Impersonation and Verification

နားလည်ထားရမယ့် အချက်

Social engineering ကို Cybersecurity Basics ကနေ ရင်းနှီးပြီးသားပါ။ ဒီ lesson ကတော့ impersonation - manager, bank staff, support, family member အဖြစ် ဟန်ဆောင်ပြီး လျင်မြန်စွာ action လုပ်ဖို့ တွန်းအားပေးတဲ့ attack category တစ်ခုကို ကျဉ်းကျဉ်း ဆွေးနွေးမှာပါ။

Impersonation က fabricated trust မဟုတ်ဘဲ existing trust relationship ကို exploit လုပ်တာပါ။ ဒါကြောင့်ပဲ suspicious message ကိုယ်တိုင် ပေးထားတဲ့ contact info ကို သုံးပြီး verify လုပ်ခြင်းက မအောင်မြင်နိုင်ပါဘူး။

Core principle: contact ဖြစ်မလာခင် independently ရရှိထားခဲ့တဲ့ channel ကနေသာ verify လုပ်မှသာ count ဝင်ပါတယ် - save ထားတဲ့ number, official app, တိုက်ရိုက် မေးခြင်း။

Impersonation Attack

တစ်စုံတစ်ယောက်က သင်ယုံကြည်ပြီးသား ပုဂ္ဂိုလ် (manager, bank staff, support, family member) အဖြစ် ဟန်ဆောင်ပြီး, existing trust relationship ကို အသုံးချကာ မေးခွန်းမမေးဘဲ လျင်မြန်စွာ action လုပ်ဖို့ တွန်းအားပေးတဲ့ social engineering attack အမျိုးအစားတစ်ခုပါ။

VERIFYING AN IMPERSONATION ATTEMPT
----------------------------------
VERIFYING AN IMPERSONATION ATTEMPT
------------------------------------

  suspicious contact arrives
  ("your manager", "your bank", "your relative")
              |
              v
      DO NOT use the reply info,
      callback number, or link
      IT provided
              |
              v
      instead, use a channel YOU
      already knew before this:
        - number saved earlier
        - official app
        - ask them in person
              |
              v
        verify identity
              |
              v
        THEN, and only then, act

လက်တွေ့ scenario နဲ့ ချိတ်ကြည့်မယ်

အောက်က code က verification attempt တစ်ခု ယုံကြည်ရသလားဆိုတာကို message content မဟုတ်ဘဲ ဘယ် channel ကို သုံးခဲ့လဲဆိုတာအပေါ်သာ အခြေခံပြီး စစ်ဆေးပါတယ်။

• Suspicious message ထဲက number ကို ခေါ်ခဲ့ -> "not trustworthy", source တစ်ခုတည်းကို ပြန်ဆက်ရုံပါ
• Independently-known channel (official app, save ထားတဲ့ number) ကို သုံးခဲ့ -> "trustworthy"

Verification step ရဲ့ trustworthiness ကို ဆုံးဖြတ်ပေးတာက channel ဘယ်ကလာလဲဆိုတာအပေါ်သာ မူတည်ပြီး, message က ဘယ်လောက် official-looking ဖြစ်ခဲ့သလဲဆိုတာအပေါ် မဟုတ်ပါဘူး။

• Impersonation က existing trust relationship ကို exploit လုပ်တယ်
• Suspicious message ကိုယ်တိုင် ပေးထားတဲ့ contact info ကို ဘယ်တော့မှ မသုံးရဘူး
• Independently-known channel ကနေသာ verify လုပ်မှ count ဝင်တယ်

အတူတူ စမ်းရေးကြည့်မယ်

function isVerificationTrustworthy({ usedContactInfoFromTheSuspiciousMessage, usedIndependentlyKnownChannel }) {
  if (usedContactInfoFromTheSuspiciousMessage && !usedIndependentlyKnownChannel) {
    return {
      trustworthy: false,
      reason: "Calling or replying to contact info supplied inside the suspicious message just reconnects you to the same attacker -- it verifies nothing."
    };
  }
  if (usedIndependentlyKnownChannel) {
    return {
      trustworthy: true,
      reason: "Using a number or app saved before this message arrived reaches the real party independently of anything the suspicious message provided."
    };
  }
  return {
    trustworthy: false,
    reason: "No independent verification channel was used, so identity has not actually been confirmed."
  };
}

const usedTheScammersOwnNumber = isVerificationTrustworthy({ usedContactInfoFromTheSuspiciousMessage: true, usedIndependentlyKnownChannel: false });
const calledTheSavedNumberInstead = isVerificationTrustworthy({ usedContactInfoFromTheSuspiciousMessage: false, usedIndependentlyKnownChannel: true });

console.log(JSON.stringify({ usedTheScammersOwnNumber, calledTheSavedNumberInstead }, null, 2));

Suspicious message ထဲက number ကို သုံးခဲ့ရင် `trustworthy: false`, save ထားတဲ့ number/official app ကို သုံးခဲ့ရင် `trustworthy: true` ဖြစ်ကြောင်း တွေ့ရပါတယ်။ Output အတိအကျမှာ:
{
  "usedTheScammersOwnNumber": {
    "trustworthy": false,
    "reason": "Calling or replying to contact info supplied inside the suspicious message just reconnects you to the same attacker -- it verifies nothing."
  },
  "calledTheSavedNumberInstead": {
    "trustworthy": true,
    "reason": "Using a number or app saved before this message arrived reaches the real party independently of anything the suspicious message provided."
  }
}

FTC Consumer Advice — How To Avoid a Scam — Digital Privacy & Modern Security