9 พฤษภาคม 2568
การโจมตีด้วยแรนซัมแวร์ล่าสุดต่อ M&S, Co-op และ Harrods เผยให้เห็นรูปแบบที่คุ้นเคย: ผู้โจมตีไม่ต้องพึ่งพาการแฮ็กเครือข่ายของบริษัทอีกต่อไป แต่มักจะเข้าสู่ระบบผ่านแผนกช่วยเหลือ ตามที่ Gartner ระบุ การกู้คืนบัญชีเนื่องจากลืมรหัสผ่านหรือสูญเสียข้อมูลประจำตัวเป็นส่วนที่มีความเสี่ยงมากที่สุดในวงจรชีวิตการจัดการข้อมูลประจำตัว เช่น เดียวกับ การละเมิด MGM Resorts ในปี 2023 ซึ่งนำไปสู่การสูญเสีย 100 ล้านดอลลาร์ เหตุการณ์เหล่านี้แสดงให้เห็นว่ากระบวนการ กู้คืนบัญชี มีความเสี่ยงต่อการโจมตีทางวิศวกรรมสังคมเพียงใด
กายวิภาคของการโจมตีทางวิศวกรรมสังคม
AI ทำให้การโจมตีทางวิศวกรรมสังคมง่ายขึ้นได้อย่างไร
AI กำลังเปลี่ยนอาชญากรรมทางไซเบอร์ให้กลายเป็นปฏิบัติการขนาดใหญ่ที่ไม่ต้องใช้ทักษะมากนัก โดยทำให้การฟิชชิ่งเป็นระบบอัตโนมัติ พัฒนาดีปเฟก และเปิดใช้งานมัลแวร์ที่ปรับตัวได้เร็วกว่าที่ระบบป้องกันจะตอบสนองได้ เทคโนโลยีเหล่านี้ไม่เพียงแต่ลดความพยายามที่ผู้โจมตีต้องใช้เท่านั้น แต่ยังเพิ่มความเร็ว ความแม่นยำ และการเข้าถึงได้อย่างมากอีกด้วย
- การระบุเป้าหมาย : เครื่องมือที่ขับเคลื่อนด้วย AI จะรวบรวมและวิเคราะห์ข้อมูลสาธารณะจำนวนมาก ตั้งแต่โปรไฟล์ LinkedIn ไปจนถึงฐานข้อมูลที่ถูกเจาะ เพื่อสร้างโปรไฟล์เป้าหมายโดยละเอียด การประมวลผลภาษาธรรมชาติช่วยระบุบทบาทหน้าที่ ความสัมพันธ์ และรูปแบบการสื่อสาร เพื่อสร้างเหยื่อล่อฟิชชิ่งหรือความพยายามแอบอ้างตัวตนที่น่าเชื่อถือสูง
- การกรอกข้อมูลประจำตัว : AI เร่งความพยายามเข้าสู่ระบบแบบบรูทฟอร์ซโดยให้ความสำคัญกับรหัสผ่านที่ใช้ซ้ำบ่อยๆ และปรับกลยุทธ์แบบเรียลไทม์ ในปี 2024 Microsoft รายงานว่ามีการโจมตีรหัสผ่าน 7,000 ครั้งต่อวินาที การวิจัยแสดงให้เห็นว่า AI สามารถถอดรหัสรหัสผ่านที่อ่อนแอได้มากกว่า 50% ในเวลาไม่ถึงหนึ่งนาที
- การปลอมตัว : โมเดลการเรียนรู้เชิงลึกใช้เพื่อสร้างเสียงและวิดีโอปลอมที่สมจริง โดยเลียนแบบเสียงและการเคลื่อนไหวของใบหน้าด้วยความแม่นยำสูง วิธีนี้ทำให้ผู้โจมตีสามารถปลอมตัวเป็นพนักงานได้อย่างแนบเนียนใน การโทรสนับสนุนสด การประชุมวิดีโอ หรือแม้แต่ข้อความเสียง
- การโจมตี MFA Fatigue : สคริปต์ AI จัดการการแจ้งเตือนแบบพุชซ้ำๆ โดยกำหนดเวลาให้ตรงกับช่วงเวลาที่น่าเสียสมาธิ (เช่น ช่วงพักเที่ยงหรือสิ้นสุดวัน) ผู้โจมตีบางรายยังรวมสิ่งนี้เข้ากับเสียงที่ปลอมเป็นฝ่ายสนับสนุนด้านไอทีเพื่อกระตุ้นให้ผู้ใช้ยอมรับการแจ้งเตือน
วิธีการที่ได้รับการปรับปรุงด้วย AI เหล่านี้ได้รับการพิสูจน์แล้วว่ามีประสิทธิภาพ ในปี 2024 องค์กร 42% รายงานว่าการโจมตีด้วยฟิชชิ่ง วิชชิ่ง ดีปเฟก หรือวิศวกรรมสังคมอื่นๆ ประสบความสำเร็จ ( Global Cybersecurity Outlook 2025 , World Economic Forum)
ปัญหาหลัก: ความลับที่แบ่งปันกันจะถูกแบ่งปันเสมอ
ในขณะที่ AI เร่งพัฒนาศักยภาพของผู้ก่อภัยคุกคาม การยืนยันตัวตนขององค์กรยังคงขึ้นอยู่กับความรู้ที่อ่อนแอและวิธีการที่ใช้การครอบครอง รหัสผ่าน รหัส SMS และแอปตรวจสอบตัวตน ข้อมูลประจำตัวที่แชร์ได้เหล่านี้สามารถหลอกล่อเหยื่อให้เปิดเผยได้อย่างง่ายดายและแชร์ผ่านโทรศัพท์
ปัญหาหลักคือการเชื่อ สิ่งที่คนอื่นรู้ หรือ พูด แทนที่จะตรวจสอบว่า พวกเขาเป็นใคร แรงงานมีการเปลี่ยนแปลงเร็วกว่าสถาปัตยกรรมความปลอดภัยส่วนใหญ่ การเข้าถึงระยะไกล BYOD และสภาพแวดล้อมที่เน้นคลาวด์เป็นหลักทำให้การพิสูจน์ตัวตนตามขอบเขตแบบเดิมล้าสมัย
ศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) เรียกร้องให้องค์กรต่างๆ ประเมินวิธีการที่ฝ่ายช่วยเหลือด้านไอทีตรวจสอบผู้ใช้ใหม่ โดยเฉพาะอย่างยิ่งเมื่อต้องจัดการกับบัญชีที่มีสิทธิพิเศษ แม้ว่าผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จะ สนับสนุนให้เพิ่มระดับความปลอดภัยเพื่อป้องกันการโจมตีในอนาคต เช่น คำรหัสที่แชร์กับฝ่ายช่วยเหลือ แต่หากระดับเหล่านี้ประกอบด้วยความลับที่แชร์ได้ ก็มีความเสี่ยง
ไบโอเมตริกซ์ใบหน้าสามารถป้องกันการฟิชชิ่งได้
ไบโอเมตริกซ์ใบหน้าพร้อมการตรวจจับความมีชีวิต ช่วยเปลี่ยนแปลงพื้นฐานในการยืนยันและพิสูจน์ตัวตนของพนักงาน
- ไม่ใช่เรื่องลับ — ใบหน้าของคุณไม่สามารถถูกแชร์หรือฟิชชิ่งได้
- ยืนยันตัวตน ไม่ใช่แค่เพียงว่าคุณรู้รหัสหรือสามารถเข้าถึงอุปกรณ์ได้หรือไม่ แต่รวมถึงว่าคุณเป็นใครด้วย
- ช่วยยืนยันการมีอยู่จริง ซึ่งเป็นความสามารถที่สำคัญในโลกที่ห่างไกลในปัจจุบัน
แม้ว่าผู้โจมตีจะสามารถโน้มน้าวให้บุคคลอื่นยืนยันตัวตนได้ แต่ผู้โจมตีก็จะได้แค่เซลฟี่เท่านั้น การตรวจจับความเคลื่อนไหวบนคลาวด์ที่มีประสิทธิภาพช่วยให้มั่นใจได้ว่ารูปภาพและวิดีโอ รวมถึงภาพปลอมคุณภาพสูง จะไม่สามารถใช้ข้ามเวิร์กโฟลว์การยืนยันตัวตนได้ และยังมีการพัฒนาอย่างต่อเนื่องเพื่อบรรเทาการโจมตีที่ใช้ AI ใหม่ๆ
ไบโอเมตริกซ์ใบหน้าเป็นวิธีเดียวที่จะเชื่อมโยงกิจกรรมของผู้ใช้กับมนุษย์จริง ในขณะที่องค์กรต่างๆ พยายามใช้สถาปัตยกรรม Zero Trust และไม่ต้องใช้รหัสผ่าน ความสามารถนี้จึงมีความสำคัญอย่างยิ่งในการลดความเสี่ยงและรักษาความปลอดภัยของพนักงาน
รักษาความปลอดภัยกระบวนการกู้คืนบัญชีของคุณ
เนื่องจาก AI เร่งขนาดและความซับซ้อนของวิศวกรรมสังคม ความต้องการการยืนยันตัวตนที่มีความปลอดภัยสูงและป้องกันการฟิชชิ่งจึงชัดเจนมากขึ้นกว่าที่เคย ไบโอเมตริกซ์ใบหน้าพร้อมการตรวจจับความมีชีวิตเป็นวิธีที่ปลอดภัยในการยืนยันตัวตน ไม่ใช่แค่ข้อมูลประจำตัวเท่านั้น ในจุดที่มีความเสี่ยงสูงสุด
หากองค์กรของคุณกำลังประเมินใหม่ว่าผู้ใช้จะได้รับการตรวจยืนยันอย่างไรในระหว่างการโทรสนับสนุน โดยเฉพาะอย่างยิ่งสำหรับการเข้าถึงที่มีสิทธิพิเศษ นี่คือเวลาที่ต้องดำเนินการ
อย่าปล่อยให้แผนกช่วยเหลือของคุณกลายเป็นจุดอ่อนที่สุดของคุณ พูดคุยกับเราเกี่ยวกับการใช้การตรวจสอบข้อมูลชีวภาพที่ต้านทานการโจมตีทางวิศวกรรมสังคม การบอมบ์ MFA และดีปเฟกที่ซับซ้อนได้ในวันนี้
