การโจมตีแบบฟิชชิ่งด้วย AI กำลังเปลี่ยนหนึ่งในกฎที่เก่าแก่ที่สุดของการตระหนักรู้ด้านความปลอดภัย: ไวยากรณ์ที่ไม่ถูกต้องไม่ใช่สัญญาณเตือนที่เชื่อถือได้อีกต่อไป
เป็นเวลาหลายปีที่พนักงานได้รับการสอนให้คอยสังเกตการใช้คำที่ดูแปลก การจัดรูปแบบที่ผิดปกติ ข้อผิดพลาดในการสะกดคำ และคำทักทายทั่วไป เบาะแสเหล่านี้ยังคงมีความสำคัญ แต่ไม่สามารถตรวจจับการโจมตีแบบฟิชชิ่งที่ขับเคลื่อนด้วย AI ได้
Generative AI สามารถช่วยให้ผู้โจมตีเขียนข้อความเฉพาะบุคคลได้ภายในไม่กี่วินาที อีกทั้งยังสามารถเลียนแบบน้ำเสียงของบริษัท สรุปข้อมูลสาธารณะเกี่ยวกับพนักงาน เปลี่ยนพรอมต์สั้นๆ ให้กลายเป็นคำขอใบแจ้งหนี้ที่น่าเชื่อถือ หรือปรับแต่งการหลอกลวงให้ฟังดูเหมือนเจ้าของภาษาในภาษาเป้าหมายใดๆ ก็ได้
อย่างไรก็ตาม นี่ไม่ใช่ภัยคุกคามใหม่ทั้งหมด แต่เป็นการยกระดับฟิชชิ่งด้วยการเขียนที่ดีขึ้น การเตรียมการที่เร็วขึ้น และการแอบอ้างที่น่าเชื่อถือยิ่งขึ้น ฟิชชิ่งยังคงมีเป้าหมายเพื่อให้เหยื่อคลิก แชร์ข้อมูลยืนยันตัวตน อนุมัติการชำระเงิน เปิดไฟล์ หรือย้ายบทสนทนาไปยังช่องทางที่ผู้โจมตีควบคุมอยู่ AI เพียงแค่ทำให้การล่อลวงนั้นน่าเชื่อถือยิ่งขึ้นและขยายขนาดได้ง่ายขึ้น
ภายในองค์กรธุรกิจ ทีมงานจำเป็นต้องสร้างอุปนิสัยใหม่ๆ เราจะอธิบายถึงสิ่งที่ควรสังเกตและวิธีสร้างการป้องกันฟิชชิ่งและการละเมิดข้อมูลที่ดียิ่งขึ้นภายในเครือข่ายธุรกิจของคุณ
การโจมตีแบบฟิชชิ่งด้วย AI แตกต่างออกไปอย่างไร?
อีเมลฟิชชิ่งที่สร้างโดย AI ดูเหมือนงานจริง
วิศวกรรมสังคมด้วย AI รูปแบบใหม่
ทำไม SMB จึงเผชิญความเสี่ยงเพิ่มขึ้นเรื่อยๆ
วิธีปรับการฝึกอบรมด้านฟิชชิ่งให้รับมือกับการโจมตีที่ใช้ AI
สิ่งที่ธุรกิจต้องทำต่างไปจากเดิม
Proton Pass for Business ช่วยลดความเสี่ยงด้านข้อมูลยืนยันตัวตนได้อย่างไร
การโจมตีแบบฟิชชิ่งด้วย AI แตกต่างออกไปอย่างไร?
ก่อนที่จะมี generative AI การทำฟิชชิ่งต้องใช้ความพยายามด้วยตนเองมากกว่านี้ ผู้โจมตีต้องค้นหาข้อมูลเป้าหมาย เขียนข้อความให้น่าเชื่อถือ ปรับน้ำเสียง และบางครั้งต้องแปลข้อความสำหรับตลาดต่างๆ ซึ่ง Generative AI ช่วยลดอุปสรรคเหล่านี้ลงได้อย่างมาก
รายงานของศูนย์รักษาความปลอดภัยทางไซเบอร์แห่งชาติของสหราชอาณาจักรเกี่ยวกับการผลกระทบของ AI ต่อภัยคุกคามทางไซเบอร์(หน้าต่างใหม่)ตั้งแต่ปัจจุบันจนถึงปี 2027 ระบุว่า AI จะทำให้การบุกรุกทางไซเบอร์ในบางส่วนมีประสิทธิผลและประสิทธิภาพมากขึ้นอย่างแน่นอน ซึ่งจะเพิ่มความถี่และความรุนแรงของภัยคุกคามทางไซเบอร์ นอกจากนี้ยังระบุด้วยว่าผู้ไม่หวังดีกำลังใช้ AI เพื่อปรับปรุงกลยุทธ์ที่มีอยู่แล้ว รวมถึงวิศวกรรมสังคม
ขณะนี้ผู้โจมตีสามารถสร้างข้อความการโจมตีแบบฟิชชิ่งที่ดูเป็นธรรมชาติและมีความเฉพาะเจาะจงมากขึ้นได้ อีเมลหลอกลวงสามารถอ้างถึงซัพพลายเออร์จริง โพสต์ล่าสุดบน LinkedIn ตำแหน่งงาน กิจกรรมในภูมิภาค หรือชื่อโครงการภายใน แม้ว่าผู้โจมตีจะมีข้อมูลจำกัด แต่ AI ก็สามารถเติมเต็มช่องว่างด้วยภาษาที่ฟังดูสมเหตุสมผลได้
สัญญาณเตือนของการโจมตีแบบฟิชชิ่งยังคงเหมือนเดิม ลิงก์ที่น่าสงสัย คำขอเร่งด่วน ไฟล์แนบที่ไม่คาดคิด และโดเมนผู้ส่งที่แปลกไปยังคงเป็นสิ่งสำคัญ แต่เนื้อหาเพียงอย่างเดียวไม่เพียงพอที่จะบ่งบอกถึงการโจมตีได้อีกต่อไป
| การโจมตีแบบฟิชชิ่งแบบดั้งเดิม | การโจมตีแบบฟิชชิ่งที่ขับเคลื่อนด้วย AI |
| มักมีการพิมพ์ผิด ไวยากรณ์ที่แปลก หรือคำทักทายทั่วไป | สามารถใช้การเขียนที่สละสลวย เป็นธรรมชาติ และมีน้ำเสียงที่เหมาะสม |
| มักอาศัยข้อความกว้างๆ ทั่วไป | สามารถระบุรายละเอียดส่วนบุคคล บริบทของบริษัท หรือการอ้างอิงถึงผู้ให้บริการได้ |
| ส่วนใหญ่ปรากฏในรูปแบบอีเมลที่น่าสงสัย | สามารถผสมผสานทั้งอีเมล การโคลนเสียง ใบแจ้งหนี้ปลอม และวิดีโอดีปเฟก |
อีเมลฟิชชิ่งที่สร้างโดย AI ดูเหมือนงานจริง
การโจมตีแบบฟิชชิ่งมีตั้งแต่ระดับพื้นฐานไปจนถึงระดับที่ซับซ้อนสูงมาโดยตลอด แต่ generative AI ได้ช่วยลดทักษะและเวลาที่ต้องใช้ในการสร้างข้อความที่สละสลวย มีโครงสร้างที่ดี และเขียนด้วยภาษาที่ฟังดูเป็นมืออาชีพ
คำแนะนำเกี่ยวกับฟิชชิ่ง(หน้าต่างใหม่)ของ NCSC ระบุว่าแคมเปญฟิชชิ่งอาจพยายามขโมยข้อมูลที่ละเอียดอ่อน เช่น รหัสผ่าน หรือหลอกล่อให้ผู้คนโอนเงิน นอกจากนี้ยังอธิบายด้วยว่าแคมเปญที่มีการกำหนดเป้าหมายมากขึ้นจะใช้ข้อมูลเกี่ยวกับพนักงานหรือบริษัทเพื่อให้ข้อความดูสมจริงยิ่งขึ้น ซึ่ง AI ทำให้สิ่งนี้ทำได้ง่ายขึ้นในวงกว้าง
การป้องกันการโจมตีแบบฟิชชิ่งยุคใหม่จำเป็นต้องมีการควบคุมแบบหลายชั้นมากกว่าการใช้ตัวกรองเพียงตัวเดียว: ได้แก่ การยืนยันตัวตนแบบหลายปัจจัย (MFA) เพื่อลดทอนภัยคุกคามจากข้อมูลยืนยันตัวตนที่ถูกขโมย กระบวนการสื่อสารที่ผ่านการตรวจสอบสำหรับคำขอที่สำคัญ และการฝึกอบรมพนักงานให้รับรู้วิศวกรรมสังคมก่อนที่จะส่งมอบข้อมูลยืนยันตัวตน
การจัดการข้อมูลยืนยันตัวตนอย่างปลอดภัยยังเป็นสิ่งสำคัญในการป้องกันของคุณอีกด้วย โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ เช่น Proton Pass for Business ช่วยให้การสร้างรหัสผ่านที่รัดกุมและไม่ซ้ำกันสำหรับทุกบัญชีเป็นเรื่องง่าย คุณยังสามารถตรวจสอบการรั่วไหลภายในเครือข่ายธุรกิจของคุณได้อีกด้วย ดังนั้น แม้ว่าสมาชิกในทีมจะหลงเชื่อข้อความใดข้อความหนึ่ง แต่ข้อมูลยืนยันตัวตนของพวกเขาก็จะไม่สามารถปลดล็อกบัญชีได้มากกว่าหนึ่งบัญชี
สำหรับพนักงาน การตระหนักรู้เรื่องฟิชชิ่งจำเป็นต้องพัฒนาขึ้นเพื่อตรวจจับภัยคุกคามที่ขับเคลื่อนด้วย AI รูปแบบใหม่เหล่านี้ โดยต้องถามตัวเองด้วยคำถามสามข้อดังนี้:
- อีเมลนี้ดูปลอมหรือไม่?
- คำขอนี้สมเหตุสมผลหรือไม่?
- ฉันได้ตรวจสอบแล้ว หรือสามารถตรวจสอบผ่านช่องทางที่เชื่อถือได้หรือไม่?
การพิจารณาให้ลึกซึ้งยิ่งกว่าตัวสะกดและการจัดรูปแบบของอีเมล โดยดูบริบทที่กว้างขึ้นของช่วงเวลาที่ส่งมานั้นสามารถช่วยได้เป็นอย่างดี อีเมลที่เขียนอย่างสละสลวยก็ยังอาจเป็นความพยายามในการทำฟิชชิ่งได้ หากมีการขอข้อมูลยืนยันตัวตน เปลี่ยนแปลงรายละเอียดการชำระเงิน สร้างความเร่งด่วนผิดปกติ หรือผลักดันให้ใครบางคนทำนอกเหนือขั้นตอนปกติ
วิศวกรรมสังคมด้วย AI รูปแบบใหม่
ฟิชชิ่งด้วย AI ไม่ได้จำกัดอยู่แค่อีเมลอีกต่อไป ขณะนี้ผู้โจมตีสามารถใช้ AI เพื่อรวมข้อความ เสียง รูปภาพ และวิดีโอเข้าเป็นเรื่องราวที่น่าเชื่อถือเรื่องเดียวได้
สเปียร์ฟิชชิ่งที่สร้างโดย AI
สเปียร์ฟิชชิ่งได้ผลเนื่องจากข้อความถูกเจาะจงไปยังผู้รับโดยตรง ซึ่ง AI ทำให้การกำหนดเป้าหมายง่ายขึ้นไปอีก: ผู้โจมตีไม่จำเป็นต้องเสียเวลาเขียนตั้งแต่ต้นหรือปรับน้ำเสียงสำหรับแต่ละเป้าหมายมากเท่าเดิมอีกต่อไป พวกเขาสามารถใช้ข้อมูลสาธารณะ ข้อมูลที่รั่วไหล หรือกล่องขาเข้าที่ถูกโจมตีเพื่อสร้างข้อความที่ดูถูกต้องน่าเชื่อถือได้
นั่นอาจเป็นการอัปเดตสัญญาที่ส่งมาถูกจังหวะเวลา ไฟล์ผู้สมัครงานที่ส่งถึงฝ่ายบุคคล คำขอจากผู้ให้บริการที่ใช้ภาษาที่คุ้นเคย หรือคำแนะนำในการชำระเงินที่สอดคล้องกับขั้นตอนการทำงานปกติของฝ่ายการเงิน อันตรายไม่ได้อยู่ที่ความสมบูรณ์แบบ แต่อยู่ที่ความสมเหตุสมผล ข้อความสเปียร์ฟิชชิ่งเพียงแค่ต้องให้ความรู้สึกเกี่ยวข้องมากพอที่จะทำให้ใครบางคนเปิดไฟล์ อนุมัติคำขอ หรือป้อนข้อมูลยืนยันตัวตนก่อนที่พวกเขาจะหยุดเพื่อตรวจสอบ
การโคลนเสียงและวิชชิ่ง (Vishing)
วิชชิ่ง หรือฟิชชิ่งทางเสียง กำลังน่าเชื่อถือมากขึ้นเรื่อยๆ เมื่อระบบเสียงที่สร้างโดย AI ได้รับการพัฒนาให้ดียิ่งขึ้น ศูนย์รับเรื่องร้องเรียนเกี่ยวกับอาชญากรรมทางอินเทอร์เน็ตของ FBI ได้เตือนในปี 2025(หน้าต่างใหม่) เกี่ยวกับผู้ไม่หวังดีที่ใช้ข้อความตัวอักษรและข้อความเสียงที่สร้างโดย AI เพื่อแอบอ้างเป็นเจ้าหน้าที่ระดับสูงของสหรัฐฯ การแจ้งเตือนนี้อธิบายว่าวิชชิ่งอาจรวมเสียงที่สร้างโดย AI เข้าไปด้วย และแนะนำให้ตรวจสอบผู้โทรผ่านรายละเอียดผู้ติดต่อที่ระบุไว้อย่างอิสระ
Data Breach Observatory 2026 ของ Proton ยังเน้นย้ำถึงการเพิ่มขึ้นของแคมเปญวิชชิ่ง รวมถึงการโจมตีที่มีการประสานงานกันซึ่งนำไปสู่การละเมิดข้อมูลขนาดใหญ่และเปิดเผยข้อมูลหลายสิบล้านรายการ รายงานเดียวกันนี้ยังพบว่ามีรหัสผ่านปรากฏอยู่ใน 47% ของเหตุการณ์ที่ติดตาม ซึ่งแสดงให้เห็นว่าทำไมวิศวกรรมสังคมและการปกป้องข้อมูลยืนยันตัวตนจึงมีความเชื่อมโยงกันอย่างใกล้ชิด
ฟิชชิ่งแบบดีปเฟกในการโทรผ่านวิดีโอ
ฟิชชิ่งแบบดีปเฟกยังสามารถเกิดขึ้นผ่านวิดีโอได้เช่นกัน ในปี 2024 พนักงานการเงินในฮ่องกงถูกหลอกให้โอนเงินประมาณ 25 ล้านดอลลาร์ตามรายงานข่าว(หน้าต่างใหม่) หลังจากที่มิจฉาชีพใช้วิดีโอดีปเฟกเพื่อแอบอ้างเป็นเพื่อนร่วมงานระดับอาวุโสระหว่างการประชุมทางวิดีโอ
การเห็นใบหน้าที่คุ้นเคยในสายสนทนาไม่เพียงพอที่จะอนุมัติคำขอที่ละเอียดอ่อนได้อีกต่อไป การชำระเงินจำนวนมาก การแชร์ข้อมูลยืนยันตัวตน การเปลี่ยนแปลงสิทธิ์การเข้าถึง และคำขอที่ผิดปกติยังคงต้องมีขั้นตอนการตรวจสอบแยกต่างหากผ่านช่องทางที่เชื่อถือได้
ใบแจ้งหนี้ปลอมที่สร้างโดย AI
การฉ้อโกงใบแจ้งหนี้ทำได้ง่ายขึ้นมากด้วย AI ใบแจ้งหนี้ปลอมสามารถใช้ภาษาที่สละสลวย เงื่อนไขการชำระเงินที่ดูสมจริง ชื่อซัพพลายเออร์ที่คุ้นเคย และคำอธิบายที่สมเหตุสมผลสำหรับการเปลี่ยนรายละเอียดบัญชีธนาคาร หากผู้โจมตีสามารถเข้าถึงกล่องขาเข้าที่ถูกละเมิดหรือข้อมูลผู้ให้บริการที่รั่วไหล คำขอดังกล่าวก็อาจดูน่าเชื่อถือยิ่งขึ้นไปอีก
ใบแจ้งหนี้ที่ดูสละสลวยไม่ควรเป็นเหตุผลเพียงพอสำหรับการโอนเงิน หากรายละเอียดธนาคารมีการเปลี่ยนแปลง จังหวะเวลาดูผิดปกติ หรือข้อความขอให้ข้ามขั้นตอนการอนุมัติตามปกติ คำขอดังกล่าวจำเป็นต้องได้รับการตรวจสอบผ่านช่องทางที่เชื่อถือได้ก่อนที่จะมีการชำระเงิน
เหตุใดธุรกิจ SMB จึงมีความเสี่ยงเพิ่มขึ้นเรื่อยๆ
AI ได้เปลี่ยนความคุ้มค่าทางเศรษฐศาสตร์ของการทำฟิชชิ่งโดยการลดต้นทุนในการกำหนดเป้าหมาย ในอดีต การโจมตีที่มีการเจาะจงบุคคลอย่างละเอียดมักจะมุ่งเน้นไปที่บริษัทขนาดใหญ่เนื่องจากต้องใช้เวลาในการเตรียมการมากกว่า แต่ AI ช่วยให้การสร้างข้อความที่ตรงเป้าหมายสำหรับธุรกิจขนาดเล็กทำได้ง่ายขึ้น ผู้โจมตีสามารถสร้างรูปแบบที่หลากหลายได้มากขึ้น ทดสอบแง่มุมต่างๆ ได้มากขึ้น และปรับเปลี่ยนข้อความได้อย่างรวดเร็วโดยไม่ต้องใช้เวลาหรือความพยายามเท่าเดิม
ธุรกิจขนาดเล็กนั้นดึงดูดใจเพราะเงิน สิทธิ์การเข้าถึง และการตัดสินใจมักกระจุกตัวอยู่กับคนไม่กี่คน คนเพียงคนเดียวอาจอนุมัติใบแจ้งหนี้ จัดการความสัมพันธ์กับผู้ขาย และถือสิทธิ์เข้าถึงเครื่องมือทางธุรกิจหลายอย่าง เมื่อกระบวนการต่างๆ ไม่เป็นทางการ คำขอที่สร้างโดย AI เพียงคำขอเดียวที่มีความน่าเชื่อถือก็สามารถเข้าถึงขั้นตอนการชำระเงิน บัญชีที่แชร์ร่วมกัน ข้อมูลลูกค้า หรือระบบของผู้ดูแลระบบได้ก่อนที่ใครจะมีโอกาสตั้งข้อสงสัย
ความเสี่ยงนี้ยังเห็นได้ชัดในข้อมูลการละเมิดข้อมูลเช่นกัน รายงาน Data Breach Observatory จาก Proton ฉบับเดียวกันพบว่า ธุรกิจ SMB คิดเป็น 63% ของการละเมิดข้อมูลที่มีการติดตามตั้งแต่เดือนมกราคม 2025 และได้รับผลกระทบอย่างมากจากเหตุการณ์ร้ายแรงที่เกี่ยวข้องกับข้อมูลละเอียดอ่อน เช่น ข้อมูลการยืนยันตัวตน ข้อมูลระบุตัวบุคคล หรือรายละเอียดทางการเงิน
AI ช่วยให้ผู้โจมตีใช้ประโยชน์จากจุดอ่อนที่ธุรกิจขนาดเล็กมีอยู่แล้ว ได้แก่ การใช้รหัสผ่านซ้ำ การแชร์ข้อมูลยืนยันตัวตนอย่างไม่เป็นทางการ กระบวนการอนุมัติที่หละหลวม และการฝึกอบรมที่ยังคงสันนิษฐานว่าการหลอกลวงจะสังเกตเห็นได้ง่าย
วิธีปรับการฝึกอบรมเรื่องฟิชชิ่งของคุณให้รับมือกับการโจมตีที่ใช้ AI
เพื่อต่อสู้กับการโจมตีแบบฟิชชิ่งด้วย AI อย่างเหมาะสม การสร้างความตระหนักรู้ด้านความปลอดภัยของคุณต้องให้ความสำคัญมากกว่าแค่การตรวจหาคำสะกดผิด พนักงานต้องเรียนรู้วิธีการยืนยันคำขอ ไม่ใช่แค่ตัดสินจากข้อความ
หลักการพื้นฐานที่การฝึกอบรมของคุณต้องมีนั้นเรียบง่าย: หากคำขอนั้นผิดปกติ ละเอียดอ่อน หรือเร่งด่วน ให้ยืนยันก่อนดำเนินการ:
- หยุดคิดก่อนตอบกลับ อย่าตอบกลับในเธรดอีเมลเดิม
- ละเว้นรายละเอียดผู้ติดต่อในข้อความ อย่าใช้หมายเลขโทรศัพท์ ลิงก์ หรือที่อยู่สำหรับตอบกลับที่ระบุไว้เด็ดขาด
- อย่ายึดเอาการโทรด้วยเสียงหรือวิดีโอคอลเป็นหลักฐาน เพราะทั้งเสียงที่คุ้นเคยในสายหรือใบหน้าที่คุ้นเคยบนหน้าจอต่างก็สามารถสร้างขึ้นมาได้
- ติดต่อบุคคลดังกล่าวผ่านช่องทางที่คุณเชื่อถืออยู่แล้ว เช่น สมุดรายชื่อภายใน บันทึกข้อมูลผู้ขายที่บันทึกไว้ หรือวิธีการติดต่อที่เคยยืนยันแล้วก่อนหน้านี้
- ยืนยันตัวคำขอเอง ไม่ใช่แค่ตัวผู้ส่ง โดยสอบถามว่าการชำระเงิน การเปลี่ยนสิทธิ์เข้าถึง หรือการขอไฟล์นั้นเป็นเรื่องจริงหรือไม่
การฝึกอบรมควรเน้นที่การช่วยให้สมาชิกในทีมตรวจพบสถานการณ์ที่ฟิชชิ่งด้วย AI มักจะประสบความสำเร็จมากที่สุด:
- การเปลี่ยนแปลงรายละเอียดการชำระเงิน
- คำขอรหัสผ่าน รหัสกู้คืน หรือการอนุมัติ MFA
- คำขอแชร์ไฟล์อย่างเร่งด่วน
- ข้อความแจ้งเตือนการเข้าสู่ระบบที่ผิดปกติ
- การเปลี่ยนแปลงในพอร์ทัลของผู้ขาย
- คำขอจากผู้บริหารที่ข้ามขั้นตอนตามปกติ
- คำเชิญให้ย้ายบทสนทนาไปยังแอปส่งข้อความส่วนตัว
คู่มือของ Proton ในการสร้างวัฒนธรรมความปลอดภัยทางไซเบอร์สำหรับธุรกิจขนาดเล็กในที่ทำงานเป็นแหล่งข้อมูลที่มีประโยชน์และทันเหตุการณ์เพื่อทำให้พฤติกรรมด้านความปลอดภัยกลายเป็นส่วนหนึ่งของการทำงานในแต่ละวัน
สิ่งที่ธุรกิจต้องทำแตกต่างไปจากเดิม
ฟิชชิ่งที่ขับเคลื่อนด้วย AI ได้เปลี่ยนมาตรฐานสำหรับการยืนยัน หากข้อความดูสมจริง กระบวนการต้องสามารถตรวจจับสิ่งที่ไม่ได้เห็นได้ชัดในทันทีอีกต่อไป
ใช้การยืนยันนอกช่องทาง
เมื่อคำขอเกี่ยวข้องกับเงิน ข้อมูลยืนยันตัวตน ไฟล์ที่มีความละเอียดอ่อน หรือสิทธิ์เข้าถึงระดับสูง การตอบกลับไม่ควรอยู่ในเธรดเดิมที่สร้างความเสี่ยงนั้นขึ้น ทีมต้องมีเส้นทางที่สองเพื่อยืนยันว่าคำขอดังกล่าวเป็นเรื่องจริงหรือไม่
นั่นอาจหมายถึงการโทรหาซัพพลายเออร์โดยใช้หมายเลขที่บันทึกไว้แล้วในบันทึกของผู้ขาย การตรวจสอบคำขอของผู้บริหารผ่านช่องทางภายใน หรือการยืนยันการเปลี่ยนแปลงสิทธิ์การเข้าถึงกับเจ้าของโครงการ สิ่งสำคัญคือการใช้รายละเอียดผู้ติดต่อที่ธุรกิจเชื่อถืออยู่แล้ว ไม่ใช่หมายเลขโทรศัพท์ ลิงก์ หรือเส้นทางตอบกลับที่ระบุไว้ในข้อความที่น่าสงสัย
กำหนดให้ต้องมีการอนุมัติจากหลายบุคคล
การดำเนินการที่มีความเสี่ยงสูงไม่ควรขึ้นอยู่กับการตัดสินใจของบุคคลเพียงคนเดียว การเปลี่ยนแปลงการชำระเงิน การโอนเงินจำนวนมาก รายละเอียดธนาคารของผู้ขายรายใหม่ การให้สิทธิ์เข้าถึงระดับสูง และการส่งออกข้อมูลจำนวนมากควรต้องได้รับการอนุมัติขั้นที่สองเพื่อลดช่องโหว่
ข้อความที่ดูเร่งด่วนเพียงข้อความเดียวไม่จำเป็นต้องทำให้งานปกติเสียหาย การอนุมัติขั้นที่สองช่วยให้ทีมมีจุดหยุดชั่วคราวก่อนที่จะมีการโอนเงิน การให้สิทธิ์เข้าถึง หรือข้อมูลละเอียดอ่อนหลุดออกไปจากธุรกิจ
ปกป้องข้อมูลยืนยันตัวตนก่อนที่จะตกเป็นเป้าหมาย
ฟิชชิ่งด้วย AI มักจะลงเอยที่จุดเดียวกับฟิชชิ่งแบบดั้งเดิม นั่นคือข้อมูลยืนยันตัวตน ผู้โจมตีต้องการรหัสผ่าน โทเค็นเซสชัน การอนุมัติ MFA หรือการเข้าถึงบัญชีที่เปิดทางไปสู่ระบบอื่นๆ
รายงาน Cost of a Data Breach Report 2025(หน้าต่างใหม่) ของ IBM แนะนำให้เสริมความแข็งแกร่งด้านความปลอดภัยของข้อมูลระบุตัวตนและนำวิธีการยืนยันตัวตนที่ทนทานต่อฟิชชิ่งมาใช้เพื่อลดความเสี่ยงจากการละเมิดข้อมูลยืนยันตัวตน นอกจากนี้ยังรายงานค่าเฉลี่ยความเสียหายจากการละเมิดข้อมูลทั่วโลกอยู่ที่ 4.4 ล้านดอลลาร์ ซึ่งแสดงให้เห็นว่าเหตุใดการควบคุมข้อมูลระบุตัวตนและการเข้าถึงจึงส่งผลกระทบทางการเงิน ไม่ใช่แค่ทางเทคนิคเท่านั้น
การจำกัดขอบเขตความเสียหายคือกุญแจสำคัญสำหรับธุรกิจ SMB แม้ว่า AI อาจทำให้ข้อความแรกตรวจจับได้ยากขึ้น แต่ธุรกิจยังคงสามารถควบคุมสิ่งที่จะเกิดขึ้นหลังจากเกิดความผิดพลาดได้ รหัสผ่านที่คาดเดายากและไม่ซ้ำกัน, MFA, การแชร์อย่างปลอดภัย, สิทธิ์เข้าถึงของผู้ดูแลระบบที่จำกัด และการปิดสิทธิ์พนักงานที่ลาออกอย่างสม่ำเสมอ จะช่วยลดโอกาสที่บัญชีหนึ่งที่ถูกโจมตีจะกลายเป็นการเข้าถึงครอบคลุมทั้งอีเมล เครื่องมือทางการเงิน พื้นที่จัดเก็บข้อมูลบนคลาวด์สำหรับองค์กร หรือระบบธุรกิจอื่นๆ
Proton Pass for Business ช่วยลดความเสี่ยงด้านข้อมูลยืนยันตัวตนได้อย่างไร
นโยบายรหัสผ่านขององค์กรคุณควรควบคุมพฤติกรรมการจัดการข้อมูลยืนยันตัวตนให้อยู่ในการควบคุมก่อนที่พนักงานจะตกเป็นเป้าหมาย จำกัดการใช้รหัสผ่านซ้ำในบัญชีธุรกิจ ใช้ห้องนิรภัยรหัสผ่านที่เข้ารหัส เก็บรักษาสิทธิ์การเข้าถึงที่ละเอียดอ่อนให้อยู่นอกเบราว์เซอร์ ตารางคำนวณ และเธรดแช็ต และจัดเตรียมตัวเลือกการแชร์อย่างปลอดภัย มาตรการเหล่านั้นช่วยให้ทีมมีวิธีที่ควบคุมได้ในการให้หรือลบสิทธิ์การเข้าถึงออกโดยไม่ต้องค้นหาจากข้อความหรือเอกสารเก่าๆ
โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจอย่าง Proton Pass for Business จะจำกัดความเสียหายที่การโจมตีแบบฟิชชิ่งสามารถทำได้ เมื่อข้อมูลยืนยันตัวตนไม่ซ้ำกัน ได้รับการเข้ารหัส และจัดการจากศูนย์กลาง ข้อความที่หลอกลวงสำเร็จเพียงข้อความเดียวจะโจมตีได้แค่บัญชีเดียว แทนที่จะเปิดเส้นทางเข้าถึงอีเมล เครื่องมือทางการเงิน และพื้นที่จัดเก็บข้อมูลบนคลาวด์ทั้งหมด ซึ่งทำงานควบคู่ไปกับการฝึกอบรมสร้างความตระหนักรู้ การกรองอีเมล และการควบคุมการชำระเงิน แทนที่จะมาแทนที่สิ่งเหล่านี้
Proton Pass for Business ยังช่วยให้ทีมสร้างรหัสผ่านที่รัดกุม ใช้การป้อนอัตโนมัติ และจัดการข้อมูลยืนยันตัวตนผ่านการควบคุมของผู้ดูแลระบบจากศูนย์กลาง รหัสผ่านที่ไม่ซ้ำกัน การยืนยันตัวตนที่แข็งแกร่ง การแชร์ข้อมูลยืนยันตัวตนอย่างปลอดภัย และการควบคุมการเข้าถึง ทำให้ความพยายามในการทำฟิชชิ่งที่สำเร็จเพียงครั้งเดียวกระจายไปทั่วทั้งธุรกิจได้ยากขึ้น
ปกป้องทีมของคุณจากฟิชชิ่งที่ขับเคลื่อนด้วย AI ด้วยโปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ
