Social Engineering เทคนิคล้วงข้อมูลบนเน็ต

โดย...พงศ์วุฒิ ไพรไพศาลกิจ

การรักษาความมั่นคงและปลอดภัยขององค์กรยังเป็นประเด็นใหญ่ๆ ที่เกิดขึ้นตลอดช่วง 2 ปีที่ผ่านมา ซึ่งส่งผลให้ข้อมูลความเป็นส่วนตัว หรือแม้กระทั่งข้อมูลที่อยู่ในองค์กรถูกเปิดเผย และอินเทอร์เน็ตยังคงเป็นสถานที่ที่เรียกแขกทั้งแฮ็กเกอร์มือใหม่ รวมไปจนถึงแฮ็กเกอร์มือเก๋า เข้ามาเพื่อทดสอบฝีมือ ไปจนกระทั่งล้วงเอาข้อมูลของเป้าหมายเพื่อนำเอาข้อมูลที่ได้ไปกระทำการบางอย่างที่อาจจะผิดกฎหมาย

ช่องทางหนึ่งที่มักจะเป็นช่องโหว่ของระบบความปลอดภัยในองค์กรมักจะเกิดขึ้นจากเรื่องง่ายๆ รอบตัวของคนในองค์กรเอง จากการวิจัยจะพบว่าช่องโหว่ขององค์กรมักจะมาจากความไม่ระวังตัวของผู้ใช้งานในองค์กรนั่นเอง แสดงให้เห็นว่ายังมีช่องว่างและช่องโหว่อีกมากมายที่ผู้ไม่หวังดีจะสามารถเข้ามาถึงข้อมูลภายในองค์กร รวมไปจนกระทั่งถึงข้อมูลความเป็นส่วนตัวของผู้ใช้งานเอง โดยหนึ่งในเทคนิคที่ทรงพลังในการได้มาซึ่งข้อมูลคือเทคนิคการล้วงข้อมูล หรือเรียกว่าSocial Engineering ก็ได้

เทคนิคในการทำ Social Engineering นั้นไม่ได้สลับซับซ้อน และไม่ได้ใช้เทคโนโลยีขั้นสูงในการหลอกลวงเพื่อให้เหยื่อติดกับและทำตามสิ่งที่ผู้ไม่หวังดีต้องการให้กระทำ ถือว่าเป็นเทคนิคที่ได้ผลตอบรับค่อนข้างสูง ซึ่งการใช้เทคนิคนี้อาจจะเป็นแค่ละครฉากหน้าเพื่อให้ไปสู่เป้าหมายของการกระทำขั้นถัดไป

ตัวอย่างง่ายๆ ของการทำ Social Engineering ในบ้านเราอย่างเช่น แก๊งคอลเซ็นเตอร์ที่หลอกเอาข้อมูลบัตรเครดิตของเหยื่อทางโทรศัพท์เพื่อที่จะให้เหยื่อติดกับและโอนเงินหรือนำเอาข้อมูลบัตรเครดิตไปใช้งานหรือขายต่อภายในกลุ่ม หรือการหลอกขายของออนไลน์หรือหลอกลวงโดยใช้แบบสอบถามออนไลน์ก็ถือว่าเป็นอีกช่องทางหนึ่งในการได้มาซึ่งข้อมูลที่เหยื่อเต็มใจให้เนื่องจากอาจจะมีแคมเปญในการแจกของรางวัล ก็ถือว่าอยู่ในหมวดของการกระทำโดยผ่าน Social Engineering ทั้งสิ้น

เทคนิคการทำ Social Engineering ขั้นสูงขึ้นมาอีกระดับหนึ่งก็อาจเป็นการเริ่มนำเทคโนโลยีบวกกับความพยายามในการสืบค้นข้อมูลอย่างการค้นข้อมูลจากถังขยะของเป้าหมาย (Dumpster Diving) ไม่น่าเชื่อว่าการกระทำโดยใช้วิธีการนี้มักจะได้ผลที่เกินคาดเสมอ

การทำ Social Engineeringไม่เพียงแต่จะเป็นการกระทำซึ่งหน้าอย่างเช่นการสอบถามการสัมภาษณ์แล้วยังรวมไปถึงการลงข้อมูลไว้ทางโซเชียลมีเดียอีกด้วยเช่นเดียวกัน แน่นอนว่าเครือข่ายสังคมออนไลน์ปัจจุบันเอื้อประโยชน์จากการกระทำแบบนี้ได้อย่างแน่นอน แม้กระทั่ง Resume ที่ใช้ในการสมัครงานตามเว็บออนไลน์ต่างๆ ซึ่งถือว่าเป็นข้อมูลชั้นดีที่ให้ผู้ไม่หวังดีสามารถนำเอาไปใช้งานได้ทั้งสิ้น

การป้องกัน Social Engineering นั้นยังไม่มีวิธีการที่จะสามารถป้องกันได้ 100% นั่นแปลว่าการระวังตนเองสำคัญที่สุด และพยายามไม่ไปยุ่งเกี่ยวกับช่องทางที่อาจจะสุ่มเสี่ยง รวมไปถึงการแชร์ข้อมูลส่วนตัวบนอินเทอร์เน็ตก็จะช่วยป้องกันได้ในระดับที่ดีแล้วล่ะครับ