Blur Password Manager ทำข้อมูลรั่วคาดกระทบผู้ใช้กว่า 2.4 ล้านราย

Abine เจ้าของผลิตภัณฑ์ Blur Password Manager และ DeleteMe (บริการปกป้องความเป็นส่วนตัวออนไลน์) ได้ออกแถลงการณ์ว่าบริษัทได้ทำข้อมูลผู้ใช้ที่ลงทะเบียนเข้าใช้งานก่อนมกราคมปี 2016 รั่วไหลผ่านทาง Amazon S3 ที่ตั้งค่าได้ไม่ดีเพียงพอทำให้อาจกระทบข้อมูลผู้ใช้งานกว่า 2.4 ล้านคน

บริการจาก Blur ได้ทำการรักษาความเป็นส่วนตัวของผู้ใช้งานด้วยการอาสา Mask ข้อมูลสำคัญไม่ให้มองเห็น เช่น เลขโทรศัพท์ เลขบัตรเครดิต อีเมล ดังนั้นผู้ใช้งานจึงไม่จำเป็นต้องส่งข้อมูลละเอียดอ่อนออกไปบนออนไลน์ รวมถึงมีบริการ Password Manager ด้วย ซึ่งเมื่อวันที่ 13 ธันวาคมที่ผ่านมามีนักวิจัยด้านความมั่นคงปลอดภัยได้แจ้ง Abine ว่าเซิร์ฟเวอร์ S3 ที่ใช้อยู่ตั้งค่าอย่างผิดพลาด ทางบริษัทจึงรีบแก้ไขและติดต่อผู้เกี่ยวข้อง อย่างไรก็ตามไฟล์ที่เปิดเผยออกไปนั้นมีข้อมูลดังนี้

• อีเมลผู้ใช้งาน
• ชื่อและนามสกุลของผู้ใช้
• Hint ของรหัสผ่านจากผลิตภัณฑ์ MaskMe ตัวเก่า
• 2 IP ล่าสุดที่ล็อกอินเข้าใช้งานบริการ
• รหัสผ่านที่ถูกเข้ารหัสและ Hash เอาไว้ซึ่งทางบริษัทยังได้ทำ Bcrypt ด้วย Salt ที่ต่างกันในแต่ละผู้ใช้ไว้ด้วย

โดย Abine ระบุว่า “ไม่มีหลักฐานว่าข้อมูล เช่น ชื่อผู้ใช้และรหัสผ่านที่เก็บอยู่บน Blur Password Manager, ข้อมูล Auto-fill รายละเอียดของบัตรเครดิต, อีเมล เบอร์โทรศัพท์ เลขบัตรเครดิตที่ถูกปิดเอาไว้ รวมถึงข้อมูลการจ่ายเงิน จะรั่วไหลออกไป” เช่นเดียวกันกับข้อมูลจากบริการของ DeleteMe ก็ไม่มีผลกระทบเช่นกัน แต่ทาง Abine ก็ได้เตือนผู้ใช้ให้เปิด Two-factor Authen ในบัญชีไว้ก่อนและเปลี่ยนรหัสของ Blur ไปจนถึงบริการอื่นที่มีการใช้รหัสผ่านเดียวกันด้วย