รหัสผ่าน 19,000 ล้านรายการรั่วไหล: RockYou2024 มีความหมายอย่างไรสำหรับคุณ

นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้ค้นพบสิ่งที่ถือเป็นคลังข้อมูลรับรองตัวตนที่ถูกขโมยซึ่งมีการจัดทำดัชนีสาธารณะขนาดใหญ่ที่สุดเท่าที่เคยมีการบันทึก คลังข้อมูลนี้มีชื่อว่า RockYou2024 และประกอบด้วยรหัสผ่านที่ถูกละเมิดมากกว่า 19,000 ล้านรายการ ซึ่งรวบรวมมาจากการละเมิดข้อมูลมากกว่า 200 ครั้ง ไฟล์ดังกล่าวกำลังแพร่หลายอยู่บนฟอรัมของแฮกเกอร์ และถูกนำไปใช้เพื่อโจมตีแบบ credential stuffing ต่อแพลตฟอร์มธนาคาร บัญชีโซเชียลมีเดีย และเครือข่ายองค์กร

หากคุณมีบัญชีออนไลน์อยู่ที่ใดก็ตาม การรั่วไหลครั้งนี้เกี่ยวข้องกับคุณโดยตรง

RockYou2024 คืออะไร และมีที่มาจากไหน?

ชื่อ "RockYou" มีความหมายอย่างยิ่งในชุมชนด้านความปลอดภัย มันอ้างอิงถึงการละเมิดข้อมูลของแพลตฟอร์มเกม RockYou ในปี 2009 ที่เปิดเผยรหัสผ่านในรูปแบบข้อความธรรมดา 32 ล้านรายการ ซึ่งกลายเป็นรายการอ้างอิงพื้นฐานสำหรับเครื่องมือถอดรหัสผ่าน RockYou2024 คือวิวัฒนาการที่ทะเยอทะยานและอันตรายกว่ามากของแนวคิดนั้น

แทนที่จะมีต้นกำเนิดจากการละเมิดครั้งเดียว RockYou2024 คือชุดข้อมูลที่รวบรวมมาจากเหตุการณ์แยกกันมากกว่า 200 ครั้ง นั่นหมายความว่ามันไม่ได้แสดงถึงความล้มเหลวของบริษัทใดบริษัทหนึ่ง แต่เป็นตัวแทนของการละเมิดที่สั่งสมมาหลายปีทั่วทุกอุตสาหกรรม ประเทศ และแพลตฟอร์ม ทั้งหมดถูกรวมเข้าไว้ในคลังข้อมูลเดียวที่ค้นหาได้ ซึ่งผู้ไม่หวังดีสามารถนำไปใช้โจมตีอย่างเป็นระบบได้ในขณะนี้

ตัวเลข 19,000 ล้านหมายถึงรายการรหัสผ่านแต่ละรายการ ไม่ใช่บัญชีที่ไม่ซ้ำกัน ระเบียนจำนวนมากปรากฏซ้ำหลายครั้งในการละเมิดที่แตกต่างกัน อย่างไรก็ตาม นักวิจัยเตือนว่าแม้จะคำนึงถึงรายการซ้ำแล้ว ปริมาณและความครอบคลุมอันมหาศาลของชุดข้อมูลนี้ก็ยังทำให้มันอันตรายอย่างยิ่ง

เหตุใด Credential Stuffing จึงเป็นภัยคุกคามที่แท้จริง

ความเสี่ยงหลักที่ RockYou2024 ก่อให้เกิดไม่ใช่ว่าใครบางคนจะถอดรหัสผ่านของคุณด้วยวิธีการเดาสุ่ม แต่คือพวกเขาอาจมีรหัสผ่านของคุณอยู่แล้ว

การโจมตีแบบ credential stuffing ทำงานดังนี้: ผู้โจมตีนำชื่อผู้ใช้และรหัสผ่านที่รู้จากชุดข้อมูลที่รั่วไหล แล้วนำไปลองใช้กับบริการอื่นๆ อีกหลายสิบหรือหลายร้อยแห่ง หากคุณเคยใช้รหัสผ่านเดียวกันสำหรับบัญชีฟอรัมเมื่อหลายปีก่อน และยังใช้รหัสผ่านนั้นสำหรับธนาคารของคุณในวันนี้ ผู้โจมตีไม่จำเป็นต้องแฮกธนาคารของคุณ พวกเขาเพียงแค่ต้องลองใช้ข้อมูลรับรองที่มีอยู่แล้ว

การใช้รหัสผ่านซ้ำยังคงเป็นนิสัยที่แพร่หลายและถูกใช้ประโยชน์มากที่สุดในความปลอดภัยส่วนบุคคล การศึกษาแสดงให้เห็นอย่างสม่ำเสมอว่าผู้ใช้จำนวนมากนำรหัสผ่านมาใช้ซ้ำในหลายบัญชี RockYou2024 เปลี่ยนนิสัยนั้นให้กลายเป็นช่องโหว่โดยตรงที่สามารถขยายผลได้

เนื่องจากชุดข้อมูลนี้หมุนเวียนอย่างเปิดเผยบนฟอรัมแทนที่จะถูกเก็บไว้โดยผู้คุกคามรายเดียว พื้นที่การโจมตีจึงไม่จำกัดอยู่แค่แฮกเกอร์ที่มีทักษะสูง ผู้ปฏิบัติการที่มีทักษะค่อนข้างต่ำสามารถดำเนินการโจมตีแบบ credential stuffing โดยใช้เครื่องมือที่มีให้ใช้อย่างแพร่หลายและชุดข้อมูลนี้เป็นแหล่งเชื้อเพลิงได้แล้วในขณะนี้

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

หากข้อมูลรับรองของคุณปรากฏอยู่ในการละเมิดใดๆ ในบรรดามากกว่า 200 ครั้งที่ป้อนข้อมูลเข้าสู่ชุดข้อมูลนี้ ข้อมูลนั้นอาจอยู่ในมือของใครก็ตามที่ดาวน์โหลดไฟล์ดังกล่าว แต่แม้ว่าคุณจะเชื่อว่าบัญชีของคุณไม่ได้ถูกละเมิดโดยตรง ขนาดของ RockYou2024 ก็หมายความว่าความเสี่ยงนั้นไม่ใช่เรื่องสมมติ

นี่คือสิ่งที่สำคัญที่สุดในขณะนี้:

การใช้รหัสผ่านซ้ำคือช่องโหว่หลัก รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกันในบัญชีหนึ่งไม่มีความหมายหากคุณใช้รหัสผ่านเดียวกันที่อื่น และบัญชีนั้นถูกละเมิด แต่ละบัญชีควรมีรหัสผ่านที่แตกต่างกัน

VPN ไม่ได้ปกป้องรหัสผ่านของคุณ VPN เข้ารหัสการรับส่งข้อมูลทางอินเทอร์เน็ตและซ่อนที่อยู่ IP ของคุณ ซึ่งมีคุณค่าอย่างแท้จริงสำหรับความเป็นส่วนตัว แต่ไม่ได้ช่วยป้องกัน credential stuffing เลย หากผู้โจมตีมีชื่อผู้ใช้และรหัสผ่านของคุณอยู่แล้ว พวกเขาไม่จำเป็นต้องดักจับการเชื่อมต่อของคุณ พวกเขาเพียงแค่ต้องลองเข้าสู่ระบบ ความปลอดภัยแบบหลายชั้นหมายถึงการรวมการปกป้องการรับส่งข้อมูลเข้ากับการจัดการข้อมูลรับรองที่ดี

การยืนยันตัวตนแบบหลายปัจจัยคืออุปสรรคที่มีประสิทธิภาพสูงสุดของคุณ แม้ว่าผู้โจมตีจะมีชื่อผู้ใช้และรหัสผ่านที่ถูกต้องของคุณ ปัจจัยการยืนยันตัวตนที่สอง ไม่ว่าจะเป็นรหัสจากแอป คีย์ฮาร์ดแวร์ หรือการตรวจสอบไบโอเมตริก ก็สามารถหยุดความพยายามในการเข้าสู่ระบบได้ทันที เปิดใช้งานทุกที่ที่มีให้ใช้ โดยให้ความสำคัญกับบัญชีการเงิน อีเมล และบัญชีใดก็ตามที่เชื่อมโยงกับวิธีการชำระเงิน

ตรวจสอบการเปิดเผยข้อมูลของคุณ บริการฟรีอย่าง Have I Been Pwned ช่วยให้คุณป้อนที่อยู่อีเมลและดูว่าการละเมิดที่ทราบครั้งใดบ้างที่รวมข้อมูลรับรองของคุณ เป็นการตรวจสอบที่รวดเร็วและคุ้มค่า

ใช้ตัวจัดการรหัสผ่าน การสร้างและจำรหัสผ่านที่ไม่ซ้ำกันและซับซ้อนสำหรับทุกบัญชีนั้นไม่สมจริงหากไม่มีเครื่องมือช่วย ตัวจัดการรหัสผ่านจัดการสิ่งนั้นโดยอัตโนมัติ โดยสร้างข้อมูลรับรองที่แข็งแกร่งและเก็บไว้อย่างปลอดภัย เพื่อให้คุณต้องจำเพียงรหัสผ่านหลักรหัสเดียว

การปกป้องตัวตนดิจิทัลของคุณไม่ได้จำกัดอยู่แค่เครื่องมือใดเครื่องมือหนึ่ง

RockYou2024 เป็นเครื่องเตือนใจว่าความปลอดภัยทางดิจิทัลไม่ใช่ผลิตภัณฑ์ที่คุณซื้อครั้งเดียวแล้วลืมไป มันคือชุดของแนวปฏิบัติที่ทับซ้อนกัน การเข้ารหัสการรับส่งข้อมูล การจัดการข้อมูลรับรองอย่างรอบคอบ การเปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัย และการตื่นตัวต่อความพยายามฟิชชิง ล้วนทำงานร่วมกัน การถอดชั้นการปกป้องใดออกชั้นหนึ่งจะสร้างช่องว่างที่ผู้โจมตีพร้อมจะใช้ประโยชน์

ขนาดของการรั่วไหลครั้งนี้เป็นเรื่องที่น่าตกใจ แต่การตอบสนองไม่จำเป็นต้องตื่นตระหนก แต่ต้องเป็นระบบ เริ่มจากบัญชีที่สำคัญที่สุดของคุณ เปลี่ยนรหัสผ่านที่ใช้ซ้ำ เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัย และใช้ตัวจัดการรหัสผ่านต่อจากนี้ ขั้นตอนเหล่านี้จะไม่ทำให้คุณปลอดภัยจากทุกภัยคุกคาม แต่จะทำให้คุณอยู่ในสถานะที่ดีกว่าเป้าหมายส่วนใหญ่ที่การโจมตีแบบ credential stuffing ถูกออกแบบมาเพื่อโจมตีอย่างมาก