นี่คือวิธีที่แฮกเกอร์ขโมยข้อมูลของคุณ

เนื้อหา

• 01. วิศวกรรมสังคม
• 02. ภัยคุกคามภายในที่มีเทคโนโลยีต่ำ
• 03. เหยื่อ
• 04. ปุ่มยกเลิกการสมัคร
• รับตั๋วของคุณสำหรับ Generate New York ตอนนี้

แม้ว่าผู้โจมตีจะพัฒนาไวรัสและมัลแวร์ที่ซับซ้อนมากขึ้นตลอดเวลา แต่มักถูกลืมมากขึ้นเรื่อย ๆ แต่ภัยคุกคามด้านความปลอดภัยที่ใหญ่ที่สุดสำหรับธุรกิจไม่ได้มาจากซอฟต์แวร์ แต่เกิดจากมนุษย์เอง

บริษัท ต่างๆสามารถสร้างโครงสร้างพื้นฐานที่ปลอดภัยที่สุดในโลกเพื่อปกป้องข้อมูลของตนจากภัยคุกคามภายนอกด้วยโซลูชันต่างๆเช่นไฟร์วอลล์ VPN และเกตเวย์ที่ปลอดภัย แต่ไม่ได้ลดความเสี่ยงจากภัยคุกคามมุ่งร้ายหรืออื่น ๆ จากภายในองค์กรเอง วิธีการแฮ็กที่ใช้เทคโนโลยีขั้นต่ำนี้ได้รับความนิยมมากขึ้นในช่วงไม่กี่ปีที่ผ่านมาโดยแบรนด์ที่มีชื่อเสียงตกเป็นเหยื่อของมิจฉาชีพที่ติดต่อผู้ดูแลระบบการเงินรุ่นเยาว์เพื่อขอเงินหลังจากทำการตรวจสอบ LinkedIn เล็กน้อย

• VPN ที่ดีที่สุด 2019

นอกจากนี้เมื่ออินเทอร์เน็ตก่อตัวเป็นกิจวัตรประจำวันของผู้คนส่วนใหญ่และพนักงานจำนวนมากที่ลงชื่อเข้าใช้บัญชีส่วนตัวในที่ทำงานสิ่งสำคัญคือต้องจำไว้ว่ายังมีการผสมข้ามระหว่างรายละเอียดส่วนบุคคลและข้อมูลทางธุรกิจของคุณในเรื่องความปลอดภัยบนโลกออนไลน์ หากแฮ็กเกอร์ได้รับรายละเอียดส่วนบุคคลของคุณพวกเขาก็สามารถเข้าถึงข้อมูลมืออาชีพของคุณได้เช่นกัน

ต่อไปนี้เป็นสี่วิธีที่แฮกเกอร์สามารถหลีกเลี่ยงความปลอดภัยของคุณและขโมยข้อมูลของคุณได้

01. วิศวกรรมสังคม

ต้นกำเนิดของภัยคุกคามความปลอดภัยทางไซเบอร์ที่นำโดยมนุษย์คือวิศวกรรมสังคม การจัดการข้อมูลที่เป็นความลับจากบุคคล แน่นอนว่าแฮกเกอร์สามารถติดมัลแวร์ในเครือข่ายและเข้าไปทางประตูหลังหรือดีกว่านั้นพวกเขาสามารถหลอกให้พนักงานให้รหัสผ่านและเดินเข้ามาทางด้านหน้าโดยไม่ต้องกดกระดิ่งปลุกใด ๆ เมื่อแฮ็กเกอร์มีรหัสผ่านของแต่ละคนแล้วคุณสามารถหยุดพวกเขาได้เพียงเล็กน้อยเนื่องจากกิจกรรมของพวกเขาดูเหมือนจะได้รับอนุญาต

เทคนิควิศวกรรมสังคมต้องมีความซับซ้อนมากขึ้นในช่วงหลายปีที่ผ่านมาเนื่องจากผู้ใช้ทั่วไปเริ่มเข้าใจวิธีการแบบเดิม ๆ ที่แฮกเกอร์ใช้ ดังนั้นแฮกเกอร์จึงต้องฉลาดขึ้นในการรับข้อมูล ในแง่ธุรกิจสิ่งง่ายๆอย่างการหลอกให้ผู้ใช้คลิกลิงก์ที่เป็นอันตรายสามารถทำให้ผู้โจมตีสามารถเข้าถึงเครือข่ายทั้งหมดได้ ผู้คนรู้จักที่จะเพิกเฉยต่ออีเมลจากการขอร้องคนแปลกหน้าที่ต้องการรายละเอียดธนาคารอย่างสิ้นหวัง แต่เมื่ออีเมลนั้นมาจากคนที่คุณรู้จักคุณจะมีโอกาสน้อยที่จะคลิก "ทำเครื่องหมายว่าเป็นสแปม"

แฮกเกอร์สามารถเลื่อนดูบัญชี Facebook ของเป้าหมายที่เป็นไปได้อย่างง่ายดายเพื่อค้นหาชื่อเพื่อนของเหยื่อ จากนั้นพวกเขาสามารถส่งอีเมลหลอกเหยื่อเป็นเพื่อนคนนั้นได้และเหยื่อจะมีแนวโน้มที่จะตกหลุมรักมันมากขึ้นหากพวกเขาคิดว่ามาจากคนที่พวกเขารู้จัก

เคล็ดลับ: ในหัวข้อโซเชียลมีเดียโปรดระมัดระวังรายละเอียดส่วนบุคคลที่คุณให้ออกไป สิ่งที่อาจดูเหมือนเป็นเกมที่ไม่เป็นอันตรายโดยที่ "ชื่อแร็พของคุณคือชื่อสัตว์เลี้ยงตัวแรกของคุณบวกกับนามสกุลเดิมของแม่ของคุณ" อาจเป็นการหลอกลวงแบบฟิชชิงที่ใช้เพื่อค้นหาคำตอบสำหรับคำถามการกู้คืนบัญชีทั่วไป

02. ภัยคุกคามภายในที่มีเทคโนโลยีต่ำ

แทนที่จะเป็นศัตรูที่ไร้หน้าภัยคุกคามความปลอดภัยทางไซเบอร์ภายในส่วนใหญ่มักมาจากพนักงานปัจจุบันหรืออดีตพนักงาน พนักงานเหล่านี้สามารถเข้าถึงข้อมูลที่เป็นความลับโดยไม่ได้รับอนุญาตหรือทำให้เครือข่ายติดเชื้อด้วยสิ่งที่เป็นอันตราย ภัยคุกคามภายในเหล่านี้มีได้หลายรูปแบบ:

• ท่องไหล่
  "การท่องไหล่" คือการกระทำง่ายๆของคน ๆ หนึ่งที่สังเกตคนที่พิมพ์รหัสผ่าน มีแบบอย่างของสิ่งนี้เกิดขึ้น พนักงานที่ไม่พอใจหรือกำลังจะลาออกในไม่ช้าอาจยืนอยู่หลังโต๊ะทำงานและสังเกตพนักงานคนอื่น ๆ ที่พิมพ์รหัสผ่านของตน การกระทำง่ายๆนี้อาจนำไปสู่การเข้าถึงโดยไม่ได้รับอนุญาตซึ่งอาจส่งผลร้ายต่อธุรกิจ
  
• รหัสผ่านในบันทึก Post-it
  ง่ายยิ่งกว่าการจำรหัสผ่านที่สังเกตได้จากการมองข้ามไหล่ภัยคุกคามภายในอาจมาจากการที่พนักงานจดรหัสผ่านและติดไว้ที่หน้าจอคอมพิวเตอร์ใช่ว่าจะเกิดขึ้นจริง เห็นได้ชัดว่าสิ่งนี้ทำให้ใครบางคนได้รับรายละเอียดการเข้าสู่ระบบซึ่งสามารถนำไปใช้ในการฉ้อโกงหรือติด บริษัท ได้ง่ายอย่างไม่น่าเชื่อ ข่าวดีก็คือความประมาทนี้ง่ายต่อการแก้ไข
  
• ไดรฟ์หัวแม่มือใส่ลงในคอมพิวเตอร์
  เครื่องของพนักงานอาจติดซอฟต์แวร์ keylogging ที่โหลดลงในไดรฟ์ USB ธรรมดาได้ ผู้โจมตีจะต้องแอบไดรฟ์ USB ไว้ที่ด้านหลังของคอมพิวเตอร์และจะสามารถเข้าถึงรายละเอียดส่วนบุคคลและรหัสผ่านของผู้ใช้ได้

เคล็ดลับ: เพื่อหลีกเลี่ยงภัยคุกคามภายในธุรกิจควรให้ความรู้แก่พนักงานด้วยหลักสูตรการรักษาความปลอดภัยและการสื่อสารเกี่ยวกับความสำคัญของการระมัดระวังรหัสผ่านของตน ซอฟต์แวร์ตัวจัดการรหัสผ่านเช่น KeePass หรือ Dashlane สามารถจัดเก็บรหัสผ่านได้อย่างปลอดภัยดังนั้นคุณจึงไม่ต้องจำรหัสผ่านทั้งหมด หรือคุณยังสามารถล็อกพอร์ต USB ของเวิร์กสเตชันของคุณเพื่อป้องกันไม่ให้เข้าถึงอุปกรณ์ที่ไม่ได้รับอนุญาตผ่าน USB โดยสิ้นเชิง อย่างไรก็ตามวิธีนี้จำเป็นต้องได้รับการพิจารณาอย่างรอบคอบเนื่องจากทำให้ทุกเวิร์กสเตชันมีความยืดหยุ่นน้อยลงและเพิ่มภาระงานให้กับแผนกไอทีเนื่องจากอุปกรณ์ USB ใหม่ทุกเครื่องจะต้องได้รับการอนุมัติก่อนจึงจะสามารถใช้งานได้

03. เหยื่อ

คล้ายกับวิศวกรรมสังคมวิธีการหลอกล่อหลอกผู้ใช้โดยใช้ข้อมูลที่ได้รับเกี่ยวกับบุคคลนั้น ตัวอย่างเช่นแฮ็กเกอร์สามารถตรวจสอบเว็บไซต์โซเชียลมีเดียและเรียนรู้ว่าเป้าหมายมีความสนใจ Game of Thrones ความรู้นั้นทำให้ผู้โจมตีตกเป็นเหยื่อ แทนที่จะเป็นอีเมลทั่วไปผู้โจมตีสามารถส่งอีเมลเป้าหมายที่ระบุว่า "คลิกที่นี่เพื่อดู Game of Thrones ตอนล่าสุด" ผู้ใช้มีแนวโน้มที่จะคลิกปุ่มซึ่งแน่นอนว่าเป็นลิงก์มัลแวร์ไม่ใช่ตอนล่าสุดของ Game of Thrones

ในทำนองเดียวกันด้วยข้อมูลจำนวนมากที่แสดงต่อสาธารณะบน LinkedIn ผู้โจมตีสามารถค้นคว้าโครงสร้างการรายงานได้โดยง่ายกำหนดเป้าหมายไปยังรุ่นน้องที่แอบอ้างเป็น CEO และขอให้โอนเงินไปยังบัญชีใดบัญชีหนึ่ง เท่าที่ดูเป็นไปได้มีเหตุการณ์ที่เป็นที่รู้จักกันดีในเรื่องนี้เกิดขึ้น การดักฟังเป็นวิธีการที่คล้ายกันโดยผู้โจมตีจะฟังการสนทนาทางธุรกิจในร้านกาแฟในระบบขนส่งสาธารณะและแม้กระทั่งในฐานะซัพพลายเออร์ในสภาพแวดล้อมสำนักงาน

04. ปุ่มยกเลิกการสมัคร

อีกวิธีหนึ่งที่ผู้โจมตีหลอกให้ผู้ใช้ดาวน์โหลดมัลแวร์จากอีเมลคือกดปุ่มยกเลิกการสมัคร ตามกฎหมายอีเมลการตลาดทุกฉบับต้องมีลิงก์ยกเลิกการสมัครเพื่อให้ผู้บริโภคสามารถเลือกที่จะไม่รับการสื่อสารได้ ผู้โจมตีสามารถส่งอีเมลซ้ำไปยังผู้ใช้ที่ดูเหมือนข้อเสนอพิเศษทางการตลาดจาก บริษัท เสื้อผ้า (หรือที่คล้ายกัน) อีเมลดูไม่เป็นอันตราย แต่ถ้าผู้ใช้ไม่สนใจ บริษัท หรือคิดว่าอีเมลบ่อยเกินไปก็สามารถกดปุ่มยกเลิกการสมัครเพื่อหยุดรับอีเมลได้ ยกเว้นในอีเมลฟิชชิงของแฮ็กเกอร์คนนี้การคลิกปุ่มยกเลิกการสมัครจะดาวน์โหลดมัลแวร์จริงๆ

เคล็ดลับ: ตัวกรองป้องกันสแปมที่กำหนดค่าไว้อย่างเหมาะสมควรหยุดอีเมลเหล่านี้ แต่ขอเตือนอีกครั้ง

สิ่งสำคัญที่ต้องนำกลับไปคือการเฝ้าระวังและอัปเดตวิธีการต่างๆที่แฮกเกอร์อาจใช้เพื่อขโมยข้อมูลของคุณ ให้ความรู้แก่พนักงานของคุณเพื่อให้พวกเขาทราบถึงเทคนิคที่ระบุไว้ในบทความนี้ซึ่งอาจใช้เพื่อรับเนื้อหาเช่นรายละเอียดการเข้าสู่ระบบหรือข้อมูลส่วนบุคคล กระตุ้นให้พนักงานตั้งคำถามกับใครก็ตามที่พวกเขาไม่รู้จักและตระหนักถึงใครก็ตามที่กำลังฟังการสนทนาหรือการท่องไหล่

อย่างไรก็ตามเมื่อนำสิ่งเหล่านี้ไปทิ้งไปแล้วมันก็คุ้มค่าที่จะจำไว้ว่าอินเทอร์เน็ตยังคงเป็นสถานที่ที่สร้างสรรค์และเป็นบวกอย่างท่วมท้นและโลกนี้ก็มีความสมบูรณ์มากขึ้นอย่างเห็นได้ชัด หากคุณมีความระมัดระวังเราทุกคนสามารถใช้ประโยชน์จากมันต่อไปได้

บทความนี้เผยแพร่ครั้งแรกในฉบับที่ 303 ของ สุทธินิตยสารที่ขายดีที่สุดในโลกสำหรับนักออกแบบและพัฒนาเว็บไซต์ ซื้อฉบับที่ 303 หรือ สมัครสมาชิกที่นี่.

รับตั๋วของคุณสำหรับ Generate New York ตอนนี้

งานออกแบบเว็บไซต์ที่ดีที่สุดในอุตสาหกรรมสร้างนิวยอร์กกลับมา. ซึ่งจัดขึ้นระหว่างวันที่ 25-27 เมษายน 2018 ผู้บรรยายหัวข้อข่าว ได้แก่ Dan Mall ของ SuperFriendly ที่ปรึกษาด้านเว็บแอนิเมชั่น Val Head ผู้พัฒนา JavaScript แบบเต็มสแต็ก Wes Bos และอีกมากมาย

นอกจากนี้ยังมีเวิร์กช็อปเต็มวันและโอกาสในการสร้างเครือข่ายที่มีค่าอย่าพลาดรับตั๋วสร้างของคุณตอนนี้.