ข้อมูลถอดความจากเพจทีเอ็นเอ็น เทค ออริจินัลส์(TNN TechOriginals) จากการล้วงลึกเหลี่ยมเล่ห์แฮกเกอร์ทั้งหลาย
เกรกอรี พิกเค็ทท์ (Gregory Pickett) ผู้ก่อตั้งไซเบอร์ซีเคียวริตี้ โอปอเรชั่นส์ ฟอร์ เฮลไฟร์ ซีเคียวริตี้
แฮกเกอร์ตัวจริงคนหนึ่ง ได้ยอมออกมาเปิดเผยเคล็ดลับวิธีรับมือภัยไซเบอร์ให้กับคนไทยและแนะนำวิธีป้องกันภัยไซเบอร์ด้วย
เกรกอรี พิกเค็ทท์ เริ่มแนะนำตัวเองง่าย ๆ ว่า ผมเป็นแฮกเกอร์ เป็นพวกชอบทำลายข้าวของ แต่จะเน้นเรื่องระบบความปลอดภัย ผมเป็นแฮกเกอร์สายเทา หมายความว่า บางคร้้งผมก็ได้รับเชิญ แต่ก็ไม่เสมอไป
การได้รับเชิญหมายถึงเช่น อาจจะมีคนขอว่า “คุณลองแฮกเข้าระบบให้หน่อยได้ไหม?” ซึ่งจะดำเนินการโดยใช้วิธีเพนเทรชั่น เทสต์(Penetration Test-วิธีประเมินความเสี่ยงด้วยการเจาะเข้าระบบเพื่อค้นหาช่องโหว่) โดยจะมีข้อปฏิบัติรวมอยู่ด้วย
ส่วนการไม่ถูกเชิญก็เหมือนกับผมไปค้นหาด้วยตัวเองโดยทั่วไปจะเป็นข้อมูลที่ถูกเปิดเผยสาธารณะอยู่แล้ว มักเป็นพื้นที่ของลูกค้าที่เชื้อเชิญให้ทุกคนเข้ามาเยี่ยมชม ซึ่งในกรณีของผมก็คือการมองหาทางเจาะเข้าไปนั่นเอง
การเป็นแฮกเกอร์จริง ๆ ยากไหม?
เกรกอรี พิกเค็ทท์ ตอบว่า ทั้งยากและไม่ยาก อาศัยการทำงานอย่างหนัก ไม่เหมือนในหนัง คุณต้องอยากรู้อยากเห็นมากถึงขั้นที่เรียกว่าหลงใหล คลั่งไคล้ ผมมองว่าต้องมีทักษะในการแก้ปัญหาได้อย่างรวดเร็วด้วย เพราะคุณจะต้องเจอกับปัญหาที่ต้องแก้ไขครั้งแล้วครั้งเล่า
หากว่าคุณรับมือกับจุดนี้ได้และเป็นคนชอบความท้าทาย ผมคิดว่าสิ่งต่อไปที่ควรจะมีคือทักษะการเขียนโค้ด ผมไม่คิดว่าตัวเองเป็นโปรแกรมเมอร์ผมแค่อ่านโค้ด แต่ถ้าคุณสามารถทำได้ก็จะเป็นประโยชน์มากทีเดียว
มองภาพรวมความปลอดภัยทางไซเบอร์ไทยอย่างไร?
เกรกอรี อธิบายว่า ผมสแกนเครือข่ายในไทยและเก็บรวบรวมข้อมูล ซึ่งแน่นอนว่าทั้งหมดถูกดำเนินการบนพื้นที่สาธารณะ เมื่อผมได้ทดสอบกับหลายๆระบบของไทย ที่ส่วนใหญ่เป็นโครงสร้างพื้นฐานที่สำคัญ ก็เริ่มพบกับข้อผิดพลาดแบบเดิมซ้ำ ๆ
ย้ำอีกครั้งว่านี่คือข้อผิดพลาดที่ผมรู้สึกว่าสามารถปรับปรุงได้ และทำให้เห็นว่าองค์กรไหนควรพัฒนาอะไร องค์กรไหนควรปรับปรุงยังไง คุณอาจจะบอกว่ามันเป็นจุดอ่อน แต่ผมกลับมองว่าเป็นจุดที่พัฒนาได้
จุดอ่อนไซเบอร์ไทยอยู่ตรงไหน?
เกรกอรี่ พิกเค็ทท์ บอกว่า ผมพบว่ามี 3 จุดที่เราควรโฟกัส อย่างแรกคือแนวทางที่มุ่งเน้นการแก้ปัญหาเป็นหลัก ทุกคนตื่นตัวกับไฟร์วอลส์ (Firewalls-ซอฟต์แวร์หรือฮาร์ดแวร์ที่ทำหน้าที่ตรวจสอบข้อมูลเข้า-ออก) และการป้องกันที่ปลายทาง และผลักดันให้บริษัทหันมาปรับใช้ไฟร์วอลส์หรือแก้ปัญหากันที่ปลายเหตุ
ประเด็นต่อมาคือการพึ่งพาระบบตรวจสอบที่มากเกินไปโดยเฉพาะในปัจจุบันที่มีการใช้กระบวนการที่เรียกว่า วีเอพีที(VAPT-กระบวนการค้นหาช่องโหว่และตรวจสอบจุดอ่อน) ซึ่งเป็นอีกหนึ่งระบบตรวจสอบ
ระบบเหล่านี้ใช้หลักการคาดเดา และหลาย ๆ ครั้งการคาดเดามักเกิดความผิดพลาด ให้ลองนึกถึงการซื้อสลากกินแบ่ง คนจำนวนมหาศาลต่างคาดเดากันเข้ามา มีเพียงไม่กี่คนเท่านั้นที่จะเดาถูก
อย่างที่สาม คือความเข้าใจจากการพึ่งพาเครื่องมือเป็นหลัก ความจริงแล้วเครื่องมือควรเป็นตัวช่วยในการจัดเก็บข้อมูล แต่ก็เริ่มมีเครื่องมือหลายๆชนิด พยายามทำตัวเป็นประโยชน์มากขึ้น อาจมาในรูปแบบของการเสนอไอเดียในการนำข้อมูลที่เก็บได้มาใช้งานและมักมาพร้อมกับข้อสรุปอีกด้วย ทั้งนี้ก็เป็นแค่การคาดเดา ซึ่งบ่อยครั้งก็เป็นการคาดเดาที่ผิดพลาด เช่นเดียวกับการไว้วางใจมากเกินไปที่จะให้เครื่องมือเหล่านี้ทำหน้าที่คิดแทนและหาคำตอบให้กับเรา หรือแม้กระทั่งบอกวิธีจัดการกับข้อมูลที่เก็บได้
ควรต้องจัดการปัญหาอย่างไร?
เกรกอรี กล่าวว่า ผมคงตอบว่าให้“ตรวจเช็กงานของคุณเอง” เปลี่ยนจากใช้ระบบทดสอบหรือการทำ VAPT มาเน้นการทดสอบระบบความปลอดภัยของคุณจริง ๆเพราะด้วยวิธีนี้ เราจะเปลี่ยนจากการคาดเดาซึ่งเป็นวิธีที่ระบบทดสอบมาเป็น หากทุกคนที่มีส่วนเกี่ยวข้องในการสร้างระบบสำหรับใช้งานตามบริษัทต่าง ๆ หันมาร่วมมือกับตรวจเช็กงานกันมากขึ้นปัญหานี้จะคลี่คลายไปได้เยอะเลย
จุดแข็งของความปลอดภัยทางไซเบอร์ไทย?
เกรกอรี่ เผยว่า ผมคิดว่าที่ไทยมีความสนใจในเรื่องนี้พอสมควร ถ้ามองในระดับประชากรทั่วไป ที่นี่มีการสนับสนุนเรื่องนี้มากกว่าที่อื่น ๆ มาก สำหรับที่ไทยคือทุกคนมีความตื่นตัวกับเรื่องนี้ ซึ่งผมมองว่าถ้าขาดจุดนี้ไป เราคงไปไม่ถึงไหนแน่ ๆ
การที่ไทยมีข้อนี้จึงถือว่าได้เปรียบพอสมควร สำนักงานคณะกรรมการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.-NCSA) ถือเป็นจุดเริ่มต้นที่ดีเลย ผมได้พูดคุยกับทีมงานที่นั่น ซึ่งเหมือนจะมีการรณรงค์ให้ทุกคนได้มีส่วนร่วม ผมคิดว่านี่คือสิ่งที่เราต้องการจริง ๆ การได้ช่วยส่งเสริมให้ทุกคนมีส่วนร่วมและเป็นอะไรที่เราอยากทำจริง ๆ ได้ให้ความรู้คนอื่น ๆ และช่วยสนับสนุนให้ทุกคนได้เข้าศึกษาเรื่องนี้ในโรงเรียน ปัจจุบันภาครัฐก็มีดำเนินงานในด้านนี้อยู่ไม่น้อยและทำได้ค่อนข้างดีเลยในเรื่องของการรณรงค์ให้ทุกคนมีส่วนร่วม
คำแนะนำรับมือภัยไซเบอร์
เกรกอรี่ให้คำแนะนำว่า ผมคิดว่าขึ้นอยู่กับมุมมองส่วนบุคคล ไม่ว่าคุณจะเป็นสายไอที หรือแค่มีสมาร์ทโฟนหรือแล็ปท็อป อย่าลืมตรวจสอบให้แน่ใจว่ามันปลอดภัยอย่างที่คิดจริง ๆ ลองถามเพื่อน ๆ ของคุณบางทีเพื่อนของคุณอาจรู้รหัสปลดล็อกสมาร์ทโฟนของคุณก็ได้ เหมือนที่ผมรู้รหัสของภรรยา นั่นก็เพราะเธอไม่ได้ป้องกันให้ดี ผมเห็นบ่อยจนจำได้แล้ว
สมาร์ทโฟนคือจุดเริ่มต้นของความสะดวกสบาย ที่เริ่มกลายเป็นความเสี่ยง
หากลองสังเกตดูจะพบว่าเราเก็บข้อมูลแทบทั้งหมดอยู่ในสมาร์ทโฟน เพื่อออกแบบแอปพลิเคชันปลอมมาในหลากหลายรูปแบบ หน้าตาอาจจะเป็นเกม แต่เบื้องลึกอาจแฝงโทรจัน(Trojan-โปรแกรมที่ออกแบบมาเพื่อลักลอบข้อมูลจากคอมพิวเตอร์)มาด้วยก็ได้
อีกเรื่องที่อยากเสริมสำหรับสมาร์ทโฟนคือผมไม่ได้หมายถึงให้ทุกคนเลิกใช้มัน เพียงแต่เวลาใช้รหัสผ่าน OTP สำหรับธนาคาร ก็อยากให้ลองใส่ไว้ในสมาร์ทโฟนคนละเครื่อง เพราะจะปลอดภัยขึ้น เนื่องจากอยู่นอกระยะที่โทรจันเองสามารถลอบเก็บข้อมูลได้
การมาของ AI ส่งผลอย่างไรต่อวงการแฮกเกอร์?
เกรกอรี่ กล่าวว่า ผมคิดว่าผลกระทบที่ชัดเจนที่สุดคงหนีไม่พ้นวิศวกรรมสังคม ซึ่งเป็นการจูงใจ พูดคุย และขอให้ทำบางสิ่งให้ แสร้งทำเป็นเหมือนคนรู้จักหรือคนใกล้ชิดที่คุณไว้ใจ สิ่งที่เจนเนอเรทีฟ เอไอ(generative AI) ทำ คือการคัดสรรคำตอบที่ดีที่สุดที่เคยถูกเขียนขึ้นมา แล้วเอามาแปลงเป็นข้อความเสียงหรือแม้กระทั่งวิดีโอของคนที่คุณรู้จัก คราวนี้จึงออกมาเป็นชุดข้อมูลที่น่าเชื่อถือและดีที่สุดให้คุณได้ยินเสมือนว่ามาจากเพื่อน เพื่อนบ้าน หรือเพื่อนร่วมงานที่คุณไว้ใจจริง ๆ มันยอดเยี่ยมกว่าที่คน ๆ เดียวจะทำได้เสียอีก มันเป็นเรื่องใหญ่มาก
AI ทำให้ขโมยข้อมูลง่ายขึ้น!?
นักแฮกเกอร์ กล่าวว่า เดี๋ยวมันจะได้ทำได้ดีกว่านี้แน่นอน คิดว่าในเรื่องของวิศวกรรมสังคมมันจะทำได้ดียิ่งขึ้น ผมหมายถึงไม่มีทางเลยที่ผมจะดูเป็นคนไทย หรือแม้แต่พูดให้ได้สำเนียงที่ใกล้เคียง เพราะด้วยคำที่ผมใช้ หรือบางเรื่องที่ผมพูด แต่สำหรับเอไอ มันทำได้แล้ว
วิธีป้องกันตัวเองทางไซเบอร์?
เกรกอรี่ กล่าวว่า ผมว่าพวกเขาคงไม่อยากได้ยินเท่าไหร่ แต่ก็ขอย้อนไปเรื่องสมาร์ทโฟนเช่นเดิม พยายามอย่าเก็บข้อมูลไว้ในที่เดียว แยกมันออกจากกัน ส่วนหนึ่งเก็บไว้อีกเครื่อง ข้อมูลสำคัญ ๆ แยกไว้ในอีกเครื่อง เพราะภัยที่น่ากลัวที่สุดคือสมาร์ทโฟนเครื่องที่คุณพกพาอยู่ ดังนั้นจงอย่าเก็บข้อมูลทั้งหมดไว้ในเครื่องเดียว
ความปลอดภัยทางไซเบอร์ในองค์กรต้องเน้นเรื่องอะไร?
ความกังวลของผมยังคงเป็นเรื่องระบบตรวจสอบที่เราพึ่งพาสิ่งเหล่านี้จนเกินไปในการคาดเดาผลลัพธ์ ซึ่งมักเป็นผลลัพธ์ที่ผิดซะส่วนใหญ่ คุณต้องตัดสินใจและเช็กงานของตัวเอง ต้องทำมากกว่าแค่การคาดเดา หรือใช้ระบบตรวจสอบ
คุณต้องคอยติดตามและทดสอบอย่างจริงจัง ถ้าหากคุณเริ่มคิดจะตรวจสอบอย่างจริงจัง ไม่มีผู้บริหารหรือบุคคลระดับสูงจะมาทำให้คุณ ตัวคุณเท่านั้นที่ต้องเริ่มลงมือเอง จะเป็นความท้าทายที่ยิ่งใหญ่มาก ๆ เนื่องจากขัดกับความเป็นไทยอย่างสิ้นเชิง แต่จงมั่นใจได้เลยว่าพวกคุณมีความสามารถมากพอ แค่รอให้เริ่มลงมือทำเท่านั้น.
ขอขอบคุณข้อมูลจาก: เพจ TNN Tech Originals
1/7/2567
