October 11, 2024

Language:

តើការបោកបញ្ឆោត (Phishing) ដំណើរការយ៉ាងដូចម្តេច?

១. ព័ត៌មានទូទៅ

ជាមួយនឹងមធ្យោបាយសម័យទំនើប សន្តិសុខសាយប័រនៃហេដ្ឋារចនាសម្ព័ន្ធប្រព័ន្ធនាពេលបច្ចុប្បន្ននេះអាចមានសុវត្ថិភាពយ៉ាងខ្ពស់។ មានការវាយប្រហារសាយប័រតិចតួចណាស់ដែលអាចឱ្យឧក្រិដ្ឋជនសាយប័រចូលទៅក្នុងហេដ្ឋារចនា–សម្ព័ន្ធដែលមានមធ្យោបាយការពារគ្រប់គ្រាន់ លើកលែងតែការប្រើប្រាស់ចំណុចខ្សោយ zero-day ស្មុគ្រស្មាញប៉ុណ្ណោះ។ ប៉ុន្តែកត្តាមនុស្សនៅក្នុងប្រព័ន្ធមិនមានលក្ខណៈដូចកត្តាបច្ចេកវិទ្យាទេ។ មនុស្សអាចមានកំហុស ភ្លេចខ្លួន អាចក្លាយជាជនរងគ្រោះនៃការប៉ុនប៉ងបន្លំ ផ្តល់ឱ្យអ្នកវាយប្រហារនូវអ្វីដែលពួកគេចង់បានដោយងាយស្រួល។ តាមរយៈការដឹងពីដំណើរការគ្រោងការបោកបញ្ឆោត អ្នកអាចត្រៀមខ្លួនបានប្រសើរជាងមុន និងអាចជៀសវាងក្លាយជាជនរងគ្រោះ។

.តើអ្វីទៅជាការបោកបញ្ឆោត (Phishing)?

ពាក្យ phishing មានប្រភពមកពីការច្នៃនៃពាក្យ “fishing” (ស្ទូច) ដែលគេប្រើក្នុងឃ្លា “fishing for information” (ស្ទូចយកព័ត៌មាន) ជាមួយនឹង “ph” ដែលប្រហែលជាបានមកពីពាក្យកម្លាយកាត់ “phreaking” ដែលបានមកពីឃ្លា “phone hacking” ។ ឃ្លានេះធ្លាប់ត្រូវបានប្រើពីមុនមក នៅពេលពួកហេកគ័រប្រើឧបករណ៍ដើម្បីលួចប្រើខ្សែទូរសព្ទដោយឥតគិតថ្លៃ ដែលពួកហេកគ័រទាំងនេះត្រូវបានគេហៅថា “phreakers”។

ការបោកបញ្ឆោត (phishing) គឺជាការវាយប្រហារសាយប័រមួយ ដែលតួអង្គគំរាមកំហែងក្លែងបន្លំធើ្វពុតជាតួអង្គស្របច្បាប់ ដើម្បីបញ្ឆោតមនុស្សឱ្យប្រគល់ព័ត៌មានរសើបដល់ខ្លួន ដែលមានដូចជាពាក្យសម្ងាត់ លេខកាតឥណទាន ឬទិន្នន័យផ្ទាល់ខ្លួនផ្សេងទៀតដែលគេអាចប្រើជាបន្តបន្ទាប់ដើម្បីលួចចូលប្រព័ន្ធកុំព្យូទ័រ លួចប្រើអត្តសញ្ញាណ និងសកម្មភាពទុច្ចរិតផ្សេងៗទៀត។ ជារឿយៗ ការបោកបញ្ឆោតគឺជាជំហានដំបូងដែលអ្នកវាយប្រហារប្រើប្រាស់ក្នុងគម្រោងការវាយប្រហារសាយប័ររបស់គេ។

ប្រភេទមួយនៃការក្លែងបន្លំដែលមានច្រើនបំផុតគឺ ការក្លែងបន្លំមានគោលដៅច្បាស់លាស់ (spear phishing) ដែលក្នុងនោះ ហេកគ័របង្កើតអ៊ីមែលក្លែងក្លាយបន្លំជាអ៊ីមែលផ្លូវការរបស់ក្រុមហ៊ុន ឧទាហរណ៍ពីបុគ្គលិកណាម្នាក់នៅក្នុងផ្នែកធនធានមនុស្ស ឬពីអតិថិជនឬដៃគូរបស់ក្រុមហ៊ុន ដើម្បីធ្វើឱ្យបុគ្គលិកក្រុមហ៊ុនចុចតំណភ្ជាប់ព្យាបាទបង្កប់ ដែលជំរុញឱ្យពួកគេផ្ដល់ព័ត៌មានសម្ងាត់ ឬបើកឯកសារភ្ជាប់អ៊ីមែលដែលមានមេរោគដើម្បីជាមធ្យោបាយឆ្លងកាត់ប្រព័ន្ធការពាររបស់ក្រុមហ៊ុន។

៣.តើការបោកបញ្ឆោត (Phishing) ដំណើរការយ៉ាងដូចម្តេច?

ការបោកបញ្ឆោតដោយជោគជ័យមានទិដ្ឋភាពសំខាន់ពីរ៖ បច្ចេកទេស និងចិត្តសាស្ត្រ។

ទិដ្ឋភាពបច្ចេកទេស

បញ្ហាបច្ចេកទេសចម្បងដែលអ្នកក្លែងបន្លំជួបប្រទះគឺ ការឆ្លងកាត់ប្រព័ន្ធចម្រោះមាតិកាមិនបានការ (spam filters)។ កម្មវិធី និងម៉ាស៊ីនមេអ៊ីមែលមានមុខងារស្កេនរកមាតិកាដែលអាចបង្កគ្រោះថ្នាក់។ ប្រសិនបើជនគោលដៅនៃការក្លែងបន្លំទទួលបានអ៊ីមែលក្លែងបន្លំដែលមានផ្ទាំងបង្ហាញថាអ៊ីមែលនេះអាចបង្កគ្រោះថ្នាក់ ឬមិនបានទទួលអ៊ីមែលនោះសោះដោយសារប្រព័ន្ធការពារបានចាប់ទុក នោះគម្រោងការវាយប្រហារនឹងបរាជ័យ។

ការស្វែងរកឈ្មោះដែនសម្រាប់ការវាយប្រហារ

អ្នកវាយប្រហារចាប់ផ្តើមដោយការស្វែងរកទិញឈ្មោះដែនចាស់ដែលមានប្រវត្តិសមរម្យ (ត្រូវបានចុះឈ្មោះប្រើប្រាស់ពីមុនមក ហើយត្រូវបានប្រើប្រាស់មួយរយៈមកហើយ)។ គេទិញឈ្មោះដែននេះទុកជាច្រើនខែមុនពេលគម្រោងការវាយប្រហារត្រូវចាប់ផ្ដើម ហើយចុះឈ្មោះដោយប្រើអាសយដ្ឋានអ៊ីមែលផ្ដល់ដោយសេវាកម្មដែលគេស្គាល់ដូចជា Google Mail ឬ Microsoft Outlook ជាដើម ហើយប្រើអាសយដ្ឋានអ៊ីមែលនេះដើម្បីផ្ញើអ៊ីមែលស្របច្បាប់មួយចំនួនជារៀងរាល់ថ្ងៃដើម្បីបង្កើនកេរ្តិ៍ឈ្មោះនៃអាសយដ្ឋានអ៊ីមែល កុំឱ្យប្រព័ន្ធការពារកត់សម្គាល់។ ជាការល្អ ឈ្មោះដែនគួរតែពាក់ព័ន្ធនឹងខ្លឹមសារនៃអ៊ីមែលក្លែងបន្លំ។

៤.ការបង្កើតគេហទំព័រក្លែងបន្លំ

មុនពេលដំណើរការគម្រោងការក្លែងបន្លំ អ្នកវាយប្រហារបង្កើតគេហទំព័រមួយមើលទៅដូចមែនទែន៖

  • ប្រើបច្ចេកវិទ្យា SSL
  • គ្មានតំណភ្ជាប់ខូច
  • HTTP headers មានន័យពេញលេញ
  • ទំព័រដើមមានការបញ្ជូនបន្តទៅកាន់ទំព័រដំបូងដែលមិនមានលក្ខណៈព្យាបាទ
  • Web crawler មើលគេហទំព័រឃើញជាគេហទំព័រត្រឹមត្រូវ មិនមានបញ្ហា។

វិធីសាស្រ្តមួយដើម្បីបង្កើតគេហទំព័របែបនេះបានគឺ ចម្លងទំព័រដើមរបស់អតិថិជន ឬរបស់ដៃគូ អតិថិជន ឬសេវាកម្មដែលគេស្គាល់។ គេហទំព័រនីមួយៗនៅលើអ៊ីនធឺណិតត្រូវបានបែងចែកដោយម៉ាស៊ីនស្វែងរកទៅជាប្រភេទដូចជា សុខភាព សេវាកម្មបច្ចេកទេស ប្រព័ន្ធផ្សព្វផ្សាយ និងប្រភេទផ្សេងៗទៀត។ ដូចនេះ គេហទំព័រព្យាបាទគួរត្រូវបញ្ចូលទៅក្នុងប្រភេទដែលត្រូវនឹងមូលបទនៃការក្លែងបន្លំ។

នៅថ្ងៃដែលអ៊ីមែលបន្លំត្រូវបានផ្ញើចេញ អ្នកវាយប្រហារនឹងប្ដូរគេហទំព័រធម្មតាទៅជាគេហទំព័រព្យាបាទ។ ក្នុងករណីខ្លះ គេប្រើប្រាស់វិធីសាស្ត្រ dynamic redirect ដែលមានទំព័រទីមួយជាទំព័រធម្មតាដើម្បីឆ្លងកាត់ប្រព័ន្ធស្កេនមាតិកា ប៉ុន្តែនៅពេលមានបុគ្គលិកណាម្នាក់ចុចលើតំណភ្ជាប់ គេនឹងត្រូវបាននាំទៅគេហទំព័រក្លែងបន្លំ។

.ការប្រើបច្ចេកទេសទីផ្សារ

ការបោកបញ្ឆោត ប្រើបច្ចេកទេសទីផ្សារ (marketing techniques) ដើម្បីបង្កើនអត្រាជោគជ័យក្នុងការធ្វើឱ្យជនគោលដៅចូលអានអ៊ីមែល ចូលទៅកាន់គេហទំព័រ ហើយបញ្ចូលព័ត៌មានដែលចង់បាន។ នៅពេលដែលអ៊ីមែលបន្លំត្រូវបានផ្ញើ អ្នកវាយប្រហារភាគច្រើននឹងប្រើបច្ចេកវិទ្យាតាមដានការបើកអ៊ីមែល ការចុចលើតំណភ្ជាប់ក្លែងបន្លំ អត្រាជោគជ័យនៃការបញ្ចូលព័ត៌មានក្នុងទំព័របន្លំ ក៏ដូចជារង្វាស់ផ្សេងៗទៀត ដើម្បីឱ្យពួកគេកែសម្រួលគំរូអ៊ីមែលបន្លំបន្ថែមទៀត។ លើសពីការប្រើប្រាស់អ៊ីមែល ការផ្សាយពាណិជ្ជកម្ម Facebook, សារអក្សរ បណ្តាញ Telegram, ក៏អាចត្រូវបានប្រើក្នុងការវាយប្រហារផងដែរ។ បច្ចេកទេសទីផ្សារក៏អាចត្រូវបានប្រើសម្រាប់បង្កើតបញ្ជីអ៊ីមែលគោលដៅផងដែរ៖ អ្នកវាយប្រហារនឹងពិនិត្យមើលប្រព័ន្ធផ្សព្វផ្សាយសង្គម ផ្ទាំងសារព័ត៌មាននានា ក៏ដូចជាគេហទំព័រក្រុមហ៊ុនគោលដៅដែរ ដើម្បីស្វែងរកអាសយដ្ឋានអ៊ីមែលគោលដៅ។ អ្នកវាយប្រហារក៏អាចទិញអាសយដ្ឋានអ៊ីមែលពីក្រុមហ៊ុនសេវាកម្មទីផ្សារដែលបានប្រមូលព័ត៌មានដែលគេត្រូវការផងដែរ។

៦.ទិដ្ឋភាពចិត្តសាស្ត្រ

បច្ចេកទេសទីផ្សារមួយ ដែលគេប្រើផងដែរគឺចិត្តវិទ្យា ដែលជាការគិតស្វែងរកអ្វីដែលនឹងជំរុញអ្នកទទួលអ៊ីមែលឱ្យចុចលើតំណភ្ជាប់ក្លែងបន្លំ៖

  • ភាពលោភលន់ ជាពិសេសគួបផ្សំជាមួយការភ័យខ្លាចបាត់បង់ឱកាស៖ ការផ្តល់ជូនមានរយៈពេលកំណត់អាចដាក់សម្ពាធលើអ្នកទទួលឱ្យចុចតំណភ្ជាប់ភ្លាមៗ ដោយហេតុសោកស្តាយពេលផុតកំណត់។
  • អនុលោមភាព និងកាតព្វកិច្ច៖ ជាឧទាហរណ៍ សំណើដើម្បីបំពេញព័ត៌មានក្នុងកម្រងសំណួរពាក់ព័ន្ធនឹងដំណើរការអនុលោមតាមគោលការណ៍ know-your-customer, ឬសម្រាប់ការបណ្តុះបណ្តាលសន្តិសុខសាយប័រជូនបុគ្គលិក អាចឱ្យបុគ្គលិកធ្វើទៅតាមអ្វីដែលអ៊ីមែលទាមទារបាន។
  • មោទនភាព៖ រង្វាន់ក្លែងក្លាយដែលមើលទៅមានសារៈសំខាន់ ឬកៅអីសម្រាប់បទសម្ភាសន៍អ្នកជំនាញក្នុងកម្មវិធីព័ត៌មានល្បីល្បាញមួយ ក៏អាចឱ្យគោលដៅ(ជាបុគ្គលិកជាន់ខ្ពស់)ចុចលើតំណភ្ជាប់ផងដែរ។

វិធីសាស្រ្តមួយទៀតគឺត្រូវតាមដាននូវអ្វីដែលកំពុងកើតឡើងនៅលើប្រព័ន្ធផ្សព្វផ្សាយជាទូទៅទាក់ទងនឹងអង្គភាពគោលដៅ។ ជាឧទាហរណ៍ ប្រសិនបើថ្មីៗនេះ ក្រុមហ៊ុនមានការបញ្ឈប់ការងារបុគ្គលិកជាច្រើន ការផ្ញើអ៊ីមែលពាក់ព័ន្ធនឹងការបណ្ដុះបណ្ដាលជំនាញបុគ្គលិក អាចជាវិធីសាស្ត្រល្អ។ ល្បិចដែលប្រើគឺបង្កើតអ្វីមួយសំដៅជាពិសេសទៅលើគោលដៅ ដែលធ្វើឱ្យពួកគេគិតថាគ្មានជនទុច្ចរិតណាចំណាយពេលដ៏ច្រើននិងខំប្រឹងប្រែងដើម្បីបង្កើតការក្លែងបន្លំជាពិសេសបែបនេះនោះទេ។ នោះមានន័យថាក្នុងល្បិចនេះ អ្នកវាយប្រហារត្រូវពិចារណាថាតើពួកគេកំពុងព្យាយាមក្លែងបន្លំអ្នកណាគេ? ឧទាហរណ៍ ជំនួយការរបស់ នាយកប្រតិបត្តិ ឬបុគ្គលិកណាម្នាក់នៅក្នុងក្រុមគ្រប់គ្រងប្រព័ន្ធ IT ជាដើម។

.សេចក្តីសន្និដ្ឋាន

ការវាយប្រហារបោកបញ្ឆោតកំពុងវិវឌ្ឍឥតឈប់ឈរ។ តាមរយៈការយល់ដឹងអំពីល្បិចបោកបញ្ឆោតទូទៅដែលអ្នកវាយប្រហារប្រើ ទាំងទិដ្ឋភាពបច្ចេកទេស និងទិដ្ឋភាពចិត្តសាស្ត្រ អ្នកអាចត្រៀមខ្លួនបានប្រសើរជាងមុនដើម្បីការពារខ្លួនកុំឱ្យក្លាយជាជនរងគ្រោះ និងបង្កការខូចខាតដល់ខ្លួននិងស្ថាប័នរបស់ខ្លួន។

. ឯកសារពាក់ព័ន្ធ

  • – https://hackread.com/one-phish-two-phish-red-phish-blue-phish/
***Disclaimer: CamCERT own some of the content. Our purpose is pure to help spread the awareness, tips or other information related to security to everyone. Even though every information is true, accurate, completed and appropriate, we make no responsibility nor warranty since everything could go wrong.