การอ้างเหตุผล
การหลอกลวง โดยใช้ข้ออ้าง (Pretexting ) ซึ่งในสหราชอาณาจักรเรียกว่าblagging [ 1 ] เป็นการโจมตีแบบ วิศวกรรมสังคมประเภทหนึ่งที่เกี่ยวข้องกับสถานการณ์หรือข้ออ้างที่ผู้โจมตีสร้างขึ้นเพื่อล่อลวงเหยื่อให้ตกอยู่ในสถานการณ์ที่เปราะบางและหลอกให้เหยื่อเปิดเผยข้อมูลส่วนตัว โดยเฉพาะข้อมูลที่เหยื่อมักจะไม่ให้หากไม่มีข้ออ้าง[ 2 ]ในอดีต การหลอกลวงโดยใช้ข้ออ้างได้รับการอธิบายว่าเป็นขั้นตอนแรกของวิศวกรรมสังคม และFBI ได้ใช้ เพื่อช่วยในการสืบสวน[ 3 ]ตัวอย่างเฉพาะของการหลอกลวงโดยใช้ข้ออ้างคือวิศวกรรมสังคมแบบย้อนกลับ ซึ่งผู้โจมตีหลอกให้เหยื่อติดต่อผู้โจมตีก่อน
เหตุผลหนึ่งที่ทำให้การหลอกลวงโดยใช้ข้ออ้างแพร่หลายในการโจมตีทางวิศวกรรมสังคมคือ การพึ่งพาการบิดเบือนความคิดของมนุษย์เพื่อเข้าถึงข้อมูลที่ผู้โจมตีต้องการ แทนที่จะบิดเบือนระบบเทคโนโลยี เมื่อมองหาเหยื่อ ผู้โจมตีสามารถสังเกตลักษณะต่างๆ ได้ เช่น ความสามารถในการไว้วางใจ การรับรู้ภัยคุกคามต่ำ การตอบสนองต่ออำนาจ และความอ่อนไหวต่อการตอบสนองด้วยความกลัวหรือความตื่นเต้นในสถานการณ์ต่างๆ[ 4 ] [ 5 ]ตลอดประวัติศาสตร์ การโจมตีโดยใช้ข้ออ้างมีความซับซ้อนมากขึ้น โดยพัฒนาจากการบิดเบือนพนักงานโอเปอเรเตอร์ทางโทรศัพท์ในช่วงปี 1900 ไปจนถึงเรื่องอื้อฉาวของฮิวเลตต์แพคการ์ดในช่วงปี 2000 ซึ่งเกี่ยวข้องกับการใช้หมายเลขประกันสังคมโทรศัพท์และธนาคาร[ 6 ] กรอบการศึกษาด้านวิศวกรรมสังคมในปัจจุบันถูกนำมาใช้ในองค์กร ต่างๆ แม้ว่านักวิจัยในแวดวงวิชาการจะเสนอแนะถึงการปรับปรุงที่เป็นไป ได้สำหรับกรอบเหล่านั้น[ 7 ]
พื้นหลัง
วิศวกรรมทางสังคม
วิศวกรรมสังคมเป็น กลยุทธ์ การบิดเบือนทางจิตวิทยาที่นำไปสู่การตอบสนองที่ไม่เต็มใจหรือไม่รู้ตัวของเป้าหมาย/เหยื่อ[ 8 ]ถือเป็นหนึ่งใน ภัยคุกคาม ด้านความปลอดภัยของข้อมูล ที่สำคัญที่สุด ในโลกยุคใหม่ ซึ่งส่งผลกระทบต่อองค์กร การจัดการธุรกิจ และอุตสาหกรรม[ 8 ]การโจมตีด้วยวิศวกรรมสังคมถือว่ายากที่จะป้องกันเนื่องจากมีรากฐานมาจากการบิดเบือนทางจิตวิทยา[ 9 ]การโจมตีเหล่านี้ยังสามารถขยายวงกว้างได้อีกด้วย ในการโจมตีด้านความปลอดภัยอื่นๆ บริษัทที่เก็บข้อมูลลูกค้าอาจถูกเจาะระบบ แต่ในการโจมตีด้วยวิศวกรรมสังคม ทั้งบริษัท (โดยเฉพาะพนักงานภายในบริษัท) และลูกค้าโดยตรงต่างก็มีความเสี่ยงที่จะตกเป็นเป้าหมาย[ 9 ]
ตัวอย่างหนึ่งคือในอุตสาหกรรมการธนาคาร ซึ่งไม่เพียงแต่พนักงานธนาคารเท่านั้นที่อาจถูกโจมตี แต่ลูกค้าก็อาจตกเป็นเป้าหมายได้เช่นกัน ผู้กระทำความผิดด้านวิศวกรรมสังคมมุ่งเป้าไปที่ลูกค้าหรือพนักงานโดยตรงเพื่อพยายามเจาะระบบเทคโนโลยีล้วนๆ และใช้ประโยชน์จากจุดอ่อนของมนุษย์[ 9 ]
แม้ว่าคำจำกัดความที่เกี่ยวข้องกับความปลอดภัยทางไซเบอร์จะมีความคลาดเคลื่อนในเอกสารต่างๆ แต่ประเด็นหลักคือวิศวกรรมสังคม (ในความปลอดภัยทางไซเบอร์) ใช้ประโยชน์จากจุดอ่อนของมนุษย์เพื่อเจาะระบบต่างๆ เช่น คอมพิวเตอร์และเทคโนโลยีสารสนเทศ[ 3 ]
ปัจจุบันมีเอกสารและงานวิจัยเกี่ยวกับวิศวกรรมสังคมน้อยมาก อย่างไรก็ตาม ส่วนสำคัญของวิธีการวิจัยวิศวกรรมสังคมคือการสร้างข้ออ้างขึ้นมา เมื่อประเมินว่าการโจมตีทางวิศวกรรมสังคมแบบใดอันตรายหรือก่อให้เกิดผลเสียมากที่สุด (เช่นฟิชชิ่ง วิชชิ่งวอเตอร์โฮลลิ่ง ) ประเภทของข้ออ้างเป็นปัจจัยที่ไม่สำคัญนัก เนื่องจากการโจมตีบางอย่างอาจมีข้ออ้างได้หลายแบบ ดังนั้น การสร้างข้ออ้างจึงถูกนำมาใช้กันอย่างแพร่หลาย ไม่ใช่แค่เป็นการโจมตีอย่างเดียว แต่ยังเป็นส่วนประกอบของการโจมตีอื่นๆ ด้วย[ 10 ]
การอ้างเหตุผลในลำดับเหตุการณ์ของวิศวกรรมสังคม
ในด้านความปลอดภัยทางไซเบอร์ การหลอกลวงสามารถถือได้ว่าเป็นขั้นตอนแรกสุดของวิวัฒนาการของวิศวกรรมสังคม ตัวอย่างเช่น ในขณะที่การโจมตีทางวิศวกรรมสังคมที่เรียกว่าฟิชชิงอาศัยสิ่งของสมัยใหม่ เช่น บัตรเครดิต และส่วนใหญ่เกิดขึ้นในพื้นที่อิเล็กทรอนิกส์ การหลอกลวงสามารถดำเนินการได้โดยไม่ต้องใช้เทคโนโลยี[ 11 ]
การหลอกลวงโดยใช้ข้ออ้าง (Pretexting) เป็นหนึ่งในตัวอย่างแรกๆ ของวิศวกรรมสังคมแนวคิดนี้ ถูกบัญญัติโดย FBI ในปี 1974 และมักถูกนำมาใช้เพื่อช่วยในการสืบสวน ในช่วงนี้ การหลอกลวงโดยใช้ข้ออ้างประกอบด้วยผู้โจมตีโทรหาเหยื่อเพื่อขอข้อมูล [ 3 ]การโจมตีโดยใช้ข้ออ้างมักประกอบด้วยกลยุทธ์การโน้มน้าวใจ หลังจากช่วงเริ่มต้นของการวิวัฒนาการของวิศวกรรมสังคม (1974–83) การหลอกลวงโดยใช้ข้ออ้างได้เปลี่ยนไปจากกลยุทธ์การโน้มน้าวใจเพียงอย่างเดียว แต่ยังรวมถึงกลยุทธ์การหลอกลวงด้วย เมื่อเทคโนโลยีพัฒนาขึ้น วิธีการหลอกลวงโดยใช้ข้ออ้างก็พัฒนาควบคู่กันไป ในไม่ช้าแฮกเกอร์ก็สามารถเข้าถึงกลุ่มเหยื่อได้กว้างขึ้นเนื่องจากการเกิดขึ้นของสื่อสังคมออนไลน์[ 3 ]
การวิศวกรรมทางสังคมแบบย้อนกลับ
วิศวกรรมสังคมแบบย้อนกลับเป็นตัวอย่างที่เฉพาะเจาะจงมากขึ้นของการใช้กลอุบาย[ 12 ]เป็นรูปแบบวิศวกรรมสังคมที่ไม่ใช่อิเล็กทรอนิกส์ โดยที่ผู้โจมตีสร้างกลอุบายขึ้นมาเพื่อหลอกล่อให้ผู้ใช้ติดต่อผู้โจมตีก่อน แทนที่จะเป็นในทางกลับกัน
โดยทั่วไป การโจมตีแบบวิศวกรรมย้อนกลับเกี่ยวข้องกับการที่ผู้โจมตีโฆษณาบริการของตนในรูปแบบของความช่วยเหลือทางเทคนิคเพื่อสร้างความน่าเชื่อถือ จากนั้นเหยื่อจะถูกหลอกให้ติดต่อผู้โจมตีหลังจากเห็นโฆษณา โดยที่ผู้โจมตีไม่ได้ติดต่อเหยื่อโดยตรงตั้งแต่แรก เมื่อผู้โจมตีทำการโจมตีแบบวิศวกรรมสังคมย้อนกลับสำเร็จแล้ว ก็สามารถสร้างการโจมตีแบบวิศวกรรมสังคมได้หลากหลายรูปแบบเนื่องจากความไว้วางใจที่ปลอมแปลงระหว่างผู้โจมตีและเหยื่อ (ตัวอย่างเช่น ผู้โจมตีสามารถให้ลิงก์ที่เป็นอันตรายแก่เหยื่อและบอกว่าเป็นวิธีแก้ปัญหาของเหยื่อ เนื่องจากความเชื่อมโยงระหว่างผู้โจมตีและเหยื่อ เหยื่อจึงมีแนวโน้มที่จะเชื่อผู้โจมตีและคลิกที่ลิงก์ที่เป็นอันตราย) [ 13 ]
ด้านสังคม
การหลอกลวง (Pretexting) ถูกมองว่าเป็นกลยุทธ์ที่มีประโยชน์ในการโจมตีทางวิศวกรรมสังคม และยังคงเป็นเช่นนั้นอยู่ ตามที่นักวิจัยกล่าวไว้ นี่เป็นเพราะว่าการโจมตีเหล่านี้ไม่ได้อาศัยเทคโนโลยี (เช่น การแฮ็กเข้าไปในระบบคอมพิวเตอร์หรือการเจาะระบบเทคโนโลยี ) การหลอกลวงสามารถเกิดขึ้นได้ทางออนไลน์ แต่จะขึ้นอยู่กับผู้ใช้และลักษณะบุคลิกภาพของผู้ใช้ที่ผู้โจมตีสามารถใช้ประโยชน์ได้มากกว่า[ 14 ]การโจมตีที่ขึ้นอยู่กับผู้ใช้มากกว่านั้นยากต่อการติดตามและควบคุม เนื่องจากแต่ละคนตอบสนองต่อการโจมตีทางวิศวกรรมสังคมและการหลอกลวงแตกต่างกัน การโจมตีคอมพิวเตอร์โดยตรงนั้นอาจใช้ความพยายามน้อยกว่าในการแก้ไข เนื่องจากคอมพิวเตอร์ทำงานในลักษณะที่คล้ายคลึงกัน[ 14 ]มีลักษณะเฉพาะบางอย่างของผู้ใช้ที่ผู้โจมตีระบุและกำหนดเป้าหมาย ในแวดวงวิชาการ ลักษณะทั่วไปบางประการ[ 15 ]ได้แก่:
ล้ำค่า
หากเหยื่อเป็น "ของมีค่า" หมายความว่าเหยื่อมีข้อมูลบางอย่างที่นักวิศวกรรมสังคมต้องการ[ 4 ]
ความสามารถในการไว้วางใจ
ความน่าเชื่อถือมักมาพร้อมกับความน่าชื่นชอบ เพราะโดยทั่วไปแล้วยิ่งใครเป็นที่ชื่นชอบมากเท่าไร ก็ยิ่งได้รับ ความไว้วางใจมากขึ้นเท่านั้น [ 15 ]ในทำนองเดียวกัน เมื่อความไว้วางใจเกิดขึ้นระหว่างวิศวกรสังคม (ผู้โจมตี) กับเหยื่อ ความน่าเชื่อถือก็จะถูกสร้างขึ้นด้วย ดังนั้น เหยื่อจึงเปิดเผยข้อมูลส่วนตัวให้กับผู้โจมตีได้ง่ายขึ้นหากเหยื่อสามารถไว้วางใจได้ง่ายขึ้น[ 5 ]
ความไวต่อปฏิกิริยา
ความง่ายในการตอบสนองต่อเหตุการณ์ของบุคคลและระดับของการตอบสนองนั้นสามารถนำมาใช้ประโยชน์โดยนักวิศวกรรมสังคมได้ โดยเฉพาะอย่างยิ่ง อารมณ์ต่างๆ เช่น ความตื่นเต้นและความกลัว มักถูกนำมาใช้เพื่อชักจูงให้ผู้คนเปิดเผยข้อมูล ตัวอย่างเช่น อาจมีการสร้างข้ออ้างขึ้นมา โดยที่นักวิศวกรรมสังคมจะเสนอรางวัลที่น่าตื่นเต้นให้กับเหยื่อหากพวกเขายินยอมที่จะให้ข้อมูลธนาคารแก่นักวิศวกรรมสังคม ความรู้สึกตื่นเต้นสามารถนำมาใช้ล่อลวงเหยื่อให้ติดกับดักและชักจูงให้พวกเขามอบข้อมูลที่ผู้โจมตีต้องการ[ 15 ]
การรับรู้ภัยคุกคามต่ำ
แม้จะเข้าใจว่ามีภัยคุกคามเกิดขึ้นเมื่อทำสิ่งใดก็ตามทางออนไลน์ แต่คนส่วนใหญ่ก็ยังคงกระทำการที่ขัดต่อหลักการนี้ เช่น การคลิกที่ลิงก์แบบสุ่ม หรือการยอมรับคำขอเป็นเพื่อนจากคนที่ไม่รู้จัก[ 15 ]ทั้งนี้เนื่องจากบุคคลนั้นมองว่าการกระทำดังกล่าวมีภัยคุกคามหรือผลกระทบเชิงลบต่ำ การขาดความกลัว/ภัยคุกคามนี้ แม้จะตระหนักถึงการมีอยู่ของมัน ก็เป็นอีกเหตุผลหนึ่งที่ทำให้การโจมตีทางวิศวกรรมสังคม โดยเฉพาะการหลอกลวง แพร่หลาย[ 16 ]
การตอบสนองต่ออำนาจ
หากเหยื่อยอมจำนนและยินยอม ผู้โจมตีจะมีโอกาสประสบความสำเร็จในการโจมตีมากขึ้นหากมีการสร้างข้ออ้างที่ทำให้เหยื่อคิดว่าผู้โจมตีแสร้งทำเป็นบุคคลที่มีอำนาจ[ 15 ]
ตัวอย่าง
การใช้กลลวงเพื่อหลอกลวงในยุคแรก (ทศวรรษ 1970-1980)
บทความเดือนตุลาคม พ.ศ. 2527 เรื่องSwitching centres and Operatorsได้อธิบายรายละเอียดเกี่ยวกับการโจมตีแบบหลอกลวงที่พบได้ทั่วไปในขณะนั้น ผู้โจมตีมักจะติดต่อผู้ให้บริการที่ให้บริการเฉพาะผู้พิการทางการได้ยินโดยใช้เครื่องพิมพ์ดีดโทรเลข เหตุผลก็คือผู้ให้บริการเหล่านี้มักจะใจเย็นกว่าผู้ให้บริการทั่วไป จึงง่ายต่อการหลอกล่อและโน้มน้าวให้พวกเขาให้ข้อมูลที่ผู้โจมตีต้องการ[ 3 ]
ตัวอย่างล่าสุด
ตัวอย่างที่โดดเด่นคือเรื่องอื้อฉาวของฮิวเลตต์แพคการ์ดบริษัทฮิวเลตต์แพคการ์ดต้องการทราบว่าใครเป็นผู้ปล่อยข้อมูลให้กับนักข่าว เพื่อที่จะทำเช่นนั้น พวกเขาได้ให้ข้อมูลส่วนบุคคลของพนักงาน (เช่น หมายเลขประกันสังคม) แก่นักสืบเอกชน และนักสืบเอกชนก็โทรไปยังบริษัทโทรศัพท์โดยแอบอ้างเป็นพนักงานเหล่านั้นโดยหวังว่าจะได้รับบันทึกการโทร เมื่อเรื่องอื้อฉาวถูกเปิดเผย ซีอีโอก็ลาออก[ 17 ]
โดยทั่วไปโซเชียลบอทคือโปรไฟล์โซเชียลมีเดียปลอมที่ดำเนินการโดยเครื่องจักร ซึ่งถูกใช้โดยผู้โจมตีทางวิศวกรรมสังคม บนเว็บไซต์โซเชียลมีเดีย เช่นFacebookโซเชียลบอทสามารถใช้เพื่อส่งคำขอเป็นเพื่อนจำนวนมากเพื่อค้นหาเหยื่อที่มีศักยภาพให้ได้มากที่สุด[ 6 ]ด้วยเทคนิควิศวกรรมสังคมแบบย้อนกลับ ผู้โจมตีสามารถใช้โซเชียลบอทเพื่อรับข้อมูลส่วนตัวจำนวนมากของผู้ใช้โซเชียลมีเดียจำนวนมาก[ 18 ]ในปี 2018 ผู้ฉ้อโกงรายหนึ่งแอบอ้างเป็นผู้ประกอบการElon MuskบนTwitterโดยเปลี่ยนชื่อและรูปโปรไฟล์ จากนั้นก็เริ่มการหลอกลวงแจกของรางวัล โดยสัญญาว่าจะเพิ่มจำนวนสกุลเงินดิจิทัลที่ผู้ใช้ส่งมา ต่อมาผู้ฉ้อโกงก็เก็บเงินที่ส่งมาไว้เอง เหตุการณ์นี้เป็นตัวอย่างของการใช้กลอุบายเป็นกลยุทธ์ในการโจมตีทางวิศวกรรมสังคม[ 19 ]
กรอบการศึกษาในปัจจุบัน
กรอบการศึกษาปัจจุบันเกี่ยวกับหัวข้อวิศวกรรมสังคมแบ่งออกเป็นสองประเภท ได้แก่ การสร้างความตระหนักและการฝึกอบรม การสร้างความตระหนักคือการนำเสนอข้อมูลเกี่ยวกับวิศวกรรมสังคมแก่ผู้ที่เกี่ยวข้องเพื่อแจ้งให้ทราบเกี่ยวกับหัวข้อดังกล่าว การฝึกอบรมคือการสอนทักษะที่จำเป็นซึ่งผู้คนจะได้เรียนรู้และนำไปใช้ในกรณีที่พวกเขาตกเป็นเป้าหมายของการโจมตีทางวิศวกรรมสังคมหรืออาจพบเจอ[ 7 ]การสร้างความตระหนักและการฝึกอบรมสามารถรวมเข้าด้วยกันเป็นกระบวนการที่เข้มข้นเมื่อสร้างกรอบการศึกษา
แม้ว่าจะมีการวิจัยเกี่ยวกับความสำเร็จและความจำเป็นของโปรแกรมการฝึกอบรมในบริบทของการศึกษาด้านความปลอดภัยทางไซเบอร์[ 20 ]แต่ข้อมูลมากถึง 70% อาจสูญหายไปเมื่อพูดถึงการฝึกอบรมด้านวิศวกรรมสังคม[ 21 ]ในการศึกษาวิจัยเกี่ยวกับการศึกษาด้านวิศวกรรมสังคมในธนาคารทั่วเอเชียแปซิฟิกพบว่ากรอบการทำงานส่วนใหญ่กล่าวถึงเพียงแค่การสร้างความตระหนักหรือการฝึกอบรมเท่านั้น นอกจากนี้ ประเภทของการโจมตีทางวิศวกรรมสังคมที่สอนมีเพียงฟิชชิ่งเท่านั้น เมื่อพิจารณาและเปรียบเทียบนโยบายความปลอดภัยบนเว็บไซต์ของธนาคารเหล่านี้ พบว่านโยบายดังกล่าวมีภาษาทั่วไป เช่น "มัลแวร์" และ "การหลอกลวง" ในขณะที่ขาดรายละเอียดเบื้องหลังการโจมตีทางวิศวกรรมสังคมประเภทต่างๆ และตัวอย่างของแต่ละประเภท[ 7 ]
การสรุปโดยทั่วไปนี้ไม่เป็นประโยชน์ต่อผู้ใช้ที่ได้รับการศึกษาจากกรอบงานเหล่านี้ เนื่องจากขาดความลึกซึ้งอย่างมากเมื่อผู้ใช้ได้รับการศึกษาเฉพาะในแง่กว้างๆ เช่น ตัวอย่างข้างต้น นอกจากนี้ วิธีการทางเทคนิคล้วนๆ ในการต่อสู้กับการโจมตีแบบวิศวกรรมสังคมและการหลอกลวง เช่นไฟร์วอลล์และโปรแกรมป้องกันไวรัสก็ไม่มีประสิทธิภาพ เนื่องจากการโจมตีแบบวิศวกรรมสังคมมักเกี่ยวข้องกับการใช้ประโยชน์จากลักษณะทางสังคมของธรรมชาติมนุษย์ ดังนั้นการต่อสู้ด้วยเทคโนโลยีอย่างเดียวจึงไม่มีประสิทธิภาพ[ 22 ]