มีรายงานการรั่วไหลที่กรมความมั่นคงแห่งมาตุภูมิ (Department of Homeland Security) ซึ่งทำให้ชื่อ หมายเลขโทรศัพท์ และที่อยู่อีเมลของพนักงานกว่า 40,000 คนถูกเผยแพร่ออกไป การละเมิดข้อมูลรายละเอียดการติดต่อของพนักงาน DHS ครั้งนี้ ตามรายงานจาก VOZ นับเป็นการรั่วไหลของข้อมูลภาครัฐครั้งที่สามที่กลายเป็นข่าวพาดหัวในรอบเดือนที่ผ่านมา บทความต้นทางมีรายละเอียดทางเทคนิคน้อย ดังนั้นบทความนี้จึงยึดตามสิ่งที่ได้รับการรายงานและอธิบายว่าข้อมูลประเภทนี้มีความสำคัญอย่างไร แม้จะดูเหมือนไม่เป็นอันตรายก็ตาม
สิ่งที่ถูกเปิดเผยในการรั่วไหลของ DHS
จากรายงาน ข้อมูลที่ถูกเปิดเผยครอบคลุมพนักงาน DHS กว่า 40,000 คน และจำกัดอยู่เพียงสามประเภทข้อมูล ได้แก่ ชื่อ หมายเลขโทรศัพท์ และที่อยู่อีเมล รายงานในเอกสารที่เรามีไม่ได้รับรองว่าข้อมูลได้มาอย่างไร ใครอยู่เบื้องหลัง เกิดขึ้นเมื่อใด หรือมีข้อมูลประเภทอื่น เช่น หมายเลขประกันสังคมหรือบันทึกทางการเงินเกี่ยวข้องหรือไม่ เราจะไม่คาดเดารายละเอียดเหล่านั้น
ช่องว่างดังกล่าวควรค่าแก่การสังเกต รายงานเบื้องต้นเกี่ยวกับการละเมิดข้อมูลมักไม่สมบูรณ์ และขอบเขตอาจเปลี่ยนแปลงได้ขณะที่หน่วยงานสอบสวน ควรมองตัวเลขปัจจุบันเป็นพื้นฐานที่ได้รับการรายงาน而非จำนวนสุดท้าย และจับตาดูแถลงการณ์อย่างเป็นทางการจาก DHS
รูปแบบของการรั่วไหลข้อมูลภาครัฐ
เหตุการณ์ของ DHS ไม่ได้เกิดขึ้นโดดเดี่ยว รายงานระบุว่าเป็นกรณีการรั่วไหลของข้อมูลภาครัฐครั้งที่สามที่กลายเป็นข่าวพาดหัวในเดือนเดียว กรณีอื่นๆ ที่เพิ่งเกิดขึ้นสองกรณีซึ่งรายงานบน vpn.social ให้บริบทที่เป็นประโยชน์ ในกรณีหนึ่ง เอฟบีไอกล่าวว่ากำลังจัดการกับการละเมิดข้อมูลที่เกี่ยวข้องกับข้อมูลละเอียดอ่อนของพนักงาน และปฏิญาณว่าจะติดตามผู้ที่เชื่อว่าเป็นผู้รับผิดชอบ ในอีกกรณีหนึ่ง ทางการฝรั่งเศสจับกุมวัยรุ่นอายุ 15 ปีที่ต้องสงสัยแฮ็ก ANTS ซึ่งเป็นหน่วยงานที่จัดการเอกสารระบุตัวตน
กรณีเหล่านี้เกี่ยวข้องกับหน่วยงานและประเทศที่แตกต่างกัน ดังนั้นเราไม่ควรสันนิษฐานว่ามีความเชื่อมโยงกัน สิ่งที่พวกเขามีร่วมกันคือเป้าหมาย: ฐานข้อมูลภาครัฐขนาดใหญ่ที่เต็มไปด้วยข้อมูลส่วนบุคคลของพนักงานหรือพลเมือง หน่วยงานภาครัฐถือครองข้อมูลที่มีค่าสำหรับอาชญากร และในบางกรณีก็มีค่าสำหรับผู้กระทำที่เป็นปรปักษ์ ซึ่งทำให้พวกเขาเป็นเป้าหมายอย่างต่อเนื่อง
ทำไมรายละเอียดการติดต่อจึงเป็นเชื้อเพลิงให้ฟิชชิงและวิศวกรรมสังคม
เป็นเรื่อง tempting ที่จะมองข้ามการรั่วไหลของชื่อ หมายเลขโทรศัพท์ และอีเมลว่าเป็นเรื่องเล็กน้อย ไม่มีรหัสผ่านหรือข้อมูลทางการเงิน แล้วอะไรคืออันตราย? คำตอบคือข้อมูลการติดต่อเป็นวัตถุดิบสำหรับการโจมตีแบบเจาะจง
ด้วยชื่อที่ตรวจสอบได้ ที่อยู่อีเมลที่ทำงาน และหมายเลขโทรศัพท์ที่เชื่อมโยงกับนายจ้างที่รู้จัก ผู้โจมตีสามารถ:
- สร้างอีเมลฟิชชิงที่ convincing ซึ่งเรียกชื่อบุคคลและอ้างถึงหน่วยงานของพวกเขา
- ดำเนินการโทรฟิชชิงทางเสียง (vishing) โดยแอบอ้างเป็นฝ่ายไอที เพื่อนร่วมงาน หรือผู้ขาย
- ส่งข้อความ SMS ล่อเหยื่อ ที่นำผู้รับไปยังหน้าเข้าสู่ระบบปลอม
- แอบอ้างเป็นคนใน เพื่อดึงข้อมูลจากเพื่อนร่วมงานที่ไว้วางใจชื่อที่ฟังดูคุ้นเคย
สำหรับพนักงานของหน่วยงานที่เน้นความปลอดภัย ความเสี่ยงคือผู้โจมตีรู้แน่ชัดว่าใครทำงานที่นั่นและจะติดต่อพวกเขาได้อย่างไร แม้ข้อความที่ประสบความสำเร็จเพียงเล็กน้อยก็สามารถให้ผู้โจมตีมีที่ยืนได้ ความเสี่ยงไม่ได้จำกัดอยู่เพียงพนักงานเหล่านั้นเท่านั้น สมาชิกในครอบครัว ผู้รับเหมา และใครก็ตามที่สื่อสารกับเจ้าหน้าที่ DHS อาจได้รับข้อความที่ดูเหมือนมาจากแหล่งที่เชื่อถือได้
การรั่วไหลเฉพาะข้อมูลการติดต่อมักถูกนำกลับมาใช้ซ้ำ รายชื่ออีเมลและหมายเลขโทรศัพท์ที่ตรวจสอบแล้วสามารถนำไปรวมกับข้อมูลจากเหตุการณ์อื่นๆ ได้ บทความของเราเกี่ยวกับ การเปิดเผยข้อมูลของ LimeLeads ที่มีผู้ติดต่อทางธุรกิจ 49.4 ล้านราย แสดงให้เห็นว่าฐานข้อมูลการติดต่อสามารถหมุนเวียนและถูกนำไปใช้ได้นานหลังเหตุการณ์เดิม
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
คุณอาจไม่ได้ทำงานให้ DHS แต่บทเรียนนี้ใช้ได้กับทุกคน พวกเราส่วนใหญ่มีชื่อ อีเมล และหมายเลขโทรศัพท์อยู่ในฐานข้อมูลหลายแห่ง: นายจ้าง ผู้ค้าปลีก นายหน้าข้อมูล และหน่วยงานภาครัฐ เมื่อหนึ่งในนั้นถูกละเมิดข้อมูล สูตรฟิชชิงเดียวกันก็ถูกนำมาใช้กับคนธรรมดา
หากคุณเป็นพนักงาน DHS หรือทำงานร่วมกับพวกเขา ให้คาดว่าจะมีข้อความที่ไม่พึงประสงค์มากกว่าปกติ และปฏิบัติต่อคำขอที่ไม่คาดคิดด้วยความสงสัย แม้ว่าจะใช้ชื่อของคุณหรือกล่าวถึงสถานที่ทำงานของคุณ หากคุณไม่ใช่ ให้ใช้สิ่งนี้เป็นเครื่องเตือนใจให้ตรวจสอบว่าข้อมูลการติดต่อของคุณเองเปิดเผยต่อสาธารณะมากน้อยเพียงใดและใครสามารถเข้าถึงคุณได้
วิธีลดการเปิดเผยข้อมูลส่วนบุคคลของคุณเอง
คุณไม่สามารถควบคุมได้ว่าองค์กรจะถูกละเมิดข้อมูลหรือไม่ แต่คุณสามารถจำกัดความเสียหายได้ ขั้นตอนปฏิบัติได้แก่:
- ใช้นามแฝงอีเมลที่ไม่ซ้ำกัน สำหรับบริการต่างๆ เพื่อให้การรั่วไหลในที่หนึ่งไม่เชื่อมโยงกับทุกสิ่งอื่น
- เก็บหมายเลขโทรศัพท์แยกต่างหาก สำหรับการสมัครและรายการสาธารณะ แทนที่จะใช้หมายเลขมือถือหลักของคุณ
- เปิดใช้การยืนยันตัวตนหลายปัจจัย โดยเฉพาะอย่างยิ่งด้วยแอปยืนยันตัวตนหรือฮาร์ดแวร์คีย์แทน SMS
- ตรวจสอบก่อนที่จะเชื่อ หากการโทร ข้อความ หรืออีเมลขอข้อมูลรับรองหรือการดำเนินการเร่งด่วน ให้ติดต่อองค์กรผ่านช่องทางที่คุณรู้อยู่แล้วว่าเป็นของจริง
- อย่าคลิกลิงก์ในข้อความที่ไม่คาดคิด ให้นำทางไปยังเว็บไซต์โดยตรงแทน
- ตรวจสอบเครื่องมือแจ้งเตือนการละเมิดข้อมูล เพื่อดูว่าที่อยู่อีเมลใดของคุณปรากฏในการรั่วไหลที่รู้จัก และเปลี่ยนรหัสผ่านตามนั้น
- ขอให้ลบข้อมูลของคุณออกจากเว็บไซต์นายหน้าข้อมูล ที่ระบุรายละเอียดของคุณ
จุดประสงค์ไม่ใช่การกำจัดการเปิดเผยซึ่งไม่สมจริง แต่เพื่อทำให้รายละเอียดที่รั่วไหลแต่ละอย่างมีประโยชน์ต่อผู้โจมตีน้อยลง
บทสรุป
การละเมิดข้อมูลของ DHS ที่รายงานเกี่ยวกับรายละเอียดการติดต่อของพนักงานอาจดูเล็กน้อยเมื่อเทียบกับการรั่วไหลที่รวมรหัสผ่านหรือบันทึกทางการเงิน แต่ข้อมูลการติดต่อเป็นสิ่งที่ทำให้ฟิชชิงและวิศวกรรมสังคมได้ผลอย่างแม่นยำ ด้วยการรั่วไหลของภาครัฐสามครั้งที่รายงานในหนึ่งเดือน ตอนนี้เป็นเวลาที่เหมาะสมในการตรวจสอบว่าข้อมูลการติดต่อของคุณเองเปิดเผยที่ใดและกระชับพฤติกรรมของคุณ สำหรับบริบทที่กว้างขึ้นเกี่ยวกับรูปแบบนี้ โปรดอ่านบทความของเราเกี่ยวกับ การละเมิดข้อมูลพนักงานเอฟบีไอ และ การแฮ็กบันทึกระบุตัวตนของ ANTS จากนั้นใช้เวลาสักครู่เพื่อล็อกบัญชีของคุณเอง
