fbpx

Whaling phishing คืออะไร

Whaling phishing คืออะไร

27 Jan Whaling phishing คืออะไร

Posted at 10:34h in IT Security, Security, Security & Hacking, Technology News by
0 Likes

Whaling phishing คืออะไร

 

 

Whaling phishing หรือที่เรียกว่า Business Email Compromise (BEC) เป็นการโจมตีผ่านทางไซเบอร์ประเภทหนึ่งมุ่งเป้าไปที่พนักงานระดับสูง โดยเฉพาะประธานฝ่ายบริหารหรือฝ่ายการเงิน เพื่อขโมยข้อมูลที่ละเอียดอ่อน และส่งผลกับองค์กร  

 

คำว่า “Whaling phishing” ถูกใช้เนื่องจากผู้โจมตีมักกำหนดเป้าหมายไปที่บุคคลระดับผู้บริหารขององค์กรขนาดใหญ่ ซึ่งบางครั้งเรียกว่า “ปลาใหญ่” หรือ “ปลาวาฬ”   

การโจมตีเหล่านี้มักดำเนินการผ่านทางอีเมล แต่ก็สามารถทำได้ผ่านข้อความทางมือถือ ผู้โจมตีมักจะใช้ข้อมูลที่เผยแพร่แบบสาธารณะอยู่ในเว็บหรือสื่อสังคมออนไลน์ เพื่อค้นหาเป้าหมายและสร้างข้อความที่น่าเชื่อถือขึ้นมาหลอกลวงเพื่อเข้าถึงข้อมูล 

  

Whaling phishing อันตรายแค่ไหน 

 

Whaling phishing อาจส่งผลให้เกิดความสูญเสียทางการเงินอย่างร้ายแรงสำหรับองค์กรและบุคคลทั่วไปได้ ยิ่งถ้าเจอผู้โจมตีที่มีแรงจูงใจสูงและได้รับการสนับสนุนอย่างดี  อาจใช้กลวิธีที่ซับซ้อนเพื่อหลบเลี่ยงการตรวจจับ ในบางเคสอาจใช้มัลแวร์หรือเครื่องมืออื่น ๆ เพื่อเข้าถึงเครือข่ายขององค์กรและขโมยข้อมูลสำคัญออกไป 

 

ความเสียหายที่เกิดจากการโจมตีแบบ Whaling phishing สามารถเกิดขึ้นได้ทั้งทางตรงและทางอ้อม การสูญเสียโดยตรงรวมถึงการสูญเสียทางการเงินที่เกิดจากการโอนเงินผ่านธนาคารโดยไม่ได้รับอนุญาต หรือเป็นเหตุให้เงินถูกขโมยออกไปจากบัญชี ส่วนการสูญเสียทางอ้อมอาจรวมถึงค่าใช้จ่ายในการกู้คืนระบบหรือเครือข่าย  ค่าใช้จ่ายด้านการดำเนินการทางกฎหมาย ค่าไกล่เกลี่ย และค่าใช้จ่ายในการจัดการแก้ไขปัญหาและความเสียหายเกิดขึ้นกับชื่อเสียงขององค์กร 

 

ลักษณะที่อันตรายที่สุดของ Whaling phishing คือ การหลอกลวงที่เข้าถึงข้อมูลของผู้บริหาร แล้วส่งอีเมลในนามนั้นสร้างความหวาดวิตกจนเหยื่อในองก์กรคล้อยตาม มักตรวจจับได้ยากและกว่าจะรู้ตัวก็สายไปเสียแล้ว เพราะจะมีการหลอกล่อให้บุคคลเปิดเผยข้อมูลส่วนตัวหรือข้อมูลองค์กรผ่านการใช้เทคนิค Social Engineering การปลอมแปลงอีเมล และการพยายามปลอมแปลงเนื้อหา ตัวอย่างเช่น ผู้โจมตีวางตัวให้มีความน่าเชื่อถือ ส่งอีเมลถึงเหยื่อ รวมถึงเว็บไซต์ที่เป็นอันตรายซึ่งสร้างขึ้นโดยเฉพาะสำหรับการโจมตีนี้ 

 

อีกวิธียอดนิยม คือ ผู้โจมตีจะส่ง URL หรือไฟล์แนบ โดยจงใจให้เหยื่อคลิก จากนั้นเครื่องของเหยื่อก็จะติดมัลแวร์ หรือผู้โจมตีทำการร้องขอข้อมูลที่ละเอียดอ่อน โดยใช้วิธีชักจูงให้เหยื่ออนุมัติการโอนเงินผ่านธนาคารโดยใช้เทคนิค Business Email Compromise (BEC) ในบางกรณี ผู้โจมตีจะปลอมตัวเป็น CEO หรือเจ้าหน้าที่ขององค์กรอื่น เพื่อโน้มน้าวให้พนักงานดำเนินการโอนเงิน 

 

บริษัทใดที่ได้รับความเสียหายจาก Whaling phishing บ้าง 

 

บริษัทและองค์กรหลายแห่งได้รับผลกระทบจาก Whaling phishing ซึ่งส่งผลให้บางรายสูญเสียเงินหลายล้านดอลลาร์ ตัวอย่างร้ายแรงที่บางบริษัทได้รับผลกระทบนั้นได้แก่ 

 

  • UGL Limited บริษัทวิศวกรรมในเครือของออสเตรเลียได้สูญเสียเงิน 40 ล้านดอลลาร์ออสเตรเลีย (28.5 ล้านเหรียญสหรัฐ) จากการโจมตีผ่านทางอีเมล (BEC) ในปี 2019 
  • เมืองโอเชียนไซด์ในแคลิฟอร์เนียสูญเสียเงิน 3.3 ล้านดอลลาร์จาก Whaling phishing ในปี 2018 
  • บริษัทภาพยนตร์สัญชาติยุโรป Pathé ถูกโจมตีและสูญเสียเงินจำนวน 21.5 ล้านดอลลาร์จากการโจมตีแบบ Whaling phishing ส่งอีเมลปลอมถึง CEO และ CFO พร้อมคำขอสำหรับการทำธุรกรรมทางการเงินที่เป็นความลับ แม้จะดูเหมือนเป็นสัญญาณเตือนว่าผิดปกติ แต่ CEO และ CFO ก็โอนเงินราวๆ 800,000 ดอลลาร์ให้กับผู้โจมตี เรื่องนี้เกิดขึ้นในปี 2018 
  • เกิดข่าวใหญในปี 2016 พนักงานของ Seagate ส่งอีเมลข้อมูลภาษีเงินได้ของพนักงานทั้งในอดีตและปัจจุบันไปยังบุคคลที่สามโดยไม่ได้รับอนุญาต หลังจากรายงานการหลอกลวงแบบ phishing กับ Internal Revenue Service (IRS) และ FBI แล้ว มีการประกาศว่าข้อมูลส่วนบุคคลของผู้คนหลายพันคนถูกเปิดเผยในการโจมตีครั้งนั้นด้วย  
  • PwC บริษัทผู้ให้บริการระดับมืออาชีพระดับโลก รายงานว่าการโจมตี BEC และ EAC (Email Account Compromise – การโจมตีและแฮกบัญชีเป็นรายบุคคล) ทำให้เกิดความเสียหายทางทรัพย์สินถึง 5.3 พันล้านดอลลาร์ทั่วโลกตั้งแต่ปี 2016 

 

ตัวอย่างเหล่านี้แสดงให้เห็นว่า ไม่มีบริษัทใดรอดพ้นจากการโจมตีแบบ Whaling phishing และสิ่งเหล่านี้สามารถเกิดขึ้นได้กับทุก ๆ องค์กรโดยไม่คำนึงถึงขนาดหรือประเภทอุตสาหกรรม  

  

วิธีป้องกัน Whaling phishing สำหรับองค์กร 

 

การป้องกันการโจมตีแบบ Whaling phishing อาจต้องใช้ทั้งมาตรการทางเทคนิคและแนวทางในการปฏิบัติร่วมกัน สามารถทำได้ดังนี้ 

 

1. ใช้การยืนยันตัวตนแบบหลายปัจจัย 

กำหนดให้พนักงานแสดงการยืนยันตัวตนหลายรูปแบบ เช่น รหัสผ่านและลายนิ้วมือหรือรหัสที่ส่งไปยังอุปกรณ์มือถือ สามารถช่วยป้องกันการเข้าถึงบัญชีอีเมล และระบบที่ละเอียดอ่อนอื่น ๆ โดยไม่ได้รับอนุญาต 

 

2. ใช้การกรองและตรวจสอบอีเมล 

ใช้เครื่องมือกรองและตรวจสอบอีเมลเพื่อตรวจหาและบล็อกอีเมลที่น่าสงสัย รวมถึงอีเมลที่มีมัลแวร์หรือลิงก์ฟิชชิง 

 

3. ฝึกอบรมพนักงานเกี่ยวกับความตระหนักด้านความปลอดภัย 

จัดให้มีการฝึกอบรมความตระหนักด้านความปลอดภัยอย่างสม่ำเสมอแก่พนักงาน เพื่อช่วยให้พวกเขาระบุและหลีกเลี่ยงความพยายามในการโจมตี สิ่งสำคัญคือพนักงานต้องเข้าใจว่า การพยายามฟิชชิงมีลักษณะอย่างไรและควรจะรายงานเหตุการณ์นี้อย่างไร 

  

4. ใช้กระบวนการที่เข้มงวดในการโอนเงินผ่านธนาคาร 

ตั้งค่ากระบวนการและขั้นตอนที่เข้มงวดสำหรับการโอนเงินผ่านธนาคารขององค์กร เช่น ต้องมีการยืนยันด้วยวาจา คำขอโอนเงินผ่านธนาคาร และการใช้กระบวนการอนุญาตร่วมกัน 

 

5. ตรวจสอบความปลอดภัยเป็นประจำ 

ดำเนินการตรวจสอบความปลอดภัยของระบบและเครือข่ายของบริษัทของคุณเป็นประจำ เพื่อระบุและแก้ไขช่องโหว่ 

  

6. มีแผนสำรองเพื่อรับมือเหตุการณ์ไม่คาดฝัน 

ควรมีแผนรับมือเหตุการณ์ร้ายแรงที่อาจเกิดขึ้นและตรวจสอบให้แน่ใจว่า พนักงานทุกคนรู้ว่าต้องทำอย่างไรในกรณีที่เกิดเหตุการณ์ด้านความปลอดภัยขึ้น 

  

สิ่งที่ใช้เป็นตัวบ่งชี้ของอีเมล phishing สามารถสังเกตได้จาก: 

 

  • ชื่อที่แสดงหรือชื่อโดเมนที่สะกดแตกต่างเพียงเล็กน้อยจากชื่ออีเมลที่เชื่อถือ 
  • ภาษาและเนื้อหาอีเมลอาจจะมีคำสะกดผิด มี Link ที่น่าสงสัย และประกอบด้วยคำขอให้โอนเงินหรือขอข้อมูลภายในองค์กร 
  • อายุโดเมนไม่ตรงกับอายุโดเมนของผู้ติดต่อที่เชื่อถือได้ 

 

การป้องกันการโจมตีแบบ Whaling phishing เป็นกระบวนการที่ต้องใช้ความระมัดระวังอย่างต่อเนื่อง และควรอัปเดตการควบคุมความปลอดภัยของคุณเป็นประจำ ด้วยการทำตามขั้นตอนเหล่านี้เพื่อปกป้องความเสียหาย และช่วยลดความเสี่ยงของการโจมตีที่อาจเกิดขึ้น 

 

สิ่งสำคัญสำหรับองค์กรคือ ต้องมีนโยบายความปลอดภัยที่รัดกุม มีการสื่อสารที่ดี จัดให้มีการฝึกอบรมด้านความปลอดภัยอย่างสม่ำเสมอแก่พนักงาน และระมัดระวังเกี่ยวกับอีเมลที่น่าสงสัยหรือคำขอข้อมูลที่ละเอียดอ่อน เพื่อช่วยเสริมเกราะป้องกันอีกชั้นต่อการโจมตีประเภทนี้ 

 

อ้างอิงจาก www.cyfence.com 

Whaling phishing คืออะไร

About Matana Wiboonyasake

Digital Marketing Executive | Aware Group ตั้งใจที่จะส่งมอบเนื้อหาที่เป็นประโยชน์ เขียนให้อ่านง่ายและเข้าใจง่าย แม้ผู้ที่ไม่มีความรู้ทางด้านเทคโนโลยีมาก่อนก็สามารถศึกษาร่วมกันได้ ยินดีที่จะนำเสนอเรื่องราวน่าสนใจด้านเทคโนโลยี มาร่วมเรียนรู้ด้วยกันนะคะ