ภัยคุกคามผ่านโทรศัพท์

เมื่อการทำงานระยะไกล หรือการทำงานนอกสถานที่กลายเป็นเรื่องปกติในปัจจุบัน ทุกคนต่างคุ้นเคยการทำงานลักษณะนี้จนแทบจะไม่ใช่ นิว นอร์มอล สำหรับบางบริษัทที่ต้องทำงานผ่านระบบวีพีเอ็น (Virtual Private Network) หรือ “เครือข่ายส่วนตัวเสมือน” วันนี้ระบบของท่านเตรียมรับภัยคุกคามนี้หรือยังครับ

วิชชิง (Vishing) คือ ภัยที่มีเป้าหมายคือการขโมยบัญชีผู้ใช้ผ่านการใช้งานวีพีเอ็น บางท่านอาจจะรู้จัก ฟิชชิง (Phishing) มาก่อน ทั้งสองอย่างนี้มีลักษณะคล้ายกันครับ แต่ว่า วิชชิ่ง นั้น จะเป็นการล่อลวงผ่านการใช้โทรศัพท์พูดคุยกับเหยื่อ ในขณะที่ฟิชชิ่ง จะเป็นการใช้อีเมลหรือเว็บไซต์ 

วิชชิงถือเป็นวิธีการโจมตีที่มีประสิทธิภาพ อันตราย และแพร่หลายอย่างมาก จนทำให้รัฐบาลสหรัฐอเมริกาต้องออกมาแจ้งเตือน พร้อมทั้งให้คำแนะนำวิธีการป้องกันกับการจู่โจมรูปแบบนี้ เดือนที่ผ่านมา ทีมแฮกเกอร์ได้จู่โจมเหยื่อด้วยการให้แฮกเกอร์หนึ่งคนโทรไปหลอกสอบถามข้อมูล ขณะที่แฮกเกอร์อีกคนขโมยชื่อผู้ใช้งาน รหัสผ่าน และรหัสยืนยันตัวตน จากหน้าเว็บปลอมที่ทำขึ้นให้เหมือนหน้าเว็บสำหรับเข้าใช้งานวีพีเอ็นของบริษัทที่เหยื่อทำงานอยู่ จนแฮกเกอร์สามารถเอารหัสเหล่านั้นไปใช้เข้าระบบของบริษัทได้ในภายหลัง

บางครั้งพนักงานที่ตกเป็นเหยื่อ ก็ได้เผลอบอกรหัสยืนยันตัวตนหรือโอทีพี OTP (One-time password) ให้แฮกเกอร์ ไม่ว่าจะด้วยเป็นอุบัติเหตุหรือความเข้าใจผิดว่าเป็นการแจ้งก่อนที่จะเข้าใช้ระบบ Help Desk จุดประสงค์เหล่าแฮกเกอร์ที่เลือกใช้วิธีการ วิชชิง เพื่อให้สามารถเข้าถึงระบบของบริษัท ที่ตกเป็นเหยื่อได้เป็นระยะยาว ระหว่างที่พวกเขาปลอมตัวเป็นฝ่าย IT Help Desk ของบริษัทที่เหยื่อทำงานอยู่ จากนั้นเหล่าแฮกเกอร์ก็จะกลายเป็นนายหน้าในการขายบัญชีการเข้าถึง และขายให้กับสมาชิกของกลุ่มที่ชอบทำการยึดบัญชีผู้ใช้ในโลกไซเบอร์ ไม่ว่าจะเพื่อขโมยสกุลเงินดิจิทัล (Cryptocurrency) หรือเพื่อการโอ้อวด นักวิจัย พบว่า กลุ่มเป้าหมายส่วนใหญ่คือ สถาบันการเงินและการแลกเปลี่ยนสกุลเงินดิจิทัล กลุ่มธุรกิจด้านโทรคมนาคมและมือถือ ผู้ให้บริการ SSO (Single Sign-On) และผู้ให้บริการสื่อสังคม

วิชชิง มีอัตราการจู่โจมที่สำเร็จสูง โดยส่วนใหญ่ทีมแฮกเกอร์จะดำเนินการตามการจ้างงาน หรือการจ่ายค่าหัวให้เมื่อผู้จ้างต้องการเจาะจงให้ลงมือขโมยบัญชีผู้ใช้งานของบริษัท หรือพนักงานที่ทำงานนอกสถานที่ หรือทำงานที่บ้าน (Work from Home)

การป้องกันให้บริษัทอยู่รอดปลอดภัย ไม่ตกเป็นเหยื่อของวิชชิง เริ่มต้นจากการปรับนโยบายการใช้วีพีเอ็นใหม่ แจ้งเตือนพนักงานให้ทราบถึงวิธีการโจมตีที่เรียกว่า วิชชิง อีกทั้งยังเลือกใช้วิธีการทางเทคนิคในการป้องกันไม่ว่าจะเป็นการติดตั้ง X.509 Certificates ในเบราเซอร์ เพื่อใช้ในการพิสูจน์ตัวตน การปรับระบบอุปกรณ์พกพา (Mobile Device Management) เพื่อช่วยให้พนักงานได้ใช้งานบนหน้าเว็บวีพีเอ็นของจริง

ยังมีอีกหลายวิธีที่จะช่วยป้องกันบริษัทจาก วิชชิง เช่น การแบ่งสิทธิ์การเข้าใช้งานแบบ Role-based Access แต่วิธีที่ง่ายและทรงประสิทธิภาพคือการจัด Security Awareness Training ที่บริษัทควรจัดให้มีอย่างต่อเนื่อง เพื่อให้พนักงานตระหนักรู้และไม่ตกเป็นเหยื่อ จนสร้างช่องโหว่ให้ภัยคุกคามเข้ามาสร้างความเสียหายให้บริษัทได้ครับ