LastPass ได้ออกมาเปิดเผย การถูกโจมตีและขโมยข้อมูลของลูกค้าอีกครั้ง นับเป็นการโจมตีครั้งที่ 2 แล้วในปีนี้ ซึ่งครั้งแรก เกิดขึ้นเมื่อเดือนสิงหาคม โดย Hackers สามารถซ่อนตัวในระบบถึง 4 วันก่อนที่จะถูกค้นพบ และได้ขโมยข้อมูลทางเทคนิค รวมถึงซอร์สโค้ดจากระบบของ LastPass ไปได้

LastPass คือ ซอฟต์แวร์การจัดการรหัสผ่าน ที่มีผู้ใช้มากกว่า 33 ล้านคนและธุรกิจ 100,000 แห่งทั่วโลก

ซึ่งในครั้งนี้ การโจมตีเกิดขึ้นที่แหล่งเก็บข้อมูลบน Cloud ที่ LastPass ใช้บริการอยู่ โดย Hackers ได้ใช้ “Key ที่สามารถเข้าถึงที่เก็บข้อมูลบนคลาวด์ และ Key ถอดรหัสคอนเทนเนอร์” ที่ขโมยมาจากการโจมตีในรอบที่แล้ว

Karim Toubba ซีอีโอของบริษัท LastPass เปิดเผยว่า ข้อมูลของลูกค้าที่ถูก Hackers ขโมยไปนั้นประกอบไปด้วย ข้อมูลบัญชีลูกค้าพื้นฐานและข้อมูลที่เกี่ยวข้อง รวมถึงชื่อบริษัท ชื่อผู้ใช้ปลายทาง ที่อยู่สำหรับการเรียกเก็บเงิน ที่อยู่อีเมล หมายเลขโทรศัพท์ และ IP addresses ที่เข้าถึงบริการ LastPass

อีกทั้ง Hackers ยังได้ทำการคัดลอกข้อมูลสำรองของลูกค้าที่อยู่ใน contains ที่มีการเข้ารหัสไว้ เช่น ชื่อผู้ใช้และรหัสผ่าน บันทึกที่ปลอดภัย ไฟล์แนบ และข้อมูลแบบฟอร์ม รวมไปถึงข้อมูลที่ไม่ได้เข้ารหัส เช่น URL ของเว็บไซต์

Karim Toubba ย้ำว่าในส่วนของข้อมูลสำรองของลูกค้าที่อยู่ใน contains ที่มีการเข้ารหัสไว้ ยังคงปลอดภัยเนื่องจากข้อมูลที่เข้ารหัสนั้น เข้ารหัสด้วยมาตรฐาน AES 256 bit สามารถถอดรหัสได้ด้วยคีย์เข้ารหัสเฉพาะที่ได้รับจากรหัสผ่านหลักของผู้ใช้แต่ละคนเท่านั้น รวมถึงทาง LastPass จะส่งคำเตือนไปยังลูกค้าที่ถูกขโมยข้อมูล เพื่อป้องกันการถูกหลอกให้เปิดเผยรหัสผ่าน

วิธีการป้องกัน

ปฎิบัติตามคู่มือ password best practices recommended by LastPass
หากใช้ LastPass แนะนำเปลี่ยน Password รวมไปถึงเฝ้าระวังการติดต่อขอข้อมูลที่เกี่ยวข้อง

ที่มา : bleepingcomputer

ปัจจุบันแอปพลิเคชันรับรองการฉีดวัคซีนโควิดถูกนำมาใช้ในการเดินทางเข้าออกประเทศต่าง ๆ อย่างแพร่หลาย แต่จากการตรวจสอบพบว่า แอปพลิเคชันเหล่านี้ กว่า 2 ใน 3 มีความเสี่ยงสูงที่ข้อมูลส่วนตัวของผู้ใช้งานจะรั่วไหล เนื่องจากแอปฯเหล่านี้มีผู้ใช้งานทั่วโลก เป็นจุดอ่อนให้แฮกเกอร์สามารถเข้าถึงได้ง่าย

พาสปอร์ตแบบดิจิทัล (Digital passports)

แอปพลิเคชันพาสปอร์ตแบบดิจิทัล (Digital passport apps) มักจะมีข้อมูลส่วนตัวของผู้ใช้ เช่น สถานะการฉีดวัคซีน, ชื่อ นามสกุล, เลขบัตรประชาชน, วันเดือนปีเกิด, และข้อมูลส่วนบุคคลอื่นที่สามารถระบุตัวตนของบุคคลได้ (personally identifiable information (PII)) โดยข้อมูลดังกล่าวอาจอยู่ในรูปแบบ QR code หรืออาจแสดงเป็นข้อความที่สามารถพบเห็นได้ทันทีเมื่อเข้าแอปฯ ผู้ใช้สามารถนำ QR code หรือหลักฐานรับรองการฉีดวัคซีนในแอปมายืนยัน เมื่อต้องการเข้าพื้นที่ต่างๆ ไม่ว่าจะเป็นพื้นที่ปกติ หรือพื้นที่เสี่ยง และโดยส่วนใหญ่แล้วหน่วยงานของรัฐที่ทำงานด้านสาธารณสุขหรือด้านเทคโนโลยีมักจะเป็นผู้อนุญาตให้มีการพัฒนาแอปฯเหล่านี้ขึ้น ทีมงานของ Symantec ได้ทำการตรวจสอบแอปฯเหล่านี้กว่า 40 แอปฯ และทีมงานได้ทำการตรวจสอบแอปพลิเคชัน validation (scanner) ที่ใช้สำหรับตรวจสอบความถูกต้องของข้อมูลอีก 10 แอปฯ พบว่า 27 แอปฯมีความเสี่ยงด้านความปลอดภัย และความเป็นส่วนตัว ดังนี้

ความเสี่ยงแรกที่ทีมงานตรวจพบก็คือ แอปฯเหล่านี้มักจะสร้าง QR code ที่ไม่ผ่านการเข้ารหัส encryption มีการเข้ารหัส encoding เพียงเล็กน้อยเท่านั้น Encoding คือ การเปลี่ยนรูปแบบของข้อมูล ซึ่งในกรณีนี้คือ ข้อมูลสุขภาพของผู้ใช้งานให้อยู่ในรูปแบบที่ง่ายต่อการสแกน และนำไปใช้ต่อ ในขณะที่ Encryption คือ การเปลี่ยนข้อมูลโดยใช้ cryptographic algorithms ทำให้ข้อมูลไม่สามารถถูกอ่านหรือเข้าถึงง่าย ซึ่งจะมีหน่วยงานเพียงไม่กี่หน่วยงานที่สามารถถอดรหัส และเข้าถึงข้อมูลนั้นได้ การใช้ Encoding เพียงอย่างเดียว ทำให้ใครก็ตามที่สามารถสแกน QR code ได้ สามารถเข้าถึงข้อมูลได้ นอกจากนี้ อีกปัญหาที่ทีมงานตรวจสอบพบก็คือ 38% ของแอปฯมีการส่งผ่านข้อมูลทั้งหมดผ่าน cloud-storage โดยไม่มีการเชื่อม HTTPS ทำให้ข้อมูลเสี่ยงที่จะถูก “man-in-the-middle” ได้
ปัญหาที่สามคือการจัดเก็บข้อมูลในฐานข้อมูลภายนอกของ Android ซึ่งมีความเสี่ยงสูง เพราะจะทำให้แอปฯสามารถเข้าถึงข้อมูลต่างๆภายในโทรศัพท์ได้ทันที โดยพบ 17 แอปฯ จาก 40 แอปฯ ที่มีปัญหานี้ (คิดเป็น 43%)
จุดอ่อนอื่นๆที่พบเช่น hard-coded cloud service credentials และ SSL CA validation ก็ทำให้เกิดความเสี่ยงเช่นเดียวกัน

การลดความเสี่ยง
หากท่านมีความจำเป็นที่จะต้องใช้งานแอปพลิเคชันเหล่านี้ แนะนำให้หลีกเลี่ยงการใช้แอปจาก third-party ที่ขาดความน่าเชื่อถือ เลือกใช้งานแอปฯจากบริษัทที่มีความน่าเชื่อถือสูง เช่น Apple Health และ Google Wallet นอกจากนี้ขณะติดตั้ง ให้ท่านอ่านเงื่อนไขต่างๆที่แอปฯต้องการ และเลือกไม่อนุญาตให้แอปเข้าถึงข้อมูลที่ไม่เกี่ยวข้องกับการทำงานหลักของแอปฯ หากแอปฯดังกล่าวถูกออกแบบมาเพื่อรับรองการฉีดวัคซีนโควิดเพียงอย่างเดียวจริงๆ จะต้องสามารถทำงานได้ แม้จะไม่ได้รับอนุญาตให้เข้าถึงข้อมูลบางส่วนก็ตามที่อาจทำให้เกิดความเสี่ยงได้

ที่มา : bleepingcomputer