Cybersecurity — How To Do

Attack flow

How it works

• The bait — a polished (often fake or impersonated) recruiter profile posts or DMs an attractive, well-paid remote job that fits your profile.នុយ — profile recruiter (ជារឿយៗក្លែងក្លាយ ឬក្លែងបន្លំ) ផ្សាយ ឬផ្ញើ DM ជូនការងារ remote ប្រាក់ខែខ្ពស់ទាក់ទាញ ដែលសមនឹង profile របស់អ្នក។
• Building trust — they are friendly and fast, use a real-looking company name and logo, and move the chat to WhatsApp, Telegram or personal email, away from LinkedIn's eyes.ការបង្កើតទំនុកចិត្ត — ពួកគេនិយាយរួសរាយ និងឆាប់រហ័ស ប្រើឈ្មោះ និង logo ក្រុមហ៊ុនមើលទៅពិត ហើយប្តូរការសន្ទនាទៅ WhatsApp, Telegram ឬ email ផ្ទាល់ខ្លួន ឆ្ងាយពីការមើលឃើញរបស់ LinkedIn។
• The hook — they send a link to a 'job portal', an 'application form', a 'skills assessment' or an 'onboarding document', or ask you to install an app or open an attachment.ទំពក់ — ពួកគេផ្ញើ link ទៅ «job portal», «ទម្រង់ដាក់ពាក្យ», «skills assessment» ឬ «ឯកសារ onboarding» ឬសុំឱ្យអ្នកដំឡើង app ឬបើក attachment។
• The theft — that page or file harvests what you type (ID, passport, bank details, passwords) or runs malware; some ask for an up-front 'equipment/training fee' or a cheque-cashing 'task'.ការលួច — ទំព័រ ឬ file នោះ ចាប់យកអ្វីដែលអ្នកវាយ (អត្តសញ្ញាណប័ណ្ណ លិខិតឆ្លងដែន ព័ត៌មានធនាគារ password) ឬ run malware; ខ្លះសុំ «ថ្លៃឧបករណ៍/បណ្តុះបណ្តាល» ជាមុន ឬកិច្ចការ «បើកប្រាក់ cheque»។
• The aftermath — stolen data is used for identity theft, account takeover or resale; money sent is gone.លទ្ធផល — ទិន្នន័យដែលលួចបាន ត្រូវបានប្រើសម្រាប់ការលួចអត្តសញ្ញាណ ការ takeover គណនី ឬលក់បន្ត; ប្រាក់ដែលផ្ញើទៅ គឺបាត់។

Red flags to spot it

• A job offer with no real interview, or pay that is too high for the work.ការផ្តល់ជូនការងារដោយគ្មានការសម្ភាសន៍ពិត ឬប្រាក់ខែខ្ពស់ពេកធៀបនឹងការងារ។
• Contact moved off-platform (WhatsApp/Telegram) with pressure to act fast.ការទំនាក់ទំនងប្តូរចេញពី platform (WhatsApp/Telegram) ជាមួយការបង្ខិតបង្ខំឱ្យធ្វើឆាប់។
• Links to look-alike domains (e.g. company-careers-portal[.]com) instead of the company's real website.Link ទៅ domain ក្លែងបន្លំ (ឧ. company-careers-portal[.]com) ជំនួសឱ្យគេហទំព័រពិតរបស់ក្រុមហ៊ុន។
• Being asked for your ID, bank details or passwords, or any payment/fee to get hired.ការសុំអត្តសញ្ញាណប័ណ្ណ ព័ត៌មានធនាគារ ឬ password ឬការបង់ប្រាក់/ថ្លៃណាមួយដើម្បីបានការងារ។
• Generic or mismatched email domains; a brand-new recruiter profile with few connections.Email domain ទូទៅ ឬមិនត្រូវគ្នា; profile recruiter ថ្មីស្រឡាង មាន connection តិច។

Authorized simulation (red team)

1. Get written authorization and define the scope — which staff group, the time window, what data may be collected, and a stop/contact process. Success = awareness, not blame.ទទួលការអនុញ្ញាតជាលាយលក្ខណ៍អក្សរ និងកំណត់វិសាលភាព — ក្រុមបុគ្គលិកណា ពេលវេលា ទិន្នន័យអ្វីដែលអាចប្រមូល និងដំណើរការបញ្ឈប់/ទំនាក់ទំនង។ ជោគជ័យ = ការយល់ដឹង មិនមែនការស្តីបន្ទោស។
2. Use a sanctioned platform in a lab — e.g. GoPhish on infrastructure you control with test accounts; never a real third party or real LinkedIn users outside scope.ប្រើ platform ដែលមានការអនុញ្ញាតក្នុង lab — ឧ. GoPhish លើ infrastructure ដែលអ្នកគ្រប់គ្រង ជាមួយ test account; កុំប្រើភាគីទីបីពិត ឬ user LinkedIn ពិតនៅក្រៅវិសាលភាព។
3. Design a realistic but non-harmful pretext — a generic 'recruiter' theme; avoid real company names/logos and sensitive lures. Keep it professional and reversible.រចនា pretext ពិតជាក់ស្តែង តែមិនបង្កគ្រោះថ្នាក់ — theme «recruiter» ទូទៅ; ជៀសវាងឈ្មោះ/logo ក្រុមហ៊ុនពិត និងនុយរសើប។ រក្សាវាឱ្យមានវិជ្ជាជីវៈ និងអាចដកវិញបាន។
4. Build a teaching landing page — on click it shows an awareness message; collect only the agreed metrics (click/report rate), never real credentials or personal data.បង្កើត landing page បង្រៀន — ពេលចុច វាបង្ហាញសារការយល់ដឹង; ប្រមូលតែ metric ដែលបានព្រមព្រៀង (click/report rate) កុំប្រមូល credential ឬទិន្នន័យផ្ទាល់ខ្លួនពិត។
5. Run it within the window and monitor — send to the in-scope test group only, and be ready to stop.ដំណើរការក្នុងពេលកំណត់ និងតាមដាន — ផ្ញើទៅតែក្រុម test ក្នុងវិសាលភាព ហើយត្រៀមបញ្ឈប់។
6. Measure and report for improvement — click rate, report rate, time-to-report; recommend training and controls.វាស់វែង និងរាយការណ៍ដើម្បីកែលម្អ — click rate, report rate, time-to-report; ណែនាំការបណ្តុះបណ្តាល និង control។
7. Debrief and train — thank the people who reported it and turn the results into awareness training. The goal is a team that spots the next real one.Debrief និងបណ្តុះបណ្តាល — អរគុណអ្នកដែលបានរាយការណ៍ ហើយប្រែលទ្ធផលទៅជាការបណ្តុះបណ្តាលការយល់ដឹង។ គោលដៅគឺក្រុមដែលសម្គាល់វាពិតនៅលើកក្រោយ។

Detection & defence

• Personal: verify recruiters through the company's official website or switchboard; never enter passwords or pay a fee; keep hiring on the real platform; use unique passwords + MFA; don't install apps or open attachments from recruiters.ផ្ទាល់ខ្លួន៖ ផ្ទៀងផ្ទាត់ recruiter តាមរយៈគេហទំព័រផ្លូវការ ឬលេខទូរស័ព្ទរបស់ក្រុមហ៊ុន; កុំវាយ password ឬបង់ថ្លៃ; រក្សាការជ្រើសរើសនៅលើ platform ពិត; ប្រើ password តែមួយគត់ + MFA; កុំដំឡើង app ឬបើក attachment ពី recruiter។
• Organisation: enforce SPF, DKIM and DMARC; use a secure email gateway with link/attachment sandboxing; give staff an easy 'Report phishing' button and reward reporting; monitor for brand impersonation; run awareness training that includes job-scam examples.ស្ថាប័ន៖ អនុវត្ត SPF, DKIM និង DMARC; ប្រើ secure email gateway ជាមួយ link/attachment sandboxing; ផ្តល់ប៊ូតុង «Report phishing» ងាយស្រួល និងលើកទឹកចិត្តការរាយការណ៍; តាមដានការក្លែងបន្លំ brand; ធ្វើការបណ្តុះបណ្តាលការយល់ដឹងដែលមានឧទាហរណ៍ job scam។

Tools (lab)

Attack flow

How it works

• The app puts user input straight into an SQL query, so the input can change the query's meaning.App ដាក់ input របស់អ្នកប្រើចូល query SQL ផ្ទាល់ ដូច្នេះ input អាចផ្លាស់ប្តូរអត្ថន័យ query។
• An attacker types crafted input (e.g. in a login or search box) that the app runs as SQL.អ្នកវាយប្រហារវាយ input ដែលរៀបចំពិសេស (ឧ. ក្នុង login ឬ search box) ដែល app យកទៅ run ជា SQL។
• The database then returns data it shouldn't, or the attacker changes or deletes data.បន្ទាប់មក database ត្រឡប់ទិន្នន័យដែលមិនគួរ ឬអ្នកវាយប្រហារកែ ឬលុបទិន្នន័យ។

Authorized simulation (red team)

1. Set up a deliberately vulnerable app you own (e.g. DVWA / OWASP Juice Shop) in an isolated lab.រៀបចំ app ដែលមានចន្លោះប្រហោងដោយចេតនា ដែលអ្នកជាម្ចាស់ (ឧ. DVWA / OWASP Juice Shop) ក្នុង lab ដាច់ដោយឡែក។
2. Map the inputs — forms, search boxes, URL parameters.កំណត់ input ទាំងអស់ — form, search box, URL parameter។
3. Test one input with safe probe payloads to see if the app errors or behaves differently.សាក input មួយ ជាមួយ payload សាកល្បងដោយសុវត្ថិភាព ដើម្បីមើលថា app error ឬដំណើរការខុសគ្នា។
4. Confirm the finding, document it, and note the impact — do not touch real data.បញ្ជាក់លទ្ធផល កត់ត្រា និងកំណត់ផលប៉ះពាល់ — កុំប៉ះទិន្នន័យពិត។
5. Write it up with the fix, then retest after the fix is applied.សរសេររបាយការណ៍ជាមួយដំណោះស្រាយ រួចសាកវិញបន្ទាប់ពីជួសជុល។

Detection & defence

• Developers: use parameterized queries / prepared statements and an ORM; validate and escape input; give the database account least privilege.Developer៖ ប្រើ parameterized queries / prepared statements និង ORM; ត្រួតពិនិត្យ និង escape input; ឱ្យ DB account សិទ្ធិតិចបំផុត។
• Defenders: a WAF, query logging, and alerts on SQL errors or anomalies.អ្នកការពារ៖ WAF, ការ log query, និង alert លើ SQL error ឬភាពមិនប្រក្រតី។

Tools (lab)

Attack flow

How it works

• Spraying: try one common password against many accounts to avoid lockouts.Spraying៖ សាក password ទូទៅមួយ លើ account ច្រើន ដើម្បីជៀសវាង lockout។
• Stuffing: reuse username and password pairs leaked from other breaches.Stuffing៖ ប្រើ username និង password ដែលលេចពី breach ផ្សេងឡើងវិញ។
• A single weak or reused password can give an attacker a foothold.Password ខ្សោយ ឬប្រើឡើងវិញតែមួយ អាចឱ្យអ្នកវាយប្រហារចូលបាន។

Authorized simulation (red team)

1. Get written authorization, scope (which accounts), a window, and coordinate with IT to watch for lockouts.ទទួលការអនុញ្ញាតជាលាយលក្ខណ៍អក្សរ វិសាលភាព (account ណា) ពេលវេលា និងសម្របសម្រួលជាមួយ IT ដើម្បីតាមដាន lockout។
2. Build the in-scope username list from provided data only.បង្កើតបញ្ជី username ក្នុងវិសាលភាព ពីទិន្នន័យដែលផ្តល់ឱ្យប៉ុណ្ណោះ។
3. Use a small, safe password list and go slow to respect lockout thresholds.ប្រើបញ្ជី password តូច និងសុវត្ថិភាព ហើយធ្វើយឺតៗ ដើម្បីគោរព lockout threshold។
4. Record which accounts are weak — never store or misuse real credentials.កត់ត្រា account ណាខ្សោយ — កុំរក្សាទុក ឬប្រើ credential ពិតខុស។
5. Report the results and recommend fixes.រាយការណ៍លទ្ធផល និងណែនាំដំណោះស្រាយ។

Detection & defence

• Enforce MFA everywhere; block known-breached passwords; set sensible lockout thresholds with alerting on many failed logins.អនុវត្ត MFA គ្រប់ទីកន្លែង; block password ដែលធ្លាប់លេច; កំណត់ lockout threshold សមហេតុផល ជាមួយ alert លើ login បរាជ័យច្រើន។
• Watch for logins from new locations or impossible travel; use unique passwords and a password manager.តាមដាន login ពីទីតាំងថ្មី ឬការធ្វើដំណើរមិនអាចទៅរួច; ប្រើ password តែមួយគត់ និង password manager។

Tools (lab)