นักคุกคามอ้างว่าขโมยและกำลังขายฐานข้อมูลพนักงานที่ดึงมาจากโครงสร้างพื้นฐาน Microsoft Azure ของบริษัทขนาดใหญ่หลายแห่ง โดยยอดรวม reportedly สูงถึงกว่า 3.6 ล้านรายการ หากได้รับการยืนยัน การรั่วไหลของข้อมูล Microsoft Azure ครั้งนี้จะจัดอยู่ในเหตุการณ์ข้อมูลรับรองระดับองค์กรที่สำคัญที่สุดของปี ไม่ใช่เพราะข้อมูลผู้บริโภคที่อลังการ แต่เพราะสิ่งที่บันทึกพนักงานโดยทั่วไปสามารถเข้าถึงได้: ระบบภายใน อีเมลองค์กร และพอร์ทัลการเข้าสู่ระบบแบบ Single Sign-On ที่ใช้ทั่วทั้งองค์กร

ในตอนนี้ ข้อกล่าวหาดังกล่าวยังไม่ได้รับการยืนยันจากบริษัทที่ได้รับผลกระทบ และรายละเอียดอ้างอิงจากสิ่งที่ผู้ขายโพสต์เท่านั้น อย่างไรก็ตาม ขนาดและประเภทของข้อมูลที่อ้างว่ามีส่วนเกี่ยวข้องนั้นควรทำความเข้าใจไว้ โดยเฉพาะหากคุณทำงานในองค์กรขนาดใหญ่ที่พึ่งพาโครงสร้างพื้นฐานที่โฮสต์บน Azure

สิ่งที่อ้างว่าถูกเปิดเผย

ตามรายงาน นักคุกคามกำลังโฆษณาชุดข้อมูลพนักงานที่อ้างว่าดึงมาจาก Azure tenants ของบริษัทระดับ Fortune 500 หลายแห่ง ข้อมูลพนักงานประเภทนี้โดยทั่วไปรวมถึงชื่อ อีเมลองค์กร ตำแหน่งงาน ข้อมูลแผนก และบางครั้งตัวระบุภายในที่ใช้สำหรับการยืนยันตัวตนหรือบริการไดเรกทอรี เป็นการรั่วไหลคนละรูปแบบกับการรั่วไหลข้อมูลผู้บริโภคทั่วไป: แทนที่จะเป็นบันทึกลูกค้า นี่คือข้อมูลแรงงานที่อาจใช้แอบอ้างเป็นพนักงาน สร้างอีเมลฟิชชิ่งที่ดูน่าเชื่อถือ หรือพยายามเลี่ยงเข้าสู่เครือข่ายองค์กร

นี่ไม่ใช่ครั้งแรกที่ข้อมูลรับรองที่เชื่อมโยงกับ Microsoft ปรากฏขึ้นเพื่อขาย เหตุการณ์แยกต่างหากที่เกี่ยวข้องกับคอมโบลิสต์ชื่อ Microsoft 42 เปิดเผยชุดบันทึกการเข้าสู่ระบบขนาดเล็กกว่า ซึ่งแสดงให้เห็นว่าการรั่วไหลของข้อมูลรับรองที่เชื่อมโยงกับบริการของ Microsoft มักเกิดขึ้นเป็นระลอกมากกว่าเหตุการณ์โดดเดี่ยว ความแตกต่างตรงนี้คือขนาด: 3.6 ล้านรายการเป็นการอ้างที่ใหญ่กว่ามาก และหากแม้เพียงเศษเสี้ยวของข้อมูลนั้นถูกต้อง ความเสี่ยงปลายทางต่อพนักงานที่ได้รับผลกระทบและนายจ้างของพวกเขาก็มีนัยสำคัญ

การรั่วไหลประเภทนี้มักเกิดขึ้นได้อย่างไร

รายงานเกี่ยวกับเหตุการณ์นี้ชี้ไปที่ข้อมูลรับรองที่ถูกบุกรุกเป็นจุดเข้าที่เป็นไปได้ มากกว่าจุดบกพร่องในแพลตฟอร์ม Azure เอง กล่าวอีกนัยหนึ่ง ผู้โจมตีอาจไม่ได้ใช้ประโยชน์จากช่องโหว่ในโครงสร้างพื้นฐานคลาวด์ของ Microsoft โดยตรง แต่ข้อมูลรับรองการเข้าสู่ระบบที่ถูกขโมยหรืออ่อนแอซึ่งเชื่อมโยงกับ Azure tenant ซึ่งอาจได้มาจากฟิชชิ่ง มัลแวร์ หรือ credential stuffing อาจทำให้ผู้คุกคามเข้าถึงฐานข้อมูลพนักงานภายในได้

ความแตกต่างนี้สำคัญ แพลตฟอร์มคลาวด์อย่าง Azure ปลอดภัยเท่ากับข้อมูลรับรองและการกำหนดค่าที่องค์กรใช้เข้าถึงเท่านั้น เมื่อบริษัทพึ่งพา Single Sign-On เพื่อปรับปรุงการเข้าสู่ระบบของพนักงาน บัญชีเดียวที่ถูกบุกรุกบางครั้งสามารถเปิดประตูไปสู่ระบบที่เชื่อมโยงกันชุดใหญ่ได้มาก การเข้าใจว่า Single Sign-On (SSO) ทำงานอย่างไรช่วยอธิบายว่าทำไมการขโมยข้อมูลรับรองในระดับบัญชีจึงส่งผลกระทบใหญ่เกินสัดส่วน: ชุดรายละเอียดการเข้าสู่ระบบที่ถูกขโมยชุดเดียวอาจปลดล็อกการเข้าถึงแอปพลิเคชันภายในหลายตัวแทนที่จะเป็นเพียงแค่ตัวเดียว

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณเป็นพนักงานในบริษัทขนาดใหญ่ที่ใช้ Microsoft Azure สำหรับระบบภายใน การอ้างการรั่วไหลของข้อมูล Microsoft Azure ครั้งนี้เป็นเครื่องเตือนใจให้ใส่ใจสุขอนามัยบัญชีของคุณเองมากขึ้น แม้ว่านายจ้างของคุณจะยังไม่ได้ยืนยันว่าได้รับผลกระทบก็ตาม การรั่วไหลขององค์กรที่เกี่ยวข้องกับข้อมูลพนักงานแทบไม่มาพร้อมกับการแจ้งเตือนโดยตรงถึงทุกคนในทันที โดยเฉพาะในขณะที่ข้อกล่าวหายังอยู่ระหว่างการตรวจสอบ

ความเสี่ยงในทางปฏิบัติไม่ได้จำกัดอยู่แค่ตัวบริษัท บันทึกพนักงานที่รั่วไหลมักถูกใช้เพื่อกระตุ้นแคมเปญฟิชชิ่งแบบกำหนดเป้าหมาย ซึ่งผู้โจมตีแอบอ้างเป็นฝ่ายไอที ฝ่ายทรัพยากรบุคคล หรือผู้บริหาร เพื่อหลอกให้พนักงานมอบข้อมูลรับรองเพิ่มเติมหรือคลิกลิงก์ที่เป็นอันตราย หากชื่อ อีเมลงาน หรือตำแหน่งงานของคุณไปอยู่ในชุดข้อมูลที่รั่วไหล คุณอาจกลายเป็นเป้าหมายที่น่าสนใจมากขึ้นสำหรับกลโกงประเภทนี้ โดยเฉพาะที่อ้างอิงรายละเอียดภายในที่ถูกต้องเพื่อให้ดูน่าเชื่อถือ

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

แม้ว่าข้อกล่าวหาการรั่วไหลจะยังไม่ได้รับการยืนยัน การปฏิบัติต่อข้อกล่าวหาเหล่านั้นเสมือนว่าเป็นจริงเป็นแนวทางที่ปลอดภัยกว่า จนกว่านายจ้างของคุณจะยืนยันเป็นอย่างอื่น นี่คือสิ่งที่คุณทำได้ตอนนี้:

เปลี่ยนรหัสผ่านบัญชีงานของคุณหากคุณยังไม่ได้อัปเดตเมื่อเร็วๆ นี้ และหลีกเลี่ยงการใช้รหัสเดียวกันซ้ำกับบัญชีส่วนตัว เปิดใช้การยืนยันตัวตนหลายปัจจัยบนบัญชีองค์กรใดก็ตามที่รองรับ เนื่องจากสิ่งนี้ช่วยลดมูลค่าของรหัสผ่านที่ถูกขโมยได้อย่างมากเมื่อใช้เพียงลำพัง ระมัดระวังเป็นพิเศษกับอีเมลที่ไม่คาดคิดซึ่งอ้างอิงโปรเจกต์ภายใน เรื่องทรัพยากรบุคคล หรือคำขอจากฝ่ายไอที โดยเฉพาะหากขอให้คุณเข้าสู่ระบบหรือยืนยันข้อมูลรับรองผ่านลิงก์ หากองค์กรของคุณส่งประกาศอย่างเป็นทางการเกี่ยวกับเหตุการณ์นี้ ให้ปฏิบัติตามคำแนะนำของพวกเขาโดยตรงแทนที่จะพึ่งพาแหล่งข้อมูลที่ไม่เป็นทางการ

ท้ายที่สุด เหตุการณ์เช่นนี้ตอกย้ำความจริงที่กว้างขึ้นเกี่ยวกับความปลอดภัยขององค์กร: ความแข็งแกร่งของแพลตฟอร์มคลาวด์มีความสำคัญน้อยกว่าวินัยของคนและกระบวนการที่เข้าถึงมัน การตื่นตัวต่อความพยายามฟิชชิ่งและการรักษาข้อมูลรับรองของคุณให้แน่นหนายังคงเป็นหนึ่งในการป้องกันที่มีประสิทธิภาพที่สุดที่พนักงานทุกคนมี ไม่ว่าเหตุการณ์การรั่วไหลของข้อมูล Microsoft Azure ครั้งนี้จะจบลงอย่างไรในที่สุด