Advanced Vishing : การปลอมเสียงที่ Ferrari ยังเกือบตกเป็นเหยื่อ
เทคโนโลยีเอไอได้กลายเป็นส่วนหนึ่งในชีวิตประจำวัน ตั้งแต่อัลกอริทึมที่ปรับตัวเข้ากับพฤติกรรมการใช้โซเชียลมีเดีย หรือการใช้ Large Language Models เพื่อการทำงาน เทคโนโลยีเหล่านี้ถูกสร้างมาเพื่อการอำนวยความสะดวก ให้มนุษย์มีชีวิตที่ดียิ่งขึ้น
แต่เครื่องมือเอไอก็เป็นดาบสองคม ผู้ไม่ประสงค์ดีมักนำมาใช้งานเพื่อการโจมตีตัวบุคคล องค์กร หรือภาครัฐได้เช่นกัน การโจมตีทางไซเบอร์ด้วยเอไอ (AI-Powered Cyberattacks) จะเกิดมากขึ้นเรื่อย ๆ ซึ่งถ้าหากองค์กรเลือกที่จะเพิกเฉย หรือไม่มีการพัฒนานโยบายป้องกัน จะเป็นการเปิดช่องโหว่ให้ผู้ไม่ประสงค์ดีเข้ามาสร้างความเสียหายได้อย่างมหาศาล
แม้ว่าคนไทยจะมีความคุ้นชินกับแกงค์คอลเซนเตอร์ที่มักโทรมารบกวนการใช้ชีวิตประจำวันอย่างไม่ขาดสาย แต่การโจมตีในรูปแบบใหม่นี้จะหลอกล่อเราได้แนบเนียนยิ่งขึ้น โดยเฉพาะกับการปลอมตัวตน สวมรอยเป็นคนใกล้ตัว พร้อมเปิดเผยข้อมูลส่วนบุคคล ผ่านน้ำเสียงที่เหมือนกับเป้าหมาย ที่สร้างขึ้นมาจากเอไอ ทำให้การหลอกลวงแบบ Vishing มีความน่าเชื่อถือมากขึ้น
Case Study : Ferrari เกือบพลาด เมื่อ CEO โดนปลอมเสียง
เมื่อช่วงกลางปี 2024 ที่ผ่านมา ได้เกิดเหตุการณ์ประหลาดขึ้นที่ Ferrari เมื่อ Benedetto Vigna ผู้ดำรงตำแหน่งซีอีโอ ได้ทำการติดต่อบุคลากรระดับสูงหลายรายผ่านแอปพลิเคชัน Whatsapp เพื่อหารือถึงโอกาสทางธุรกิจครั้งใหญ่ ในการเข้าซื้อกิจการ พร้อมระบุว่าเหตุการณ์ครั้งนี้ต้องเก็บเป็นความลับสุดยอดขององค์กร ถึงขั้นต้องลงนาม NDA (เอกสารข้อตกลงห้ามเผยแพร่ข้อมูล) ทำให้บุคลากรเกิดความตื่นเต้นกับภารกิจใหม่ครั้งนี้
หลังจากการส่งข้อความ ซีอีโอยังติดต่อหาบุคลากรระดับสูงอีกหลายราย ผ่านการสนทนาโทรศัพท์ส่วนตัว เพื่อเป็นการยืนยันอัตลักษณ์ส่วนบุคคล ระหว่างการประชุม เขาชี้แจงว่าการใช้เบอร์โทรศัพท์ใหม่ เป็นแผนป้องกันไม่ให้คู่แข่งสะกดรอยตาม ก่อนจะเข้าสู่ประเด็นการประชุม เรื่องการเข้าซื้อกิจการ และการโอนเงินระหว่างประเทศที่ต้องทำอย่างเร่งด่วน เพื่อไม่ให้ Ferrari พลาดโอกาสสำคัญไป
ด้วยลักษณะการพูดและสำเนียงที่เป็นเอกลักษณ์ ทำให้บุคลากรหลายรายเชื่อมั่นว่าเป็นคำสั่งจากซีอีโอตัวจริง จึงปฏิบัติตามคำสั่งโดยไม่ได้มีคำถามใด ๆ แต่ยังเป็นเคราะห์ดี ที่มีบุคลากรรายหนึ่งไม่ปักใจเชื่อในการกระทำนี้ ก่อนจะทำการถามคำถามส่วนตัวที่มีเพียง Benedetto Vigna ตัวจริงเท่านั้นที่จะตอบได้ นั่นคือ –
“วันก่อนที่เราคุยกัน คุณแนะนำหนังสือเรื่องอะไรให้ผมนะ?”
เมื่อซีอีโอได้ยินคำถามดังกล่าวได้รับฟังคำถาม ก็กลับมีอาการอ้ำอึ้ง ก่อนจะรีบสรุปเนื้อหาและออกจากการประชุมไป หลักจากเหตุการณ์ดังกล่าว Ferrari ได้ออกคำสั่งให้มีการสอบสวนภายในถึงมูลค่าความเสียหายที่อาจเกิดขึ้น ช่องทางที่ผู้ไม่หวังดีเข้าถึงข้อมูลในองค์กร และสั่งไม่ให้บุคลากรทำการสัมภาษณ์กับสื่อถึงเหตุการณ์นี้อีก
เหตุการณ์โจมตีนี้ ถือเป็นการโจมตี Advanced Vishing ครั้งใหญ่ โดยผู้ไม่หวังดีได้เตรียมตัวมาเป็นอย่างดี ตั้งแต่การศึกษาพฤติกรรมของเป้าหมาย การใช้งานเอไอเพื่อเลียนแบบน้ำเสียง หรือลักษณะการพูด ตลอดจนการเข้าถึงข้อมูลติดต่อของบุคลากร ซึ่งหากในการประชุมนี้ไม่มีใครตั้งข้อสงสัย Ferrari อาจต้องพบกับมูลค่าความเสียหายมหาศาลจนไม่อาจคาดเดาได้
Vishing คืออะไร?
Vishing (ย่อมาจาก Voice phishing) เป็นการโจมตี Social Engineering รูปแบบหนึ่ง ที่ผู้โจมตีจะติดต่อเป้าหมาย ผ่านการโทรหรือฝากข้อความเสียง เพื่อให้เป้าหมายหลงเชื่อ และทำตามความต้องการของผู้โจมตี โดยในการหลอกล่อ ผู้โจมตีมักอ้างว่าเป็นบุคคลหรือหน่วยงานที่เชื่อถือได้ อาทิ บุคลากรขั้นสูงในองค์กร หน่วยงานภาครัฐ หรือสถาบันการเงิน ต่อด้วยการสร้างสถานการณ์คับขัน เพื่อให้เป้าหมายหลงเชื่อ ไม่ทันฉุกคิด และตกลงทำตามความต้องการ
ซึ่งวัตถุประสงค์ในการโจมตีส่วนมาก มักเป็นการหลอกล่อให้เป้าหมายเปิดเผยข้อมูลส่วนบุคคล ที่ผู้โจมตีจะนำไปใช้ต่อ เพื่อการสร้างความเสียหายในวงกว้าง อาทิ ข้อมูลธนาคาร, ข้อมูลเกี่ยวกับบัตรเครดิต, รหัสผ่านเข้าสู่ระบบต่าง ๆ รวมไปถึงการสวมรอยเป็นเป้าหมาย (Identity Theft) เพื่อการหลอกล่อคนใกล้ตัวต่อด้วย
หลังจากเอไอมีการพัฒนาเครื่องมือต่าง ๆ ผู้ไม่หวังดีได้มีการนำเอไอมาใช้เลียนเสียง เพื่อให้การล่อหลอกแนบเนียนขึ้น จนเกิดเป็นการล่อลวงแบบใหม่ ภายใต้ชื่อ Advanced Vishing
อ่านเพิ่มเติม: Google รายงานภัยคุกคามสมัยใหม่ เมื่อเอไอถูกใช้เพื่อ Cyberattack
เมื่อเอไอถูกนำมาใช้ในการโจมตี Vishing
การพัฒนาของ Generative AI และ Machine Learning ส่งผลให้เอไอกลายเป็นเครื่องมือที่มีประโยชน์หลากหลาย ซึ่งขึ้นอยู่กับเจตนาของผู้ใช้งาน โดยเฉพาะกับเทคโนโลยี Deepfake ที่ผู้ใช้งานจะสามารถสร้างวิดีโอใหม่ด้วยเอไอ เสมือนเป็นบุคคลนั้นที่สื่อสารเอง ตลอดจนการเลียนแบบเสียงของเป้าหมาย ส่งผลให้การโจมตี Advanced Vishing มีความแนบเนียน และสามารถสร้างความเสียหายได้อย่างมหาศาล
ข่าวการโจมตีองค์กรหรือหน่วยงานรัฐด้วยวิธี Advanced Vishing เริ่มมีให้พบเห็นมากขึ้น โดยเฉพาะกับองค์กรใหญ่ ที่บุคลากรอาจมีความหละหลวมด้าน Cybersecurity ส่งผลให้ตกเป็นเหยื่อได้ง่าย ยิ่งหากเป้าหมายเป็นบุคคลสาธารณะ ย่อมมีข้อมูลและตัวอย่างเสียงให้ค้นหาได้ทั่วไป องค์กรจึงต้องแบกรับความเสี่ยงมากขึ้น ดังนั้น เพื่อการอุดช่องโหว่ องค์กรต้องมีมาตรการรับมือ นโยบายควบคุมการเข้าถึงข้อมูล และการพิสูจน์ตัวตน เพื่อไม่ให้ตกเป็นเหยื่อต่อไป
ใครบ้างที่มีโอกาสเป็นเหยื่อของ Vishing?
การโจมตี Vishing โดยทั่วไปเปรียบเสมือนการหว่านแห โดยผู้โจมตีมักเลือกเป้าหมายแบบสุ่ม จนกว่าจะเจอกลุ่มที่หลอกล่อได้ง่าย อาทิ เยาวชน, ผู้สูงอายุ, หรือพนักงานใหม่ในองค์กร อาจระบุได้ว่าเป็นกลุ่มคนที่ไม่ได้มีความตระหนักรู้ด้าน Cybersecurity มากนัก
แต่กับ Advanced Vishing ที่มีการใช้เอไอในการเลียนเสียงคนใกล้ตัวของเป้าหมาย มีความแนบเนียนยิ่งกว่า ส่งผลให้ผู้ได้รับผลกระทบมีวงกว้างยิ่งขึ้น อาจกล่าวได้ว่า เราทุกคน ล้วนมีโอกาสตกเป็นเหยื่อ โดยเฉพาะกับองค์กร และหน่วยงานรัฐด้วย
เราจะป้องกันตัวเองจากการโจมตีอย่างไร?
เพื่อให้องค์กรปลอดภัยจากภัยคุกคามไซเบอร์ทุกรูปแบบ บุคลากรต้องมีความตระหนักรู้ถึงภัยคุกคามต่าง ๆ และวิธีการป้องกันตัวเองจากภัยเหล่านั้น องค์กรยังต้องมีนโยบายเชิงรุก เพื่อให้การทำงานมีความปลอดภัย และไม่ตกเป็นเหยื่อของการหลอกลวง Vishing ซึ่งอาจเลือกใช้นโยบายตามตัวอย่างด้านล่างนี้ –
- การยืนยันตัวตนโดยใช้หลายปัจจัย (MFA)
- การยืนยันตัวตนด้วยอัตลักษณ์ (Biometric Authentication)
- การระบุหมายเลขโทรศัพท์ภายใน (Caller ID Verification)
- การหมั่นตรวจสอบเป็นประจำ (Regular Auditing)
นอกจากวิธีการที่กล่าวถึงข้างต้นแล้ว การป้องกันด้วยนโยบายเพียงอย่างเดียวอาจไม่เพียงพอ เพราะวิธีการป้องกันที่ดีที่สุด ต้องเกิดจากความตระหนักรู้ของบุคลากรอย่างแท้จริง การส่งเสริมทัศนคติด้านความปลอดภัยจึงเป็นคำตอบ
ปกป้องข้อมูลของคุณ ด้วยหลักสูตรความปลอดภัยไซเบอร์จาก NTC
องค์กรชั้นนำทั่วประเทศ ต่างให้ความไว้วางใจในหลักสูตรอบรมความปลอดภัยไซเบอร์จาก Network Training Center ที่พร้อมช่วยคุณในการพัฒนานโยบายความปลอดภัยสินทรัพย์ และสร้างผู้เชี่ยวชาญด้านความปลอดภัย ผ่านการเรียนรู้หลักสูตรจากองค์กรระดับโลก NTC เป็นตัวแทนผู้ให้บริการอบรมอย่างเป็นทางการ จึงมั่นใจได้ว่า บุคลากรของคุณจะได้รับความรู้ที่ตรงกับมาตรฐานอุตสาหกรรม และสามารถนำไปปรับใช้กับการทำงานได้จริง
หลักสูตรอบรมความปลอดภัยไซเบอร์ที่จัดอบรมโดย NTC มีดังนี้ –
| ชื่อหลักสูตร | ระยะเวลา (วัน) |
ตัวอย่างเนื้อหา |
|---|---|---|
| 5 | การวิเคราะห์นโยบายความปลอดภัย, การกำหนดสิทธิ์เข้าถึง, มาตรการตอบสนองต่อเหตุการณ์, ความปลอดภัยในคลาวด์ | |
| 5 | การทดสอบการเจาะระบบ, การสืบหาภัยคุกคาม, การค้นหาช่องโหว่, เทคนิคการใช้ช่องโหว่, การทำวิศวกรรมสังคม | |
| 5 | นิติวิทยาศาสตร์ดิจิทัลขั้นพื้นฐาน, กระบวนการสืบหา, การรวบรวมหลักฐานและข้อมูล, การจัดทำรายงาน | |
| 5 | แนวคิดด้านความปลอดภัยขั้นสูง, ความปลอดภัยในระบบคลาวด์, Endpoint Security, ความต่อเนื่องทางธุรกิจ, การกู้คืนจากภัยพิบัติ | |
| 5 | การทดสอบเจาะระบบขั้นสูง, การทดสอบระบบความปลอดภัย, การทำวิศวกรรมสังคม, การเข้าถึงข้อมูลในช่วงวิกฤต, การแฮ็กเชิงจริยธรรม | |
| 3 | เทคนิคการค้นหาภัยคุกคาม, การตรวจสอบทราฟฟิกเครือข่าย, การสืบค้นการโจมตีไซเบอร์, การตอบสนองต่อเหตุการณ์โจมตี | |
| 3 | เทคนิคการวิเคราะห์มัลแวร์, การพัฒนาเครื่องมือส่วนบุคคล, การวิศวกรรมย้อนกลับ, การสืบสวนนิติเวชขั้นสูง | |
| 2 | พื้นฐานความปลอดภัยข้อมูล, การฟื้นตัวจากผลกระทบ, ประเภทและรูปแบบของภัยคุกคามไซเบอร์ที่พบได้บ่อย | |
| 1 | ความตระหนักรู้ด้านความปลอดภัย, การใช้งานคอมพิวเตอร์, การกำหนดค่าไฟร์วอลล์, ความปลอดภัยของอุปกรณ์ส่วนตัว |
อย่ารอจนตกเป็นเหยื่อ! เรียนรู้วิธีการปกป้ององค์กรของคุณวันนี้!
ติดต่อเราเพื่อขอคำปรึกษาหลักสูตรฟรีได้เลย!
โทร: 083-779-7732
Email: sales@trainingcenter.co.th
Line: https://lin.ee/lprR4Xa