รหัสผ่านผู้ดูแลระบบที่อ่อนแอถูกเชื่อมโยงกับการรั่วไหลของข้อมูลครั้งใหญ่ในเดนมาร์ก ซึ่งเปิดเผยข้อมูลที่เกี่ยวข้องกับหมายเลขประจำตัวประชาชนประมาณ 8.8 ล้านหมายเลข ตามรายงาน อย่างน้อยสามบัญชีที่ Pays ซึ่งเป็นบริษัทไอทีบนเกาะฟูเนิน ใช้รหัสผ่าน "123456" รวมถึงบัญชีผู้ดูแลระบบด้วย เรื่องราวรหัสผ่านในการรั่วไหลของข้อมูล CPR เดนมาร์กนี้เป็นเครื่องเตือนใจอย่างตรงไปตรงมาว่า ความเสี่ยงที่ใหญ่ที่สุดต่อข้อมูลส่วนบุคคลมักมาจากความผิดพลาดที่ง่ายที่สุด
เกิดอะไรขึ้นที่ Pays
การรั่วไหลนี้เกี่ยวข้องกับข้อมูลที่เชื่อมโยงกับหมายเลข CPR ของเดนมาร์ก ซึ่งเป็นหมายเลขประจำตัวประชาชนที่ใช้ทั่วประเทศ การเปิดเผยข้อมูลนี้เชื่อมโยงกับ Pays ซึ่งเป็นบริษัทไอทีที่ตั้งอยู่บนเกาะฟูเนิน และบัญชีต่างๆ ที่นั่นซึ่งรายงานว่าใช้ "123456" เป็นรหัสผ่าน หนึ่งในบัญชีเหล่านั้นมีสิทธิ์ผู้ดูแลระบบ ซึ่งโดยปกติหมายถึงการเข้าถึงที่กว้างกว่าบัญชีผู้ใช้ทั่วไป
รายละเอียดตรงนี้มาจากรายงาน และรหัสผ่านถูกอธิบายว่า "รายงานว่า" ถูกใช้ ข้อกล่าวอ้างแยกต่างหากจากแฮกเกอร์เกี่ยวกับวิธีการเข้าถึงนั้นครอบคลุมอยู่ในบทความก่อนหน้าของเรา แฮกเกอร์อ้างว่า '123456' เปิดทะเบียน 8.8 ล้านรายการของเดนมาร์ก ผู้อ่านที่ต้องการรายละเอียดทั้งหมดเกี่ยวกับข้อกล่าวอ้างนั้นควรเริ่มจากตรงนั้น
สิ่งที่โดดเด่นคือจุดที่ความอ่อนแอตั้งอยู่ ข้อมูลไม่ได้ถูกเปิดเผยเพราะบุคคลทั่วไปใช้รหัสผ่านซ้ำในบัญชีของตนเอง แต่เชื่อมโยงกับผู้ให้บริการไอทีบุคคลที่สาม ซึ่งหมายความว่าประชาชนไม่มีอำนาจควบคุมหรือมองเห็นแนวปฏิบัติด้านความปลอดภัยที่ปกป้องข้อมูลประจำตัวของพวกเขา
ทำไม "123456" ยังคงเปิดประตูได้
มันน่าล่อใจที่จะมองรหัสผ่านอย่าง "123456" เป็นความน่าอับอายครั้งเดียว แต่ในทางปฏิบัติ มันยังคงอยู่เพราะพฤติกรรมขององค์กรและผู้คน ข้อมูลรับรองเริ่มต้นถูกตั้งค่าระหว่างการติดตั้งและไม่เคยเปลี่ยน บัญชีที่ใช้ร่วมกันหรือบัญชีบริการถูกสร้างขึ้นอย่างเร่งรีบ กฎเกี่ยวกับรหัสผ่านไม่ถูกบังคับใช้ หรือบังคับใช้เฉพาะพนักงานทั่วไปแต่ไม่ใช่ผู้ดูแลระบบ
ผู้โจมตีรู้เรื่องนี้ การเดารหัสผ่านที่พบบ่อยที่สุดเป็นหนึ่งในเทคนิคที่ถูกที่สุดที่มีอยู่ และมันเกี่ยวข้องอย่างใกล้ชิดกับ การโจมตีแบบ brute force ซึ่งผู้โจมตีลองชุดค่าผสมอย่างเป็นระบบจนกว่าจะสำเร็จ ด้วยรหัสผ่านที่คาดเดาได้ง่ายอย่าง "123456" ผู้โจมตีไม่จำเป็นต้องใช้พลังการประมวลผลมากนัก รายการรหัสผ่านที่พบบ่อยสั้นๆ ก็เพียงพอแล้ว
บัญชีผู้ดูแลระบบเพิ่มความเสี่ยง บัญชีผู้ดูแลระบบที่ถูกบุกรุกสามารถอนุญาตให้เข้าถึงข้อมูล การตั้งค่า และบัญชีอื่นๆ ดังนั้นข้อมูลรับรองที่อ่อนแอตรงนั้นสามารถมีผลกระทบที่ใหญ่เกินสัดส่วน การควบคุมพื้นฐานที่องค์กรสามารถนำมาใช้ได้แก่:
- บล็อกรหัสผ่านที่พบบ่อยและที่เคยรั่วไหลก่อนหน้านี้ตอนสร้าง
- กำหนดให้ใช้การยืนยันตัวตนหลายปัจจัย โดยเฉพาะกับบัญชีผู้ดูแลระบบ
- จำกัดจำนวนครั้งในการเข้าสู่ระบบและแจ้งเตือนเมื่อมีการเข้าถึงที่ผิดปกติ
- ตรวจสอบและลบบัญชีที่ไม่ได้ใช้หรือใช้ร่วมกัน
การเปิดเผยหมายเลข CPR หมายความว่าอย่างไรต่อการขโมยตัวตน
หมายเลข CPR ไม่เหมือนรหัสผ่าน คุณไม่สามารถรีเซ็ตมันได้ง่ายๆ และสำหรับคนส่วนใหญ่ มันคงเดิมตลอดชีวิต นั่นคือสิ่งที่ทำให้การเปิดเผยข้อมูลที่เชื่อมโยงกับ 8.8 ล้านหมายเลขมีความสำคัญมาก: ตัวระบุไม่สามารถเปลี่ยนได้ง่ายๆ หลังการรั่วไหล
โดยตัวมันเอง หมายเลขประจำตัวประชาชนไม่ใช่กุญแจสู่บัญชีธนาคารของคุณ ความเสี่ยงอยู่ที่การรวมกัน หากผู้โจมตีจับคู่รายละเอียดระบุตัวตนกับข้อมูลอื่น พวกเขาอาจพยายามแอบอ้างตัวตน ทำฟิชชิ่งที่ฟังดูน่าเชื่อถือเพราะใช้รายละเอียดจริง หรือพยายามตอบคำถามสำหรับกู้คืนบัญชี มิจฉาชีพมักอาศัยข้อความที่ดูเหมือนรู้ว่าคุณเป็นใคร
การตอบสนองในทางปฏิบัติคือความระมัดระวังมากกว่าความตื่นตระหนก จงสงสัยต่อสาย โทร อีเมล หรือข้อความที่ไม่คาดคิดซึ่งขอรหัสผ่านหรือข้อมูลลับ แม้ว่าผู้ส่งจะดูเหมือนรู้รายละเอียดส่วนตัว องค์กรที่ถูกต้องตามกฎหมายโดยทั่วไปไม่ขอให้คุณส่งข้อมูลรับรองด้วยวิธีนี้
วิธีปกป้องบัญชีของคุณเอง
คุณไม่สามารถแก้ไขนโยบายรหัสผ่านของผู้ให้บริการได้ แต่คุณสามารถมั่นใจได้ว่าบัญชีของคุณเองจะไม่กลายเป็นจุดอ่อนรายต่อไป เริ่มจากขั้นตอนเหล่านี้:
- ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับทุกบัญชี หากบริการหนึ่งถูกบุกรุก การใช้ซ้ำจะทำให้ผู้โจมตีลองเข้าสู่ระบบเดียวกันที่อื่นได้
- ใช้โปรแกรมจัดการรหัสผ่าน มันสร้างและจัดเก็บรหัสผ่านแบบสุ่มยาวๆ เพื่อให้คุณไม่ต้องจำ
- เปิดใช้การยืนยันตัวตนสองปัจจัย แม้ว่ารหัสผ่านจะถูกเดาหรือรั่วไหล ปัจจัยที่สองสามารถหยุดการเข้าสู่ระบบได้
- ตรวจหารหัสผ่านแบบ "123456" เปลี่ยนรหัสผ่านที่ง่าย สั้น หรือมีรูปแบบใดๆ เริ่มจากอีเมล ธนาคาร และบัญชีที่ทำงาน
- ปฏิบัติต่อคำขอที่ไม่ได้รับเชิญด้วยความสงสัย ตรวจสอบโดยติดต่อองค์กรผ่านช่องทางที่เป็นทางการซึ่งคุณเชื่อถืออยู่แล้ว
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณอาศัยอยู่ในเดนมาร์ก สิ่งสำคัญคือการตื่นตัวต่อความพยายามฟิชชิ่งและการแอบอ้างตัวตนที่ใช้รายละเอียดส่วนตัวเพื่อให้ดูน่าเชื่อถือ เนื่องจากหมายเลข CPR ยากที่จะเปลี่ยนแปลง ความระมัดระวังอย่างต่อเนื่องจึงสำคัญมากกว่าการแก้ไขครั้งเดียว หากคุณอยู่ที่อื่น บทเรียนยังคงใช้ได้: ข้อมูลของคุณปลอดภัยเพียงเท่าบัญชีที่อ่อนแอที่สุดในทุกบริษัทที่ถือมันไว้
สำหรับองค์กร โดยเฉพาะผู้ให้บริการไอทีที่จัดการบันทึกข้อมูลอ่อนไหวให้ผู้อื่น ข้อความยังง่ายกว่านั้นอีก บังคับใช้รหัสผ่านที่แข็งแกร่ง กำหนดให้ใช้การยืนยันตัวตนหลายปัจจัยกับบัญชีผู้ดูแลระบบ และตรวจสอบข้อมูลรับรองอย่างสม่ำเสมอ
สรุป
เรื่องราวรหัสผ่านในการรั่วไหลของข้อมูล CPR เดนมาร์กแสดงให้เห็นว่าข้อมูลรับรองเพียงหนึ่งรายการที่ไม่มีนัยสำคัญที่ผู้ให้บริการบุคคลที่สามสามารถนำข้อมูลประจำตัวของทั้งประเทศไปสู่ความเสี่ยงได้ ใช้เวลาสักไม่กี่นาทีวันนี้เพื่อตรวจสอบการเข้าสู่ระบบของคุณเอง: ทำให้รหัสผ่านแต่ละอันไม่ซ้ำกัน ใช้โปรแกรมจัดการรหัสผ่าน และเปิดใช้การยืนยันตัวตนสองปัจจัย สำหรับบริบทเพิ่มเติม อ่านบทความของเราเกี่ยวกับ ข้อกล่าวอ้างของแฮกเกอร์เกี่ยวกับทะเบียน และรายการอภิธานศัพท์ของเราเกี่ยวกับ การโจมตีแบบ brute force
