คลังเก็บป้ายกำกับ: DATA_LEAKAGE

ผู้เชี่ยวชาญเตือน Amazon S3 เสี่ยงถูก Ransomware โจมตีในอนาคตอันใกล้นี้

Kevin Beaumont ผู้เชี่ยวชาญด้าน InfoSec ออกมาแจ้งเตือนผู้ใช้ Amazon S3 ซึ่งเป็นบริการ Cloud Storage ของ AWS เสี่ยงถูก Ransomware โจมตีเพื่อเรียกค่าไถ่เหมือนที่ MongoDB หลายหมื่น Databases ถูกโจมตีตลอดปี 2017 เนื่องจากการตั้งค่าไม่มั่นคงปลอดภัย

Credit: Nicescene/ShutterStock

ในปี 2017 ที่ผ่านมานี้ เราได้เห็นข่าวข้อมูลใน Amazon S3 รั่วไหลออกสู่สาธารณะเป็นจำนวนมาก ไม่ว่าจะเป็น NSA, กองทัพสหรัฐฯ, ผู้ให้บริการการทำ Data Analytics และอื่นๆ ซึ่งส่วนใหญ่มีสาเหตุมาจากการตั้งค่าให้ Amazon S3 เป็นแบบ Publicly-readable โดยไม่รู้ตัว อย่างไรก็ตาม พบว่ามีผู้ใช้บริการบางรายเผลอตั้งค่าแย่ยิ่งกว่านั้น คือเป็น Publicly-writable ซึ่งช่วยให้ใครก็ตาม ต่อให้ไม่มีบัญชี AWS ก็สามารถเขียนหรือลบข้อมูลออกจาก Amazon S3 ได้ทันที จากการสำรวจของ Skyhigh Networks ในเดือนกันยายน 2017 พบว่ามี Amazon S3 ถึง 7% ที่ตั้งค่าแบบ Publicly-writable

ด้วยเหตุนี้ทำให้ผู้เชี่ยวชาญหลายรายเชื่อว่า กลุ่มแฮ็กเกอร์ที่อยู้เบื้องหลังจากโจมตีเพื่อเรียกค่าไถ่จาก MongoDB, ElasticSearch, Hadoop, CouchDB, Cassandra และ MySQL servers ในปี 2017 จะเริ่มหันมาพุ่งเป้าที่ Amazon S3 แบบ Publicly-writable ในปี 2018 นี้ อย่างไรก็ตาม เนื่องจาก Amazon S3 เก็บข้อมูลปริมาณมหาศาล การลบข้อมูลทิ้งทั้งหมดแล้วเรียกค่าไถ่แลกกับการนำข้อมูลกลับคืนมาจึงเป็นไปได้ยาก เนื่องจากแฮ็กเกอร์ส่วนใหญ่คงไม่มีระบบ Storage ที่ใหญ่เพียงพอสำหรับสำรองข้อมูลของเหยื่อหลายๆ ราย ส่งผลให้เป็นไปได้สูงที่เหยื่อจะจ่ายค่าไถ่ฟรีๆ

Mike Gualtieri นักวิจัยด้านความมั่นคงปลอดภัยระบุว่า ในเชิงเทคนิคแล้ว การโจมตีเพื่อเรียกค่าไถ่ Amazon S3 เป็นเรื่องที่เป็นไปได้ โดยเขาประสบความสำเร็จในการเขียนสคริปต์ POC เพื่อเข้าถึง Amazon S3 ที่เปิดให้เขียนข้อมูลลงไปได้ โดยสคริปต์จะทำการลิสต์ไฟล์ทั้งหมดใน S3, ดาวน์โหลดไฟล์มาทำแฮชด้วย MD5, จากนั้นลบไฟล์ทิ้ง แล้วอัปโหลดไฟล์แฮชกลับขึ้นไปพร้อมต่อท้ายด้วย .enc เพื่อหลอกผู้ใช้บริการว่าข้อมูลถูกเข้ารหัสเรียบร้อย

นอกจากนี้ยังพบว่ามีนักวิจัยด้านความมั่นคงปลอดภัยบางราย เช่น Robbie Wiggins ได้ทำการสแกน Amazon S3 ที่ตั้งค่าเป็น Publicly-writable พบว่ามีจำนวนมากถึง 5,260 เครื่อง ซึ่ง 50 เครื่องดำเนินการโดย BBC โดยเขาได้ทำการแนบไฟล์ลงไปใน Amazon S3 ที่ค้นพบด้วยข้อความแจ้งเตือนว่า “Anyone can write to this bucket. Please fix this before a bad guy finds it.”

ที่สำคัญคือ Amazon S3 บางส่วนมีการเก็บข้อมูลสำคัญหรือความลับที่พร้อมถูกเรียกค่าไถ่อีกด้วย ไม่ว่าจะเป็นข้อมูลทางการแพทย์ ข้อมูลด้านการทหาร ข้อมูลทรัพย์สินทางปัญญา ข้อมูลสำรอง ไฟล์ Bitcoin Wallet และอื่นๆ ส่งผลให้ต่อให้ Amazon S3 ไม่ได้เป็นแบบ Publicly-writable การที่แฮ็กเกอร์สามารถเข้าถึงข้อมูลเหล่านี้ได้อาจนำไปสู่การ Blackmail เพื่อเรียกค่าไถ่ โดยเฉพาะอย่างยิ่งการมาถึงของ GDPR ในเดือนพฤษภาคมนี้อาจทำให้เหยื่อยอมจ่ายค่าไถ่แทนที่จะเสียค่าปรับหลายสิบล้านยูโร

อย่างไรก็ตาม ทางด้าน AWS เองก็ได้ออกมาแจ้งเตือนผู้ใช้บริการเกี่ยวกับการตั้งค่า Amazon S3 ให้มั่นคงปลอดภัย พร้อมเปิดให้ใช้ AWS Trusted Advisor S3 Bucket Permissions Check Tool พรี สำหรับตรวจสอบว่า Amazon S3 ที่รันอยู่นั้นมีการตั้งค่า Permission อย่างเหมาะสมหรือไม่ หรือจะใช้ S3 Inspector ซึ่งเป็นสคริปต์ Python จาก Kromtech ในการตรวจเช็คก็ได้

ที่มา: https://www.bleepingcomputer.com/news/security/amazon-aws-servers-might-soon-be-held-for-ransom-similar-to-mongodb/

from:https://www.techtalkthai.com/amazon-s3-tends-to-be-ransomed-soon/

Advertisements

FedEx ทำข้อมูลส่วนตัวของลูกค้านับแสนรายทั่วโลกรั่วทาง Amazon S3 ที่ไม่ได้ตั้งค่าอย่างถูกต้อง

เป็นอีกกรณีหนึ่งของการที่ธุรกิจชื่อดังทำข้อมูลของลูกค้าหลุดรั่วผ่านบริการ Cloud Storage เนื่องจากไม่ได้ทำการตั้งค่าของระบบให้ดี

 

Credit: ShutterStock.com

 

นักวิจัยจาก Kromtech Security Center ได้ออกมาเปิดเผยถึงการค้นพบ Amazon S3 Bucket ของ FedEx ที่มีข้อมูลของลูกค้าจำนวนมากถูกเปิดให้เข้าถึงได้จากสาธารณะ โดยข้อมูลเหล่านี้ครอบคลุมถึงเอกสารจากการแสกนจำนวนมากกว่า 119,000 รายการ ทั้งพาสปอร์ต, ใบขับขี่, ข้อมูลการกรอกแบบฟอร์ม ซึ่งมีทั้งข้อมูลชื่อ, ที่อยู่, เบอร์โทรศัพท์ และเลขไปรษณีย์ของลูกค้าจากหลากหลายประเทศทั่วโลก

ข้อมูลดังกล่าวนี้ถูกเก็บอยู่ภายในบริการ Cloud ซึ่งเดิมทีเป็นของบริษัท Bongo International ซึ่งเป็นบริษัทที่ FedEx เข้าซื้อกิจการมาตั้งแต่ปี 2014 ทำให้ธุรกิจใดๆ ก็ตามที่เคยใช้บริการของบริษัทนี้มาก่อนในช่วงปี 2009 – 2012 ก็อาจตกอยู่ในความเสี่ยงเดียวกันได้เช่นกัน

ปัจจุบันทาง FedEx ได้ทำการปิดการเข้าถึงข้อมูลดังกล่าวจากพื้นที่สาธารณะไปที่เรียบร้อย พร้อมยืนยันว่ายังไม่พบหลักฐานว่าข้อมูลเหล่านี้ได้ตกไปอยู่ในมือของผู้ประสงค์ร้ายแต่อย่างใด

อย่างไรก็ดี ที่ผ่านมานั้นมีการโจมตีซึ่งมุ่งเป้าไปที่การเข้าถึงข้อมูลซึ่งเปิดเผยแบบสาธารณะบน AWS S3 กันมากขึ้นเรื่อยๆ ดังนั้นกรณีนี้ก็ถือเป็นสิ่งที่เหล่าผู้ใช้บริการ Cloud ต้องใส่ใจป้องกันให้ดี

 

ที่มา: https://www.infosecurity-magazine.com/news/fedex-s3-bucket-exposes-private/

from:https://www.techtalkthai.com/fedex-data-leaked-via-amazon-s3/

พบช่องโหว่บน Grammarly Plugin เสี่ยงถูกแฮ็กเกอร์ขโมยข้อมูล

Tavis Ormandy จาก Google Project Zero ออกมาแจ้งเตือนถึงช่องโหว่ความรุนแรงระดับสูงบน Plugin สำหรับตรวจสอบไวยากรณ์ภาษาอังกฤษที่ชื่อว่า Grammarly บน Google Chrome และ Firefox ซึ่งช่วยให้แฮ็กเกอร์สามารถขโมยข้อมูลเอกสารได้ ผู้ใช้กว่า 22 ล้านคนต่างได้รับผลกระทบ

Grammarly เป็นโปรแกรมสำหรับช่วยตรวจสอบการใช้คำศัพท์และไวยากรณ์ภาษาอังกฤษยอดนิยม โดยผู้ใช้สามารถติดตั้งเป็น Plugin บนเว็บเบราว์เซอร์สำหรับใช้ตรวจสอบข้อความภาษาอังกฤษที่พิมพ์ลงไปได้ ซึ่งปัจจุบันนี้มีผู้ใช้มากกว่า 22 ล้านคน อย่างไรก็ตาม Ormandy พบว่า เขาสามารถขโมย Authentication Token จากผู้ใช้ที่ติดตั้ง Plugin บน Chrome และ Firefox ได้โดยใช้โค้ด JavaScript เพียงแค่ 4 บรรทัดเท่านั้น นั่นหมายความว่า เมื่อผู้ใช้ Grammarly เข้าถึงเว็บไซต์ที่มีการใช้ JavaScript ดังกล่าว เจ้าของเว็บไซต์สามารถขโมย Authentication Token ของผู้ใช้คนนั้นเพื่อสวมรอยล็อกอินเข้า Grammarly เพื่อดูเอกสารที่ทำการตรวจไวยากรณ์ ข้อมูลในอดีต Log และข้อมูลอื่นๆ ได้ทันที ส่งผลให้ข้อมูลความลับบนเอกสารเหล่านั้นรั่วไหลสู่ภายนอกได้

Ormandy ได้รายงานช่องโหว่นี้ไปยัง Grammarly เมื่อวันศุกร์ที่ผ่านมา ซึ่งทาง Grammarly ได้ดำเนินการอุดช่องโหว่เป็นที่เรียบร้อยเมื่อช่วงเช้าวันจันทร์ ซึ่งถือว่าเป็นการแก้ไขปัญหาที่รวดเร็วมาก สำหรับอัปเดตใหม่นั้น จะถูกใช้บน Plugin ของทั้ง Chrome และ Firefox โดยอัตโนมัติ โดยที่ผู้ใช้ Grammarly ไม่ต้องดำเนินการใดๆ

ทางโฆษกของ Grammarly ออกมาระบุว่า จนถึงตอนนี้ยังไม่มีหลักฐานใดๆ ที่บ่งชี้ว่ามีผู้ใช้ Grammarly ถูกแฮ็กและขโมยข้อมูลจากช่องโหว่ดังกล่าว

ผู้ที่สนใจสามารถอ่านรายงานเชิงเทคนิคและโค้ด PoC ได้ที่: https://bugs.chromium.org/p/project-zero/issues/detail?id=1527&desc=2

ที่มาและเครดิตรูปภาพ: https://thehackernews.com/2018/02/grammar-checking-software.html

from:https://www.techtalkthai.com/grammary-plugin-vulnerability-leads-to-data-stolen/

เจออีกแล้ว !! ตั้งค่า Amazon S3 ไม่มั่นคงปลอดภัย เสี่ยงข้อมูลชาวเมืองสหรัฐฯ หลุดกว่า 123 ล้านราย

UpGuard ผู้ให้บริการโซลูชันด้านความมั่นคงปลอดภัยจากสหรัฐฯ ออกมาแจ้งเตือนถึงกรณีการตั้งค่า Amazon S3 อย่างไม่มั่นคงปลอดภัยอีกครั้ง หลังพบว่าสามารถเข้าถึงข้อมูลประชาชนสหรัฐฯ กว่า 123 ล้านคนของบริษัท Alteryx เพียงแค่ทราบ URL โดยที่ไม่ได้ทำการแฮ็กหรือโจมตีใดๆ

Credit: ShutterStock.com

Alteryx เป็นบริษัทด้าน Data Analytics ของสหรัฐฯ ซึ่งได้เก็บข้อมูลส่วนบุคคลของชาวเมืองไว้บน Amazon S3 เป็นจำนวนมาก จากการตรวจสอบพบว่า ไฟล์ข้อมูลที่สำคัญที่สุดคือฐานข้อมูลพันธมิตรของ Alteryx ได้แก่ รายงานบัตรเครดิตของ Experian และข้อมูลสำมะโนครัวของสำนักงานสถิติแห่งชาติสหรัฐฯ

ข้อมูลของ Experian ถูกเก็บในไฟล์ชื่อ ConsumerView_10_2013.yxdb ซึ่งเก็บข้อมูลครัวเรือนของประชาชนสหรัฐฯ กว่า 123 ล้านคน รวมแล้วทั้งหมด 3,500 ล้านรายการ ไม่ว่าจะเป็นข้อมูลส่วนบุคคล เช่น ที่อยู่ เบอร์ติดต่อ เชื้อชาติ รวมไปถึงข้อมูลสถานะการเงินต่างๆ เช่น ข้อมูลการจำนอง ข้อมูลการเงินในอดีต และข้อมูลพฤติกรรมการบริโภค เป็นต้น ซึ่งคาดว่าข้อมูลเหล่านี้ได้มาจากการใช้บัตรเครดิตนั่นเอง

เคราะห์ดีคือข้อมูลที่หลุดออกมานี้ถือว่าเป็นข้อมูลค่อนข้องเก่า คือเป็นของปี 2013 และไม่มีข้อมูลชื่อนามสกุลของผู้ใช้ อย่างไรก็ตาม จากข้อมูลที่อยู่ และข้อมูลการเงิน ทำให้สามารถสืบไปถึงชื่อของเจ้าของได้ไม่ยาก ส่วนข้อมูลสำมะโนครัวของสำนักงานสถิติแห่งชาติสหรัฐฯ ถูกเผยแพร่บนเว็บไซต์อยู่แล้ว จึงไม่เป็นปัญหาแต่อย่างใด

จนถึงตอนนี้ยังไม่ทราบแน่ชัดว่า นอกจากทีมงานของ UpGuard แล้ว มีคนอื่นดาวน์โหลดข้อมูลดังกล่าวออกไปหรือไม่

ที่มา: https://www.bleepingcomputer.com/news/security/unsecured-amazon-s3-bucket-exposes-details-on-123-million-american-households/

from:https://www.techtalkthai.com/insecure-amazon-s3-leaks-123-million-us-households/

McAfee เผยสถิติความมั่นคงปลอดภัยข้อมูล ชี้ขึ้นโปรเจ็กต์ใหม่ข้อมูลสูญหายมากที่สุด

McAfee ผู้ให้บริการโซลูชันด้านความมั่นคงปลอดภัยแบบบูรณาการ ออกมาเปิดเผยถึงสถิติของการสูญหายของข้อมูล ระบุ การขึ้นโปรเจ็กต์ใหม่ขององค์กรเสี่ยงต่อการที่ข้อมูลความลับรั่วไหลสู่สาธารณะมากที่สุด ในขณะที่หน่วยงานสาธารณสุขและอุตสาหกรรมการผลิตตกเป็นเป้าหมายอันดับหนึ่งของอาชญากรไซเบอร์

จากการสำรวจของ McAfee พบว่า สาเหตุอันดับหนึ่งของการที่ข้อมูลสำคัญรั่วไหลออกสู่สาธารณะมาจากการขึ้นโปรเจ็กต์ใหม่ขององค์กร โดยเฉพาะอย่างยิ่งในหน่วยงานด้านสาธารณสุข ตามมาด้วยการปรับโครงสร้างภายใน และการออกผลิตภัณฑ์ใหม่สู่ตลาด ในขณะที่การเล่น Social Media ของพนักงานในองค์กรกลับก่อให้เกิดการรั่วไหลของข้อมูลน้อยกว่าที่หลายฝ่ายคาดไว้

สำหรับอุตสาหกรรมเป้าหมายหลักที่ตกเป็นเหยื่อของการเจาะระบบเพื่อขโมยข้อมูลของแฮ็กเกอร์มากที่สุด คือ หน่วยงานด้านสาธารณะสุข และอุตสาหกรรมการผลิต เนื่องจากแฮ็กเกอร์ในปัจจุบันมีแนวโน้มที่จะขโมยข้อมูลเกี่ยวกับธนาคารและการเงินน้อยลง แต่เน้นไปที่ข้อมูลสุขภาพและข้อมูลทรัพย์สินทางปัญญามากขึ้น คาดว่าสาเหตุมาจากระบบรักษาความมั่นคงปลอดภัยของอุตสาหกรรมเหล่านี้มีช่องโหว่มากกว่าเมื่อเทียบกับอุตสาหกรรมอื่นๆ

สถิติอื่นทางด้านความมั่นคงปลอดภัยของข้อมูลที่น่าสนใจ ได้แก่

  • จำนวน Incident ที่เกี่ยวข้องกับความมั่นคงปลอดภัยของข้อมูลโดยเฉลี่ยต่อวันของแต่ละอุตสาหกรรมอยู่ที่ 17 – 22 ครั้ง โดยที่ หน่วยงานรัฐ และสถาบันการเงินมีจำนวน Incident มากที่สุด ตามมาด้วยห้างร้าน สาธารณสุข และอุตสาหกรรมการผลิต
  • อุตสาหกรรมส่วนใหญ่เลือกใช้โซลูชัน DLP เพื่อป้องกันข้อมูลสำคัญรั่วไหลสู่ภายนอก ตามมาด้วยการดำเนินการให้สอดคล้องกับกฎระเบียบข้อบังคับ และกฎหมาย
  • 86% ของพนักงานถูกฝึกอบรมให้เข้าใจถึงมูลค่าของข้อมูล
  • มีเพียง 33% ของทีมรักษาความมั่นคงปลอดภัยที่รายงานข้อมูลผลลัพธ์ของการใช้ DLP ต่อฝั่งผู้บริหาร
  • ผุ้ใช้ 1 คนก่อให้เกิด Incident จากพฤติกรรมการใช้อีเมลและข้อมูลสำคัญขององค์กรที่ผิดปกติมากถึง 17 ครั้งต่อวัน
  • 53% ขององค์กรระบุว่า อยากให้มีคนจัดการเรื่อง DLP จำนวนไม่น้อยกว่า 6 คน

รายละเอียดเพิ่มเติม: https://www.mcafee.com/us/resources/misc/infographic-who-let-data-out-vertical.pdf

สอบถามรายละเอียดเกี่ยวกับผลิตภัณฑ์และโซลูชันของ McAfee เพิ่มเติมได้ที่ อินแกรม ไมโคร (ประเทศไทย) อีเมล TH-McAfee@ingrammicro.com ทางเรายินดีให้บริการทุกท่านอย่างเต็มรูปแบบ

from:https://www.techtalkthai.com/mcafee-who-let-the-data-out/

ข้อมูลสอดแนมของกลาโหมสหรัฐหลายสิบ TB รั่วทาง AWS S3 ที่ตั้งค่าเอาไว้ไม่ดี

กรณีข้อมูลรั่วจากการตั้งค่าบริการ Cloud Storage ไว้อย่างไม่ถูกต้องนั้นยังคงมีให้เห็นเรื่อยๆ ในครั้งนี้ข้อมูลของหน่วยงาน US Central Command และ US Pacific Command ที่เป็นหน่วยงานทหารของสหรัฐในแถบตะวันออกกลาง, แอฟริกาเหนือ, เอเชียกลาง, เอเชียใต้, จีน และออสเตรเลียได้ทำข้อมูลที่ใช้ในการสอดแนมบน Social Media หลุดรั่วออกมาทาง AWS S3 เป็นขนาดหลายสิบ Terabyte เลยทีเดียว

Credit: ShutterStock.com

 

Chris Vickery นักวิจัยด้านความมั่นคงปลอดภัยแห่ง UpGuard ได้ค้นพบข้อมูลเหล่านี้จากการสแกนค้นหาคำว่า COM จาก AWS S3 Bucket ที่ถูกเปิดให้เข้าถึงได้จากสาธารณะ และพบกับ Bucket ที่มีชื่อว่า centcom-backup, centcom-archive และ pacom-archive ซึ่งในตอนแรกเขานึกว่าเป็นไฟล์จาก Tencent ยักษ์ใหญ่ทางด้านสื่อจากจีน แต่เมื่อเขาเปิดอ่านไฟล์แล้วก็พบว่าไฟล์เหล่านั้นเป็นของกลาโหมสหรัฐต่างหาก

ข้อมูลที่ถูกบันทึกอยู่ใน Bucket เหล่านั้นคือข้อมูลของโพสต์ต่างๆ บน Social Media ที่ถูกดึงมาโดยอัตโนมัติเป็นเวลาต่อเนื่องกว่า 8 ปีจนถึงปัจจุบัน โดยภายใน Bucket เดียวนั้นก็มีข้อมูลแล้วกว่า 1,800 ล้านรายการ และข้อมูลบางส่วนนั้นก็เป็นข้อมูลความคิดเห็นของประชาชนชาวสหรัฐอเมริกาเองด้วย โดยข้อมูลในฐานข้อมูลเหล่านี้ก็ได้ชี้ว่าข้อมูลที่รวบรวมมานี้เป็นส่วนหนึ่งของการจัดการกับการก่อการร้าย พร้อมกับยังมีไฟล์ Index สำหรับ Apache Lucene เพื่อนำไปใช้ค้นหาต่อใน Elasticsearch ได้อีกด้วย

ปัจจุบันนี้ทาง Chris Vickery ได้แจ้งไปยังหน่วยงานที่เกี่ยวข้องเพื่อให้ทำการแก้ไขเพื่อไม่ให้ข้อมูลเหล่านี้ถูกเปิดเผยต่อสาธารณะแล้ว

ก็เป็นอีกบทเรียนว่าหากจะใช้บริการ Cloud Storage ใดๆ ก็ควรทำการตั้งค่าให้ดีนั่นเอง อย่างเช่น AWS S3 เองนั้นก็มีฟีเจอร์ต่างๆ มากมายเพื่อปกป้องกรณีลักษณะนี้ ดังนั้นการศึกษาเทคโนโลยีที่ตนเองใช้งานให้ดี และใส่ใจกับเรื่องความมั่นคงปลอดภัยของข้อมูลและระบบต่างๆ เพิ่มเติมก็ถือเป็นแนวทางที่ควรนำไปปฏิบัติกัน

 

ที่มา: https://www.theregister.co.uk/2017/11/17/us_military_spying_archive_exposed/

from:https://www.techtalkthai.com/tens-of-tb-us-military-data-was-leaked-via-misconfigured-aws-s3/

นักข่าว BBC พบปัญหาบนบริการ Cloud ทำข้อมูล KPMG และ BBC รั่ว

นักข่าวจาก BBC ได้ค้นพบปัญหาทางด้านความมั่นคงปลอดภัยบนบริการ Cloud อย่าง Huddle ซึ่งทำให้ไฟล์ของผู้ใช้งานจาก KPMG และ BBC หลุดรั่วออกมา และประเด็นนี้ก็มีความน่าสนใจในเชิงเทคนิคอยู่ไม่น้อย

Credit: ShutterStock.com

 

Huddle นั้นเป็นบริการ Office Collaboration สำหรับให้พนักงานภายในองค์กรทำการแลกเปลี่ยนไฟล์และสื่อสารกันได้อย่างมั่นคงปลอดภัย แต่นักข่าว BBC รายนี้ได้ค้นพบปัญหาเมื่อเขาล็อกอินเข้าไปยัง Huddle เพื่อตรวจสอบ Calendar ของเพื่อนร่วมทีม แต่กลับถูก Redirect ไปยัง Account ของผู้ใช้งานรายอื่นซึ่งเป็นพนักงานของ KPMG แทน และสามารถเข้าถึงเอกสารทางด้านการเงินรวมถึงใบ Invoice ของ KPMG ได้

เมื่อเขาแจ้งปัญหานี้ไปยังทีมงานของ Huddle ทีมงานก็ได้อธิบายว่าเมื่อผู้ใช้งานทำการ Sign-in เข้าสู่ระบบ อุปกรณ์ของผู้ใช้งานนั้นจะทำการร้องขอ Authorization Code ซึ่งถ้าหากมีผู้ใช้งาน 2 คนทำการ Sign-in เข้าไปยัง Back-end Server เครื่องเดียวกันบน Cloud ภายในเวลาห่างกันไม่ถึง 20 Millisecond ผู้ใช้งานทั้งสองคนนั้นจะได้รับ Authorization Code เดียวกัน ซึ่งจะทำให้ผู้ใช้งานทั้ง 2 คนทำการยืนยันตัวตนเข้าไปยัง Account ของผู้ใช้งานคนแรก ถึงแม้ว่าผู้ใช้งานคนหลังไม่ควรจะมีสิทธิ์ก็ตาม และในที่นี้ก็ทำให้นักข่าว BBC รายนี้เข้าถึง Account ของพนักงาน KPMG ได้นั่นเอง

Huddle อ้างว่าบั๊กนี้ส่งผลกระทบต่อผู้ใช้งานจำนวนเพียง 6 Session เท่านั้นในช่วงเดือนมีนาคมถึงพฤศจิกายน 2017 ที่ผ่านมาจากจำนวนการ Log-in ทั้งสิ้น 4.96 ล้านครั้ง เรียกได้ว่าโอกาสเกิดขึ้นมีต่ำมาก แต่ Huddle ก็ได้เสริมด้วยว่าก่อนหน้านี้เคยมีผู้ใช้งานจากองค์กรอื่นสามารถ Log-in เข้าไปยัง Account ของ BBC ได้เช่นกัน แต่ไม่มีการเปิดไฟล์หรือเปิดอ่านข้อมูลใดๆ เกิดขึ้น

ล่าสุดทาง Huddle ได้ออกมาประกาศแล้วว่าบั๊กนี้ถูกแก้แล้วเรียบร้อย อย่างไรก็ดี Bill Evan จาก One Identity ที่ทำธุรกิจในสาย IT Security นั้นก็ได้ออกมาให้ความเห็นว่าบั๊กนี้เป็นปัญหาทางด้านความมั่นคงปลอดภัยที่ไม่ควรจะเกิดขึ้นกับบริษัทที่อ้างว่าบริการของตนเองมีความมั่นคงปลอดภัยสูง และลูกค้าของธุรกิจเหล่านี้ก็เป็นองค์กรใหญ่ระดับ KPMG ที่วางใจถึงขั้นนำข้อมูลความลับมาฝากเอาไว้บนบริการนี้เพื่อให้สื่อสารกันได้ง่ายขึ้น แต่เหตุการณ์นี้ก็อาจทำให้เกิดแรงต้านจากฝ่าย IT หรือ Infosec ของ KPMG ได้ ซึ่งเขาเองก็สันนิษฐานอีกว่ากรณีนี้จริงๆ แล้วอาจเป็น Shadow IT ที่เกิดขึ้นใน KPMG ก็เป็นได้เช่นกัน

เป็นบทเรียนว่าบั๊กเล็กๆ ถ้าเกิดกับนักข่าว เรื่องก็อาจไม่เล็กอีกต่อไปนะครับ

 

ที่มา: https://www.infosecurity-magazine.com/news/highly-secure-cloud-tool-huddle/

from:https://www.techtalkthai.com/bbc-journalist-found-security-flaw-on-huddle/