# วิศวกรรมสังคม (ความปลอดภัย)

ในบริบทของการรักษาความปลอดภัยทางข้อมูล **วิศวกรรมสังคม** (อังกฤษ: *Social engineering*) คือการใช้อิทธิพลทางจิตวิทยาของบุคคลในการดำเนินการหรือเปิดเผยข้อมูลที่เป็นความลับ ซึ่งแตกต่างจากการชักจูงทางจิตวิทยา ตรงที่ไม่จำเป็นต้องเป็นการควบคุม การป้อนข้อมูลเชิงลบ หรือเป็นธุรกรรมทางเดียว รวมถึงการจัดการเกี่ยวข้องกับเกมผลรวมเป็นศูนย์ ซึ่งฝ่ายหนึ่งชนะและอีกฝ่ายแพ้ ในขณะที่วิศวกรรมสังคมสามารถให้ประโยชน์แก่ทั้งสองฝ่ายได้ กลโกงนี้เป็นกลโกงเพื่อความมั่นใจประเภทหนึ่งเพื่อจุดประสงค์ในการรวบรวมข้อมูลการฉ้อโกง หรือการเข้าถึงระบบ ซึ่งแตกต่างจาก "การหลอกลวง" แบบดั้งเดิมในแง่ที่ว่ามักเป็นหนึ่งในหลายขั้นตอนของแผนการฉ้อโกงที่ซับซ้อนกว่า นอกจากนี้ยังถูกนิยามว่าเป็น "การกระทำใดๆ ที่มีอิทธิพลต่อบุคคลให้ดำเนินการซึ่งอาจเป็นหรือไม่เป็นผลประโยชน์สูงสุดของพวกเขา"

งานวิจัยที่ดำเนินการในปี 2020 ชี้ให้เห็นว่าวิศวกรรมสังคมจะเป็นหนึ่งในความท้าทายที่สำคัญที่สุดของทศวรรษหน้า ความเชี่ยวชาญด้านวิศวกรรมสังคมจะมีความสำคัญเพิ่มมากขึ้นสำหรับองค์กรและประเทศต่างๆ เนื่องจากผลกระทบต่อภูมิรัฐศาสตร์เช่นกัน วิศวกรรมสังคมก่อให้เกิดคำถามว่าการตัดสินใจจะได้รับข้อมูลที่ถูกต้องแม่นยำหรือไม่ หากข้อมูลปฐมภูมิของเราถูกออกแบบและมีความลำเอียง

การโจมตีทางวิศวกรรมสังคมมีความเข้มข้นและจำนวนเพิ่มมากขึ้น ส่งผลให้มีความต้องการเทคนิคการตรวจจับใหม่ๆ และโปรแกรมการศึกษาความปลอดภัยทางไซเบอร์

## เทคนิคและเงื่อนไข

เทคนิคทางวิศวกรรมสังคมทั้งหมดขึ้นอยู่กับจุดอ่อนที่สามารถใช้ประโยชน์ได้ในการตัดสินใจ ของมนุษย์ที่เรียกว่า ความเอนเอียงทางประชาน

ตัวอย่างหนึ่งของวิศวกรรมสังคมคือบุคคลที่เดินเข้าไปในอาคารและติดประกาศอย่างเป็นทางการในประกาศของบริษัท โดยระบุว่าหมายเลขโทรศัพท์ของฝ่ายช่วยเหลือมีการเปลี่ยนแปลง ดังนั้น เมื่อพนักงานโทรขอความช่วยเหลือ พนักงานคนนั้นจะขอรหัสผ่านและรหัสประจำตัว ซึ่งทำให้สามารถเข้าถึงข้อมูลส่วนตัวของบริษัทได้ อีกตัวอย่างหนึ่งของวิศวกรรมสังคมคือแฮกเกอร์ติดต่อเป้าหมายในบริการเครือข่ายสังคม และเริ่มสนทนากับเป้าหมาย แฮกเกอร์จะค่อย ๆ ได้รับความไว้วางใจจากเป้าหมาย จากนั้นจึงใช้ความไว้วางใจนั้นเพื่อเข้าถึงข้อมูลสำคัญ เช่น รหัสผ่านหรือรายละเอียดบัญชีธนาคาร

### ข้ออ้าง

**การอ้างเหตุผล** หรือที่รู้จักกันในสหราชอาณาจักรในชื่อ **blagging** คือการกระทำที่สร้างและใช้สถานการณ์สมมติ ( ข้ออ้าง ) เพื่อติดต่อกับเหยื่อเป้าหมายในลักษณะที่เพิ่มโอกาสที่เหยื่อจะเปิดเผยข้อมูลหรือดำเนินการที่ไม่น่าจะเป็นไปได้ในสถานการณ์ปกติ การโกหกที่ซับซ้อนโดยส่วนใหญ่มักเกี่ยวข้องกับการค้นคว้าหรือการจัดฉากล่วงหน้า และการใช้ข้อมูลนี้เพื่อปลอมตัวเป็นบุคคลอื่น ( *เช่น* วันเกิด หมายเลขประกันสังคม จำนวนเงินที่เรียกเก็บล่าสุด) เพื่อสร้างความชอบธรรมในความคิดของเป้าหมาย

### การโจมตีแบบหลุมน้ำ

การโจมตีแบบหลุมน้ำ เป็นกลยุทธ์ทางวิศวกรรมสังคมแบบเจาะจงเป้าหมายที่ใช้ประโยชน์จากความไว้วางใจที่ผู้ใช้มีต่อเว็บไซต์ที่พวกเขาเข้าชมเป็นประจำ เหยื่อรู้สึกปลอดภัยที่จะทำสิ่งที่พวกเขาจะไม่ทำในสถานการณ์อื่น ตัวอย่างเช่น บุคคลที่ระมัดระวังอาจจงใจหลีกเลี่ยงการคลิกลิงก์ในอีเมลที่ไม่ได้ร้องขอ แต่บุคคลเดียวกันนั้นจะไม่ลังเลที่จะคลิกลิงก์บนเว็บไซต์ที่พวกเขาเข้าชมบ่อยๆ ดังนั้น ผู้โจมตีจึงเตรียมกับดักไว้สำหรับเหยื่อที่ไม่ทันระวังตัวที่แหล่งน้ำโปรด กลยุทธ์นี้ถูกนำมาใช้อย่างประสบความสำเร็จในการเข้าถึงระบบที่ (คาดว่า) ปลอดภัยมาก

### การล่อเหยื่อ

การล่อเหยื่อเปรียบเสมือนม้าโทรจันในโลกแห่งความเป็นจริง ที่ใช้สื่อทางกายภาพและอาศัยความอยากรู้หรือความโลภของเหยื่อ ในการโจมตีนี้ ผู้โจมตีจะทิ้งฟลอปปีดิสก์ ซีดีรอม หรือยูเอสบีแฟลชไดรฟ์ที่ฝังมัลแวร์ ในสถานที่ที่ผู้คนจะพบได้ (ห้องน้ำ ลิฟต์ ทางเท้า ลานจอดรถ ฯลฯ) ให้ป้ายกำกับที่ถูกต้องตามกฎหมายและกระตุ้นความอยากรู้อยากเห็นแก่เหยื่อ และรอเหยื่อ

หากคอมพิวเตอร์ไม่ควบคุมการติดไวรัส การแทรกซึมจะทำให้สื่อ "ที่ทำงานอัตโนมัติ" ของพีซีเสียหาย อุปกรณ์ที่เป็นอันตรายก็สามารถใช้ได้เช่นกัน ตัวอย่างเช่น "ผู้โชคดี" จะได้รับเครื่องเล่นเสียงดิจิทัล ฟรีที่เป็นอันตรายต่อคอมพิวเตอร์ทุกเครื่องที่เสียบอยู่ " **road apple** " (คำเรียกทั่วไปสำหรับ มูลม้า ซึ่งสื่อถึงลักษณะที่ไม่พึงประสงค์ของอุปกรณ์) คือ สื่อแบบถอดได้ ใดๆ ที่มีซอฟต์แวร์อันตรายวางอยู่ในที่ที่ฉวยโอกาสหรือมองเห็นได้ชัดเจน อาจเป็นซีดี ดีวีดี หรือ ยูเอสบีแฟลชไดรฟ์ เป็นต้น ผู้ที่อยากรู้อยากเห็นจะหยิบมันขึ้นมาแล้วเสียบเข้ากับคอมพิวเตอร์ ทำให้โฮสต์และเครือข่ายที่เชื่อมต่ออยู่ติดไวรัส อีกครั้ง แฮกเกอร์อาจติดป้ายชื่อล่อตาล่อใจ เช่น "เงินเดือนพนักงาน" หรือ "ข้อมูลลับ"

งานวิจัยหนึ่งที่ตีพิมพ์ในปี 2016 พบว่านักวิจัยวางยูเอสบีไดรฟ์จำนวน 297 อันกระจายทั่วมหาวิทยาลัยอิลลินอยส์ ไดรฟ์เหล่านี้บรรจุไฟล์ที่เชื่อมโยงไปยังเว็บเพจที่นักวิจัยเป็นเจ้าของ นักวิจัยสามารถดูจำนวนไดรฟ์ที่เปิดไฟล์ไว้ได้ แต่ไม่สามารถเห็นจำนวนไดรฟ์ที่เสียบเข้ากับคอมพิวเตอร์โดยไม่ได้เปิดไฟล์ขึ้นมา ในบรรดาไดรฟ์ 297 อันนี้ มี 290 อัน (98%) ที่ถูกเก็บไป และ 135 อัน (45%) "ถูกเรียกว่าบ้าน"

### การแลกเปลี่ยนผลประโยชน์

ผู้โจมตีอาจเสนอที่จะให้ข้อมูลที่ละเอียดอ่อน (เช่น ข้อมูลการเข้าสู่ระบบ) หรือจ่ายเงินจำนวนหนึ่งเพื่อแลกกับความช่วยเหลือ ผู้โจมตีอาจปลอมตัวเป็นผู้เชี่ยวชาญที่เสนอบริการช่วยเหลือด้านไอทีฟรี โดยต้องการข้อมูลการเข้าสู่ระบบจากผู้ใช้

### สแกร์แวร์

ตัวอย่างของป๊อปอัปสแกร์แวร์
เหยื่อถูกโจมตีด้วยข้อความจำนวนมากเกี่ยวกับภัยคุกคามและการแจ้งเตือนปลอม ทำให้พวกเขาคิดว่าระบบติดมัลแวร์ ดังนั้น ผู้โจมตีจึงบังคับให้พวกเขาติดตั้งซอฟต์แวร์ล็อกอินระยะไกลหรือซอฟต์แวร์ที่เป็นอันตรายอื่นๆ หรือเรียกค่าไถ่โดยตรง เช่น เสนอที่จะส่งเงินจำนวนหนึ่งเป็นคริปโทเคอร์เรนซี เพื่อแลกกับความปลอดภัยของวิดีโอลับที่อาชญากรมี ดังที่เขาอ้าง

### การตามท้ายรถ (การขี่หลัง)

ผู้บุกรุกปลอมตัวเป็นพนักงานบริษัทหรือบุคคลอื่นที่มีสิทธิ์เข้าถึง เพื่อเข้าไปในสำนักงานหรือพื้นที่หวงห้ามอื่นๆ มีการใช้กลวิธีหลอกลวงและวิศวกรรมสังคมอย่างจริงจัง ตัวอย่างเช่น ผู้บุกรุกปลอมตัวเป็นคนส่งของหรือคนขนของที่ถือของบางอย่างไว้ในมือ และขอให้พนักงานที่กำลังเดินอยู่ข้างนอกช่วยเปิดประตู เพื่อเข้าไปในอาคาร

## กฎหมาย

ในคอมมอนลอว์ วิธีหลอกลวงด้วยการอ้างเหตุผลเป็นการละเมิดความเป็นส่วนตัว หรือการละเมิดการยักยอก

### การอ้างบันทึกการโทรศัพท์

ในเดือนธันวาคม ค.ศ. 2006 รัฐสภาสหรัฐได้อนุมัติร่างกฎหมายที่วุฒิสภาให้การสนับสนุน ซึ่งกำหนดให้การอ้างบันทึกการโทรศัพท์เป็นความผิดทางอาญาของรัฐบาลกลาง โดยมีโทษปรับสูงสุด 250,000 ดอลลาร์สหรัฐ และจำคุกสิบปีสำหรับบุคคลทั่วไป (หรือปรับสูงสุด 500,000 ดอลลาร์สหรัฐสำหรับบริษัท) ร่างกฎหมายนี้ลงนามโดยประธานาธิบดีจอร์จ ดับเบิลยู. บุช เมื่อวันที่ 12 มกราคม ค.ศ. 2007

### กฎหมายของรัฐบาลกลาง

รัฐบัญญัติแกรมม์-ลีช-บไลลีย์ ค.ศ. 1999 (จีแอลบีเอ) เป็นกฎหมายของรัฐบาลกลางสหรัฐ ที่บัญญัติไว้โดยเฉพาะว่าการอ้างเอกสารทางการเงินเป็นการกระทำที่ผิดกฎหมายและมีโทษตามกฎหมายของรัฐบาลกลาง เมื่อนิติบุคคล เช่น นักสืบเอกชน นักสืบประกันภัยของเอสไอยู หรือผู้ประเมินราคา ดำเนินการหลอกลวงไม่ว่าในรูปแบบใด จะอยู่ภายใต้อำนาจของคณะกรรมการการค้าแห่งรัฐบาลกลาง (เอฟทีซี) หน่วยงานของรัฐบาลกลางนี้มีภาระหน้าที่และอำนาจในการรับรองว่าผู้บริโภคจะไม่ตกอยู่ภายใต้การปฏิบัติทางธุรกิจที่ไม่เป็นธรรมหรือหลอกลวง ในมาตรา 5 ของรัฐบัญญัติคณะกรรมการการค้าแห่งรัฐบาลกลางสหรัฐ ระบุว่า "เมื่อใดก็ตามที่คณะกรรมการมีเหตุผลอันควรเชื่อได้ว่าบุคคล ห้างหุ้นส่วน หรือบริษัทใดๆ ดังกล่าว ได้ใช้หรือกำลังใช้วิธีการใด ๆ ที่ไม่เป็นธรรมในการแข่งขัน หรือการกระทำหรือการปฏิบัติที่ไม่เป็นธรรมหรือหลอกลวงในหรือส่งผลกระทบต่อการค้า และหากปรากฏว่าการดำเนินการของคณะกรรมการเกี่ยวกับเรื่องดังกล่าวจะเป็นประโยชน์ต่อสาธารณะ คณะกรรมการจะต้องออกคำร้องและยื่นคำร้องต่อบุคคล ห้างหุ้นส่วน หรือบริษัทข้างต้น โดยระบุข้อกล่าวหาในเรื่องดังกล่าว"

กฎหมายระบุว่าเมื่อบุคคลใดได้รับข้อมูลส่วนบุคคลที่ไม่เปิดเผยต่อสาธารณะจากสถาบันการเงินหรือผู้บริโภค การกระทำของบุคคลดังกล่าวจะอยู่ภายใต้กฎหมาย ซึ่งเกี่ยวข้องกับความสัมพันธ์ระหว่างผู้บริโภคกับสถาบันการเงิน ตัวอย่างเช่น การแอบอ้างเท็จไม่ว่าจะเป็นเพื่อขอที่อยู่ของผู้บริโภคจากธนาคารของผู้บริโภค หรือเพื่อให้ผู้บริโภคเปิดเผยชื่อธนาคารของตน ผู้เสียหายจากพฤติกรรมดังกล่าวจะได้รับความคุ้มครอง หลักการสำคัญคือ การแอบอ้างจะเกิดขึ้นก็ต่อเมื่อได้รับข้อมูลผ่านการแอบอ้างเท็จเท่านั้น

แม้ว่าการขายบันทึกข้อมูลโทรศัพท์มือถือจะได้รับความสนใจจากสื่อเป็นอย่างมาก และการบันทึกข้อมูลโทรคมนาคมเป็นประเด็นสำคัญของร่างกฎหมายสองฉบับที่กำลังอยู่ในการพิจารณาของวุฒิสภาสหรัฐ แต่บันทึกข้อมูลส่วนบุคคลประเภทอื่นๆ อีกมากมายก็ถูกซื้อขายในตลาดสาธารณะ นอกจากการโฆษณาบันทึกข้อมูลโทรศัพท์มือถือแล้ว ยังมีการโฆษณาบันทึกข้อมูลแบบใช้สายและบันทึกที่เกี่ยวข้องกับบัตรโทรศัพท์อีกด้วย เนื่องจากผู้คนหันมาใช้โทรศัพท์วอยซ์โอเวอร์ไอพีกันมากขึ้น จึงสามารถสันนิษฐานได้ว่าบันทึกข้อมูลเหล่านี้ก็จะถูกนำมาขายด้วยเช่นกัน ปัจจุบัน การขายบันทึกข้อมูลโทรศัพท์เป็นสิ่งที่ถูกกฎหมาย แต่การได้มาซึ่งบันทึกข้อมูลเหล่านี้ถือเป็นสิ่งผิดกฎหมาย

### เฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์

สมาชิกสภาผู้แทนราษฎร เฟร็ด อัพตัน (พรรครีพับลิกันจาก แคละมะซู รัฐมิชิแกน) ประธานคณะกรรมมาธิการย่อยว่าด้วยโทรคมนาคมและอินเทอร์เน็ต ในคณะกรรมมาธิการด้านพลังงานและการพาณิชย์ แสดงความกังวลต่อการเข้าถึงบันทึกข้อมูลโทรศัพท์มือถือส่วนบุคคลบนอินเทอร์เน็ตได้อย่างง่ายดาย ระหว่างการพิจารณาของคณะกรรมการด้านพลังงานและการพาณิชย์ประจำสภาผู้แทนราษฎร ในหัวข้อ " **การขายบันทึกโทรศัพท์:ทำไมบันทึกโทรศัพท์จึงไม่ปลอดภัยจากการอ้างสิทธิ์* " รัฐอิลลินอย กลายเป็นรัฐแรกที่ฟ้องร้องนายหน้าบันทึกข้อมูลออนไลน์ เมื่ออัยการสูงสุด ลิซา มาดิแกน ฟ้องร้องเฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์ อิงค์ โฆษกหญิงของทีมงานมาดิแกนกล่าวว่าบริษัทที่ตั้งอยู่ในรัฐฟลอริดาแห่งนี้ดำเนินการเว็บไซต์หลายแห่งที่ขายบันทึกข้อมูลโทรศัพท์มือถือ ตามสำเนาคำฟ้อง อัยการสูงสุดของรัฐฟลอริดาและรัฐมิสซูรี รีบดำเนินรอยตามมาดิแกน โดยยื่นฟ้องบริษัท เฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์ ตามลำดับ และเฟิร์ส ดาต้า โซลูชั่นส์ อิงค์ นายหน้าบันทึกข้อมูลอีกรายหนึ่ง ก็ถูกอัยการของรัฐมิสซูรีฟ้องด้วย

ผู้ให้บริการระบบไร้สายหลายราย รวมถึง T-Mobile, Verizon และ Cingular ได้ยื่นฟ้องต่อนายหน้าซื้อขายหลักทรัพย์ก่อนหน้านี้ โดย Cingular ได้รับคำสั่งห้ามไม่ให้เฟิร์ส ดาต้า โซลูชั่นส์ อิงค์ และเฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์ อิงค์ ชัค ชูเมอร์ สมาชิกวุฒิสภาพรรคเดโมแครตจากรัฐนิวยอร์ก ได้เสนอร่างกฎหมายในเดือนกุมภาพันธ์ ค.ศ. 2006 เพื่อควบคุมพฤติกรรมดังกล่าว รัฐบัญญัติคุ้มครองข้อมูลโทรศัพท์สำหรับผู้บริโภค ค.ศ. 2006 จะกำหนดบทลงโทษทางอาญาขั้นรุนแรง สำหรับการขโมยและขายข้อมูลของผู้ใช้โทรศัพท์มือถือ โทรศัพท์บ้าน และวอยซ์โอเวอร์ไอพี

### ฮิวเล็ตแพ็กการ์ด

แพทริเซีย ดันน์ อดีตประธานกรรมการ ฮิวเลตต์-แพคการ์ด (เอชพี) รายงานว่าคณะกรรมการบริษัทได้ว่าจ้างบริษัทสืบสวนเอกชนเพื่อสืบหาตัวผู้รับผิดชอบต่อการรั่วไหลข้อมูลภายในคณะกรรมการบริษัท ดันน์ยอมรับว่าบริษัทใช้วิธีการอ้างข้ออ้างเพื่อขอข้อมูลบันทึกการโทรศัพท์ของสมาชิกคณะกรรมการและนักข่าว ต่อมาดันน์ได้ขอโทษต่อการกระทำนี้และเสนอที่จะลาออกจากตำแหน่งดังกล่าวหากสมาชิกคณะกรรมการต้องการ ซึ่งแตกต่างจากกฎหมายของรัฐบาลกลาง กฎหมายของรัฐแคลิฟอร์เนียห้ามการอ้างข้ออ้างดังกล่าวโดยเฉพาะ ข้อหาอาญาทั้งสี่ข้อที่ดันน์ถูกฟ้องถูกยกฟ้อง

## เหตุการณ์ทางวิศวกรรมสังคมที่สำคัญ

### เว็บไซต์ช่วยเหลือกรณีละเมิดอิควิแฟกซ์ ปี 2017

หลังจากการรั่วไหลของข้อมูลของอิควิแฟกซ์ในปี 2017 ซึ่งเชื่อมโยงกับกองทัพปลดปล่อยประชาชนจีน ซึ่งมีการรั่วไหลของข้อมูลส่วนบุคคลมากกว่า 150 ล้านรายการ (รวมถึง หมายเลขประกันสังคม หมายเลข ใบอนุญาตขับขี่ วันเกิด ฯลฯ) คำเตือนเกี่ยวกับอันตรายจากความเสี่ยงด้านความปลอดภัยที่กำลังจะเกิดขึ้นได้ถูกส่งออกไป ในวันถัดจากการจัดตั้งเว็บไซต์ช่วยเหลือที่ถูกต้องตามกฎหมาย (equifaxsecurity2017.com) ที่อุทิศให้กับผู้คนที่อาจตกเป็นเหยื่อของการละเมิดดังกล่าว โดเมนที่เป็นอันตราย 194 โดเมนถูกสงวนไว้จากการเปลี่ยนแปลงเล็กน้อยของ URL เพื่อใช้ประโยชน์จากความเป็นไปได้ที่ผู้คนจะพิมพ์ผิด

### อีเมลฟิชชิงของกูเกิลและเฟซบุ๊ก ปี 2017

บริษัทเทคโนโลยียักษ์ใหญ่สองแห่ง คือ กูเกิล และ เฟซบุ๊ก ถูกหลอกลวงให้โอนเงิน 100 ล้านดอลลาร์สหรัฐ โดยมิจฉาชีพชาวลิทัวเนีย เขาปลอมตัวเป็นซัพพลายเออร์ฮาร์ดแวร์เพื่อออกใบแจ้งหนี้ปลอมให้กับทั้งสองบริษัทเป็นเวลาสองปี แม้ว่าบริษัททั้งสองจะมีความซับซ้อนทางเทคโนโลยี แต่บริษัททั้งสองก็สูญเสียเงินไป แม้ว่าในภายหลังจะสามารถกู้คืนเงินที่ถูกขโมยไปได้เกือบทั้งหมดก็ตาม

### การรั่วไหลของข้อมูลการเลือกตั้งสหรัฐอเมริกาปี 2016

ในช่วงการเลือกตั้งสหรัฐอเมริกาปี 2016 แฮกเกอร์ที่เกี่ยวข้องกับ หน่วยข่าวกรองทางทหารของรัสเซีย (GRU) ได้ส่งอีเมลฟิชชิ่งไปยังสมาชิกทีมหาเสียงของฮิลลารี คลินตัน โดยปลอมตัวเป็นการแจ้งเตือนของกูเกิล สมาชิกหลายคน รวมถึงประธานทีมหาเสียงจอห์น โพเดสตา ได้ป้อนรหัสผ่านโดยคิดว่ารหัสผ่านจะถูกรีเซ็ต ทำให้ข้อมูลส่วนบุคคล อีเมล และเอกสารส่วนตัวนับพันรายการรั่วไหล ด้วยข้อมูลนี้ พวกเขาจึงแฮ็กเข้าไปในคอมพิวเตอร์เครื่องอื่น ๆ ในคณะกรรมการหาเสียงของพรรคเดโมแครต โดยฝังมัลแวร์ไว้ในเครื่อง ซึ่งทำให้กิจกรรมคอมพิวเตอร์ของพวกเขาถูกควบคุมและรั่วไหล

### การหลอกลวงของยูบิควิติเน็ตเวิกส์ ปี 2015

ในปี 2558 บริษัทยูบิควิติ ผู้ผลิตฮาร์ดแวร์และซอฟต์แวร์ วายฟาย เฉพาะทาง สูญเสียเงินเกือบ 47 ล้านดอลลาร์ให้กับแฮกเกอร์ ผู้โจมตีส่งอีเมลฟิชชิง จากสาขาฮ่องกง ไปยังแผนกบัญชีของยูบิควิติ พร้อมคำแนะนำในการเปลี่ยนแปลงรายละเอียดบัญชีการชำระเงิน เมื่อพบการโจรกรรม บริษัทจึงเริ่มให้ความร่วมมือกับหน่วยงานบังคับใช้กฎหมาย แต่สามารถกู้คืนเงินที่ถูกขโมยไปได้เพียง 8 ล้านดอลลาร์ แม้ว่าพวกเขาหวังว่าจะได้ 15 ล้านดอลลาร์ก็ตาม

### กรณีข้อมูลรั่วไหลจากโซนีพิกเจอส์ปี 2014

เมื่อวันที่ 24 พฤศจิกายน 2014 กลุ่มแฮกเกอร์ "การ์เดียนส์ออฟพีซ" (อาจเชื่อมโยงกับ เกาหลีเหนือ) ได้ปล่อยข้อมูลลับจากสตูดิโอภาพยนตร์ โซนี่พิคเจอร์ส ข้อมูลดังกล่าวประกอบด้วยอีเมล เงินเดือนผู้บริหาร และข้อมูลส่วนบุคคลและครอบครัวของพนักงาน ฟิชเชอร์เหล่านี้แอบอ้างเป็นพนักงานระดับสูงเพื่อติดตั้งมัลแวร์บนคอมพิวเตอร์ของพนักงาน

### การโจมตีแบบหลุมน้ำของกระทรวงแรงงานปี 2013

ในปี 2013 เซิร์ฟเวอร์ของกระทรวงแรงงานสหรัฐ ถูกแฮ็กและนำไปใช้เป็นโฮสต์มัลแวร์และเปลี่ยนเส้นทางผู้เข้าชมไปยังเว็บไซต์โดยใช้ช่องโหว่ซีโรเดย์ในอินเทอร์เน็ตเอกซ์พลอเรอร์ เพื่อติดตั้งโทรจันสำหรับการเข้าถึงระยะไกลที่ชื่อว่าพอยชันไอวี มีการใช้การโจมตีแบบหลุมน้ำโดยผู้โจมตีสร้างหน้าเว็บที่เกี่ยวข้องกับสารพิษนิวเคลียร์ภายใต้การกำกับดูแลของกระทรวงพลังงาน เป้าหมายน่าจะเป็นพนักงานของกระทรวงแรงงานและกระทรวงพลังงานสหรัฐ ที่มีสิทธิ์เข้าถึงข้อมูลนิวเคลียร์ที่ละเอียดอ่อน

### การโจมตีฟิชชิงอาร์เอสเอซีเคียวไอดี ปี 2011

ในปี 2011 แฮกเกอร์ได้เจาะระบบของบริษัทอาร์เอสเอ ซึ่งเป็นบริษัทเข้ารหัสลับ และได้ข้อมูลเกี่ยวกับกุญแจยืนยันตัวตนแบบสองปัจจัยของซีเคียวไอดี ต่อมาแฮกเกอร์ได้ใช้ข้อมูลนี้เพื่อแทรกซึมเข้าสู่เครือข่ายของบริษัท ล็อกฮีด มาร์ติน ซึ่งเป็นบริษัทรับเหมาด้านกลาโหม แฮกเกอร์สามารถเข้าถึงข้อมูลกุญแจได้โดยการส่งอีเมลถึงพนักงานสี่คนของบริษัทแม่จากเว็บไซต์จัดหางานที่ถูกกล่าวหา อีเมลดังกล่าวมีไฟล์แนบเป็นไฟล์ เอกซ์เซล ชื่อ "แผนการจ้างพนักงานปี 2011" สเปรดชีตมีช่องโหว่ซีโร่เดย์แบบแฟลช ซึ่งให้เกิดการเข้าถึงแบบประตูหลังไปยังคอมพิวเตอร์ที่ทำงาน

## วิศวกรสังคมที่มีชื่อเสียง

### ซูซาน เฮดลีย์

ซูซาน เฮดลีย์ เข้าไปพัวพันกับคดีการเจาะระบบโทรศัพท์ กับ เควิน มิตนิค และลูอิส เดอ เพย์น ใน ลอสแอนเจลิส แต่ต่อมากลับถูกใส่ร้ายว่าลบไฟล์ระบบที่บริษัทยูเอส ลีสซิง หลังจากเกิดความขัดแย้ง ซึ่งนำไปสู่การตัดสินลงโทษครั้งแรกของมิตนิค เธอจึงเกษียณอายุและผันตัวมาเล่นโป๊กเกอร์อาชีพ

### ไมค์ ริดพาธ

ไมค์ ริดพาธ เป็นที่ปรึกษาด้านความปลอดภัย นักเขียนที่ตีพิมพ์ผลงาน วิทยากร และอดีตสมาชิกของ w00w00 เขาเป็นที่รู้จักกันดีในการพัฒนาเทคนิคและกลยุทธ์สำหรับวิศวกรรมสังคมผ่านการโฆษณาทางโทรศัพท์ที่ไม่พึงปรารถนา เขาเป็นที่รู้จักจากการสาธิตสด รวมถึงการเปิดบันทึกเสียงสนทนาหลังจากการพูดคุย ซึ่งเขาได้อธิบายกระบวนการคิดของเขาเกี่ยวกับสิ่งที่เขากำลังทำเพื่อรับรหัสผ่านผ่านทางโทรศัพท์ ในวัยเด็กริดพาธเชื่อมโยงกับพี่น้องบาดีร์และเป็นที่รู้จักอย่างกว้างขวางในชุมชนแฮกเกอร์จากบทความของเขาในนิตยสารออนไลน์ใต้ดินยอดนิยม เช่น Phrack, B4B0 และ 9x เกี่ยวกับการปรับแต่ง Oki 900s, blueboxing, การโจรกรรมสัญญาณออกอากาศ และ RCMAC

### พี่น้องบาดีร์

รามี, มูเซอร์ และชาดเด บาดีร์ ซึ่งทั้งหมดตาบอดตั้งแต่กำเนิด ได้ร่วมกันวางแผนฉ้อโกงทางโทรศัพท์และคอมพิวเตอร์ครั้งใหญ่ในอิสราเอล ในช่วงทศวรรษ 1990 โดยใช้วิศวกรรมสังคม การปลอมแปลงเสียง และ คอมพิวเตอร์แสดงผลอักษรเบรลล์

### คริสโตเฟอร์ เจ. แฮดนากี

คริสโตเฟอร์ เจ. แฮดนากี เป็นวิศวกรสังคมและที่ปรึกษาด้านความปลอดภัยเทคโนโลยีสารสนเทศชาวอเมริกัน เขาเป็นที่รู้จักในฐานะผู้เขียนหนังสือ 4 เล่มเกี่ยวกับวิศวกรรมสังคมและความปลอดภัยทางไซเบอร์ และผู้ก่อตั้งมูลนิธิอินโนเซนต์ไลฟ์ ซึ่งเป็นองค์กรที่ช่วยติดตามและระบุการค้ามนุษย์เด็กโดยขอความช่วยเหลือจากผู้เชี่ยวชาญด้านความปลอดภัยสารสนเทศ โดยใช้ข้อมูลจากหน่วยข่าวกรองโอเพนซอร์ส ("อเอสไอเอ็นที) และทำงานร่วมกับหน่วยงานบังคับใช้กฎหมาย

## ดูเพิ่ม

* สแกมจ่ายเงินล่วงหน้า
* ฟิชชิง

## อ้างอิง

## อ่านเพิ่มเติม

* Boyington, Gregory. (1990). 'Baa Baa Black Sheep' Published by Gregory Boyington ISBN 0-553-26350-1
* Harley, David. 1998 *Re-Floating the Titanic: Dealing with Social Engineering Attacks เก็บถาวร 22 กันยายน 2016 ที่ เวย์แบ็กแมชชีน* EICAR Conference.
* Laribee, Lena. June 2006 *Development of methodical social engineering taxonomy project* Master's Thesis, Naval Postgraduate School.
* Leyden, John. 18 April 2003. *Office workers give away passwords for a cheap pen*. The Register. Retrieved 2004-09-09.
* Mann, Ian. (2008). *Hacking the Human: Social Engineering Techniques and Security Countermeasures* Published by Gower Publishing Ltd. ISBN 0-566-08773-1 or ISBN 978-0-566-08773-8
* Mitnick, Kevin, Kasperavičius, Alexis. (2004). *CSEPS Course Workbook*. Mitnick Security Publishing.
* Mitnick, Kevin, Simon, William L., Wozniak, Steve,. (2002). *The Art of Deception: Controlling the Human Element of Security* Published by Wiley. ISBN 0-471-23712-4 or ISBN 0-7645-4280-X
* Hadnagy, Christopher, (2011) *Social Engineering: The Art of Human Hacking* Published by Wiley. ISBN 0-470-63953-9
* N.J. Evans. (2009). "Information Technology Social Engineering: An Academic Definition and Study of Social Engineering-Analyzing the Human Firewall." Graduate Theses and Dissertations. 10709.
* Z. Wang, L. Sun and H. Zhu. (2020) "Defining Social Engineering in Cybersecurity," in IEEE Access, vol. 8, pp. 85094-85115, doi:10.1109/ACCESS.2020.2992807.

## แหล่งข้อมูลอื่น

* Social Engineering Fundamentals – *Securityfocus.com*. Retrieved 3 August 2009.
* "Social Engineering, the USB Way". Light Reading Inc. 7 June 2006. คลังข้อมูลเก่าเก็บจากแหล่งเดิมเมื่อ 13 July 2006. สืบค้นเมื่อ 23 April 2014.
* Should Social Engineering be a part of Penetration Testing? – *Darknet.org.uk*. Retrieved 3 August 2009.
* "Protecting Consumers' Phone Records", Electronic Privacy Information Center *US Committee on Commerce, Science, and Transportation*. Retrieved 8 February 2006.
* Plotkin, Hal. Memo to the Press: Pretexting is Already Illegal. Retrieved 9 September 2006.