Beacon CRM แพลตฟอร์มการจัดการความสัมพันธ์ลูกค้าที่ใช้โดยองค์กรการกุศลและองค์กรไม่แสวงหาผลกำไรในสหราชอาณาจักร ได้ยืนยันการละเมิดข้อมูลหลังจากผู้ไม่ประสงค์ดีเข้าถึงสภาพแวดล้อม Amazon Web Services (AWS) ของบริษัทโดยใช้คีย์การเข้าถึงที่ถูกบุกรุก ในการอัปเดตเหตุการณ์ที่เผยแพร่เมื่อวันที่ 12 สิงหาคม บริษัทกล่าวว่าผู้โจมตีอาจดาวน์โหลดสำเนาฐานข้อมูลลูกค้าทั้งหมดของบริษัท ซึ่งเป็นสถานการณ์ที่ตอกย้ำว่าคีย์ที่รั่วไหลเพียงหนึ่งเดียวสามารถนำไปสู่เหตุการณ์การเปิดเผยข้อมูลครั้งใหญ่ได้อย่างไร

แม้ว่า Beacon จะยังไม่ได้เผยแพร่รายละเอียดต่อสาธารณะอย่างครบถ้วนเกี่ยวกับทุกช่องข้อมูลที่เกี่ยวข้อง แต่สื่อด้านความปลอดภัยหลายสำนักที่รายงานเหตุการณ์นี้ระบุว่าฐานข้อมูลที่ได้รับผลกระทบเชื่อมโยงกับองค์กรการกุศลและองค์กรไม่แสวงหาผลกำไรในสหราชอาณาจักรจำนวนมากที่พึ่งพาแพลตฟอร์มของ Beacon ในการจัดการการดำเนินงานและความสัมพันธ์กับผู้สนับสนุน รายงานหลายฉบับประเมินจำนวนองค์กรที่ได้รับผลกระทบอยู่ที่ประมาณ 1,000 ถึง 1,500 แห่ง แม้ว่าตัวเลขที่แน่นอนยังไม่ได้รับการยืนยันโดยอิสระจากแถลงการณ์สาธารณะของ Beacon ในขณะที่เขียนบทความนี้ องค์กรและบุคคลที่เชื่อมโยงกับฐานลูกค้าของ Beacon ควรติดตามการแจ้งเตือนอย่างเป็นทางการโดยตรงจากบริษัท แทนที่จะพึ่งพาการประมาณการจากแหล่งข้อมูลรองเพียงอย่างเดียว

คีย์ AWS เดียวนำไปสู่การเปิดเผยข้อมูลจำนวนมากได้อย่างไร

สาเหตุหลักที่ระบุได้ในขณะนี้คือคีย์การเข้าถึง AWS ที่ถูกบุกรุก ตามรายงานเกี่ยวกับเหตุการณ์นี้ คีย์ดังกล่าวอาจถูกเปิดเผยในชิ้นส่วน build ของ JavaScript ที่เผยแพร่ต่อสาธารณะ หมายความว่าคีย์อาจถูกฝังอยู่ในโค้ดส่วนหน้าบ้านที่ถูกเผยแพร่โดยไม่ได้ตั้งใจหรือเหลือให้เข้าถึงได้ทางออนไลน์ หากเป็นเช่นนั้นจริง นี่จะแสดงถึงข้อผิดพลาดที่พบได้ทั่วไปแต่สามารถป้องกันได้: นักพัฒนาบางครั้งเขียนคีย์หรือข้อมูลประจำตัวฝังลงในโค้ดแอปพลิเคชันฝั่งไคลเอ็นต์ในระหว่างขั้นตอนการ build และหากโค้ดนั้นถูกเปิดเผย คีย์ก็ถูกเปิดเผยด้วย

เมื่อผู้โจมตีถือคีย์การเข้าถึง AWS ที่ถูกต้องพร้อมสิทธิ์ที่เพียงพอ พวกเขาสามารถโต้ตอบกับทรัพยากรคลาวด์ที่หลากหลาย รวมถึงฐานข้อมูล พื้นที่เก็บข้อมูล และระบบสำรองข้อมูล โดยมักไม่ก่อให้เกิดการแจ้งเตือนแบบเดียวกับการบุกรุกเครือข่ายแบบดั้งเดิม นี่เป็นส่วนหนึ่งของเหตุผลว่าทำไมการรั่วไหลของข้อมูลประจำตัวบนคลาวด์จึงกลายเป็นหนึ่งในประเภทเหตุการณ์ความปลอดภัยที่สร้างผลกระทบร้ายแรงที่สุดในปีที่ผ่านมา กรณีของ Beacon มีจุดร่วมกับเหตุการณ์ละเมิดอื่นๆ ที่เกี่ยวข้องกับข้อมูลประจำตัวการเข้าถึงที่ถูกบุกรุก เช่น เหตุการณ์ที่ส่งผลกระทบต่อ Baker Distributing Company ซึ่งผู้โจมตีใช้การเข้าถึงระบบของบริษัทเพื่อเข้าถึงข้อมูลจำนวนมากในลักษณะเดียวกัน ในทั้งสองกรณี บทเรียนพื้นฐานเหมือนกัน: ความปลอดภัยของโครงสร้างพื้นฐานคลาวด์ของผู้ให้บริการและแนวปฏิบัติในการจัดการข้อมูลประจำตัวเป็นตัวกำหนดโดยตรงว่าข้อมูลของคุณปลอดภัยแค่ไหน ไม่ว่าผลิตภัณฑ์ฝั่งหน้าบ้านของผู้ให้บริการจะได้รับการออกแบบมาดีเพียงใด

ทำไมเรื่องนี้จึงสำคัญเกินกว่า CRM Vendor รายเดียว

องค์กรการกุศลและองค์กรไม่แสวงหาผลกำไรมักจัดการกับข้อมูลที่ละเอียดอ่อนเกี่ยวกับผู้บริจาค ผู้รับผลประโยชน์ และพนักงาน แต่โดยทั่วไปแล้วพวกเขาดำเนินงานด้วยงบประมาณด้านไอทีและทีมความปลอดภัยที่เล็กกว่าธุรกิจเชิงพาณิชย์ ทำให้ผู้ให้บริการซอฟต์แวร์บุคคลที่สาม เช่น ผู้ให้บริการ CRM เป็นตัวเชื่อมที่สำคัญอย่างยิ่งในห่วงโซ่ความปลอดภัย เมื่อองค์กรว่าจ้างการจัดการข้อมูลให้กับแพลตฟอร์ม SaaS องค์กรนั้นก็กำลังว่าจ้างส่วนสำคัญของมาตรฐานความปลอดภัยข้อมูลให้กับแนวปฏิบัติทางวิศวกรรมของผู้ให้บริการนั้นด้วย รวมถึงวิธีการจัดเก็บ หมุนเวียน และตรวจสอบคีย์การเข้าถึง

เหตุการณ์นี้เป็นเครื่องเตือนใจว่าแม้แต่ซอฟต์แวร์ธุรกิจที่ได้รับความไว้วางใจและสร้างมาเพื่อวัตถุประสงค์เฉพาะก็อาจกลายเป็นจุดล้มเหลวเพียงจุดเดียวได้ ระบบขององค์กรการกุศลอาจได้รับการกำหนดค่าอย่างดี แต่หากผู้ให้บริการ CRM ที่ใช้จัดการข้อมูลประจำตัวบนคลาวด์อย่างไม่เหมาะสม ข้อมูลลูกค้าและผู้รับผลประโยชน์ก็ยังสามารถตกไปอยู่ในมือคนผิดได้ นี่คือเหตุผลที่องค์กรที่ให้ความสำคัญกับความปลอดภัยมากขึ้นเรื่อยๆ ถามคำถามที่ตรงไปตรงมากับผู้ให้บริการเกี่ยวกับการจัดการข้อมูลประจำตัว แนวปฏิบัติการเข้ารหัส และพันธกรณีในการตอบสนองต่อเหตุการณ์ก่อนเซ็นสัญญา ไม่ใช่แค่หลังจากเกิดการละเมิดแล้ว

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากองค์กรของคุณใช้ Beacon CRM หรือหากคุณเป็นผู้สนับสนุน ผู้บริจาค หรือผู้รับผลประโยชน์ขององค์กรการกุศลที่ใช้บริการนี้ มีสิ่งปฏิบัติจริงสองสามอย่างที่ควรทำตอนนี้ ประการแรก ติดตามการแจ้งเตือนการละเมิดโดยตรงจาก Beacon หรือองค์กรการกุศลที่คุณเกี่ยวข้องด้วย การแจ้งเตือนที่ถูกต้องจะอธิบายว่าข้อมูลใดบ้างที่เกี่ยวข้องและมีขั้นตอนใดที่คุณต้องดำเนินการหรือไม่ ประการที่สอง ใช้ความระมัดระวังกับอีเมลหรือโทรศัพท์ที่ไม่ได้รับการร้องขอซึ่งอ้างถึงการละเมิดนี้ เนื่องจากผู้โจมตีบางครั้งใช้ข่าวการละเมิดที่เปิดเผยต่อสาธารณะเพื่อทำแคมเปญฟิชชิ่ง targeting ผู้ที่คิดว่าตนเองได้รับผลกระทบ

ควรตรวจสอบว่าที่อยู่อีเมลของคุณปรากฏในฐานข้อมูลการละเมิดที่รู้จักผ่านบริการตรวจสอบการละเมิดที่น่าเชื่อถือ และหมุนเวียนรหัสผ่านสำหรับบัญชีใดๆ ที่ใช้ข้อมูลประจำตัวร่วมกับองค์กรที่ได้รับผลกระทบ หากคุณดูแลด้านไอทีหรือความสัมพันธ์กับผู้ให้บริการสำหรับองค์กรไม่แสวงหาผลกำไร นี่เป็นเวลาที่ดีที่จะถามผู้ให้บริการ CRM หรือ SaaS ของคุณโดยตรงว่าพวกเขาจัดเก็บและหมุนเวียนคีย์การเข้าถึงคลาวด์อย่างไร ข้อมูลประจำตัวถูกฝังในโค้ดฝั่งไคลเอ็นต์หรือไม่ และกรอบเวลาการตอบสนองต่อเหตุการณ์ของพวกเขาเป็นอย่างไร

ประเด็นสำคัญ

การละเมิดข้อมูล Beacon CRM ยังอยู่ในระหว่างการพัฒนา และขอบเขตทั้งหมดขององค์กรและประเภทข้อมูลที่ได้รับผลกระทบยังไม่ได้รับการยืนยันอย่างชัดเจนจากบริษัท ณ เวลาที่เขียนบทความนี้ อย่างไรก็ตาม เหตุการณ์นี้ให้บทเรียนที่เป็นรูปธรรมไม่ว่าตัวเลขสุดท้ายจะเป็นเท่าใด สุขอนามัยของข้อมูลประจำตัวบนคลาวด์ รวมถึงการหมุนเวียนคีย์อย่างสม่ำเสมอ การจำกัดสิทธิ์อย่างเข้มงวด และการตรวจสอบอย่างรอบคอบว่าสิ่งใดถูกเผยแพร่ในชิ้นส่วน build ไม่ใช่ปัญหาทางเทคนิคเฉพาะด้าน แต่เป็นการป้องกันแนวหน้าที่ต่อต้านการเปิดเผยข้อมูลจำนวนมากในลักษณะนี้โดยตรง หากคุณหรือองค์กรของคุณมีความเกี่ยวข้องกับ Beacon CRM ให้ติดตามการสื่อสารอย่างเป็นทางการอย่างใกล้ชิด ยืนยันการแจ้งเตือนการละเมิดผ่านช่องทางที่เชื่อถือได้ และใช้สิ่งนี้เป็นสิ่งกระตุ้นให้ทบทวนแนวปฏิบัติด้านความปลอดภัยของผู้ให้บริการ SaaS ทุกรายที่เกี่ยวข้องกับข้อมูลที่ละเอียดอ่อนของคุณ