นิยายนักสืบ ตอน : วิชามาร

ไปหน้าแรก | สารบัญ | Laploy.comระเบียนบทความ | บทความจากลาภลอย

นิยายนักสืบ

ตอน : วิชามาร Social Engineering

ลาภลอย วานิชอังกูร laploy@gmail.com

 

“แฮกเกอร์มืดคือโจรใจชั่วที่ใช้แป้นพิมพ์ดังมีดปืน”

 

ผมนั่งอยู่ที่หัวโต๊ะในห้องประชุมของบริษัทชัยชนะมหาชนซึ่งเป็นบริษัทรับเหมาขนาดยักษ์ที่ได้งานสาธารณูปโภคของรัฐจำนวนมาก รอบโต๊ะประชุมขนาดใหญ่ขณะนี้มีเจ้าหน้าที่ระดับบริหารนั่งจนเต็มล้น ทุกคนสรวมเสื้อยืดสีเหลือง กางเกงหรือกระโปรงสีเข้ม เลยออกไปด้านหลังและข้างๆ เป็นกระจกใส มองเห็นแสงแดดยามสายทาบทาตึกระฟ้าในถนนสาธรจากมุมมองชั้นที่สี่สิบ

 

“แฮกเกอร์มืดที่ประสบความสำเร็จนอกจากจะต้องมีความรู้ด้านเทคนิคเป็นอย่างดีแล้ว ยังต้องเชี่ยวชาญวิชา Social Engineering ด้วย”

“มีแฮกเกอร์มืดแล้วมีแฮกเกอร์สว่างไหมครับ” คุณสุกรีถามอย่างยั่วล้อ เขาเป็นชายวัยกลางคน อ้วนลงพุงศีรษะล้าน เป็นพนักงานระดับบริหารที่มีตำแหน่งสูงสุดที่เข้าร่วมประชุม คือเป็นผู้ช่วยกรรมการผู้จัดการ

“ไม่มี มีแต่แฮกเกอร์มืดกับแฮกเกอร์เฉยๆ” ผมเฉลย “แฮกเกอร์ไม่ทำสิ่งผิดกฎหมาย เพียงแต่เป็นผู้ที่หมกมุ่นกับวิชาการมากกว่าคนปรกตินิดหน่อย ส่วนแฮกเกอร์มืดคืออาชญากรพร้อมที่จะประกอบอกุศลกรรมทุกอย่างเพื่อสนองตัณหาของตน”

ผมจิบกาแฟและน้ำอย่างละหนึ่งคำก่อนกล่าวต่อไปว่า “คนทั่วไปมักมีมโนภาพต่อแฮกเกอร์มืดอย่างผิดๆ คือมักนึกเห็นภาพเด็กหนุ่มสิวเขรอะแว่นหนา หมกตัวอยู่แต่ในห้องนอนที่มืดทึม อาบเรือนกายด้วยแสงไฟจากหน้าจอคอมพิวเตอร์ที่ใช้ระบบปฏิบัติการลีนุกซ์ เป็นพวกรู้เรื่องคอมพิวเตอร์ดีแต่ขาดทักษะในการติดต่อกับผู้คน มีบุคลิกคาบในจัด คือไม่ค่อยสังสรรค์หรือออกไปพบปะผู้คน”

“เป็นอย่างนั้นหรือครับ?” คุณไชยมง หัวหน้าแผนกทรัพยากรบุคคลถามอย่างประหลาดใจ

“ไม่เลย” ผมตอบสวนทันที “ในทางตรงกันข้าม แฮกเกอร์มืดส่วนมากเป็นพวกถนัดเรื่องพบปะผู้คน เจรจาคล่องแคล่ว มีทักษะในการพูดจาหลอกล่อจูงใจ มีความสามารถในการปั่นหัวคน หรือฉวยโอกาสจากสภาวะการต่างๆ เพื่อให้ได้ในสิ่งที่ตนต้องการ หรือที่เรียกว่า Social Engineering พูดง่ายๆ คือพวกมันไม่ต่างจากสิบแปดมงกุฎนัก”

 

“พวกแฮกเกอร์มืดหน้าตาเป็นยังไงครับ” คุณมโนมัย หัวหน้าแผนกนักลงทุนสัมพันธ์ถาม

“แฮกเกอร์มืดที่ประสบความสำเร็จมักหน้าตาดี บุคลิกดีน่าเชื่อถือ พูดจานุ่มนวล มีทั้งผู้ชายและผู้หญิง”

“จุดประสงค์ในการหลอกล่อคืออะไรครับ” คุณศรีข่าง หัวหน้าแผนกพัฒนาธุรกิจยกมือถาม

“จุดมุ่งหมายของพวกมันมีเพียงอย่างเดียว เหมือนกันหมดทุกคน คือต้องการชื่อและรหัสผ่าน” ผมกดปุ่มรีโหมดของเครื่องฉายภาพ “ภาพนี้คือระบบเครือข่ายของบริษัทชัยชนะ จะเห็นว่าเป็นระบบที่มีความปลอดภัยสูง เพราะได้รับการออกแบบมาอย่างดี ถูกต้องตามหลักวิชาการ เช่น server ต่างๆ ถูกกันไว้ในเครือข่ายย่อยที่เรียกว่า DMZ หรือเขตกันชน (Demilitarized zone) มีการติดตั้ง firewall ทั้งแบบฮาร์ดแวร์และซอฟท์แวร์ในตำแหน่งต่างๆ เพื่อป้องกันการบุกรุก นโยบายด้านรหัสผ่านเป็นยังไงครับ” ประโยคหลังผมหันไปถามคุณมารศรี หัวหน้าแผนกสารสนเทศ

 

ระบบเครือข่ายของบริษัทชัยชนะเป็นระบบที่มีความปลอดภัยสูง ได้รับการออกแบบมาอย่างถูกต้อง server ต่างๆ ถูกกันไว้ในเครือข่ายย่อยที่เรียกว่า DMZ หรือเขตกันชน (Demilitarized zone) และมีการติดตั้ง firewall ในตำแหน่งต่างๆ

 

“รัดกุมมาก” คุณมารศรีตอบ “เราบอกให้พนักงานทุกคนปฏิบัติต่อรหัสผ่านเหมือนแปรงสีฟัน คือไม่ให้ใครขอยืมใช้ และให้เปลี่ยนบ่อยๆ” มีเสียงฮาจากผู้เข้าประชุม ทำให้คุณมารศรีต้องปรับเสียงดังขึ้น “เรายืนกรานให้ใช้ชื่อยาวกว่าแปดตัวอักษร ส่วนรหัสผ่านก็ให้เป็นตัวเลขผสมตัวอักษร และที่สำคัญที่สุดคือต้องเปลี่ยนทุกสองสัปดาห์”

“ขอบคุณครับ… จะเห็นว่านี่เป็นระบบเครือข่ายที่รัดกุมมาก แฮกเกอร์มืดไม่มีทางเจาะเข้ามาตรงๆ ดังนั้นมันจึงต้องหาทางให้ได้มาซึ่งชื่อและรหัสผ่าน หากทำสำเร็จ ฮาร์ดแวร์และซอฟท์แวร์ด้านความปลอดภัยที่บริษัทชัยชนะลงทุนไปหลายสิบล้านย่อมมีมูลค่าเท่าเหรียญเก๊ มาตรการรักษาความปลอดภัยทั้งหมดก็จะกลายเป็นเรื่องโปกฮา”

“ไม่มีทางที่แฮกเกอร์จะหารหัสผ่านได้หรอก” คุณลีลาวดี system admin พูดอย่างปั้นปึ่ง พนักงานแผนกสารสนเทศที่เข้าประชุมต่างพยักหน้าอย่างเห็นด้วย

“ตรงกันข้าม อันที่จริงแล้วง่ายดายอย่างยิ่ง” ผมกล่าวสวน

“คุณมีอะไรพิสูจน์” คุณลีลาวดีถามเสียงสูงด้วยความไม่พอใจ

“อันที่จริงผมได้รับการว่าจ้างจากคุณทวีป หัวหน้าแผนกวิจัยและพัฒนา ให้ทดลองเจาะระบบ หรือทำ penetration test ซึ่งผมได้ลงมือทำแล้ว และประสบผลสำเร็จอย่างง่ายดาย โดยใช้อุบาย social engineering อย่างพื้นๆ”

เมื่อพูดมาถึงตอนนี้หากผมล้วงงูพิษหรือระเบิดออกมาวางบนโต๊ะ ปฏิกิริยาของผู้เข้าประชุมคงไม่แตกต่างจากตอนนี้ เพราะทุกคนทำท่าทางเลิกลักส่งเสียงพึมพำ เว้นแต่คุณลีลาวดีที่ไม่ส่งเสียงอะไร นั่งนิ่งหน้าถอดสี

“ผมเชิญอาจารย์มาทำการทดสอบนี้ เพื่อทำให้รู้ว่าระบบรักษาความปลอดภัยของเราหละหลวมหรือไม่” คุณทวีป กล่าวหลังเสียงพึมพำซาลง “มีจุดมุ่งหมายเพื่อการปรับปรุงระบบ ไม่มีจุดมุ่งหมายเพื่อจัดผิดหรือลงโทษใคร” ประโยคนี้เหมือนสาดน้ำเย็นเข้าไปในกองไฟ พนักงานแผนกสารสนเทศต่างมีท่าทางโล่งอก บางคนถึงกับยิ้มแป้น บางคนผิวปากเป็นเพลงประจำบริษัท

“อาจารย์ช่วยเล่าหน่อยได้ไหมว่าใช้เทคนิคอะไรบ้าง” คุณมารศรีถาม

“ได้อย่างแน่นอน อันที่จริงการประชุมครั้งนี้มีขึ้นเพื่อบอกเล่าเทคนิคต่างๆ ที่พวกแฮกเกอร์มืดชอบใช้ และมักใช้ได้ผลเสมอ พวกเราจะได้คอยระวังกัน” ผมกดปุ่มรีโหมดแล้วลุกขึ้นเดินไปยังจอภาพ

 

“นี่คือ social engineering มาตรฐานที่แฮกเกอร์มืดนิยมใช้เพื่อให้ได้มาซึ่งรหัสผ่าน” ผมชี้ไปบนจอซึ่งมีข้อความดังนี้

  • หลอกถามตามชั่ว
  • แกล้งมั่วรหัสหาย
  • แปลงกายเป็น admin
  • พลิกลิ้นเป็น ISP
  • อวดดีสอดแนม
  • หาแถมจากขยะ
  • จอมสวะตกทอง

“คำอธิบายโดยย่อของแต่ละวิธีเป็นดังนี้…

 

หลอกถามตามชั่ว

วิธีนี้แฮกเกอร์มืดจะโทรมาคุยกับ admin โดยแสดงตนว่าเป็นบริษัทสำรวจ ต้องการเก็บข้อมูลการตลาด โดยมีค่าป่วยการเป็นของกำนัลเล็กๆ น้อยๆ จากนั้นจะถาม ชื่อ นามสกุล ตำแหน่ง เมื่อ admin ตายใจแล้วจะถามไล่เรื่อยไปถึงข้อมูลอ่อนไหวต่างๆ เช่นการกำหนดค่าของระบบเครือข่าย ลักษณะของ firewall และรหัสผ่านต่างๆ จากการทดสอบพบว่า admin ส่วนมากจะยอมบอกข้อมูลทุกอย่างโดยแลกกับปากกากระจอกๆ เพียงด้ามเดียว

แกล้งมั่วรหัสหาย

แฮกเกอร์มืดโทรหา admin อ้างว่าเป็นเจ้าของบริษัท ทำรหัสผ่านหาย แม้วิธีนี้จะเป็นเล่ห์กลถูกๆ แต่ admin ส่วนมากจะยอมบอกรหัสผ่านมากกว่าจะเสี่ยงทำให้เจ้าของบริษัทฉุนเฉียว วิธีนี้มีข้อจำกัดคือจะใช้ได้ผลกับหน่วยงานขนาดใหญ่เท่านั้น เพราะในบริษัทเล็กๆ พนักงานทุกคนจะรู้จักคุ้นเคยกันหมด

แปลงกายเป็น admin

วิธีนี้แฮกเกอร์มืดจะโทรหาพนักงานอื่นๆ ที่ไม่ใช่ admin แจ้งว่าเครื่องของผู้ใช้คนนั้นมีปัญหาบางอย่าง ให้ sign-on และ sign-off สุดท้ายจะลงเอยด้วยการถามรหัสผ่าน วิธีนี้มีข้อจำกัดเหมือนวิธีก่อนหน้าคือจะใช้ได้ผลกับหน่วยงานขนาดใหญ่เท่านั้น

พลิกลิ้นเป็น ISP

วิธีนี้แฮกเกอร์มืดจะโทรหา admin อ้างตนว่าเป็นเจ้าหน้าที่ support ของบริษัทผู้ให้บริการอินเตอร์เน็ต ต้องการซ่อมบำรุงการเชื่อมต่อ ซึ่งจำเป็นต้องขอตรวจสอบรายละเอียดการกำหนดค่าระบบ (system configuration) รวมทั้งชื่อและรหัสผ่าน บางครั้งแฮกเกอร์มืดอาจเป็นสตรี หรือใช้สตรีที่ผ่านการฝึกมาเป็นอย่างดีเป็นผู้พูด จึงลวงได้แม้ admin ที่มีประสบการณ์

อวดดีสอดแนม

บางครั้งแฮกเกอร์มืดอาจปลอมตัวเป็นคนส่งดอกไม้ หรือพนักงานส่งพัสดุลอบเข้าไปในหน่วยงาน ในกรณีที่เป็นหน่วยงานซึ่งมีระบบรักษาความปลอดภัยดี ทางเข้าด้านหน้ามียามและต้องรูดบัตร แฮกเกอร์มืดจะสืบหาทางออกและยืนรอที่ทางออก เมื่อมีพนักงานออกจากประตูแฮกเกอร์มืดจะขอเข้าโดยอ้างว่าออกมาผิดประตู พนักงานส่วนมากจะไม่สงสัยคนส่งของและยินยอมให้เข้าโดยดี

เมื่อเข้าไปภายในสำนักงานได้แล้ว แฮกเกอร์มืดจะหาโอกาสเข้าถึงรหัสผ่านซึ่งสามารถทำได้หลายทาง เช่นแอบดูการ sing-on หยิบฉวยสมุดบันทึก หรือกระดาษ Post-it ที่จดรหัสผ่านไว้ ลอบขโมยฮาร์ดดิสก์จากแผนกซ่อมบำรุง หรือใช้เครื่องคอมพิวเตอร์ในห้องทำงานที่ว่างอยู่เป็นต้น

วิธีนี้แม้จะเสี่ยงต่อการถูกจับ แต่ในหน่วยงานที่ใหญ่มากๆ ผู้คนสับสนวุ่นวาย พนักงานมักยุ่งอยู่กับธุระของตนเอง จนไม่สังเกตความผิดปรกติใดๆ

หาแถมจากขยะ

หากการใช้โทรศัพท์ไม่เหมาะหรือไม่ได้ผล และการลอบเข้าไปในสำนักงานเสี่ยงเกินไป แฮกเกอร์มืดจะใช้วิธีเก็บรวมรวมขยะของหน่วยงานนั้นๆ ในกรณีที่ถังขยะเข้าถึงยากหรือมีการมาตรการรักษาความปลอดภัยดี แฮกเกอร์มืดอาจติดสินบนพนักงานทำความสะอาด หรือพนักงานเก็บขยะเพื่อให้รวบรวมขยะมาให้

บ่อยครั้งที่ขยะจะประกอบด้วยเอกสารสำคัญต่างๆ เช่นรายชื่อผู้ใช้และรหัสผ่านที่ admin พิมพ์ออกมาเพื่อเก็บเข้าแฟ้ม เมื่อมีการปรับปรุงข้อมูลก็ทิ้งเอกสารเดิมลงถังขยะ แต่รายการเก่ามักเต็มไปด้วยรหัสที่ยังใช้การได้ แผนภูมิ ที่ตั้ง รายละเอียดทางเทคนิคของระบบเครือข่าย ต้นขั้วการชำระเงินผ่านบัตรเครดิต บางครั้งอาจถึงกับมีแผ่นดิสก์ ซีดี และฮาร์ดดิสก์เก่าที่ทิ้งแล้วยังใช้งานได้ สื่อบันทึกเก่าๆ เหล่านี้ล้วนเป็นแหล่งอุดมด้วยข้อมูลที่แฮกเกอร์มืดอาจนำมาใช้เป็นเบาะแส หรือเงื่อนงำในการสืบหารหัสผ่านได้เป็นอย่างดี

หากเก็บรวบรวมและคัดแยกขยะหลายวันแล้วยังไม่พบรหัสผ่าน แฮกเกอร์มืดก็มีเทคนิคมากมายให้พนักงานนำรหัสผ่านใส่ในถังขยะ ยกตัวอย่างเช่น DSI เคยเจอคดีหนึ่งซึ่งแฮกเกอร์มืดโทรไปบอก admin ว่ามีพนักงานจำนวนมากเขียนชื่อและรหัสผ่านใส่แผ่น Post-it ติดไว้ในที่แจ้ง admin ถามว่าใครโทรมา แฮกเกอร์มืดตอบว่าไม่ประสงค์ออกนาม เพราะไม่อยากขัดใจกับเพื่อนพนักงาน admin จึงตรวจสอบดูและพบว่ามีการกระทำเช่นนั้นจริง admin จึงออกหนังสือเวียนแจ้งว่าการทำเช่นนั้นผิดระเบียบของบริษัท เมื่อพนักงานเห็นหนังสือเวียนก็ปลดแผ่น Post-it ออกจากข้างฝา ขย้ำเป็นก้อน แล้วโยนทิ้งลงถังขยะ

จอมสวะตกทอง

เทคนิคการตกทองคล้ายเทคนิคที่พวกสิบแปดมงกุฎใช้ โดยอาศัยความโลภหรือความอยากรู้อยากเห็นของมนุษย์เป็นเครื่องมือ แฮกเกอร์มืดจะส่งอีเมลไปยังเป้าหมาย แจ้งให้ทราบว่าเป็นผู้โชคดีที่ชนะรางวัล หรือปลอมเป็นอีเมลที่ส่งจากผู้บริหารไปยังฝ่ายการเงิน แต่ด้วยเหตุผลใดสักอย่าง อีเมลนั้นกลับหลุดมายังกล่องจดหมายของเป้าหมาย อีเมล ดังกล่าวจะมีไฟล์ Microsoft Excel แนบมาด้วย โดยจะมีชื่อไฟล์ว่า “โครงสร้างเงินเดือนพนักงาน 2550” หรือ “รายชื่อผู้จะได้เลื่อนตำแหน่งในไตรมาศที่สอง” หรือชื่ออื่นๆ ที่ทำให้ผู้ได้รับอยากปิดดู หากผู้รับกดที่ลิงค์ หรือเปิดไฟล์เวิร์คชีต จะมีผลให้คอมพิวเตอร์เครื่องนั้นติดโปรแกรมม้าไม้โทรจัน โปรแกรมนี้มีหน้าที่ช่วยให้แฮกเกอร์มืดเฝ้าดูและรวบรวมข้อมูลที่วิ่งอยู่ในระบบเครือข่ายได้

ในกรณีที่การใช้อีเมลเป็นเหยื่อล่อไม่อาจทำได้ หรือทำแล้วไม่ได้ผล แฮกเกอร์มืดจะใช้วิธีนำแผ่นดิสก์เก็ต แผ่นซีดี หรือแม้กระทั่ง thumb drive (แฟลชเมโมรีที่มีหัว USB) ไปวางไว้ในที่สาธารณะที่เป้าหมายมักเดินผ่าน เช่นบนพื้นใกล้รถยนต์ของเป้าหมาย ตามทางเดินในอาคารเป็นต้น”

 

“แล้วอาจารย์ใช้วิธีไหน” คุณมิติ หัวหน้าแผนกบัญชีถาม

“ผมใช้วิธีที่สามคือปลอมเป็น admin” ผมเฉลย “ผมโทรหาพนักงานคนหนึ่งในแผนกหนึ่ง ขอปกปิดชื่อไว้ก่อน ลองมาฟังเสียงที่บันทึกไว้กัน” ผมกดปุ่มเครื่องเล่น MP3 ซึ่งมีสายต่อกับเครื่องขยายเสียงในห้องประชุม ช่วยให้เสียงที่บันทึกไว้ดังเพียงพอที่ผู้เข้าประชุมทั้งห้องจะได้ยินอย่างชัดเจน

“สวัสดีครับผมโทรจากแผนกสารสนเทศ เราได้รับแจ้งว่าเครื่องของคุณทำงานช้าผิดปรกติใช่ไหม”

“คุณเป็นใคร”

“ผมชื่อยัชโญปวีต เจ้านายผมคือคุณมารศรี หัวหน้าแผนกสารสนเทศสั่งให้โทรกลับมาเบอร์นี้ เพื่อตรวจสอบตามที่ได้รับแจ้ง”

“ดิฉันไม่ได้โทรแจ้ง อาจเป็นคุณประดิษฐ์เพราะเบอร์ภายในคล้ายกัน มีคนโอนมาผิดเป็นประจำ”

“แล้วคอมพิวเตอร์ของคุณปรกติดีไหม มีช้าไหม”

“บางที่ก็ช้าเหมือนกัน”

 

“น่ากลัวว่าแผนกคุณทั้งแผนกจะติดไวรัสหรือตัวอัปมงคลอะไรสักอย่าง ผมจะตรวจสอบให้ คุณจะสละเวลาช่วยสักสองนาทีได้ไหม”

“ได้ แต่ดิฉันเพิ่งเข้าใหม่ ไม่คุ้นกับระบบที่นี่”

“ไม่เป็นไร เพียงแต่ทำตามขั้นตอนง่ายๆ ที่ผมกำลังจะบอกก็พอ พร้อมไหม”

“ค่ะ”

“ถ้างั้นคุณช่วย sing-off หน่อยผมจะลอง sing-on ด้วย account ของคุณ เพื่อจะได้ตรวจสอบได้ว่ามีอะไรผิดปรกติไหม”

“ต้องทำยังไงคะ”

“ป้อนชื่อและรหัสในหน้าพิเศษ”

“หน้าที่ว่าอยู่ตรงไหน”

“เอางี้นะครับ ผมจะป้อนที่เครื่องของผมก็ได้ ชื่ออะไรครับ”

“รติลักษ์ค่ะ”

“แล้วรหัสผ่านละครับ”

“panda500ค่ะ”

“ขอบคุณครับคุณรติลักษ์ แต่น่ากลัวว่าคุณเพิ่งจะบอกความข้อมูลที่อ่อนไหวอย่างยิ่งให้กับคนแปลกหน้า ขอเชิญเข้าร่วมประชุมเรื่องการรักษาความปลอดภัยงระบบคอมพิวเตอร์ที่ห้องประชุมใหญ่ชั้นสี่สิบวันจันทร์ที่จะถึงนี้ตอนสิบโมงเช้าด้วยนะครับ”

 

 

ผู้เข้าประชุมส่งเสียงพึมพำ คุณสุกรีหัวเราะหึๆ คุณมารศรีอมยิ้ม คุณมิติกับอีกหลายๆ คนตบมือแปะๆ บางคนยอมเสียมารยาทหันไปมองคุณรติลักษ์ซึ่งโบกมือให้อย่างขวยเขิน

“พอได้รหัสแล้วทำอะไรได้ค่ะ? มีแต่คอมพิวเตอร์ในสำนักงานนี่เท่านั้นที่จะ sign-on เข้าสู่ระบบได้ หรือว่าอาจารย์แอบเข้ามาใช้เครื่องในนี้? รปภ. ไม่น่าจะยอมให้เข้ามานะคะ” คุณลีลาวดีตั้งคำถาม

“ไม่จำเป็นต้องเข้ามาเลยครับ เห็นอาคารโน่นไหม” ผมชี้ออกไปนอกหน้าต่าง “นั่นคือโรงแรมไทยอาหม เป็นตึกสูงระดับเดียวกับสำนักงานนี้ ผมเข้าพักที่ห้องสวีทชั้นสี่สิบ แล้วใช้คอมพิวเตอร์ที่มีเครื่องรับสัญญาณไร้สายในตัว ก็สามารถตรวจพบสัญญาณเครือข่ายไร้สายที่มาจากบริษัทนี้ได้”

“แต่เราปรับตัวส่งสัญญาณให้มีรัศมีครอบคลุมเพียงพื้นที่ในสำนักงานเท่านั้นนี่คะ โรงแรมนั่นน่าจะห่างออกไปไม่ต่ำกว่า 200 เมตร” คุณมารศรีถามอย่างประหลาดใจ

“ถูกต้องครับ ผมจึงต้องใช้เสาอากาศพิเศษเพื่อขยายสัญญาณให้แรงเพียงพอที่จะเชื่อมต่อได้อย่างมั่นคง”

“มีของแบบนี้ขายด้วยหรือคะ”

“มีสิครับ ถ้าไม่อยากซื้อจะประดิษฐ์ขึ้นเองจากหลอดใส่มันฝรั่งทอดก็ยังได้”

 


เสาอากาศขยายสัญญาณระบบเครือข่ายไร้สายย่านความถี่ 2.4GHz

“ถ้าแค่ sign-on เข้ามาใน account ของคุณรติลักษ์ก็ไม่น่าจะทำอะไรได้มาก เพราะมีสิทธิจำกัด” คุณมารศรีตั้งข้อสังเกต

“ผิดถนัดเลยครับ” ผมแก้ไข “เพราะเมื่อเข้าในระบบได้แล้วผมใช้โปรแกรม sniff เพื่อเฝ้าดูและรวบรวมข้อมูลในระบบ จากนั้นจึงนำข้อมูลมาวิเคราะห์ ใช้เวลาไม่นานผมก็ได้รหัสของ admin หรือ super user ทำให้ผมสามารถครอบครองระบบได้โดยสมบูรณ์ ผมอาจลบข้อมูลทั้งหมด ปิดระบบ หรือทำธุรกรรมที่อาจสร้างผลกำไรให้แก่ตัวผมเองได้เป็นล้านๆ ก็ได้ตามใจชอบ”

“ไม่จริง ชัยชนะไม่ใช่สถาบันการเงิน คุณจะยักยอกเงินอะไรได้” คุณมิติ หัวหน้าแผนกบัญชีแย้ง

“ในทางตรงกันข้าม ด้วยข้อมูลหมายเลขบัตรเครดิตที่ผมรวบรวมได้จากถังขยะ บวกกับข้อมูลธุรกรรมการเงินที่รวบรวมได้จากการ sniff ผมสามารถใช้ข้อมูลเหล่านี้เพื่อยักยอกเงินในลักษณะต่างๆ ได้ไม่ต่ำกว่าห้าสิบวิธี”

“ยิ่งฟังยิ่งน่ากลัวขึ้นทุกที นี่เราจะหาทางป้องกันได้ยังไงครับอาจารย์” คุณสุกรีถามขณะที่วุ่นวายอยู่กับการใช้ผ้าเช็ดหน้าซับเหงื่อบนศีรษะที่ล้านเลี่ยน

 

“ปัญหาของบริษัทชัยชนะก็เหมือนบริษัทขนาดยักษ์อื่นๆ คือไม่ได้อยู่ที่เครื่อง แต่อยู่ที่คน ฮาร์ดแวร์และซอฟท์แวร์ด้านรักษาความปลอดภัยเครือข่ายได้รับการติดตั้งไว้รัดกุมดีอยู่แล้ว สิ่งที่ยังเป็นจุดอ่อนคือบุคลากร การออกกฎระเบียบต่างๆ เพียงอย่างเดียวไม่เพียงพอ วิธีที่ดีที่สุดเพื่อรับมือกับแฮกเกอร์มืดคือต้องจัดอบรมพนักงาน ทุกฝ่าย ทุกแผนก ทุกระดับ ให้เข้าใจเทคนิค social engineering ครับ”

หมายเหตุ: ชื่อตัวละคร IP address ชื่อสถานที่ ชื่อหน่วยงาน เป็นสิ่งที่สมมุติขึ้นในทางนิยายทั้งหมด หากมีสิ่งใดตรงกับสิ่งที่มีอยู่จริงข้อให้ทราบว่าเป็นเรื่องที่เกิดขึ้นโดยบังเอิญ ผู้เขียนไม่มีเจตนาพาดพิงหรือหมิ่นประมาทผู้ใดทั้งสิ้น

 

จบเรื่องนิยายนักสืบตอน 2

Post a comment or leave a trackback: Trackback URL.

ใส่ความเห็น

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / เปลี่ยนแปลง )

Twitter picture

You are commenting using your Twitter account. Log Out / เปลี่ยนแปลง )

Facebook photo

You are commenting using your Facebook account. Log Out / เปลี่ยนแปลง )

Google+ photo

You are commenting using your Google+ account. Log Out / เปลี่ยนแปลง )

Connecting to %s

%d bloggers like this: