เอฟบีไอ ออกโรงเตือนอาชญากรไซเบอร์ หลอกขโมยรหัสผ่านเข้าระบบ HR เพื่อเปลี่ยนบัญชีธนาคารรับเงินเดือน
เอฟบีไอได้แจ้งเตือนการเพิ่มขึ้นของอาชญากรทางอินเทอร์เน็ตเพื่อเข้าถึงข้อมูลเงินเดือนของพนักงานบริษัท ในปี 2560 พบเหยื่อ 17 ราย แต่ในเดือนกรกฎาคม 2561 ที่ผ่านมา ได้พบเหยื่อ 47 ราย ถูกหลอกโอนเงิน มีมูลค่าความเสียหายรวมประมาณ 1 ล้านเหรียญสหรัฐหรือ 33 ล้านบาท และหน่วยงานต่าง ๆ มีโอกาสที่จะได้รับผลกระทบนี้ ไม่จำกัดเฉพาะกลุ่มของ มหาวิทยาลัย โรงเรียน ระบบการดูแลสุขภาพ และการขนส่งทางอากาศ
โดยเอฟบีไอได้ตั้งข้อสังเกตพบว่ามีสองวิธี ที่กลุ่มอาชญากรใช้เพื่อเข้าถึง และแก้ไขข้อมูลการเงินของพนักงานได้ คือ ผ่านทางฟิชชิ่งอีเมล และผ่านการชักชวนทางโทรศัพท์ (ลักษณะคล้ายแก้งค์คอลเซ็นเตอร์ หลอกถามข้อมูล หรือหลอกให้โอนเงิน)
รูปแบบวิธีการที่อาชญากรนำมาใช้
อาชญากรใช้วิธีการ เปลี่ยนแปลงบัญชีเงินเดือนปลายทางเพื่อรับโอนเงินจากบริษัทเป้าหมาย โดยการใช้ข้อมูลส่วนตัวของพนักงานเพื่อเข้าถึงระบบจ่ายเงินเดือน เปลี่ยนแปลงข้อมูลหมายเลขบัญชีธนาคารที่รับเงินเดือน หรือสั่งจ่ายไปยังบัญชีบัตรเติมเงินปลายทางที่อาชญากรสามารถควบคุมได้
- รูปแบบแรก เป็นวิธีการได้มาของข้อมูลประจำตัวของเหยื่อมีการเจาะจงเป้าหมาย โดยการส่งอีเมลที่มีลิงก์ไปยังฟิชชิ่งเว็บไซต์ หรือแนบไฟล์เอกสารนามสกุล pdf เพื่อหลอกให้ผู้ใช้เข้าไปยังฟิชชิ่งเว็บไซต์ ในกรณีนี้ส่วนใหญ่มีการปลอมแปลงลักษณะหน้าเว็บไซต์ให้คล้ายกับบริการซอฟต์แวร์ที่ฝ่ายบุคคลใช้งาน เพื่อให้เหยื่อหลงเชื่อและป้อนรหัสผ่านสำหรับล็อกอินเข้าสู่ระบบของตน จากนั้นอาชญากรนำรหัสผ่านที่ได้ ล็อกอินเข้าใช้บัญชีของพนักงาน และเปลี่ยนแปลงหมายเลขบัญชีธนาคารสำหรับรับเงินเดือน ทำให้เงินเดือนถูกโอนไปยังบัญชีธนาคารปลายทางตามข้อมูลที่ระบุ
- รูปแบบที่สอง การใช้วิธีการทาง Social Engineer ด้วยการติดต่อไปยังบริการสายด่วนพนักงาน เพื่อขอให้บริษัททำการรีเซ็ตรหัสผ่าน โดยการแจ้งหมายเลขประจำตัวลูกจ้าง และหมายเลขประกันสังคมสี่ตัวสุดท้ายของเหยื่อเพื่อใช้สำหรับเข้าถึงข้อมูลทางการเงินของเหยื่อต่อไป
จากการตรวจสอบพบว่ามีการจ่ายเงินเดือนจำนวน 205 รายการ ที่โอนเงินไปยังบัตรเติมเงินของอาชญากรไซเบอร์ นอกจากนี้ ยังพบว่าระยะเวลาเฉลี่ยตั้งแต่เปิดใช้งานบัตรเติมเงินเพื่อรับโอนเงินฝากคือ 54 วัน และอย่างน้อยที่สุดคือ 1 วัน
ข้อแนะนำสำหรับองค์กรเพื่อป้องกัน
- ควรแจ้งเตือนพนักงานให้ทราบถึงรูปแบบการหลอกลวงของภัยคุกคามนี้ เพื่อให้รู้ทัน
- เมื่อระบบพบการร้องเพื่อขอเปลี่ยนแปลงข้อมูลบัญชีธนาคารเพื่อรับเงินเดือน ควรมีการตรวจสอบอย่างเข้มงวด
- ให้ความรู้แก่บุคลากรเกี่ยวกับการดำเนินการเชิงป้องกัน และการแก้ไขที่เหมาะสมกับแผนการก่ออาชญากรรมที่มาในรูปแบบของ Social Engineer
- แนะนำพนักงานในกรณีได้รับอีเมลที่ขอข้อมูลสำหรับเข้าสู่ระบบ เช่น รหัสผ่าน ไอดี ให้หลีกเลี่ยงการให้ข้อมูล และดำเนินการส่งต่อข้อมูลที่น่าสงสัยเกี่ยวกับการร้องขอข้อมูลส่วนบุคคลไปที่แผนกไอที หรือแผนกทรัพยากรบุคคล ให้ช่วยตรวจสอบ
- แนะนำพนักงานให้ตั้งรหัสผ่านของระบบที่ใช้สำหรับการจ่ายเงินเดือน แตกต่างจากรหัสผ่านที่ใช้ในบัญชีทั่วไป
- ตรวจสอบการเข้าสู่ระบบของพนักงานที่เกิดขึ้นนอกเวลาทำการปกติ
- จำกัดการเข้าถึงอินเทอร์เน็ตในระบบจัดการข้อมูลที่สำคัญ
- สำหรับระบบและข้อมูลสำคัญ ควรใช้งานรูปแบบการยืนยันตัวตนแบบสองขั้นตอน
- พนักงานสามารถดำเนินการจัดการข้อมูลที่สำคัญได้ บนระบบที่อนุญาตเท่านั้น เช่น เครื่อง Terminal ที่เตรียมไว้ให้
