เกิดอะไรขึ้น: การเปิดเผยข้อมูลของ Salesforce และ ServiceNow

รายงานสรุปข่าวความปลอดภัยรายสัปดาห์ล่าสุดจาก Help Net Security ชี้ให้เห็นเรื่องราวหนึ่งที่สมควรได้รับความสนใจมากกว่าการกล่าวถึงเพียงผ่านๆ: พอร์ทัลลูกค้าของ Salesforce และ ServiceNow ถูกปล่อยเปิดเผยเป็นเวลาประมาณ 17 เดือน ก่อนที่ปัญหาจะถูกเปิดเผย บทสรุปดังกล่าว ซึ่งยังครอบคลุมถึงช่องโหว่ zero-day ใน Metabase ที่ถูกนำไปใช้โจมตีจริง และการขยายการแจ้งเตือนมัลแวร์ของ Dependabot ใน GitHub ได้รวมประเด็นเหล่านี้ไว้ด้วยกันด้วยเหตุผล ประเด็นแต่ละเรื่องแสดงให้เห็นถึงปัญหาพื้นฐานเดียวกันแต่ในมุมที่แตกต่างกัน: แพลตฟอร์มซอฟต์แวร์ระดับองค์กร ไม่ว่าจะเป็นเครื่องมือวิเคราะห์แบบ self-hosted คลังเก็บโค้ด หรือระบบ CRM บนคลาวด์ ล้วนมีความปลอดภัยเท่ากับการกำหนดค่าและแนวปฏิบัติของผู้ให้บริการที่อยู่เบื้องหลังเท่านั้น

Salesforce และ ServiceNow เป็นสองแพลตฟอร์มที่ใช้กันอย่างแพร่หลายที่สุดสำหรับการจัดการความสัมพันธ์ลูกค้า ใบสั่งงานสนับสนุน และขั้นตอนการทำงานภายในขององค์กรขนาดใหญ่ เมื่อพอร์ทัลที่สร้างบนแพลตฟอร์มเหล่านี้ถูกเปิดเผย ผลกระทบไม่ได้จำกัดอยู่เพียงบริษัทที่ดำเนินการพอร์ทัลนั้นเท่านั้น ขึ้นอยู่กับว่าพอร์ทัลถูกกำหนดค่าอย่างไรและจัดเก็บข้อมูลใดบ้าง การเปิดเผยอาจเข้าถึงชื่อลูกค้า รายละเอียดการติดต่อ ประวัติการสนับสนุน และบันทึกอื่นๆ ที่บุคคลนั้นไม่เคยส่งมอบให้กับบริษัทที่รั่วไหลโดยตรง นี่คือความตึงเครียดหลักในกรณีการเปิดเผยข้อมูลระดับองค์กร: บุคคลที่มีข้อมูลตกอยู่ในความเสี่ยงมักไม่มีบัญชีหรือข้อมูลประจำตัวโดยตรงกับแพลตฟอร์มที่เกี่ยวข้อง พวกเขาถูกเปิดเผยเพียงเพราะธุรกิจที่พวกเขาโต้ตอบด้วยเลือกใช้แพลตฟอร์มนั้นในการจัดเก็บข้อมูล

เหตุใดการค้นพบที่ล่าช้า 17 เดือนจึงมีความสำคัญต่อความเป็นส่วนตัวของผู้บริโภค

รายละเอียดที่โดดเด่นที่สุดในเรื่องนี้ไม่ใช่การเปิดเผยข้อมูล แต่เป็นระยะเวลา สิบเจ็ดเดือนเป็นเวลาที่ยาวนานสำหรับพอร์ทัลที่กำหนดค่าผิดพลาดหรือมีช่องโหว่ที่จะเปิดให้เข้าถึงได้โดยไม่ถูกตรวจพบ ในช่วงเวลานั้น ข้อมูลใดก็ตามที่อยู่ในระบบที่ถูกเปิดเผยอาจถูกดู ขูดข้อมูล หรือคัดลอกโดยผู้ที่พบเห็น และแทบจะเป็นไปไม่ได้ที่องค์กรที่ได้รับผลกระทบจะทราบได้อย่างแน่ชัดว่ามีอะไรถูกเข้าถึงบ้าง เทียบกับสิ่งที่เพียงแค่เข้าถึงได้

ช่องว่างระหว่างการเปิดเผยและการค้นพบนี้เป็นธีมที่เกิดขึ้นซ้ำๆ ในความล้มเหลวด้านความปลอดภัยขององค์กร และมันมีความสำคัญอย่างยิ่งต่อความเป็นส่วนตัวของผู้บริโภค การรั่วไหลที่ถูกค้นพบภายในไม่กี่วันสามารถจัดการได้ค่อนข้างรวดเร็ว: รีเซ็ตข้อมูลประจำตัว เพิกถอนการเข้าถึง แจ้งผู้ได้รับผลกระทบ การรั่วไหลที่ยืดเยื้อนานกว่าหนึ่งปีทำให้ผู้โจมตี ผู้ขูดข้อมูล และนักฉวยโอกาสมีกรอบเวลาที่ยาวนานกว่ามาก และทำให้การตรวจสอบหลักฐานทางนิติเวชทำได้ยากขึ้นมาก ทีมความมั่นคงปลอดภัยมักไม่สามารถระบุได้อย่างมั่นใจว่าข้อมูลถูกเข้าถึงกี่ครั้งหรือโดยใคร มีเพียงแค่รู้ว่าประตูถูกปล่อยเปิดไว้เป็นเวลานาน สำหรับใครก็ตามที่ข้อมูลของพวกเขาผ่านพอร์ทัลเหล่านี้หนึ่งในนั้น ความไม่แน่นอนนั้นคือต้นทุนที่แท้จริง

ความเสี่ยงจากบุคคลที่สามและซัพพลายเชนยังคงปรากฏขึ้นในแพลตฟอร์ม CRM

นี่ไม่ใช่รูปแบบที่เกิดขึ้นเพียงครั้งเดียว การเปิดเผยข้อมูลของแพลตฟอร์ม CRM และระบบสนับสนุนยังคงเกิดขึ้นซ้ำแล้วซ้ำเล่า เพราะองค์กรจำนวนมากส่งข้อมูลลูกค้าที่ละเอียดอ่อนผ่านระบบบุคคลที่สามไม่กี่ระบบชุดเดียวกัน เมื่อมีสิ่งผิดปกติเกิดขึ้นในชั้นนั้น มันแทบจะไม่ส่งผลกระทบต่อบริษัทเพียงแห่งเดียว แต่จะกระจายออกไปยังทุกธุรกิจที่พึ่งพาแพลตฟอร์ม การผสานการทำงาน หรือความสัมพันธ์กับผู้ให้บริการเดียวกัน

ตัวอย่างที่ชัดเจนล่าสุดของพลวัตนี้คือ การรั่วไหลของห่วงโซ่อุปทาน LastPass ผ่าน Klue ซึ่งผู้โจมตีบุกรุกผู้ให้บริการบุคคลที่สามและใช้โทเค็น OAuth ที่ถูกขโมยเพื่อเข้าถึงสภาพแวดล้อม Salesforce ของ LastPass เอง เหตุการณ์นั้นและการเปิดเผยข้อมูล Salesforce/ServiceNow ที่ยาวนาน 17 เดือน ชี้ไปที่ปัญหาเชิงโครงสร้างเดียวกัน: แพลตฟอร์ม CRM ระดับองค์กรตั้งอยู่ที่จุดตัดของการไหลของข้อมูลของหลายบริษัท และจุดอ่อนเพียงจุดเดียว ไม่ว่าจะเป็นการกำหนดค่าผิดพลาด ช่องโหว่ที่ไม่ได้รับการแก้ไข หรือการผสานการทำงานกับผู้ให้บริการที่ถูกบุกรุก ก็สามารถเปิดเผยข้อมูลได้ไกลเกินกว่าองค์กรที่เป็นเจ้าของพอร์ทัล

สิ่งนี้หมายความต่อคุณอย่างไร

หากคุณเคยส่งใบสั่งงานสนับสนุน กรอกแบบฟอร์มติดต่อ หรือโต้ตอบกับฝ่ายบริการลูกค้าของบริษัทที่ใช้ Salesforce, ServiceNow หรือแพลตฟอร์มที่คล้ายกัน ข้อมูลบางส่วนของคุณน่าจะอยู่ในระบบที่คุณไม่เคยเข้าสู่ระบบโดยตรง นั่นหมายความว่าคุณต้องพึ่งพาการเลือกผู้ให้บริการและแนวปฏิบัติด้านความปลอดภัยของบริษัทนั้น ไม่ใช่เพียงแค่นิสัยส่วนตัวของคุณ ในการรักษาความปลอดภัยให้ข้อมูลของคุณ

VPN จะไม่ปกป้องคุณจากการเปิดเผยข้อมูลประเภทนี้ VPN รักษาความปลอดภัยการเชื่อมต่อและกิจกรรมการท่องเว็บของคุณเอง แต่ไม่ได้ช่วยปกป้องข้อมูลที่อยู่บนระบบ CRM ด้านหลังของบริษัท การป้องกันที่สมจริงในกรณีนี้แตกต่างออกไป: คอยติดตามการแจ้งเตือนการรั่วไหลจากบริษัทที่คุณทำธุรกิจด้วย ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับทุกบัญชีเพื่อให้การรั่วไหลในที่หนึ่งไม่สามารถนำไปใช้ที่อื่นได้ และเปิดใช้การยืนยันตัวตนแบบหลายปัจจัย wherever มีให้บริการ นิสัยเหล่านี้จะไม่ป้องกันการรั่วไหลฝั่งองค์กร แต่จะจำกัดสิ่งที่ผู้โจมตีสามารถทำได้กับข้อมูลที่ถูกเปิดเผยอย่างมีนัยสำคัญ

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • ให้ความสำคัญกับการแจ้งเตือนการรั่วไหลจากผู้ให้บริการอย่างจริงจัง แม้ว่าคุณจะจำไม่ได้ว่าสร้างบัญชีกับแพลตฟอร์มที่ได้รับผลกระทบโดยตรงก็ตาม
  • ใช้ตัวจัดการรหัสผ่านเพื่อให้ข้อมูลประจำตัวไม่ซ้ำกันในแต่ละบริการ ซึ่งจะลดรัศมีความเสียหายของการเปิดเผยข้อมูลระดับองค์กรแต่ละครั้ง
  • เปิดใช้การยืนยันตัวตนแบบหลายปัจจัยบนบัญชีที่เชื่อมโยงกับบริษัทที่จัดเก็บข้อมูลส่วนบุคคลหรือข้อมูลทางการเงินของคุณ
  • ทบทวนเป็นระยะๆ ว่าคุณได้แชร์ข้อมูลกับบริษัทและพอร์ทัลใดบ้าง และพิจารณาขอลบข้อมูลเมื่อไม่จำเป็นอีกต่อไป

เรื่องราวเช่นการเปิดเผยข้อมูล Salesforce และ ServiceNow ที่ยาวนาน 17 เดือนนี้เป็นเครื่องเตือนใจว่าการเปิดเผยข้อมูลระดับองค์กรมักมองไม่เห็นสำหรับผู้ที่ได้รับผลกระทบจนกระทั่งผ่านไปนานแล้ว การติดตามข่าวสารว่าอุบัติเหตุเหล่านี้เกิดขึ้นอย่างไร และการกระชับสุขอนามัยบัญชีของคุณเองเพื่อตอบสนอง ยังคงเป็นวิธีที่ปฏิบัติได้จริงที่สุดในการจำกัดความเสียหายเมื่อเหตุการณ์ถัดไปเกิดขึ้น