เมื่อโทรศัพท์กลายเป็นจุดอ่อนที่สุดของระบบความปลอดภัย

โทรศัพท์สายหนึ่งที่ฟังดูน่าเชื่อถือ อาจหลบเลี่ยงมาตรการควบคุมที่สามารถหยุดอีเมลต้องสงสัยได้ภายในไม่กี่วินาที นี่คือเหตุผลที่ Vishing Attacks ยังคงเป็นความเสี่ยงทางธุรกิจที่เกิดขึ้นอย่างต่อเนื่อง แทนที่จะพยายามเจาะระบบป้องกันทางเทคนิคโดยตรง ผู้โจมตีมักกดดันให้พนักงานเปิดเผยข้อมูลรับรอง อนุมัติการชำระเงิน หรือแบ่งปันข้อมูลสำคัญ สำหรับหลายองค์กร จุดอ่อนที่แท้จริงอาจไม่ใช่ระบบโทรศัพท์ แต่เป็นความไว้วางใจที่ถูกมอบให้กับคำขอทางเสียงที่ดูเร่งด่วน

อะไรทำให้การฉ้อโกงผ่านเสียงได้ผลมาก

Vishing หรือ voice phishing อาศัยพฤติกรรมของคนมากกว่ามัลแวร์ ผู้โจมตีมักปลอมตัวเป็นเจ้าหน้าที่ธนาคาร ผู้บริหารระดับสูง ซัพพลายเออร์ หน่วยงานภาครัฐ หรือเจ้าหน้าที่ IT ภายในองค์กร เป้าหมายมีอยู่ไม่ซับซ้อน คือสร้างความเร่งด่วน ทำให้ดูน่าเชื่อถือ และผลักดันให้เป้าหมายลงมือทำก่อนจะมีเวลาคิดทบทวน เพราะการสนทนาเกิดขึ้นแบบเรียลไทม์ พนักงานจึงอาจรู้สึกกดดันให้ต้องให้ความร่วมมือ แทนที่จะหยุดเพื่อตรวจสอบสิ่งที่ได้รับแจ้ง

กลยุทธ์นี้มีประสิทธิภาพมากขึ้นเมื่อผู้โจมตีใช้ข้อมูลทางธุรกิจที่เปิดเผยต่อสาธารณะเพื่อทำให้สายโทรศัพท์ดูสมจริง ตำแหน่งงาน สายการบังคับบัญชา ความสัมพันธ์กับคู่ค้า หรือแม้แต่แผนการเดินทาง ล้วนสามารถนำมาปะติดปะต่อได้จากเว็บไซต์และแพลตฟอร์มโซเชียล ผู้โทรที่เตรียมตัวมาดีไม่จำเป็นต้องรู้ทุกอย่าง รายละเอียดที่ถูกต้องเพียงไม่กี่จุดก็อาจมากพอที่จะลดความสงสัย และเปลี่ยนบทสนทนาทั่วไปให้กลายเป็นเหตุการณ์ด้านความปลอดภัยได้

ผลกระทบต่อธุรกิจไม่ได้จบที่โทรศัพท์สายเดียว

หลายองค์กรอาจมองว่า vishing เป็นเพียงประเด็นด้านการสร้างความตระหนักเล็กน้อย แต่ผลกระทบต่อการดำเนินงานอาจรุนแรงกว่าที่คิด การโทรที่สำเร็จเพียงครั้งเดียวอาจนำไปสู่การยึดบัญชีผู้ใช้ การโอนเงินโดยไม่ได้รับอนุญาต การเปิดเผยข้อมูล หรือการหยุดชะงักของการให้บริการลูกค้า ในบางกรณี โทรศัพท์สายแรกอาจเป็นเพียงจุดเริ่มต้นของการโจมตีที่ใหญ่กว่า ซึ่งอาจรวมถึง email compromise การใช้สิทธิ์ remote access ในทางที่ผิด หรือการเปลี่ยนแปลงข้อมูลการชำระเงินแบบฉ้อโกง

ต้นทุนทางการเงินเป็นเพียงส่วนหนึ่งของปัญหา ทีมความปลอดภัยอาจต้องตรวจสอบ access logs รีเซ็ตรหัสผ่าน ทบทวนธุรกรรม แจ้งผู้ที่ได้รับผลกระทบ และจัดทำเอกสารเหตุการณ์เพื่อวัตถุประสงค์ด้าน compliance กระบวนการตอบสนองเหล่านี้ดึงเวลาออกจากงานประจำ และอาจสร้างความเสียหายต่อชื่อเสียงในระยะยาวได้ เมื่อการหลอกลวงทางโทรศัพท์เข้าถึงทีมการเงิน HR หรือ help desk วงกระทบมักขยายตัวอย่างรวดเร็ว

จุดไหนที่องค์กรมีความเสี่ยงมากที่สุด

พนักงานทุกคนมีโอกาสได้รับสายหลอกลวง แต่บางบทบาทต้องเผชิญแรงกดดันมากกว่า จึงมีความเสี่ยงสูงกว่า ทีมการเงินอาจตกเป็นเป้าของคำขอให้ชำระเงิน เจ้าหน้าที่ help desk อาจถูกกดดันให้รีเซ็ตรหัสผ่านหรือข้ามขั้นตอนการยืนยันตัวตน ผู้บริหารระดับสูงและผู้ช่วยผู้บริหารก็มักถูกใช้เป็นจุดเริ่มต้น เพราะผู้โจมตีเชื่อว่าการตัดสินใจของบุคคลเหล่านี้มีทั้งความเร่งด่วนและอำนาจ

• คำขออนุมัติการชำระเงินที่ส่งมานอกช่องทางปกติ
• สายโทรศัพท์ที่เรียกร้องให้รีเซ็ตรหัสผ่านหรือเปลี่ยน MFA ทันที
• คำขอให้เปิดเผยข้อมูลพนักงาน ลูกค้า หรือซัพพลายเออร์
• การแอบอ้างเป็นผู้บริหาร หน่วยงานกำกับดูแล หรือผู้ให้บริการที่องค์กรไว้วางใจ

สถานการณ์เหล่านี้อันตรายเพราะดูเป็นเรื่องคุ้นเคย พนักงานต้องจัดการคำขอเร่งด่วนอยู่ทุกวัน หากไม่มีขั้นตอนการตรวจสอบที่ชัดเจน กิจกรรมทางธุรกิจตามปกติอาจกลายเป็นช่องทางที่ผู้โจมตีใช้เพื่อให้ได้สิ่งที่ต้องการ

การลดความเสี่ยงต้องอาศัยกระบวนการ ไม่ใช่แค่การสร้างความตระหนักรู้

การอบรมสร้างความตระหนักรู้มีความสำคัญ แต่เพียงอย่างเดียวไม่เพียงพอ องค์กรจะลดความเสี่ยงได้มากขึ้นเมื่อพนักงานมีขั้นตอนง่าย ๆ สำหรับตรวจสอบคำขอที่ผิดปกติ โดยเฉพาะคำขอที่เกี่ยวข้องกับเงิน ข้อมูลรับรอง หรือข้อมูลอ่อนไหว แนวทางที่มีประสิทธิภาพควรรวมการยืนยันสายโทรศัพท์ การควบคุมการอนุมัติ การตรวจสอบตัวตน และช่องทางรายงานเหตุการณ์ที่พนักงานสามารถใช้งานได้โดยไม่ลังเล

ในทางปฏิบัติ สิ่งนี้มักหมายถึงการกำหนดกฎพื้นฐานที่ยกเว้นไม่ได้บางข้อ เช่น ห้ามเปลี่ยนรายละเอียดการชำระเงินโดยอาศัยเพียงการโทรศัพท์ ห้ามรีเซ็ตรหัสผ่านโดยไม่มีการยืนยันตัวตนตามขั้นตอนที่อนุมัติไว้ และห้ามเปิดเผยข้อมูลสำคัญโดยไม่ยืนยันผ่านอีกช่องทางหนึ่งที่เชื่อถือได้ เมื่อมีการบันทึกและฝึกใช้มาตรการเหล่านี้อย่างสม่ำเสมอ พนักงานก็จะมีโอกาสน้อยลงที่จะตัดสินใจตามสัญชาตญาณภายใต้แรงกดดัน

สิ่งที่ผู้นำด้านความปลอดภัยควรทบทวนตั้งแต่ตอนนี้

ผู้นำด้านความปลอดภัยควรมอง vishing ให้เป็นส่วนหนึ่งของความเสี่ยงจาก social engineering ในภาพรวม ไม่ใช่เพียงปัญหากวนใจเฉพาะจุด การทบทวนที่ได้ผลที่สุดควรเริ่มจากกระบวนการทางธุรกิจที่ผู้โจมตีมีแนวโน้มจะใช้ประโยชน์มากที่สุด ซึ่งรวมถึงขั้นตอนการชำระเงิน การยืนยันตัวตนของ help desk การสื่อสารของผู้บริหาร คำขอเปลี่ยนแปลงข้อมูลจากคู่ค้า และกระบวนการกู้คืนการเข้าถึงระบบ หากพื้นที่เหล่านี้พึ่งพาความรวดเร็วและความไว้วางใจมากเกินไป ก็ย่อมเป็นเป้าหมายสำคัญ

การทบทวนในทางปฏิบัติควรครอบคลุมประเด็นต่อไปนี้:

• องค์กรตรวจสอบคำขอที่มีความอ่อนไหวก่อนดำเนินการอย่างไร
• ทีมใดได้รับสายที่ต้องอาศัยความไว้วางใจสูงมากที่สุด
• พนักงานทราบหรือไม่ว่าควร escalate บทสนทนาที่น่าสงสัยอย่างไร
• องค์กรสามารถควบคุมบัญชีหรือธุรกรรมที่ถูกกระทบได้รวดเร็วเพียงใด

คำถามที่พบบ่อย

Vishing attacks มุ่งเป้าเฉพาะองค์กรขนาดใหญ่เท่านั้นหรือไม่?

ไม่ใช่ ธุรกิจขนาดเล็กก็มักตกเป็นเป้าหมายเช่นกัน เพราะอาจมีมาตรการตรวจสอบอย่างเป็นทางการน้อยกว่า และมีทีมงานที่ดูแลงานการเงินหรือคำขอด้านการสนับสนุนในจำนวนจำกัด

เชื่อถือ Caller ID ได้หรือไม่?

ไม่ได้ Caller ID สามารถถูก spoof ได้ ดังนั้นหมายเลขที่คุ้นเคยจึงไม่ควรถูกใช้เป็นหลักฐานยืนยันความน่าเชื่อถือเพียงอย่างเดียว

การอบรมพนักงานเพียงพอที่จะหยุด vishing หรือไม่?

การอบรมช่วยได้ แต่จะได้ผลดีที่สุดเมื่อมี workflow ขั้นตอนการอนุมัติ และนโยบายการตรวจสอบที่ชัดเจนมารองรับ เพื่อลดการคาดเดาในระหว่างที่กำลังรับสายจริง

เลือกรูปแบบการสนับสนุนที่เหมาะสม

องค์กรที่กำลังประเมินแนวทางป้องกัน social engineering ต้องการมากกว่าการพูดคุยเรื่องผลิตภัณฑ์เพียงตัวเดียว ในหลายกรณี องค์กรต้องใช้ทั้งการสร้างความตระหนักรู้ของผู้ใช้ การควบคุมตัวตน ขั้นตอนการตรวจสอบ และการวางแผนรับมือเหตุการณ์ให้สอดคล้องกับรูปแบบการดำเนินงานของตนเอง Terrabyte ช่วยให้องค์กรประเมินความต้องการเหล่านี้ และคัดเลือกโซลูชันด้าน cybersecurity ที่สอดคล้องกับกระบวนการทางธุรกิจ ลำดับความสำคัญด้านความเสี่ยง และเป้าหมายความพร้อมรับมือในระยะยาว