วิศวกรรมสังคม (ความปลอดภัย)

ในบริบทของการรักษาความปลอดภัยทางข้อมูล วิศวกรรมสังคม () คือการใช้อิทธิพลทางจิตวิทยาของบุคคลในการดำเนินการหรือเปิดเผยข้อมูลที่เป็นความลับ ซึ่งแตกต่างจากการชักจูงทางจิตวิทยา ตรงที่ไม่จำเป็นต้องเป็นการควบคุม การป้อนข้อมูลเชิงลบ หรือเป็นธุรกรรมทางเดียว รวมถึงการจัดการเกี่ยวข้องกับเกมผลรวมเป็นศูนย์ ซึ่งฝ่ายหนึ่งชนะและอีกฝ่ายแพ้ ในขณะที่วิศวกรรมสังคมสามารถให้ประโยชน์แก่ทั้งสองฝ่ายได้ กลโกงนี้เป็นกลโกงเพื่อความมั่นใจประเภทหนึ่งเพื่อจุดประสงค์ในการรวบรวมข้อมูลการฉ้อโกง หรือการเข้าถึงระบบ ซึ่งแตกต่างจาก "การหลอกลวง" แบบดั้งเดิมในแง่ที่ว่ามักเป็นหนึ่งในหลายขั้นตอนของแผนการฉ้อโกงที่ซับซ้อนกว่า Chapter 2, page 17 นอกจากนี้ยังถูกนิยามว่าเป็น "การกระทำใดๆ ที่มีอิทธิพลต่อบุคคลให้ดำเนินการซึ่งอาจเป็นหรือไม่เป็นผลประโยชน์สูงสุดของพวกเขา"

งานวิจัยที่ดำเนินการในปี 2020 ชี้ให้เห็นว่าวิศวกรรมสังคมจะเป็นหนึ่งในความท้าทายที่สำคัญที่สุดของทศวรรษหน้า ความเชี่ยวชาญด้านวิศวกรรมสังคมจะมีความสำคัญเพิ่มมากขึ้นสำหรับองค์กรและประเทศต่างๆ เนื่องจากผลกระทบต่อภูมิรัฐศาสตร์เช่นกัน วิศวกรรมสังคมก่อให้เกิดคำถามว่าการตัดสินใจจะได้รับข้อมูลที่ถูกต้องแม่นยำหรือไม่ หากข้อมูลปฐมภูมิของเราถูกออกแบบและมีความลำเอียง

การโจมตีทางวิศวกรรมสังคมมีความเข้มข้นและจำนวนเพิ่มมากขึ้น ส่งผลให้มีความต้องการเทคนิคการตรวจจับใหม่ๆ และโปรแกรมการศึกษาความปลอดภัยทางไซเบอร์

 เทคนิคและเงื่อนไข 
เทคนิคทางวิศวกรรมสังคมทั้งหมดขึ้นอยู่กับจุดอ่อนที่สามารถใช้ประโยชน์ได้ในการตัดสินใจ ของมนุษย์ที่เรียกว่า ความเอนเอียงทางประชานJaco, K: "CSEPS Course Workbook" (2004), unit 3, Jaco Security Publishing.

ตัวอย่างหนึ่งของวิศวกรรมสังคมคือบุคคลที่เดินเข้าไปในอาคารและติดประกาศอย่างเป็นทางการในประกาศของบริษัท โดยระบุว่าหมายเลขโทรศัพท์ของฝ่ายช่วยเหลือมีการเปลี่ยนแปลง ดังนั้น เมื่อพนักงานโทรขอความช่วยเหลือ พนักงานคนนั้นจะขอรหัสผ่านและรหัสประจำตัว ซึ่งทำให้สามารถเข้าถึงข้อมูลส่วนตัวของบริษัทได้ อีกตัวอย่างหนึ่งของวิศวกรรมสังคมคือแฮกเกอร์ติดต่อเป้าหมายในบริการเครือข่ายสังคม และเริ่มสนทนากับเป้าหมาย แฮกเกอร์จะค่อย ๆ ได้รับความไว้วางใจจากเป้าหมาย จากนั้นจึงใช้ความไว้วางใจนั้นเพื่อเข้าถึงข้อมูลสำคัญ เช่น รหัสผ่านหรือรายละเอียดบัญชีธนาคาร

 ข้ออ้าง 
การอ้างเหตุผล หรือที่รู้จักกันในสหราชอาณาจักรในชื่อ blagging คือการกระทำที่สร้างและใช้สถานการณ์สมมติ ( ข้ออ้าง ) เพื่อติดต่อกับเหยื่อเป้าหมายในลักษณะที่เพิ่มโอกาสที่เหยื่อจะเปิดเผยข้อมูลหรือดำเนินการที่ไม่น่าจะเป็นไปได้ในสถานการณ์ปกติThe story of HP pretexting scandal with discussion is available at  การโกหกที่ซับซ้อนโดยส่วนใหญ่มักเกี่ยวข้องกับการค้นคว้าหรือการจัดฉากล่วงหน้า และการใช้ข้อมูลนี้เพื่อปลอมตัวเป็นบุคคลอื่น ( เช่น วันเกิด หมายเลขประกันสังคม จำนวนเงินที่เรียกเก็บล่าสุด) เพื่อสร้างความชอบธรรมในความคิดของเป้าหมาย"Pretexting: Your Personal Information Revealed", Federal Trade Commission

 การโจมตีแบบหลุมน้ำ 
การโจมตีแบบหลุมน้ำ เป็นกลยุทธ์ทางวิศวกรรมสังคมแบบเจาะจงเป้าหมายที่ใช้ประโยชน์จากความไว้วางใจที่ผู้ใช้มีต่อเว็บไซต์ที่พวกเขาเข้าชมเป็นประจำ เหยื่อรู้สึกปลอดภัยที่จะทำสิ่งที่พวกเขาจะไม่ทำในสถานการณ์อื่น ตัวอย่างเช่น บุคคลที่ระมัดระวังอาจจงใจหลีกเลี่ยงการคลิกลิงก์ในอีเมลที่ไม่ได้ร้องขอ แต่บุคคลเดียวกันนั้นจะไม่ลังเลที่จะคลิกลิงก์บนเว็บไซต์ที่พวกเขาเข้าชมบ่อยๆ ดังนั้น ผู้โจมตีจึงเตรียมกับดักไว้สำหรับเหยื่อที่ไม่ทันระวังตัวที่แหล่งน้ำโปรด กลยุทธ์นี้ถูกนำมาใช้อย่างประสบความสำเร็จในการเข้าถึงระบบที่ (คาดว่า) ปลอดภัยมาก 

 การล่อเหยื่อ 
การล่อเหยื่อเปรียบเสมือนม้าโทรจันในโลกแห่งความเป็นจริง ที่ใช้สื่อทางกายภาพและอาศัยความอยากรู้หรือความโลภของเหยื่อ ในการโจมตีนี้ ผู้โจมตีจะทิ้งฟลอปปีดิสก์ ซีดีรอม หรือยูเอสบีแฟลชไดรฟ์ที่ฝังมัลแวร์ ในสถานที่ที่ผู้คนจะพบได้ (ห้องน้ำ ลิฟต์ ทางเท้า ลานจอดรถ ฯลฯ) ให้ป้ายกำกับที่ถูกต้องตามกฎหมายและกระตุ้นความอยากรู้อยากเห็นแก่เหยื่อ และรอเหยื่อ

หากคอมพิวเตอร์ไม่ควบคุมการติดไวรัส การแทรกซึมจะทำให้สื่อ "ที่ทำงานอัตโนมัติ" ของพีซีเสียหาย อุปกรณ์ที่เป็นอันตรายก็สามารถใช้ได้เช่นกัน ตัวอย่างเช่น "ผู้โชคดี" จะได้รับเครื่องเล่นเสียงดิจิทัล ฟรีที่เป็นอันตรายต่อคอมพิวเตอร์ทุกเครื่องที่เสียบอยู่ " road apple " (คำเรียกทั่วไปสำหรับ มูลม้า ซึ่งสื่อถึงลักษณะที่ไม่พึงประสงค์ของอุปกรณ์) คือ สื่อแบบถอดได้ ใดๆ ที่มีซอฟต์แวร์อันตรายวางอยู่ในที่ที่ฉวยโอกาสหรือมองเห็นได้ชัดเจน อาจเป็นซีดี ดีวีดี หรือ ยูเอสบีแฟลชไดรฟ์ เป็นต้น ผู้ที่อยากรู้อยากเห็นจะหยิบมันขึ้นมาแล้วเสียบเข้ากับคอมพิวเตอร์ ทำให้โฮสต์และเครือข่ายที่เชื่อมต่ออยู่ติดไวรัส อีกครั้ง แฮกเกอร์อาจติดป้ายชื่อล่อตาล่อใจ เช่น "เงินเดือนพนักงาน" หรือ "ข้อมูลลับ"

งานวิจัยหนึ่งที่ตีพิมพ์ในปี 2016 พบว่านักวิจัยวางยูเอสบีไดรฟ์จำนวน 297 อันกระจายทั่วมหาวิทยาลัยอิลลินอยส์ ไดรฟ์เหล่านี้บรรจุไฟล์ที่เชื่อมโยงไปยังเว็บเพจที่นักวิจัยเป็นเจ้าของ นักวิจัยสามารถดูจำนวนไดรฟ์ที่เปิดไฟล์ไว้ได้ แต่ไม่สามารถเห็นจำนวนไดรฟ์ที่เสียบเข้ากับคอมพิวเตอร์โดยไม่ได้เปิดไฟล์ขึ้นมา ในบรรดาไดรฟ์ 297 อันนี้ มี 290 อัน (98%) ที่ถูกเก็บไป และ 135 อัน (45%) "ถูกเรียกว่าบ้าน" 

 การแลกเปลี่ยนผลประโยชน์ 
ผู้โจมตีอาจเสนอที่จะให้ข้อมูลที่ละเอียดอ่อน (เช่น ข้อมูลการเข้าสู่ระบบ) หรือจ่ายเงินจำนวนหนึ่งเพื่อแลกกับความช่วยเหลือ ผู้โจมตีอาจปลอมตัวเป็นผู้เชี่ยวชาญที่เสนอบริการช่วยเหลือด้านไอทีฟรี โดยต้องการข้อมูลการเข้าสู่ระบบจากผู้ใช้ 

 สแกร์แวร์ 
เหยื่อถูกโจมตีด้วยข้อความจำนวนมากเกี่ยวกับภัยคุกคามและการแจ้งเตือนปลอม ทำให้พวกเขาคิดว่าระบบติดมัลแวร์ ดังนั้น ผู้โจมตีจึงบังคับให้พวกเขาติดตั้งซอฟต์แวร์ล็อกอินระยะไกลหรือซอฟต์แวร์ที่เป็นอันตรายอื่นๆ หรือเรียกค่าไถ่โดยตรง เช่น เสนอที่จะส่งเงินจำนวนหนึ่งเป็นคริปโทเคอร์เรนซี เพื่อแลกกับความปลอดภัยของวิดีโอลับที่อาชญากรมี ดังที่เขาอ้าง

 การตามท้ายรถ (การขี่หลัง) 
ผู้บุกรุกปลอมตัวเป็นพนักงานบริษัทหรือบุคคลอื่นที่มีสิทธิ์เข้าถึง เพื่อเข้าไปในสำนักงานหรือพื้นที่หวงห้ามอื่นๆ มีการใช้กลวิธีหลอกลวงและวิศวกรรมสังคมอย่างจริงจัง ตัวอย่างเช่น ผู้บุกรุกปลอมตัวเป็นคนส่งของหรือคนขนของที่ถือของบางอย่างไว้ในมือ และขอให้พนักงานที่กำลังเดินอยู่ข้างนอกช่วยเปิดประตู เพื่อเข้าไปในอาคาร 

 กฎหมาย 
ในคอมมอนลอว์ วิธีหลอกลวงด้วยการอ้างเหตุผลเป็นการละเมิดความเป็นส่วนตัว หรือการละเมิดการยักยอก 

 การอ้างบันทึกการโทรศัพท์ 
ในเดือนธันวาคม ค.ศ. 2006 รัฐสภาสหรัฐได้อนุมัติร่างกฎหมายที่วุฒิสภาให้การสนับสนุน ซึ่งกำหนดให้การอ้างบันทึกการโทรศัพท์เป็นความผิดทางอาญาของรัฐบาลกลาง โดยมีโทษปรับสูงสุด 250,000 ดอลลาร์สหรัฐ และจำคุกสิบปีสำหรับบุคคลทั่วไป (หรือปรับสูงสุด 500,000 ดอลลาร์สหรัฐสำหรับบริษัท) ร่างกฎหมายนี้ลงนามโดยประธานาธิบดีจอร์จ ดับเบิลยู. บุช เมื่อวันที่ 12 มกราคม ค.ศ. 2007

 กฎหมายของรัฐบาลกลาง 
รัฐบัญญัติแกรมม์-ลีช-บไลลีย์ ค.ศ. 1999 (จีแอลบีเอ) เป็นกฎหมายของรัฐบาลกลางสหรัฐ ที่บัญญัติไว้โดยเฉพาะว่าการอ้างเอกสารทางการเงินเป็นการกระทำที่ผิดกฎหมายและมีโทษตามกฎหมายของรัฐบาลกลาง เมื่อนิติบุคคล เช่น นักสืบเอกชน นักสืบประกันภัยของเอสไอยู หรือผู้ประเมินราคา ดำเนินการหลอกลวงไม่ว่าในรูปแบบใด จะอยู่ภายใต้อำนาจของคณะกรรมการการค้าแห่งรัฐบาลกลาง (เอฟทีซี) หน่วยงานของรัฐบาลกลางนี้มีภาระหน้าที่และอำนาจในการรับรองว่าผู้บริโภคจะไม่ตกอยู่ภายใต้การปฏิบัติทางธุรกิจที่ไม่เป็นธรรมหรือหลอกลวง ในมาตรา 5 ของรัฐบัญญัติคณะกรรมการการค้าแห่งรัฐบาลกลางสหรัฐ ระบุว่า "เมื่อใดก็ตามที่คณะกรรมการมีเหตุผลอันควรเชื่อได้ว่าบุคคล ห้างหุ้นส่วน หรือบริษัทใดๆ ดังกล่าว ได้ใช้หรือกำลังใช้วิธีการใด ๆ ที่ไม่เป็นธรรมในการแข่งขัน หรือการกระทำหรือการปฏิบัติที่ไม่เป็นธรรมหรือหลอกลวงในหรือส่งผลกระทบต่อการค้า และหากปรากฏว่าการดำเนินการของคณะกรรมการเกี่ยวกับเรื่องดังกล่าวจะเป็นประโยชน์ต่อสาธารณะ คณะกรรมการจะต้องออกคำร้องและยื่นคำร้องต่อบุคคล ห้างหุ้นส่วน หรือบริษัทข้างต้น โดยระบุข้อกล่าวหาในเรื่องดังกล่าว"

กฎหมายระบุว่าเมื่อบุคคลใดได้รับข้อมูลส่วนบุคคลที่ไม่เปิดเผยต่อสาธารณะจากสถาบันการเงินหรือผู้บริโภค การกระทำของบุคคลดังกล่าวจะอยู่ภายใต้กฎหมาย ซึ่งเกี่ยวข้องกับความสัมพันธ์ระหว่างผู้บริโภคกับสถาบันการเงิน ตัวอย่างเช่น การแอบอ้างเท็จไม่ว่าจะเป็นเพื่อขอที่อยู่ของผู้บริโภคจากธนาคารของผู้บริโภค หรือเพื่อให้ผู้บริโภคเปิดเผยชื่อธนาคารของตน ผู้เสียหายจากพฤติกรรมดังกล่าวจะได้รับความคุ้มครอง หลักการสำคัญคือ การแอบอ้างจะเกิดขึ้นก็ต่อเมื่อได้รับข้อมูลผ่านการแอบอ้างเท็จเท่านั้น

แม้ว่าการขายบันทึกข้อมูลโทรศัพท์มือถือจะได้รับความสนใจจากสื่อเป็นอย่างมาก และการบันทึกข้อมูลโทรคมนาคมเป็นประเด็นสำคัญของร่างกฎหมายสองฉบับที่กำลังอยู่ในการพิจารณาของวุฒิสภาสหรัฐ แต่บันทึกข้อมูลส่วนบุคคลประเภทอื่นๆ อีกมากมายก็ถูกซื้อขายในตลาดสาธารณะ นอกจากการโฆษณาบันทึกข้อมูลโทรศัพท์มือถือแล้ว ยังมีการโฆษณาบันทึกข้อมูลแบบใช้สายและบันทึกที่เกี่ยวข้องกับบัตรโทรศัพท์อีกด้วย เนื่องจากผู้คนหันมาใช้โทรศัพท์วอยซ์โอเวอร์ไอพีกันมากขึ้น จึงสามารถสันนิษฐานได้ว่าบันทึกข้อมูลเหล่านี้ก็จะถูกนำมาขายด้วยเช่นกัน ปัจจุบัน การขายบันทึกข้อมูลโทรศัพท์เป็นสิ่งที่ถูกกฎหมาย แต่การได้มาซึ่งบันทึกข้อมูลเหล่านี้ถือเป็นสิ่งผิดกฎหมายMitnick, K (2002): "The Art of Deception", p. 103 Wiley Publishing Ltd: Indianapolis, Indiana; United States of America. 

 เฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์ 
สมาชิกสภาผู้แทนราษฎร เฟร็ด อัพตัน (พรรครีพับลิกันจาก แคละมะซู รัฐมิชิแกน) ประธานคณะกรรมมาธิการย่อยว่าด้วยโทรคมนาคมและอินเทอร์เน็ต ในคณะกรรมมาธิการด้านพลังงานและการพาณิชย์ แสดงความกังวลต่อการเข้าถึงบันทึกข้อมูลโทรศัพท์มือถือส่วนบุคคลบนอินเทอร์เน็ตได้อย่างง่ายดาย ระหว่างการพิจารณาของคณะกรรมการด้านพลังงานและการพาณิชย์ประจำสภาผู้แทนราษฎร ในหัวข้อ " การขายบันทึกโทรศัพท์: ทำไมบันทึกโทรศัพท์จึงไม่ปลอดภัยจากการอ้างสิทธิ์ " รัฐอิลลินอย กลายเป็นรัฐแรกที่ฟ้องร้องนายหน้าบันทึกข้อมูลออนไลน์ เมื่ออัยการสูงสุด ลิซา มาดิแกน ฟ้องร้องเฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์ อิงค์ โฆษกหญิงของทีมงานมาดิแกนกล่าวว่าบริษัทที่ตั้งอยู่ในรัฐฟลอริดาแห่งนี้ดำเนินการเว็บไซต์หลายแห่งที่ขายบันทึกข้อมูลโทรศัพท์มือถือ ตามสำเนาคำฟ้อง อัยการสูงสุดของรัฐฟลอริดาและรัฐมิสซูรี รีบดำเนินรอยตามมาดิแกน โดยยื่นฟ้องบริษัท เฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์ ตามลำดับ และเฟิร์ส ดาต้า โซลูชั่นส์ อิงค์ นายหน้าบันทึกข้อมูลอีกรายหนึ่ง ก็ถูกอัยการของรัฐมิสซูรีฟ้องด้วย

ผู้ให้บริการระบบไร้สายหลายราย รวมถึง T-Mobile, Verizon และ Cingular ได้ยื่นฟ้องต่อนายหน้าซื้อขายหลักทรัพย์ก่อนหน้านี้ โดย Cingular ได้รับคำสั่งห้ามไม่ให้เฟิร์ส ดาต้า โซลูชั่นส์ อิงค์ และเฟิร์สต์ซอร์ส อินฟอร์เมชัน สเปเชียลลีส์ อิงค์ ชัค ชูเมอร์ สมาชิกวุฒิสภาพรรคเดโมแครตจากรัฐนิวยอร์ก ได้เสนอร่างกฎหมายในเดือนกุมภาพันธ์ ค.ศ. 2006 เพื่อควบคุมพฤติกรรมดังกล่าว รัฐบัญญัติคุ้มครองข้อมูลโทรศัพท์สำหรับผู้บริโภค ค.ศ. 2006 จะกำหนดบทลงโทษทางอาญาขั้นรุนแรง สำหรับการขโมยและขายข้อมูลของผู้ใช้โทรศัพท์มือถือ โทรศัพท์บ้าน และวอยซ์โอเวอร์ไอพี

 ฮิวเล็ตแพ็กการ์ด 
แพทริเซีย ดันน์ อดีตประธานกรรมการ ฮิวเลตต์-แพคการ์ด (เอชพี) รายงานว่าคณะกรรมการบริษัทได้ว่าจ้างบริษัทสืบสวนเอกชนเพื่อสืบหาตัวผู้รับผิดชอบต่อการรั่วไหลข้อมูลภายในคณะกรรมการบริษัท ดันน์ยอมรับว่าบริษัทใช้วิธีการอ้างข้ออ้างเพื่อขอข้อมูลบันทึกการโทรศัพท์ของสมาชิกคณะกรรมการและนักข่าว ต่อมาดันน์ได้ขอโทษต่อการกระทำนี้และเสนอที่จะลาออกจากตำแหน่งดังกล่าวหากสมาชิกคณะกรรมการต้องการHP chairman: Use of pretexting 'embarrassing' Stephen Shankland, 8 September 2006 1:08 PM PDT CNET News.com ซึ่งแตกต่างจากกฎหมายของรัฐบาลกลาง กฎหมายของรัฐแคลิฟอร์เนียห้ามการอ้างข้ออ้างดังกล่าวโดยเฉพาะ ข้อหาอาญาทั้งสี่ข้อที่ดันน์ถูกฟ้องถูกยกฟ้อง

 เหตุการณ์ทางวิศวกรรมสังคมที่สำคัญ 
 เว็บไซต์ช่วยเหลือกรณีละเมิดอิควิแฟกซ์ ปี 2017 
หลังจากการรั่วไหลของข้อมูลของอิควิแฟกซ์ในปี 2017 ซึ่งเชื่อมโยงกับกองทัพปลดปล่อยประชาชนจีน  ซึ่งมีการรั่วไหลของข้อมูลส่วนบุคคลมากกว่า 150 ล้านรายการ (รวมถึง หมายเลขประกันสังคม หมายเลข ใบอนุญาตขับขี่ วันเกิด ฯลฯ) คำเตือนเกี่ยวกับอันตรายจากความเสี่ยงด้านความปลอดภัยที่กำลังจะเกิดขึ้นได้ถูกส่งออกไป ในวันถัดจากการจัดตั้งเว็บไซต์ช่วยเหลือที่ถูกต้องตามกฎหมาย (equifaxsecurity2017.com) ที่อุทิศให้กับผู้คนที่อาจตกเป็นเหยื่อของการละเมิดดังกล่าว โดเมนที่เป็นอันตราย 194 โดเมนถูกสงวนไว้จากการเปลี่ยนแปลงเล็กน้อยของ URL เพื่อใช้ประโยชน์จากความเป็นไปได้ที่ผู้คนจะพิมพ์ผิด 

 อีเมลฟิชชิงของกูเกิลและเฟซบุ๊ก ปี 2017 
บริษัทเทคโนโลยียักษ์ใหญ่สองแห่ง คือ กูเกิล และ เฟซบุ๊ก ถูกหลอกลวงให้โอนเงิน 100 ล้านดอลลาร์สหรัฐ โดยมิจฉาชีพชาวลิทัวเนีย เขาปลอมตัวเป็นซัพพลายเออร์ฮาร์ดแวร์เพื่อออกใบแจ้งหนี้ปลอมให้กับทั้งสองบริษัทเป็นเวลาสองปี แม้ว่าบริษัททั้งสองจะมีความซับซ้อนทางเทคโนโลยี แต่บริษัททั้งสองก็สูญเสียเงินไป แม้ว่าในภายหลังจะสามารถกู้คืนเงินที่ถูกขโมยไปได้เกือบทั้งหมดก็ตาม

 การรั่วไหลของข้อมูลการเลือกตั้งสหรัฐอเมริกาปี 2016 
ในช่วงการเลือกตั้งสหรัฐอเมริกาปี 2016 แฮกเกอร์ที่เกี่ยวข้องกับ หน่วยข่าวกรองทางทหารของรัสเซีย (GRU) ได้ส่งอีเมลฟิชชิ่งไปยังสมาชิกทีมหาเสียงของฮิลลารี คลินตัน โดยปลอมตัวเป็นการแจ้งเตือนของกูเกิล สมาชิกหลายคน รวมถึงประธานทีมหาเสียงจอห์น โพเดสตา ได้ป้อนรหัสผ่านโดยคิดว่ารหัสผ่านจะถูกรีเซ็ต ทำให้ข้อมูลส่วนบุคคล อีเมล และเอกสารส่วนตัวนับพันรายการรั่วไหล ด้วยข้อมูลนี้ พวกเขาจึงแฮ็กเข้าไปในคอมพิวเตอร์เครื่องอื่น ๆ ในคณะกรรมการหาเสียงของพรรคเดโมแครต โดยฝังมัลแวร์ไว้ในเครื่อง ซึ่งทำให้กิจกรรมคอมพิวเตอร์ของพวกเขาถูกควบคุมและรั่วไหล

 การหลอกลวงของยูบิควิติเน็ตเวิกส์ ปี 2015 
ในปี 2558 บริษัทยูบิควิติ ผู้ผลิตฮาร์ดแวร์และซอฟต์แวร์ วายฟาย เฉพาะทาง สูญเสียเงินเกือบ 47 ล้านดอลลาร์ให้กับแฮกเกอร์ ผู้โจมตีส่งอีเมลฟิชชิง จากสาขาฮ่องกง ไปยังแผนกบัญชีของยูบิควิติ พร้อมคำแนะนำในการเปลี่ยนแปลงรายละเอียดบัญชีการชำระเงิน เมื่อพบการโจรกรรม บริษัทจึงเริ่มให้ความร่วมมือกับหน่วยงานบังคับใช้กฎหมาย แต่สามารถกู้คืนเงินที่ถูกขโมยไปได้เพียง 8 ล้านดอลลาร์ แม้ว่าพวกเขาหวังว่าจะได้ 15 ล้านดอลลาร์ก็ตาม

 กรณีข้อมูลรั่วไหลจากโซนีพิกเจอส์ปี 2014 
เมื่อวันที่ 24 พฤศจิกายน 2014 กลุ่มแฮกเกอร์ "การ์เดียนส์ออฟพีซ"  (อาจเชื่อมโยงกับ เกาหลีเหนือ) ได้ปล่อยข้อมูลลับจากสตูดิโอภาพยนตร์ โซนี่พิคเจอร์ส ข้อมูลดังกล่าวประกอบด้วยอีเมล เงินเดือนผู้บริหาร และข้อมูลส่วนบุคคลและครอบครัวของพนักงาน ฟิชเชอร์เหล่านี้แอบอ้างเป็นพนักงานระดับสูงเพื่อติดตั้งมัลแวร์บนคอมพิวเตอร์ของพนักงาน

 การโจมตีแบบหลุมน้ำของกระทรวงแรงงานปี 2013 
ในปี 2013 เซิร์ฟเวอร์ของกระทรวงแรงงานสหรัฐ ถูกแฮ็กและนำไปใช้เป็นโฮสต์มัลแวร์และเปลี่ยนเส้นทางผู้เข้าชมไปยังเว็บไซต์โดยใช้ช่องโหว่ซีโรเดย์ในอินเทอร์เน็ตเอกซ์พลอเรอร์ เพื่อติดตั้งโทรจันสำหรับการเข้าถึงระยะไกลที่ชื่อว่าพอยชันไอวี มีการใช้การโจมตีแบบหลุมน้ำโดยผู้โจมตีสร้างหน้าเว็บที่เกี่ยวข้องกับสารพิษนิวเคลียร์ภายใต้การกำกับดูแลของกระทรวงพลังงาน เป้าหมายน่าจะเป็นพนักงานของกระทรวงแรงงานและกระทรวงพลังงานสหรัฐ ที่มีสิทธิ์เข้าถึงข้อมูลนิวเคลียร์ที่ละเอียดอ่อน

 การโจมตีฟิชชิงอาร์เอสเอซีเคียวไอดี ปี 2011 
ในปี 2011 แฮกเกอร์ได้เจาะระบบของบริษัทอาร์เอสเอ ซึ่งเป็นบริษัทเข้ารหัสลับ และได้ข้อมูลเกี่ยวกับกุญแจยืนยันตัวตนแบบสองปัจจัยของซีเคียวไอดี ต่อมาแฮกเกอร์ได้ใช้ข้อมูลนี้เพื่อแทรกซึมเข้าสู่เครือข่ายของบริษัท ล็อกฮีด มาร์ติน ซึ่งเป็นบริษัทรับเหมาด้านกลาโหม แฮกเกอร์สามารถเข้าถึงข้อมูลกุญแจได้โดยการส่งอีเมลถึงพนักงานสี่คนของบริษัทแม่จากเว็บไซต์จัดหางานที่ถูกกล่าวหา อีเมลดังกล่าวมีไฟล์แนบเป็นไฟล์ เอกซ์เซล ชื่อ "แผนการจ้างพนักงานปี 2011" สเปรดชีตมีช่องโหว่ซีโร่เดย์แบบแฟลช ซึ่งให้เกิดการเข้าถึงแบบประตูหลังไปยังคอมพิวเตอร์ที่ทำงาน

 วิศวกรสังคมที่มีชื่อเสียง 
 ซูซาน เฮดลีย์ 
ซูซาน เฮดลีย์ เข้าไปพัวพันกับคดีการเจาะระบบโทรศัพท์ กับ เควิน มิตนิค และลูอิส เดอ เพย์น ใน ลอสแอนเจลิส แต่ต่อมากลับถูกใส่ร้ายว่าลบไฟล์ระบบที่บริษัทยูเอส ลีสซิง หลังจากเกิดความขัดแย้ง ซึ่งนำไปสู่การตัดสินลงโทษครั้งแรกของมิตนิค เธอจึงเกษียณอายุและผันตัวมาเล่นโป๊กเกอร์อาชีพ

 ไมค์ ริดพาธ 
ไมค์ ริดพาธ เป็นที่ปรึกษาด้านความปลอดภัย นักเขียนที่ตีพิมพ์ผลงาน วิทยากร และอดีตสมาชิกของ w00w00 เขาเป็นที่รู้จักกันดีในการพัฒนาเทคนิคและกลยุทธ์สำหรับวิศวกรรมสังคมผ่านการโฆษณาทางโทรศัพท์ที่ไม่พึงปรารถนา เขาเป็นที่รู้จักจากการสาธิตสด รวมถึงการเปิดบันทึกเสียงสนทนาหลังจากการพูดคุย ซึ่งเขาได้อธิบายกระบวนการคิดของเขาเกี่ยวกับสิ่งที่เขากำลังทำเพื่อรับรหัสผ่านผ่านทางโทรศัพท์ ในวัยเด็กริดพาธเชื่อมโยงกับพี่น้องบาดีร์และเป็นที่รู้จักอย่างกว้างขวางในชุมชนแฮกเกอร์จากบทความของเขาในนิตยสารออนไลน์ใต้ดินยอดนิยม เช่น Phrack, B4B0 และ 9x เกี่ยวกับการปรับแต่ง Oki 900s, blueboxing, การโจรกรรมสัญญาณออกอากาศ และ RCMAC

 พี่น้องบาดีร์ 
รามี, มูเซอร์ และชาดเด บาดีร์ ซึ่งทั้งหมดตาบอดตั้งแต่กำเนิด ได้ร่วมกันวางแผนฉ้อโกงทางโทรศัพท์และคอมพิวเตอร์ครั้งใหญ่ในอิสราเอล ในช่วงทศวรรษ 1990 โดยใช้วิศวกรรมสังคม การปลอมแปลงเสียง และ คอมพิวเตอร์แสดงผลอักษรเบรลล์

 คริสโตเฟอร์ เจ. แฮดนากี 
คริสโตเฟอร์ เจ. แฮดนากี เป็นวิศวกรสังคมและที่ปรึกษาด้านความปลอดภัยเทคโนโลยีสารสนเทศชาวอเมริกัน เขาเป็นที่รู้จักในฐานะผู้เขียนหนังสือ 4 เล่มเกี่ยวกับวิศวกรรมสังคมและความปลอดภัยทางไซเบอร์ และผู้ก่อตั้งมูลนิธิอินโนเซนต์ไลฟ์ ซึ่งเป็นองค์กรที่ช่วยติดตามและระบุการค้ามนุษย์เด็กโดยขอความช่วยเหลือจากผู้เชี่ยวชาญด้านความปลอดภัยสารสนเทศ โดยใช้ข้อมูลจากหน่วยข่าวกรองโอเพนซอร์ส ("อเอสไอเอ็นที) และทำงานร่วมกับหน่วยงานบังคับใช้กฎหมาย"WTVR:"Protect Your Kids from Online Threats"

 ดูเพิ่ม 
 สแกมจ่ายเงินล่วงหน้า
 ฟิชชิง

 อ้างอิง 

 อ่านเพิ่มเติม 

  Boyington, Gregory. (1990). 'Baa Baa Black Sheep' Published by Gregory Boyington 
 Harley, David. 1998 Re-Floating the Titanic: Dealing with Social Engineering Attacks  EICAR Conference.
 Laribee, Lena. June 2006 Development of methodical social engineering taxonomy project Master's Thesis, Naval Postgraduate School.
 Leyden, John. 18 April 2003. Office workers give away passwords for a cheap pen. The Register. Retrieved 2004-09-09.
 Mann, Ian. (2008). Hacking the Human: Social Engineering Techniques and Security Countermeasures Published by Gower Publishing Ltd.  or 
 Mitnick, Kevin, Kasperavičius, Alexis. (2004). CSEPS Course Workbook. Mitnick Security Publishing. 
 Mitnick, Kevin, Simon, William L., Wozniak, Steve,. (2002). The Art of Deception: Controlling the Human Element of Security Published by Wiley.  or 
 Hadnagy, Christopher, (2011) Social Engineering: The Art of Human Hacking Published by Wiley. 
 N.J. Evans. (2009). "Information Technology Social Engineering: An Academic Definition and Study of Social Engineering-Analyzing the Human Firewall." Graduate Theses and Dissertations. 10709. https://lib.dr.iastate.edu/etd/10709
 Z. Wang, L. Sun and H. Zhu. (2020) "Defining Social Engineering in Cybersecurity," in IEEE Access, vol. 8, pp. 85094-85115, doi:10.1109/ACCESS.2020.2992807.


 แหล่งข้อมูลอื่น 

Social Engineering Fundamentals – Securityfocus.com. Retrieved 3 August 2009.

Should Social Engineering be a part of Penetration Testing? – Darknet.org.uk. Retrieved 3 August 2009.
"Protecting Consumers' Phone Records", Electronic Privacy Information Center US Committee on Commerce, Science, and Transportation. Retrieved 8 February 2006.
Plotkin, Hal. Memo to the Press: Pretexting is Already Illegal. Retrieved 9 September 2006.
หมวดหมู่:การเสแสร้ง
หมวดหมู่:อาชญากรรมไซเบอร์
หมวดหมู่:หน้าที่มีการแปลที่ยังไม่ได้ตรวจทาน