เจาะลึกภัยไซเบอร์ยุคใหม่: เมื่อพนักงานคือช่องโหว่ที่คาดไม่ถึง

เจาะลึกภัยไซเบอร์ยุคใหม่: เมื่อพนักงานคือช่องโหว่ที่คาดไม่ถึง

ภัยคุกคามไซเบอร์ในปัจจุบันไม่ได้จำกัดอยู่แค่การโจมตีระบบคอมพิวเตอร์เพื่อขโมยข้อมูลอีกต่อไป

ทุกวันนี้อาชญากรไซเบอร์ฉลาดขึ้นมาก พวกเขาไม่ได้พุ่งเป้าไปที่กำแพงรักษาความปลอดภัยที่แข็งแกร่งเท่านั้น แต่ยังมองหาช่องโหว่ที่ละเอียดอ่อนและมักถูกมองข้าม นั่นคือ “คน” หรือ “พนักงาน” ที่อยู่ในองค์กร

เรามักจะคิดถึงไฟร์วอลล์ โปรแกรมป้องกันมัลแวร์ หรือการเข้ารหัสข้อมูลเป็นหลัก แต่เรื่องราวต่อไปนี้จะเผยให้เห็นว่า การโจมตีที่คาดไม่ถึงกลับมาจากจุดที่ใกล้ตัวที่สุด และสร้างความเสียหายทางการเงินได้อย่างมหาศาล

ต้นตอภัยไซเบอร์ที่คาดไม่ถึง

ล่าสุดมีกรณีศึกษาที่น่าสนใจของบริษัทค้าปลีกขนาดใหญ่แห่งหนึ่งที่ถูกโจมตีผ่าน แผนกช่วยเหลือด้านไอที (IT Help Desk) ซึ่งเป็นส่วนที่พนักงานมักจะติดต่อเพื่อขอความช่วยเหลือเกี่ยวกับปัญหาทางเทคนิค

อาชญากรไซเบอร์ใช้เทคนิค วิศวกรรมสังคม (Social Engineering) โดยการแกล้งทำเป็นพนักงานโทรศัพท์เข้ามาขอความช่วยเหลือ จากนั้นใช้ความสามารถในการหลอกลวงและความรู้ด้านจิตวิทยา เพื่อให้พนักงานของบริษัทหลงเชื่อและให้ข้อมูลสำคัญ หรือดำเนินการบางอย่างตามคำสั่ง

สิ่งที่เกิดขึ้นคือ เมื่อพวกเขาสามารถเข้าถึงระบบได้สำเร็จ เป้าหมายหลักไม่ใช่การขโมยข้อมูลส่วนบุคคลของลูกค้า แต่เป็นการเข้าไปเปลี่ยนแปลง ข้อมูลบัญชีเงินเดือน ของพนักงานหลายคน แล้วโอนเงินเดือนเหล่านั้นเข้าบัญชีของตัวเอง นี่คือการโจมตีในรูปแบบของ การฉ้อโกงเงินเดือน (Payroll Fraud) ซึ่งเป็นภัยเงียบที่ร้ายกาจและสร้างความเสียหายทางการเงินโดยตรงกับองค์กร

ความจริงที่น่าตกใจคือ การโจมตีครั้งนี้ไม่ได้ใช้ช่องโหว่ทางเทคนิคที่ซับซ้อน แต่เป็นการใช้ช่องโหว่จาก ความประมาท และ กระบวนการยืนยันตัวตนที่ไม่เข้มแข็งพอ ของมนุษย์

บทเรียนสำคัญสำหรับทีมรักษาความปลอดภัย

เหตุการณ์นี้เน้นย้ำว่า ทีมรักษาความปลอดภัยยุคใหม่ต้องขยายขอบเขตการป้องกันให้ครอบคลุมมากกว่าแค่เทคโนโลยี

การพึ่งพาระบบป้องกันทางเทคนิคเพียงอย่างเดียวไม่เพียงพออีกต่อไป สิ่งที่จำเป็นคือการตระหนักถึง ปัจจัยด้านมนุษย์ ซึ่งเป็นจุดอ่อนที่ใหญ่ที่สุดในห่วงโซ่ความปลอดภัยขององค์กร

สิ่งสำคัญประการแรกคือ การฝึกอบรมพนักงานอย่างต่อเนื่องและเข้มข้น ไม่ใช่แค่สอนให้ระวังอีเมลฟิชชิง แต่ต้องสอนให้เข้าใจถึงกลยุทธ์ของ วิศวกรรมสังคม รูปแบบต่างๆ สอนให้พนักงานทุกคนมี ความสงสัยที่สุขภาพดี (Healthy Skepticism) และรู้วิธีการยืนยันตัวตนอย่างถูกต้องก่อนที่จะดำเนินการใดๆ โดยเฉพาะคำขอที่ดูผิดปกติหรือเร่งด่วน

ประการที่สองคือ กระบวนการยืนยันตัวตนที่แข็งแกร่ง โดยเฉพาะอย่างยิ่งสำหรับแผนกที่เข้าถึงข้อมูลสำคัญ เช่น IT Help Desk, HR หรือบัญชี การยืนยันตัวตนไม่ควรพึ่งพาข้อมูลที่ผู้โทรให้มาเพียงอย่างเดียว

สร้างเกราะป้องกันที่แข็งแกร่งกว่าเดิม

เพื่อรับมือกับภัยคุกคามที่ซับซ้อนขึ้น องค์กรต้องปรับใช้กลยุทธ์ที่รอบด้าน

เริ่มจากการใช้ การยืนยันตัวตนแบบหลายปัจจัย (MFA) สำหรับทุกระบบที่สำคัญ เพื่อเพิ่มชั้นความปลอดภัยอีกระดับ แม้ผู้โจมตีจะได้รหัสผ่านไป ก็ยังไม่สามารถเข้าถึงได้

นอกจากนี้ ควรนำหลักการ Zero Trust มาปรับใช้ นั่นคือ “ไม่เชื่อใจใครเลยจนกว่าจะพิสูจน์ได้” ทุกการเข้าถึง ทุกการกระทำ ต้องมีการตรวจสอบและยืนยันอย่างเข้มงวดเสมอ ไม่ว่าจะมาจากภายในหรือภายนอกองค์กร

สำหรับแผนกที่ต้องรับมือกับการเปลี่ยนแปลงข้อมูลสำคัญอย่างเงินเดือน ควรมี กระบวนการยืนยันแบบข้ามช่องทาง (Out-of-band Verification) เช่น การโทรกลับไปที่เบอร์โทรศัพท์ที่บันทึกไว้ในระบบ ไม่ใช่เบอร์ที่ผู้โทรให้มา เพื่อยืนยันคำขอ

สุดท้าย การ ตรวจสอบและทดสอบระบบความปลอดภัยอย่างสม่ำเสมอ รวมถึงการทำ แบบฝึกหัดจำลองการโจมตี (Phishing Drills) และการทดสอบช่องโหว่ของกระบวนการภายใน โดยเฉพาะอย่างยิ่งในจุดที่มีปฏิสัมพันธ์กับมนุษย์จำนวนมาก และต้องสร้าง ความร่วมมืออย่างใกล้ชิด ระหว่างแผนก IT, HR และบัญชี เพื่อให้มั่นใจว่าทุกการเปลี่ยนแปลงข้อมูลที่ละเอียดอ่อนเป็นไปตามขั้นตอนที่ปลอดภัยและรัดกุมที่สุด