ตัวอย่างการโจมตีทางสังคม: 15 รูปแบบและวิธีป้องกัน

ตามคำนิยามของหน่วยงานความมั่นคงทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) การโจมตีแบบวิศวกรรมสังคม (Social engineering) คือการโจมตีที่... "ผู้โจมตีใช้ปฏิสัมพันธ์กับมนุษย์ (ทักษะทางสังคม) เพื่อให้ได้มาหรือบุกรุกข้อมูลเกี่ยวกับองค์กรหรือระบบคอมพิวเตอร์ขององค์กรนั้น"มันได้ผลเพราะมันมุ่งเป้าไปที่คน ไม่ใช่ซอฟต์แวร์ รายงานการตรวจสอบการรั่วไหลของข้อมูลปี 2026 ของ Verizon พบว่า... ปัจจัยมนุษย์มีส่วนเกี่ยวข้องในการละเมิดถึง 62%เพิ่มขึ้นจาก 60% ในปีที่แล้ว

ต่อไปนี้เป็นตัวอย่างกลอุบายทางสังคม 15 ข้อ แบ่งเป็น 3 ชุด ชุดละ 5 ข้อ แต่ละข้อมีสัญญาณเตือนที่ควรระวังและวิธีการหยุดยั้ง ชุดที่ 1 ครอบคลุมกลุ่มกลอุบายฟิชชิ่ง ชุดที่ 2 ครอบคลุมกลอุบายหลอกลวงและการปลอมตัว และชุดที่ 3 ครอบคลุมการโจมตีทางกายภาพและการล่อลวง แต่ละชุดจะจบลงด้วย สิ่งที่เราเลือกตัวอย่างที่เราจะฝึกฝนเป็นอันดับแรก โดยมีเหตุผลเพียงบรรทัดเดียว

บริษัท บุคคล และข้อความตัวอย่างทั้งหมดด้านล่างนี้เป็นเรื่องสมมติ

ชุดที่ 1: ตระกูลฟิชชิ่ง

1. การหลอกลวงทางอีเมล ข้อความที่ดูเหมือนมาจากธนาคาร ผู้จำหน่าย หรือทีมไอทีของคุณเอง จะขอให้คุณคลิกลิงก์และลงชื่อเข้าใช้ CISA ระบุว่าการโจมตีแบบฟิชชิ่งใช้อีเมลหรือเว็บไซต์ที่เป็นอันตรายเพื่อหลอกลวง ร้องขอข้อมูลส่วนบุคคลโดยแอบอ้างเป็นองค์กรที่น่าเชื่อถือ. ธงแดง: ที่อยู่ผู้ส่งที่เลียนแบบที่อยู่ธุรกิจจริง คำทักทายทั่วไป เช่น "เรียน ลูกค้าผู้มีค่า" หรือลิงก์ที่ที่อยู่ไม่ตรงกับข้อความเมื่อวางเมาส์เหนือลิงก์นั้น หยุด: อย่าคลิก ให้เข้าไปที่เว็บไซต์โดยพิมพ์ที่อยู่เว็บไซต์ด้วยตนเอง หรือรายงานข้อความดังกล่าว
2. สเปียร์ฟิชชิ่ง (Spear phishing) เป็นกลอุบายเดียวกัน แต่ใช้กับคนคนเดียว ผู้ส่งจะใช้ชื่อของคุณ ชื่อผู้จัดการของคุณ และโครงการที่คุณทำงานอยู่จริง ซึ่งสามารถรวบรวมข้อมูลได้จากข้อมูลสาธารณะ ธงแดง: คำขอที่เฉพาะเจาะจงอย่างแปลกประหลาดและผิดวิสัย เช่น "ส่งสัญญา Atlas ให้ฉันวันนี้" หยุด: ลองติดต่อผู้ส่งผ่านช่องทางอื่น เช่น โทรไปยังหมายเลขที่คุณมีอยู่แล้ว
3. ยิ้มแย้มแจ่มใส การหลอกลวงทางอีเมล (Phishing) ผ่านข้อความ SMS CISA อธิบายไว้ดังนี้ Smishing เป็นการใช้กลวิธีทางสังคมเพื่อหลอกลวงผู้ใช้ผ่านข้อความ SMS โดยมีลิงก์ หมายเลข หรือที่อยู่เว็บไซต์ที่เมื่อแตะแล้วจะเปิดเบราว์เซอร์หรือโทรออก ธงแดง: ข้อความ "พัสดุถูกระงับ" หรือ "บัญชีถูกล็อก" พร้อมลิงก์สั้นๆ หยุด: ลบแอปนั้นแล้วเปิดแอปหรือเว็บไซต์จริงด้วยตัวเอง
4. วิชิง. การหลอกลวงทางเสียง (Phishing by voice) CISA กล่าว vishing การโทรด้วยเสียงนั้นสามารถปลอมแปลงหมายเลขผู้โทรได้ ดังนั้นการโทรที่แสดงชื่อที่คุ้นเคยจึงไม่ได้พิสูจน์อะไรเลย ธงแดง: ผู้โทรที่สร้างแรงกดดันและขอรหัสหรือรหัสผ่าน หยุด: วางสายแล้วโทรกลับที่หมายเลขที่พิมพ์ไว้ในใบแจ้งยอดหรือเว็บไซต์ของบริษัท
5. การหลอกลวงด้วยคิวอาร์โค้ด รหัส QR ซ่อนที่อยู่เว็บที่มันนำไปให้ FBI ได้ออกมาเตือนเกี่ยวกับเรื่องนี้แล้ว พัสดุที่ไม่ได้รับคำสั่งซื้อซึ่งมีรหัส QR ที่ขอข้อมูลส่วนบุคคลและข้อมูลทางการเงินจากผู้รับ หรือติดตั้งซอฟต์แวร์ขโมยข้อมูล ธงแดง: รหัสที่คุณไม่คาดคิด โดยไม่มีข้อมูลผู้ส่ง หยุด: ห้ามสแกนคิวอาร์โค้ดจากแหล่งที่ไม่รู้จัก

ตัวอย่างที่เราแนะนำ: ตัวอย่างที่ 4, การหลอกลวงทางโทรศัพท์ (vishing) Verizon พบว่าในการจำลองการโจมตีแบบฟิชชิง อัตราการคลิกเฉลี่ยใน ช่องทางการใช้งานที่เน้นอุปกรณ์เคลื่อนที่ เช่น การโทรด้วยเสียงและการส่งข้อความ มีอัตราสูงขึ้น 40% เร็วกว่าการติดต่อผ่านอีเมล ผู้คนเรียนรู้ที่จะไม่ไว้วางใจอีเมลเร็วกว่าที่พวกเขาเรียนรู้ที่จะไม่ไว้วางใจการโทรศัพท์

ชุดที่ 2: การหลอกลวงและการปลอมตัว

Verizon นิยามการใช้กลอุบายหลอกลวง (pretexting) ว่าเป็นกลยุทธ์ของผู้โจมตีซึ่ง... ความสัมพันธ์ที่น่าเชื่อถือถูกสร้างขึ้นผ่านสถานการณ์ที่ถูกสร้างขึ้นมา เพื่อหลอกล่อผู้ใช้ให้กระทำการที่ส่งผลเสียต่อองค์กร โดยส่วนใหญ่มักใช้เสียง แต่ก็อาจใช้ทางอีเมลหรือข้อความได้เช่นกัน รายงานปี 2026 ระบุว่า การโจมตีทางไซเบอร์ประเภทนี้คิดเป็น 6% ของการละเมิดข้อมูลทั้งหมด เทียบกับ 16% สำหรับการฟิชชิง

6. การฉ้อโกงโดยผู้บริหารระดับสูงและการโจมตีทางอีเมลธุรกิจ ศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ต (IC3) ของ FBI กำหนดนิยามของ... อีเมลธุรกิจประนีประนอม (BEC) เป็นการหลอกลวงที่มุ่งเป้าไปที่ธุรกิจต่างๆ โดยใช้บัญชีอีเมลที่ถูกแฮ็กและช่องทางการสื่อสารอื่นๆ เพื่อทำให้เกิดการโอนเงินโดยไม่ได้รับอนุญาต ในปี 2025 IC3 ได้รับเรื่องร้องเรียนเกี่ยวกับ BEC จำนวน 24,768 เรื่อง และมีมูลค่าความเสียหายประมาณ 3.05 พันล้านดอลลาร์สหรัฐ ธงแดง: คำขอเร่งด่วนจากผู้บริหารระดับสูงให้ชำระเงินหรือซื้อบัตรของขวัญ โดยมีข้อความกำกับว่า "อย่าบอกใครนะ" หยุด: ยืนยันคำขอชำระเงินใดๆ ทางโทรศัพท์หรือด้วยตนเอง
7. บริการช่วยเหลือด้านไอทีปลอม มีคนอ้างว่าเป็นเจ้าหน้าที่ฝ่ายสนับสนุนด้านเทคนิคและต้องการรหัสผ่านหรือสิทธิ์การเข้าถึงระยะไกลของคุณ "เพื่อแก้ไขปัญหา" ได้รับข้อความจาก IC3 แล้ว คาดว่าจะมีการร้องเรียนด้านการสนับสนุนทางเทคนิค 47,794 ครั้งในปี 2025โดยมีรายงานความเสียหายมากกว่า 2.1 พันล้านดอลลาร์ ธงแดง: ฝ่ายไอทีจะติดต่อคุณก่อน และขอรหัสผ่านหรือรหัสใช้ครั้งเดียว หยุด: ทีมไอทีตัวจริงไม่ต้องการรหัสผ่านของคุณหรอก วางสายแล้วแจ้งปัญหาผ่านช่องทางปกติได้เลย
8. การเปลี่ยนแปลงใบแจ้งหนี้จากผู้ขาย อีเมลฉบับหนึ่งซึ่งดูเหมือนจะมาจากซัพพลายเออร์ประจำ ระบุว่ารายละเอียดบัญชีธนาคารของบริษัทได้เปลี่ยนแปลงไปแล้ว คำจำกัดความของ IC3 เกี่ยวกับ BEC ครอบคลุมถึงการหลอกลวงที่มุ่งเป้าไปที่กลุ่มบุคคลบางกลุ่ม ธุรกิจที่ทำงานร่วมกับซัพพลายเออร์และทำการโอนเงินผ่านธนาคารเป็นประจำ. ธงแดง: รายละเอียดบัญชีธนาคารใหม่ พร้อมกำหนดวันชำระเงิน หยุด: ก่อนทำการเปลี่ยนแปลงใดๆ โปรดติดต่อผู้จำหน่ายโดยใช้หมายเลขที่บันทึกไว้แล้ว
9. นักจัดหางานปลอม "ผู้สรรหา" ติดต่อพนักงานคนหนึ่งโดยเสนองานที่ดูเหมือนจะเป็นการเลื่อนตำแหน่ง จากนั้นขอเอกสารส่วนตัว หรือขอให้ทำแบบทดสอบที่ต้องดาวน์โหลดข้อมูล (IC3 ได้รับข้อมูลนี้) มีผู้ร้องเรียนเกี่ยวกับการฉ้อโกงด้านการจ้างงาน 24,688 รายในปี 2025. ธงแดง: ข้อเสนอที่คุณไม่ได้สมัคร พร้อมขั้นตอนการดำเนินการที่รวดเร็ว หยุด: ตรวจสอบข้อมูลผู้รับสมัครผ่านทางเว็บไซต์รับสมัครงานของบริษัทโดยตรง และห้ามติดตั้งซอฟต์แวร์ใดๆ ก่อนการสัมภาษณ์เด็ดขาด
10. เสียงปลอม (Deepfake voice) เสียงจำลองที่ฟังดูเหมือนผู้กำกับของคุณกำลังขอให้คุณชำระเงินด่วน บริษัท IC3 กล่าว การคัดลอกเสียงสามารถใช้เพื่อขอรับชำระเงินผ่านการโอนเงินได้ และธุรกิจต่างๆ รายงานความสูญเสียกว่า 30 ล้านดอลลาร์ในปี 2025 จากการหลอกลวง BEC ที่เกี่ยวข้องกับ AI ธงแดง: ข้อความเสียงหรือการโทรที่กระตุ้นให้คุณตัดสินใจก่อนที่คุณจะทันได้ตรวจสอบ หยุด: ตกลงกันเรื่องรหัสลับหรือกฎการติดต่อกลับสำหรับการชำระเงิน ดังนั้นแค่การพูดจาโน้มน้าวใจอย่างเดียวจึงไม่เพียงพอ

ตัวอย่างที่เราเลือก: ตัวอย่างที่ 6 การฉ้อโกงโดย CEO และ BEC (Business Email Compromise) นี่คือตัวอย่างที่แพงที่สุดในบรรดาตัวอย่างทั้งหมด แซงหน้าแม้กระทั่งการหลอกลวงด้านการสนับสนุนทางเทคนิคในตัวเลขปี 2025 ของ IC3 และวิธีหยุดยั้งก็ทำได้ง่ายและราคาไม่แพง: เพียงแค่โทรศัพท์ไปยังหมายเลขที่ทราบก่อนที่เงินจะถูกโอนไป

ชุดที่ 3: การโจมตีทางกายภาพและการล่อลวง

การโจมตีเหล่านี้ไม่จำเป็นต้องใช้แป้นพิมพ์ แต่มีความสำคัญเพราะคนแปลกหน้าในอาคารสามารถเข้าถึงสิ่งที่ไฟร์วอลล์ป้องกันได้

11. การจัดปาร์ตี้ท้ายรถ มีคนเดินตามคุณผ่านประตูที่มีระบบรักษาความปลอดภัย "เพราะมือของเขาถือของเต็มไปหมด" ธงแดง: บุคคลที่ไม่มีบัตรประจำตัว มีท่าทีผ่อนคลายและเป็นมิตร หยุด: ขอให้พวกเขาใช้บัตรเข้าออกด้วยตนเองอย่างสุภาพ หรือพาพวกเขาไปที่แผนกต้อนรับ
12. ใช้แฟลชไดรฟ์ USB เป็นเหยื่อล่อ มีคนทิ้งแฟลชไดรฟ์ USB ที่มีป้ายกำกับว่า "การทบทวนเงินเดือนปี 2027" ไว้ในลานจอดรถหรือบริเวณล็อบบี้ ธงแดง: ไดรฟ์แบบถอดได้ใดๆ ที่คุณไม่ได้ซื้อ หยุด: ห้ามเสียบอุปกรณ์ที่พบเข้ากับเครื่องใช้ไฟฟ้าโดยเด็ดขาด ให้ส่งมอบให้ฝ่ายไอทีเพื่อตรวจสอบอย่างปลอดภัย
13. การแอบมองจากด้านหลังไหล่ มีคนแอบอ่านหน้าจอของคุณ หรือแอบดูคุณพิมพ์รหัส PIN บนรถไฟ หรือที่โต๊ะทำงานแบบใช้ร่วมกัน ธงแดง: บุคคลที่ยืนใกล้เกินไปหรือเอียงโทรศัพท์มาที่หน้าจอของคุณ หยุด: ใช้ฟิลเตอร์ความเป็นส่วนตัว ล็อกหน้าจอเมื่อคุณลุกจากที่นอน และนั่งหันหลังให้กำแพง
14. การคุ้ยขยะ. อีเมลที่พิมพ์ออกมา แผนผังองค์กร และบันทึกการประชุมที่ถูกทิ้งลงถังขยะธรรมดา จะทำให้ผู้โจมตีได้ชื่อ หมายเลขโทรศัพท์ และชื่อโครงการ เพื่อใช้ในการติดต่อครั้งต่อไป ธงแดง: กระดาษที่มีชื่อหรือหมายเลขอยู่ในถังขยะแบบเปิด หยุด: ใช้เครื่องทำลายเอกสารหรือถังขยะแบบมีฝาปิด และรักษานิสัยการจัดระเบียบโต๊ะทำงานให้สะอาดอยู่เสมอ
15. การส่งมอบปลอม พนักงานส่งของสวมเสื้อแจ็กเก็ตที่มีตราสินค้าขออนุญาตเข้าไปด้านในผ่านแผนกต้อนรับ หรือขอฝากพัสดุไว้ในห้องเซิร์ฟเวอร์ ธงแดง: การจัดส่งที่ไม่มีใครสั่ง หรือการจัดส่งที่ไม่สามารถส่งไปยังแผนกต้อนรับได้ หยุด: นำใบเสร็จไปยื่นที่แผนกต้อนรับ และตรวจสอบพัสดุที่ไม่คาดคิดกับบุคคลที่ระบุชื่อไว้บนฉลาก

ตัวเลือกที่เราแนะนำ: ตัวอย่างที่ 11 การจัดปาร์ตี้ก่อนการแข่งขัน ไม่จำเป็นต้องใช้ทักษะใดๆ และไม่เสียค่าใช้จ่ายใดๆ สิ่งที่ทำให้มันได้ผลคือมารยาทที่ดี ให้พนักงานมีบทพูดที่สุภาพ เพื่อให้การทักท้วงหรือโต้แย้งกับผู้อื่นรู้สึกเป็นเรื่องปกติและไม่เสียมารยาท

วิธีหยุดทั้ง 15 ตัว

ตัวอย่างทั้ง 15 ข้อมีสิ่งหนึ่งที่เหมือนกันคือ พวกมันผลักดันให้คุณลงมือทำอย่างรวดเร็วและโดยลำพัง แต่มีนิสัย 3 อย่างที่ขัดแย้งกับสิ่งนั้น

1. ตรวจสอบผ่านช่องทางที่สอง หากคำขอเกี่ยวข้องกับเงิน รหัสผ่าน รหัส หรือการเข้าถึง ให้ยืนยันด้วยวิธีการอื่น โดยใช้รายละเอียดการติดต่อที่คุณมีอยู่แล้ว CISA แนะนำว่า หากคุณไม่แน่ใจว่าคำขอเป็นของจริงหรือไม่ ตรวจสอบโดยติดต่อบริษัทโดยตรงและไม่ใช่ข้อมูลติดต่อที่ระบุไว้ในข้อความ
2. แจ้งความเลยค่ะ คำแนะนำของ CISA สำหรับกรณีที่สงสัยว่าเป็นการโจมตีแบบฟิชชิ่งคือ รายงานข้อความ แล้วก็ลบมันทิ้งไป ทำให้การรายงานเป็นเรื่องง่าย แค่คลิกเดียว ไม่ต้องโทษใคร เพื่อให้คนแรกที่พบเห็นเตือนคนอื่นๆ ด้วย
3. ช้าลงหน่อย. รายชื่อ CISA ภาษาที่เร่งรีบหรือกระตุ้นอารมณ์ หนึ่งในสัญญาณทั่วไปของการหลอกลวงทางอีเมล (phishing) CISA ยังระบุด้วยว่าไวยากรณ์ที่สมบูรณ์แบบไม่ใช่หลักฐานยืนยันความปลอดภัยอีกต่อไป เนื่องจากอีเมลบางฉบับในปัจจุบันมีการสะกดคำที่สมบูรณ์แบบด้วยเทคโนโลยี AI เมื่อข้อความใดต้องการความรวดเร็ว นั่นคือสัญญาณให้หยุดชั่วคราว

การฝึกฝนคือวิธีที่ทำให้พฤติกรรมติดตัวไปตลอด โดยมีปัจจัยด้านมนุษย์เข้ามาเกี่ยวข้องถึง 62% ของการละเมิดกฎระเบียบ รายงานของเวอริซอนปี 2026ทีมที่ฝึกฝนการระบุตัวอย่างทั้ง 15 ข้อนี้ จะเป็นส่วนสำคัญอย่างยิ่งในการป้องกันของคุณ สำหรับโปรแกรมที่ครอบคลุมมากขึ้น โปรดดูคู่มือของเราเกี่ยวกับ อบรมความรู้เรื่องความปลอดภัยทางไซเบอร์.

วิธีการจัดเซสชั่นวิศวกรรมสังคมด้วย AhaSlides

ดำเนินการตามตัวอย่างทั้ง 15 ข้อแบบสดๆ ในห้องประชุมหรือผ่านการสนทนาทางวิดีโอ โดยแสดงคำตอบบนหน้าจอขณะที่ผู้เข้าร่วมตอบ

1. เลือกคำตอบ: "ของจริงหรือของปลอม?" แสดงข้อความสมมติสำหรับแต่ละตัวอย่าง แล้วถามว่าข้อความนั้นเป็นของจริงหรือไม่ เปิดเผยจุดที่น่าสงสัย และอภิปรายกัน
2. กลุ่มคำ: "กลโกงที่คุณเจอบ่อยที่สุด" คำที่ใหญ่ที่สุดจะแสดงให้เห็นว่าควรฝึกฝนอะไรก่อนเป็นอันดับแรก
3. ระดับความมั่นใจ: "คุณมั่นใจแค่ไหนในการแยกแยะของปลอม?" ขอคะแนนตั้งแต่ 1 ถึง 5 ก่อนและหลังการให้คำปรึกษา แล้วเปรียบเทียบค่าเฉลี่ย
4. คำถามปลายเปิด: "ข้อความที่น่าสงสัยที่ฉันได้รับ" รวบรวมตัวอย่างจริง โดยลบชื่อออก และเลือกตัวอย่างที่ดีที่สุดเป็นสถานการณ์ในรอบต่อไป

เทมเพลตหลักสูตร Phishing & Social Engineering มีสไลด์สำเร็จรูปให้คุณปรับแต่งได้ และเทมเพลต Insider Threat Awareness ก็เป็นสื่อเสริมที่ดีสำหรับทั้งทีม

คำถามที่พบบ่อย

ตัวอย่างของวิศวกรรมทางสังคมมีอะไรบ้าง?

การหลอกลวงแบบฟิชชิ่ง การแอบอ้าง การล่อลวง และการติดตามอย่างใกล้ชิด เป็นวิธีการหลักๆ บทความนี้ได้รวบรวม 15 วิธี ตั้งแต่การหลอกลวงทางอีเมลและการหลอกลวงทางโทรศัพท์ ไปจนถึงการแอบอ้างเป็นฝ่ายสนับสนุนด้านไอทีปลอม การล่อลวงด้วย USB และการส่งของปลอม

การหลอกลวงทางสังคมประเภทใดที่พบได้บ่อยที่สุด?

การหลอกลวงทางอีเมล (Phishing) รายงานของ Verizon ปี 2026 ระบุว่าการหลอกลวงทางอีเมลคิดเป็น 16% ของการละเมิดข้อมูลทั้งหมด เทียบกับ 6% สำหรับการหลอกลวงโดยใช้ข้ออ้างเท็จ และ IC3 ได้รับเรื่องร้องเรียนเกี่ยวกับการหลอกลวงทางอีเมลและการปลอมแปลงข้อมูลจำนวน 191,561 เรื่องในปี 2025

คุณจะป้องกันการโจมตีทางสังคมได้อย่างไร?

ตรวจสอบคำขอผ่านช่องทางที่สองและรายงานคำขอที่น่าสงสัย เพิ่มการฝึกอบรมระยะสั้นอย่างสม่ำเสมอ เนื่องจากรูปแบบการโจมตีเปลี่ยนแปลงเร็วกว่าหลักสูตรใดๆ ที่จัดขึ้นเพียงครั้งเดียว

การอ้างเหตุผลโดยไม่ตั้งใจคืออะไร?

เรื่องราวที่แต่งขึ้นเพื่อใช้ในการเข้าถึงข้อมูลหรือสิทธิ์การเข้าถึง ผู้โจมตีสร้างความไว้วางใจผ่านสถานการณ์ที่ดูน่าเชื่อถือ เช่น การโทรขอความช่วยเหลือจากฝ่ายบริการลูกค้า จากนั้นจึงขอรหัสผ่าน ขอให้ชำระเงิน หรือขอให้เปิดประตูค้างไว้

จะเริ่มที่ไหนดี

เลือกชุดคำถามหนึ่งชุดแล้วนำไปใช้ในการประชุมทีมครั้งต่อไป หากคุณมีเวลาเพียงตัวอย่างเดียว ให้เลือกเรื่องการหลอกลวงทางโทรศัพท์ (vishing) จากนั้นถามทุกคนว่าพวกเขาจะทำอย่างไรหากได้รับสายที่ไม่คาดคิดในครั้งต่อไป