เหตุการณ์ข้อมูลรั่วไหลจากผู้ให้บริการที่เลวร้ายลงเรื่อยๆ
เมื่อมีข่าวว่าแพลตฟอร์มข่าวกรองตลาด Klue ประสบเหตุข้อมูลรั่วไหล ในตอนแรกเรื่องราวดูเหมือนจะเป็นรูปแบบที่คุ้นเคย: ข้อมูลประจำตัวที่ถูกบุกรุก การเข้าสู่ระบบโดยไม่ได้รับอนุญาต และคลื่นขององค์กรปลายทางที่ต้องเร่งประเมินความเสี่ยงจากการเปิดเผยข้อมูล มีรายงานว่าผู้โจมตีที่เชื่อมโยงกับกลุ่มที่เรียกตัวเองว่า Icarus เข้าถึงสภาพแวดล้อมของ Klue ได้ระหว่างวันที่ 11 ถึง 12 มิถุนายน โดยใช้ข้อมูลประจำตัวเดิมที่ผูกกับบัญชีบริการการเชื่อมต่อระบบ ซึ่งดูเหมือนว่าจะไม่เคยถูกเพิกถอนหลังจากโครงการนำร่องแบบจำกัดสิ้นสุดลง และไม่มีการยืนยันตัวตนแบบหลายปัจจัยมาขัดขวาง
แค่นั้นก็เพียงพอที่จะทำให้เป็นเรื่องราวความปลอดภัยของห่วงโซ่อุปทานที่ค่อนข้างมาตรฐาน แต่เหตุการณ์ข้อมูลรั่วไหลของ Klue กลับพลิกผันอย่างไม่ธรรมดา มีรายงานว่ากลุ่มที่สองได้ข้อมูลที่ถูกขโมยมา และเริ่มขู่กรรโชกองค์กรที่ได้รับผลกระทบเดียวกันอย่างอิสระ โดยบอกเหยื่ออย่างชัดเจนว่าอย่าไว้ใจ Icarus พูดอีกอย่างคือ แฮกเกอร์เองก็ถูกแฮก และข้อมูลลูกค้าที่ถูกขโมยกลายเป็นสินค้าที่แย่งชิงกันในโลกใต้ดินของอาชญากรรม ไม่ใช่แค่เครื่องมือต่อรองระหว่างผู้โจมตีกับเหยื่ออีกต่อไป
เหตุใดสิ่งนี้จึงเปลี่ยนวิธีคิดเกี่ยวกับแรนซัมแวร์
หลายปีที่ผ่านมา องค์กรที่เผชิญกับข้อเรียกร้องค่าไถ่หรือการขู่กรรโชก มักจะชั่งน้ำหนักระหว่างทางเลือกที่คุ้นเคย: จ่ายเงินแล้วหวังว่าผู้โจมตีจะลบข้อมูล หรือปฏิเสธและเสี่ยงต่อการถูกเปิดเผยข้อมูลต่อสาธารณะ เหตุการณ์ Klue ทำให้ตรรกะนั้นซับซ้อนขึ้นอย่างมาก หากข้อมูลที่ถูกขโมยสามารถถูกขายต่อ ถูกขโมยซ้ำ หรือถูกนำไปใช้ใหม่โดยกลุ่มอาชญากรคู่แข่ง หลังจากที่เหยื่อได้จ่ายเงินหรือเจรจาไปแล้ว ข้อสันนิษฐานที่ว่าการจ่ายเงินเพียงครั้งเดียวจะยุติภัยคุกคามก็ใช้ไม่ได้อีกต่อไป
เรื่องนี้สำคัญอย่างยิ่งต่อความเป็นส่วนตัว เพราะผู้คนที่มีข้อมูลอยู่ในระบบเหล่านี้ ไม่ว่าจะเป็นลูกค้า ผู้มุ่งหวัง หรือพนักงานที่ถูกระบุชื่อในข้อมูลการขายหรือข่าวกรอง ไม่มีทางรับรู้ได้เลยว่ามีกี่ฝ่ายที่ครอบครองสำเนาบันทึกของตนอยู่ การแจ้งเตือนการรั่วไหลที่ระบุผู้โจมตีเพียงกลุ่มเดียว ย่อมบอกความเสี่ยงที่แท้จริงได้ต่ำกว่าความเป็นจริง หากมีกลุ่มอื่นที่ไม่เกี่ยวข้องกันกำลังนำข้อมูลชุดเดียวกันไปหาเงินอย่างอิสระ สำหรับผู้ใช้ทั่วไป เหตุการณ์นี้ยิ่งตอกย้ำบทเรียนที่ใช้ได้กับเครื่องมือส่งข้อความและการสื่อสารที่ปลอดภัยด้วย นั่นคือผู้โจมตีหันไปโจมตีจุดอ่อนที่สุดในห่วงโซ่ความไว้วางใจ มากกว่าที่จะโจมตีตัวเทคโนโลยีเอง รูปแบบเดียวกันนี้ปรากฏในรายงานเกี่ยวกับ เหตุใดผู้ใช้ Signal จึงถูกแฮ็ก ไม่ใช่ตัวแอป ซึ่งแพลตฟอร์มพื้นฐานนั้นแข็งแกร่ง แต่ช่องว่างที่เกิดจากมนุษย์และกระบวนการกลับเปิดช่องโหว่
จุดล้มเหลวที่แท้จริง: สุขอนามัยของผู้ให้บริการ ไม่ใช่ความซับซ้อน
สิ่งที่โดดเด่นเกี่ยวกับเหตุการณ์ข้อมูลรั่วไหลของ Klue ก็คือความธรรมดาของการบุกรุกครั้งแรก ไม่มีการใช้ช่องโหว่ซีโร่เดย์ ไม่มีมัลแวร์แปลกใหม่ และไม่มีกลเม็ดระดับรัฐชาติ ตามรายงาน ผู้โจมตีใช้ข้อมูลประจำตัวเดิมที่เชื่อมโยงกับบัญชีการเชื่อมต่อระบบ ซึ่ง Klue ดูเหมือนจะไม่ได้ปิดการใช้งานหลังจากโครงการนำร่องสิ้นสุดลง และบัญชีนั้นไม่ได้รับการปกป้องด้วยการยืนยันตัวตนแบบหลายปัจจัย การผสมผสานระหว่างข้อมูลประจำตัวที่ถูกลืมกับการไม่มี MFA คือหนึ่งในรูปแบบความล้มเหลวที่พบบ่อยที่สุดและป้องกันได้ง่ายที่สุดในการรักษาความปลอดภัยระดับองค์กร
เรื่องนี้สำคัญต่อการสนทนาเรื่องความเป็นส่วนตัว เพราะมันแสดงให้เห็นว่าความเสี่ยงต่อข้อมูลส่วนบุคคลและธุรกิจมักไม่ได้มาจากความซับซ้อนของผู้โจมตี แต่มาจากความหละหลวมด้านการบริหารจัดการตามปกติของผู้ให้บริการบุคคลที่สาม ซึ่งลูกค้าแทบไม่มีช่องทางตรวจสอบโดยตรง องค์กรที่ใช้แพลตฟอร์มของ Klue รวมถึงการเชื่อมต่อกับ Salesforce กลับต้องตกอยู่ในความเสี่ยง ไม่ใช่เพราะสิ่งที่พวกเขาทำ แต่เป็นเพราะวิธีที่ผู้ให้บริการจัดการข้อมูลประจำตัวในการเข้าถึงระบบเบื้องหลัง
สิ่งนี้มีความหมายอย่างไรสำหรับคุณ
หากองค์กรของคุณใช้ผู้ให้บริการบุคคลที่สามที่เชื่อมต่อกับระบบธุรกิจหลัก เช่น Salesforce แพลตฟอร์มทรัพยากรบุคคล หรือฐานข้อมูลลูกค้า เหตุการณ์ข้อมูลรั่วไหลของ Klue คือเครื่องเตือนใจว่าความปลอดภัยของข้อมูลคุณขึ้นอยู่กับแนวปฏิบัติด้านความปลอดภัยที่คุณมองไม่เห็นหรือควบคุมไม่ได้ทั้งหมด ให้ถามผู้ให้บริการโดยตรงว่ามีการตรวจสอบและปิดการใช้งานข้อมูลประจำตัวเดิมหรือจากโครงการนำร่องหรือไม่ และมีการบังคับใช้ MFA ในทุกจุดเชื่อมต่อหรือไม่ ไม่ใช่เฉพาะการเข้าสู่ระบบหลักของผู้ใช้เท่านั้น
สำหรับบุคคลทั่วไปซึ่งข้อมูลอาจอยู่ในระบบของผู้ให้บริการในฐานะลูกค้า ลีด หรือผู้ติดต่อ เป็นเรื่องควรค่าแก่การจดจำว่าการแจ้งเตือนการรั่วไหลอาจระบุเพียงผู้กระทำรายแรกที่ทราบว่าเข้าถึงข้อมูลของคุณได้ ดังที่กรณีของ Klue แสดงให้เห็น บันทึกที่ถูกขโมยอาจแพร่กระจายต่อไปในเครือข่ายอาชญากรรม บางครั้งนำไปสู่ความพยายามขู่กรรโชกรอบสอง ซึ่งไม่เกี่ยวข้องกับการเปิดเผยการรั่วไหลครั้งแรกเลย
ข้อคิดเพื่อลดความเสี่ยงจากบุคคลที่สาม
เหตุการณ์ข้อมูลรั่วไหลของ Klue ตอกย้ำว่าความเสี่ยงทางไซเบอร์จากบุคคลที่สาม ไม่ใช่แค่รายการสมมุติในรายงานการปฏิบัติตามกฎระเบียบ แต่มันคือภัยคุกคามที่มีพลวัตและพัฒนาอยู่ตลอดเวลา ซึ่งข้อมูลที่ถูกขโมยสามารถถูกขาย ถูกขโมยซ้ำ หรือถูกนำไปหาเงินอย่างอิสระอีกนานหลังจากเหตุการณ์ครั้งแรก ธุรกิจควรถือว่าสุขอนามัยของข้อมูลประจำตัวของผู้ให้บริการ รวมถึงการปิดใช้งานบัญชีเชื่อมต่อที่ไม่ได้ใช้อย่างทันท่วงที และการบังคับใช้ MFA แบบครอบคลุม เป็นข้อกำหนดพื้นฐาน ไม่ใช่แค่แนวปฏิบัติที่ดี บุคคลทั่วไปควรตื่นตัวต่อความพยายามขู่กรรโชกหรือฟิชชิงที่ไม่คาดคิด ซึ่งอ้างอิงรายละเอียดส่วนตัว แม้ว่าจะมาจากฝ่ายที่ไม่เกี่ยวข้องกับประกาศการรั่วไหลครั้งแรกก็ตาม เนื่องจากข้อมูลนั้นอาจแพร่กระจายไปไกลเกินกว่าจุดที่ถูกบุกรุกครั้งแรกแล้ว
