Security Awareness และ Phishing Simulation ที่ได้ผล

ฟิชชิง (phishing) คือการหลอกผ่านอีเมลหรือข้อความให้คนคลิกลิงก์ เปิดไฟล์ หรือกรอกรหัสผ่าน Security awareness (การสร้างความตระหนักด้านความปลอดภัย) คือกิจกรรมที่ทำให้พนักงานรู้จักภัยแบบนี้และรู้ว่าต้องทำอย่างไรเมื่อเจอ ส่วน phishing simulation (การจำลองฟิชชิง) คือการที่องค์กรส่งอีเมลหลอกจำลองให้พนักงานของตัวเอง เพื่อฝึกและวัดว่าพนักงานรับมือได้แค่ไหน บทความนี้อธิบายวิธีทำโปรแกรม security awareness และ phishing simulation ให้ได้ผล โดยวัดทั้งคนที่คลิกและคนที่รายงาน และไม่ลงโทษคนที่พลาด

ฟิชชิงถูกป้องกันได้หลายชั้น

NCSC (ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร) แบ่งการป้องกันฟิชชิงเป็นสี่ชั้นในแนวทางชื่อ "Phishing attacks: defending your organisation" การฝึกพนักงานเป็นเพียงชั้นที่สอง NCSC ระบุว่าการฝึกพนักงาน โดยเฉพาะการจำลองฟิชชิง เป็นชั้นที่มักถูกเน้นมากเกินไป เพราะไม่มีการอบรมใดสอนให้ทุกคนจับฟิชชิงได้ทุกฉบับ และฟิชชิงบางฉบับจะหลุดเข้ามาได้เสมอ องค์กรจึงต้องวางแผนจำกัดความเสียหายไว้ด้วย ถ้าทำไม่ได้ทั้งหมด NCSC แนะนำให้ทำอย่างน้อยบางมาตรการในทุกชั้น

• ชั้นที่ 1 กันไม่ให้ถึงผู้ใช้: ใช้ DMARC (นโยบายบอกว่าอีเมลที่ปลอมโดเมนขององค์กรควรถูกจัดการอย่างไร) SPF (รายชื่อเครื่องที่มีสิทธิ์ส่งอีเมลในนามโดเมน) และ DKIM (ลายเซ็นดิจิทัลที่ยืนยันว่าอีเมลมาจากโดเมนจริง) เพื่อกันการปลอมชื่อผู้ส่ง กรองอีเมลอันตรายและสแปม และลดข้อมูลขององค์กรที่ผู้โจมตีนำไปใช้หลอกได้
• ชั้นที่ 2 ช่วยให้ผู้ใช้สังเกตและรายงาน: ฝึกพนักงาน ปรับกระบวนการทำงานให้คำขอปลอมสังเกตง่ายขึ้น และสร้างวัฒนธรรมที่รายงานได้ง่าย
• ชั้นที่ 3 ลดความเสียหายเมื่อมีคนพลาด: ปกป้องเครื่องจากมัลแวร์ด้วยการอัปเดตแพตช์และจำกัดสิทธิ์แอดมิน บล็อกเว็บอันตราย และใช้ MFA (การยืนยันตัวตนหลายปัจจัย) กับสิทธิ์เท่าที่จำเป็น (least privilege คือให้บัญชีเข้าถึงได้เฉพาะสิ่งที่งานต้องใช้)
• ชั้นที่ 4 ตอบสนองเหตุการณ์ให้เร็ว: เก็บ log เพื่อตรวจพบเหตุการณ์ได้เร็ว และมีแผนรับมือที่ซ้อมไว้แล้ว

NCSC ยกกรณีศึกษาจริงของบริษัทการเงินที่มีพนักงานราว 4,000 คน บริษัทนี้ได้รับอีเมลแนบมัลแวร์ตระกูล Dridex หลายรูปแบบ รวม 1,800 ฉบับ อีเมลอ้างว่าเป็นใบแจ้งหนี้ที่ต้องรีบดู ตัวกรองอีเมลหยุดไว้ได้ 1,750 ฉบับ เหลือ 50 ฉบับที่ถึงกล่องจดหมายของผู้ใช้ ผู้ใช้คลิก 14 ฉบับ ในจำนวนนี้มัลแวร์ทำงานไม่สำเร็จ 13 กรณี เพราะเครื่องอัปเดตแพตช์ล่าสุดแล้ว เหลือ 1 กรณีที่ติดตั้งได้ แต่ระบบตรวจพบและบล็อกตอนมัลแวร์พยายามติดต่อกลับไปหาผู้โจมตี เครื่องนั้นถูกยึดไปตรวจและทำความสะอาดภายในไม่กี่ชั่วโมง นอกจากนี้ผู้ใช้รายงานอีเมลรวม 25 ฉบับ (รวมบางรายที่รายงานหลังคลิกไปแล้ว) NCSC ระบุว่ารายงานเหล่านี้เป็นสัญญาณแรกที่บอกว่าการโจมตีผ่านชั้นแรกมาได้ NCSC สรุปว่าถ้าพึ่งเพียงชั้นเดียว จะมีการโจมตีบางส่วนที่ตรวจไม่พบ

หลักการจาก NIST: โปรแกรมที่ปรับปรุงเป็นรอบ

NIST (สถาบันมาตรฐานและเทคโนโลยีของสหรัฐ) ออกเอกสาร SP 800-50 Rev. 1 ชื่อ Building a Cybersecurity and Privacy Learning Program เป็นฉบับสมบูรณ์ (final) เมื่อกันยายน 2024 หลังมีร่างให้ความเห็นสองรอบ (กันยายน 2021 และสิงหาคม 2023) ณ เดือนตุลาคม 2026 หน้าของ NIST ยังระบุสถานะเป็น final เอกสารนี้ใช้แทน SP 800-50 ฉบับปี 2003 และ SP 800-16 ฉบับปี 1998 และเขียนสำหรับหน่วยงานรัฐบาลกลางสหรัฐ แต่ NIST ระบุว่าออกแบบให้องค์กรทั้งใหญ่และเล็กนำไปใช้ได้ ในเอกสารนี้ awareness (การสร้างความตระหนัก) เป็นกิจกรรมที่ทำต่อเนื่องตลอดปี ไม่ใช่การอบรมครั้งเดียวต่อปี เป้าหมายคือให้พนักงานรู้บทบาทของตนและลงมือทำสิ่งที่เหมาะสมได้

NIST แบ่งงานของโปรแกรมเป็นสี่ช่วงที่ทำวนซ้ำเป็นรอบ และระบุว่าแต่ละช่วงจะทำตามลำดับหรือทำพร้อมกันก็ได้ ช่วงทั้งสี่มีดังนี้:

• วางแผนและกำหนดกลยุทธ์ (Plan and Strategy): ตั้งเป้าหมายของโปรแกรมให้เชื่อมกับเป้าหมายและความเสี่ยงขององค์กร
• วิเคราะห์และออกแบบ (Analysis and Design): ดูว่าใครต้องเรียนรู้อะไร แยกกลุ่มผู้เรียน เช่น พนักงานทั่วไป ผู้บริหาร และผู้ดูแลระบบ
• พัฒนาและนำไปใช้ (Development and Implementation): สร้างเนื้อหา กิจกรรมสร้างความตระหนัก และแบบฝึก เช่น การจำลองฟิชชิง แล้วเริ่มใช้งานจริง
• ประเมินและปรับปรุง (Assessment and Improvement): วัดผล ดูว่าพฤติกรรมเปลี่ยนจริงหรือไม่ แล้วนำผลกลับไปปรับแผน

NIST ถือว่าการจำลองฟิชชิงเป็น experiential learning (การเรียนรู้จากการลงมือฝึกจริง) ใช้ได้ทั้งกับทุกคนหรือเจาะจงเฉพาะกลุ่ม เช่น ผู้บริหารและผู้ดูแลระบบ NIST แนะนำให้เริ่มจากดูอัตราคลิกปัจจุบันของแต่ละกลุ่ม เพื่อรู้ว่ากลุ่มไหนต้องการการสนับสนุนด้านการเรียนรู้เพิ่ม NIST ระบุชัดว่ากิจกรรมนี้ต้องไม่เป็นการลงโทษ และไม่ควรประกาศชื่อใครว่าตอบสนองอย่างไร แนวคิดจำลองการโจมตีเพื่อหาจุดอ่อนแบบเดียวกันนี้ใช้กับระบบ AI ได้เช่นกัน ดู AI Red Teaming: ทดสอบความปลอดภัยของระบบ AI อย่างไร

วิธีทำ phishing simulation ทีละขั้น

ขั้นตอนต่อไปนี้เรียบเรียงจากแนวทางของ NCSC และ NIST ส่วนการเรียงลำดับเป็นของเราเอง ขั้นตอนมีดังนี้:

• คุยกับฝ่ายทรัพยากรบุคคล (HR) และฝ่ายกฎหมายก่อน: NCSC ระบุว่าให้ปรึกษา HR ทุกครั้งก่อนจัดการจำลองฟิชชิง ส่วน NIST ให้ฝ่ายกฎหมายร่วมออกแบบและตรวจแผน เช่น เลี่ยงการใช้แบรนด์จริงหรือชื่อหน่วยงานจริงเป็นเหยื่อล่อ เพราะอาจมีคนโทรหรืออีเมลไปที่หน่วยงานนั้น
• แจ้งพนักงานล่วงหน้า: บอกว่าองค์กรจะจัดการฝึกเป็นครั้งคราวแบบสุ่ม และผลจะใช้ปรับการเรียนรู้ ไม่ใช้ลงโทษ (ตามที่ NIST แนะนำ)
• วัดค่าตั้งต้นและเตรียมช่องทางรายงาน: ค่าตั้งต้น (baseline) คือตัวเลขที่วัดไว้ก่อนเริ่มปรับปรุงอะไร เพื่อใช้เทียบภายหลัง ให้ดูทั้งอัตราคลิกและอัตรารายงานของแต่ละกลุ่ม และทำช่องทางรายงานให้ใช้ง่ายก่อนส่งอีเมลฝึก เช่น ปุ่มรายงานในโปรแกรมอีเมล ซึ่ง NIST ยกเป็นตัวอย่าง
• ออกแบบอีเมลฝึกและให้คะแนนความยาก: ให้อีเมลสอดคล้องกับงานจริงของกลุ่มเป้าหมาย และใช้ Phish Scale (วิธีของ NIST ที่ให้คะแนนว่าอีเมลฟิชชิงหลอกยากแค่ไหน) บันทึกระดับความยากของแต่ละฉบับ
• ส่งอีเมลฝึกและตอบกลับทุกรายงานอย่างรวดเร็ว: NCSC แนะนำให้แจ้งกลับเร็วว่าดำเนินการอย่างไรกับรายงานนั้น และแสดงให้เห็นว่ารายงานของพนักงานมีผลจริง
• วิเคราะห์ผลเป็นกลุ่มและปรับการเรียนรู้: ดูว่ากลุ่มไหนต้องการความช่วยเหลือเพิ่ม ถ้าอัตราคลิกสูงกว่าปกติ NIST แนะนำให้ย้ำข้อความซ้ำผ่านช่องทางอื่น

วัดผลอย่างไรไม่ให้เข้าใจผิด

การจำลองฟิชชิงให้ตัวเลขที่ชัดเจน จึงเป็นที่นิยม แต่ NCSC เตือนว่าตัวชี้วัดสะท้อนสิ่งที่องค์กรให้คุณค่า ถ้าองค์กรดูพอใจเมื่อไม่มีใครรายงานปัญหา ก็เท่ากับกระตุ้นให้คนเงียบ NCSC จึงแนะนำให้วัดว่ามีกี่คนที่รายงาน ควบคู่กับกี่คนที่คลิก NIST ก็ยกสัดส่วนคนที่รายงานอีเมลฟิชชิงทดสอบ เป็นตัวอย่างตัวชี้วัดว่าพฤติกรรมเปลี่ยนไปหรือไม่ ตัวชี้วัดที่ควรดูมีดังนี้:

• อัตราคลิก (click rate): จำนวนคนที่คลิก หารด้วยจำนวนคนที่ได้รับอีเมลฝึก ตัวเลขนี้ควรลดลง แต่เทียบข้ามรอบไม่ได้ถ้าความยากของอีเมลต่างกัน
• อัตรารายงาน (reporting rate): จำนวนคนที่รายงาน หารด้วยจำนวนคนที่ได้รับอีเมลฝึก ตัวเลขนี้ควรเพิ่มขึ้น เพราะแสดงว่าพนักงานรู้วิธีรายงานและกล้ารายงาน
• คนที่รายงานหลังคลิกไปแล้ว: NCSC ต้องการให้คนที่คลิกแล้วเพิ่งสงสัยกล้าเข้ามาแจ้ง และรายงานแบบนี้ช่วยให้ทีมความปลอดภัยรู้เหตุการณ์ได้เร็ว ดังกรณีศึกษาข้างต้น
• ระดับความยากของอีเมลฝึก: Phish Scale ให้คะแนนความยากโดยดูทั้งลักษณะของอีเมลและบริบทของผู้รับ NIST ระบุว่าช่วยอธิบายอัตราคลิกของแต่ละรอบได้

ตัวอย่างสมมติ (ไม่ใช่ข้อมูลจริง) รอบแรกมี 100 คนได้รับอีเมลฝึก คลิก 10 คน และรายงาน 5 คน รอบที่สองคลิกเท่าเดิมคือ 10 คน แต่รายงานเพิ่มเป็น 40 คน ถ้าดูแต่อัตราคลิก จะเห็นว่าไม่มีอะไรดีขึ้น แต่ในทางปฏิบัติ ทีมความปลอดภัยจะรู้เรื่องภัยได้เร็วกว่ามาก เพราะมีคนแจ้งถึง 40 คน แทนที่จะเป็น 5 คน

จริยธรรมและกฎหมาย: ไม่ลงโทษคนที่คลิก

NCSC ระบุว่าการโทษผู้ใช้ที่คลิกลิงก์ไม่ได้ผล เพราะคนคลิกด้วยเหตุผลหลายอย่าง ทั้งนิสัยส่วนตัวและสถานการณ์ เช่น กำลังยุ่งหรือเครียด การขู่ว่าจะลงโทษไม่ได้เปลี่ยนเหตุผลเหล่านี้ และคนที่กลัวเสียงานจะไม่กล้ารายงานความผิดพลาด การจำลองฟิชชิงยังทำให้ความไว้ใจระหว่างพนักงานกับทีมความปลอดภัยลดลงได้ NCSC ยังเตือนว่าการลงโทษคนที่คลิกอีเมลที่องค์กรส่งเอง ใกล้เคียงกับการล่อให้ทำผิด (entrapment) ซึ่งมีความเสี่ยงทางกฎหมาย จึงควรทำดังนี้:

• ไม่ลงโทษและไม่ประกาศชื่อ: ตามที่ NIST ระบุ กิจกรรมนี้ต้องไม่เป็นการลงโทษ และไม่ควรประกาศชื่อใครว่าตอบสนองอย่างไร
• ทำให้การรายงานปลอดภัย: NCSC ระบุว่าการอบรมควรย้ำว่าการรายงานจะไม่ทำให้ใครมีปัญหา ข้อความนี้ต้องมี HR ฝ่ายสนับสนุน และผู้บริหารระดับสูงหนุนหลัง และคนที่คลิกไปแล้วต้องรู้สึกว่ากล้ามาแจ้งได้
• ใช้ข้อมูลรายบุคคลเท่าที่จำเป็น: ปรึกษาฝ่ายกฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ขององค์กรว่าเก็บและใช้ผลรายบุคคลได้แค่ไหน และดูผลเป็นรายกลุ่มเป็นหลัก ข้อนี้เป็นข้อเสนอของเรา
• พิจารณาทางเลือกอื่น: NCSC ยกตัวอย่างว่าบางบริษัทให้พนักงานลองเขียนอีเมลฟิชชิงเอง หรือแข่งกันแบบเป็นมิตร เพื่อให้เห็นเทคนิคที่ผู้โจมตีใช้ และลดความรู้สึกว่าทีมความปลอดภัยกำลังจับผิด
• ระวังเรื่องที่ใช้ล่อ: เลี่ยงหัวข้อที่เล่นกับความกลัวหรือผลประโยชน์ส่วนตัวของพนักงานโดยตรง เช่น โบนัสหรือการเลิกจ้าง ข้อนี้เป็นข้อเสนอของเรา ไม่ได้มาจากแหล่งอ้างอิง

สอนอะไร และให้รายงานอย่างไร

NCSC ระบุว่าการให้ผู้ใช้ตรวจอีเมลทุกฉบับอย่างละเอียดเป็นเป้าหมายที่ไม่สมจริง และให้ผลเสียมากกว่าผลดี ทางที่ดีกว่าคือเปลี่ยนกระบวนการทำงาน เช่น ยืนยันคำขอสำคัญทางอีเมลอีกครั้งผ่านช่องทางอื่น เช่น โทรศัพท์ หรือเข้าสู่บัญชีด้วยตัวเอง และทำให้พนักงานคุ้นกับวิธีทำงานปกติของงานสำคัญ เช่น วิธีสั่งจ่ายเงิน จะได้สังเกตคำขอที่ผิดปกติได้ สิ่งที่ควรสอนและเตรียมไว้ มีดังนี้:

• สัญญาณที่ควรรู้: CISA (หน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ของสหรัฐ) ยกตัวอย่างคำขอแปลกหรือไม่คาดคิด ภาษาเร่งรัด และลิงก์น่าสงสัย ข้อความอาจมาจากผู้ติดต่อที่รู้จักแต่บัญชีถูกผู้โจมตียึดไปแล้ว และผู้โจมตีอาจใช้ข้อมูลเฉพาะของบริษัทให้ดูน่าเชื่อถือ
• ตรวจสอบนอกข้อความ: ถ้าข้อความดูผิดปกติ อย่าตอบ และอย่าใช้เบอร์หรือลิงก์ในข้อความนั้น ให้ติดต่อผู้ส่งผ่านช่องทางที่มีอยู่แล้วแทน (ตามคำแนะนำของ CISA)
• รู้ล่วงหน้าว่ารายงานที่ไหน: NCSC ระบุว่าถ้าเครื่องถูกบุกรุก ผู้ใช้อาจใช้ช่องทางสื่อสารปกติไม่ได้ จึงควรรู้ล่วงหน้าว่าต้องรายงานใครและอย่างไร ส่วนคู่มือ Phishing Guidance ของ CISA ระบุว่าการรายงานฟิชชิงเป็นวิธีป้องกันที่มีประสิทธิภาพวิธีหนึ่ง เพราะช่วยให้ผู้ให้บริการอีเมลรู้จักการโจมตีแบบใหม่ได้
• ย้ำอย่างสม่ำเสมอ: หน้า Teach Employees to Avoid Phishing ของ CISA ระบุว่าการอบรมปีละครั้งไม่พอ และเสนอให้มอบหมายคนหนึ่งคนให้ติดตามภัยใหม่ แล้วแจ้งพนักงานระหว่างรอบอบรม
• เปิดช่องถามแบบไม่เป็นทางการ: NCSC แนะนำให้ใช้ช่องทางอย่างกลุ่มแชตหรือบอร์ดภายใน เพื่อให้พนักงานกล้า "ถามออกเสียง" ได้เมื่อไม่แน่ใจ

สำหรับชั้นแรก และกรณี BEC (business email compromise คือการแอบอ้างเป็นผู้บริหารหรือคู่ค้าทางอีเมลเพื่อให้โอนเงิน) อ่านต่อในบทความเรื่อง Email Security: ป้องกันฟิชชิงและ BEC หลายชั้น การหลอกด้วยเสียงและวิดีโอปลอมอยู่ใน Deepfake และการหลอกลวงด้วย AI: องค์กรรับมืออย่างไร และชั้นที่สามเรื่องการยืนยันตัวตนอยู่ใน MFA แบบไหนปลอดภัยกว่ากัน: SMS, แอป, Push และ Passkey

ข้อผิดพลาดที่พบบ่อย

• ลงโทษหรือประจานคนที่คลิก: คนจะกลัวและเลิกรายงาน ซึ่งทำให้ทีมความปลอดภัยรู้ช้าลง
• วัดแต่อัตราคลิก: ไม่ดูอัตรารายงานซึ่งเป็นสัญญาณเตือนล่วงหน้า และกระตุ้นให้คนเงียบ
• ถือว่าการฝึกพนักงานคือการป้องกันทั้งหมด: ข้ามชั้นอีเมล ชั้นการปกป้องเครื่องและบัญชี และชั้นการตอบสนองเหตุการณ์
• เทียบอัตราคลิกข้ามรอบโดยไม่ดูความยากของอีเมล: อีเมลง่ายกับอีเมลยากให้ตัวเลขต่างกันมาก โดยที่พนักงานไม่ได้เก่งขึ้นหรือแย่ลง
• ฝึกปีละครั้ง: หน้าแนะนำของ CISA ระบุว่าไม่พอ ควรย้ำอย่างสม่ำเสมอ
• ส่งอีเมลฝึกโดยไม่คุยกับ HR และฝ่ายกฎหมาย: ทั้ง NCSC และ NIST เตือนเรื่องความเสี่ยงทางกฎหมายและผลกระทบต่อความไว้ใจ
• ไม่มีใครตอบรายงาน: พนักงานรายงานไปแล้วเงียบหาย จึงเลิกรายงาน

ขั้นแรกที่ทำได้ทันที

• ตรวจช่องทางรายงานวันนี้: มีปุ่มหรืออีเมลรายงานที่ใช้ง่ายหรือยัง ใครเป็นคนรับ และมีกำหนดเวลาตอบกลับหรือไม่
• เขียนกติกาหนึ่งหน้าร่วมกับ HR และฝ่ายกฎหมาย: ไม่ลงโทษ ไม่ประกาศชื่อ ผลใช้เพื่อเรียนรู้ และการรายงานปลอดภัย
• เริ่มจากหนึ่งแผนก: ส่งอีเมลฝึกที่ไม่ยากมาก วัดทั้งอัตราคลิกและอัตรารายงาน แล้วบันทึกเป็นค่าตั้งต้น
• ตั้งเป้าหมายเป็นการรายงาน: ไม่ต้องตั้งเป้าให้ไม่มีใครคลิก เพราะ NCSC ระบุว่าจะมีฟิชชิงบางฉบับหลุดเข้ามาเสมอ
• เพิ่มวิธียืนยันคำขอเรื่องเงินและการเข้าถึงระบบ: กำหนดให้ยืนยันซ้ำผ่านช่องทางอื่นที่มีอยู่แล้ว เช่น โทรกลับเบอร์ที่รู้จัก
• ทบทวนชั้นอื่นของ NCSC: ตรวจ DMARC, SPF, DKIM, MFA และการอัปเดตแพตช์

ถ้าต้องการดูว่าส่วนอื่นของการป้องกันอยู่ตรงไหน ลองใช้ แบบประเมินตนเอง เพื่อดูลำดับสิ่งที่ควรทำต่อ

แหล่งอ้างอิงและข้อมูลเพิ่มเติม

• NCSC: Phishing attacks: defending your organisation: สี่ชั้นของการป้องกัน มุมมองต่อการฝึกและการจำลองฟิชชิง การรายงาน และกรณีศึกษา (เผยแพร่ 2018 ทบทวน 2024)
• NIST SP 800-50 Rev. 1: Building a Cybersecurity and Privacy Learning Program: ฉบับ final กันยายน 2024 ดูหัวข้อ 1.3 (วงจรชีวิตของโปรแกรม) และ 2.7.2 (การเรียนรู้จากการลงมือฝึก)
• NIST: Phish Scale และงานวิจัยด้านฟิชชิง: วิธีให้คะแนนความยากของอีเมลฟิชชิงและเอกสารที่เกี่ยวข้อง
• NIST TN 2276: NIST Phish Scale User Guide: คู่มือการใช้ Phish Scale (2023)
• CISA: Teach Employees to Avoid Phishing: สิ่งที่ควรสอน การตรวจสอบนอกข้อความ และการย้ำอย่างสม่ำเสมอ
• CISA: Phishing Guidance: Stopping the Attack Cycle at Phase One: คู่มือร่วมของ CISA, NSA, FBI และ MS-ISAC เผยแพร่ 18 ตุลาคม 2023 มีส่วนสำหรับผู้ดูแลเครือข่ายและธุรกิจขนาดเล็กถึงกลาง