ช่องโหว่ด้านความปลอดภัยได้รับการแก้ไขแล้วในฐานข้อมูลที่มีข้อความ SMS มากกว่า 125 ล้านข้อความที่ส่งโดยธนาคาร บริษัทประกัน ผู้ค้าปลีก และผู้ให้บริการในลัตเวียและลิทัวเนียถึงลูกค้าของตน ผู้ให้บริการที่เป็นเจ้าของระบบกล่าวว่าปัญหาได้รับการแก้ไขแล้ว เหตุการณ์นี้เป็นตัวอย่างที่ชัดเจนของความเสี่ยงจากการรั่วไหลของข้อมูลในผู้ให้บริการ SMS: ข้อความที่มีความละเอียดอ่อนมักอยู่ในความดูแลของผู้ให้บริการที่ลูกค้าไม่ได้เลือกเองและอาจไม่รู้ด้วยซ้ำว่ามีอยู่
รายงานที่มีอยู่ในขณะนี้ยังมีรายละเอียดไม่มาก บทความนี้จึงยึดตามสิ่งที่ได้รับการระบุไว้และอธิบายว่าเหตุใดเรื่องนี้จึงสำคัญ
สิ่งที่ถูกเปิดเผยในฐานข้อมูล SMS ของบอลติก
ตามรายงาน ฐานข้อมูลที่ได้รับผลกระทบมีข้อความมากกว่า 125 ล้านข้อความ ซึ่งเป็นข้อความแบบธุรกิจถึงลูกค้า (business-to-customer) ที่ส่งโดยธนาคาร บริษัทประกัน ผู้ค้าปลีก และผู้ให้บริการในลัตเวียและลิทัวเนีย แหล่งข่าวอธิบายปัญหานี้ว่าเป็นช่องโหว่ที่ได้รับการแก้ไขแล้ว และพาดหัวข่าวนำเสนอว่าเป็นกรณี possibles การรั่วไหลของข้อมูล
ถ้อยคำนั้นสำคัญ ช่องโหว่หมายความว่ามีจุดอ่อนอยู่ แต่เพียงลำพังไม่ได้ยืนยันว่าใครได้เข้าถึงหรือคัดลอกข้อมูลไป เนื้อหาต้นทางที่เรามีไม่ได้ระบุว่าจุดอ่อนนี้มีอยู่มานานเท่าใด ใครอาจพบมัน หรือมีข้อความใดถูกเปิดดูโดยบุคคลที่ไม่ได้รับอนุญาตจริงหรือไม่
อย่างไรก็ตาม ประเภทของเนื้อหาที่ฐานข้อมูลเช่นนี้มักเก็บไว้เป็นสิ่งที่ควรคำนึงถึง บริษัทต่างๆ มักใช้ SMS สำหรับรหัสผ่านใช้ครั้งเดียว การแจ้งเตือนทางธนาคาร การอัปเดตการจัดส่ง และการแจ้งข้อมูลบัญชี ข้อความเช่นนี้สามารถเปิดเผยว่าบุคคลหนึ่งใช้ธนาคารใด ซื้ออะไร พัสดุกำลังไปที่ใด และใช้บริการใดบ้าง แม้ไม่มีรหัสผ่านแม้แต่รหัสเดียว บริบทเช่นนี้ก็มีค่าสำหรับผู้ที่วางแผนจะก่อกลโกงที่แนบเนียน
เหตุใดผู้ให้บริการรับส่งข้อความบุคคลที่สามจึงเป็นความเสี่ยงที่ซ่อนอยู่
คนส่วนใหญ่คิดว่าธนาคารหรือผู้ค้าปลีกส่งข้อความด้วยตนเอง แต่ในทางปฏิบัติ หลายองค์กรมอบงานนี้ให้ผู้ให้บริการรับส่งข้อความที่อยู่ระหว่างบริษัทและเครือข่ายมือถือ ลูกค้าติดต่อกับแบรนด์ แต่เนื้อหาข้อความต้องผ่านและอาจถูกจัดเก็บโดยบริษัทอื่น
สิ่งนี้ก่อให้เกิดปัญหาหลายประการ:
- ความสัมพันธ์ที่มองไม่เห็น ลูกค้าแทบไม่เคยเห็นว่าผู้ให้บริการรายใดประมวลผลข้อมูลของตน所以他们จึงไม่สามารถตัดสินความปลอดภัยของผู้ให้บริการรายนั้นได้
- ข้อมูลกระจุกตัว ผู้ให้บริการรายเดียวสามารถให้บริการลูกค้าจำนวนมากในหลายประเทศ ช่องโหว่เพียงจุดเดียวสามารถกระทบข้อความจากธนาคาร บริษัทประกัน และร้านค้าพร้อมกัน ซึ่งเป็นเหตุที่ทำให้ตัวเลขอย่าง 125 ล้านข้อความเป็นไปได้
- คำถามเรื่องระยะเวลาการเก็บรักษา บันทึกข้อความอาจถูกเก็บไว้เพื่อการแก้ไขปัญหาหรือการรายงาน ยิ่งเก็บไว้นานเท่าใด ก็ยิ่งมีข้อมูลให้เปิดเผยมากขึ้นเท่านั้น
รูปแบบเดียวกันนี้ปรากฏในเหตุการณ์อื่นๆ ที่เราเคยรายงานไว้ บทวิเคราะห์ของเราเกี่ยวกับความเสี่ยงจากบุคคลที่สามในเหตุข้อมูลรั่วไหลของ Trump Mobile แสดงให้เห็นว่าข้อมูลที่อยู่นอกกำแพงของแบรนด์เองก็ยังกลายเป็นปัญหาของแบรนด์นั้นได้ เหตุข้อมูลรั่วไหลของ Fakturownia ก็ชี้ให้เห็นประเด็นคล้ายกันเกี่ยวกับแพลตฟอร์มที่เก็บข้อมูลมากกว่าที่ชื่อบ่งบอกไว้มาก
การแก้ไขของผู้ให้บริการยืนยันสิ่งใดและไม่ยืนยันสิ่งใด
คำแถลงของผู้ให้บริการว่าปัญหาได้รับการแก้ไขแล้วเป็นข่าวดี แต่ตอบคำถามเพียงบางส่วนเท่านั้น
สิ่งที่บ่งชี้: จุดอ่อนเฉพาะนั้นไม่ได้เปิดอยู่แล้ว ดังนั้นเส้นทางเดิมไม่ควรใช้งานได้อีกต่อไป
สิ่งที่ไม่ได้ยืนยัน จากแหล่งข่าว:
- ว่ามีบุคคลที่สามใดเข้าถึงข้อความก่อนการแก้ไขหรือไม่
- ว่าข้อความที่ถูกเปิดเผยนั้นมีรหัสหรือข้อมูลส่วนบุคคลที่ยังใช้งานได้หรือไม่
- ว่ามีการตรวจสอบโดยอิสระยืนยันการซ่อมแซมแล้วหรือไม่
- ว่าบริษัทที่ได้รับผลกระทบจะแจ้งลูกค้าของตนหรือไม่
จนกว่าประเด็นเหล่านี้จะได้รับการชี้แจงต่อสาธารณะ ท่าทีที่สมเหตุสมผลคือทั้งไม่ตื่นตระหนกและไม่ประมาท ควรมองการแก้ไขว่าเป็นขั้นตอนที่จำเป็น ไม่ใช่การปลอดภัยอย่างสมบูรณ์ องค์กรที่ใช้ผู้ให้บริการรายนี้อยู่ในฐานะที่ดีที่สุดในการอธิบายว่าลูกค้าควรทำอะไร หากมี
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณใช้บริการธนาคาร ประกัน หรือช้อปปิ้งกับบริษัทในลัตเวียหรือลิทัวเนีย ข้อความของคุณอาจผ่านระบบเช่นนี้ แม้คุณจะอยูที่อื่น บทเรียนก็ยังใช้ได้: บริการใดก็ตามที่ส่ง SMS ถึงคุณต้องพึ่งพาห่วงโซ่ของผู้ให้บริการที่คุณไม่สามารถตรวจสอบได้
ความเสี่ยงที่แท้จริงมักไม่ใช่การยึดบัญชีอย่าง dramatic จากข้อความเก่าข้อความเดียว แต่คือฟิชชิ่งแบบเจาะจงเป้าหมาย มิจฉาชีพที่รู้ว่าคุณเพิ่งได้รับแจ้งการจัดส่งหรือการแจ้งเตือนจากธนาคารสามารถเขียนข้อความปลอมที่ดูสมจริง โดยใช้รายละเอียดจริงเพื่อสร้างความไว้วางใจ รหัสใช้ครั้งเดียวเก่าควรหมดอายุแล้ว แต่การเข้าสู่ระบบผ่าน SMS เองยังคงเป็นจุดอ่อน เพราะข้อความสามารถถูกดักจับ ส่งต่อ หรือถูกเปิดเผยในที่ที่คุณไม่ได้ควบคุม สรุปความปลอดภัยรายสัปดาห์ ของเรายังระบุด้วยว่ากลวิธีฟิชชิ่งพัฒนาอย่างต่อเนื่อง ซึ่งเตือนให้เราระแวงข้อความที่ไม่คาดคิดไว้
วิธีปกป้องตัวเองจากความเสี่ยงฟิชชิ่งทาง SMS และ 2FA
คุณไม่สามารถเลือกผู้ให้บริการรับส่งข้อความของธนาคารได้ แต่คุณสามารถลดความเสียหายที่ข้อความที่ถูกเปิดเผยอาจก่อได้
- หลีกเลี่ยงรหัสผ่าน SMS เมื่อทำได้ ใช้แอปยืนยันตัวตนหรือคีย์ความปลอดภัยแบบฮาร์ดแวร์สำหรับการยืนยันตัวตนแบบสองขั้นตอน สิ่งเหล่านี้ไม่ผ่านระบบส่งข้อความ
- ให้ SMS เป็นเพียงทางสำรอง หากบริการใดบังคับให้ยืนยันทางข้อความ ให้เปิดใช้ แต่เพิ่มตัวเลือกที่แข็งแกร่งกว่าเมื่อบริการอนุญาต
- อย่าไว้ใจข้อความที่อ้างถึงกิจกรรมจริง ข้อความที่กล่าวถึงคำสั่งซื้อหรือธนาคารจริงไม่ได้พิสูจน์ว่าเป็นของจริง อย่าแตะลิงก์ ให้เปิดแอปอย่างเป็นทางการหรือพิมพ์ที่อยู่ด้วยตนเอง
- อย่าแบ่งปันรหัสผ่าน ไม่มีธนาคารหรือผู้ค้าปลีกที่ถูกต้องตามกฎหมายรายใดจะขอให้คุณอ่านรหัสใช้ครั้งเดียว
- เฝ้าดูบัญชีของคุณ ตรวจสอบรายการเดินบัญชีและการแจ้งเตือนการเข้าสู่ระบบสำหรับสิ่งผิดปกติ และรายงานกิจกรรมที่น่าสงสัยต่อธนาคารของคุณโดยเร็ว
- สอบถามผู้ให้บริการของคุณ หากคุณต้องการทราบว่าบริษัทจัดการข้อมูลข้อความอย่างไร ให้ถามว่าใครเป็นผู้ประมวลผลและเก็บรักษานานเท่าใด
บทสรุป
การแก้ไขฐานข้อมูลบอลติกแห่งนี้เป็นเรื่องน่ายินดี แต่ยังคงทิ้งคำถามไว้ว่าข้อมูลเคยถูกเข้าถึงหรือไม่ บทเรียนที่กว้างกว่ากี่ยวกับความเสี่ยงจากการรั่วไหลของข้อมูลในผู้ให้บริการ SMS ยังคงใช้ได้เสมอ: การแจ้งเตือนที่มีความละเอียดอ่อนผ่านผู้ให้บริการที่คุณไม่ได้เลือก และคุณควบคุมได้เพียงฝั่งของคุณเอง เปลี่ยนไปใช้ 2FA ผ่านแอปหรือฮาร์ดแวร์ ระแวงข้อความใดก็ตามที่กล่าวถึงกิจกรรมจริง และอ่านเพิ่มเติมเกี่ยวกับวิธีที่ผู้ให้บริการภายนอกสร้างความเสี่ยงได้ในบทความของเราเกี่ยวกับเหตุข้อมูลรั่วไหลของ Trump Mobile และเหตุการณ์ Fakturownia
