เทรนด์ภัยคุกคามทางไซเบอร์ในปีนี้กำลังเปลี่ยนไป โดยใช้วิธีการลงทุนที่น้อยแต่ได้ผลตอบแทนจากการโจรกรรมอย่างสูงสุด โดยมีเป้าหมายสำคัญที่สถาบันทางการเงิน และระบบชำระเงินต่างๆ องค์กรและผู้ใช้งานต้องสร้างการเรียนรู้เพื่อเตรียมความพร้อมในการรับมือมากยิ่งขึ้น
ยศ กิมสวัสดิ์ ประธานสำนักระบบการชำระเงิน สมาคมธนาคารไทย
สุรางคณา วายุภาพ ผู้อำนวยการสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (องค์การมหาชน) ผู้ดูแลหน่วยงานไทยเซิร์ต
ภัยคุกคามไซเบอร์เปลี่ยนรูปแบบ แต่ยังเน้นโจมตีด้าน e-Payment
จากสถิติของศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ประเทศไทย หรือไทยเซิร์ต พบว่า ในช่วง 2 ปีที่ผ่านมา จำนวนภัยคุกคามทางไซเบอร์ที่ได้รับแจ้งเพิ่มขึ้นกว่า 150 เปอร์เซ็นต์ โดยโปรแกรมไม่พึงประสงค์ หรือ Malicious Code สูงสุดมีจำนวนกว่า 1,500 กรณี หรือกว่า 35 เปอร์เซ็นต์ ซึ่งถ้าเทียบในระดับโลกแล้ว ประเทศไทยอยู่ในท็อป 25 ในเรื่องนี้
ประกอบกับการจัดอันดับของไมโครซอฟท์และแคสเปอร์สกี้แลป ยังพบว่า มีภัยจากการหลอกลวง หรือ Fraud จำนวน 1,100 กรณี หรือ 26 เปอร์เซ็นต์ และการบุกรุกเจาะระบบได้สำเร็จ หรือ Intrusion จำนวน 1,000 กรณี หรือ 23 เปอร์เซ็นต์ตามลำดับ ส่งผลให้มีความเสี่ยงทางด้านอาชญากรรมไซเบอร์เป็นลำดับที่ 2 ของอาเซียน และลำดับที่ 33 จาก 250 ประเทศทั่วโลก
โดยรายงานของแคสเปอร์สกี้แลปได้คาดการณ์ว่า ปี 2016 นั้น ภัยคุกคามขั้นสูงแบบต่อเนื่อง หรือเอพีที (APTs -Advanced Persistent Threats) จะหายไป และจะถูกแทนที่ด้วยการโจมตีแบบฝังร่างที่ลึกล้ำกว่า ทำให้การตรวจจับและแกะรอยกลับไปหาอาชญากรยากขึ้น
ซึ่งทางไทยเซิร์ตได้ประเมินการโจมตีทางไซเบอร์ไว้ 3 ระดับ ได้แก่ การโจมตีระดับสูงต่อโครงสร้างพื้นฐานข้อมูลที่สำคัญ อาชญากรรมคอมพิวเตอร์ที่มุ่งเป้าที่หน่วยงาน และอาชญากรรมคอมพิวเตอร์ ที่มุ่งเน้นตัวบุคคล ส่งผลให้เป้าหมายหลักที่จะโจมตี ได้แก่ หน่วยงานรัฐบาล การศึกษา รวมถึงหน่วยงานยอดนิยมอย่างธนาคาร บริการทางการเงินอื่นๆ รวมถึงตลาดหลักทรัพย์ ก็ยังมีอัตราโจมตีเพิ่มขึ้นอย่างต่อเนื่อง
 |
ฉบับที่ 207 เดือนมีนาคมแพลตฟอร์มต่อไปของอีคอมเมิร์ซ |
ผู้ใช้งานทั่วไปตกเป็นเหยื่อ จากความรู้เท่าไม่ถึงการณ์
แน่นอนว่า ในส่วนของผู้ใช้งานจะเลือกบริการออนไลน์ในการทำธุรกรรมทางการเงินกับหน่วยงานที่มีความน่าเชื่อถือ และมีการจัดการความเสี่ยงเป็นอย่างดี โดยปัจจุบันธนาคารหลายแห่งมีวิธีตรวจสอบเพื่อยืนยันตัวตน โดยใช้อุปกรณ์ระบุตัวตนร่วมกับรหัสผ่าน ซึ่งจะกำหนดรหัสผ่านแบบใช้ครั้งเดียว ที่จะช่วยเพิ่มมาตรการรักษาความปลอดภัยได้ระดับหนึ่ง แต่อย่างไรก็ตามความก้าวหน้าของบรรดาแฮกเกอร์ก็สามารถหาวิธีการในการล้วงข้อมูลเหล่านี้ได้จากความรู้เท่าไม่ถึงการณ์
วิธีที่ได้รับความนิยมในการคุกคามความปลอดภัยของผู้ใช้งานคือ Spear Phishing ที่จะมุ่งเป้าไปที่ผู้ใช้งานโดยตรง อาจเป็นการส่งอีเมลหลอกลวงที่มีเนื้อหาเกี่ยวกับข้อมูลส่วนตัวของเหยื่อเพื่อสร้างความน่าเชื่อถือ ผู้ใช้จะถูกหลอกให้เปิดไฟล์อันตรายที่แนบมาหรือหลอกให้เข้าเว็บไซต์อันตรายที่สร้างขึ้นโดยผู้ไม่หวังดี โดยเป็นที่นิยมเนื่องจากข้อมูลส่วนตัวของผู้ใช้อินเทอร์เน็ตมักหาได้โดยง่ายจากการที่ผู้ใช้เปิดเผยข้อมูลส่วนตัวลงบนสื่อสังคมออนไลน์ และวิธีการขโมย SMS ในมือถือที่ใช้ในการยืนยันตัวตน 2 ขั้น (2-Step Verification) เช่น การขโมยรหัส OTP ที่เป็น SMS สำหรับใช้ล็อกอินบัญชีธนาคารออนไลน์จะพบเห็นได้มากขึ้น ผู้ใช้จะตกเป็นเหยื่อของแอพพลิเคชั่นบนโทรศัพท์มือถือที่หลอกลวงมากขึ้น เนื่องจากการกดยอมรับเงื่อนไขในการเข้าถึงข้อมูลของแอพพลิเคชั่นโดยไม่ได้ตรวจสอบอย่างละเอียด ซึ่งควรมีความพร้อมในการรับมือเบื้องต้นดังนี้
- ลงทุนใช้โซลูชั่นเพื่อความปลอดภัยกับดีไวซ์ทุกประเภท
- มองหาและใช้ตัวเลือกเสริมควบคู่ไปกับโซลูชั่น เพื่อความปลอดภัย เช่น Default Deny Execution Controls, Whitelisting, Encryption และ Automated Backups
- ศึกษาเรื่องความปลอดภัยไซเบอร์ขั้นพื้นฐาน และบอกต่อ
- เลือกใช้ช่องทางสื่อสารที่เข้ารหัส
- พิจารณานิสัยการใช้ชีวิตออนไลน์ของตนเอง และข้อมูลที่แชร์ออกไป
การขโมยรหัส OTP ที่เป็น SMS สำหรับใช้ล็อกอินบัญชีธนาคารออนไลน์จะพบเห็นได้มากขึ้น ผู้ใช้จะตกเป็นเหยื่อของแอพพลิเคชั่นบนโทรศัพท์มือถือที่หลอกลวงมากขึ้น เนื่องจากการกดยอมรับเงื่อนไขในการเข้าถึงข้อมูลของแอพพลิเคชั่นโดยไม่ได้ตรวจสอบอย่างละเอียด
จัดการระบบจัดเก็บข้อมูลที่ปลอดภัย เพื่อสร้างความมั่นใจให้ผู้ใช้งาน
ความน่าเชื่อถือขององค์กรมีส่วนต่อการดำเนินธุรกิจทางด้านการชำระเงินอย่างมาก โดยทั่วไปผู้ใช้บริการจะไม่สามารถรับรู้ข้อมูลระบบหลังบ้านขององค์กร แต่เมื่อเกิดความผิดพลาดขึ้นภาพลักษณ์จะเปลี่ยนไปและความน่าเชื่อถือจะลดลงอย่างรวดเร็ว ดังนั้นความสำคัญของผู้ประกอบการจะไม่ใช่แค่เพียงการให้บริการที่สะดวก ทันสมัย แต่ต้องมีความปลอดภัยมาเป็นลำดับแรก
ยศ กิมสวัสดิ์ ประธานสำนักระบบการชำระเงิน สมาคมธนาคารไทย กล่าวว่า อาชญากรรมไซเบอร์เป็นเรื่องที่ใกล้ตัว และน่ากลัวขึ้นเรื่อยๆ บรรดาผู้ให้บริการทั้งหลายต้องมีการคำนึงถึงความปลอดภัยที่มากยิ่งขึ้น โดยเฉพาะระบบการส่งต่อข้อมูลและพื้นที่เก็บข้อมูล โดยที่ผ่านมาการรักษาความปลอดภัยของผู้ให้บริการทางการเงินจะแบ่งออกเป็น 2 รูปแบบ ได้แก่ การสร้างแพลตฟอร์มเพื่อรักษาความปลอดภัยที่ทันสมัยครบวงจรและดูแลด้วยตนเอง หรือยกความเสี่ยงด้านความปลอดภัยให้กับระบบคลาวด์ที่เชื่อถือได้และมีความสามารถในการป้องกันรักษาความปลอดภัยในอนาคตได้ด้วย
ซึ่งส่วนใหญ่ของผู้ให้บริการในประเทศไทยเริ่มทยอยใช้งานในรูปแบบของคลาวด์ ทั้งรูปแบบส่วนตัวและบริการสาธารณะ โดยในหน่วยงานเกี่ยวกับระบบทางการเงินของต่างประเทศนิยมใช้วิธีการเลือกคลาวด์ที่มีความปลอดภัย Secure Information Systems Hosting (SISH) ที่เป็นแนวคิดการเลือกใช้ คลาวด์ให้มีความปลอดภัยมากกว่าปกติ โดยมีปัจจัยหลักในด้านการเก็บรักษาข้อมูลอย่างเป็นความลับ สามารถบริหารความเสี่ยงได้ สามารถตรวจสอบและมีรายงานสรุป รวมถึงมีมาตรการที่แน่นอนในกรณีฉุกเฉิน
สำหรับหน่วยงานที่ต้องการป้องกันและบริหารความเสี่ยงด้วยตัวเอง ต้องมีการคิดและใช้กลยุทธ์ด้านความปลอดภัยที่ครอบคลุม ตั้งแต่อันตรายที่คาดว่าจะเกิดขึ้น ความเสี่ยงในการป้องกันภัยคุกคามที่เกิดขึ้นต่อเนื่อง ซึ่งจะต้องมีระบบการตรวจจับและตอบสนองที่มีประสิทธิภาพ และพิจารณาสร้างศูนย์บริหารความปลอดภัยของตัวเอง เพื่อตรวจจับและจัดการได้ง่ายขึ้น
ทั้งนี้ นอกจากระบบป้องกันข้อมูลหลังบ้านที่ต้องมีความปลอดภัยอย่างมาก ปัจจัยสำคัญที่ต้องคำนึงถึงคือ การทำงานภายในองค์กร เนื่องจากสภาพแวดล้อมของการทำงานในปัจจุบัน พนักงานจะทำงานบนแอพพลิเคชั่นต่างๆ ขององค์กรเองและเข้าถึงข้อมูลที่สำคัญจากระบบเซิร์ฟเวอร์ และระบบคลาวด์ผ่านอุปกรณ์ทุกประเภท ซึ่งทำให้มีโอกาสสูงที่จะเป็นการเปิดช่องทางให้กับการโจมตีทางไซเบอร์ จึงต้องมีการให้ความรู้กับพนักงานทุกระดับ และจัดการองค์กรเกี่ยวกับเรื่องความปลอดภัยทางไซเบอร์ดังนี้
- เน้นให้ความรู้ด้านความปลอดภัยไซเบอร์แก่ พนักงาน
- เพิกเฉยต่อข้อขัดแย้งต่างๆ และเลือกใช้งาน โซลูชั่นปกป้องระดับเอ็นพอยต์ที่มีเลเยอร์พิเศษ
- อัพเดตแพทช์อุดช่องโหว่ล่วงหน้า อัพเดตบ่อย ครั้ง และตั้งให้อัพเดตอัตโนมัติ
- ใส่ใจทุกสิ่งที่เป็นโมบายล์
- เข้ารหัสช่องทางการสื่อสารและข้อมูลที่มีความ อ่อนไหว
- ปกป้องส่วนต่างๆ ของโครงสร้างไอที ทั้งเกตเวย์ อีเมล
“บริการ e-Payment ในประเทศไทยก็มีผู้ใช้บริการจำนวนมาก และเป็นลำดับต้นๆ ที่มีความเสี่ยงในการถูกโจมตี จากผลสำรวจการเกิดการโจรกรรมทางไซเบอร์พบว่า 76 เปอร์เซ็นต์ เกิดจากความผิดพลาดเล็กๆ น้อยๆ ทั้งตัวพนักงาน ระบบทำงานขององค์กร และตัวผู้ใช้งาน ซึ่งต้องตระหนักว่าการทำงานเกี่ยวกับการเงินเป็นเรื่องที่มีความละเอียดอ่อน สิ่งที่ควรทำคือ เรียนรู้การใช้งาน ศึกษาความเสี่ยง และเตรียมพร้อมป้องกันตัวเอง” ยศ กล่าว
