เกิดอะไรขึ้นในการรั่วไหลของฝ่ายช่วยเหลือของ DfE

กระทรวงศึกษาธิการแห่งสหราชอาณาจักร (DfE) ได้ยืนยันการรั่วไหลของข้อมูลที่ร้ายแรง หลังจากผู้โจมตีใช้การโจมตีทางวิศวกรรมสังคมกับฝ่ายช่วยเหลือที่ติดต่อกับภายนอก เพื่อเข้าถึงระบบภายในโดยไม่ได้รับอนุญาต ผู้โจมตีไม่ได้ใช้ช่องโหว่ซอฟต์แวร์หรือฐานข้อมูลรหัสผ่านที่รั่วไหล แต่กลับใช้วิธีหลอกลวงพนักงานหรือกระบวนการของฝ่ายช่วยเหลือโดยตรง ซึ่งเป็นกลยุทธ์ที่ยังคงได้ผลแม้แต่กับหน่วยงานรัฐที่มีทรัพยากรเพียบพร้อม

กระทรวงศึกษาธิการดูแลข้อมูลละเอียดอ่อนจำนวนมหาศาลที่เชื่อมโยงกับโรงเรียน นักเรียน เจ้าหน้าที่ และครอบครัวทั่วอังกฤษ การรั่วไหลในระดับนี้ทำให้เกิดคำถามในทันทีว่า เหตุการณ์เกิดขึ้นได้อย่างไร ข้อมูลใดบ้างที่ถูกเข้าถึง และจะมีการดำเนินการอย่างไรเพื่อป้องกันการโจมตีในลักษณะเดียวกันในอนาคต แม้ว่ากระทรวงจะเปิดเผยการรั่วไหลแล้ว แต่ขอบเขตทั้งหมดของระบบและประเภทข้อมูลที่ได้รับผลกระทบยังคงอยู่ระหว่างการประเมินและสื่อสารผ่านช่องทางทางการ

เหตุใดวิศวกรรมสังคมจึงเลี่ยงการรักษาความปลอดภัยระดับราชการได้

ฝ่ายช่วยเหลือถูกออกแบบมาเพื่อแก้ปัญหาให้เร็ว นั่นคือเหตุผลที่ทำให้พวกเขากลายเป็นเป้าหมายที่น่าสนใจ พนักงานสนับสนุนถูกฝึกให้ช่วยเหลือ เพื่อรีเซ็ตรหัสผ่าน ปลดล็อกบัญชี และแก้ปัญหาการเข้าถึงภายใต้แรงกดดันด้านเวลา ผู้โจมตีใช้ประโยชน์จากจุดนี้ด้วยการปลอมตัวเป็นพนักงานหรือผู้รับจ้างที่ถูกต้อง ใช้ความมั่นใจและรายละเอียดที่น่าเชื่อถือ เพื่อโน้มน้าวให้เจ้าหน้าที่ฝ่ายช่วยเหลือละเลยขั้นตอนการยืนยันตัวตนตามปกติ

สิ่งนี้แตกต่างอย่างสิ้นเชิงจากการรั่วไหลทางเทคนิคที่เกี่ยวข้องกับมัลแวร์หรือเซิร์ฟเวอร์ที่ไม่ได้อัปเดตแพตช์ ไฟร์วอลล์ การเข้ารหัส และการยืนยันตัวตนหลายปัจจัยล้วนแข็งแกร่งในทางเทคนิค แต่ทั้งหมดก็ยังอาจถูกเลี่ยงได้หากพนักงานเพียงคนเดียวถูกหว่านล้อมให้รีเซ็ตข้อมูลประจำตัวหรือให้สิทธิ์การเข้าถึงแก่ผู้ที่ไม่ได้เป็นอย่างที่กล่าวอ้าง หน่วยงานรัฐมักมีมาตรการป้องกันทางเทคนิคหลายชั้น แต่องค์ประกอบมนุษย์ที่อยู่แนวหน้าของฝ่ายสนับสนุนไอทีก็ยังคงเป็นจุดที่รักษาความปลอดภัยได้ยากที่สุด

เหตุการณ์ที่ DfE สอดคล้องกับรูปแบบที่พบเห็นได้ทั่วไปในภาคการศึกษา ซึ่งองค์กรขนาดใหญ่ที่จัดการข้อมูลส่วนบุคคลที่อ่อนไหวกลายเป็นเป้าหมายบ่อยครั้ง พลวัตที่คล้ายกันเคยปรากฏเมื่อ Instructure จ่ายค่าไถ่ให้กับกลุ่ม ShinyHunters หลังจากผู้โจมตีเจาะข้อมูลที่เชื่อมโยงกับ Canvas หนึ่งในแพลตฟอร์มการเรียนที่ใช้กันแพร่หลาย ทั้งสองกรณีย้ำว่า สถาบันการศึกษา ไม่ว่าจะเป็นหน่วยงานรัฐหรือผู้ให้บริการเทคโนโลยีด้านการศึกษาเอกชน ล้วนเป็นเป้าหมายที่น่าดึงดูด เพราะพวกเขาถือครองข้อมูลส่วนบุคคลปริมาณมาก และมีวุฒิภาวะด้านความปลอดภัยที่แตกต่างกันไปในระบบนิเวศของผู้ให้บริการและการสนับสนุน

ข้อมูลใดบ้างที่เสี่ยงสำหรับนักเรียน เจ้าหน้าที่ และครอบครัว

โดยทั่วไปแล้วกระทรวงศึกษาธิการถือครองบันทึกที่อ่อนไหวหลายประเภท รวมถึงรายละเอียดส่วนบุคคลของนักเรียน ข้อมูลการจ้างงานของเจ้าหน้าที่ ข้อมูลด้านการคุ้มครองเด็ก และบันทึกทางปกครองที่เชื่อมโยงกับโรงเรียนและหน่วยงานท้องถิ่น เมื่อฝ่ายช่วยเหลือถูกโจมตี ความเสี่ยงไม่ได้จำกัดอยู่แค่ฐานข้อมูลเดียว ขึ้นอยู่กับระดับการเข้าถึงที่ผู้โจมตีได้รับ พวกเขาอาจสามารถเข้าถึงระบบภายในหลายระบบ ซึ่งแต่ละระบบอาจมีข้อมูลส่วนบุคคลในประเภทที่แตกต่างกัน

สำหรับครอบครัวและเจ้าหน้าที่โรงเรียน สิ่งนี้สร้างความไม่แน่นอนมากกว่าความเสี่ยงแบบชัดเจนเพียงข้อเดียว จนกว่ากระทรวงจะให้รายละเอียดเพิ่มเติมว่าระบบและบันทึกใดบ้างที่ได้รับผลกระทบ บุคคลที่เชื่อมโยงกับ DfE รวมถึงเจ้าหน้าที่ปัจจุบันและอดีต ผู้รับจ้าง และอาจรวมถึงนักเรียนและผู้ปกครอง ควรมองว่าการรั่วไหลครั้งนี้เป็นสัญญาณให้ทบทวนความปลอดภัยของบัญชีตนเอง และเฝ้าระวังการหลอกลวงที่อาจตามมา ผู้โจมตีที่เจาะระบบองค์กรหนึ่งสำเร็จมักใช้ข้อมูลที่ขโมยมาเพื่อสร้างความพยายามฟิชชิงที่น่าเชื่อถือในที่อื่น ๆ ดังนั้นการเฝ้าระวังควรขยายออกไปนอกเหนือจากระบบของกระทรวงด้วย

บุคคลและองค์กรจะป้องกันการโจมตีรูปแบบฝ่ายช่วยเหลือได้อย่างไร

การป้องกันวิศวกรรมสังคมต้องใช้กรอบความคิดที่แตกต่างจากการป้องกันการโจมตีทางเทคนิค องค์กรสามารถลดความเสี่ยงได้ด้วยการบังคับใช้ระเบียบการยืนยันตัวตนที่เข้มงวดสำหรับคำขอที่ส่งถึงฝ่ายช่วยเหลือ การจำกัดสิ่งที่เจ้าหน้าที่สนับสนุนคนเดียวสามารถเปลี่ยนแปลงได้หากไม่ได้รับอนุมัติขั้นที่สอง และการฝึกอบรมพนักงานให้รู้จักกลยุทธ์กดดันและความพยายามปลอมตัวโดยเฉพาะ การทดสอบวิศวกรรมสังคมจำลองเป็นประจำ เช่นเดียวกับการจำลองฟิชชิง สามารถช่วยระบุจุดอ่อนก่อนที่ผู้โจมตีจริงจะเจอ

สำหรับบุคคล ขั้นตอนที่นำไปปฏิบัติได้ง่ายกว่า มีดังนี้ เปิดใช้การยืนยันตัวตนหลายปัจจัยทุกที่ที่เปิดให้ใช้ เพราะมันเพิ่มอุปสรรคอีกชั้นแม้ว่าการโจมตีแบบฝ่ายช่วยเหลือจะสำเร็จในการรีเซ็ตรหัสผ่านก็ตาม ระมัดระวังสายเรียกเข้าหรือข้อความที่ไม่พึงประสงค์ที่อ้างว่ามาจากฝ่ายสนับสนุนไอที โดยเฉพาะอย่างยิ่งที่สร้างความเร่งด่วน ใช้รหัสผ่านที่แตกต่างกันสำหรับแต่ละบัญชี เพื่อที่ว่าหากเกิดการรั่วไหลในระบบหนึ่งจะไม่ลุกลามไปยังระบบอื่น การเฝ้าสังเกตกิจกรรมบัญชีที่ผิดปกติ และการตื่นตัวต่ออีเมลฟิชชิงที่อ้างอิงถึงการรั่วไหลล่าสุด ก็เป็นนิสัยที่ดีเช่นกัน โดยเฉพาะในช่วงหลายสัปดาห์หลังจากมีเหตุการณ์รั่วไหลที่เป็นข่าว

สิ่งนี้มีความหมายต่อคุณอย่างไร

หากคุณเป็นผู้ปกครอง นักเรียน หรือเจ้าหน้าที่ที่เชื่อมโยงกับระบบการศึกษาของสหราชอาณาจักร การรั่วไหลครั้งนี้เป็นเครื่องเตือนใจว่า ความมั่นคงปลอดภัยของข้อมูลขึ้นอยู่กับคนและกระบวนการพอ ๆ กับเทคโนโลยี คุณไม่สามารถควบคุมได้ว่ากระทรวงของรัฐจะฝึกอบรมพนักงานฝ่ายช่วยเหลือของตนอย่างไร แต่คุณควบคุมวิธีที่คุณตอบสนองได้ คอยติดตามการสื่อสารอย่างเป็นทางการจาก DfE ว่าข้อมูลของคุณเกี่ยวข้องหรือไม่ จงสงสัยการติดต่อที่ไม่ได้คาดคิดซึ่งอ้างอิงถึงบัญชีหรือข้อมูลส่วนตัวของคุณ และเพิ่มความแข็งแกร่งให้การป้องกันบัญชีของคุณเองตอนนี้ แทนที่จะรอให้มีประกาศยืนยัน

ประเด็นสำคัญ

  • การรั่วไหลของ DfE มีต้นกำเนิดจากการโจมตีทางวิศวกรรมสังคมต่อฝ่ายช่วยเหลือ ไม่ใช่ช่องโหว่ซอฟต์แวร์ ซึ่งเน้นย้ำว่ากระบวนการที่เกี่ยวข้องกับคนเป็นชั้นความปลอดภัยที่สำคัญ
  • การรั่วไหลในภาคการศึกษา รวมถึงครั้งนี้และกรณีก่อนหน้าของ การรั่วไหลของ Instructure Canvas ที่เกี่ยวข้องกับ ShinyHunters แสดงให้เห็นว่าผู้โจมตีมุ่งเป้าไปที่สถาบันที่ถือครองข้อมูลส่วนบุคคลปริมาณมากมากขึ้น
  • บุคคลที่เชื่อมโยงกับ DfE ควรติดตามข้อมูลอัปเดตอย่างเป็นทางการ เปิดใช้การยืนยันตัวตนหลายปัจจัย และตื่นตัวต่อความพยายามฟิชชิงที่อาจตามมา
  • องค์กรควรเพิ่มความเข้มงวดให้ระเบียบการยืนยันตัวตนของฝ่ายช่วยเหลือ และฝึกอบรมพนักงานให้ต่อต้านกลยุทธ์บิดเบือนที่ใช้ความเร่งด่วน

ขณะที่มีรายละเอียดเพิ่มเติมเกี่ยวกับการรั่วไหลของข้อมูลของกระทรวงศึกษาธิการปรากฏออกมา การรับข้อมูลข่าวสารผ่านช่องทางทางการที่ตรวจสอบได้ และการปฏิบัติตามนิสัยความปลอดภัยส่วนบุคคลอย่างสม่ำเสมอ ยังคงเป็นวิธีที่น่าเชื่อถือที่สุดในการจำกัดความเสี่ยงที่คุณอาจได้รับจากผลกระทบที่ตามมา