Social Engineering: กลลวงที่หลอก "คน" ไม่ใช่หลอก "ระบบ"
SME ไทยต้องรู้ทันแค่ไหน
กุมภาพันธ์ 2026 นักวิจัยจาก Dataminr พบว่ากลุ่มแฮกเกอร์ SLH (Scattered LAPSUS$ Hunters) ซึ่งเกิดจากการรวมตัวของ LAPSUS$, Scattered Spider และ ShinyHunters กำลังประกาศ จ้างผู้หญิงมาโทรศัพท์หลอก IT Help Desk ในราคา 500–1,000 ดอลลาร์ต่อ 1 สาย พร้อมแจกสคริปต์บทพูดสำเร็จรูป เหตุผลที่เจาะจงจ้างผู้หญิงคือเพื่อ "หลบโปรไฟล์แฮกเกอร์แบบเดิมๆ ที่พนักงาน Help Desk ถูกฝึกมาให้ระวัง"
อ่านให้ดีอีกรอบ — นี่ไม่ใช่การเจาะช่องโหว่ ไม่ใช่การแคร็กรหัสผ่าน ไม่มีมัลแวร์เข้ามาเกี่ยวข้องในขั้นตอนแรกเลย แต่คือ การจ้างคนมาโทรคุยกับพนักงานของคุณ และมันได้ผลมากพอที่จะมีคนยอมจ่ายสายละหลักหมื่นบาท
ตัวเลขที่ต้องรู้ก่อนอ่านต่อ
| ตัวเลข | ความหมาย | แหล่งที่มา |
|---|---|---|
| 62% | ของเหตุการณ์ข้อมูลรั่วไหลทั่วโลกเกี่ยวข้องกับ "คน" (Human Element) เพิ่มจาก 60% ปีก่อน | Verizon DBIR 2026 |
| 16% | ของ Data Breach ที่ยืนยันแล้วเกิดจาก Social Engineering โดยตรง — เป็นรูปแบบการโจมตีอันดับ 3 | Verizon DBIR 2026 |
| 41% | ของ Breach จาก Social Engineering ไม่ได้มาทางอีเมล แต่มาทางโทรศัพท์ SMS และโซเชียลมีเดีย | Verizon DBIR 2026 |
| 2.0% vs 1.4% | อัตราที่คนหลงกลจากการโทร/SMS เทียบกับอีเมล ในการทดสอบจำลอง — ช่องทางเสียงได้ผลกว่าราว 40% | Verizon DBIR 2026 |
| 6% | สัดส่วนของ Pretexting ในช่องทางเจาะเข้าระบบครั้งแรก ถูกยกเป็นช่องทางหลักที่ต้องติดตามเป็นปีแรก | Verizon DBIR 2026 |
| $500–1,000 | ค่าจ้างต่อ 1 สาย ที่กลุ่ม SLH จ่ายให้คนโทรหลอก IT Help Desk | Dataminr / The Hacker News (ก.พ. 2026) |
| 121,921 เคส 7.48 พันล้านบาท | คดีอาชญากรรมออนไลน์ในไทย 120 วันแรกของปี 2569 (1 ม.ค.–30 เม.ย.) | ศูนย์ ACSC สำนักงานตำรวจแห่งชาติ |
| 73% | ของพนักงานที่ถูกทดสอบด้วย Social Engineering แบบมี Deepfake ช่วย เคยผ่านการอบรม Security Awareness มาแล้ว แต่ยังหลงกล | Breacher.ai Field Data 2026 |
Social Engineering คืออะไร?
Social Engineering (วิศวกรรมสังคม) คือการหลอกลวงที่ใช้ จิตวิทยา เพื่อให้คนเปิดเผยข้อมูลหรือลงมือทำบางอย่างให้แฮกเกอร์เอง แทนที่จะเจาะระบบด้วยเทคนิค
พูดง่ายๆ คือ — แทนที่จะพยายามงัดประตู แฮกเกอร์เลือกที่จะ โทรมาบอกว่าเป็นช่างซ่อมแอร์ แล้วให้คุณเปิดประตูให้เอง
ทำไมแฮกเกอร์ถึงเลือกวิธีนี้?
| เจาะระบบ (Technical Hacking) | หลอกคน (Social Engineering) |
|---|---|
| ต้องหาช่องโหว่ที่ยังไม่ถูกปิด | คนมีช่องโหว่ตลอดเวลา และไม่มีแพตช์ให้ติดตั้ง |
| ใช้ทักษะสูง ใช้เวลานาน | ใช้แค่โทรศัพท์กับบทพูดที่เตรียมไว้ |
| ระบบป้องกันตรวจจับได้ | ดูเหมือนกิจกรรมปกติของพนักงาน ตรวจจับยากมาก |
| Firewall / EDR ขวางอยู่ | เข้าไปด้วย "บัญชีจริง" ที่พนักงานให้มาเอง |
6 หลักจิตวิทยาที่มิจฉาชีพใช้กับคุณ
| หลักการ | วิธีที่ใช้จริง | ตัวอย่างประโยค |
|---|---|---|
| อำนาจ Authority | อ้างเป็นผู้บริหาร ตำรวจ ธนาคาร หน่วยงานรัฐ | "ผมโทรจากฝ่ายกฎหมาย กรรมการผู้จัดการสั่งมา" |
| ความเร่งด่วน Urgency | บีบเวลาไม่ให้คิดหรือตรวจสอบ | "ต้องโอนภายใน 30 นาที ไม่งั้นดีลล่ม" |
| ความกลัว Fear | ขู่ว่าจะเสียหาย ถูกดำเนินคดี ถูกไล่ออก | "บัญชีคุณพัวพันคดีฟอกเงิน" |
| ความอยากช่วยเหลือ Helpfulness | เล่นกับนิสัยดีของพนักงาน โดยเฉพาะฝ่ายบริการและ Help Desk | "ขอโทษนะคะ พอดีล็อกอินไม่ได้ พรุ่งนี้ต้องส่งงานแล้ว" |
| ความไว้ใจ Social Proof | อ้างชื่อเพื่อนร่วมงานจริง โปรเจกต์จริง ที่หาได้จาก LinkedIn / Facebook | "คุณเอ๋ฝ่ายบัญชีบอกให้ติดต่อคุณ" |
| ผลตอบแทน Greed | เสนอของฟรี ส่วนลด โบนัส | "คลิกรับเงินคืนภาษี" / USB แจกฟรีในงานสัมมนา |
7 รูปแบบ Social Engineering ที่ SME ไทยเจอบ่อยที่สุด
1. Phishing / Spear Phishing — อีเมลหลอก
อีเมลปลอมที่ดูเหมือนมาจากธนาคาร ผู้ให้บริการ หรือคนในบริษัท ส่วน Spear Phishing คือเวอร์ชันเจาะจงตัวบุคคล ใช้ชื่อจริง ตำแหน่งจริง โปรเจกต์จริง ทำให้แยกออกยากกว่ามาก
👉 อ่านเพิ่ม: Phishing คืออะไร? วิธีสังเกตและไม่ตกเป็นเหยื่อ
2. Vishing — หลอกทางเสียง (โทรศัพท์)
ช่องทางที่ มาแรงที่สุดในปี 2026 เพราะได้ผลกว่าอีเมลราว 40% แก๊งคอลเซ็นเตอร์ในไทยคือ Vishing รูปแบบหนึ่ง แต่ที่อันตรายกว่าสำหรับธุรกิจคือเวอร์ชันที่โทรเข้า ฝ่าย IT หรือ Help Desk ของบริษัท เพื่อขอรีเซ็ตรหัสผ่านหรือ MFA
สคริปต์ที่กลุ่ม SLH / Scattered Spider ใช้จริง
- ปลอมเป็นพนักงานในบริษัทโทรขอรีเซ็ตรหัสผ่านหรือ MFA โดยอ้างว่ากำลังเดินทางหรือทำโทรศัพท์หาย
- MFA Prompt Bombingยิงการแจ้งเตือน MFA รัวๆ ตอนดึก จนเหยื่อกด "อนุมัติ" เพราะรำคาญและอยากนอน
- SIM Swapย้ายเบอร์ไปซิมใหม่เพื่อรับ OTP แทนเจ้าตัว
- หลอกให้ติดตั้งโปรแกรมรีโมท (RMM)บอกว่า "เดี๋ยวผมรีโมทเข้าไปแก้ให้เลยครับ" แล้วได้สิทธิ์เข้าเครื่องเต็มรูปแบบ
- ปลอมเป็นผู้ให้บริการ/เวนเดอร์ด้าน ITรูปแบบที่ Scattered Spider ใช้โจมตี Help Desk ในปี 2026
3. Smishing — หลอกทาง SMS / LINE
ลิงก์สั้นๆ พร้อมข้อความเร่งด่วน "พัสดุตกค้าง" "ยืนยันตัวตนภายในวันนี้" ในบริบทไทย LINE เป็นช่องทางที่ถูกใช้มากพอๆ กับ SMS เพราะธุรกิจ SME ไทยจำนวนมากใช้ LINE เป็นช่องทางสั่งงานหลัก
4. Pretexting — สร้างเรื่องราวปลอมทั้งชุด
ไม่ใช่แค่ข้อความเดียว แต่สร้าง "บริบท" ทั้งชุดขึ้นมาให้น่าเชื่อ เช่น ปลอมเป็นผู้ตรวจสอบบัญชี ปลอมเป็นซัพพลายเออร์ที่ขอเปลี่ยนเลขบัญชีธนาคาร หรือปลอมเป็นเจ้าหน้าที่มาขอข้อมูลตาม PDPA
5. Baiting — ล่อด้วยของฟรี
USB Drive ที่ "หล่นไว้" ในลานจอดรถหรือแจกในงานสัมมนา ไฟล์ซอฟต์แวร์เถื่อน โปรแกรม Crack หรือ "เครื่องมือ AI ฟรี" ซึ่งเป็นเทรนด์ที่มัลแวร์ปลอมตัวเป็นเครื่องมือ AI โจมตี SMB ในเอเชียตะวันออกเฉียงใต้โตขึ้นถึง 7 เท่าในปี 2026
6. Quid Pro Quo — แลกเปลี่ยนผลประโยชน์
"ผมช่วยแก้ปัญหาคอมให้ แลกกับรหัสผ่านของคุณ" หรือ "ทำแบบสอบถามรับบัตรกำนัล" แล้วในแบบสอบถามมีคำถามที่ตรงกับคำถามกู้รหัสผ่านพอดี เช่น ชื่อสัตว์เลี้ยงตัวแรก โรงเรียนประถม
7. Tailgating — เดินตามเข้าออฟฟิศ
ถือกล่องพัสดุเต็มมือแล้วยืนหน้าประตูคีย์การ์ด รอให้พนักงานใจดีเปิดให้ หรือปลอมเป็นช่างซ่อมแอร์ พนักงานส่งน้ำ พนักงานส่งอาหาร
ประเด็นสำหรับ SME ไทย: ออฟฟิศ SME ส่วนใหญ่ไม่มีระบบลงทะเบียนผู้มาติดต่อที่จริงจัง และมักมีคอมพิวเตอร์ที่ไม่ได้ล็อกหน้าจอวางอยู่ในพื้นที่เปิด
ทำไม SME ไทยเสี่ยงเป็นพิเศษ
| ปัจจัย | ผลที่ตามมา |
|---|---|
| ไม่มีฝ่าย IT เต็มเวลา | ใครก็ได้ที่ "พอเป็นคอม" กลายเป็นคนรีเซ็ตรหัสผ่าน โดยไม่มีขั้นตอนยืนยันตัวตนมาตรฐาน |
| โครงสร้างองค์กรแบน | เจ้าของสั่งตรงถึงพนักงานได้ ทำให้ "อีเมลจากเจ้าของสั่งโอนเงิน" ดูสมเหตุสมผล และไม่มีใครกล้าถามย้ำ |
| พนักงานคนเดียวทำหลายหน้าที่ | คนเดียวทั้งรับออเดอร์ ทำบัญชี และโอนเงิน เท่ากับไม่มีการตรวจสอบซ้ำโดยธรรมชาติ |
| ข้อมูลเปิดเผยเยอะ | เพจ Facebook บริษัท LinkedIn พนักงาน รูปงานเลี้ยงบริษัท ล้วนเป็นวัตถุดิบให้มิจฉาชีพสร้างเรื่องที่น่าเชื่อ |
| ใช้ LINE ทำงาน | ยืนยันตัวตนยาก ปลอมโปรไฟล์ง่าย และไม่มี log ระดับองค์กรให้ตรวจสอบย้อนหลัง |
| เชื่อว่า "เราเล็กเกินกว่าจะโดน" | ทำให้ไม่ลงทุนป้องกันเลย ทั้งที่ SME คือกว่า 60% ของเหยื่อ Ransomware ทั่วโลก |
👉 อ่านเพิ่ม: ทำไม SME ไทยตกเป็นเป้าโจมตีไซเบอร์มากขึ้น? เจาะสถิติปี 2026
กายวิภาคของการโจมตี: 5 ขั้นตอนที่มิจฉาชีพทำเสมอ
8 สัญญาณเตือนที่ต้องหยุดทันที
เจอข้อไหนก็ตาม ให้วางสาย แล้วโทรกลับที่เบอร์เดิมในทะเบียน
- เร่งให้ทำเดี๋ยวนี้อ้างว่าถ้าช้าจะเสียหายหนัก ดีลล่ม หรือถูกดำเนินคดี
- ห้ามบอกใคร"เป็นความลับ" / "อย่าเพิ่งแจ้งฝ่ายบัญชี" / "เรื่องนี้รู้กันแค่เรา"
- ขอให้ทำนอกขั้นตอนปกติเช่น โอนเงินโดยข้ามการอนุมัติ หรือส่งไฟล์ทางช่องทางที่ไม่เคยใช้
- ขอเปลี่ยนเลขบัญชีธนาคารของซัพพลายเออร์โดยแจ้งผ่านอีเมลหรือ LINE เพียงอย่างเดียว
- ติดต่อมาจากช่องทางที่ไม่เคยใช้เช่น ผู้บริหารทัก LINE ส่วนตัวเป็นครั้งแรกด้วยเรื่องเงิน
- ขอรหัสผ่าน OTP หรือให้กดอนุมัติ MFAไม่มีองค์กรใดในโลกที่มีสิทธิ์ขอสิ่งนี้จากคุณ
- ขอให้ติดตั้งโปรแกรมรีโมทAnyDesk, TeamViewer หรือ RMM จากคนที่โทรเข้ามาหาคุณเอง
- อารมณ์ของคุณถูกกระตุ้นแรงผิดปกติกลัว ตื่นเต้น รีบ หรือรู้สึกผิด — นี่คือสัญญาณทางสรีระที่เชื่อถือได้ที่สุด
วิธีป้องกัน 3 ชั้น
ชั้นที่ 1: คน (People)
| มาตรการ | รายละเอียด | งบประมาณ |
|---|---|---|
| อบรม Security Awareness | อย่างน้อยปีละ 2 ครั้ง เน้นตัวอย่างจริงมากกว่าทฤษฎี | ต่ำ–ปานกลาง |
| ทดสอบจำลอง (Simulation) | ส่งอีเมลหรือโทรทดสอบพนักงาน แล้วสอนเพิ่มเฉพาะคนที่พลาด โดยไม่ลงโทษ | ต่ำ |
| สร้างวัฒนธรรม "ถามได้ ไม่ผิด" | พนักงานต้องกล้าโทรกลับหาเจ้านายเพื่อยืนยัน โดยไม่กลัวโดนดุว่าเสียมารยาท | ฟรี |
| ลดรอยเท้าดิจิทัล | ไม่โพสต์โครงสร้างองค์กร เบอร์ภายใน หรือรูปที่เห็นหน้าจอ/คีย์การ์ดชัดเจน | ฟรี |
👉 อ่านเพิ่ม: อบรมพนักงานด้าน Cybersecurity: เริ่มต้นอย่างไรให้ได้ผล
ชั้นที่ 2: กระบวนการ (Process) — ชั้นที่สำคัญที่สุด และแทบไม่ต้องใช้เงิน
| มาตรการ | วิธีทำ |
|---|---|
| Two-Person Rule | การโอนเงินเกินวงเงินที่กำหนด (เช่น 50,000 บาท) ต้องมีคนอนุมัติ 2 คนเสมอ ไม่มีข้อยกเว้น |
| Callback Verification | ยืนยันคำสั่งโอนเงินหรือเปลี่ยนบัญชี ด้วยการ โทรกลับไปที่เบอร์ในทะเบียนเดิม เท่านั้น ห้ามใช้เบอร์ที่อยู่ในอีเมลฉบับนั้นเด็ดขาด |
| Safe Word ภายในองค์กร | กำหนดคำรหัสสำหรับยืนยันตัวตนทางโทรศัพท์ในเรื่องเงินหรือสิทธิ์เข้าถึง เปลี่ยนทุกไตรมาส |
| ขั้นตอนรีเซ็ตรหัสผ่านที่เข้มงวด | ห้ามรีเซ็ตรหัสหรือ MFA จากคำขอทางโทรศัพท์เพียงอย่างเดียว ต้องยืนยันผ่านช่องทางที่สอง เช่น วิดีโอคอลกับหัวหน้างาน |
| ทะเบียนซัพพลายเออร์ | เก็บเลขบัญชีธนาคารไว้ที่ส่วนกลาง การเปลี่ยนแปลงต้องผ่านการอนุมัติแบบเป็นทางการเท่านั้น |
| ลงทะเบียนผู้มาติดต่อ | ผู้มาติดต่อทุกคนต้องแลกบัตร มีพนักงานพาเดิน ไม่ปล่อยให้เดินเองในพื้นที่ทำงาน |
ชั้นที่ 3: เทคโนโลยี (Technology)
| มาตรการ | ป้องกันอะไร |
|---|---|
| MFA แบบต้านฟิชชิ่ง (Passkey / FIDO2 / Security Key) | กัน MFA Prompt Bombing และ OTP ที่ถูกหลอกเอาไป — คู่มือตั้งค่า MFA |
| Password Manager | ไม่กรอกรหัสในเว็บปลอม เพราะตัวจัดการรหัสจะไม่ auto-fill ให้เมื่อโดเมนไม่ตรง — คู่มือ Password Manager |
| DMARC / SPF / DKIM | กันอีเมลปลอมชื่อโดเมนบริษัท — คู่มือ BEC |
| จำกัดสิทธิ์ตามหน้าที่ (Least Privilege) | ถ้าบัญชีถูกยึด ความเสียหายจำกัดวงได้ — Zero Trust Security |
| Backup แบบ 3-2-1 | รองรับกรณีที่การโจมตีจบด้วย Ransomware — กฎ Backup 3-2-1 |
| บล็อกการติดตั้งโปรแกรมรีโมทที่ไม่ได้อนุมัติ | กันเคส "เดี๋ยวผมรีโมทเข้าไปช่วยแก้ให้" |
แผน 7 วัน: เริ่มป้องกันได้ตั้งแต่พรุ่งนี้
Checklist: ธุรกิจคุณพร้อมแค่ไหน?
ติ๊กให้ครบ 10 ข้อ
- มีกฎ "โทรกลับยืนยัน" สำหรับคำสั่งเรื่องเงินทุกครั้ง
- การโอนเงินก้อนใหญ่ต้องมีผู้อนุมัติ 2 คน
- มีทะเบียนเลขบัญชีซัพพลายเออร์ที่แก้ไขไม่ได้โดยพลการ
- มีขั้นตอนรีเซ็ตรหัสผ่านและ MFA ที่เป็นลายลักษณ์อักษร
- เปิด MFA ครบทุกบัญชีสำคัญ (ควรเป็น Passkey หรือ Security Key)
- พนักงานทุกคนรู้ว่า "ไม่มีใครมีสิทธิ์ขอ OTP จากคุณ"
- อบรมพนักงานอย่างน้อยปีละ 2 ครั้ง พร้อมทดสอบจำลอง
- มีระบบลงทะเบียนผู้มาติดต่อที่ออฟฟิศ
- มีแผนรับมือเหตุการณ์ (Incident Response Plan) และทุกคนรู้ว่าต้องแจ้งใครก่อน
- ผู้บริหารประกาศชัดว่า "ถามเพื่อยืนยัน ไม่ถือว่าเสียมารยาท"
ถ้าโดนแล้ว: 24 ชั่วโมงแรกต้องทำอะไร
👉 อ่านเพิ่ม: แผนรับมือเหตุการณ์ไซเบอร์ (Incident Response Plan) และ PDPA ในปี 2026: สิ่งที่ SME ต้องรู้
คำถามที่พบบ่อย
บริษัทเรามีพนักงาน 10 คน จำเป็นต้องทำขนาดนี้ไหม?
ยิ่งเล็กยิ่งจำเป็น เพราะการโอนเงินผิดเพียงครั้งเดียวอาจเท่ากับกำไรทั้งปี และมาตรการที่ได้ผลที่สุด (โทรกลับยืนยัน + Two-Person Rule) ไม่ต้องใช้เงินสักบาท
ต่างจาก Phishing อย่างไร?
Phishing เป็น หนึ่งในเทคนิค ของ Social Engineering ที่ใช้อีเมลเป็นช่องทาง ส่วน Social Engineering คือภาพรวมทั้งหมด รวมทั้งโทรศัพท์ SMS LINE และการเดินเข้าออฟฟิศจริง
ซื้อ Antivirus ดีๆ ก็พอแล้วใช่ไหม?
ไม่พอ เพราะ Social Engineering ในหลายกรณีไม่ได้ใช้มัลแวร์เลย — การโอนเงินให้มิจฉาชีพด้วยมือตัวเองไม่มีไฟล์ให้ Antivirus สแกน
AI ทำให้เรื่องนี้แย่ลงแค่ไหน?
แย่ลงมาก AI ทำให้ภาษาไทยในอีเมลหลอกอ่านลื่นขึ้นจนแยกไม่ออก เลียนเสียงคนที่คุณรู้จักได้ และสร้างวิดีโอปลอมได้ — อ่านเรื่อง Deepfake และ AI Scam
สรุป
5 ข้อที่ต้องจำจากบทความนี้
- 62% ของเหตุการณ์ข้อมูลรั่วไหลเกี่ยวข้องกับคนไม่ใช่ช่องโหว่ของระบบ — คนคือด่านหน้าจริงๆ
- 41% ของการโจมตีไม่ได้มาทางอีเมลโทรศัพท์และ SMS ได้ผลกว่าอีเมลราว 40%
- การอบรมอย่างเดียวไม่พอเพราะ 73% ของคนที่หลงกลเคยผ่านการอบรมมาแล้ว
- กระบวนการคือเกราะที่แข็งที่สุดและถูกที่สุดโทรกลับยืนยัน, Two-Person Rule, Safe Word — ทั้งหมดนี้ไม่ต้องใช้งบ
- สัญญาณอันตรายที่สุดคือ "เร่ง + ห้ามบอกใคร"เจอเมื่อไหร่ให้หยุด แล้วยืนยันผ่านช่องทางที่สองเสมอ
ไม่แน่ใจว่าพนักงานของคุณจะรับมือสายหลอกได้ไหม?
CyberAlpha ช่วยประเมินความเสี่ยงด้าน Human Risk วางกระบวนการยืนยันตัวตน และออกแบบการอบรมที่เหมาะกับขนาดและงบประมาณของธุรกิจ SME ไทยโดยเฉพาะ
ขอคำปรึกษาฟรี ดูบทความอื่นๆบทความที่เกี่ยวข้อง
แหล่งอ้างอิง
- Verizon — 2026 Data Breach Investigations Report (DBIR)
- Breacher.ai — Verizon DBIR 2026: Social Engineering Findings & Analysis
- Abnormal AI — 62% of Breaches Involved the Human Element: Key Takeaways From Verizon 2026 DBIR
- The Hacker News — SLH Offers $500–$1,000 Per Call to Recruit Women for IT Help Desk Vishing Attacks
- Infosecurity Magazine — Scattered Spider Uses Tech Vendor Impersonation to Target Helpdesks
- THE STANDARD — ศูนย์ ACSC เปิดสถิติอาชญากรรมไซเบอร์ 120 วันแรกปี 2569 ความเสียหาย 7.4 พันล้านบาท
- ศูนย์ปราบปรามอาชญากรรมทางเทคโนโลยีสารสนเทศ สำนักงานตำรวจแห่งชาติ (thaipoliceonline)