การหลอกลวงผ่านอีเมลแบบธุรกิจหรือ BEC หมายถึงการโจมตีทั้งหมดที่ใช้อีเมลโดยไม่มีข้อมูลอันตรายแนบมาด้วย แม้จะมีหลายรูปแบบมาก แต่ก็จัดออกมาได้เป็นสองกลุ่มตามกลไกที่ใช้แทรกซึมองค์กร ได้แก่ การแกล้งปลอมเป็นคนอื่น และการแฮ็กบัญชีเป็นคนในองค์กรเลย
จากผลการศึกษาล่าสุด พบว่ามีองค์กรกว่า 71% เคยได้รับอีเมลหลอกลวงทางธุรกิจแบบนี้ในช่วงปีที่ผ่านมา ขณะที่ 43% เคยโดนโจมตีทางไซเบอร์ลักษณะนี้สำเร็จ แถมมีถึง 35% ที่เคยโดน BEC หรือฟิชชิ่งโจมตีบัญชีมากกว่า 50% ของการโจมตีที่เคยโดน
นอกจากนี้ รายงานของศูนย์รับเรื่องร้องเรียนด้านอาชญากรรมบนอินเทอร์เน็ต (IC3) ของ FBI ยังระบุด้วยว่า การหลอกลวงแบบ BEC ถือเป็นการโจมตีทางไซเบอร์ที่สร้างมูลค่าความเสียหายหนักมากที่สุดในปี 2020
โดยมีการร้องเรียนเข้ามามากถึง 19,369 ครั้ง รวมมูลค่าความเสียหายรวมทั้งหมดประมาณสูงถึง 1.8 พันล้านดอลลาร์สหรัฐฯ อย่างครั้งล่าสุดที่มีการโจมตีแบบ BEC ไปที่เจ้าของรายการ Shark Tank อย่าง Barbara Corcoran ที่เสียเงินไปถึง 380,000 ดอลลาร์ฯ
หรือที่ผ่านมาที่โดนเล่นงานสูงเป็นประวัติการณ์ก็ได้แก่ การโจมตีรัฐบาลเปอร์โตริโก้ที่เสียหายหนักถึง 4 ล้านดอลลาร์ฯ หรือแม้แต่ยักษ์ใหญ่ด้านสื่อของญี่ปุ่นอย่าง Nikkei ที่เคยหลงโอนเงินมากถึง 29 ล้านดอลลาร์ฯ ตามขั้นตอนที่เขียนในเมลหลอกลวง
ดังนั้น การต่อกรกับการโจมตีแบบ BEC องค์กรจะต้องให้ความสำคัญตามหลักสามเหลี่ยมทองคำ (Golden Triangle) ทั้งด้านคน กระบวนการ และเทคโนโลยี ซึ่งในแต่ละด้านมีแนวทางการปฏิบัติที่ดีที่สุดที่ควรทำดังต่อไปนี้
กระบวนการ
ด้านกระบวนการนั้น หน่วยงานด้านการเงินในทุกองค์กรต่างมีนโยบายด้านการสั่งจ่ายเงินอยู่แล้ว ที่อธิบายชัดเจนถึงระดับสิทธิ์ในการตรวจปล่อยการชำระเงินต่างๆ เพื่อปกป้องทรัพย์สินของบริษัท ซึ่งทุกรายจ่ายก็ควรอยู่ภายใต้งบประมาณที่เคยผ่านการพิจารณามาแล้ว
นโยบายนี้ถือเป็นเครื่องมือสำหรับฝ่ายการเงินเพื่อให้แน่ใจว่าทุกรายจ่ายได้ผ่านการอนุญาตโดยบุคคลที่มีสิทธิ์ที่ถูกต้อง อิงตามมูลค่าของรายจ่ายนั้นๆ ในบางกรณ๊ ซีอีโอหรือประธานบริษัทสามารถสั่งจ่ายเงินได้แบบไม่มีลิมิต
ซึ่งเหล่าอาชญากรไซเบอร์ล้วนเข้าใจถึงหลักการนี้ จึงพยายามปลอมเป็นบัญชีอีเมลของคนที่มีอำนาจระดับสูงในองค์กร ดังนั้นในการปราบปรามขบวนการเหล่านี้ ฝ่ายการเงินจำเป็นต้องวางกระบวนการให้เข้มงวดมากขึ้น
บุคลากร
สำหรับในด้านของตัวบุคคลนั้น เราต้องฝึกอบรมพนักงานทุกคนในบริษัทให้เข้าใจถึงรูปแบบการโจมตีทางไซเบอร์แบบนี้ อะไรคือสิ่งที่ควรทำ อะไรที่ไม่ควรทำ ซึ่งการฝึกอบรมนี้ควรจัดขึ้นอย่างต่อเนื่องเพื่อไล่ตามการเปลี่ยนแปลงของโลกความปลอดภัยทางไซเบอร์ให้ทัน
พนักงานของฝ่ายการเงินเอง หรือคนที่มีอำนาจในการสั่งจ่ายเงินก็ควรได้รับการอบรมให้เข้าใจลักษณะการโจมตีแบบ BEC หรือการโจมตีแบบหลอกลวงอื่นๆ ด้วย ยิ่งการโจมตีเหล่านี้มักอยู่ในรูปอีเมลที่ดูเหมือนมาจากผู้บริหารระดับสูง
ผู้โจมตีจึงมักใช้มุกว่า “ด่วน” โดยกะเวลาส่งแบบเหลือเวลาไม่เท่าไรก่อนที่จะปิดดีลธุรกิจที่ต้องการการสั่งจ่ายเงินทันที การฝึกอบรมนี้จำเป็นมากแม้หลายบริษัทซื้อประกันที่ป้องกันความเสียหายจาก BEC เนื่องจากที่ผ่านมาเอาแน่เอานอนกับการชดเชยความเสียหายจากประกันไม่ได้เลย
เทคโนโลยี
ในด้านสุดท้ายคือด้านเทคโนโลยีนั้น การใช้เทคโนโลยีด้านความปลอดภัยทางไซเบอร์ขั้นสูงแบบ Next-Gen นั้นจะช่วยป้องกันอันตรายที่มาจากอีเมลต่างๆ ที่รวมทั้งสแปม ฟิชชิ่ง BEC และการโจมตีอื่นๆ ที่คล้ายกันได้
รวมไปถึงอันตรายแบบเจาะจงต่อเนื่องขั้นสูง (APT) และการโจมตีที่เน้นช่องโหว่แบบ Zero-day ที่ช่วยสกัดกั้นก่อนมาถึงผู้ใช้ปลายทางได้ โดยโซลูชั่นเหล่านี้ได้แก่เอนจิ้นแอนติสแปมที่ปิดการสื่อสารที่เป็นอันตรายด้วยตัวกรองความน่าเชื่อถือ หรือเอนจิ้นแอนตี้ฟิชชิ่งที่ตรวจจับ URL อันตราย ป้องกันการโจมตีแบบฟิชชิ่งไม่ให้เข้าถึงตัวผู้ใช้ ไปจนถึงเอนจิ้นป้องกันการปลอมแปลงหรือ Anti-Spoofing ที่ป้องกันการโจมตีที่ไม่ได้อาศัยข้อมูลอันตรายให้ตรวจจับได้ง่าย
การโจมตีแบบปลอมแปลงดังกล่าวอาทิเช่น การปลอมโดเมนที่หน้าตาคล้ายกัน ปลอมชื่อที่แสดงขึ้น เป็นต้น นอกจากนี้ยังมีเทคโนโลยีป้องกันการบุกรุกที่ตรวจจับคอนเทนต์อันตรายที่ซ่อนอยู่ ด้วยการแยกส่วนคอนเทนต์ออกเป็นส่วนย่อยๆ เพื่อตรวจสอบอย่างละเอียดด้วย
ที่มา : THN
