ไอซีที

“เก็บไม่ดี” หรือ “โดนแฮก” เขย่าขวัญลูกค้า “ทรูมูฟ เอช”

เป็นที่กังขารับเทศกาลสงกรานต์ เมื่อปรากฏข้อมูลที่เปิดเผยโดย “Niall Merrigan” นักวิจัยด้านความมั่นคงปลอดภัยทางไซเบอร์ ชาวไอริช ว่า ข้อมูลผู้ใช้บริการ “ทรูมูฟ เอช” ที่เก็บบนคลาวด์ 

AWS : Amazon Web Services ไม่ได้มีมาตรการป้องกันเพียงพอทำให้บุคคลภายนอกเข้าถึงและดาวน์โหลดข้อมูลดังกล่าวได้

จนสำนักงาน “กสทช.” ต้องเรียก “ทรู” มาชี้แจง โดย “ภัคพงศ์ พัฒนมาศ” รองผู้อำนวยการธุรกิจโมบายล์ บมจ.ทรู คอร์ปอเรชั่น ระบุว่า ปัญหานี้เกิดขึ้นกับลูกค้าที่ซื้อเบอร์โพสต์เพด (รายเดือน) พร้อมซื้อเครื่องผ่านเว็บไซต์ iTrueMart (ปัจจุบันคือ WeMall) มีข้อมูลลูกค้าที่ได้รับผลกระทบ 11,400 ราย ไม่เกี่ยวกับข้อมูลลูกค้าทรูมูฟ เอช ที่เก็บไว้ในระบบปิดในบริษัท

“ทรู”ยันโดนแฮกข้อมูล

ขณะที่ “สืบสกล สกลสัตยาทร” กรรมการผู้จัดการ บริษัท แอสเซนต์ คอมเมิร์ซ จำกัด ผู้ให้บริการอีคอมเมิร์ซ WeMall กล่าวว่า เหตุเกิดจากการเก็บข้อมูลของบริษัทบนสตอเรจ S3 ของ AWS ซึ่งเริ่มใช้ตั้งแต่ปี 2558 วิธีสร้างและ policy ทั้งหมดทำให้บุคคลภายนอกไม่สามารถเข้าถึงข้อมูลได้ ดังนั้นคำถามที่สงสัยว่าบริษัทตั้งค่าเป็น public หรือไม่ ต้องบอกว่า การตั้งค่าไม่เกี่ยว แต่มีหลายเรื่องต้องทำเพื่อให้ข้อมูลของลูกค้าปลอดภัย สตอเรจที่ใช้ถ้าไม่ใช่ผู้เชี่ยวชาญก็ไม่สามารถเข้าถึงได้ กระทั่งถึงเมื่อต้นปีเพิ่งมี tool ตัวใหม่ที่ทำให้สแกนและเห็นข้อมูลได้ แต่ก็ไม่สามารถดึงข้อมูลทั้งหมดออกมาได้อยู่ดี

“Niall Merrigan ได้ใช้เครื่องมือพิเศษ ซึ่งในบล็อกเขาก็ระบุไว้ชัดเจนว่า tool นี้เพิ่งเริ่มใช้งานได้เมื่อเดือน ม.ค. tool นี้ทำให้ข้อมูลบน S3 ที่ต้องถูกปกปิด กลับมาเปิดเผยได้ โดยมีเฉพาะไฟล์ที่เป็นสำเนาบัตรประชาชนจำนวน 11,400 ราย ไม่มีข้อมูลอื่นที่ถูกแฮกไป ไม่มีแม้กระทั่งว่าลูกค้าใช้เบอร์มือถืออะไร บริษัททราบเรื่องเมื่อ 11 เม.ย.ที่ผ่านมา และได้ดำเนินการปิดรูโหว่นี้ทันทีภายใน 24 ชั่วโมง”

ทั้งยังได้เชิญผู้เชี่ยวชาญระดับโลกเข้ามาทำงานเพื่อปิดรูโหว่ และเพิ่มความปลอดภัยให้มากขึ้นด้วยการตั้ง policy จำกัดการเข้าถึงได้เฉพาะ VPN และ IP address ที่มาจากระบบในบริษัท รวมถึงตามลิสต์ตามรหัสผู้ใช้ที่กำหนด

“ไซเบอร์ซีเคียวริตี้ในปัจจุบัน ก้าวหน้ารวดเร็วมาก มีเครื่องมือใหม่ ให้แฮกเกอร์ให้ไซเบอร์ซีเคียวริตี้เอเยนซี่ได้ใช้ใหม่ ตลอดเวลา ซึ่ง Niall Merrigan มีเจตนาชัดเจนที่จะแฮกโดยใช้เครื่องมือพิเศษที่เรียกว่า bucket stream และต้องใช้ bucket finder และ retreat ข้อมูลทั้งหมดผ่าน API ซึ่งไม่ใช่ข้อมูลที่เปิดอยู่ในพื้นที่ปกติที่คนทั่วไปจะเข้าถึงได้ แสดงเจตนาชัดเจนว่าเขาไม่มีสิทธิ์จะเข้าถึงข้อมูล แต่พยายามจะเข้าถึง”

เล็งจัดการตาม กม. 

รองผู้อำนวยการธุรกิจโมบายล์ ทรูฯ ย้ำว่า ขณะนี้กำลังพิจารณาอย่างรอบคอบอยู่ว่าจะมีการดำเนินการอย่างไรกับ Niall Merrigan ด้วยการรวบรวมข้อมูลที่มีอยู่ รวมถึงผลกระทบที่เกิดกับลูกค้า ซึ่งหากพบว่ามีประเด็นใด ๆ ที่ส่งผลกระทบกับบริษัท ก็ไม่ลังเลที่จะดำเนินการตามกฎหมาย ทั้งยืนยันว่า เมื่อได้รับแจ้งถึงช่องโหว่ก็มีการตรวจสอบแก้ไขทันทีไม่ได้เพิกเฉยเป็นเดือนอย่างที่มีการระบุถึง “Niall Merrigan แจ้งมาโดยไม่ได้ระบุว่าเป็นส่วนไหน ต้องมาแกะทีละส่วนจนพบว่ามีความเป็นไปได้ว่าจะหลุดจากช่องทางออนไลน์ และพบว่าเป็นช่องของไอทรูมาร์ท เราไม่ได้เพิกเฉย แต่กำลังตรวจสอบและงงกับข้อมูล เพราะไม่ได้เก็บข้อมูลไว้ในคลาวด์เลย”

นักวิจัยยืนยันไม่ได้แฮก

ฟากนักวิจัยด้านความมั่นคงปลอดภัยทางไซเบอร์ “Niall Merrigan” ชี้แจงในบล็อกส่วนตัว https://www.certsandprogs.com/#axzz5D1ByOyGI หลังจากเปิดเผยช่องโหว่ในการเก็บข้อมูลลูกค้าของทรู ยืนยันว่าไม่ได้แฮกเข้าระบบ แต่ไฟล์เก็บไว้โดยไม่มีการรักษาความปลอดภัยของข้อมูล

ทุกคนพบได้ด้วยการค้นหาอย่างละเอียดของ Google ไม่จำเป็นต้องมีเครื่องมืออื่นนอกจากบราวเซอร์ IE, Chrome, Firefox ฯลฯ และเมื่อใช้เครื่องมือที่เรียกว่า s3-ncdu เพื่อสร้างรายการไฟล์ และขนาดไฟล์ทั้งหมดในสตอเรจดังกล่าว พบว่ามี 45,736 ไฟล์ ทั้งในรูปแบบ JPG และ PDF ผสมกัน โดยเขาไม่ได้เปิดดูไฟล์หรือดาวน์โหลดไฟล์เก็บไว้ แต่แจ้งเตือนไปยังทรู เพื่อให้แก้ไขปัญหาก่อนที่จะมีผู้อื่นมาพบ โดยแจ้งผ่านอินบ็อกซ์เฟซบุ๊กทรูมูฟ เอช ตั้งแต่8 มี.ค. 2561