กรณีผู้ใช้งาน Taobao ถูกแฮ็คนับ 20 ล้าน Account ถูกเปิดเผย ระบบของ Alibaba ไม่ได้ถูกโจมตีเองโดยตรง

Reuters ได้ออกมาเปิดเผยถึงการโจมตี Taobao เว็บไซต์ eCommerce แบบ C2C ในเครือ Alibaba ที่เกิดขึ้นตั้งแต่กลางเดือนสิงหาคมปี 2015 ที่ผ่านมา ว่ามีผู้ใช้งานถูก Hack สำเร็จไปถึง 20.59 ล้านราย ที่น่าสนใจในกรณีนี้ก็คือ Alibaba ได้ทำการตรวจสอบแล้ว และพบว่าระบบของ Alibaba ไม่ได้มีช่องโหว่ทำให้ถูกโจมตีได้ ดังนั้นการโจมตีจะต้องมาจากภายนอกหรือวิธีการอื่นๆ

จากรายงานของ Ministry of Public Security นั้นได้เปิดเผยว่า Hacker ที่ทำการโจมตีในครั้งนี้ได้ทำการโจมตีเว็บไซต์ต่างๆ หลายแห่ง จนมีฐานข้อมูลของ Username และ Password จำนวน 99 ล้านชุด และจึงได้ใช้ฐานข้อมูลเหล่านี้ในการ Login เข้าไปยัง Taobao ด้วย Cloud ของ Alibaba เอง จน Login ได้สำเร็จถึง 20.59 ล้าน Account

การโจมตีครั้งนี้มีวัตถุประสงค์เพื่อนำ Account เหล่านั้นมาใช้สร้าง Credit ให้กับร้านค้าปลอมๆ จำนวนมากที่เตรียมสร้างขึ้นมาให้มีความน่าเชื่อถือ เพื่อใช้ในการหลอกลวงขายสินค้าต่างๆ ในอนาคต วิธีการนี้มีชื่อเรียกว่า “Order Brushing” หรือก็คือการใช้ Account ปลอมเหล่านี้มาซื้อของในร้านต่างๆ หรือเขียน Review ให้ร้านดูน่าเชื่อถือนั่นเอง

นอกจากนี้การโจมตีระลอกนี้ยังถูกสาวต่อไปจนถึงกรณีที่มีการทำ Email Phishing จากการขโมย Email Account ของร้านค้าเพื่อใช้ทำการโกงธุรกรรมข้ามชาติที่มีความเสียหายมากกว่า 1 ล้านเหรียญอีกด้วย ทั้งหมดนี้ทำให้ในช่วงเดือนสิงหาคมทาง Alibaba ได้รับการร้องเรียนจากลูกค้าต่างชาติมากถึง 1,700 ราย อีกทั้งยังมีปัญหากับการที่มีผู้ขายสินค้าแบรนด์เนมปลอมเป็นจำนวนมาก จนโดนเจ้าของแบรนด์ฟ้องร้องร้านค้าภายในระบบอีกด้วย

ทางเว็บไซต์ Naked Security ของ Sophos ได้ออกมาแนะนำผู้ใช้ Taobao ว่าให้รีบไปเปลี่ยนรหัสผ่านให้มีความปลอดภัยและแตกต่างจากรหัสผ่านที่เคยใช้ทั่วๆ ไป และเปิด 2-factor Authentication เพิ่ม ในขณะที่ฝั่งผู้ดูแลเว็บไซต์ใดๆ ที่มีการให้ผู้ใช้งานทำการ Login เข้ามานั้น ก็ต้องมีการตรวจสอบ Log เพื่อค้นหาความผิดปกติที่อาจเกิดขึ้น และเพิ่มการทำ Rate Limit ในการ Login รวมถึงทำระบบแจ้งเตือนผู้ดูแลทันทีที่มีความผิดปกติ เพื่อลดความเสียหายที่อาจเกิดขึ้นได้

แต่นอกจากคำแนะนำของ Naked Security แล้ว การพยายามอัพ Software ในระบบทั้งหมดให้เป็น Patch ล่าสุดและติดตามข่าวสารทางด้านความปลอดภัยอยู่เสมอ รวมถึงการหมั่นทดสอบ Penetration Testing และให้ความรู้กับเหล่านักพัฒนาทางด้าน Secure Coding นั้นก็ถือเป็นสิ่งที่ควรเสริมเข้าไปด้วยเช่นกัน

ที่มา: http://uk.reuters.com/article/us-alibaba-cyber-idUKKCN0VD14X , https://nakedsecurity.sophos.com/2016/02/05/data-breach-in-china-100-million-records-used-to-hack-20-million-taobao-users/ , http://www.ibtimes.co.uk/taobao-hack-cyber-attack-chinese-ebay-leaves-20-million-plus-user-accounts-exposed-1542013 , https://thestack.com/security/2016/02/03/taobao-hack-20-59-million/