១. តើអ្វីទៅជាការវាយប្រហារ Social Engineering?
សម្រាប់ការវាយប្រហារ Social Engineering នេះ អ្នកវាយប្រហារបានប្រើប្រាស់ការទំនាក់ទំនងរបស់មនុស្ស ដើម្បីទទួល ឬលួចព័ត៌មានអំពីស្ថាប័ន ឬប្រព័ន្ធកុំព្យូទ័ររបស់ស្ថាប័ននោះ។ អ្នកវាយប្រហារអាចមើលទៅដូចជាមនុស្សធម្មតា និងមិនគួរឲ្យសង្ស័យឡើយ ដែលអាចជាបុគ្គលិកថ្មី អ្នកជួសជុល ឬអ្នកស្រាវជ្រាវ និងថែមទាំងមានលិខិតបញ្ជាក់អត្តសញ្ញាណក្នុងការបញ្ជាក់អត្តសញ្ញាណគេផងដែរ។ ទោះជាយ៉ាងណា តាមរយៈការសួរសំនួរមួយចំនួន ពួកគេអាចមានសម្ថភាពក្នុងការប្រមូលព័ត៌មានបានគ្រប់គ្រាន់ដើម្បីធ្វើការជ្រៀតចូលទៅក្នុងបណ្ដាញរបស់ស្ថាប័ននោះបាន។ ហើយប្រសិនបើពួកគេមិនអាចប្រមូលព័ត៌មានបានគ្រប់គ្រាន់ពីប្រភពណាមួយនោះទេ ពួកគេអាចធ្វើការទាក់ទងទៅប្រភពព័ត៌មានមួយផ្សេងទៀតនៅក្នុងស្ថាប័នដដែលនោះ ដោយពឹងផ្អែកលើព័ត៌មានដែលបានមកពីប្រភពដំបូងដើម្បីឲ្យមានភាពច្បាស់លាស់ និងជឿជាក់បាន។
២. តើអ្វីទៅជា Phishing Attacks?
Phishing គឺជាទម្រង់នៃ Social Engineering។ Phishing Attacks ប្រើប្រាស់អ៊ីម៉ែល ឬវេបសាយក្លែងបន្លំដើម្បីប្រមូលព័ត៌មានដោយការបន្លំជាអ៊ីម៉ែល ឬវេបសាយរបស់ស្ថាប័នណាមួយដែលយើងទុកចិត្ត។ ឧទាហរណ៍ អ្នកវាយប្រហារអាចបន្លំជាអ៊ីម៉ែលរបស់ធនាគាល្បីៗ ឬស្ថាប័នហិរញ្ញវត្ថុហើយផ្ញើរទៅកាន់អ្នកប្រើប្រាស់ដើម្បីស្នើរសុំព័ត៌មានពីគណនីរបស់អ្នកប្រើប្រាស់ ដែលជារឿយៗពួកគេបានប្រាប់ថាគណនីរបស់អ្នកប្រើប្រាស់មានបញ្ហា។ នៅពេលដែលអ្នកប្រើប្រាស់ធ្វើការបំពេញតាមការស្នើរសុំព័ត៌មាននោះ អ្នកវាយប្រហារអាចប្រើវាដើម្បីចូលទៅក្នុងគណនីរបស់អ្នកបានតែម្ដង។
Phishing Attacks នេះអាចបង្ហាញខ្លួនជាសារអ៊ីម៉ែល ឬវេបសាយដែលជារបស់ស្ថាប័នជាច្រើនប្រភេទទៀត ដែលអាចបន្លំជា មូលនិធិសប្បុរសធម៌ជាដើម។ អ្នកវាយប្រហារតែងតែទាញយកផលប្រយោជន៍ពីព្រឹត្តិការណ៍នានាដែលកើតឡើងក្នុងពេលថ្មីៗ និងពេលវេលាដែលជាក់លាក់ណាមួយប្រចាំឆ្នាំ ដូចជា៖
- គ្រោះធម្មជាតិ (ឧ. ព្យុះ Katrina, រលកយក្សសូណាមិនៅប្រទេសឥណ្ឌូនេស៊ី)
- ការរាតត្បាត និងជំងឺដែលគួរឲ្យភ័យខ្លាច (ឧ. H1N1)
- បញ្ហាសេដ្ឋកិច្ច (ឧ.ការបោកប្រាស់ IRS)
- កិច្ចប្រជុំ កំពូល នៃ គណៈកម្មការ ទន្លេមេគង្
- ការបោះឆ្នោតនយោបាយសំខាន់ៗ
- ពិធីបុណ្យផ្សេងៗ
៣. តើអ្នកអាចការពារខ្លួនពីការវាយប្រហារនេះតាមរបៀបណា?
- ត្រូវមានការប្រុងប្រយ័ត្នពីការហៅទូរស័ព្ទ ឬការផ្ញើរសារអេឡិចត្រូនិចដែលសួរនាំអំពីបុគ្គលិក ឬព័ត៌មានផ្ទៃក្នុងរបស់ស្ថាប័ន។ ប្រសិនបើមានជនអនាមិកអះអាងថាមកពួកគាត់ពីអង្គការស្របច្បាប់ណាមួយនោះ សូមធ្វើការព្យាយាមផ្ទៀងផ្ទាត់អត្តសញ្ញាណរបស់គាត់ជាមួយក្រុមហ៊ុន ឬអង្គការរបស់ពួកគាត់ដោយផ្ទាល់។
- សូមកុំផ្តល់ព័ត៌មានផ្ទាល់ខ្លួន ឬព័ត៌មានអំពីស្ថាប័នរបស់អ្នករួមទាំងរចនាសម្ព័ន្ធ ឬបណ្តាញរបស់ស្ថាប័នរបស់អ្នកទៅអោយបុគ្គលណាមួយអោយសោះ លុះត្រាតែអ្នកប្រាកដថាបុគ្គលម្នាក់នោះមានសិទ្ធិ ឬមានការអនុញ្ញាតត្រឹមត្រូវដើម្បីទទួលបានព័ត៌មានទាំងនោះ។
- សូមកុំបង្ហាញព័ត៌មានផ្ទាល់ខ្លួន ឬព័ត៌មានហិរញ្ញវត្ថុនៅក្នុងអ៊ីម៉ែល ហើយកុំឆ្លើយតបទៅនឹងអ៊ីម៉ែលដែលបានស្នើសុំព័ត៌មានទាំងនោះ។ រួមទាំងអ៊ីម៉ែលដែលមានតំណភ្ជាប់ដែលបានផ្ញើទៅកាន់អ៊ីម៉ែលរបស់អ្នក។
- សូមកុំផ្ញើរព័ត៌មានសំខាន់ៗតាមរយៈអ៊ីនធឺណេត ដោយមិនបានពិនិត្យមើលសុវត្ដិភាពរបស់វេបសាយទាំងនោះ។ (សូមចូលមើល Protecting Your Privacy សម្រាប់ព័ត៌មានបន្ថែម)
- សូមធ្វើការយកចិត្តទុកដាក់ចំពោះ URL របស់វេបសាយនីមួយៗ វេបសាយដែលក្លែងបន្លំអាចមើលទៅមានលក្ខណៈដូចគ្នាបេះបិតទៅនិងវេបសាយពិតប្រាកដ ប៉ុន្តែ URL អាចនិងមានអក្ខរាវិរុទ្ធខុសគ្នា ឬប្រើប្រាស់ domain ផ្សេងគ្នា។ (ឧ. .com vs. .net)។
- ប្រសិនបើអ្នកមិនច្បាស់ថាអ៊ីម៉ែលដែលបានស្នើសុំព័ត៌មានទាំងនោះជាអ៊ីម៉ែលពិតប្រាកដ ឬក្លែងបន្លំនោះ សូមព្យាយាមធ្វើការផ្ទៀងផ្ទាត់ដោយទំនាក់ទំនងទៅកាន់ក្រុមហ៊ុននោះដោយផ្ទាល់។ សូមកុំប្រើព័ត៌មានទំនាក់ទំនងដែលបានផ្ដល់នៅក្នុងវេបសាយនោះអោយសោះ សូមស្វែងរកព័ត៌មានសម្រាប់ទំនាក់ទំនងដែលមានពីមុនមកសម្រាប់ទាក់ទង។ ព័ត៌មានអំពី phishing attacks ក៏មាននៅក្នុងអ៊ីនធឺណេត ដូចជាក្រុមការងារប្រឆាំងនិងការក្លែងបន្លំ(Anti-Phishing Working Group)។
- ដំឡើង និងផ្គត់ផ្គង់កម្មវិធីកម្ចាត់មេរោគ ជញ្ជាំងភ្លើង(firewalls) និង email filters ដើម្បីកាត់បន្ថយចរាចរអ៊ីម៉ែលមួយចំនួន។ (សូមពិនិត្យមើល Understanding Firewalls, Understanding Anti-Virus Software និង Reducing Spamសម្រាប់ព័ត៌មានបន្ថែម)
- ទាញយកផលប្រយោជន៍ពីលក្ខណៈពិសេសនៃការប្រឆាំងការបន្លំ (anti-phishing) ណាមួយដែលបានផ្ដល់ដោយកម្មវិធីអ៊ីម៉ែលរបស់អ្នក និងទាញយកពីអ៊ីនធឺណេត។
៤. តើអ្នកត្រូវធ្វើអ្វីខ្លះប្រសិនបើគិតថាខ្លួនក្លាយជាជនរងគ្រោះ?
- ប្រសិនបើអ្នកគិតថាអ្នកប្រហែលជាបានបង្ហាញព័ត៌មានសំខាន់អំពីស្ថាប័នរបស់អ្នក សូមរាយការណ៍ទៅកាន់មនុស្សដែលសមស្របនៅក្នុងស្ថាប័នដែលរួមមានអ្នកគ្រប់គ្រងប្រព័ន្ធផងដែរ។ ដូច្នេះពួកគេអាចធ្វើការប្រុងប្រយ័ត្នចំពោះសកម្មភាពដែលគួរឲ្យសង្ស័យ ឬមិនធម្មតាណាមួយ។
- ប្រសិនបើអ្នកគិតថាគណនីហិរញ្ញវត្ថុរបស់អ្នកអាចនិងមានអ្នកលួចប្រើប្រាស់ សូមទាក់ទងទៅកាន់ស្ថាប័នហិរញ្ញវត្ថុរបស់អ្នកភ្លាមៗ ហើយបិទគណនីទាំងឡាយដែលត្រូវបានគេលួចនោះ។ សង្កេតមើលរាល់ការចំណាយដែលអ្នកមិនបានដឹងនៅក្នុងគណនីរបស់អ្នក។
- សូមផ្លាស់ប្ដូរពាក្យសម្ងាត់ភ្លាមៗដែលអ្នកគិតថាអាចនិងមានអ្នកដឹង។ ប្រសិនបើអ្នកប្រើពាក្យសម្ងាត់ដដែលៗសម្រាប់គណនីច្រើន សូមប្រាកដថាអ្នកបានផ្លាស់ប្ដូរពាក្យសម្ងាត់សម្រាប់គណនីនីមួយៗខុសៗគ្នា ហើយសូមកុំប្រើពាក្យសម្ងាត់នោះនៅពេលក្រោយទៀត។
- សូមតាមដានសញ្ញាផ្សេងៗទៀតនៃការលួចអត្តសញ្ញាណ។ (សូមចូលមើល Preventing and Responding to Identity Theft សម្រាប់ព័ត៌មានបន្ថែម)
- ពិចារណាក្នុងការរាយការណ៍អំពីការវាយប្រហារទៅប៉ូលីស ហើយដាក់របាយការណ៍ជាមួយនិងគណៈគម្មការសហព័ន្ធពាណិជ្ជកម្ម ។
វេបសាយពាក់ព័ន្ធ
