนตัวทางโทรศัพท์ เช่น หมายเลขบัญชี หรือหมายเลขบัตรเครดิต
3. โทรตรวจสอบกับหน่วยงานที่เกี่ยวข้องโดยตรง เช่น Call Center ของบริษัทขนส่ง หรือธนาคาร
4. ห้ามหลงเชื่อหากมีการขอให้โอนเงินหรือจ่ายเงินไปยังหมายเลขบัญชีส่วนตัว 

3. SHOULDER SURFING

เป็นวิธีการที่อาศัยการแอบสังเกตุขณะเหยื่อกำลังเข้าถึงข้อมูลที่ตัวเองต้องการ โดยอาจเป็นการแอบดูหน้าจอขณะที่มีการล็อกอินเข้าสู่ระบบ, แอบดูรหัสผ่านที่จดบันทึกไว้ในกระดาษ หรือการแอบมองข้ามไหล่ขณะที่มีการใช้งานตู้ ATM

ซึ่ง Shoulder Surfing เป็นวิธีการที่เราสามารถป้องกันได้ด้วยการ
1. หลีกเลี่ยงการทำงานในพื้นที่ที่มีคนพลุกพล่าน
2. ใช้ Privacy Screen เพื่อป้องกันการแอบมองหน้าจอ
3. ระมัดระวังในการเข้าถึงข้อมูลส่วนตัวในพื้นที่สาธารณะ

4. POP-UP WINDOW

เคยไหมที่เข้าหน้าเว็บไซต์แล้วพบหน้าต่าง Pop-up โฆษณาหรือข้อความแสดงการถูกรางวัล หรือแม้แต่บอกว่าเครื่องของคุณกำลังติดไวรัส

นี่เป็นหนึ่งในเทคนิคการโจมตีแบบ Social Engineering ที่พยายามหลอกล่อ (bait) ให้เหยื่อทำการคลิกหน้าต่างดังกล่าว

การหลอกลวงในลักษณะนี้มักอาศัยการสร้างความหวาดกลัวเพื่อให้เหยื่อหลงเชื่อและทำการติดตั้ง Scareware หรืออาจมาในรูปแบบของการให้รางวัลล่อใจ ที่เมื่อเหยื่อทำการคลิกหน้าต่างแล้ว จะนำเหยื่อไปยังเว็บไซต์ปลอมเพื่อหลอกให้ทำการกรอกข้อมูล Username และ Password ก็ได้

หากพบเจอหน้าต่าง pop-up ที่ดูไม่น่าไว้วางใจ ควรหลีกเลี่ยงการคลิกหน้าต่างดังกล่าว เพื่อป้องกันตัวเองจากภัยคุกคามที่เราอาจมองไม่เห็น

ในบางกรณีที่แม้ว่าจะปิดหน้าต่าง (tab) ทันทีหลังจากคลิก ก็ไม่ได้หมายความว่าเราจะปลอดภัยจากมัลแวร์แล้ว เนื่องจากมัลแวร์บางประเภททำงานได้แม้หน้าต่าง (tab) ดังกล่าวจะถูกปิดไป

นอกจากนี้ยังควรลงโปรแกรม Anti Virus เพื่อเป็นการเสริมการป้องกันให้กับอุปกรณ์ด้วย

5. ONLINE SOCIAL ENGINEERING

ONLINE SOCIAL ENGINEERING หรือ การหลอกลวงผ่านช่องทางอินเทอร์เน็ตมักมาในหลากหลายรูปแบบ เช่น การส่งข้อความหลอกลวงทางโซเชียลมีเดีย การส่งลิงก์หรือไฟล์ที่มีลักษณะที่ไม่น่าไว้วางใจ หรือแม้แต่การโพสต์ข้อความหรือข่าวพร้อมแนบลิงก์ที่น่าสงสัย

ในขณะนี้กำลังมีการระบาดของการคอมเม้นต์ที่มีลิงก์อันตรายภายในโพสต์ ที่เป็นการโจมตีที่เจาะจงผู้ใช้งานโซเชียลมีเดีย

หากพบเจอพฤติกรรมน่าสงสัยในลักษณะนี้ ทุกท่านควรปฏิบัติตาม ดังนี้
1. ไม่คลิกลิงก์ใด ๆ ที่น่าสงสัย
2. ตรวจดู URL ของเว็บไซต์ก่อนทุกครั้ง
3. ไม่บอกข้อมูลส่วนตัว หรือแชร์ข้อมูลส่วนตัวผ่านโซเชียลมีเดีย
4. ใช้วิจารณญาณในถี่ถ้วนก่อนจะเชื่อข่าวใด ๆ จากแหล่งที่ไม่คุ้นเคย

สุดท้ายนี้ Social Engineering ที่เป็นเรื่องที่เจาะจงเฉพาะบุคคล เพราะฉะนั้นการสร้างความตระหนักรู้และวิจาณญาณในเรื่องภัยคุกคามทางไซเบอร์จึงเป็นสิ่งที่มีความสำคัญอย่างมาก ในมุมมองขององค์กรก็ควรมีนโยบายและการให้ความรู้ความเข้าใจกับพนักงาน เพื่อป้องกันการตกเป็นเหยื่อจากบรรดามิจฉาชีพค่ะ

ปกป้ององค์กรของท่านจากการโจมตีทางไซเบอร์
ติดต่อเรา Cloudsec Asia
ผู้ให้บริการด้านความปลอดภัยทางไซเบอร์ชั้นนำของเอเชียแปซิฟิก
Tel.+66 2117 9668
www.cloudsecasia.com

#cybersecurity
#cybersecurityisamust
#cloudsecasia