การตั้งค่าระบบควบคุมการเข้าถึงอาคารที่ผิดพลาด ทำให้ระบบกว่า 49,000 รายการถูกเปิดเผยบนอินเทอร์เน็ต

 

นักวิจัยพบระบบจัดการการเข้าถึง (Access Management Systems - AMS) ที่ตั้งค่าผิดพลาด และถูกเปิดเผยกว่า 49,000 รายการในหลายอุตสาหกรรม และหลายประเทศ ซึ่งอาจส่งผลกระทบต่อความเป็นส่วนตัว และความปลอดภัยทางกายภาพในภาคส่วนที่สำคัญ

Access Management Systems คือ ระบบความปลอดภัยที่ช่วยควบคุมการเข้าถึงของพนักงานไปยังอาคาร, สิ่งอำนวยความสะดวก และพื้นที่ที่มีการควบคุมการเข้าออก โดยใช้ biometrics, บัตรประจำตัว หรือป้ายทะเบียนรถ

นักวิจัยด้านความปลอดภัยจาก Modat ได้ดำเนินการตรวจสอบอย่างละเอียดในช่วงต้นปี 2025 และพบระบบ AMS ที่ถูกเปิดเผยบนอินเทอร์เน็ตหลายหมื่นรายการซึ่งไม่ได้รับการตั้งค่าให้มีการตรวจสอบการ authentication อย่างปลอดภัย ส่งผลให้ใครก็ตามสามารถเข้าถึงได้

ข้อมูลที่ถูกเผยแพร่มีข้อมูลพนักงานที่ไม่ได้เข้ารหัสซึ่งประกอบไปด้วย

AMS ที่ถูกเปิดเผยมีข้อมูลพนักงานที่สำคัญ และไม่ได้เข้ารหัส เช่น

• ข้อมูลส่วนบุคคล เช่น ชื่อ, ที่อยู่อีเมล, หมายเลขโทรศัพท์
• ข้อมูลทางชีวภาพ เช่น ลายนิ้วมือ และการจดจำใบหน้า
• รูปถ่าย
• ตารางเวลาทำงาน
• บันทึกการเข้าถึง ที่ระบุว่าใครเข้า และออกเมื่อไหร่

ในบางกรณี Modat สามารถแก้ไขข้อมูลพนักงาน, เพิ่มพนักงานปลอม, เปลี่ยนข้อมูล credentials การเข้าถึง หรือปรับแต่งระบบควบคุมการเข้าออกของอาคาร เพื่อป้องกันไม่ให้พนักงานที่ถูกต้องเข้าถึงพื้นที่ หรือเปิดทางให้ผู้ไม่หวังดีสามารถเข้าถึงพื้นที่ได้โดยไม่ได้รับอนุญาต

 

ความเสี่ยงด้านความปลอดภัยทางกายภาพเป็นเรื่องที่น่ากังวลอย่างยิ่ง โดยเฉพาะกับ AMS ที่ถูกเปิดเผยในอาคารรัฐบาล และโครงสร้างพื้นฐานสำคัญ เช่น โรงไฟฟ้า และระบบบำบัดน้ำ

นอกจากความปลอดภัยทางกายภาพแล้ว ข้อมูลที่ถูกเปิดเผยยังอาจถูกนำไปใช้ในการโจมตีแบบ spear-phishing และ social engineering เพื่อหลอกองค์กรที่ได้รับผลกระทบ

 

จากจำนวนอุปกรณ์ AMS ที่ถูกเปิดเผยทั้งหมด 49,000 รายการทั่วโลก ต่อไปนี้คือประเทศที่มีถูกเปิดเผยมากที่สุด

• อิตาลี 16,678 รายการ
• เม็กซิโก 5,940 รายการ
• เวียดนาม 5,035 รายการ
• สหรัฐอเมริกา 1,966 รายการ

 

การแก้ไขปัญหา

นักวิจัยได้ติดต่อเจ้าของระบบทุกรายโดยตรง เพื่อแจ้งให้ทราบเกี่ยวกับการเปิดเผย AMS และความเสี่ยงที่อาจส่งผลต่อองค์กรของพวกเขา อย่างไรก็ตาม พวกเขาให้ข้อมูลกับ BleepingComputer ว่ายังไม่ได้รับการตอบกลับ ทำให้ไม่แน่ชัดว่ามีองค์กรใดดำเนินการแก้ไขระบบแล้วบ้าง

ยังได้มีการติดต่อกับทางผู้ผลิตระบบ และบางรายตอบกลับว่าพวกเขากำลังทำงานร่วมกับลูกค้าที่ได้รับผลกระทบเพื่อแก้ไขปัญหาการเปิดเผยข้อมูลนี้

Modat ได้ให้คำแนะนำด้านความปลอดภัยหลายประการสำหรับผู้ที่ใช้งาน AMS รวมถึงการปิดระบบจากออนไลน์เพื่อป้องกันการเข้าถึงจากระยะไกลโดยไม่ได้รับอนุญาต หรือการวางระบบไว้หลังไฟร์วอลล์ และ VPN เพื่อจำกัดการเข้าถึงเฉพาะบุคลากรที่ได้รับอนุญาต

Modat ยังแนะนำให้เปลี่ยน credentials ค่าเริ่มต้นของผู้ดูแลระบบ เนื่องจากสามารถถูกโจมตีแบบ brute-force ได้ง่าย และควรใช้งานการยืนยันตัวตนหลายขั้นตอน (MFA) หากสามารถทำได้

ผู้ดูแลระบบ AMS ควรอัปเดตซอฟต์แวร์ และเฟิร์มแวร์ให้เป็นเวอร์ชันล่าสุดจากผู้ผลิต และลดการใช้บริการเครือข่ายที่ไม่จำเป็น ซึ่งอาจเพิ่ม Attack Surface ได้

ข้อมูลชีวภาพ และข้อมูลส่วนบุคคล (PII) ควรเก็บรักษาในรูปแบบที่เข้ารหัสเสมอ และข้อมูลของพนักงานที่ลาออกแล้วควรถูกลบออก เพื่อหลีกเลี่ยงการเข้าถึงที่ไม่ได้รับอนุญาตผ่านบัญชีเก่าที่ยังไม่ได้ถูกปิดใช้งานในระบบอื่น ๆ

ที่มา : bleepingcomputer