ข้ามไปเนื้อหา

วิศวกรรมสังคม (ความปลอดภัย)

จากวิกิพีเดีย สารานุกรมเสรี

ในบริบทของการรักษาความปลอดภัยทางข้อมูล วิศวกรรมสังคม (อังกฤษ: Social engineering) คือการใช้อิทธิพลทางจิตวิทยาของบุคคลในการดำเนินการหรือเปิดเผยข้อมูลที่เป็นความลับ ซึ่งแตกต่างจากการชักจูงทางจิตวิทยา ตรงที่ไม่จำเป็นต้องเป็นการควบคุม การป้อนข้อมูลเชิงลบ หรือเป็นธุรกรรมทางเดียว รวมถึงการจัดการเกี่ยวข้องกับเกมผลรวมเป็นศูนย์ ซึ่งฝ่ายหนึ่งชนะและอีกฝ่ายแพ้ ในขณะที่วิศวกรรมสังคมสามารถให้ประโยชน์แก่ทั้งสองฝ่ายได้ กลโกงนี้เป็นกลโกงเพื่อความมั่นใจประเภทหนึ่งเพื่อจุดประสงค์ในการรวบรวมข้อมูลการฉ้อโกง หรือการเข้าถึงระบบ ซึ่งแตกต่างจาก "การหลอกลวง" แบบดั้งเดิมในแง่ที่ว่ามักเป็นหนึ่งในหลายขั้นตอนของแผนการฉ้อโกงที่ซับซ้อนกว่า[1] นอกจากนี้ยังถูกนิยามว่าเป็น "การกระทำใดๆ ที่มีอิทธิพลต่อบุคคลให้ดำเนินการซึ่งอาจเป็นหรือไม่เป็นผลประโยชน์สูงสุดของพวกเขา"[2]

งานวิจัยที่ดำเนินการในปี 2020 ชี้ให้เห็นว่าวิศวกรรมสังคมจะเป็นหนึ่งในความท้าทายที่สำคัญที่สุดของทศวรรษหน้า ความเชี่ยวชาญด้านวิศวกรรมสังคมจะมีความสำคัญเพิ่มมากขึ้นสำหรับองค์กรและประเทศต่างๆ เนื่องจากผลกระทบต่อภูมิรัฐศาสตร์เช่นกัน วิศวกรรมสังคมก่อให้เกิดคำถามว่าการตัดสินใจจะได้รับข้อมูลที่ถูกต้องแม่นยำหรือไม่ หากข้อมูลปฐมภูมิของเราถูกออกแบบและมีความลำเอียง[3]

การโจมตีทางวิศวกรรมสังคมมีความเข้มข้นและจำนวนเพิ่มมากขึ้น ส่งผลให้มีความต้องการเทคนิคการตรวจจับใหม่ๆ และโปรแกรมการศึกษาความปลอดภัยทางไซเบอร์[4]

เทคนิคและเงื่อนไข

[แก้]

เทคนิคทางวิศวกรรมสังคมทั้งหมดขึ้นอยู่กับจุดอ่อนที่สามารถใช้ประโยชน์ได้ในการตัดสินใจ ของมนุษย์ที่เรียกว่า ความเอนเอียงทางประชาน[5][6]

ตัวอย่างหนึ่งของวิศวกรรมสังคมคือบุคคลที่เดินเข้าไปในอาคารและติดประกาศอย่างเป็นทางการในประกาศของบริษัท โดยระบุว่าหมายเลขโทรศัพท์ของฝ่ายช่วยเหลือมีการเปลี่ยนแปลง ดังนั้น เมื่อพนักงานโทรขอความช่วยเหลือ พนักงานคนนั้นจะขอรหัสผ่านและรหัสประจำตัว ซึ่งทำให้สามารถเข้าถึงข้อมูลส่วนตัวของบริษัทได้ อีกตัวอย่างหนึ่งของวิศวกรรมสังคมคือแฮกเกอร์ติดต่อเป้าหมายในบริการเครือข่ายสังคม และเริ่มสนทนากับเป้าหมาย แฮกเกอร์จะค่อย ๆ ได้รับความไว้วางใจจากเป้าหมาย จากนั้นจึงใช้ความไว้วางใจนั้นเพื่อเข้าถึงข้อมูลสำคัญ เช่น รหัสผ่านหรือรายละเอียดบัญชีธนาคาร[7]

ข้ออ้าง

[แก้]

การอ้างเหตุผล หรือที่รู้จักกันในสหราชอาณาจักรในชื่อ blagging[8] คือการกระทำที่สร้างและใช้สถานการณ์สมมติ ( ข้ออ้าง ) เพื่อติดต่อกับเหยื่อเป้าหมายในลักษณะที่เพิ่มโอกาสที่เหยื่อจะเปิดเผยข้อมูลหรือดำเนินการที่ไม่น่าจะเป็นไปได้ในสถานการณ์ปกติ[9] การโกหกที่ซับซ้อนโดยส่วนใหญ่มักเกี่ยวข้องกับการค้นคว้าหรือการจัดฉากล่วงหน้า และการใช้ข้อมูลนี้เพื่อปลอมตัวเป็นบุคคลอื่น ( เช่น วันเกิด หมายเลขประกันสังคม จำนวนเงินที่เรียกเก็บล่าสุด) เพื่อสร้างความชอบธรรมในความคิดของเป้าหมาย[10]

การโจมตีแบบหลุมน้ำ

[แก้]

การโจมตีแบบหลุมน้ำ เป็นกลยุทธ์ทางวิศวกรรมสังคมแบบเจาะจงเป้าหมายที่ใช้ประโยชน์จากความไว้วางใจที่ผู้ใช้มีต่อเว็บไซต์ที่พวกเขาเข้าชมเป็นประจำ เหยื่อรู้สึกปลอดภัยที่จะทำสิ่งที่พวกเขาจะไม่ทำในสถานการณ์อื่น ตัวอย่างเช่น บุคคลที่ระมัดระวังอาจจงใจหลีกเลี่ยงการคลิกลิงก์ในอีเมลที่ไม่ได้ร้องขอ แต่บุคคลเดียวกันนั้นจะไม่ลังเลที่จะคลิกลิงก์บนเว็บไซต์ที่พวกเขาเข้าชมบ่อยๆ ดังนั้น ผู้โจมตีจึงเตรียมกับดักไว้สำหรับเหยื่อที่ไม่ทันระวังตัวที่แหล่งน้ำโปรด กลยุทธ์นี้ถูกนำมาใช้อย่างประสบความสำเร็จในการเข้าถึงระบบที่ (คาดว่า) ปลอดภัยมาก [11]

การล่อเหยื่อ

[แก้]

การล่อเหยื่อเปรียบเสมือนม้าโทรจันในโลกแห่งความเป็นจริง ที่ใช้สื่อทางกายภาพและอาศัยความอยากรู้หรือความโลภของเหยื่อ[12] ในการโจมตีนี้ ผู้โจมตีจะทิ้งฟลอปปีดิสก์ ซีดีรอม หรือยูเอสบีแฟลชไดรฟ์ที่ฝังมัลแวร์ ในสถานที่ที่ผู้คนจะพบได้ (ห้องน้ำ ลิฟต์ ทางเท้า ลานจอดรถ ฯลฯ) ให้ป้ายกำกับที่ถูกต้องตามกฎหมายและกระตุ้นความอยากรู้อยากเห็นแก่เหยื่อ และรอเหยื่อ

หากคอมพิวเตอร์ไม่ควบคุมการติดไวรัส การแทรกซึมจะทำให้สื่อ "ที่ทำงานอัตโนมัติ" ของพีซีเสียหาย อุปกรณ์ที่เป็นอันตรายก็สามารถใช้ได้เช่นกัน[13] ตัวอย่างเช่น "ผู้โชคดี" จะได้รับเครื่องเล่นเสียงดิจิทัล ฟรีที่เป็นอันตรายต่อคอมพิวเตอร์ทุกเครื่องที่เสียบอยู่ " road apple " (คำเรียกทั่วไปสำหรับ มูลม้า ซึ่งสื่อถึงลักษณะที่ไม่พึงประสงค์ของอุปกรณ์) คือ สื่อแบบถอดได้ ใดๆ ที่มีซอฟต์แวร์อันตรายวางอยู่ในที่ที่ฉวยโอกาสหรือมองเห็นได้ชัดเจน อาจเป็นซีดี ดีวีดี หรือ ยูเอสบีแฟลชไดรฟ์ เป็นต้น ผู้ที่อยากรู้อยากเห็นจะหยิบมันขึ้นมาแล้วเสียบเข้ากับคอมพิวเตอร์ ทำให้โฮสต์และเครือข่ายที่เชื่อมต่ออยู่ติดไวรัส อีกครั้ง แฮกเกอร์อาจติดป้ายชื่อล่อตาล่อใจ เช่น "เงินเดือนพนักงาน" หรือ "ข้อมูลลับ"[14]

งานวิจัยหนึ่งที่ตีพิมพ์ในปี 2016 พบว่านักวิจัยวางยูเอสบีไดรฟ์จำนวน 297 อันกระจายทั่วมหาวิทยาลัยอิลลินอยส์ ไดรฟ์เหล่านี้บรรจุไฟล์ที่เชื่อมโยงไปยังเว็บเพจที่นักวิจัยเป็นเจ้าของ นักวิจัยสามารถดูจำนวนไดรฟ์ที่เปิดไฟล์ไว้ได้ แต่ไม่สามารถเห็นจำนวนไดรฟ์ที่เสียบเข้ากับคอมพิวเตอร์โดยไม่ได้เปิดไฟล์ขึ้นมา ในบรรดาไดรฟ์ 297 อันนี้ มี 290 อัน (98%) ที่ถูกเก็บไป และ 135 อัน (45%) "ถูกเรียกว่าบ้าน" [15]

การแลกเปลี่ยนผลประโยชน์

[แก้]

ผู้โจมตีอาจเสนอที่จะให้ข้อมูลที่ละเอียดอ่อน (เช่น ข้อมูลการเข้าสู่ระบบ) หรือจ่ายเงินจำนวนหนึ่งเพื่อแลกกับความช่วยเหลือ ผู้โจมตีอาจปลอมตัวเป็นผู้เชี่ยวชาญที่เสนอบริการช่วยเหลือด้านไอทีฟรี โดยต้องการข้อมูลการเข้าสู่ระบบจากผู้ใช้ [16]

สแกร์แวร์

[แก้]
ตัวอย่างของป๊อปอัปสแกร์แวร์

เหยื่อถูกโจมตีด้วยข้อความจำนวนมากเกี่ยวกับภัยคุกคามและการแจ้งเตือนปลอม ทำให้พวกเขาคิดว่าระบบติดมัลแวร์ ดังนั้น ผู้โจมตีจึงบังคับให้พวกเขาติดตั้งซอฟต์แวร์ล็อกอินระยะไกลหรือซอฟต์แวร์ที่เป็นอันตรายอื่นๆ หรือเรียกค่าไถ่โดยตรง เช่น เสนอที่จะส่งเงินจำนวนหนึ่งเป็นคริปโทเคอร์เรนซี เพื่อแลกกับความปลอดภัยของวิดีโอลับที่อาชญากรมี ดังที่เขาอ้าง[16]

การตามท้ายรถ (การขี่หลัง)

[แก้]

ผู้บุกรุกปลอมตัวเป็นพนักงานบริษัทหรือบุคคลอื่นที่มีสิทธิ์เข้าถึง เพื่อเข้าไปในสำนักงานหรือพื้นที่หวงห้ามอื่นๆ มีการใช้กลวิธีหลอกลวงและวิศวกรรมสังคมอย่างจริงจัง ตัวอย่างเช่น ผู้บุกรุกปลอมตัวเป็นคนส่งของหรือคนขนของที่ถือของบางอย่างไว้ในมือ และขอให้พนักงานที่กำลังเดินอยู่ข้างนอกช่วยเปิดประตู เพื่อเข้าไปในอาคาร [16]

กฎหมาย

[แก้]

ในคอมมอนลอว์ วิธีหลอกลวงด้วยการอ้างเหตุผลเป็นการละเมิดความเป็นส่วนตัว หรือการละเมิดการยักยอก

การอ้างบันทึกการโทรศัพท์

[แก้]

ในเดือนธันวาคม ค.ศ. 2006 รัฐสภาสหรัฐได้อนุมัติร่างกฎหมายที่วุฒิสภาให้การสนับสนุน ซึ่งกำหนดให้การอ้างบันทึกการโทรศัพท์เป็นความผิดทางอาญาของรัฐบาลกลาง โดยมีโทษปรับสูงสุด 250,000 ดอลลาร์สหรัฐ และจำคุกสิบปีสำหรับบุคคลทั่วไป (หรือปรับสูงสุด 500,000 ดอลลาร์สหรัฐสำหรับบริษัท) ร่างกฎหมายนี้ลงนามโดยประธานาธิบดีจอร์จ ดับเบิลยู. บุช เมื่อวันที่ 12 มกราคม ค.ศ. 2007[17]

กฎหมายของรัฐบาลกลาง

[แก้]

รัฐบัญญัติแกรมม์-ลีช-บไลลีย์ ค.ศ. 1999 (จีแอลบีเอ) เป็นกฎหมายของรัฐบาลกลางสหรัฐ ที่บัญญัติไว้โดยเฉพาะว่าการอ้างเอกสารทางการเงินเป็นการกระทำที่ผิดกฎหมายและมีโทษตามกฎหมายของรัฐบาลกลาง เมื่อนิติบุคคล เช่น นักสืบเอกชน นักสืบประกันภัยของเอสไอยู หรือผู้ประเมินราคา ดำเนินการหลอกลวงไม่ว่าในรูปแบบใด จะอยู่ภายใต้อำนาจของคณะกรรมการการค้าแห่งรัฐบาลกลาง (เอฟทีซี) หน่วยงานของรัฐบาลกลางนี้มีภาระหน้าที่และอำนาจในการรับรองว่าผู้บริโภคจะไม่ตกอยู่ภายใต้การปฏิบัติทางธุรกิจที่ไม่เป็นธรรมหรือหลอกลวง ในมาตรา 5 ของรัฐบัญญัติคณะกรรมการการค้าแห่งรัฐบาลกลางสหรัฐ ระบุว่า "เมื่อใดก็ตามที่คณะกรรมการมีเหตุผลอันควรเชื่อได้ว่าบุคคล ห้างหุ้นส่วน หรือบริษัทใดๆ ดังกล่าว ได้ใช้หรือกำลังใช้วิธีการใด ๆ ที่ไม่เป็นธรรมในการแข่งขัน หรือการกระทำหรือการปฏิบัติที่ไม่เป็นธรรมหรือหลอกลวงในหรือส่งผลกระทบต่อการค้า และหากปรากฏว่าการดำเนินการของคณะกรรมการเกี่ยวกับเรื่องดังกล่าวจะเป็นประโยชน์ต่อสาธารณะ คณะกรรมการจะต้องออกคำร้องและยื่นคำร้องต่อบุคคล ห้างหุ้นส่วน หรือบริษัทข้างต้น โดยระบุข้อกล่าวหาในเรื่องดังกล่าว"

กฎหมายระบุว่าเมื่อบุคคลใดได้รับข้อมูลส่วนบุคคลที่ไม่เปิดเผยต่อสาธารณะจากสถาบันการเงินหรือผู้บริโภค การกระทำของบุคคลดังกล่าวจะอยู่ภายใต้กฎหมาย ซึ่งเกี่ยวข้องกับความสัมพันธ์ระหว่างผู้บริโภคกับสถาบันการเงิน ตัวอย่างเช่น การแอบอ้างเท็จไม่ว่าจะเป็นเพื่อขอที่อยู่ของผู้บริโภคจากธนาคารของผู้บริโภค หรือเพื่อให้ผู้บริโภคเปิดเผยชื่อธนาคารของตน ผู้เสียหายจากพฤติกรรมดังกล่าวจะได้รับความคุ้มครอง หลักการสำคัญคือ การแอบอ้างจะเกิดขึ้นก็ต่อเมื่อได้รับข้อมูลผ่านการแอบอ้างเท็จเท่านั้น

แม้ว่าการขายบันทึกข้อมูลโทรศัพท์มือถือจะได้รับความสนใจจากสื่อเป็นอย่างมาก และการบันทึกข้อมูลโทรคมนาคมเป็นประเด็นสำคัญของร่างกฎหมายสองฉบับที่กำลังอยู่ในการพิจารณาของวุฒิสภาสหรัฐ แต่บันทึกข้อมูลส่วนบุคคลประเภทอื่นๆ อีกมากมายก็ถูกซื้อขายในตลาดสาธารณะ นอกจากการโฆษณาบันทึกข้อมูลโทรศัพท์มือถือแล้ว ยังมีการโฆษณาบันทึกข้อมูลแบบใช้สายและบันทึกที่เกี่ยวข้องกับบัตรโทรศัพท์อีกด้วย เนื่องจากผู้คนหันมาใช้โทรศัพท์วอยซ์โอเวอร์ไอพีกันมากขึ้น จึงสามารถสันนิษฐานได้ว่าบันทึกข้อมูลเหล่านี้ก็จะถูกนำมาขายด้วยเช่นกัน ปัจจุบัน การขายบันทึกข้อมูลโทรศัพท์เป็นสิ่งที่ถูกกฎหมาย แต่การได้มาซึ่งบันทึกข้อมูลเหล่านี้ถือเป็นสิ่งผิดกฎหมาย[18]

เฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์

[แก้]

สมาชิกสภาผู้แทนราษฎร เฟร็ด อัพตัน (พรรครีพับลิกันจาก แคละมะซู รัฐมิชิแกน) ประธานคณะกรรมมาธิการย่อยว่าด้วยโทรคมนาคมและอินเทอร์เน็ต ในคณะกรรมมาธิการด้านพลังงานและการพาณิชย์ แสดงความกังวลต่อการเข้าถึงบันทึกข้อมูลโทรศัพท์มือถือส่วนบุคคลบนอินเทอร์เน็ตได้อย่างง่ายดาย ระหว่างการพิจารณาของคณะกรรมการด้านพลังงานและการพาณิชย์ประจำสภาผู้แทนราษฎร ในหัวข้อ " การขายบันทึกโทรศัพท์: ทำไมบันทึกโทรศัพท์จึงไม่ปลอดภัยจากการอ้างสิทธิ์ " รัฐอิลลินอย กลายเป็นรัฐแรกที่ฟ้องร้องนายหน้าบันทึกข้อมูลออนไลน์ เมื่ออัยการสูงสุด ลิซา มาดิแกน ฟ้องร้องเฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์ อิงค์ โฆษกหญิงของทีมงานมาดิแกนกล่าวว่าบริษัทที่ตั้งอยู่ในรัฐฟลอริดาแห่งนี้ดำเนินการเว็บไซต์หลายแห่งที่ขายบันทึกข้อมูลโทรศัพท์มือถือ ตามสำเนาคำฟ้อง อัยการสูงสุดของรัฐฟลอริดาและรัฐมิสซูรี รีบดำเนินรอยตามมาดิแกน โดยยื่นฟ้องบริษัท เฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์ ตามลำดับ และเฟิร์ส ดาต้า โซลูชั่นส์ อิงค์ นายหน้าบันทึกข้อมูลอีกรายหนึ่ง ก็ถูกอัยการของรัฐมิสซูรีฟ้องด้วย

ผู้ให้บริการระบบไร้สายหลายราย รวมถึง T-Mobile, Verizon และ Cingular ได้ยื่นฟ้องต่อนายหน้าซื้อขายหลักทรัพย์ก่อนหน้านี้ โดย Cingular ได้รับคำสั่งห้ามไม่ให้เฟิร์ส ดาต้า โซลูชั่นส์ อิงค์ และเฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์ อิงค์ ชัค ชูเมอร์ สมาชิกวุฒิสภาพรรคเดโมแครตจากรัฐนิวยอร์ก ได้เสนอร่างกฎหมายในเดือนกุมภาพันธ์ ค.ศ. 2006 เพื่อควบคุมพฤติกรรมดังกล่าว รัฐบัญญัติคุ้มครองข้อมูลโทรศัพท์สำหรับผู้บริโภค ค.ศ. 2006 จะกำหนดบทลงโทษทางอาญาขั้นรุนแรง สำหรับการขโมยและขายข้อมูลของผู้ใช้โทรศัพท์มือถือ โทรศัพท์บ้าน และวอยซ์โอเวอร์ไอพี

ฮิวเล็ตแพ็กการ์ด

[แก้]

แพทริเซีย ดันน์ อดีตประธานกรรมการ ฮิวเลตต์-แพคการ์ด (เอชพี) รายงานว่าคณะกรรมการบริษัทได้ว่าจ้างบริษัทสืบสวนเอกชนเพื่อสืบหาตัวผู้รับผิดชอบต่อการรั่วไหลข้อมูลภายในคณะกรรมการบริษัท ดันน์ยอมรับว่าบริษัทใช้วิธีการอ้างข้ออ้างเพื่อขอข้อมูลบันทึกการโทรศัพท์ของสมาชิกคณะกรรมการและนักข่าว ต่อมาดันน์ได้ขอโทษต่อการกระทำนี้และเสนอที่จะลาออกจากตำแหน่งดังกล่าวหากสมาชิกคณะกรรมการต้องการ[19] ซึ่งแตกต่างจากกฎหมายของรัฐบาลกลาง กฎหมายของรัฐแคลิฟอร์เนียห้ามการอ้างข้ออ้างดังกล่าวโดยเฉพาะ ข้อหาอาญาทั้งสี่ข้อที่ดันน์ถูกฟ้องถูกยกฟ้อง[20]

เหตุการณ์ทางวิศวกรรมสังคมที่สำคัญ

[แก้]

เว็บไซต์ช่วยเหลือกรณีละเมิดอิควิแฟกซ์ ปี 2017

[แก้]

หลังจากการรั่วไหลของข้อมูลของอิควิแฟกซ์ในปี 2017 ซึ่งเชื่อมโยงกับกองทัพปลดปล่อยประชาชนจีน [21] ซึ่งมีการรั่วไหลของข้อมูลส่วนบุคคลมากกว่า 150 ล้านรายการ (รวมถึง หมายเลขประกันสังคม หมายเลข ใบอนุญาตขับขี่ วันเกิด ฯลฯ) คำเตือนเกี่ยวกับอันตรายจากความเสี่ยงด้านความปลอดภัยที่กำลังจะเกิดขึ้นได้ถูกส่งออกไป[22] ในวันถัดจากการจัดตั้งเว็บไซต์ช่วยเหลือที่ถูกต้องตามกฎหมาย (equifaxsecurity2017.com) ที่อุทิศให้กับผู้คนที่อาจตกเป็นเหยื่อของการละเมิดดังกล่าว โดเมนที่เป็นอันตราย 194 โดเมนถูกสงวนไว้จากการเปลี่ยนแปลงเล็กน้อยของ URL เพื่อใช้ประโยชน์จากความเป็นไปได้ที่ผู้คนจะพิมพ์ผิด[23][24]

อีเมลฟิชชิงของกูเกิลและเฟซบุ๊ก ปี 2017

[แก้]

บริษัทเทคโนโลยียักษ์ใหญ่สองแห่ง คือ กูเกิล และ เฟซบุ๊ก ถูกหลอกลวงให้โอนเงิน 100 ล้านดอลลาร์สหรัฐ โดยมิจฉาชีพชาวลิทัวเนีย[25] เขาปลอมตัวเป็นซัพพลายเออร์ฮาร์ดแวร์เพื่อออกใบแจ้งหนี้ปลอมให้กับทั้งสองบริษัทเป็นเวลาสองปี[26] แม้ว่าบริษัททั้งสองจะมีความซับซ้อนทางเทคโนโลยี แต่บริษัททั้งสองก็สูญเสียเงินไป แม้ว่าในภายหลังจะสามารถกู้คืนเงินที่ถูกขโมยไปได้เกือบทั้งหมดก็ตาม[27]

การรั่วไหลของข้อมูลการเลือกตั้งสหรัฐอเมริกาปี 2016

[แก้]

ในช่วงการเลือกตั้งสหรัฐอเมริกาปี 2016 แฮกเกอร์ที่เกี่ยวข้องกับ หน่วยข่าวกรองทางทหารของรัสเซีย (GRU) ได้ส่งอีเมลฟิชชิ่งไปยังสมาชิกทีมหาเสียงของฮิลลารี คลินตัน โดยปลอมตัวเป็นการแจ้งเตือนของกูเกิล[28] สมาชิกหลายคน รวมถึงประธานทีมหาเสียงจอห์น โพเดสตา ได้ป้อนรหัสผ่านโดยคิดว่ารหัสผ่านจะถูกรีเซ็ต ทำให้ข้อมูลส่วนบุคคล อีเมล และเอกสารส่วนตัวนับพันรายการรั่วไหล[29] ด้วยข้อมูลนี้ พวกเขาจึงแฮ็กเข้าไปในคอมพิวเตอร์เครื่องอื่น ๆ ในคณะกรรมการหาเสียงของพรรคเดโมแครต โดยฝังมัลแวร์ไว้ในเครื่อง ซึ่งทำให้กิจกรรมคอมพิวเตอร์ของพวกเขาถูกควบคุมและรั่วไหล[29]

การหลอกลวงของยูบิควิติเน็ตเวิกส์ ปี 2015

[แก้]

ในปี 2558 บริษัทยูบิควิติ ผู้ผลิตฮาร์ดแวร์และซอฟต์แวร์ วายฟาย เฉพาะทาง สูญเสียเงินเกือบ 47 ล้านดอลลาร์ให้กับแฮกเกอร์ ผู้โจมตีส่งอีเมลฟิชชิง จากสาขาฮ่องกง ไปยังแผนกบัญชีของยูบิควิติ พร้อมคำแนะนำในการเปลี่ยนแปลงรายละเอียดบัญชีการชำระเงิน เมื่อพบการโจรกรรม บริษัทจึงเริ่มให้ความร่วมมือกับหน่วยงานบังคับใช้กฎหมาย แต่สามารถกู้คืนเงินที่ถูกขโมยไปได้เพียง 8 ล้านดอลลาร์ แม้ว่าพวกเขาหวังว่าจะได้ 15 ล้านดอลลาร์ก็ตาม[30][31]

กรณีข้อมูลรั่วไหลจากโซนีพิกเจอส์ปี 2014

[แก้]

เมื่อวันที่ 24 พฤศจิกายน 2014 กลุ่มแฮกเกอร์ "การ์เดียนส์ออฟพีซ" [32] (อาจเชื่อมโยงกับ เกาหลีเหนือ)[33] ได้ปล่อยข้อมูลลับจากสตูดิโอภาพยนตร์ โซนี่พิคเจอร์ส ข้อมูลดังกล่าวประกอบด้วยอีเมล เงินเดือนผู้บริหาร และข้อมูลส่วนบุคคลและครอบครัวของพนักงาน ฟิชเชอร์เหล่านี้แอบอ้างเป็นพนักงานระดับสูงเพื่อติดตั้งมัลแวร์บนคอมพิวเตอร์ของพนักงาน[34]

การโจมตีแบบหลุมน้ำของกระทรวงแรงงานปี 2013

[แก้]

ในปี 2013 เซิร์ฟเวอร์ของกระทรวงแรงงานสหรัฐ ถูกแฮ็กและนำไปใช้เป็นโฮสต์มัลแวร์และเปลี่ยนเส้นทางผู้เข้าชมไปยังเว็บไซต์โดยใช้ช่องโหว่ซีโรเดย์ในอินเทอร์เน็ตเอกซ์พลอเรอร์ เพื่อติดตั้งโทรจันสำหรับการเข้าถึงระยะไกลที่ชื่อว่าพอยชันไอวี มีการใช้การโจมตีแบบหลุมน้ำโดยผู้โจมตีสร้างหน้าเว็บที่เกี่ยวข้องกับสารพิษนิวเคลียร์ภายใต้การกำกับดูแลของกระทรวงพลังงาน เป้าหมายน่าจะเป็นพนักงานของกระทรวงแรงงานและกระทรวงพลังงานสหรัฐ ที่มีสิทธิ์เข้าถึงข้อมูลนิวเคลียร์ที่ละเอียดอ่อน[30][35]

การโจมตีฟิชชิงอาร์เอสเอซีเคียวไอดี ปี 2011

[แก้]

ในปี 2011 แฮกเกอร์ได้เจาะระบบของบริษัทอาร์เอสเอ ซึ่งเป็นบริษัทเข้ารหัสลับ และได้ข้อมูลเกี่ยวกับกุญแจยืนยันตัวตนแบบสองปัจจัยของซีเคียวไอดี ต่อมาแฮกเกอร์ได้ใช้ข้อมูลนี้เพื่อแทรกซึมเข้าสู่เครือข่ายของบริษัท ล็อกฮีด มาร์ติน ซึ่งเป็นบริษัทรับเหมาด้านกลาโหม แฮกเกอร์สามารถเข้าถึงข้อมูลกุญแจได้โดยการส่งอีเมลถึงพนักงานสี่คนของบริษัทแม่จากเว็บไซต์จัดหางานที่ถูกกล่าวหา อีเมลดังกล่าวมีไฟล์แนบเป็นไฟล์ เอกซ์เซล ชื่อ "แผนการจ้างพนักงานปี 2011" สเปรดชีตมีช่องโหว่ซีโร่เดย์แบบแฟลช ซึ่งให้เกิดการเข้าถึงแบบประตูหลังไปยังคอมพิวเตอร์ที่ทำงาน[30][36]

วิศวกรสังคมที่มีชื่อเสียง

[แก้]

ซูซาน เฮดลีย์

[แก้]

ซูซาน เฮดลีย์ เข้าไปพัวพันกับคดีการเจาะระบบโทรศัพท์ กับ เควิน มิตนิค และลูอิส เดอ เพย์น ใน ลอสแอนเจลิส แต่ต่อมากลับถูกใส่ร้ายว่าลบไฟล์ระบบที่บริษัทยูเอส ลีสซิง หลังจากเกิดความขัดแย้ง ซึ่งนำไปสู่การตัดสินลงโทษครั้งแรกของมิตนิค เธอจึงเกษียณอายุและผันตัวมาเล่นโป๊กเกอร์อาชีพ[37]

ไมค์ ริดพาธ

[แก้]

ไมค์ ริดพาธ เป็นที่ปรึกษาด้านความปลอดภัย นักเขียนที่ตีพิมพ์ผลงาน วิทยากร และอดีตสมาชิกของ w00w00 เขาเป็นที่รู้จักกันดีในการพัฒนาเทคนิคและกลยุทธ์สำหรับวิศวกรรมสังคมผ่านการโฆษณาทางโทรศัพท์ที่ไม่พึงปรารถนา เขาเป็นที่รู้จักจากการสาธิตสด รวมถึงการเปิดบันทึกเสียงสนทนาหลังจากการพูดคุย ซึ่งเขาได้อธิบายกระบวนการคิดของเขาเกี่ยวกับสิ่งที่เขากำลังทำเพื่อรับรหัสผ่านผ่านทางโทรศัพท์[38][39][40][41][42] ในวัยเด็กริดพาธเชื่อมโยงกับพี่น้องบาดีร์และเป็นที่รู้จักอย่างกว้างขวางในชุมชนแฮกเกอร์จากบทความของเขาในนิตยสารออนไลน์ใต้ดินยอดนิยม เช่น Phrack, B4B0 และ 9x เกี่ยวกับการปรับแต่ง Oki 900s, blueboxing, การโจรกรรมสัญญาณออกอากาศ และ RCMAC[43][44]

พี่น้องบาดีร์

[แก้]

รามี, มูเซอร์ และชาดเด บาดีร์ ซึ่งทั้งหมดตาบอดตั้งแต่กำเนิด ได้ร่วมกันวางแผนฉ้อโกงทางโทรศัพท์และคอมพิวเตอร์ครั้งใหญ่ในอิสราเอล ในช่วงทศวรรษ 1990 โดยใช้วิศวกรรมสังคม การปลอมแปลงเสียง และ คอมพิวเตอร์แสดงผลอักษรเบรลล์[45][46]

คริสโตเฟอร์ เจ. แฮดนากี

[แก้]

คริสโตเฟอร์ เจ. แฮดนากี เป็นวิศวกรสังคมและที่ปรึกษาด้านความปลอดภัยเทคโนโลยีสารสนเทศชาวอเมริกัน เขาเป็นที่รู้จักในฐานะผู้เขียนหนังสือ 4 เล่มเกี่ยวกับวิศวกรรมสังคมและความปลอดภัยทางไซเบอร์[47][48][49] และผู้ก่อตั้งมูลนิธิอินโนเซนต์ไลฟ์ ซึ่งเป็นองค์กรที่ช่วยติดตามและระบุการค้ามนุษย์เด็กโดยขอความช่วยเหลือจากผู้เชี่ยวชาญด้านความปลอดภัยสารสนเทศ โดยใช้ข้อมูลจากหน่วยข่าวกรองโอเพนซอร์ส ("อเอสไอเอ็นที) และทำงานร่วมกับหน่วยงานบังคับใช้กฎหมาย[50][51]

ดูเพิ่ม

[แก้]

อ้างอิง

[แก้]
  1. ↑ Anderson, Ross J. (2008). Security engineering: a guide to building dependable distributed systems (พิมพ์ครั้งที่ 2). Indianapolis, IN: Wiley. น. 1040. ISBN 978-0-470-06852-6. Chapter 2, page 17
  2. ↑ "Social Engineering Defined". Security Through Education (ภาษาอังกฤษ). สืบค้นเมื่อ 3 ตุลาคม 2021.{{cite news}}: CS1 maint: date auto-translated (ลิงก์)
  3. ↑ Guitton, Matthieu J. (2020-06-01). "Cybersecurity, social engineering, artificial intelligence, technological addictions: Societal challenges for the coming decade". Computers in Human Behavior. 107 106307. doi:10.1016/j.chb.2020.106307. ISSN 0747-5632. S2CID 214111644.
  4. ↑ Salahdine, Fatima (2019). "Social Engineering Attacks: A Survey". School of Electrical Engineering and Computer Science, University of North Dakota. 11 (4): 89.
  5. ↑ Jaco, K: "CSEPS Course Workbook" (2004), unit 3, Jaco Security Publishing.
  6. ↑ Kirdemir, Baris (2019). "HOSTILE INFLUENCE AND EMERGING COGNITIVE THREATS IN CYBERSPACE". Centre for Economics and Foreign Policy Studies.
  7. ↑ Hatfield, Joseph M (มิถุนายน 2019). "Virtuous human hacking: The ethics of social engineering in penetration-testing". Computers & Security. 83: 354–366. doi:10.1016/j.cose.2019.02.012. S2CID 86565713.{{cite journal}}: CS1 maint: date auto-translated (ลิงก์)
  8. ↑ "Fundamentals of cyber security". BBC Bitesize. 19 มีนาคม 2019. ข้อมูลเก่าจากแหล่งเดิมเมื่อ 7 กรกฎาคม 2024. สืบค้นเมื่อ 7 กรกฎาคม 2024.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  9. ↑ The story of HP pretexting scandal with discussion is available at Davani, Faraz (14 สิงหาคม 2011). "HP Pretexting Scandal by Faraz Davani". สืบค้นเมื่อ 15 สิงหาคม 2011 – โดยทาง Scribd.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  10. ↑ "Pretexting: Your Personal Information Revealed", Federal Trade Commission
  11. ↑ "Chinese Espionage Campaign Compromises Forbes.com to Target US Defense, Financial Services Companies in Watering Hole Style Attack". invincea.com. 10 กุมภาพันธ์ 2015. สืบค้นเมื่อ 23 กุมภาพันธ์ 2017.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  12. ↑ "Social Engineering, the USB Way". Light Reading Inc. 7 มิถุนายน 2006. ข้อมูลเก่าจากต้นฉบับ เมื่อ 13 กรกฎาคม 2006. สืบค้นเมื่อ 23 เมษายน 2014.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  13. ↑ "Archived copy" (PDF). ข้อมูลเก่าจากต้นฉบับ (PDF) เมื่อ 11 ตุลาคม 2007. สืบค้นเมื่อ 2 มีนาคม 2012.{{cite web}}: CS1 maint: archived copy as title (ลิงก์) CS1 maint: date auto-translated (ลิงก์)
  14. ↑ Conklin, Wm. Arthur; White, Greg; Cothren, Chuck; Davis, Roger; Williams, Dwayne (2015). Principles of Computer Security, Fourth Edition (Official Comptia Guide). New York: McGraw-Hill Education. น. 193–194. ISBN 978-0071835978.
  15. ↑ Raywood, Dan (4 สิงหาคม 2016). "#BHUSA Dropped USB Experiment Detailed". info security. สืบค้นเมื่อ 28 กรกฎาคม 2017.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  16. 1 2 3 "Social Engineering - Information Security Office - Computing Services - Carnegie Mellon University". www.cmu.edu (ภาษาอังกฤษ). Carnegie Mellon University. สืบค้นเมื่อ 2025-04-12.
  17. ↑ "Congress outlaws pretexting". 109th Congress (2005–2006) H.R.4709 – Telephone Records and Privacy Protection Act of 2006. 2007.
  18. ↑ Mitnick, K (2002): "The Art of Deception", p. 103 Wiley Publishing Ltd: Indianapolis, Indiana; United States of America. ISBN 0-471-23712-4
  19. ↑ HP chairman: Use of pretexting 'embarrassing' Stephen Shankland, 8 September 2006 1:08 PM PDT CNET News.com
  20. ↑ "Calif. court drops charges against Dunn". CNET. 14 มีนาคม 2007. สืบค้นเมื่อ 11 เมษายน 2012.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  21. ↑ "Four Members of China's Military Indicted Over Massive Equifax Breach". The Wall Street Journal. กุมภาพันธ์ 11, 2020.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  22. ↑ "Credit reporting firm Equifax says data breach could potentially affect 143 million US consumers". CNBC. 7 ก.ย. 2018. สืบค้นเมื่อ 3 พฤษภาคม 2024.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  23. ↑ "Straight Talk: Beware scams related to Equifax data breach". ข้อมูลเก่าจากต้นฉบับ เมื่อ 6 ธ.ค. 2020.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  24. ↑ "Phishing". Security Through Education. Social-Engineer.
  25. ↑ "Google and Facebook duped in huge 'scam'". BBC News (ภาษาอังกฤษแบบบริติช). 2017-04-28. สืบค้นเมื่อ 2025-04-10.
  26. ↑ Jr, Tom Huddleston (2019-03-27). "How this scammer used phishing emails to steal over $100 million from Google and Facebook". CNBC (ภาษาอังกฤษ). สืบค้นเมื่อ 2024-10-20.
  27. ↑ "Famous Phishing Incidents from History | Hempstead Town, NY". www.hempsteadny.gov. สืบค้นเมื่อ 2024-10-14.
  28. ↑ "2016 Presidential Campaign Hacking Fast Facts". CNN (ภาษาอังกฤษ). 2016-12-27. สืบค้นเมื่อ 2024-08-07.
  29. 1 2 "Office of Public Affairs | Grand Jury Indicts 12 Russian Intelligence Officers for Hacking Offenses Related to the 2016 Election | United States Department of Justice". www.justice.gov (ภาษาอังกฤษ). 2018-07-13. สืบค้นเมื่อ 2024-08-07.
  30. 1 2 3 "5 Social Engineering Attacks of All Time". www.cybersecurityeducationguides.org (ภาษาอังกฤษแบบอเมริกัน). 2017-11-02. สืบค้นเมื่อ 2025-04-09.
  31. ↑ "Ubiquiti Networks Says It Was Victim of $47 Million Cyber Scam". NBC News (ภาษาอังกฤษ). 2015-08-07. สืบค้นเมื่อ 2025-04-09.
  32. ↑ "The Sony Pictures Breach: A Deep Dive into a Landmark Cyber Attack - Sep 15, 2023". www.frameworksec.com (ภาษาอังกฤษ). สืบค้นเมื่อ 2024-10-21.
  33. ↑ Weise, Elizabeth; Johnson, Kevin (ธันวาคม 19, 2014). "FBI confirms North Korea behind Sony hack". USA Today. ข้อมูลเก่าจากแหล่งเดิมเมื่อ ธันวาคม 19, 2014. สืบค้นเมื่อ ธันวาคม 19, 2014.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  34. ↑ "Famous Phishing Incidents from History | Hempstead Town, NY". www.hempsteadny.gov. สืบค้นเมื่อ 2024-10-21.
  35. ↑ "Internet Explorer zero-day blamed for Department of Labor website attack". Infosecurity Magazine (ภาษาอังกฤษแบบบริติช). 2013-05-06. สืบค้นเมื่อ 2025-04-10.
  36. ↑ Greenberg, Andy. "The Full Story of the Stunning RSA Hack Can Finally Be Told". Wired (ภาษาอังกฤษแบบอเมริกัน). ISSN 1059-1028. สืบค้นเมื่อ 2025-04-09.
  37. ↑ Hafner, Katie (สิงหาคม 1995). "Kevin Mitnick, unplugged". Esquire. 124 (2): 80(9).{{cite journal}}: CS1 maint: date auto-translated (ลิงก์)
  38. ↑ Social Engineering: Manipulating the human. Scorpio Net Security Services. 16 พฤษภาคม 2013. ISBN 9789351261827. สืบค้นเมื่อ 11 เมษายน 2012.{{cite book}}: CS1 maint: date auto-translated (ลิงก์)
  39. ↑ Niekerk, Brett van. "Mobile Devices and the Military: useful Tool or Significant Threat". Proceedings of the 4th Workshop on Ict Uses in Warfare and the Safeguarding of Peace 2012 (Iwsp 2012) and Journal of Information Warfare. academia.edu. สืบค้นเมื่อ 11 พฤษภาคม 2013.{{cite journal}}: CS1 maint: date auto-translated (ลิงก์)
  40. ↑ "Social Engineering: Manipulating the human". YouTube. 7 ตุลาคม 2011. สืบค้นเมื่อ 11 เมษายน 2012.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  41. ↑ "BsidesPDX Track 1 10/07/11 02:52PM, BsidesPDX Track 1 10/07/11 02:52PM BsidesPDX on USTREAM. Conference". Ustream.tv. 7 ตุลาคม 2011. ข้อมูลเก่าจากต้นฉบับ เมื่อ 4 สิงหาคม 2012. สืบค้นเมื่อ 11 เมษายน 2012.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  42. ↑ "Automated Social Engineering". BrightTALK. 29 กันยายน 2011. ข้อมูลเก่าจากต้นฉบับ เมื่อ 2012-04-11. สืบค้นเมื่อ 11 เมษายน 2012.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  43. ↑ "Social Engineering a General Approach" (PDF). Informatica Economica journal. สืบค้นเมื่อ 11 ม.ค. 2015.{{cite news}}: CS1 maint: date auto-translated (ลิงก์)
  44. ↑ "Cyber Crime". Hays. 7 พฤศจิกายน 2018. ISBN 9781839473036. สืบค้นเมื่อ 11 ม.ค. 2020.{{cite news}}: CS1 maint: date auto-translated (ลิงก์)
  45. ↑ "Wired 12.02: Three Blind Phreaks". Wired. 14 มิถุนายน 1999. สืบค้นเมื่อ 11 เมษายน 2012.{{cite magazine}}: CS1 maint: date auto-translated (ลิงก์)
  46. ↑ "Social Engineering A Young Hacker's Tale" (PDF). DATAQUEST. 15 กุมภาพันธ์ 2013. ข้อมูลเก่าจากต้นฉบับ (PDF) เมื่อ 2021-09-02. สืบค้นเมื่อ 13 มกราคม 2020.{{cite magazine}}: CS1 maint: date auto-translated (ลิงก์)
  47. ↑ "Bens Book of the Month Review of Social Engineering The Science of Human Hacking". RSA Conference. 31 สิงหาคม 2018. สืบค้นเมื่อ 22 มกราคม 2020.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  48. ↑ "Book Review: Social Engineering: The Science of Human Hacking". The Ethical Hacker Network. 26 กรกฎาคม 2018. ข้อมูลเก่าจากต้นฉบับ เมื่อ 12 พฤศจิกายน 2020. สืบค้นเมื่อ 22 มกราคม 2020.{{cite news}}: CS1 maint: date auto-translated (ลิงก์)
  49. ↑ Hadnagy, Christopher; Fincher, Michele (22 มกราคม 2020). "Phishing Dark Waters: The Offensive and Defensive Sides of Malicious E-mails". ISACA. สืบค้นเมื่อ 22 มกราคม 2020.{{cite web}}: CS1 maint: date auto-translated (ลิงก์)
  50. ↑ "WTVR:"Protect Your Kids from Online Threats"
  51. ↑ Larson, Selena (14 สิงหาคม 2017). "Hacker creates organization to unmask child predators". CNN. ข้อมูลเก่าจากต้นฉบับ เมื่อ 2025-05-28. สืบค้นเมื่อ 14 พฤศจิกายน 2019.{{cite news}}: CS1 maint: date auto-translated (ลิงก์)

อ่านเพิ่มเติม

[แก้]

 

แหล่งข้อมูลอื่น

[แก้]
เข้าถึงจาก "https://th.wikipedia.org/w/index.php?title=วิศวกรรมสังคม_(ความปลอดภัย)&oldid=13250869"