Equifax ได้รับการแจ้งเตือนถึงช่องโหว่ 6 เดือนก่อนถูกแฮ็ก

ก่อนเกิดเหตุข้อมูลรั่วไหลถึง 6 เดือน Equifax ได้รับคำเตือนถึงช่องโหว่จากนักวิจัยด้านความมั่นคงปลอดภัย ทำให้หลายฝ่ายเกิดคำถามถึงมาตรฐานการรักษาความมั่นคงปลอดภัยของ Equifax ถึงการเกิดเหตุการณ์ครั้งนี้

ถ้าเหตุการณ์ Equifax ทำข้อมูลรั่วไหลซึ่งส่งผลกระทบต่อชาวอเมริกันกว่า 143 ล้านคนเพราะเป็นการโจมตีที่ไม่ทราบมาก่อนจริงก็ยังฟังดูมีเหตุผล แต่มีข่าวว่าก่อนเกิดเหตุที่แฮ็คเกอร์จะโจมตีหน้าเว็บบริษัทและขโมยข้อมูลไปถึง 6 เดือน โดยแหล่งข่าวนักวิจัยด้านความปลอดภัยที่ไม่ประสงค์ออกนามได้บอก Motherboard ว่า ได้พบช่วงโหว่ในเว็บไซต์ตั้งแต่เดือนธันวาคมปีที่แล้ว ผลของช่องโหว่คือทำให้ใครก็ตามสามารถนำข้อมูลของทุกคนออกจากฐานข้อมูลได้ภายในไม่กี่นาที ประกอบด้วย ชื่อและนามสกุล วันเกิด โดยใช้เทคนิคที่เรียกว่า Forceful Browsing  หรือคือการเดาใส่พารามิเตอร์ใน URL นั่นเอง โดยหน้าของเว็บไซท์ที่โดนโจมตีทำขึ้นเพื่อให้พนักงานใช้งานแต่คนทั่วไปกลับสามารถมองเห็นได้และไร้กระบวนการพิสูจน์ตัวตนใดๆ

นอกจากนี้นักวิจัยยังพบอีกช่องโหว่อื่นที่ทำให้แฮ็กเกอร์สามารถเข้าควบคุมเว็บเซิร์ฟเวอร์ของ Equifax ได้ เช่น ช่องโหว่แบบ SQL injection ที่ทำให้สามารถใส่คำสั่งให้ Back End ประมวลผลได้ แต่ถึงตอนนี้ยังไม่สามารถยืนยันได้ว่าส่วนหนึ่งของช่องโหว่เหล่านี้ถูกใช้ในในการโจมตีหรือไม่ นักวิจัยชี้นำไปถึงความหย่อนยานในการรักษาความมั่นคงปลอดภัยที่อาจทำให้แฮ็กเกอร์สามารถเข้าไปยังระบบเครือข่ายของบริษัทได้อย่างง่ายดายเนื่องจากช่วงโหว่ที่เกิดขึ้นกับ Equifax ว่าเป็นช่องโหว่พื้นฐานของความมั่นคงปลอดภัยสำหรับเว็บไซต์

นักวิจัยยังได้อ้างเพิ่มเติมกับ Motherboard ว่า “ช่องโหว่เหล่านี้ควรจะถูกแก้ทันทีเมื่อถูกพบ มันใช้เวลาจัดการแค่ 5 นาทีเท่านั้น พวกเขาแค่ต้องปิดระบบแบบอย่างไม่เป็นทางการ แต่ผมได้รับคำตอบจาก Equifax ว่าไม่สามารถปิดเว็บไซต์ได้” ไม่มีรายงานการปิดเว็บไซต์จนกระทั่งเปิดมิถุนายนทั้งๆ ที่ถูกเตือนล่วงหน้าตั้งแต่ธันวาคมปี 2016 เหตุการณ์ที่เกิดขึ้นหลังจากถูกแฮ็ก Equifax ได้ออกมาแถลงการณ์โทษว่าช่องโหว่เกิดจากการไม่อัพเดทแพตซ์เว็บแอปพลิเคชัน Apache Struts จากพนักงานรายหนึ่ง ทั้งนี้ Equaifax ได้ปฏิเสธที่จะตอบคำถามถึงประเด็นการกล่าวอ้างจากนักวิจัยครั้งนี้ โดยให้เหตุผลว่า “เป็นนโยบายของบริษัทที่จะไม่แสดงความเห็นต่อสาธรณะ ในเรื่องกระบวนการความมั่นคงปลอดภัยภายในบริษัท

ที่มา : https://www.wired.com/story/equifax-warned-of-vulnerability-months-before-breach/ และ https://motherboard.vice.com/en_us/article/ne3bv7/equifax-breach-social-security-numbers-researcher-warning



About nattakon

Check Also

คอมพิวเตอร์และโน๊ตบุ๊คกว่า 900 รุ่นได้รับผลกระทบจากช่องโหว่ Intel ME

หลังจากที่ Intel ออกมายอมรับอย่างเป็นทางการว่า มีช่องโหว่ร้ายแรง 8 รายการบนชิป Intel Management Engine (ME) เมื่อ 3 วันก่อน ล่าสุด ทางเจ้าของผลิตภัณฑ์คอมพิวเตอร์และเซิร์ฟเวอร์ชื่อดังทั้ง …

HPE Thailand แนะวิธีอัปเดต Patch ช่องโหว่ Intel บน HPE Proliant Gen9 และ Gen10

HPE Thailand ได้ส่งจดหมายข่าวเกี่ยวกับวิธีการอัปเดต Patch เพื่ออุดช่องโหว่ของ Intel บน HPE ProLiant Server ทั้ง Gen9 และ Gen10 เพื่อให้เหล่าลูกค้าองค์กรนำไปใช้อัปเดต …