<h4><span class="headnews"><strong><span style="font-size: medium;">ข้อแนะนำในการป้องกันไม่ให้ถูกขโมยข้อมูลด้วยวิธี social engineering</span></strong></span></h4>
Social engineering เป็นเทคนิคการใช้จิตวิทยาเพื่อหลอกลวงให้เหยื่อเปิดเผยข้อมูล เนื่องจากเป็นการขโมยข้อมูลจากมนุษย์ซึ่งเป็นจุดอ่อนสำคัญของระบบ จึงเป็นเรื่องสำคัญที่องค์กรควรระวังและป้องกันก่อนตกเป็นเหยื่อ

การโจมตีในรูปแบบ social engineering สามารถทำได้หลายวิธี โดยมีลักษณะต่างๆ ดังนี้

1. ผู้ประสงค์ร้ายแอบอ้างเป็นพนักงานในองค์กร โทรศัพท์มายังฝ่ายไอที อ้างว่ามีปัญหาในการใช้งานระบบ แล้วขอข้อมูลการใช้งาน เช่น รหัสผ่านสำหรับเชื่อมต่อเครือข่ายขององค์กรหรือรหัสผ่านสำหรับเข้าถึงระบบสำคัญ ดังนั้น องค์กรจึงควรสร้างความตระหนักแก่พนักงาน เพื่อให้ทราบถึงรูปแบบการหลอกลวงต่างๆ รวมถึงวิธีการตรวจสอบและรับมือหากสงสัยว่าการเป็นการหลอกลวง

2. ผู้ประสงค์ร้ายสวมรอยเป็นพนักงาน แฝงตัวเข้ามาในองค์กรเพื่อเข้าถึงระบบภายใน เพื่อเป็นการป้องกัน ควรมีการจำกัดการเข้าถึงพื้นที่สำคัญในองค์กร สำหรับพนักงาน ไม่ควรให้บุคคลอื่นเข้าถึงเครื่องคอมพิวเตอร์ของตนโดยไม่ยินยอม ตั้งรหัสผ่านล็อกอินที่คาดเดาได้ยาก และล็อกหน้าจอเมื่อไม่ใช้งาน

3. ผู้ประสงค์ร้ายส่งอีเมลถึงพนักงาน หลอกให้เข้าเว็บไซต์ปลอมเพื่อขโมยข้อมูล ซึ่งรูปแบบนี้เป็นการโจมตีลักษณะฟิชชิ่ง (phishing) หากผู้ใช้เผลอกรอกข้อมูลลงในเว็บไซต์ปลอมที่ปรากฏในอีเมล ผู้ประสงค์ร้ายก็จะได้ข้อมูลสำหรับเข้าใช้งานระบบ (ข้อแนะนำในการสังเกตและป้องกันการตกเป็นเหยื่ออีเมลฟิชชิ่ง สามารถศึกษาได้จากคลิปของไทยเซิร์ต<a href="https://www.facebook.com/thaicert/videos/663973140417489/">https://www.facebook.com/thaicert/videos/663973140417489/</a>)

หากพนักงานขององค์กรจำเป็นต้องเปิดเผยข้อมูลส่วนบุคคล ควรตั้งสติ ตรวจสอบผู้ที่ขอข้อมูล รวมถึงระวังการเปิดเผยข้อมูลส่วนตัวมากเกินความจำเป็น เช่น การโพสต์ข้อมูลที่เกี่ยวข้องกับงาน เพราะอาจส่งผลให้ผู้ประสงค์ร้ายนำข้อมูลไปใช้ในการสวมรอยเพื่อหลอกลวงพนักงานคนอื่นในองค์กรได้

<strong>ที่มา:</strong> <a href="http://thcert.co/lQKWw1">Brightmove</a> l <a href="https://www.thaicert.or.th/newsbite/2016-09-07-02.html#2016-09-07-02">ThaiCert</a>