การวิศวกรรมทางสังคมในศูนย์บริการลูกค้า: ทำไมกระบวนการกู้คืนบัญชีจึงเป็นจุดอ่อน

องค์กรต่างๆ ได้ใช้เวลาหลายปีในการเสริมความปลอดภัยให้กับจุดเข้าหลักด้วยวิธีการต่างๆ เช่น SSO, MFA, passkeys และ Zero Trust แต่ทุกโปรแกรมการจัดการตัวตนยังคงจำเป็นต้องมีขั้นตอนการกู้คืน เมื่อผู้ใช้สูญเสียอุปกรณ์หรือถูกล็อกเอาต์ องค์กรต้องตัดสินใจว่าจะรีเซ็ต MFA ออกข้อมูลรับรองใหม่ หรือผูกอุปกรณ์ใหม่

ขั้นตอนการกู้คืนบัญชีนั้นก็เป็นส่วนหนึ่งของช่องทางหลักเช่นกัน เพียงแต่ไม่ได้รับความสนใจเท่ากัน เพราะนี่คือจุดเดียวที่ระบบควบคุมถูกออกแบบให้ยกเว้นการตรวจสอบ ผู้โจมตีไม่จำเป็นต้องเอาชนะระบบ MFA โดยตรงเสมอไป หากพวกเขาสามารถชักจูงฝ่ายสนับสนุนหรือกระบวนการกู้คืนให้ข้ามขั้นตอนการตรวจสอบนั้นไปได้

ความจริงแล้ว มันกำลังตรวจสอบว่าบุคคลนั้นมีหรือ รู้อะไร ไม่ใช่ว่าบุคคลที่ถูกต้องนั้นอยู่จริงหรือไม่

วิธีการกู้คืนบัญชีในปัจจุบันทำงานอย่างไร

ก่อนที่จะพิจารณาว่ากระบวนการฟื้นฟูถูกโจมตีอย่างไร ควรทำความเข้าใจให้ชัดเจนก่อนว่าองค์กรส่วนใหญ่จัดการกระบวนการนี้อย่างไรในความเป็นจริง

ในองค์กรทั่วไป พนักงานที่ถูกระงับการเข้าถึงระบบมีสองวิธีเพื่อกลับเข้าสู่ระบบได้

การตั้งรหัสผ่านใหม่แบบบริการตนเอง (SSPR): พนักงานยืนยันข้อมูลที่ตนรู้หรือสิ่งที่ตนถืออยู่: คำถามความปลอดภัย, รหัสพนักงาน หรือ รหัสผ่านใช้ครั้งเดียว ที่ส่งไปยังหมายเลขโทรศัพท์ที่ลงทะเบียนไว้หรืออีเมลสำรอง ระบบจะตั้งรหัสผ่านใหม่หรือลงทะเบียนอุปกรณ์ใหม่

ศูนย์บริการช่วยเหลือ: ขั้นตอนการช่วยเหลือนี้มักเป็นการโทรไปยังศูนย์ช่วยเหลือ IT โดยมักถูกใช้เมื่อพนักงานทำอุปกรณ์หรืออุปกรณ์ยืนยันตัวตนที่ SSPR พึ่งพาอยู่สูญหาย เจ้าหน้าที่ศูนย์ช่วยเหลือจะถามคำถามยืนยันตัวตนสั้นๆ ซึ่งมักอ้างอิงจากข้อมูลในระบบ HR จากนั้นจึงดำเนินการรีเซ็ตบัญชีด้วยตนเอง สำหรับบัญชีที่มีสิทธิ์พิเศษ อาจมีขั้นตอนการอนุมัติ แต่โดยทั่วไปแล้วมักไม่มี

ในท้ายที่สุด ทั้งสองวิธีนี้ล้วนไม่สามารถยืนยันตัวตนของบุคคลได้ ทั้งสองวิธีต่างตรวจสอบข้อมูลเกี่ยวกับบุคคลนั้นเท่านั้น และข้อมูลดังกล่าวอยู่ในระบบที่ผู้โจมตีเจาะระบบได้ หรือในโปรไฟล์ที่ผู้โจมตีอ่านได้ การแบ่งแยกนี้มีความสำคัญ เพราะกรณีที่ SSPR ไม่สามารถจัดการได้ คือกรณีที่มีความเสี่ยงสูงที่สุดและระบบตรวจสอบที่อ่อนแอที่สุด

การกู้คืนระบบ Help Desk ได้กลายเป็นช่องทางที่พิสูจน์แล้วว่าสามารถถูกใช้เพื่อก่อการละเมิดข้อมูล

นี่ไม่ใช่เรื่องทฤษฎีเท่านั้น เรารู้ดีว่าวิศวกรรมสังคมสามารถหลีกเลี่ยงระบบตรวจสอบตัวตนที่ได้รับการเสริมความปลอดภัยอย่างเข้มงวดได้ โดยการมุ่งเป้าไปที่กระบวนการสนับสนุนและกู้คืนระบบ และกระบวนการกู้คืนผ่านศูนย์บริการลูกค้า (help desk) เป็นวิธีการเข้าสู่ระบบที่ได้รับการบันทึกไว้อย่างชัดเจนในบางกรณีการบุกรุกที่ก่อให้เกิดความเสียหายมากที่สุดในช่วงสองปีที่ผ่านมา

ความจริงแล้ว, Gartner อธิบายว่า การกู้คืนบัญชีเนื่องจากลืมรหัสผ่านหรือสูญเสียข้อมูลการเข้าสู่ระบบว่าเป็น “ส่วนที่มีความเสี่ยงสูงที่สุดในวงจรชีวิตของการจัดการอัตลักษณ์”

Scattered Spider ได้ใช้มัน ที่ MGM, และอีกครั้งในการโจมตีปี 2025 ต่อ M&S, Co-op และ Qantas. ที่ MGM การโทรเพียงครั้งเดียวเป็นเวลา 10 นาทีก็เพียงพอที่จะผ่านระบบความปลอดภัยมูลค่าหลายล้านดอลลาร์ได้ หลังจากเกิดเหตุการณ์ในวงการค้าปลีกของสหราชอาณาจักรแล้ว NCSC ได้เรียกร้องให้องค์กรต่างๆ ทบทวนกระบวนการรีเซ็ตรหัสผ่านของศูนย์ช่วยเหลือ รวมถึงวิธีการยืนยันตัวตนของพนักงานก่อนการรีเซ็ต โดยเฉพาะอย่างยิ่งสำหรับบัญชีที่มีสิทธิ์ระดับสูง

ขนาดของคดีนี้ได้ถูกบันทึกไว้แล้ว ในคำร้องของกระทรวงยุติธรรมสหรัฐฯ ที่ถูกเปิดเผยในเดือนกันยายน 2568 ระบุว่า มีการบุกรุกเครือข่ายอย่างน้อย 120 ครั้ง ซึ่งเกี่ยวข้องกับองค์กร 47 แห่งในสหรัฐฯ โดยผู้เสียหาย ต้องจ่ายค่าไถ่อย่างน้อย 115 ล้านดอลลาร์. อัยการได้อธิบายถึงวิธีการที่คล้ายคลึงกันในเกือบทุกกรณี: โทรติดต่อศูนย์บริการลูกค้า (help desk) เพื่อขอรีเซ็ตรหัสผ่าน จากนั้นยึดครองบัญชีผู้ดูแลระบบ (administrative account) และใช้สิทธิ์การเข้าถึงนั้นเพื่อขโมยข้อมูลออกไป

ประเด็นไม่ใช่ว่าตัวแทนบริการจะประมาท แต่เป็นเพราะกระบวนการนี้บังคับให้พวกเขาต้องตัดสินใจเรื่องตัวตนที่มีความเสี่ยงสูง โดยใช้สัญญาณที่ผู้โจมตีสามารถสร้างขึ้นได้อย่างง่ายดายในปริมาณมาก การกู้คืนบัญชีไม่ควรขึ้นอยู่กับความตัดสินใจของใครสักคนว่าคำขอ รู้สึก ถูกต้องตามกฎหมาย; แต่ควรต้องมีการพิสูจน์การมีอยู่จริง

ผู้นำด้านความปลอดภัยได้สังเกตเห็นแล้วในรายงาน ID IQ ปี 2026 ของ RSA มีองค์กร 51% ที่ระบุว่า “การหลีกเลี่ยงศูนย์บริการ” เป็นความเสี่ยงที่ใหญ่ที่สุดเพียงอย่างเดียว

ความก้าวหน้าในด้านการสร้างข้อความด้วย AI และ การคัดลอกเสียง ทำให้การโทรหลอกลวงทำได้ง่ายขึ้น ผู้โจมตีที่โทรไปยังศูนย์บริการลูกค้าโดยอ้างว่าเป็นพนักงานที่ถูกล็อกบัญชี สามารถทำให้เสียงฟังเหมือนพนักงานคนนั้นได้ ซึ่งทำให้การตรวจสอบตามสัญชาตญาณเพียงไม่กี่อย่างที่เจ้าหน้าที่บริการลูกค้ามีอยู่ถูกกำจัดไป แต่การโจมตีนี้ไม่จำเป็นต้องพึ่งพาการตรวจสอบดังกล่าว ผู้โจมตีที่เตรียมตัวมาอย่างดีสามารถใช้ข้อมูลที่ถูกแฮ็ก ข้อมูลจาก LinkedIn คำศัพท์ภายในองค์กร และเรื่องราวที่น่าเชื่อถือได้ เมื่ออยู่ภายใต้ความกดดัน เจ้าหน้าที่บริการลูกค้าจะถูกขอให้ “เพียงรีเซ็ต MFA” หรือ “ช่วยผมเข้าบัญชีอีกครั้ง”

FBI และCISA ได้บันทึกกลไกการโจมตีนี้ไว้ ผู้โจมตีจะปลอมตัวเป็นผู้ใช้หรือพนักงานศูนย์บริการเพื่อรีเซ็ตรหัสผ่านและปิดใช้งาน MFA จากนั้นใช้บัญชีที่ถูกต้องเหล่านั้นเพื่อสร้างการเข้าถึงอย่างต่อเนื่อง การรีเซ็ตรหัสผ่านนี้ไม่ได้ให้สิทธิ์การเข้าสู่ระบบ แต่ทำให้ผู้โจมตีกลายเป็นผู้ใช้ที่ระบบเชื่อถือ

เพื่อวิเคราะห์อย่างละเอียดเกี่ยวกับข้อกำหนดในการตรวจสอบตัวตนของพนักงานโปรดดูรายงานของ Gartner ที่นี่

ทำไมระบบควบคุมการกู้คืนข้อมูลแบบเดิมจึงล้มเหลว

กระบวนการฟื้นตัวส่วนใหญ่ขึ้นอยู่กับสองประเภทปัจจัยที่อ่อนแอ

• ปัจจัยด้านความรู้ เช่น คำถามความปลอดภัย รหัสพนักงาน ชื่อผู้จัดการ หรือวันเกิด จะมีความลับได้เพียงเท่ากับการละเมิดข้อมูลครั้งล่าสุดหรือการค้นหาบน LinkedIn เท่านั้น สิ่งเหล่านี้แสดงถึงความรู้เกี่ยวกับเรื่องใดเรื่องหนึ่งเท่านั้น ไม่ใช่การยืนยันตัวตน
• ปัจจัยที่เกี่ยวข้องกับการถือครอง เช่น รหัสผ่านครั้งเดียว (OTP) ทาง SMS แอปพลิเคชันยืนยันตัวตน หรืออุปกรณ์สำรอง สามารถถูกแชร์ได้ ถูกฟิชชิ่งได้ และมักไม่สามารถใช้งานได้ในเวลาที่จำเป็นต้องกู้คืนบัญชีทันที หากผู้ใช้สูญเสียอุปกรณ์ไป การควบคุมที่ผูกกับอุปกรณ์นั้นไม่สามารถเป็นวิธีเดียวในการกู้คืนบัญชีได้ OTP ยังสามารถสนับสนุนกระบวนการกู้คืนได้ แต่ไม่ควรถูกใช้เป็นการยืนยันตัวตน

Passkeys และระบบชีวมิติในตัวอุปกรณ์มีความปลอดภัยสูงกว่ารหัสผ่าน แต่ไม่สามารถแก้ไขทุกกรณีพิเศษในวงจรชีวิตได้ Passkeys ยังคงต้องผ่านขั้นตอนการกู้คืนและลงทะเบียนใหม่เมื่อเปลี่ยนอุปกรณ์ Face ID และระบบชีวมิติในตัวอุปกรณ์ที่คล้ายกันช่วยยืนยันสิทธิ์การใช้งานอุปกรณ์ แต่โดยตัวมันเองไม่สามารถพิสูจน์ให้องค์กรทราบได้ว่าเจ้าของบัญชีคือบุคคลจริงที่กำลังขอการกู้คืนในขณะนี้

วิธีแก้ไข: ตรวจสอบบุคคลอีกครั้ง ไม่ใช่เอกสารรับรอง

การกู้คืนบัญชีควรได้รับการตรวจสอบตามมาตรฐานที่อย่างน้อยเทียบเท่ากับขั้นตอนการเข้าสู่ระบบที่มันมาแทนที่ แทนที่จะถามว่า “บุคคลนี้รู้พอที่จะฟังดูน่าเชื่อถือหรือไม่” องค์กรควรถามว่า “บุคคลที่ถูกต้องและจริงอยู่ตรงนั้นในขณะนี้หรือไม่”

สิ่งนั้นต้องการระบบ การตรวจจับความมีชีวิต เช่น iProov Dynamic Liveness® ซึ่งยืนยันว่าใบหน้าที่ถูกแสดงระหว่างการตรวจสอบเป็นของบุคคลจริงที่อยู่ในสถานที่นั้นในขณะนั้น ไม่ใช่ภาพถ่าย การบันทึก หรือสื่อสังเคราะห์

ไม่ใช่ทุกโซลูชันจะมีประสิทธิภาพเท่ากัน และความแตกต่างนี้มีความสำคัญในช่วงการประเมินมากกว่าในขั้นตอนนี้ ระบบบางระบบได้รับการทดสอบเพียงเพื่อรับมือกับการโจมตีที่ถูกส่งผ่านกล้องเท่านั้น ส่วนระบบที่ได้รับการทดสอบเพื่อรับมือกับการโจมตีที่ถูกส่งตรงเข้าสู่ซอฟต์แวร์ โดยข้ามขั้นตอนการใช้กล้องไปเลยนั้นมีจำนวนน้อยกว่า หากคุณถึงขั้นที่ต้องเปรียบเทียบผู้จำหน่าย นี่คือคำถามที่ควรถาม: ระบบนี้ได้รับการทดสอบเพื่อรับมือกับประเภทการโจมตีใดบ้าง ได้รับการทดสอบอย่างอิสระ และโดยใคร?

ในขั้นตอนการกู้คืน ระบบจะปรับเปลี่ยนขั้นตอนการดำเนินการ ผู้ใช้ต้องยืนยันข้อมูลติดต่อ สแกนเอกสารประจำตัวหากจำเป็น ดำเนินการสแกนใบหน้าเพื่อยืนยันว่าผู้ใช้ยังมีชีวิตอยู่ และเพียงหลังจากนั้นเท่านั้นจึงสามารถรีเซ็ตข้อมูลการเข้าสู่ระบบหรือผูกอุปกรณ์ใหม่ได้

และเนื่องจากการตรวจสอบนี้สร้างบันทึกของบุคคลที่ได้รับการยืนยันแล้ว แทนที่จะเป็นคำตอบที่ถูกต้องของคำถาม การรีเซ็ตจึงทิ้งหลักฐานไว้ ซึ่งกระบวนการเดิมไม่เคยสร้างขึ้นเลย

การกู้คืนข้อมูลด้วยระบบไบโอเมตริกบนคลาวด์สามารถทำงานได้ทั้งบนอุปกรณ์ใหม่และอุปกรณ์เก่า ดังนั้นโทรศัพท์ที่สูญหายจึงไม่กลายเป็นจุดล้มเหลวเดียว นอกจากนี้ยังช่วยลดภาระงานของศูนย์บริการลูกค้าในการตัดสินใจที่มีความเสี่ยงสูงที่สุด ลดจำนวนคำขอรีเซ็ต และให้ทีมความปลอดภัยมีบันทึกการตรวจสอบที่ชัดเจนยิ่งขึ้นตั้งแต่จุดที่เริ่มการผูกบัญชีใหม่

กระบวนการกู้คืนบัญชีที่ยอดเยี่ยมควรแสดงให้เห็นถึงสิ่งใด?

ผู้นำด้านความปลอดภัยไม่ต้องการทางเลือกสำรองที่มีความมั่นใจต่ำอีกแล้ว พวกเขาต้องการกระบวนการกู้คืนที่สามารถตอบคำถามต่อไปนี้ได้:

• กระบวนการนี้เป็นการตรวจสอบบุคคลใหม่ หรือเพียงการตรวจสอบเอกสารรับรองอีกครั้งเท่านั้น?
• มันจะทำงานได้หรือไม่ หากอุปกรณ์เดิมของผู้ใช้หายไปแล้ว?
• ระบบนี้บันทึกไว้หรือไม่ว่าใครได้รับการยืนยันแล้ว ไม่ใช่เพียงแต่บันทึกว่าได้ดำเนินการตามขั้นตอนแล้วเท่านั้น?
• ความสามารถในการทำงานแบบเรียลไทม์ของระบบนี้ได้รับการทดสอบอย่างอิสระแล้วหรือไม่ และเทียบกับมาตรฐานใด?
• ระบบนี้สามารถตามทันภัยคุกคามที่กำลังเกิดขึ้น เทคนิคการวิศวกรรมทางสังคมแบบใหม่ และกลยุทธ์การปลอมตัวได้หรือไม่?

หากคำตอบคือไม่ กระบวนการกู้คืนข้อมูลอาจถูกโจมตีได้ง่ายกว่าขั้นตอนการเข้าสู่ระบบที่มันถูกออกแบบมาเพื่อปกป้อง

การกู้คืนบัญชีไม่ใช่เพียงปัญหาด้านหลังบ้านอีกต่อไป แต่เป็นจุดที่ระบบยืนยันตัวตนที่เข้มงวดจะล้มเหลว หากไม่มีการยืนยันตัวตนของผู้ใช้ใหม่ องค์กรที่ก้าวหน้าในเรื่องนี้กำลังเปลี่ยนจากคำถาม “คุณรู้อะไร?” และ “คุณมีอะไร?” มาเป็น “คุณสามารถพิสูจน์ได้หรือไม่ว่าคุณคือบุคคลที่ถูกต้องและจริง?”

ดูเซสชันเต็ม

บทความนี้อ้างอิงจาก เซสชัน Deepfake ในสถานที่ทำงาน ซึ่งรวมถึงการสาธิตสดและบริบทของวงจรชีวิตอัตลักษณ์ที่กว้างขึ้น ตั้งแต่การรับสมัครงานจากระยะไกล ไปจนถึงการประชุม และกิจกรรมของพนักงานที่มีความเสี่ยงสูง

ดู Stranger Things ในที่ทำงาน: การปกป้ององค์กรของคุณจากโลกกลับหัวของ Deepfake, แล้วมาค้นพบวิธีที่ iProov Workforce Solution Suite ช่วยปกป้องกระบวนการกู้คืนบัญชีและการผูกอุปกรณ์ใหม่ – ซึ่งเป็นช่วงเวลาที่ระบบควบคุมด้วยข้อมูลรับรองมีความอ่อนแอที่สุด

---

การกู้คืนบัญชี: คำถามที่พบบ่อย

ขั้นตอนการกู้คืนบัญชีคืออะไร?

การกู้คืนบัญชีคือกระบวนการที่องค์กรใช้เพื่อคืนสิทธิ์การเข้าถึงให้ผู้ใช้เมื่อบัญชีถูกล็อก ลืมรหัสผ่าน หรือสูญเสียอุปกรณ์ ส่วนใหญ่ขององค์กรใช้สองวิธี การรีเซ็ตรหัสผ่านแบบบริการตนเอง (SSPR) 要求ผู้ใช้ยืนยันคำถามความปลอดภัย รหัสพนักงาน หรือรหัสผ่านใช้ครั้งเดียวที่ส่งไปยังหมายเลขโทรศัพท์ที่ลงทะเบียนไว้ ส่วนช่องทางศูนย์ช่วยเหลือจะจัดการทุกกรณีที่ SSPR ไม่สามารถทำได้ โดยเจ้าหน้าที่จะตรวจสอบความถูกต้องของผู้ติดต่อกับข้อมูลในระบบทรัพยากรบุคคล ก่อนดำเนินการรีเซ็ตรหัสผ่านด้วยตนเอง ทั้งสองช่องทางนี้ไม่ตรวจสอบตัวบุคคล แต่ตรวจสอบข้อมูลเกี่ยวกับบุคคลนั้น

ทำไมการกู้คืนบัญชีจึงถือเป็นความเสี่ยงด้านความปลอดภัย?

ขั้นตอนการกู้คืนเป็นจุดที่ระบบควบคุมการยืนยันตัวตนส่วนใหญ่ถูกระงับตามการออกแบบ เนื่องจากขั้นตอนนี้ต้องพึ่งพาปัจจัยความรู้และปัจจัยการครอบครอง ซึ่งอาจถูกเจาะระบบ ถูกฟิชชิ่ง หรือถูกโจมตีด้วยวิศวกรรมสังคม ทำให้ผู้โจมตีสามารถหลีกเลี่ยงระบบ MFA ได้โดยไม่ต้องเจาะระบบเลย ในรายงาน ID IQ ปี 2026 ของ RSA มีองค์กร 51% ที่ระบุว่าการหลีกเลี่ยงระบบผ่านศูนย์บริการ (service desk bypass) เป็นความเสี่ยงที่ใหญ่ที่สุดเพียงอย่างเดียว

ผู้โจมตีสามารถหลีกเลี่ยงระบบ MFA ได้อย่างไรผ่านทางศูนย์บริการลูกค้า?

แทนที่จะโจมตีระบบ MFA โดยตรง ผู้โจมตีจะโทรไปยังศูนย์บริการ IT โดยปลอมตัวเป็นพนักงานที่ถูกล็อกบัญชี โดยใช้ข้อมูลที่ถูกขโมย ข้อมูลจาก LinkedIn และศัพท์ภายในองค์กร เพื่อผ่านคำถามยืนยันตัวตน FBI และ CISA ได้บันทึกไว้ว่ากลุ่ม Scattered Spider ปลอมตัวเป็นผู้ใช้และพนักงานศูนย์บริการ IT เพื่อรีเซ็ตรหัสผ่านและปิดระบบ MFA จากนั้นใช้บัญชีที่ถูกต้องเหล่านั้นเพื่อสร้างการเข้าถึงอย่างต่อเนื่อง

เทคโนโลยีชีวมิติสามารถช่วยรักษาความปลอดภัยในกระบวนการกู้คืนบัญชีได้อย่างไร?

การกู้คืนด้วยข้อมูลชีวภาพจะตรวจสอบบุคคลนั้นอีกครั้ง แทนที่จะตรวจสอบข้อมูลรับรองอีกครั้ง ผู้ใช้จะยืนยันข้อมูลติดต่อ สแกนเอกสารประจำตัวหากจำเป็น และทำการสแกนใบหน้าผ่านการตรวจสอบความมีชีวิตจริง ก่อนที่จะรีเซ็ตข้อมูลรับรองหรือผูกอุปกรณ์ใหม่ เนื่องจากการตรวจสอบนี้ใช้ระบบคลาวด์เป็นฐาน แทนที่จะผูกกับอุปกรณ์ที่ลงทะเบียนไว้ จึงสามารถใช้งานได้ทั้งบนโทรศัพท์เครื่องใหม่และเครื่องเก่า ช่วยลดความเสี่ยงในการตัดสินใจของฝ่ายสนับสนุน และสร้างบันทึกการตรวจสอบว่าใครได้รับการยืนยันแล้ว