🔴 Red Team 101 — บทที่ 8: Social Engineering เจาะช่องโหว่ที่อ่อนแอที่สุด คือคน

🎭 Social Engineering คืออะไร?

Social Engineering คือ ศิลปะการหลอกลวงคน ให้เปิดเผยข้อมูล sensitive หรือทำสิ่งที่ไม่ควร โดยใช้จิตวิทยามนุษย์แทนเทคนิคเทคโนโลยี

แม้ว่า Firewalls จะแข็งแรงแค่ไหน แต่ถ้ามีคนโทรมาหา admin แล้วขอรหัสผ่าน admin อาจให้โดยไม่ได้คิด

ประเภทของ Social Engineering

1. Phishing

ส่ง emails ปลอมที่ดูเหมือนมาจากแหล่งที่เชื่อถือได้ เช่น ธนาคาร Google Microsoft

2. Spear Phishing

Phishing ที่เจาะจงเป้าหมายเฉพาะ — เช่นส่ง email ไปที่ CEO โดยใช้ชื่อจริง ตำแหน่งจริง

3. Vishing

Phishing ผ่านโทรศัพท์ — โทรไปหาเหยื่อแล้วแกล้งเป็น IT support

4. Smishing

Phishing ผ่าน SMS — ส่งลิงก์ปลอมผ่านข้อความ

5. Pretexting

สร้างสถานการณ์ปลอมเพื่อให้เหยื่อเชื่อ — เช่นแกล้งเป็นผู้สอบบัญชีหรือตำรวจ

🧠 จิตวิทยาที่ Social Engineering ใช้

Robert Cialdini ระบุ 6 principles of influence ที่ attacker ใช้

1. Reciprocity — ให้ก่อนแล้วจะขอคืน

2. Commitment — ให้เหยื่อสัญญาแล้วจะทำต่อ

3. Social Proof — ทุกคนทำกัน เหมือนเป็นเรื่องปกติ

4. Authority — แกล้งเป็นผู้มีอำนาจ

5. Liking — ทำให้เหยื่อชอบก่อน

6. Scarcity — จำกัดเวลา ต้องตัดสินใจเร็ว

🛡️ ป้องกัน Social Engineering

• Training ทุกคนในองค์กร
• Simulated phishing tests
• Verify identity ก่อนให้ข้อมูล
• ไม่เปิด links ใน email โดยไม่ตรวจสอบ
• Multi-factor authentication
• Incident reporting

📝 สรุป series Red Team 101

8 บทที่ผ่านมา

บท 1 Reconnaissance เก็บข้อมูล

บท 2 Scanning and Enumeration

บท 3 Vulnerability Assessment

บท 4 Exploitation NIST CSF MITRE ATT and CK

บท 5 State-Sponsored Attack and APT

บท 6 Web App Hacking

บท 7 Network Hacking

บท 8 Social Engineering

จำไว้ — ช่องโหว่ที่อ่อนแอที่สุดคือคน ไม่ใช่เทคโนโลยี