เมื่อผู้สมัครปลอมกลายเป็นพนักงานจริง รับมือ 'Hiring Fraud' ยุคใหม่

การโจมตีทางไซเบอร์ในปัจจุบันอาจไม่จำเป็นต้องเริ่มต้นด้วยการเจาะ Firewall หรือขโมยรหัสผ่านของพนักงานอีกต่อไป แต่อาจเริ่มจากขั้นตอนการสมัครงาน

โดยผู้ไม่หวังดีใช้ตัวตนปลอม เอกสารปลอม หรือเทคโนโลยี AI เพื่อผ่านกระบวนการคัดเลือกและเข้าไปทำงานในองค์กร

เพราะมีการตรวจพบผู้สมัครที่ฉ้อโกงสามารถผ่านกระบวนการคัดกรองและเข้ารับตำแหน่งได้ถึง 42% ของกรณีที่ศึกษา และมีเพียง 3% เท่านั้นที่ถูกตรวจพบในวันเดียวกับวันที่ได้รับการจ้างงาน

ขณะที่ 32% ตรวจพบภายใน 1–3 วัน ส่วน 45% ภายใน 4–6 วัน และอีก 20% สามารถหลุดรอดการตรวจจับได้นานถึง 3 สัปดาห์ ส่งผลให้การจ้างงานพนักงานที่ปลอมตัวตน (Fraudulent Hire) มีเวลาเฉลี่ยประมาณ 5.73 วันในการเข้าถึงเครือข่ายองค์กรโดยไม่มีการตรวจพบ

ช่วงเวลานี้มีความสำคัญอย่างมาก เพราะพนักงานใหม่มักได้รับข้อมูลที่ละเอียดอ่อนขององค์กรและสิทธิ์เข้าถึงระบบภายในตั้งแต่เริ่มงาน หากบุคคลดังกล่าวไม่ใช่คนที่อ้างว่าเป็นพนักงานจริง สิทธิ์เหล่านั้นก็อาจกลายเป็นช่องทางเข้าสู่ข้อมูลและระบบสำคัญขององค์กรโดยตรง

ข้อมูลจากการสำรวจผู้บริหารด้านเอชอาร์ ในสหรัฐฯ จำนวน 500 คนยังสะท้อนว่า Hiring Fraud ไม่ใช่ความเสี่ยงที่เกิดขึ้นได้ยากอีกต่อไป โดย 98% ระบุว่าเคยพบผู้สมัครปลอมด้วยตนเอง และ 89% มีความกังวลเกี่ยวกับปัญหานี้เพิ่มขึ้นในช่วงสองปีที่ผ่านมา

สิ่งที่น่าสนใจคือ ในบรรดาผู้สมัครที่ถูกตรวจพบระหว่างกระบวนการจ้างงานถึง 68% มาจากการสังเกตและประสบการณ์ของบุคลากร

ขณะที่จุดตรวจจับที่พบได้บ่อย ได้แก่ การคัดกรอง 52% การสัมภาษณ์ 45%, การประเมินทางเทคนิค 41% และ วันเริ่มงาน 42% ตัวเลขเหล่านี้สะท้อนข้อจำกัดของแนวทางที่ใช้การตรวจสอบเป็นจุดๆ เพราะการผ่านขั้นตอนหนึ่งไม่ได้หมายความว่าตัวตนของผู้สมัครจะได้รับการยืนยันอย่างสมบูรณ์ในทุกขั้นตอน หากแต่ละขั้นตอนของกระบวนการรับสมัครทำงานแยกจากกัน กล่าวคือ ผู้สมัครอาจผ่านการตรวจสอบด้านหนึ่ง แต่ยังมีความเสี่ยงด้านตัวตนที่ไม่ได้รับการตรวจสอบในอีกขั้นตอนหนึ่ง

อีกประเด็นที่สำคัญคือ ความไม่ชัดเจนว่าใครรับผิดชอบความเสี่ยงด้านตัวตนของผู้สมัคร โดย 53% ของหัวหน้างาน เอชอาร์ ระบุว่าเป็นหน้าที่ของ เอชอาร์ ขณะที่ส่วนที่เหลือกระจายไปยังฝ่ายสรรหา ฝ่ายกฎหมาย ฝ่ายความปลอดภัยและไอที ความไม่ชัดเจนนี้อาจสร้างช่องว่างระหว่างกระบวนการจ้างงานกับไซเบอร์ซีเคียวริตี้ โดยเฉพาะเมื่อฝ่ายความปลอดภัย และไอที เข้ามาดูแลหลังผู้สมัครได้รับการว่าจ้างและมีบัญชีเข้าถึงระบบแล้ว

องค์กรจึงควรยืนยันตัวตนอย่างต่อเนื่องตั้งแต่ต้นพร้อมกำหนดสิทธิ์ตามหลัก Least Privilege และติดตามการใช้งานเพื่อให้สามารถตรวจจับความผิดปกติได้ตั้งแต่เนิ่นๆ เพราะความเสี่ยงดังกล่าวเกี่ยวข้องโดยตรงกับการคุกคามจากบุคคลภายใน (Insider Tเอชอาร์eat) โดยเฉพาะในกรณีที่ผู้ไม่หวังดีตั้งใจเข้ามาทำงานเพื่อเข้าถึงระบบภายใน อย่างกรณีของการใช้ AI Tools เพื่อช่วยผู้สมัครให้ได้รับงานด้านไอที จากองค์กรที่เปิดรับพนักงานแบบ Remote ซึ่งอาจนำไปสู่การเข้าถึงสิทธิ์ระดับสูงภายในเพื่อการขโมยข้อมูลและแรนซัมแวร์

จากการสำรวจยังพบว่า 60% ของงบประมาณด้านการตรวจสอบและการยืนยันตัวตนแบบหลายปัจจัยได้รับการอนุมัติหลังจากเกิดการรั่วไหลของข้อมูลแล้ว สถานการณ์นี้สะท้อนความท้าทายสำคัญขององค์กร เพราะการลงทุนด้าน Identity Security หลังเกิดเหตุอาจช่วยลดความเสี่ยงในอนาคต แต่ไม่สามารถย้อนกลับไปแก้ไขช่วงเวลาที่บุคคลนั้นได้รับสิทธิ์เข้าถึงระบบไปแล้วได้

Hiring Fraud กำลังเปลี่ยนจากปัญหาด้านเอชอาร์ไปสู่ความเสี่ยงด้านไซเบอร์ซีเคียวริตี้และ Insider Tเอชอาร์eat อย่างชัดเจน การป้องกันจึงไม่ควรพึ่งพาแค่การสัมภาษณ์หรือการตรวจสอบเพียงขั้นตอนใดขั้นตอนหนึ่ง แต่ควรสร้างกระบวนการการพิสูจน์และการยืนยันตัวตนที่ต่อเนื่องตั้งแต่ก่อนจ้างงานจนถึงหลังได้รับสิทธิ์เข้าระบบ

พร้อมเชื่อมโยงข้อมูลระหว่างเอชอาร์ และซีเคียวริตี้ และใช้ Least Privilege, MFA, Identity Verification และการเฝ้าติดตามเป็นส่วนหนึ่งของแนวทางป้องกัน

เมื่อภัยคุกคามสามารถเริ่มต้นตั้งแต่ขั้นตอนการสมัครงาน การรักษาความปลอดภัยขององค์กรจึงจำเป็นต้องขยายขอบเขตออกไปตั้งแต่ก่อนที่บุคคลจะกลายเป็นผู้ใช้งานในระบบไม่ใช่รอจนกว่าจะเกิดการเข้าถึงที่ผิ ดปกติแล้วจึงเริ่มตรวจสอบครับ