วิศวกรรมสังคม

คำจำกัดความแบบสั้น

วิศวกรรมสังคม (Social Engineering) คือวิธีการหลอกลวงที่ผู้โจมตีใช้ความไว้วางใจ ความอยากรู้อยากเห็น ความกลัว ความโลภ หรือความรู้สึกเร่งด่วนของมนุษย์ แทนที่จะอาศัยช่องโหว่ทางเทคนิคเพียงอย่างเดียว เพื่อชักจูงให้เทรดเดอร์เปิดเผยข้อมูลสำคัญ คลิกลิงก์อันตราย ติดตั้งซอฟต์แวร์ควบคุมระยะไกล หรือโอนเงินไปยังบัญชีที่กำหนด

ในบริบทการเงินและการเทรด วิศวกรรมสังคมไม่ใช่กลยุทธ์การเทรดที่ถูกต้องตามกฎหมาย แต่เป็นความเสี่ยงด้านอาชญากรรมไซเบอร์และการฉ้อโกงการลงทุนที่พบได้บ่อย เทรดเดอร์มือใหม่ควรระมัดระวังเป็นพิเศษ เพราะผู้โจมตีมักปลอมตัวเป็นฝ่ายบริการลูกค้าของโบรกเกอร์ แพลตฟอร์มเทรด หน่วยงานกำกับดูแล ผู้สอนการลงทุน หรือผู้ให้ “ข่าววงใน”

กลไกการทำงาน

วิศวกรรมสังคมมักดำเนินไปตามลำดับ “สร้างความไว้วางใจ—สร้างแรงกดดัน—ชักจูงให้ลงมือทำ” ดังนี้:

ประเด็นสำคัญคือ การโจมตีแบบวิศวกรรมสังคมมักไม่ดูเหมือน “การแฮ็ก” แต่ดูเหมือนการติดต่อฝ่ายบริการลูกค้าทั่วไป คำแนะนำการลงทุน หรือการแจ้งเตือนความปลอดภัยของบัญชี

สถานการณ์ที่พบบ่อยในการเทรด

1. ปลอมเป็นฝ่ายบริการลูกค้าของแพลตฟอร์ม

ผู้โจมตีอาจติดต่อเทรดเดอร์ผ่าน SMS อีเมล แอปแชต หรือโฆษณาบนเสิร์ชเอนจิน โดยอ้างว่าบัญชีมีความเสี่ยง ต้องยืนยันก่อนถอนเงิน หรือระบบอัปเกรดจึงต้องเข้าสู่ระบบใหม่ พร้อมแนบลิงก์ไปยังหน้าเข้าสู่ระบบปลอม เมื่อเทรดเดอร์กรอกชื่อผู้ใช้ รหัสผ่าน และรหัสยืนยัน บัญชีจริงอาจถูกยึดครองได้

2. “อาจารย์” ในกลุ่มลงทุนชักจูง

ในกลุ่มแชต ผู้ที่อ้างตัวเป็นอาจารย์อาจเริ่มจากการโพสต์มุมมองตลาดหรือภาพหน้าจอเพื่อสร้างความน่าเชื่อถือ จากนั้นชักชวนให้ผู้ใช้ฝากเงินหรือคัดลอกการเทรดบนแพลตฟอร์มที่กำหนด สถานการณ์เช่นนี้อาจเกี่ยวข้องกับแพลตฟอร์มเทรดปลอม การปั่นราคา หรือความเสี่ยงที่ไม่สามารถถอนเงินได้

3. กลโกงอ้างให้ความช่วยเหลือระยะไกล

ผู้โจมตีอาจอ้างว่าสามารถช่วยเปิดสิทธิ์การใช้งาน กู้คืนการถอนเงิน หรือปรับการตั้งค่าบัญชี แล้วขอให้ติดตั้งซอฟต์แวร์ควบคุมระยะไกล เมื่อเทรดเดอร์ให้สิทธิ์ อีกฝ่ายอาจมองเห็นรหัสยืนยัน แก้ไขข้อมูลบัญชี หรือเริ่มทำรายการโอนเงินได้

4. การหลอกเอาคีย์ส่วนตัวและวลีช่วยจำของสินทรัพย์คริปโต

ในการซื้อขายสินทรัพย์คริปโต บุคคลใดก็ตามที่ขอคีย์ส่วนตัว วลีช่วยจำ หรือข้อมูลสำรองกระเป๋าเงินควรถูกมองว่าเป็นความเสี่ยงสูง โดยทั่วไป แพลตฟอร์มซื้อขายหรือผู้ให้บริการกระเป๋าเงินที่ถูกต้องจะไม่ขอให้ผู้ใช้เปิดเผยข้อมูลเหล่านี้

ตัวอย่างแบบสั้น

เทรดเดอร์ฟอเร็กซ์มือใหม่ได้รับอีเมลที่ดูเหมือนมาจากโบรกเกอร์ หัวข้อระบุว่า “หลักประกันในบัญชีผิดปกติ กรุณายืนยันภายใน 30 นาที” ลิงก์ในอีเมลนำไปยังหน้าเว็บที่คล้ายเว็บไซต์จริงมาก และขอให้กรอกรหัสผ่านเข้าสู่ระบบกับรหัสยืนยันทาง SMS หลังจากเทรดเดอร์ส่งข้อมูล ผู้โจมตีใช้ข้อมูลดังกล่าวเข้าสู่บัญชีจริง เปลี่ยนช่องทางติดต่อ และพยายามโอนเงินออก

ความเสี่ยงหลักในตัวอย่างนี้ไม่ได้อยู่ที่การคาดการณ์ทิศทางราคา แต่อยู่ที่การปลอมตัว การสร้างความเร่งด่วน และการรั่วไหลของข้อมูลสำคัญ

แนวทางป้องกัน

• อย่าเข้าสู่บัญชีเทรดผ่านลิงก์ในอีเมล SMS หรือแอปโซเชียล: ควรพิมพ์ที่อยู่เว็บไซต์ทางการด้วยตนเอง หรือใช้แอปทางการที่บันทึกไว้แล้ว
• อย่าให้รหัสยืนยัน รหัสผ่าน คีย์ส่วนตัว วลีช่วยจำ หรือสิทธิ์ควบคุมระยะไกลแก่ผู้อื่น: แม้อีกฝ่ายจะอ้างว่าเป็นฝ่ายบริการลูกค้า เจ้าหน้าที่กำกับดูแล หรือนักวิเคราะห์ก็ตาม
• ตรวจสอบช่องทางการสื่อสาร: ยืนยันผ่านเบอร์โทรฝ่ายบริการลูกค้า ข้อความภายในแพลตฟอร์ม หรือช่องทางสนับสนุนในแอปทางการที่ประกาศไว้บนเว็บไซต์ของแพลตฟอร์ม
• ระวังคำพูดแบบ “ต้องทำภายในเวลาจำกัด” และ “รับประกันผลตอบแทน”: ผู้ให้บริการทางการเงินที่ถูกต้องโดยทั่วไปจะไม่ขอให้ผู้ใช้โอนเงินส่วนตัวผ่านแอปแชต หรือสัญญาผลตอบแทนที่ไม่มีความเสี่ยง
• เปิดใช้การยืนยันตัวตนหลายปัจจัย (MFA): แต่ต้องจำไว้ว่ารหัสยืนยันไม่ควรถูกส่งต่อให้บุคคลอื่น
• ตรวจสอบการตั้งค่าความปลอดภัยของบัญชีเป็นประจำ: รวมถึงอีเมลที่ผูกไว้ เบอร์โทรศัพท์ ที่อยู่สำหรับถอนเงิน สิทธิ์ API และอุปกรณ์ที่เคยเข้าสู่ระบบ
• หากพบความผิดปกติ ให้ระงับหรือแจ้งแพลตฟอร์มทันที: หากสงสัยว่าบัญชีถูกยึด ควรเปลี่ยนรหัสผ่าน ยกเลิกสิทธิ์ที่น่าสงสัย และติดต่อผู้ให้บริการผ่านช่องทางทางการ

ขอบเขตความเสี่ยงและการใช้งานที่เกี่ยวข้อง

ความเสี่ยงจากวิศวกรรมสังคมเกิดขึ้นได้กับหุ้น ฟอเร็กซ์ ฟิวเจอร์ส สัญญาซื้อขายส่วนต่าง (CFD) สินทรัพย์คริปโต และบริการการเงินออนไลน์อื่น ๆ ความเสี่ยงนี้แตกต่างจากความเสี่ยงด้านความผันผวนของราคาในตลาด แม้การวิเคราะห์การเทรดจะถูกต้อง บัญชีก็ยังอาจเสียหายได้หากข้อมูลยืนยันตัวตนหรือสิทธิ์การใช้งานถูกหลอกเอาไป

ควรสังเกตว่า ไม่ใช่ทุกกรณีของการขาดทุนหรือข้อพิพาทกับแพลตฟอร์มจะเป็นวิศวกรรมสังคม การพิจารณาควรดูว่ามีการปลอมตัว ลิงก์ปลอม การชักจูงให้เปิดเผยข้อมูล การโอนเงินส่วนตัว การควบคุมระยะไกล หรือคำขอเร่งด่วนที่ผิดปกติหรือไม่

คำศัพท์ที่เกี่ยวข้อง

• ฟิชชิง (Phishing): การใช้เอกสาร อีเมล เว็บไซต์ หรือข้อความปลอมเพื่อหลอกให้ผู้ใช้เปิดเผยข้อมูล
• การยืนยันตัวตนหลายปัจจัย (MFA): มาตรการความปลอดภัยของบัญชีที่เพิ่มขั้นตอนยืนยันเพิ่มเติมนอกเหนือจากรหัสผ่าน
• การยึดบัญชี (Account Takeover): การที่ผู้โจมตีได้สิทธิ์ควบคุมบัญชีและทำรายการโดยไม่ได้รับอนุญาต
• การหลอกลวงการลงทุน (Investment Scam): การชักจูงให้ลงทุนด้วยโอกาสปลอม คำสัญญาผลตอบแทน หรือการแอบอ้างเป็นผู้เชี่ยวชาญ
• มัลแวร์ (Malware): ซอฟต์แวร์ที่ใช้ขโมยข้อมูล ควบคุมอุปกรณ์จากระยะไกล หรือทำลายระบบ

แหล่งอ้างอิง

• https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks
• https://www.finra.org/investors/insights/phishing-scams
• https://www.sec.gov/oiea/investor-alerts-and-bulletins
• https://www.ftc.gov/business-guidance/small-businesses/cybersecurity/phishing
• https://www.investopedia.com/terms/s/social-engineering.asp