สายโทรศัพท์เพียงหนึ่งสาย เปิดเผยข้อมูล 1.6 ล้านรายการ

RingCentral บริษัทที่ขายระบบโทรศัพท์ธุรกิจบนคลาวด์ให้กับองค์กรทั่วโลก ยืนยันว่าข้อมูลลูกค้าถูกเปิดเผยหลังจากผู้โจมตีใช้การโน้มน้าวผ่านการสนทนาเพื่อผ่านแนวป้องกัน กลุ่มข่มขู่เรียกค่าไถ่ ShinyHunters อ้างว่าไม่จำเป็นต้องใช้ช่องโหว่ซอฟต์แวร์ใด ๆ หรือเขียนโค้ดมุ่งร้ายแม้แต่บรรทัดเดียว กลับกัน กลุ่มดังกล่าวกล่าวว่าพวกเขาใช้วิศวกรรมสังคมผ่านเสียง (voice phishing) โน้มน้าวพนักงานเพียงคนเดียว ให้มอบการเข้าถึงระบบภายในที่จำเป็น

ผลลัพธ์คือการเปิดเผยข้อมูลลูกค้าประมาณ 1.6 ล้านรายการ รวมถึงชื่อ ที่อยู่อีเมล ที่อยู่ทางกายภาพ และหมายเลขโทรศัพท์ สำหรับบริษัทที่โมเดลธุรกิจทั้งหมดต้องพึ่งพาการสื่อสารที่ปลอดภัย ความประชดประชันนั้นยากจะมองข้าม: การละเมิดครั้งนี้ไม่ได้มาจากจุดบกพร่องในเทคโนโลยีของ RingCentral แต่มาจากการสนทนา

ทำไม Phone Phishing จึงเลี่ยงแนวป้องกันทางเทคนิคได้

นี่คือบทเรียนหลักจากการละเมิดข้อมูลด้วย vishing ของ RingCentral: ไม่มีไฟร์วอลล์ มาตรฐานการเข้ารหัส หรือระบบตรวจจับการบุกรุกใด ๆ ที่จะหยุดพนักงานจากการถูกโน้มน้าวให้ทำสิ่งที่พวกเขาเชื่อว่าถูกต้องได้ การโจมตีแบบ vishing ทำงานโดยการปลอมตัวเป็นบุคคลที่ได้รับความไว้วางใจ เช่น เจ้าหน้าที่ฝ่ายไอที ผู้บริหาร หรือผู้จำหน่าย และสร้างความรู้สึกเร่งด่วนที่กดดันให้เป้าหมายข้ามขั้นตอนการตรวจสอบตามปกติ

บริษัทต่าง ๆ ลงทุนอย่างหนักในการแพตช์ซอฟต์แวร์ เฝ้าติดตามเครือข่าย และเข้ารหัสข้อมูลทั้งในขณะจัดเก็บและระหว่างส่งผ่าน การลงทุนเหล่านั้นมีความสำคัญ แต่ไม่ได้ช่วยหยุดผู้โจมตีที่เพียงแค่หยิบโทรศัพท์ขึ้นมาแล้วถามคำถามที่เตรียมมาอย่างดีและมั่นใจได้เลย เมื่อพนักงานเพียงคนเดียวให้การเข้าถึง ไม่ว่าจะเป็นการรีเซ็ตรหัสผ่าน อนุมัติคำขอเข้าสู่ระบบ หรือโอนย้ายไฟล์ ผู้โจมตีก็อยู่ภายในแนวป้องกันแล้ว และมาตรการทางเทคนิคส่วนใหญ่ก็ถูกเลี่ยงไปแล้ว

นี่คือเหตุผลที่นักวิจัยด้านความปลอดภัยเริ่มอธิบายว่าวิศวกรรมสังคมเป็นช่องทางหลักของการละเมิดข้อมูล เหนือกว่าการโจมตีแบบดั้งเดิม ไม่จำเป็นต้องหาช่องโหว่ zero-day หรือเขียนมัลแวร์ที่กำหนดเอง แค่ต้องรู้วิธีทำให้ฟังดูน่าเชื่อถือ

รูปแบบของ ShinyHunters เริ่มคุ้นเคย

RingCentral ไม่ใช่กรณีโดดเดี่ยวสำหรับกลุ่มนี้ ShinyHunters สร้างชื่อเสียงจากแคมเปญข่มขู่เรียกค่าไถ่ที่อาศัยการจูงใจคนมากกว่าการเจาะโค้ด ก่อนหน้านี้กลุ่มนี้เคยอ้างความรับผิดชอบต่อการโจมตี Addi.com บริษัทบริการทางการเงินในโคลอมเบีย ซึ่งพวกเขาอ้างว่าขโมยข้อมูลทางการเงินไป 16 ล้านรายการ เมื่อรวมกันแล้ว เหตุการณ์เหล่านี้ชี้ให้เห็นถึงวิธีการที่ทำซ้ำได้: ระบุบริษัทที่มีข้อมูลลูกค้าอันมีค่า เลือกเป้าหมายเป็นพนักงานคนเดียวผ่านการหลอกลวงทางโทรศัพท์ และใช้การเข้าถึงที่ได้มาเพื่อดึงข้อมูลและขู่ว่าจะรั่วไหลข้อมูลจำนวนมาก

ความสม่ำเสมอของวิธีการนี้ในอุตสาหกรรมที่หลากหลาย ตั้งแต่บริการทางการเงินไปจนถึงการสื่อสารทางธุรกิจ แสดงให้เห็นว่า ShinyHunters ไม่ได้พึ่งพาจุดอ่อนทางเทคนิคเฉพาะของโครงสร้างพื้นฐานของบริษัทใดบริษัทหนึ่ง แต่พวกเขาพึ่งพาความจริงที่ว่ามนุษย์ ภายใต้แรงกดดันที่เหมาะสม สามารถถูกโน้มน้าวให้ข้ามขั้นตอนความปลอดภัยที่พวกเขารู้ว่ามีอยู่

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเป็นลูกค้าของ RingCentral ชื่อ ที่อยู่อีเมล ที่อยู่ทางกายภาพ หรือหมายเลขโทรศัพท์ของคุณอาจกำลังหมุนเวียนอยู่ในกลุ่มผู้โจมตีที่เชี่ยวชาญด้านการฉ้อโกงต่อเนื่อง ข้อมูลติดต่อที่ถูกเปิดเผยแบบนี้มักถูกนำไปใช้ในการฟิชชิงแบบเจาะจงเป้าหมาย การพยายาม SIM-swap และแผนการขโมยข้อมูลประจำตัว ผู้อ่านที่ต้องการรายละเอียดเชิงปฏิบัติเกี่ยวกับความเสี่ยงเหล่านี้ รวมถึงการทำงานของ SIM-swap และวิธีปกป้องบัญชีที่เชื่อมโยงกับข้อมูลส่วนตัวที่ถูกเปิดเผย สามารถตรวจสอบบทความเกี่ยวกับ การละเมิดข้อมูล HDFC AMC ซึ่งให้ขั้นตอนการเฝ้าระวังที่คล้ายกัน

หากคุณทำงานในฝ่ายไอที ฝ่ายทรัพยากรบุคคล หรือฝ่ายสนับสนุนลูกค้า การละเมิดข้อมูลด้วย vishing ของ RingCentral เป็นเครื่องเตือนใจว่าขั้นตอนการตรวจสอบต้องได้รับการปฏิบัติอย่างจริงจังเทียบเท่ากับมาตรการทางเทคนิค พนักงานควรได้รับการฝึกอบรมให้ตรวจสอบยืนยันคำขอเข้าถึง รีเซ็ตรหัสผ่าน หรือการเปลี่ยนแปลงบัญชีอย่างอิสระ แม้ว่าผู้โทรจะฟังดูน่าเชื่อถือหรืออ้างความเร่งด่วนก็ตาม การโทรกลับไปยังหมายเลขที่รู้จักและยืนยันแล้ว แทนที่จะเชื่อหมายเลขบน caller ID ยังคงเป็นหนึ่งในวิธีป้องกัน vishing ที่ง่ายและมีประสิทธิภาพที่สุด

ควรสังเกตด้วยว่าการละเมิดที่เกี่ยวข้องกับข้อมูลลูกค้าจำนวนมากบางครั้งนำไปสู่การยอมความแบบกลุ่ม (class action) ในภายหลัง ดังที่เห็นในผลพวงของ การละเมิดข้อมูล Krispy Kreme ลูกค้า RingCentral ที่ได้รับผลกระทบควรเก็บหลักฐานกิจกรรมที่น่าสงสัยใด ๆ ที่เชื่อมโยงกับบัญชีของตน ในกรณีที่มีการเยียวยาในลักษณะเดียวกันเกิดขึ้น

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

เฝ้าติดตามอีเมลและโทรศัพท์ของคุณสำหรับคำขอรีเซ็ตรหัสผ่านที่ไม่คาดคิดหรือความพยายามเข้าสู่ระบบที่ไม่คุ้นเคย โดยเฉพาะอย่างยิ่งหากคุณมีบัญชี RingCentral เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัย (MFA) ทุกที่ที่มีให้ และหลีกเลี่ยงการอนุมัติคำขอเข้าสู่ระบบหรือการยืนยันใด ๆ ที่คุณไม่ได้เริ่มต้นด้วยตนเอง หากคุณได้รับสายที่อ้างว่ามาจากฝ่ายสนับสนุนของ RingCentral ให้วางสายและติดต่อบริษัทโดยตรงผ่านช่องทางอย่างเป็นทางการ แทนที่จะสนทนาต่อ สำหรับองค์กร การละเมิดครั้งนี้เป็นข้อโต้แย้งที่แข็งแกร่งสำหรับการฝึกอบรมวิศวกรรมสังคมอย่างสม่ำเสมอและขั้นตอนการตรวจสอบที่ชัดเจนและบังคับใช้ก่อนที่พนักงานคนใดจะให้การเข้าถึงระบบทางโทรศัพท์ การละเมิดข้อมูลด้วย vishing ของ RingCentral พิสูจน์ว่าสายโทรศัพท์ที่วางแผนมาอย่างดีเพียงหนึ่งสายสามารถสร้างความเสียหายได้มากกว่าการพยายามเจาะระบบทางเทคนิคเป็นเวลาหลายเดือน และแนวป้องกันที่ดีที่สุดคือพนักงานที่รู้จักจดจำและต้านทานแรงกดดันนั้นได้