Cybersecurity Fundamentals

บทที่ 2

Social Engineering

เจาะลึกการหลอกลวงด้วยจิตวิทยา ตั้งแต่แก๊งคอลเซ็นเตอร์ไปจนถึงการใช้ AI สร้างบทสนทนาปลอม

การสอน (90 นาทีแรก)

เจาะลึกการหลอกลวงด้วยจิตวิทยา ตั้งแต่แก๊งคอลเซ็นเตอร์ไปจนถึงการใช้ AI สร้างบทสนทนาปลอม

กิจกรรมปฏิบัติ (90 นาทีหลัง)

ใช้ AI สร้างบทสนทนาแก๊งคอลเซ็นเตอร์แล้วหาจุดพิรุธ

เครื่องมือ:ChatGPTGemini

เป้าหมายการเรียนรู้

  • เข้าใจแนวคิด Social Engineering และเหตุผลที่มันได้ผล
  • รู้จักเทคนิค Social Engineering ที่พบบ่อยในชีวิตจริง
  • สามารถสังเกตจุดพิรุธของแก๊งคอลเซ็นเตอร์และมิจฉาชีพออนไลน์ได้
  • ฝึกใช้ AI วิเคราะห์บทสนทนาที่อาจเป็นการหลอกลวง

Social Engineering คืออะไร?

Social Engineering คือเทคนิคการหลอกลวงที่ใช้ จิตวิทยาในการบิดเบือนความคิดของคน ให้ทำในสิ่งที่ปกติจะไม่ทำ เช่น ให้ข้อมูลส่วนตัว กดลิงก์อันตราย หรือโอนเงินให้คนแปลกหน้า สิ่งที่น่ากลัวของ Social Engineering คือมันไม่จำเป็นต้องแฮกระบบคอมพิวเตอร์เลย แต่ "แฮกคน" โดยตรง อาศัยจุดอ่อนทางอารมณ์ของมนุษย์ เช่น ความกลัว ความโลภ ความเร่งรีบ หรือแม้แต่ความใจดีที่อยากช่วยเหลือคนอื่น

Kevin Mitnick แฮกเกอร์ชื่อดังระดับโลกเคยกล่าวไว้ว่า "จุดอ่อนที่ใหญ่ที่สุดของระบบความปลอดภัยไม่ใช่ซอฟต์แวร์หรือฮาร์ดแวร์ แต่คือมนุษย์" ไม่ว่าระบบจะแข็งแกร่งแค่ไหน ถ้าคนที่ใช้ระบบถูกหลอกให้เปิดประตู ระบบก็ไม่สามารถป้องกันอะไรได้

สร้างภาพ A clean flat infographic illustrating social engineering concept. Center shows a hacker figure manipulating puppet strings connected to a normal person icon. Around them are emotion icons: fear (scared face), greed (dollar eyes), urgency (clock), trust (handshake), helpfulness (heart). Arrows show how each emotion leads to actions like 'give password', 'click link', 'transfer money'. Modern minimal cybersecurity style with red and dark blue accents on white background. (social_engineering_concept.jpg)

A clean flat infographic illustrating social engineering concept. Center shows a hacker figure manipulating puppet strings connected to a normal person icon. Around them are emotion icons: fear (scared face), greed (dollar eyes), urgency (clock), trust (handshake), helpfulness (heart). Arrows show how each emotion leads to actions like 'give password', 'click link', 'transfer money'. Modern minimal cybersecurity style with red and dark blue accents on white background.

Social Engineering: การแฮกคนด้วยจิตวิทยา โดยอาศัยอารมณ์ความกลัว ความโลภ และความเร่งรีบ

เทคนิค Social Engineering ที่ใช้บ่อย

Social Engineering มีหลายรูปแบบ แต่ละเทคนิคอาศัยจุดอ่อนทางจิตวิทยาที่แตกต่างกัน การรู้จักเทคนิคเหล่านี้จะช่วยให้คุณสังเกตได้ทันเมื่อมีคนพยายามใช้กับคุณ

เทคนิควิธีการตัวอย่างในชีวิตจริง
Pretexting (สร้างเรื่องอ้าง)สร้างเรื่องราวหรือสถานการณ์ปลอมขึ้นมาเพื่อให้เหยื่อเชื่อใจโทรมาอ้างว่าเป็นเจ้าหน้าที่ธนาคาร บอกว่าบัญชีถูกระงับ ต้องยืนยันข้อมูลด่วน
Baiting (ล่อเหยื่อ)ใช้สิ่งล่อใจให้เหยื่อทำตามที่ต้องการ เช่น ของฟรี รางวัลทิ้ง USB ที่มีมัลแวร์ไว้ในที่จอดรถบริษัท หรือโฆษณาว่า "ดาวน์โหลดหนังฟรี" แต่เป็นไวรัส
Quid Pro Quo (แลกเปลี่ยน)เสนอบริการหรือความช่วยเหลือเพื่อแลกกับข้อมูลโทรมาบอกว่าเป็น IT Support จะช่วยแก้ปัญหาคอมพิวเตอร์ แต่ขอรหัสผ่านก่อน
Tailgating (ตามหลัง)เดินตามคนที่มี Access Card เข้าไปในอาคารโดยไม่ต้อง Badge ตัวเองถือกล่องเยอะๆ แล้วขอให้คนข้างหน้าเปิดประตูให้ โดยอ้างว่าเป็นพนักงานส่งของ

แก๊งคอลเซ็นเตอร์ในไทย

ในประเทศไทย แก๊งคอลเซ็นเตอร์ เป็นรูปแบบ Social Engineering ที่พบบ่อยที่สุดและสร้างความเสียหายมากที่สุด จากสถิติของ สำนักงานตำรวจแห่งชาติ คนไทยเสียเงินจากแก๊งคอลเซ็นเตอร์ มากกว่าหมื่นล้านบาทต่อปี โดยเหยื่อมีตั้งแต่นักศึกษา คนวัยทำงาน ไปจนถึงผู้สูงอายุ รูปแบบที่พบบ่อย ได้แก่ การอ้างเป็นเจ้าหน้าที่ตำรวจ เจ้าหน้าที่ศาล เจ้าหน้าที่ธนาคาร หรือเจ้าหน้าที่ขนส่ง

ตัวอย่างสคริปต์ที่แก๊งคอลเซ็นเตอร์ใช้บ่อย

"สวัสดีค่ะ ดิฉันโทรมาจากสำนักงานตำรวจแห่งชาติ จากการตรวจสอบพบว่า บัญชีธนาคารของคุณมีส่วนเกี่ยวข้องกับคดีฟอกเงิน ถ้าคุณไม่ให้ความร่วมมือ จะถูกออกหมายจับภายใน 24 ชั่วโมง กรุณาโอนเงินไปยังบัญชีปลอดภัยที่เราจัดเตรียมไว้ให้เพื่อตรวจสอบ และห้ามบอกใคร เพราะอาจกระทบการสืบสวน..."

สคริปต์นี้ใช้เทคนิคหลายอย่างพร้อมกัน: สร้างความกลัว (จะถูกจับ), สร้างความเร่งรีบ (24 ชั่วโมง), อ้างอำนาจ (ตำรวจ), และ แยกเหยื่อออกจากคนรอบข้าง (ห้ามบอกใคร)

จุดพิรุธที่ต้องสังเกต

แก๊งคอลเซ็นเตอร์อาจดูน่าเชื่อ แต่ถ้าสังเกตดีๆ จะพบจุดพิรุธหลายอย่างที่ช่วยให้รู้ทันได้

  1. 1หน่วยงานรัฐไม่เคยขอข้อมูลทางโทรศัพท์ — ตำรวจ ศาล DSI จะไม่โทรมาขอข้อมูลส่วนตัวหรือให้โอนเงินทางโทรศัพท์
  2. 2สร้างความเร่งรีบผิดปกติ— "ต้องทำภายใน 1 ชั่วโมง ไม่งั้นจะถูกจับ" หน่วยงานจริงจะให้เวลาคุณตรวจสอบ
  3. 3ห้ามบอกใคร— ถ้ามีใครบอกว่า "ห้ามบอกครอบครัว ห้ามปรึกษาใคร" เป็นสัญญาณอันตรายชัดเจน
  4. 4ขอให้โอนเงินไปบัญชีบุคคล— หน่วยงานรัฐไม่มีนโยบาย "บัญชีปลอดภัย" ให้โอนเงินไป
  5. 5หมายเลขโทรศัพท์ผิดปกติ — เบอร์ที่โทรมาอาจเป็นเบอร์ต่างประเทศ เบอร์มือถือ หรือเบอร์ที่ไม่ตรงกับหน่วยงานที่อ้าง
  6. 6พูดไทยไม่ชัด หรือใช้สำนวนแปลกๆ — แก๊งคอลเซ็นเตอร์ หลายแห่งอยู่ต่างประเทศ อาจมีสำเนียงหรือการใช้คำที่ผิดธรรมชาติ

สร้างภาพ A clean flat infographic showing warning signs of call center scams in Thailand. Six warning signs displayed in a grid layout with icons: 1) Phone with government badge (fake authority), 2) Timer/clock (false urgency), 3) Crossed-out people (isolation tactic), 4) Money transfer arrow to stranger (money request), 5) Suspicious phone number with flag (foreign number), 6) Speech bubble with question mark (unusual speech). Red warning colors with shield protection icon in center. Modern minimal style on white background. (call_center_scam_warning.jpg)

A clean flat infographic showing warning signs of call center scams in Thailand. Six warning signs displayed in a grid layout with icons: 1) Phone with government badge (fake authority), 2) Timer/clock (false urgency), 3) Crossed-out people (isolation tactic), 4) Money transfer arrow to stranger (money request), 5) Suspicious phone number with flag (foreign number), 6) Speech bubble with question mark (unusual speech). Red warning colors with shield protection icon in center. Modern minimal style on white background.

6 จุดพิรุธที่บ่งบอกว่าเป็นแก๊งคอลเซ็นเตอร์: อ้างอำนาจ สร้างความเร่งรีบ ห้ามบอกใคร ขอโอนเงิน เบอร์แปลก พูดไม่ชัด

กิจกรรม: ใช้ AI จับพิรุธ

Workshop: AI ช่วยวิเคราะห์บทสนทนาหลอกลวง

ในกิจกรรมนี้ คุณจะได้ใช้ AI (เช่น ChatGPT หรือ Gemini) เพื่อสร้างบทสนทนาจำลองของแก๊งคอลเซ็นเตอร์ จากนั้นจะฝึกวิเคราะห์ หาจุดพิรุธ และเรียนรู้วิธีรับมือ กิจกรรมนี้จะช่วยให้คุณ เข้าใจกลไกของ Social Engineering จากมุมมองของทั้งผู้โจมตีและผู้ป้องกัน

ขั้นตอนกิจกรรม
0/6

ทดสอบความเข้าใจ

ข้อใดอธิบาย Social Engineering ได้ถูกต้องที่สุด?

ทดสอบความเข้าใจ

ถ้ามีคนโทรมาอ้างเป็นตำรวจ บอกว่าบัญชีคุณเกี่ยวข้องกับคดีฟอกเงิน และห้ามบอกใคร คุณควรทำอย่างไร?