อีเมลฉบับนั้นมาจากโดเมนจริงของคู่ค้า ชื่อผู้ส่งถูก ที่อยู่อีเมลถูกทุกตัวอักษร เพราะระบบอีเมลของคู่ค้าถูกเจาะมาก่อนแล้ว
ผู้บริหารระดับสูงขององค์กรแห่งหนึ่งหลงเชื่ออีเมลฉบับนั้น เรื่องที่ผมได้ยินมาไม่ได้ลงรายละเอียดว่าเสียหายเท่าไร แต่หลังจากนั้นองค์กรก็เร่งหามาตรการป้องกันเพิ่มทันที
อีกเรื่องจบต่างกัน ผู้บริหารอีกท่านได้รับอีเมลหลอกจากคู่ค้าเหมือนกัน แต่ไม่เชื่อข้อมูลในอีเมล ท่านโทรกลับไปที่เบอร์หลักที่คุยกับบริษัทนั้นอยู่แล้วด้วยตัวเอง แล้วก็พบว่าระบบของบริษัทต้นทางถูกเจาะจริง
สองเรื่องนี้พาผมกลับมาที่คำถามเดียว "ระบบของคู่ค้าไม่ปลอดภัย เราจะปลอดภัยได้อย่างไร"
สรุปสั้นสำหรับรายงานเจ้าของกิจการ
อีเมลหลอกให้โอนเงินบางฉบับมาจากอีเมลจริงของคู่ค้าที่ถูกเจาะ การดูชื่อหรือโดเมนผู้ส่งจึงจับไม่ได้ จุดที่บริษัทควบคุมได้คือขั้นตอนก่อนเงินออก ได้แก่ โทรยืนยันกับเบอร์ที่มีอยู่เดิมทุกครั้งที่มีการเปลี่ยนเลขบัญชี ให้ยอดที่เกินวงเงินต้องมีผู้อนุมัติคนที่สอง เปิดการยืนยันตัวตนสองชั้นให้อีเมลผู้บริหารกับฝ่ายการเงิน และให้ทีมไอทีตรวจว่าระบบกรองอีเมลที่มีอยู่เปิดใช้ครบแล้วหรือยัง ทั้งหมดนี้แทบไม่มีค่าใช้จ่าย และเริ่มได้ภายในสัปดาห์นี้
BEC กับ VEC ต่างกันตรงไหน
กลโกงที่ใช้อีเมลหลอกให้โอนเงิน วงการไอทีเรียกรวมว่า BEC (Business Email Compromise) มักมาในรูปอีเมลที่ปลอมชื่อผู้ส่ง ใช้โดเมนที่ต่างจากของจริงเพียงตัวอักษรเดียว หรือเจาะอีเมลของคนในบริษัทเอง แล้วอ้างชื่อผู้บริหารสั่งโอนเงิน
ส่วน VEC (Vendor Email Compromise) คือกรณีที่อีเมลของคู่ค้าหรือผู้ขายถูกเจาะ แล้วผู้ไม่หวังดีใช้กล่องอีเมลจริงนั้นส่งไปหาลูกค้าของเขา ซึ่งก็คือบริษัทของคุณ
ความต่างที่เจ้าของกิจการควรรู้คือ คำแนะนำที่ได้ยินบ่อยว่า "ให้ดูที่อยู่อีเมลผู้ส่งให้ดี" ช่วยได้กับ BEC หลายแบบ แต่ใช้กับ VEC ไม่ได้ เพราะทุกอย่างที่มองเห็นถูกต้องหมด เหมือนเรื่องแรกข้างบน
ทำไมคนที่รอบคอบก็พลาดได้
ถ้าเรื่องนี้เคยเกือบเกิดกับองค์กรของคุณ ก็ไม่ได้แปลว่าทีมของคุณไม่เก่ง เพราะอีเมลแบบนี้ถูกออกแบบมาให้ดูปกติที่สุด
- มาในจังหวะที่มีบิลรอจ่ายจริง เพราะผู้ไม่หวังดีอาจแอบอ่านอีเมลของคู่ค้าหรือของบริษัทคุณมาก่อนหลายสัปดาห์
- ชื่อผู้ส่งเหมือนเดิม บางครั้งที่อยู่อีเมลต่างไปเพียงตัวอักษรเดียว และบางครั้งมาจากบัญชีจริงของคู่ค้าที่ถูกเจาะไปแล้ว
- สร้างความเร่งด่วน เช่น "รบกวนโอนภายในวันนี้" หรือ "ขอให้เก็บเรื่องนี้เป็นความลับก่อน"
- อ้างชื่อผู้บริหาร เช่น อีเมลหรือแชทที่ทำทีว่าเจ้าของกิจการกำลังเดินทาง และสั่งให้โอนเงินด่วน
ผมเห็นว่าการอบรมให้พนักงานรู้จักอีเมลหลอกช่วยได้มาก แต่ถ้าทุกอย่างต้องพึ่งสายตาของพนักงานอย่างเดียว วันที่งานยุ่งก็มีโอกาสพลาดได้ ฝั่งระบบจึงสำคัญไม่แพ้กัน
ระบบกรองอีเมลที่ตั้งค่าไว้ดีจะคัดอีเมลหลอกจำนวนมากออกไปก่อนถึงมือคน เช่น เตือนเมื่ออีเมลมาจากโดเมนที่หน้าตาคล้ายของคู่ค้า ติดป้ายบอกว่าอีเมลมาจากภายนอกบริษัท หรือแจ้งเตือนเมื่อมีคนเข้าบัญชีอีเมลจากที่ที่ไม่คุ้นเคย พนักงานก็จะเหลืออีเมลที่ต้องใช้วิจารณญาณเองน้อยลง
เรื่องนี้ไม่จำเป็นต้องเริ่มจากการซื้อระบบใหม่ เพราะระบบอีเมลที่หลายบริษัทใช้อยู่มีความสามารถบางส่วนนี้อยู่แล้ว แต่อาจยังไม่ได้เปิดใช้ คำถามแรกถึงทีมไอทีจึงเป็น "ตอนนี้บริษัทเปิดใช้อะไรอยู่บ้าง" แล้วค่อยตัดสินใจว่าส่วนที่ยังขาด คุ้มที่จะลงทุนเพิ่มหรือไม่
แต่ถ้าอีเมลมาจากกล่องจริงของคู่ค้าอย่างในเรื่องแรก ทั้งคนและระบบก็อาจดูไม่ออก ชั้นสุดท้ายที่ต้องมีเสมอจึงเป็น ขั้นตอนที่ช่วยให้คนตรวจสอบได้โดยไม่ต้องรู้สึกเกรงใจ
5 ขั้นตอนที่ทำได้ภายในสัปดาห์นี้
ถ้าให้แนะนำเรื่องแรก ผมจะชวนเจ้าของกิจการทำความเข้าใจพื้นฐานเรื่องความปลอดภัยของอีเมลด้วยตัวเองก่อน อย่างน้อยให้รู้ว่าอีเมลที่ดูถูกต้องทุกอย่างก็ยังเป็นอีเมลหลอกได้ แล้วค่อยปรับขั้นตอนยืนยันธุรกรรมที่มีความเสี่ยง ส่วนขั้นตอนด้านล่าง เกือบทุกข้อเป็นเรื่องของการตกลงวิธีทำงาน ไม่ต้องซื้อระบบใหม่
- ตั้งกฎว่าการเปลี่ยนเลขบัญชีต้องโทรยืนยันเสมอ โดยโทรไปที่เบอร์หลักที่คุยกันอยู่แล้ว หรือเบอร์ในทะเบียนผู้ขาย ไม่ใช่เบอร์ที่แนบมาในอีเมลฉบับนั้น ผู้บริหารในเรื่องที่สองก็ทำแบบนี้ และได้รู้ว่าคู่ค้าถูกเจาะก็จากการโทรกลับครั้งนั้น
- แยกคนแก้ไขข้อมูลผู้ขายออกจากคนกดโอน ให้การเปลี่ยนเลขบัญชีต้องผ่านสองคนเสมอ
- กำหนดวงเงินที่ต้องมีผู้อนุมัติคนที่สอง เช่น ยอดที่เกิน 100,000 บาท ตัวเลขนี้ปรับได้ตามขนาดของธุรกิจ
- เปิดการยืนยันตัวตนสองชั้น (MFA) ให้อีเมลของผู้บริหารและฝ่ายการเงิน คือนอกจากรหัสผ่าน ต้องกดยืนยันบนมือถืออีกครั้ง ถ้าองค์กรใช้ Microsoft 365 หรือ Google Workspace อยู่แล้ว มักเปิดได้โดยไม่มีค่าใช้จ่ายเพิ่ม
- เจ้าของกิจการประกาศเองว่าจะไม่สั่งโอนเงินผ่านอีเมลหรือแชท ประโยคเดียวนี้ทำให้พนักงานกล้าปฏิเสธคำสั่งแปลก ๆ โดยไม่ต้องกลัวว่าจะขัดใจผู้ใหญ่
ขั้นตอนที่ดีช่วยให้ทุกคนมั่นใจว่าเงินทุกบาทไปถึงคนที่ควรได้รับจริง โดยที่งานไม่ได้ช้าลง
ระบบของคู่ค้าไม่ปลอดภัย แล้วฝั่งเราทำอะไรได้
ในทั้งสองเรื่องข้างบน อีเมลที่ถูกเจาะเป็นของคู่ค้า ไม่ใช่ของบริษัทที่ได้รับอีเมล บริษัทของคุณเข้าไปแก้ระบบของคู่ค้าไม่ได้ และคู่ค้าแต่ละรายก็ดูแลความปลอดภัยได้ไม่เท่ากัน แต่สิ่งที่อยู่ในมือคุณเสมอคือ ขั้นตอนก่อนเงินออกจากบริษัท ซึ่งใช้ได้แม้ต้นเหตุจะอยู่ฝั่งคู่ค้า อีกด้านหนึ่ง บริษัทของคุณก็ดูแลอีเมลของตัวเองไม่ให้กลายเป็นต้นเหตุที่ทำให้ลูกค้าหรือคู่ค้าถูกหลอกเสียเอง
ถ้าสงสัยว่าคู่ค้าอาจถูกเจาะ ให้โทรแจ้งเขาโดยตรง และอย่าตอบกลับอีเมลฉบับนั้น เพราะคำตอบอาจไปถึงคนที่กำลังเฝ้าอ่านอยู่
ส่วนถ้าเงินโอนออกไปแล้ว สิ่งแรกคือแจ้งธนาคารของบริษัทให้เร็วที่สุด เพราะยิ่งรู้เร็ว โอกาสระงับเงินไว้ได้ก็ยิ่งมาก แต่ถ้าบริษัทยังไม่เคยตกลงกันไว้ว่าใครเป็นคนติดต่อธนาคาร และต้องใช้เอกสารอะไร ตอนเกิดเหตุจริงก็มักจะช้าไปหนึ่งก้าว
แนวทางนี้สอดคล้องกับ NIST Cybersecurity Framework 2.0 ที่จัดการบริหารความเสี่ยงจากคู่ค้าและห่วงโซ่อุปทาน (Supply Chain Risk Management) ไว้ในหมวดการกำกับดูแล (Govern) ซึ่งเป็นหมวดที่ผู้บริหารเป็นผู้กำหนดทิศทาง
4 คำถามเริ่มต้นดูแลฝั่งเรา
- ป้องกันเงินออก: ถ้าวันนี้มีอีเมลขอเปลี่ยนเลขบัญชีเข้ามา ขั้นตอนของบริษัทคืออะไร ใครเป็นคนโทรยืนยัน และใช้เบอร์จากที่ไหน ข้อนี้ช่วยได้แม้คู่ค้าจะเป็นฝ่ายที่ถูกเจาะ
- ไม่ให้อีเมลบริษัทถูกยึด: อีเมลของผู้บริหารและฝ่ายการเงินเปิดการยืนยันตัวตนสองชั้นครบทุกบัญชีแล้วหรือยัง ถ้าอีเมลของบริษัทถูกเจาะ ผู้ไม่หวังดีจะใช้ชื่อบริษัทไปหลอกลูกค้าและคู่ค้าต่อ
- ไม่ให้เครื่องของพนักงานเป็นทางเข้า: เครื่องที่ผู้บริหารและฝ่ายการเงินใช้เปิดอีเมล อัปเดตแพตช์สม่ำเสมอ และมีระบบป้องกันมัลแวร์ที่มีคนคอยดูการแจ้งเตือนแล้วหรือยัง เพราะหลายครั้งอีเมลถูกยึดผ่านเครื่องที่ติดมัลแวร์ แล้วถูกขโมยรหัสผ่านหรือการเข้าสู่ระบบไป ซึ่งการยืนยันตัวตนสองชั้นอย่างเดียวอาจกันไม่ได้ ถึงตอนนั้น บริษัทของคุณก็จะกลายเป็นคู่ค้าที่ถูกเจาะในเรื่องแบบนี้เสียเอง
- ไม่ให้ใครปลอมชื่อบริษัท: โดเมนอีเมลของบริษัทตั้งค่าป้องกันการปลอมชื่อผู้ส่ง (SPF, DKIM และ DMARC) แล้วหรือยัง ข้อนี้ช่วยให้ลูกค้าและคู่ค้าไม่ได้รับอีเมลปลอมในนามบริษัทของคุณ ทีมไอทีจะรู้ว่าคุณหมายถึงอะไร
คำตอบที่ได้ไม่จำเป็นต้องสมบูรณ์ในวันนี้ แค่รู้ว่าช่องว่างอยู่ตรงไหน ก็เป็นจุดเริ่มต้นที่ดีแล้ว
ใครควรเป็นคนถามคำถามเหล่านี้
เรื่องนี้คาบเกี่ยวทั้งฝ่ายการเงินและทีมไอที ฝ่ายการเงินดูแลขั้นตอนก่อนโอน ทีมไอทีดูแลระบบอีเมล แต่การตัดสินใจว่ายอดเท่าไรต้องมีผู้อนุมัติคนที่สอง และใครมีสิทธิ์แก้ข้อมูลผู้ขาย ต้องมาจากฝั่งผู้บริหาร
ในบริษัทใหญ่ หน้าที่นี้เป็นของ CISO (ผู้บริหารที่ดูแลความเสี่ยงด้านไอทีและข้อมูล) ส่วนในธุรกิจขนาดกลาง มักตกอยู่กับเจ้าของกิจการเอง ที่ปรึกษาแบบ vCISO (ทำหน้าที่ CISO เป็นรายเดือนหรือรายโครงการ) ช่วยวางขั้นตอนเหล่านี้ร่วมกับฝ่ายการเงินและทีมไอที และสรุปเป็นภาษาธุรกิจให้ผู้บริหาร โดยไม่ต้องจ้างผู้บริหารเต็มเวลา
ระบบของคู่ค้าไม่ปลอดภัย เราจะปลอดภัยได้อย่างไร
อ่านต่อ: ถ้าคนดูแลไอทีลาออกพรุ่งนี้ รหัสผ่านและระบบของบริษัทอยู่กับใคร เพราะบัญชีอีเมลของบริษัทก็เป็นหนึ่งใน "กุญแจ" ที่ควรมีผู้ดูแลมากกว่าหนึ่งคน