วาล์ว บริษัทเบื้องหลัง Steam และเกมทรงอิทธิพลที่สุดบางเกมในวงการเกมพีซี ยืนยันการเปิดเผยข้อมูลครั้งใหญ่ปริมาณ 12TB จากไฟล์ภายใน แต่ไม่เหมือนพาดหัวข่าวการรั่วไหลที่มักครองวงการข่าวเกม ครั้งนี้ไม่ได้เกิดจากแฮกเกอร์ที่เจาะทะลุระบบป้องกัน แต่เป็นผลจากเอ็นด์พอยต์สาธารณะที่ปล่อยทิ้งไว้โดยไม่มีการป้องกันเป็นเวลาราวหนึ่งทศวรรษ ค่อย ๆ รั่วไหลบิลด์ภายในและทรัพย์สินการพัฒนาย้อนหลังไปถึงปี 2003 ถึง 2013

สิ่งที่การรั่วไหลของวาล์วเปิดเผยจริง ๆ

ตามรายงาน ข้อมูลที่รั่วไหลรวมถึงบิลด์เกมภายในและทรัพย์สินการพัฒนาที่ครอบคลุมประวัติศาสตร์ของวาล์วถึงสิบปี นี่ไม่ใช่ข้อมูลบัญชีลูกค้าหรือข้อมูลการชำระเงินในความหมายดั้งเดิมของการเปิดเผยการละเมิด แต่เป็นขุมทรัพย์ของวัสดุการพัฒนาภายใน: ไฟล์ประเภทที่แสดงให้เห็นว่าเกมถูกสร้าง ทดสอบ และปรับปรุงซ้ำ ๆ อย่างไรเบื้องหลัง

สำหรับบริษัทที่เก็บกระบวนการพัฒนาเป็นความลับอย่างวาล์ว นี่ยังคงเป็นการเปิดเผยที่สำคัญ บิลด์ภายในสามารถเผยให้เห็นคอนเทนต์ที่ยังไม่ปล่อย ฟีเจอร์ที่ถูกทิ้ง ชิ้นส่วนซอร์สโค้ด และแนวปฏิบัติในการพัฒนาที่ไม่เคยตั้งใจให้สาธารณะได้เห็น ขนาดเพียงอย่างเดียวคือ 12TB ทำให้这是หนึ่งในการเปิดเผยข้อมูลภายในที่ใหญ่ที่สุดที่ถูกรายงานในวงการเกมในความทรงจำล่าสุด

เอ็นด์พอยต์สาธารณะ ไม่ใช่แฮ็ก ต้นเหตุการเปิดเผยยาวนานหนึ่งทศวรรษ

รายละเอียดที่สำคัญที่สุดในเรื่องนี้ไม่ใช่ปริมาณข้อมูล แต่เป็นสาเหตุ Cybernews รายงานว่าการเปิดเผยนี้เกิดจากเอ็นด์พอยต์สาธารณะ ไม่ใช่การบุกรุก แคมเปญฟิชชิ่ง หรือการโจมตีแบบกำหนดเป้าหมาย พูดง่าย ๆ คือ ข้อมูลนี้อาจเข้าถึงได้โดยใครก็ตามที่รู้ว่าจะหาที่ไหน อยู่บนโครงสร้างพื้นฐานที่ควรถูกจำกัดการเข้าถึงแต่ไม่ได้ถูกจำกัด

รายละเอียดนั้นสำคัญเพราะมันเปลี่ยนภาพรวมของเหตุการณ์ทั้งหมด ไม่มีศัตรูที่ซับซ้อนให้กล่าวโทษ ไม่มีกลุ่มแรนซัมแวร์เรียกค่าไถ่ ไม่มีหลักฐานการละเมิดในแบบที่คนส่วนใหญ่จินตนาการ แต่การเปิดเผยนี้ดูเหมือนจะย้อนกลับไปที่ความผิดพลาดในการกำหนดค่าที่ไม่มีใครสังเกตหรือแก้ไขเป็นเวลาหลายปี หน้าต่างเวลาหนึ่งทศวรรษเป็นเวลานานที่ข้อมูลภายในที่ละเอียดอ่อนจะอยู่ในระยะที่ใครก็ตามที่บังเอิญเจอที่อยู่ที่ถูกต้องสามารถเข้าถึงได้

นี่คือสิ่งที่แยกความแตกต่างระหว่างการกำหนดค่าผิดพลาดกับการแฮ็กในรายงานเหตุการณ์ แม้ว่าผลลัพธ์เชิงปฏิบัติต่อข้อมูลที่เกี่ยวข้องจะร้ายแรงพอ ๆ กัน

ทำไมการละเมิดจากการกำหนดค่าผิดพลาดจึงสำคัญเท่ากับการโจมตีที่ซับซ้อน

เป็นเรื่องดึงดูดใจที่จะมองเหตุการณ์การกำหนดค่าผิดพลาดว่าน่ากลัวน้อยกว่าการแฮ็กที่ดังเป็นพาดหัว ไม่มีกลุ่มอาชญากรให้เอ่ยชื่อ ไม่มีจดหมายเรียกค่าไถ่ ไม่มีลิสต์ในดาร์กเว็บให้ชี้ไป แต่กรอบความคิดนั้นมองข้ามความเสี่ยง เอ็นด์พอยต์สาธารณะที่ปล่อยทิ้งไว้เป็นเวลาหลายปีเป็นความล้มเหลวที่ต่อเนื่องมากกว่าการบุกรุกที่ประสบความสำเร็จครั้งเดียว เพราะมันแสดงถึงช่องว่างที่เกิดขึ้นต่อเนื่อง ไม่ใช่เหตุการณ์ครั้งเดียว

รูปแบบนี้ปรากฏในทุกอุตสาหกรรม ไม่ใช่แค่เกม เมื่อเร็ว ๆ นี้ กลุ่มแรนซัมแวร์ที่เรียกตัวเองว่า Unsafe อ้างความรับผิดชอบในการเจาะระบบ Deutsche Bank ซึ่งเป็นเหตุการณ์คนละประเภทที่เกี่ยวข้องกับสถาบันการเงินและอาชญากรที่ใช้ข้อมูลที่ถูกขโมยอย่างแข็งขัน เปรียบเทียบกับสถานการณ์ของวาล์วที่ไม่มีผู้โจมตีต้องทำอะไรเลยนอกจากหาเอนด์พอยต์ที่เปิดเผย เหตุการณ์ทั้งสองกัดกร่อนความไว้วางใจของผู้ใช้ในแพลตฟอร์มที่เก็บข้อมูลละเอียดอ่อน แต่มาจากทิศทางตรงข้าม: หนึ่งมาจากเจตนาร้าย อีกหนึ่งมาจากสุขอนามัยความปลอดภัยขั้นพื้นฐานที่บกพร่อง สำหรับบริษัทที่เก็บรายละเอียดการชำระเงิน ข้อมูลส่วนบุคคล และข้อมูลประจำตัวบัญชี อย่างที่ Steam ทำกับผู้ใช้หลายล้านคน ความล้มเหลวทั้งสองรูปแบบสมควรได้รับการตรวจสอบอย่างเท่าเทียมกัน

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณเป็นผู้ใช้ Steam ข้อสรุปทันทีคือการรั่วไหลครั้งนี้เน้นที่ไฟล์การพัฒนาภายใน ไม่ใช่ข้อมูลประจำตัวบัญชีหรือข้อมูลการชำระเงิน ไม่มีข้อบ่งชี้ในรายงานว่ารหัสผ่านบัญชี Steam ข้อมูลทางการเงิน หรือข้อมูลผู้ใช้ส่วนบุคคลเป็นส่วนหนึ่งของการเปิดเผยครั้งนี้โดยเฉพาะ อย่างไรก็ตาม เหตุการณ์แบบนี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่าแม้แต่บริษัทใหญ่ที่มีทรัพยากรดีก็สามารถปล่อยระบบที่ละเอียดอ่อนไว้โดยไม่มีการป้องกันเป็นเวลานานโดยไม่มีใครสังเกต

สำหรับผู้ใช้ทั่วไป การตอบสนองเชิงปฏิบัติเหมือนกันไม่ว่าใครจะเป็นต้นเหตุของการรั่วไหลครั้งใด รักษาความปลอดภัยบัญชี Steam ของคุณด้วยรหัสผ่านที่แข็งแกร่งและไม่ซ้ำใคร และเปิดการยืนยันตัวตนสองขั้นตอน ระวังความพยายามฟิชชิ่งที่อาจพยายามใช้ประโยชน์จากพาดหัวข่าวการรั่วไหล เพราะมิจฉาชีพมักใช้ข่าวแบบนี้เพื่อปลอมแปลงการสื่อสารอย่างเป็นทางการ และจับตาช่องทางอย่างเป็นทางการของวาล์วสำหรับคำแถลงเพิ่มเติม เพราะบริษัทบางครั้งออกข้อมูลเพิ่มเติมเมื่อการสอบสวนการเปิดเผยแบบนี้ดำเนินต่อไป

ภาพรวมใหญ่

การกำหนดค่าผิดพลาดที่ทำให้ข้อมูลของวาล์วรั่วไหลเป็นเครื่องเตือนใจว่าไม่ใช่ทุกการเปิดเผยข้อมูลต้องมีแฮกเกอร์ บางครั้งความเสี่ยงใหญ่ที่สุดต่อผู้ใช้แพลตฟอร์มไม่ใช่อาชญากรที่พยายามเจาะระบบ แต่เป็นการมองข้ามง่าย ๆ ที่ไม่ได้รับการแก้ไขเป็นเวลาหลายปี เมื่อชีวิตส่วนตัวและการเงินของเราย้ายเข้าสู่แพลตฟอร์มอย่าง Steam มากขึ้น เหตุการณ์แบบนี้และการละเมิด Deutsche Bank ที่แยกต่างหากแสดงให้เห็นว่าความไว้วางใจในระบบเหล่านี้ขึ้นอยู่กับแนวปฏิบัติด้านความปลอดภัยที่สม่ำเสมอ ไม่ใช่แค่การป้องกันผู้โจมตีที่มุ่งมั่น การรับทราบว่าเหตุการณ์เหล่านี้เกิดขึ้นอย่างไร ไม่ใช่แค่ข้อมูลอะไรที่ถูกเปิดเผย เป็นหนึ่งในวิธีที่ดีที่สุดที่ผู้ใช้จะทำให้แพลตฟอร์มรับผิดชอบได้