១. តើអ្វីទៅជាការវាយប្រហារ Social Engineering?
សម្រាប់ការវាយប្រហារ Social Engineering នេះ អ្នកវាយប្រហារបានប្រើប្រាស់ការទំនាក់ទំនងរបស់មនុស្ស ដើម្បីទទួល ឬលួចព័ត៌មានអំពីស្ថាប័ន ឬប្រព័ន្ធកុំព្យូទ័ររបស់ស្ថាប័ននោះ។ អ្នកវាយប្រហារអាចមើលទៅដូចជាមនុស្សធម្មតា និងមិនគួរឲ្យសង្ស័យឡើយ ដែលអាចជាបុគ្គលិកថ្មី អ្នកជួសជុល ឬអ្នកស្រាវជ្រាវ និងថែមទាំងមានលិខិតបញ្ជាក់អត្តសញ្ញាណក្នុងការបញ្ជាក់អត្តសញ្ញាណគេផងដែរ។ ទោះជាយ៉ាងណា តាមរយៈការសួរសំនួរមួយចំនួន ពួកគេអាចមានសម្ថភាពក្នុងការប្រមូលព័ត៌មានបានគ្រប់គ្រាន់ដើម្បីធ្វើការជ្រៀតចូលទៅក្នុងបណ្ដាញរបស់ស្ថាប័ននោះបាន។ ហើយប្រសិនបើពួកគេមិនអាចប្រមូលព័ត៌មានបានគ្រប់គ្រាន់ពីប្រភពណាមួយនោះទេ ពួកគេអាចធ្វើការទាក់ទងទៅប្រភពព័ត៌មានមួយផ្សេងទៀតនៅក្នុងស្ថាប័នដដែលនោះ ដោយពឹងផ្អែកលើព័ត៌មានដែលបានមកពីប្រភពដំបូងដើម្បីឲ្យមានភាពច្បាស់លាស់ និងជឿជាក់បាន។
២. តើអ្វីទៅជា Phishing Attacks?
Phishing គឺជាទម្រង់នៃ Social Engineering។ Phishing Attacks ប្រើប្រាស់អ៊ីម៉ែល ឬវេបសាយក្លែងបន្លំដើម្បីប្រមូលព័ត៌មានដោយការបន្លំជាអ៊ីម៉ែល ឬវេបសាយរបស់ស្ថាប័នណាមួយដែលយើងទុកចិត្ត។ ឧទាហរណ៍ អ្នកវាយប្រហារអាចបន្លំជាអ៊ីម៉ែលរបស់ធនាគាល្បីៗ ឬស្ថាប័នហិរញ្ញវត្ថុហើយផ្ញើរទៅកាន់អ្នកប្រើប្រាស់ដើម្បីស្នើរសុំព័ត៌មានពីគណនីរបស់អ្នកប្រើប្រាស់ ដែលជារឿយៗពួកគេបានប្រាប់ថាគណនីរបស់អ្នកប្រើប្រាស់មានបញ្ហា។ នៅពេលដែលអ្នកប្រើប្រាស់ធ្វើការបំពេញតាមការស្នើរសុំព័ត៌មាននោះ អ្នកវាយប្រហារអាចប្រើវាដើម្បីចូលទៅក្នុងគណនីរបស់អ្នកបានតែម្ដង។
Phishing Attacks នេះអាចបង្ហាញខ្លួនជាសារអ៊ីម៉ែល ឬវេបសាយដែលជារបស់ស្ថាប័នជាច្រើនប្រភេទទៀត ដែលអាចបន្លំជា មូលនិធិសប្បុរសធម៌ជាដើម។ អ្នកវាយប្រហារតែងតែទាញយកផលប្រយោជន៍ពីព្រឹត្តិការណ៍នានាដែលកើតឡើងក្នុងពេលថ្មីៗ និងពេលវេលាដែលជាក់លាក់ណាមួយប្រចាំឆ្នាំ ដូចជា៖
- គ្រោះធម្មជាតិ (ឧ. ព្យុះ Katrina, រលកយក្សសូណាមិនៅប្រទេសឥណ្ឌូនេស៊ី)
- ការរាតត្បាត និងជំងឺដែលគួរឲ្យភ័យខ្លាច (ឧ. H1N1)
- បញ្ហាសេដ្ឋកិច្ច (ឧ.ការបោកប្រាស់ IRS)
- កិច្ចប្រជុំ កំពូល នៃ គណៈកម្មការ ទន្លេមេគង្
- ការបោះឆ្នោតនយោបាយសំខាន់ៗ
- ពិធីបុណ្យផ្សេងៗ
៣. តើអ្នកអាចការពារខ្លួនពីការវាយប្រហារនេះតាមរបៀបណា?
- ត្រូវមានការប្រុងប្រយ័ត្នពីការហៅទូរស័ព្ទ ឬការផ្ញើរសារអេឡិចត្រូនិចដែលសួរនាំអំពីបុគ្គលិក ឬព័ត៌មានផ្ទៃក្នុងរបស់ស្ថាប័ន។ ប្រសិនបើមានជនអនាមិកអះអាងថាមកពួកគាត់ពីអង្គការស្របច្បាប់ណាមួយនោះ សូមធ្វើការព្យាយាមផ្ទៀងផ្ទាត់អត្តសញ្ញាណរបស់គាត់ជាមួយក្រុមហ៊ុន ឬអង្គការរបស់ពួកគាត់ដោយផ្ទាល់។
- សូមកុំផ្តល់ព័ត៌មានផ្ទាល់ខ្លួន ឬព័ត៌មានអំពីស្ថាប័នរបស់អ្នករួមទាំងរចនាសម្ព័ន្ធ ឬបណ្តាញរបស់ស្ថាប័នរបស់អ្នកទៅអោយបុគ្គលណាមួយអោយសោះ លុះត្រាតែអ្នកប្រាកដថាបុគ្គលម្នាក់នោះមានសិទ្ធិ ឬមានការអនុញ្ញាតត្រឹមត្រូវដើម្បីទទួលបានព័ត៌មានទាំងនោះ។
- សូមកុំបង្ហាញព័ត៌មានផ្ទាល់ខ្លួន ឬព័ត៌មានហិរញ្ញវត្ថុនៅក្នុងអ៊ីម៉ែល ហើយកុំឆ្លើយតបទៅនឹងអ៊ីម៉ែលដែលបានស្នើសុំព័ត៌មានទាំងនោះ។ រួមទាំងអ៊ីម៉ែលដែលមានតំណភ្ជាប់ដែលបានផ្ញើទៅកាន់អ៊ីម៉ែលរបស់អ្នក។
- សូមកុំផ្ញើរព័ត៌មានសំខាន់ៗតាមរយៈអ៊ីនធឺណេត ដោយមិនបានពិនិត្យមើលសុវត្ដិភាពរបស់វេបសាយទាំងនោះ។ (សូមចូលមើល Protecting Your Privacy សម្រាប់ព័ត៌មានបន្ថែម)
- សូមធ្វើការយកចិត្តទុកដាក់ចំពោះ URL របស់វេបសាយនីមួយៗ វេបសាយដែលក្លែងបន្លំអាចមើលទៅមានលក្ខណៈដូចគ្នាបេះបិតទៅនិងវេបសាយពិតប្រាកដ ប៉ុន្តែ URL អាចនិងមានអក្ខរាវិរុទ្ធខុសគ្នា ឬប្រើប្រាស់ domain ផ្សេងគ្នា។ (ឧ. .com vs. .net)។
- ប្រសិនបើអ្នកមិនច្បាស់ថាអ៊ីម៉ែលដែលបានស្នើសុំព័ត៌មានទាំងនោះជាអ៊ីម៉ែលពិតប្រាកដ ឬក្លែងបន្លំនោះ សូមព្យាយាមធ្វើការផ្ទៀងផ្ទាត់ដោយទំនាក់ទំនងទៅកាន់ក្រុមហ៊ុននោះដោយផ្ទាល់។ សូមកុំប្រើព័ត៌មានទំនាក់ទំនងដែលបានផ្ដល់នៅក្នុងវេបសាយនោះអោយសោះ សូមស្វែងរកព័ត៌មានសម្រាប់ទំនាក់ទំនងដែលមានពីមុនមកសម្រាប់ទាក់ទង។ ព័ត៌មានអំពី phishing attacks ក៏មាននៅក្នុងអ៊ីនធឺណេត ដូចជាក្រុមការងារប្រឆាំងនិងការក្លែងបន្លំ(Anti-Phishing Working Group)។
- ដំឡើង និងផ្គត់ផ្គង់កម្មវិធីកម្ចាត់មេរោគ ជញ្ជាំងភ្លើង(firewalls) និង email filters ដើម្បីកាត់បន្ថយចរាចរអ៊ីម៉ែលមួយចំនួន។ (សូមពិនិត្យមើល Understanding Firewalls, Understanding Anti-Virus Software និង Reducing Spam សម្រាប់ព័ត៌មានបន្ថែម)
- ទាញយកផលប្រយោជន៍ពីលក្ខណៈពិសេសនៃការប្រឆាំងការបន្លំ (anti-phishing) ណាមួយដែលបានផ្ដល់ដោយកម្មវិធីអ៊ីម៉ែលរបស់អ្នក និងទាញយកពីអ៊ីនធឺណេត។
៤. តើអ្នកត្រូវធ្វើអ្វីខ្លះប្រសិនបើគិតថាខ្លួនក្លាយជាជនរងគ្រោះ?
- ប្រសិនបើអ្នកគិតថាអ្នកប្រហែលជាបានបង្ហាញព័ត៌មានសំខាន់អំពីស្ថាប័នរបស់អ្នក សូមរាយការណ៍ទៅកាន់មនុស្សដែលសមស្របនៅក្នុងស្ថាប័នដែលរួមមានអ្នកគ្រប់គ្រងប្រព័ន្ធផងដែរ។ ដូច្នេះពួកគេអាចធ្វើការប្រុងប្រយ័ត្នចំពោះសកម្មភាពដែលគួរឲ្យសង្ស័យ ឬមិនធម្មតាណាមួយ។
- ប្រសិនបើអ្នកគិតថាគណនីហិរញ្ញវត្ថុរបស់អ្នកអាចនិងមានអ្នកលួចប្រើប្រាស់ សូមទាក់ទងទៅកាន់ស្ថាប័នហិរញ្ញវត្ថុរបស់អ្នកភ្លាមៗ ហើយបិទគណនីទាំងឡាយដែលត្រូវបានគេលួចនោះ។ សង្កេតមើលរាល់ការចំណាយដែលអ្នកមិនបានដឹងនៅក្នុងគណនីរបស់អ្នក។
- សូមផ្លាស់ប្ដូរពាក្យសម្ងាត់ភ្លាមៗដែលអ្នកគិតថាអាចនិងមានអ្នកដឹង។ ប្រសិនបើអ្នកប្រើពាក្យសម្ងាត់ដដែលៗសម្រាប់គណនីច្រើន សូមប្រាកដថាអ្នកបានផ្លាស់ប្ដូរពាក្យសម្ងាត់សម្រាប់គណនីនីមួយៗខុសៗគ្នា ហើយសូមកុំប្រើពាក្យសម្ងាត់នោះនៅពេលក្រោយទៀត។
- សូមតាមដានសញ្ញាផ្សេងៗទៀតនៃការលួចអត្តសញ្ញាណ។ (សូមចូលមើល Preventing and Responding to Identity Theft សម្រាប់ព័ត៌មានបន្ថែម)
- ពិចារណាក្នុងការរាយការណ៍អំពីការវាយប្រហារទៅប៉ូលីស ហើយដាក់របាយការណ៍ជាមួយនិងគណៈគម្មការសហព័ន្ធពាណិជ្ជកម្ម ។
៥. វេបសាយពាក់ព័ន្ធ
https://www.us-cert.gov/ncas/tips/ST04-014
***Disclaimer: CamCERT own some of the content. Our purpose is pure to help spread the awareness, tips or other information related to security to everyone. Even though every information is true, accurate, completed and appropriate, we make no responsibility nor warranty since everything could go wrong.
