ตัวการเงียบๆ ที่อยู่เบื้องหลังการเปิดเผยข้อมูลส่วนใหญ่

เมื่อผู้คนนึกถึงการรั่วไหลของข้อมูล พวกเขามักจะจินตนาการถึงแฮ็กเกอร์สวมฮู้ดที่เจาะผ่านไฟร์วอลล์หรือปล่อยแรนซัมแวร์เข้าโจมตีเครือข่ายองค์กร แต่ตามงานวิจัยด้านความปลอดภัยล่าสุดที่ถูกนำเสนอโดย TechRadar แหล่งที่มาที่ใหญ่ที่สุดของข้อมูลส่วนบุคคลที่รั่วไหลไม่ใช่อาชญากรที่มีความซับซ้อนแต่อย่างใด แต่เป็นฐานข้อมูลที่กำหนดค่าไม่ถูกต้อง ซึ่งถูกเปิดทิ้งไว้บนอินเทอร์เน็ตโดยองค์กรที่มีหน้าที่ปกป้องมันเสียเอง

ขนาดของปัญหานี้ไม่ใช่เรื่องใหม่ แต่มันยังคงน่าตกใจ ย้อนกลับไปในช่วงปลายปี 2015 คริส วิกเคอรี นักวิจัยด้านความปลอดภัย ได้ค้นพบฐานข้อมูลที่บรรจุข้อมูลส่วนบุคคลของผู้มีสิทธิเลือกตั้ง 191 ล้านรายการ คลังข้อมูลขนาด 300 กิกะไบต์ที่ตั้งไว้ให้เข้าถึงได้แบบสาธารณะ โดยไม่มีรหัสผ่านหรือการยืนยันตัวตนใดๆ ไม่มีใครเจาะระบบเข้ามา ไม่มีมัลแวร์มาเกี่ยวข้อง แค่มีใครบางคนตั้งค่าฐานข้อมูลโดยไม่มีการควบคุมการเข้าถึงที่เหมาะสม แล้วมันก็ถูกเปิดทิ้งไว้ให้ใครก็ตามที่รู้ว่าจะหาจากที่ไหน

เหตุการณ์เมื่อสิบปีที่แล้วนั้นสะท้อนรูปแบบที่นักวิจัยด้านความปลอดภัยบอกว่าไม่เคยหายไปไหนเลย: ฐานข้อมูลที่กำหนดค่าไม่ถูกต้องยังคงเป็นภัยคุกคามอันดับต้นๆ ต่อความปลอดภัยของข้อมูล โดยมักจะแซงหน้าเหตุการณ์การแฮ็กแบบดั้งเดิมในแง่ของปริมาณบันทึกข้อมูลที่รั่วไหลออกมาล้วนๆ

เหตุใดการกำหนดค่าที่ไม่ถูกต้องจึงเป็นภัยคุกคามเหนือกว่าการแฮ็ก

อาจฟังดูขัดกับความรู้สึกที่ว่าข้อผิดพลาดในการตั้งค่าเพียงเล็กน้อยสามารถเปิดเผยข้อมูลได้มากกว่าการโจมตีทางไซเบอร์ที่จงใจ แต่หลักการทางคณิตศาสตร์จะสมเหตุสมผลเมื่อคุณเข้าใจว่าโครงสร้างพื้นฐานข้อมูลยุคใหม่ทำงานอย่างไร บริษัทและหน่วยงานรัฐพึ่งพาฐานข้อมูลบนคลาวด์และพื้นที่จัดเก็บข้อมูลมากขึ้นเพื่อจัดการข้อมูลจำนวนมหาศาล การสร้างฐานข้อมูลใหม่ใช้เวลาเพียงไม่กี่นาที แต่การกำหนดค่าให้ถูกต้อง ด้วยการยืนยันตัวตนที่เหมาะสม ข้อจำกัดด้านเครือข่าย และการเข้ารหัส ต้องใช้เวลาและความเชี่ยวชาญมากกว่า และนี่คือขั้นตอนที่มักถูกข้ามหรือทำพลาดอยู่เสมอ

แตกต่างจากการแฮ็กแบบพุ่งเป้า ซึ่งมักต้องใช้ความพยายาม ทักษะทางเทคนิค และแผนการเจาะเป้าหมายเฉพาะ ฐานข้อมูลที่กำหนดค่าไม่ถูกต้องมักจะถูกทิ้งไว้เฉยๆ ถูกทำดัชนีโดยเครื่องมือค้นหาหรือเครื่องมือสแกน รอให้ใครบางคนมาสะดุดพบ นักวิจัยด้านความปลอดภัย นักข่าว และแน่นอน ผู้ไม่หวังดี ค้นหาฐานข้อมูลที่เปิดทิ้งไว้เช่นนี้เป็นประจำ เพราะพวกเขาไม่ต้องเลี่ยงผ่านการป้องกันใดๆ ประตูถูกเปิดทิ้งไว้กว้าง

นั่นไม่ได้หมายความว่าการละเมิดแบบดั้งเดิมและการโจมตีด้วยแรนซัมแวร์ไม่ใช่ภัยคุกคามร้ายแรง เหตุการณ์อย่าง การโจมตีด้วยแรนซัมแวร์ Spirals ต่อบริษัทไอทีเอเชีย แสดงให้เห็นว่าผู้คุกคามที่มุ่งมั่นยังคงรีดไถองค์กรผ่านการเจาะระบบแบบพุ่งเป้า และข้อกล่าวอ้างอย่าง การขโมยซอร์สโค้ดของ Accenture โดยแฮ็กเกอร์ '888' ที่ถูกกล่าวหา แสดงให้เห็นว่าการจงใจขโมยข้อมูลองค์กรที่ละเอียดอ่อนยังคงเป็นข้อกังวลที่ยังดำเนินอยู่ แต่ในแง่ของปริมาณข้อมูลดิบๆ การเปิดเผยโดยอุบัติเหตุแบบเงียบๆ ที่เกิดจากฐานข้อมูลที่รักษาความปลอดภัยไม่ดี มักจะบดบังสิ่งที่แคมเปญแฮ็กใดๆ จะทำได้

VPN และการเข้ารหัสไม่ใช่ตัวแก้ไขที่สมบูรณ์

สำหรับผู้อ่านที่พึ่งพา VPN เพื่อปกป้องกิจกรรมออนไลน์ของตน ควรทำความเข้าใจความจริงที่เจ็บปวด: VPN ปกป้องการเชื่อมต่อของคุณสู่อินเทอร์เน็ต ไม่ใช่ฐานข้อมูลที่บริษัทใช้จัดเก็บข้อมูลของคุณหลังจากที่คุณส่งมอบให้แล้ว หากบริษัทที่คุณไว้วางใจด้วยที่อยู่อีเมล หมายเลขโทรศัพท์ หรือรายละเอียดการชำระเงิน กำหนดค่าระบบส่วนหลังไม่ถูกต้อง การเข้ารหัสส่วนบุคคลในฝั่งของคุณมากเพียงใดก็ไม่สามารถหยุดข้อมูลนั้นไม่ให้ถูกเปิดเผยได้

นี่คือเหตุผลที่การละเมิดที่เกี่ยวข้องกับข้อมูลส่วนบุคคลที่ถูกจัดเก็บ เช่น เหตุการณ์ที่ส่งผลกระทบต่อ ผู้เข้าร่วมงานระดับสูงของเทศกาลภาพยนตร์ Tribeca หรือ การละเมิด Suno ที่กลับมาเปิดเผยอีเมล 55 ล้านฉบับและข้อมูล Stripe มีความสำคัญมาก เหตุการณ์เหล่านี้แสดงให้เห็นว่าเมื่อข้อมูลของคุณออกจากอุปกรณ์ของคุณและเข้าสู่ฐานข้อมูลของบริษัท ความเป็นส่วนตัวของคุณจะขึ้นอยู่กับแนวปฏิบัติด้านความปลอดภัยขององค์กรนั้นทั้งหมด ไม่ใช่เครื่องมือของคุณเอง

สิ่งนี้มีความหมายต่อคุณอย่างไร

ในฐานะผู้บริโภค คุณไม่สามารถตรวจสอบการกำหนดค่าฐานข้อมูลของทุกบริการที่คุณใช้ได้ด้วยตัวเอง แต่คุณสามารถตัดสินใจเลือกอย่างมีข้อมูลมากขึ้นได้ มองหาบริษัทที่โปร่งใสเกี่ยวกับแนวปฏิบัติด้านความปลอดภัย มีประวัติในการเปิดเผยการละเมิดอย่างรวดเร็ว และใช้การเข้ารหัสสำหรับข้อมูลที่อยู่นิ่ง ไม่ใช่แค่ข้อมูลระหว่างการส่ง ถามว่าบริการนั้นลดทอนข้อมูลส่วนบุคคลที่จัดเก็บตั้งแต่แรกหรือไม่ ยิ่งบริษัทจัดเก็บข้อมูลที่ละเอียดอ่อนน้อยเท่าใด ความเสียหายที่ฐานข้อมูลที่กำหนดค่าไม่ถูกต้องอาจก่อขึ้นได้หากถูกเปิดเผยก็ยิ่งน้อยลงเท่านั้น

นอกจากนี้ ควรจดจำว่าฐานข้อมูลที่กำหนดค่าไม่ถูกต้องส่งผลกระทบต่อองค์กรทุกขนาด ตั้งแต่สตาร์ทอัปขนาดเล็กไปจนถึงฐานข้อมูลผู้มีสิทธิเลือกตั้งระดับชาติ นี่ไม่ใช่ปัญหาที่จำกัดเฉพาะบริษัทที่มีงบประมาณด้านความปลอดภัยต่ำ แต่มันเป็นปัญหาเชิงระบบที่เชื่อมโยงกับความเร็วในการปรับใช้โครงสร้างพื้นฐานคลาวด์ เทียบกับความระมัดระวังในการรักษาความปลอดภัย

ข้อปฏิบัติที่นำไปใช้ได้จริง

  • ใช้รหัสผ่านที่ไม่ซ้ำกันและเปิดใช้งานการยืนยันตัวตนหลายปัจจัยทุกที่ที่ทำได้ เพื่อที่ฐานข้อมูลเดียวที่รั่วไหลจะไม่ทำให้หลายบัญชีถูกบุกรุก
  • ติดตามการแจ้งเตือนการละเมิดและพิจารณาใช้บริการติดตามการละเมิดเพื่อทราบว่าข้อมูลของคุณถูกเปิดเผยเมื่อใด
  • เลือกใช้บริการที่เผยแพร่นโยบายการเก็บรักษาข้อมูลและความปลอดภัยที่ชัดเจน และที่ลดทอนข้อมูลส่วนบุคคลที่จัดเก็บให้น้อยที่สุด
  • จำไว้ว่า VPN ปกป้องข้อมูลรับส่งของคุณ ไม่ใช่ฐานข้อมูลที่เก็บข้อมูลของคุณไว้ การปกป้องข้อมูลจำเป็นต้องใช้แนวทางแบบหลายชั้น

ฐานข้อมูลที่กำหนดค่าไม่ถูกต้องมีแนวโน้มจะยังคงเป็นสาเหตุหลักของการเปิดเผยข้อมูลขนาดใหญ่ในอนาคตอันใกล้ เพียงเพราะความเร็วในการนำระบบคลาวด์มาใช้ยังคงแซงหน้าการกำหนดค่าที่รอบคอบ การรับทราบข้อมูลเกี่ยวกับวิธีการและตำแหน่งที่ข้อมูลของคุณถูกจัดเก็บ และการเรียกร้องความรับผิดชอบจากบริการที่คุณใช้ ยังคงเป็นหนึ่งในวิธีที่ใช้ได้จริงที่สุดในการลดความเสี่ยงส่วนบุคคลของคุณ