Social Engineering: กลลวงที่หลอก “คน”

Social Engineering: กลลวงที่หลอก “คน” ไม่ใช่หลอก “ระบบ” — SME ไทยต้องรู้ทัน

เดือนกุมภาพันธ์ 2026 นักวิจัยจาก Dataminr

พบว่ากลุ่มแฮกเกอร์ SLH (Scattered LAPSUS$ Hunters) ซึ่งเป็นการรวมตัวของ LAPSUS$, Scattered Spider และ ShinyHunters กำลัง ประกาศจ้างผู้หญิงมาโทรศัพท์หลอก IT Help Desk ในราคา 500–1,000 ดอลลาร์ต่อ 1 สาย พร้อมสคริปต์บทพูดสำเร็จรูปให้ เหตุผลที่เจาะจงจ้างผู้หญิง คือเพื่อ “หลบโปรไฟล์แฮกเกอร์แบบเดิมๆ ที่พนักงาน Help Desk ถูกฝึกมาให้ระวัง”

อ่านให้ดี — นี่ไม่ใช่การเจาะช่องโหว่ ไม่ใช่การแฮกรหัสผ่าน แต่คือ การจ้างคนมาโทรคุยกับพนักงานของคุณ

ตัวเลขที่ต้องรู้ก่อนอ่านต่อ

ตัวเลข	ความหมาย	แหล่งที่มา
62%	ของเหตุการณ์ข้อมูลรั่วไหลทั่วโลกเกี่ยวข้องกับ “คน” (Human Element) เพิ่มจาก 60% ปีก่อน	Verizon DBIR 2026
16%	ของ Data Breach ที่ยืนยันแล้วเกิดจาก Social Engineering โดยตรง — เป็นรูปแบบการโจมตีอันดับ 3	Verizon DBIR 2026
41%	ของ Breach จาก Social Engineering ไม่ได้มาทางอีเมล แต่มาทางโทรศัพท์ SMS และโซเชียลมีเดีย	Verizon DBIR 2026
สูงกว่า ~40%	อัตราที่คนหลงกลจากการ “โทร/ส่ง SMS” (2.0%) เทียบกับอีเมล (1.4%) ในการทดสอบจำลอง	Verizon DBIR 2026
6%	สัดส่วนของ Pretexting ในช่องทางเจาะเข้าระบบครั้งแรก — ถูกยกเป็นช่องทางหลักที่ต้องติดตามเป็นปีแรก	Verizon DBIR 2026
$500–1,000	ค่าจ้างต่อ 1 สาย ที่กลุ่ม SLH จ่ายให้คนโทรหลอก IT Help Desk	Dataminr / The Hacker News (ก.พ. 2026)
121,921 เคส / 7.48 พันล้านบาท	คดีอาชญากรรมออนไลน์ในไทย 120 วันแรกของปี 2569 (1 ม.ค.–30 เม.ย.)	ศูนย์ ACSC สำนักงานตำรวจแห่งชาติ
73%	ของพนักงานที่ถูกทดสอบด้วย Social Engineering แบบมี Deepfake ช่วย เคยผ่านการอบรม Security Awareness มาแล้ว แต่ยังหลงกล	Breacher.ai Field Data 2026

⚠️ ประเด็นสำคัญที่สุดจากตัวเลขชุดนี้: องค์กรส่วนใหญ่ลงทุนกับ Email Security แต่ 41% ของการโจมตีไม่ได้มาทางอีเมล และช่องทางที่ไม่ใช่อีเมลกลับได้ผลมากกว่าเกือบครึ่ง

Social Engineering คืออะไร?

Social Engineering (วิศวกรรมสังคม) คือการหลอกลวงที่ใช้ จิตวิทยา เพื่อให้คนเปิดเผยข้อมูลหรือลงมือทำบางอย่างให้แฮกเกอร์เอง แทนที่จะเจาะระบบด้วยเทคนิค

พูดง่ายๆ คือ — แทนที่จะพยายามงัดประตู แฮกเกอร์เลือกที่จะ โทรมาบอกว่าเป็นช่างซ่อมแอร์ แล้วให้คุณเปิดประตูให้เอง

ทำไมแฮกเกอร์ถึงเลือกวิธีนี้?

เจาะระบบ (Technical Hacking)	หลอกคน (Social Engineering)
ต้องหาช่องโหว่ที่ยังไม่ถูกปิด	คนมีช่องโหว่ตลอดเวลา ไม่มีแพตช์
ใช้ทักษะสูง เวลานาน	ใช้แค่โทรศัพท์กับบทพูด
ระบบป้องกันตรวจจับได้	ดูเหมือนกิจกรรมปกติของพนักงาน จับยาก
Firewall/EDR ขวางอยู่	เข้าไปด้วย “บัญชีจริง” ที่พนักงานให้มาเอง

นี่คือเหตุผลที่ Verizon DBIR 2026 ระบุว่า 62% ของเหตุการณ์ข้อมูลรั่วไหลมีมนุษย์เป็นตัวแปร — เพราะมันคือทางที่ถูกที่สุดและได้ผลที่สุด

6 หลักจิตวิทยาที่มิจฉาชีพใช้กับคุณ

หลักการ	วิธีที่ใช้จริง	ตัวอย่างประโยค
อำนาจ (Authority)	อ้างเป็นผู้บริหาร ตำรวจ ธนาคาร หน่วยงานรัฐ	“ผมโทรจากฝ่ายกฎหมาย กรรมการผู้จัดการสั่งมา”
ความเร่งด่วน (Urgency)	บีบเวลาไม่ให้คิดหรือตรวจสอบ	“ต้องโอนภายใน 30 นาที ไม่งั้นดีลล่ม”
ความกลัว (Fear)	ขู่ว่าจะเสียหาย ถูกดำเนินคดี ถูกไล่ออก	“บัญชีคุณพัวพันคดีฟอกเงิน”
ความอยากช่วยเหลือ (Liking/Helpfulness)	เล่นกับนิสัยดีของพนักงาน โดยเฉพาะฝ่ายบริการ	“ขอโทษนะคะ พอดีล็อกอินไม่ได้ พรุ่งนี้ต้องส่งงานแล้ว”
ความไว้ใจ (Social Proof)	อ้างชื่อเพื่อนร่วมงานจริง โปรเจกต์จริง ที่หาได้จาก LinkedIn/Facebook	“คุณเอ๋ฝ่ายบัญชีบอกให้ติดต่อคุณ”
ผลตอบแทน (Greed/Reciprocity)	เสนอของฟรี ส่วนลด โบนัส	“คลิกรับเงินคืนภาษี” / USB แจกฟรีในงานสัมมนา

💡 สังเกตไหม? ทั้ง 6 ข้อไม่มีข้อไหนเกี่ยวกับคอมพิวเตอร์เลย — นี่คือเหตุผลที่ Antivirus หยุดมันไม่ได้

7 รูปแบบ Social Engineering ที่ SME ไทยเจอบ่อยที่สุด

1. Phishing / Spear Phishing — อีเมลหลอก

อีเมลปลอมที่ดูเหมือนมาจากธนาคาร ผู้ให้บริการ หรือคนในบริษัท ส่วน Spear Phishing คือเวอร์ชันเจาะจงตัวบุคคล ใช้ชื่อจริง ตำแหน่งจริง โปรเจกต์จริง 👉 อ่านเพิ่ม: Phishing คืออะไร? วิธีสังเกตและไม่ตกเป็นเหยื่อ

2. Vishing — หลอกทางเสียง (โทรศัพท์)

เป็นช่องทางที่ มาแรงที่สุดในปี 2026 เพราะได้ผลกว่าอีเมลถึง 40% แก๊งคอลเซ็นเตอร์ในไทยคือ Vishing รูปแบบหนึ่ง แต่ที่อันตรายกว่าคือเวอร์ชันที่โทรเข้า ฝ่าย IT หรือ Help Desk ของบริษัท เพื่อขอรีเซ็ตรหัสผ่านหรือ MFA

สคริปต์ที่ใช้จริงโดยกลุ่ม SLH: – ปลอมเป็นพนักงาน โทรขอรีเซ็ตรหัสผ่าน/MFA – ยิง MFA แจ้งเตือนรัวๆ (MFA Prompt Bombing) จนเหยื่อกด “อนุมัติ” เพราะรำคาญ – SIM Swap เพื่อรับ OTP แทนเจ้าตัว – หลอกให้ติดตั้งเครื่องมือควบคุมระยะไกล (RMM) โดยบอกว่า “ให้ผมรีโมทเข้าไปแก้ให้”

3. Smishing — หลอกทาง SMS / LINE

ลิงก์สั้นๆ พร้อมข้อความเร่งด่วน “พัสดุตกค้าง” “ยืนยันตัวตนภายในวันนี้” ในไทย LINE เป็นช่องทางที่ถูกใช้มากพอๆ กับ SMS

4. Pretexting — สร้างเรื่องราวปลอม

สร้าง “บริบท” ทั้งชุดขึ้นมาให้น่าเชื่อ เช่น ปลอมเป็นผู้ตรวจสอบบัญชี ปลอมเป็นซัพพลายเออร์ที่ขอเปลี่ยนเลขบัญชี ปลอมเป็นเจ้าหน้าที่ PDPA ที่มาขอข้อมูล Verizon DBIR 2026 ยก Pretexting ขึ้นเป็นช่องทางเจาะระบบหลักเป็นปีแรก เพราะพบในเคส Ransomware ระดับใหญ่จำนวนมาก

5. Baiting — ล่อด้วยของฟรี

USB Drive ที่ “หล่นไว้” ในลานจอดรถหรือแจกในงานสัมมนา ไฟล์ซอฟต์แวร์เถื่อน โปรแกรม Crack หรือ “เครื่องมือ AI ฟรี” ซึ่งเป็นเทรนด์ที่โตขึ้น 7 เท่าใน SEA ปี 2026

6. Quid Pro Quo — แลกเปลี่ยนผลประโยชน์

“ผมช่วยแก้ปัญหาคอมให้ แลกกับรหัสผ่านของคุณ” หรือ “ทำแบบสอบถามรับบัตรกำนัล” แล้วในแบบสอบถามมีคำถามที่ตรงกับคำถามกู้รหัสผ่านพอดี

7. Tailgating / Physical — เดินตามเข้าออฟฟิศ

ถือกล่องพัสดุเต็มมือแล้วยืนหน้าประตูคีย์การ์ด รอให้พนักงานใจดีเปิดให้ หรือปลอมเป็นช่างซ่อมแอร์/พนักงานส่งน้ำ ประเด็นสำหรับ SME ไทย: ออฟฟิศ SME ส่วนใหญ่ไม่มีระบบลงทะเบียนผู้มาติดต่อที่จริงจัง

ทำไม SME ไทยเสี่ยงเป็นพิเศษ

ปัจจัย	ผลที่ตามมา
ไม่มีฝ่าย IT เต็มเวลา	ใครก็ได้ที่ “พอเป็นคอม” กลายเป็นคนรีเซ็ตรหัสผ่าน — ไม่มีขั้นตอนยืนยันตัวตนมาตรฐาน
โครงสร้างองค์กรแบน	เจ้าของสั่งตรงถึงพนักงานได้ ทำให้ “อีเมลจากเจ้าของสั่งโอนเงิน” ดูสมเหตุสมผล ไม่มีใครกล้าถาม
พนักงานคนเดียวทำหลายหน้าที่	คนเดียวทั้งรับออเดอร์ ทำบัญชี และโอนเงิน = ไม่มีการตรวจสอบซ้ำ
ข้อมูลเปิดเผยเยอะ	เพจ Facebook บริษัท LinkedIn พนักงาน รูปงานเลี้ยงบริษัท ล้วนเป็นวัตถุดิบให้มิจฉาชีพสร้างเรื่อง
ใช้ LINE ทำงาน	ยืนยันตัวตนยาก ปลอมโปรไฟล์ง่าย และไม่มี log ให้ตรวจสอบย้อนหลังในระดับองค์กร
เชื่อว่า “เราเล็กเกินกว่าจะโดน”	ทำให้ไม่ลงทุนป้องกันเลย ทั้งที่ SME คือกว่า 60% ของเหยื่อ Ransomware

การโจมตี: 5 ขั้นตอนที่มิจฉาชีพทำเสมอ

สืบข้อมูล (Reconnaissance) — เก็บชื่อพนักงาน ตำแหน่ง อีเมล เบอร์โทร ชื่อซัพพลายเออร์ จากเว็บไซต์บริษัท Facebook LinkedIn และข้อมูลที่เคยรั่วไหล
สร้างเรื่อง (Pretext) — เลือกตัวละครที่เหยื่อจะไม่กล้าปฏิเสธ เช่น ผู้บริหาร ผู้ตรวจสอบ ลูกค้ารายใหญ่ หรือฝ่าย IT
สร้างความไว้ใจ (Engagement) — ทักทายด้วยข้อมูลจริงที่รู้มา “สวัสดีครับคุณสมชาย เรื่องโปรเจกต์ ABC ที่คุยกับคุณเอ๋ไว้”
ลงมือขอ (Exploitation) — ขอรหัสผ่าน ขอให้กดลิงก์ ขอให้โอนเงิน ขอให้อนุมัติ MFA หรือขอให้ติดตั้งโปรแกรม
ถอนตัวอย่างเนียน (Exit) — ขอบคุณ วางสาย ลบร่องรอย และมักบอกว่า “ไม่ต้องแจ้งใครนะครับ เดี๋ยวผมจัดการต่อเอง”

⚠️ ขั้นตอนที่ 1 มักใช้เวลาหลายสัปดาห์ ส่วนขั้นตอนที่ 4 ใช้เวลาไม่ถึง 5 นาที — ความเร่งด่วนที่คุณรู้สึกคือสิ่งที่เขาออกแบบมา

8 สัญญาณเตือนที่ต้องหยุดทันที

☐ เร่งให้ทำเดี๋ยวนี้ โดยอ้างว่าถ้าช้าจะเสียหายหนัก
☐ ห้ามบอกใคร / “เป็นความลับ” / “อย่าเพิ่งแจ้งฝ่ายบัญชี”
☐ ขอให้ทำนอกขั้นตอนปกติ เช่น โอนเงินโดยข้ามการอนุมัติ
☐ ขอเปลี่ยนเลขบัญชีธนาคาร ของซัพพลายเออร์ผ่านอีเมลหรือ LINE
☐ ติดต่อมาจากช่องทางที่ไม่เคยใช้ เช่น ผู้บริหารทัก LINE ส่วนตัวเป็นครั้งแรก
☐ ขอรหัสผ่าน OTP หรือให้อนุมัติ MFA — ไม่มีองค์กรไหนในโลกที่มีสิทธิ์ขอสิ่งนี้
☐ ขอให้ติดตั้งโปรแกรมรีโมท (AnyDesk, TeamViewer, RMM) จากคนที่โทรเข้ามาเอง
☐ อารมณ์ของคุณถูกกระตุ้นแรงผิดปกติ — กลัว ตื่นเต้น รีบ หรือรู้สึกผิด

วิธีป้องกัน 3 ชั้น

ชั้นที่ 1: คน (People)

มาตรการ	รายละเอียด	งบประมาณ
อบรม Security Awareness	อย่างน้อยปีละ 2 ครั้ง เน้นตัวอย่างจริงมากกว่าทฤษฎี	ต่ำ–ปานกลาง
ทดสอบจำลอง (Simulation)	ส่งอีเมล/โทรทดสอบพนักงาน แล้วสอนเพิ่มเฉพาะคนที่พลาด	ต่ำ
สร้างวัฒนธรรม “ถามได้ ไม่ผิด”	พนักงานต้องกล้าโทรกลับหาเจ้านายเพื่อยืนยัน โดยไม่กลัวโดนดุ	ฟรี
ลดรอยเท้าดิจิทัล	ไม่โพสต์โครงสร้างองค์กร เบอร์ภายใน หรือรูปที่เห็นหน้าจอ/คีย์การ์ด	ฟรี

⚠️ ระวัง: ข้อมูลจาก Breacher.ai ปี 2026 พบว่า 73% ของคนที่หลงกลเคยผ่านการอบรมมาแล้ว — การอบรมอย่างเดียวไม่พอ ต้องมี “กระบวนการ” รองรับด้วย 👉 อ่านเพิ่ม: อบรมพนักงานด้าน Cybersecurity เริ่มต้นอย่างไรให้ได้ผล

ชั้นที่ 2: กระบวนการ (Process) — ชั้นที่สำคัญที่สุดและไม่ต้องใช้เงิน

มาตรการ	วิธีทำ
Two-Person Rule	การโอนเงินเกินวงเงินที่กำหนด (เช่น 50,000 บาท) ต้องมีคนอนุมัติ 2 คนเสมอ
Callback Verification	ยืนยันคำสั่งโอนเงิน/เปลี่ยนบัญชี ด้วยการ โทรกลับไปที่เบอร์ในทะเบียนเดิม เท่านั้น ห้ามใช้เบอร์ที่อยู่ในอีเมลฉบับนั้น
Safe Word ภายในองค์กร	กำหนดคำรหัสสำหรับยืนยันตัวตนทางโทรศัพท์ในเรื่องเงินหรือสิทธิ์เข้าถึง
ขั้นตอนรีเซ็ตรหัสผ่านที่เข้มงวด	ห้ามรีเซ็ตรหัส/MFA จากคำขอทางโทรศัพท์เพียงอย่างเดียว ต้องยืนยันผ่านช่องทางที่สอง เช่น วิดีโอคอลกับหัวหน้างาน
ทะเบียนซัพพลายเออร์	เก็บเลขบัญชีธนาคารกลาง การเปลี่ยนแปลงต้องผ่านการอนุมัติแบบเป็นทางการเท่านั้น
ลงทะเบียนผู้มาติดต่อ	ผู้มาติดต่อทุกคนต้องแลกบัตร มีคนพาเดิน ไม่ปล่อยให้เดินเองในออฟฟิศ

ชั้นที่ 3: เทคโนโลยี (Technology)

มาตรการ	ป้องกันอะไร
MFA แบบต้านฟิชชิ่ง (Passkey / FIDO2 / Security Key)	กัน MFA Prompt Bombing และ OTP ที่ถูกหลอกเอาไป → คู่มือตั้งค่า MFA
Password Manager	ไม่กรอกรหัสในเว็บปลอม เพราะตัวจัดการรหัสจะไม่ auto-fill ให้ → คู่มือ Password Manager
Email Security / DMARC, SPF, DKIM	กันอีเมลปลอมชื่อโดเมนบริษัท → คู่มือ BEC
จำกัดสิทธิ์ตามหน้าที่ (Least Privilege)	ถ้าบัญชีถูกยึด ความเสียหายจำกัดวงได้ → Zero Trust Security
Backup แบบ 3-2-1	รองรับกรณีจบด้วย Ransomware → กฎ Backup 3-2-1
บล็อกการติดตั้งโปรแกรมรีโมทที่ไม่อนุมัติ	กันเคส “ให้ผมรีโมทเข้าไปช่วยแก้”

Checklist: ธุรกิจคุณพร้อมแค่ไหน?

☐ มีกฎ “โทรกลับยืนยัน” สำหรับคำสั่งเรื่องเงินทุกครั้ง
☐ การโอนเงินก้อนใหญ่ต้องมีผู้อนุมัติ 2 คน
☐ มีทะเบียนเลขบัญชีซัพพลายเออร์ที่แก้ไขไม่ได้โดยพลการ
☐ มีขั้นตอนรีเซ็ตรหัสผ่าน/MFA ที่เป็นลายลักษณ์อักษร
☐ เปิด MFA ครบทุกบัญชีสำคัญ (ควรเป็น Passkey หรือ Security Key)
☐ พนักงานรู้ว่า “ไม่มีใครมีสิทธิ์ขอ OTP จากคุณ”
☐ อบรมพนักงานอย่างน้อยปีละ 2 ครั้ง พร้อมทดสอบจำลอง
☐ มีระบบลงทะเบียนผู้มาติดต่อที่ออฟฟิศ
☐ มีแผนรับมือเหตุการณ์ (Incident Response Plan) และทุกคนรู้ว่าต้องแจ้งใคร
☐ ผู้บริหารประกาศชัดว่า “ถามเพื่อยืนยัน ไม่ถือว่าเสียมารยาท”

ถ้าโดนแล้ว: 24 ชั่วโมงแรกต้องทำอะไร

หยุดเลือดก่อน — ถ้าเป็นการโอนเงิน โทรธนาคารทันทีเพื่อขออายัด ยิ่งเร็วยิ่งมีโอกาสได้คืน
แจ้งความออนไลน์ ที่ thaipoliceonline.go.th และโทรสายด่วน AOC 1441
เปลี่ยนรหัสผ่านทุกบัญชีที่เกี่ยวข้อง และบังคับ Sign out ทุกอุปกรณ์
ตรวจสอบว่ามีการตั้ง Forwarding Rule ในอีเมลไว้หรือไม่ — เป็นสิ่งที่มิจฉาชีพทำเป็นอันดับแรกหลังยึดบัญชีได้
เก็บหลักฐานทั้งหมด — อีเมล ประวัติการโทร สลิป แชท อย่าเพิ่งลบอะไร
แจ้งคู่ค้าที่อาจได้รับผลกระทบ เพราะบัญชีของคุณอาจถูกใช้หลอกคนต่อ
ประเมินภาระตาม PDPA ถ้ามีข้อมูลส่วนบุคคลรั่ว อาจต้องแจ้ง สคส. ภายใน 72 ชั่วโมง

สรุป 5 ข้อที่ต้องจำ

62% ของเหตุการณ์ข้อมูลรั่วไหลเกี่ยวข้องกับคน ไม่ใช่ช่องโหว่ของระบบ
41% ของการโจมตีแบบ Social Engineering ไม่ได้มาทางอีเมล — โทรศัพท์และ SMS ได้ผลกว่าเกือบ 40%
การอบรมอย่างเดียวไม่พอ เพราะ 73% ของคนที่หลงกลเคยผ่านการอบรมมาแล้ว
กระบวนการคือเกราะที่แข็งที่สุดและถูกที่สุด — โทรกลับยืนยัน, Two-Person Rule, Safe Word
สัญญาณอันตรายที่สุดคือ “เร่ง + ห้ามบอกใคร” เจอเมื่อไหร่ให้หยุดแล้วยืนยันเสมอ

ติดต่อ Skysoft ได้เลย — ทีมงานพร้อมตอบทุกคำถามโดยไม่มีค่าใช้จ่าย
พร้อมประเมินความเสี่ยงด้านความปลอดภัยขององค์กรของคุณหรือยัง?
ติดต่อทีมผู้เชี่ยวชาญ WatchGuard เพื่อรับคำแนะนำเฉพาะสำหรับธุรกิจของคุณได้วันนี้
หากท่านสนใจทดลองใช้สามารถ ลงทะเบียนเพื่อขอทดลองได้ฟรี 30 วัน

Credit https://www.watc hguard.com

Cyber News, Security Content