องค์กรต่างๆ ได้ลงทุนอย่างมากในการรักษาความปลอดภัยสำหรับการเข้าสู่ระบบของพนักงาน แต่ข้อมูลจาก LinkedIn, เว็บไซต์บริษัท หรือข้อมูลรั่วไหล สามารถเปิดเผยรายละเอียดส่วนตัวต่างๆ ได้ทั้งหมด ทำให้การยืนยันตัวตนแบบเดิมๆ ไม่สามารถไว้ใจได้อีกต่อไป
ผู้โจมตีไม่ได้พยายามเจาะ MFA โดยตรง แต่ใช้วิธีปลอมตัวเป็นพนักงานและหลอกลวงเจ้าหน้าที่ Service Desk ให้ทำการรีเซ็ตรหัสผ่านหรือลงทะเบียน MFA ใหม่ พวกเขาสามารถใช้ AI สร้างเรื่องราวที่น่าเชื่อถือและเลียนแบบเสียงของพนักงานได้ด้วย
การสำรวจของ Gartner ปี 2025 พบว่า 62% ขององค์กรเคยเจอการโจมตีด้วยวิศวกรรมสังคมหรือกระบวนการอัตโนมัติ ส่วน Verizon DBIR ปี 2026 พบว่าการหลอกลวงผ่านข้อความและเสียงมีอัตราความสำเร็จสูงกว่าอีเมลฟิชชิ่งถึง 40%
การปิดช่องว่างนี้ต้องอาศัยการฝึกอบรมเจ้าหน้าที่ให้มั่นใจในการปฏิเสธหรือส่งต่อคำขอที่ไม่น่าเชื่อถือ และการยืนยันตัวตนที่หลากหลาย เช่น email, SMS หรือ Duo เพื่อให้แน่ใจว่าผู้ติดต่อคือเจ้าของบัญชีจริงก่อนดำเนินการใดๆ
ศัพท์ที่ควรรู้
- Service Desk – จุดติดต่อที่พนักงานใช้เมื่อพบปัญหาด้านไอที
- MFA – Multi-Factor Authentication คือการยืนยันตัวตนหลายชั้นเพื่อเพิ่มความปลอดภัยในการเข้าสู่ระบบ
- Deepfake – เทคโนโลยีที่ใช้สร้างสื่อสังเคราะห์ เช่น เสียงหรือวิดีโอปลอมที่ดูสมจริง
- Social Engineering – การใช้จิตวิทยาเพื่อหลอกลวงให้เหยื่อเปิดเผยข้อมูลสำคัญ
ที่มา: bleepingcomputer.com