จากความจำเป็นขององค์กรในปัจจุบันและอนาคตที่ต้องนำเทคโนโลยีสารสนเทศ (Information Technology) มาใช้ในการดำเนินธุรกิจตลอดจนการทำธุรกรรมต่างๆขององค์กรซึ่งส่วนใหญ่ต้องพึ่งพาเทคโนโลยีอินเทอร์เน็ต เช่น เทคโนโลยี Webโดยการพัฒนาโปรแกรมประเภท Web Based รวมทั้งการนำเทคโนโลยี Web 2.0 เช่น AJAX, RSS มาประยุกต์ใช้ กับโปรแกรม Web Based ตลอดจนความนิยมของการนำเทคโนโลยี Mobile และ Wireless มาใช้ เช่น การใช้ BlackBerry หรือ iPhone ที่กำลังฮิตในกลุ่มผู้บริหาร เซเลบริตี้ ตลอดจนพนักงานบริษัท และ นักเรียนนักศึกษาทั่วไป ที่เรานิยมเรียกคนกลุ่มนี้ว่า “Technology-Generation“
จะเห็นได้ว่าการดำเนินชีวิตประจำวันของเราในปัจจุบันไม่สามารถจะหลีกเลี่ยงการใช้งานเทคโนโลยีสารสนเทศและระบบอินเทอร์เน็ตได้ ดังนั้น การเรียนรู้และทำความเข้าใจเรื่องการรักษาความมั่นคงปลอดภัยข้อมูลสารสนเทศนั้นจึงเป็นเรื่องที่จำเป็นอย่างยิ่งยวดสำหรับทุกคนที่ใช้เทคโนโลยีดังกล่าวไม่ใช่เฉพาะคนไอทีเท่านั้นที่ต้องมีความรู้ ความเข้าใจและความตระหนักถึงภัยอินเทอร์เน็ตในระดับหนึ่ง เพื่อที่จะไม่ต้องตกเป็นเหยื่อของผู้ไม่หวังดี หรือ อาชญากรคอมพิวเตอร์ซึ่งนับวันจะมาในรูปแบบแปลกใหม่ที่ยากต่อการป้องกันตัวและองค์กรหากไม่มีความรู้เท่าทันถึงภัยอินเทอร์เน็ต
จึงสรุปได้ว่า การเรียนรู้และทำความเข้าใจถึงภัยอินเทอร์เน็ตที่เราพบบ่อย ๆ ทั้งภัยใหม่ ๆ ที่เรายังไม่คุ้นเคยแต่มีผู้ตกเป็นเหยื่อแล้ว หรือ ภัยที่มีผู้ตกเป็นเหยื่อเป็นประจำนั้นมีความสำคัญและมีประโยชน์ทางตรงต่อการดำเนินชีวิตประจำวันของเราและมีประโยชน์ทางอ้อมต่อครอบครัวตลอดจนองค์กรที่เราทำงานอยู่ในแง่มุมของการรักษาความมั่นคงปลอดภัยข้อมูลสารสนเทศ (Information Security) และการป้องกันข้อมูลส่วนบุคคล (Data Privacy)

ภัยอันดับหนึ่ง : ภัยจากการใช้งานโปรแกรมประเภท “Social Networks” โดยไม่ระมัดระวัง (“Social Network Attack”)

เราคงปฏิเสธไม่ได้ว่ากระแสความนิยมการใช้งานโปรแกรมประเภท “Social Network” เช่น ทวิตเตอร์ (Twitter) และเฟสบุ๊ค (Facebook) นั้นกำลังแพร่หลายไปทั่วโลก ส่วนหนึ่งมาจากการที่โปรแกรมดังกล่าวถูกติดตั้งมาพร้อมกับ iPhone หรือ BlackBerry ทำให้ง่ายต่อการใช้งาน อีกทั้งสามารถทำงานในลักษณะ Web-Based หรือ Web Application ได้จากเว็บเบราเซอร์ทุกค่ายไม่ว่าจะเป็น Internet Explorer (IE) , Firefox หรือ Safari โดยมีการนำเทคโนโลยี Web 2.0 มาใช้ ทำให้สามารถติดต่อกับผู้ใช้ได้อย่างรวดเร็วทันใจมากขึ้น อีกทั้งกระแสเครือข่ายความเร็วสูงตามบ้าน เช่น เทคโนโลยี ADSL และเครือข่ายผู้ให้บริการมือถือความเร็วสูง เช่น เทคโนโลยี EDGE หรือ การใช้เทคโนโลยี 3G ที่กำลังจะมาก็มีความเร็วมากเพียงพอที่จะใช้งานโปรแกรมประเภท Social Network ดังกล่าว
ปัญหาด้านความปลอดภัยของการใช้งานโปรแกรมประเภท Social Network ก็คือ ความรู้เท่าไมถึงการณ์ของผู้ใช้ที่ไม่มีความรู้ความเข้าใจเรื่องความมั่นคงปลอดภัยสารสนเทศดีพอ เริ่มจากการใช้ Email address เป็นชื่อในการ Login และ ใช้รหัสผ่านของ Email ที่ใช้อยู่ เช่น Hotmail หรือ Gmail เป็นรหัสผ่านของโปรแกรมประเภท Social Network เช่น Facebook หรือ Twitter ซึ่งหลายคนไม่รู้ว่า ความจริงแล้วเราไม่จำเป็นต้องใช้รหัสผ่านเดียวกัน เราสามารถใช้รหัสผ่านคนละรหัสผ่านได้ การที่เราใช้รหัสผ่านเดียวกับ email จะทำให้ถูกเจาะระบบได้ง่าย เพราะโปรแกรม Social Network ส่วนใหญ่มัก Log on หรือ Sign on โดยใช้โปรโตคอล http ที่ไม่มีความปลอดภัยเท่ากับโปรโตคอล https หรือ “SSL” ที่เรารู้จักกันดีในกลุ่มผู้ใช้งานอินเทอร์เน็ตแบงค์กิ้ง จึงสามารถถูกแฮกเกอร์ดักจับรหัสผ่าน (Sniff) ได้โดยง่าย จากนั้นแฮกเกอร์ก็สามารถเจาะเข้าถึง Email ของเหยื่อแล้วสวมรอยเป็นตัวเหยื่อได้อย่างง่ายดาย ดังนั้น จึงควรระมัดระวังเรื่องการใช้รหัสผ่านดังกล่าว
ปัญหาอีกปัญหาหนึ่งที่พบประจำ คือ ปัญหาข้อมูลส่วนตัวของเรารั่วไหลออกไปยังกลุ่มมิจฉาชีพโดยไม่ได้ตั้งใจ กล่าวคือ หากเราสมัคร Facebook จากโทรศัพท์มือถือทาง Facebook จะให้เรา Confirm ด้วยเบอร์โทรศัพท์มือถือของเราเท่ากับเราได้บอกเบอร์โทรศัพท์ให้กับ Facebook ไปโดยปริยาย ซึ่งการสมัคร Facebook จากเครื่อง Notebook หรือ เครื่อง Desktop จะไม่ต้องกรอกข้อมูลเบอร์โทรศัพท์ดังกล่าว นอกจากนั้น หลายคนยังใส่เบอร์โทรศัพท์ รวมทั้ง วัน เดือน ปีเกิด เข้าไปในระบบของ Facebook โดยไม่ระมัดระวัง เป็นเหตุให้มิจฉาชีพสามารถค้นหาเบอร์โทรศัพท์มือถือ และข้อมูลส่วนตัว เช่น วัน เดือน ปีเกิด เราได้อย่างง่ายดาย จึงไม่ควรป้อนข้อมูลส่วนตัวดังกล่าวให้กับโปรแกรมประเภท Social Network โดยไม่จำเป็น ยิ่งเราใส่ข้อมูลส่วนตัวลงไปเท่าใดก็ยิ่งเปิดช่องให้แฮกเกอร์และเหล่ามิจฉาชีพสามารถเข้าถึงข้อมูลส่วนตัวของเราได้ง่ายมากขึ้นเท่านั้น
ในปัจจุบันแฮกเกอร์สมัยใหม่ได้ใช้เทคนิคใหม่ ๆ ในการหาข้อมูลของเป้าหมายที่เรียกว่า “Target Profiling” หรือ “Targeted Attack” โดยใช้เทคนิค “Intelligence Information Gathering” ซึ่งมีความล้ำหน้ากว่าการหาข้อมูลจากการ Search จาก Google โดยการใช้ Software ที่ถูกออกแบบมาเจาะหลังบ้านของ Facebook และ Twitter โดยตรง ซึ่งปกติแล้วจาก Twitter และ Facebook จะเปิดช่องหรือเปิด API ให้โปรแกรมเมอร์เข้ามาใช้ดึงข้อมูลของผู้ใช้ Facebook และ Twitter เพื่อใช้ในการเขียนโปรแกรม Game ต่าง ๆ ที่ทำงานอยู่ใน Social Network โดยปกติแล้วเฉพาะโปรแกรมเมอร์ที่มี API เท่านั้นจึงสามารถเข้าถึงข้อมูลหลังบ้านจาก Server ที่เรียกว่า “TAS” หรือ “Transformation Server” (ดูรูปที่ 1 และ 2) แต่โปรแกรมที่แฮกเกอร์ใช้ในการเจาะระบบ Social Network หรือ โปรแกรมที่หน่วยข่าวกรอง เช่น CIA หรือ FBI ใช้ มีความสามารถเข้าไป “Search” ข้อมูลเชิงลึกจาก Server หลังบ้านในระบบผู้ให้บริการ Social Network ดังกล่าวได้ เราจึงต้องระวังให้มากเวลาที่จะป้อนข้อมูลส่วนตัวของเราลงในโปรแกรมประเภท Social Network ดังกล่าว

รูปที่ 1 : Social Network Transformation Server (TAS)

รูปที่ 2 : Output from Intelligence Data Gathering Software

นอกจากนี้ ผู้ใช้หลายท่านยังไม่ทราบว่า ข้อมูลที่อยู่ในระบบ Social Network สามารถค้นหาได้โดยง่ายจากการใช้ Google โดยบางท่านนำข้อมูลที่ควรเป็นความลับขององค์กร เช่น Network Diagram หรือ Minute Of Meeting ทำการ upload เข้าสู่โปรแกรม Social Network โดยไม่ระมัดระวัง ทำให้ผู้ไม่หวังดีสามารถเข้าถึงข้อมูลที่ควรจะเป็นข้อมูลลับขององค์กรหรือข้อมูลส่วนตัวของเราโดยที่เราไม่รู้ตัวเลยว่าข้อมูลของเราได้หลุดไปเรียบร้อยแล้ว
การป้องกันภัยจากความไม่รู้ดังกล่าวนั้นสามารถทำได้ไม่ยาก คือ ต้องมี “สติ” “รู้ตัว” ในการใช้งานโปรแกรม “Social Network” อยู่ตลอดเวลา โดยการระมัดระวังไม่ป้อนข้อมูลที่ “Sensitive” หรือ ข้อมูลส่วนตัวเข้าสู่โปรแกรมดังกล่าว เราก็สามารถใช้งาน Facebook หรือ Twitter ได้อย่างปลอดภัยและได้ประโยชน์จากการใช้โปรแกรม Social Network โดยไม่ต้องกังวลเรื่องความมั่นคงปลอดภัยโดยในปัจจุบันมีหลายมหาวิทยาลัยที่จัดให้มีการสอนวิชา “Social Network Marketing” โดยเรียนวิธีการทำการตลาดโดยผ่านทาง Social Network ซึ่งใช้ได้ผลมาแล้วในหลายองค์กร ดังนั้น เราสามารถใช้งานโปรแกรมประเภท Social Network ให้มีประโยชน์แก่องค์กรได้เช่นกัน
Gartner Group ได้ทำนายภัยอินเทอร์เน็ตประจำปี คศ. 2010 ได้แก่ ภัยจากการโจมตีเครือข่าย Social Network และโจมตีผู้ใช้ Social Network (ดูรูปที่ 3)

รูปที่ 3 : Social Network Attack

ภัยอันดับสอง : ภัยจากการโจมตีผู้ใช้โทรศัพท์เคลื่อนที่ (Mobile Phone Attacks)

ในปัจจุบันทุกคนจำเป็นต้องมีโทรศัพท์เคลื่อนที่อย่างน้อยหนึ่งเครื่องเพื่อใช้ในการติดต่อสื่อสาร และ ผู้ใช้โทรศัพท์เคลื่อนที่จำนวนมากไม่ได้ใช้โทรศัพท์เคลื่อนที่แค่เพียงการโทรเข้า-ออกเท่านั้น แต่ยังใช้โทรศัพท์เคลื่อนที่ในการทำธุรกรรม เช่น การชำระเงิน การโอนเงิน รวมทั้งการสั่งซื้อสินค้าผ่านทางอินเทอร์เน็ต ตลอดจนใช้โทรศัพท์เคลื่อนที่ในการเล่นเกมส์และการใช้งานโปรแกรมยอดนิยมต่าง ๆ เช่น BB Messenger ,Facebook , Twitter และใช้งาน Web Browser ในการเข้าถึงข้อมูลข่าวสารต่าง ๆ จากการค้นหาด้วย Google ทั้งยังสามารถดูแผนที่และทิศทางการจราจรด้วย Google Map และใช้งานระบบ GPS ที่มากับโทรศัพท์เคลื่อนที่บางรุ่นอีกด้วย
ทั้งที่โทรศัพท์เคลื่อนที่ถือเป็นอุปกรณ์ที่มีความสำคัญในการทำงานจนแทบจะเป็นปัจจัยที่ 5 ของมนุษย์ แต่เรากลับพบว่า โทรศัพท์เคลื่อนที่เปรียบเสมือนคอมพิวเตอร์ขนาดเล็กตัวหนึ่งนั้นกลับไม่มีโปรแกรมป้องกันไวรัสคอมพิวเตอร์ หรือ โปรแกรมป้องกันมัลแวร์ต่าง ๆ เลย การทำธุรกรรมทางอินเทอร์เน็ตโดยใช้โทรศัพท์เคลื่อนที่นั้น กระทำโดยปราศจากการติดตั้งโปรแกรม ANTI-Virus หรือ ANTI-Malware ทำให้แฮกเกอร์สามารถหาแนวทางในการดักจับข้อมูลส่วนตัวของเป้าหมายได้โดยง่าย
การโจมตีโทรศัพท์เคลื่อนที่นั้น เหล่ามิจฉาชีพนิยมติดตั้งโปรแกรมประเภท Mobile Spyware บนโทรศัพท์เคลื่อนที่ ซึ่งโปรแกรมมุ่งร้ายดังกล่าว สามารถดักจับข้อมูลเข้า-ออกโทรศัพท์มือถือ เช่น SMS ขาเข้า และ SMS ขาออก และ สามารถดักฟังโทรศัพท์เคลื่อนที่ของเป้าหมายโดยที่เหยื่อไม่สามารถรู้ตัวได้เลย
โดยเหยื่อยังคงใช้งานโทรศัพท์เคลื่อนที่ตามปกติเหมือนไม่มีอะไรเกิดขึ้นทั้ง ๆ ที่เครื่องโทรศัพท์เคลื่อนที่ของเหยื่อนั้นถูกติดตั้งโปรแกรมดักฟังและแอบดักข้อมูลเข้า-ออกจากโทรศัพท์เคลื่อนที่ ถึงแม้ว่าโทรศัพท์จะปิดเครื่องอยู่ก็สามารถดักฟังได้ในรูปแบบที่ผู้ใช้งานไม่สามารถทราบได้เลย แต่ถ้าหากผู้ใช้โทรศัพท์กำลังคุยอยู่ก็สามารถโทรศัพท์เข้าไปร่วมประชุม 3 สาย โดยที่เหยื่อและคู่สนทนาของเหยื่อไม่รู้ตัวเลยว่ากำลังโดนดักฟังอยู่ นอกจากนี้ โปรแกรม Mobile Spyware ดังกล่าวยังมีคุณสมบัติในการตรวจหาตำแหน่งของเหยื่อด้วยระบบ GPS ว่าเหยื่อกำลังใช้งานโทรศัพท์เคลื่อนที่อยู่ในบริเวณใดทั่วโลก ทำให้เหยื่อสูญเสียความเป็นส่วนตัวอย่างสิ้นเชิง
สำหรับคนที่ชอบวางโทรศัพท์เคลื่อนที่ทิ้งไว้โดยไม่ได้ Lock หน้าจอด้วยรหัสผ่านนั้น สามารถถูกผู้ไม่หวังดีแอบนำโทรศัพท์มาต่อกับสายเคเบิ้ลเข้าทาง Port USB ของเครื่อง Notebook และแอบติดตั้งโปรแกรมประเภท Mobile Spyware แอบดักฟังดังกล่าว โดยใช้เวลาติดตั้งแค่เพียงไม่เกิน 15 นาที
วิธีการป้องกันตัวที่ดีก็คือ ต้องมีการตั้งรหัสผ่านเวลาที่เราเปิดเครื่องโทรศัพท์เคลื่อนที่ทิ้งไว้ในระยะเวลาหนึ่งแล้วเครื่องควร Lock หน้าจอโดยอัตโนมัติ เช่น Lock เครื่องเมื่อเปิดเครื่องทิ้งไว้ 1 นาที เป็นต้น โดยเราอาจจะสั่ง Lock หน้าจอด้วยตัวเองแบบ Manual เวลาที่เราไม่ได้ใช้งานโทรศัพท์เคลื่อนที่ก็สามารถทำได้เช่นกัน การป้องกันอีกวิธีหนึ่งก็คือ การติดตั้งโปรแกรม Anti-Virus หรือ Anti-Malware ลงบนโทรศัพท์เคลื่อนที่ ซึ่งในปัจจุบันมีผู้ผลิตหลายรายที่มีการจำหน่ายโปรแกรมป้องกันดังกล่าวแล้ว แต่ผู้ใช้งานโทรศัพท์เคลื่อนที่ไม่นิยมนำมาใช้เป็นที่แพร่หลายเหมือนโปรแกรม Anti-Virus หรือ Anti-Malware บนเครื่อง Desktop หรือ เครื่อง Notebook
สำหรับการ Download โปรแกรมจากเครือข่ายที่ให้บริการโทรศัพท์เคลื่อนที่มาลงบนโทรศัพท์นั้น เราต้องระวังการ Download โปรแกรมบางโปรแกรม ซึ่งอาจจะทำให้เครื่อง hang ไม่ทำงาน หรือ กลายเป็นโปรแกรมประเภทม้าโทรจันแอบดักข้อมูลหรือแอบรับ-ส่ง SMS โดยที่เราอาจไม่รู้ตัวเลยก็ได้ นอกจากนี้ ยังมีการโจมตีที่มีสาเหตุมาจากการที่แฮกเกอร์ค้นพบช่องโหว่ (Vulnerability) บนระบบปฎิบัติการของโทรศัพท์เคลื่อนที่ เช่น Nokia Symbian , iPhone OS X หรือ BlackBerry OS by RIM จากนั้นแฮกเกอร์จะพัฒนาโปรแกรมเจาะระบบหรือ “Exploit” เพื่อทำการเจาะระบบจากช่องโหว่ดังกล่าว ทางแก้ปัญหาก็คือ การติดตั้งโปรแกรม Patch ให้กับโทรศัพท์เคลื่อนที่ที่มีช่องโหว่ ซึ่งทำได้ยากกว่าการติดตั้ง Patch บนเครื่อง Notebook หรือ เครื่อง Desktop ดังนั้น ภัยจากการที่ผู้ใช้โทรศัพท์เคลื่อนที่ไม่คุ้นเคยกับการติดตั้งโปรแกรม Anti-Virus และ Anti-Malware หรือ การติดตั้ง Patch เพื่อปิดช่องโหว่ของระบบปฏิบัติการโทรศัพท์เคลื่อนที่ จึงเป็นภัยยุคใหม่ที่ผู้ใช้โทรศัพท์เคลื่อนที่ควรตระหนักและทำความเข้าใจถึงการโจมตีและวิธีในการแก้ปัญหาดังกล่าวให้รอดพ้นจากภัยจากการโจมตีผู้ใช้โทรศัพท์เคลื่อนที่ที่นับวันจะเพิ่มมากขึ้นเรื่อย ๆ ดังนั้นการแก้ปัญหาที่ดีที่สุดคือ การ Educate User ด้วยการฝึกอบรม Security Awareness Training ให้ผู้ใช้โทรศัพท์เคลื่อนที่เข้าใจถึงภัยดังกล่าว
หมายเหตุ : Information Security Forum หรือ ISF ได้เก็บข้อมูลและทำนายอนาคตเกี่ยวกับการใช้งานโทรศัพท์เคลื่อนที่และการโจมตีโทรศัพท์เคลื่อนที่ไว้ดังรูปที่ 4 และ รูปที่ 5

รูปที่ 4 : Mobile Malware Implication

รูปที่ 5 : The Fact and Prediction of Mobile Malware Attack Timeline

บทความที่เกี่ยวข้องกัน
เรียนรู้และทำความเข้าใจกับ 10 อันดับภัยอินเทอร์เน็ตล่าสุดประจำปี คศ. 2010 และวิธีการป้องกันที่ได้ผล (ตอนที่ 2)
– ภัยอันดับสาม : ภัยจากการโจมตีและการเจาะระบบในรูปแบบใหม่ๆ (“The Next Generation Hacking”)
– ภัยอันดับสี่ : ภัยจากคนภายในองค์กรเอง และ ภัยจากองค์กรอาชญากรรมเต็มรูปแบบ (“Insider Threats / Organized Crime”)