มีนาคม 2021 คนนอกเข้าถึงกล้องวงจรปิดที่ต่อคลาวด์ได้กว่า 150,000 ตัว จากบัญชีผู้ดูแลเพียงบัญชีเดียว
เอกสารฟ้องของ FTC ในคดี Verkada (ยื่นสิงหาคม 2024) ระบุว่าผู้บุกรุกได้สิทธิ์ผู้ดูแลสูงสุดผ่านเซิร์ฟเวอร์ของฝ่ายบริการลูกค้า ตัวเลข 150,000 คือกล้องที่เข้าถึงได้ ส่วนกล้องที่ถูกเปิดดูจริง เอกสารเขียนว่าหลักพันตัว ภาพที่ถูกเปิดดูมีทั้งผู้ป่วยในโรงพยาบาลจิตเวช คลินิกสุขภาพสตรี เด็กเล็ก และผู้ต้องขัง สิ่งที่ถูกดึงออกไปไม่ใช่แค่ภาพ แต่มีรายชื่อลูกค้า อีเมล แปลนอาคาร และรหัส Wi-Fi ของลูกค้าด้วย และบริษัทไม่รู้ตัวจนนักข่าวโทรมาถาม
บทเรียนไม่ได้อยู่ที่ยี่ห้อ: กล้อง 1 ตัวคือคอมพิวเตอร์ที่ต่อเน็ต มีรหัสผ่าน มีซอฟต์แวร์ที่ต้องอัปเดต และมีรายชื่อคนที่เข้าดูได้ คำถามจึงไม่ใช่ว่ามันปลอดภัยไหม แต่คือมันอยู่ในทะเบียนของใคร
พรุ่งนี้ลองถามทีมสองประโยค: "กล้องของเราต่อเน็ตผ่านบริการของใคร" และ "ใครมีบัญชีผู้ดูแล"
ภาพและเสียงในคลิปสังเคราะห์จากตัวผมเอง เนื้อหาทุกตอนผมเขียนและตรวจเอง
ตอนย้อนหลังทุกตอน และเช็กลิสต์แจกฟรีทุกใบ อยู่ที่ thecybertalk.net ไม่ต้องลงทะเบียน ไม่เก็บอีเมล
#TheCyberTalk #กล้องวงจรปิด #ความปลอดภัยไซเบอร์ #ผู้บริหาร #CISSP
มีนาคม 2021 คนนอกเข้าถึงกล้องวงจรปิด ที่ต่อคลาวด์ได้กว่า 150,000 ตัว จากบัญชีผู้ดูแลเดียว
เรื่องนี้เกิดขึ้นจริง TheCyberTalk ถอดบทเรียนให้ฟัง
เอกสารฟ้องของ FTC หน่วยงานคุ้มครองผู้บริโภคสหรัฐ ระบุว่าผู้บุกรุกได้สิทธิ์ผู้ดูแลสูงสุด ผ่านเซิร์ฟเวอร์ฝ่ายบริการลูกค้า
150,000 คือกล้องที่เข้าถึงได้ ส่วนที่ถูกเปิดดูจริง เอกสารเขียนว่าหลักพันตัว
ภาพที่ถูกเปิดดู มีทั้งผู้ป่วยโรงพยาบาลจิตเวช คลินิกสุขภาพสตรี เด็กเล็ก และผู้ต้องขัง
ที่ถูกดึงออกไปไม่ใช่แค่ภาพ มีรายชื่อลูกค้า อีเมล แปลนอาคาร และรหัส Wi-Fi
บริษัทไม่รู้ตัว จนนักข่าวโทรมาถาม คนที่แจ้งสื่อคือผู้บุกรุกเอง
สามเดือนก่อนหน้านั้น เซิร์ฟเวอร์ของบริษัทเองติดมัลแวร์ ถูกใช้ยิงถล่มคนอื่นกว่า 2 สัปดาห์ จนผู้ให้บริการคลาวด์แจ้ง
ย้ายกลับมาที่ออฟฟิศเรา ถ้ากล้องเราเปิดดู จากมือถือนอกบริษัทได้ ภาพวิ่งผ่านระบบของผู้ให้บริการ
คำถามคือ ระบบนั้นเป็นของใคร ใครเปิดบัญชีไว้ และตอนนี้มีกี่บัญชีที่ดูกล้องเราได้
เวลาติดกล้อง คนเลือกมักเป็นฝ่ายอาคาร คนติดตั้งคือผู้รับเหมา ไอทีรู้ตัวตอนกล้องขึ้นผนัง
นี่ไม่ใช่ใครทำพัง ทุกฝ่ายทำงานของตัวเองครบ แต่ไม่มีใครถือรายการ ว่ากล้องเป็นของใคร
ผมทำงานสายความปลอดภัยไซเบอร์ มาหลายปี ถือ CISSP จุดที่อยากให้เห็นคือ กล้องมักไม่ถูกนับว่าเป็นคอมพิวเตอร์
ทั้งที่กล้อง 1 ตัว คือคอมพิวเตอร์ที่ต่อเน็ต มีรหัสผ่าน มีซอฟต์แวร์ต้องอัปเดต มีรายชื่อคนที่เข้าดูได้
ลองเปิดทะเบียนทรัพย์สินของเรา ดูครับ กล้องอยู่ในหมวดอุปกรณ์อาคาร หรือหมวดอุปกรณ์ไอที
ความต่างของสองหมวดคือ ใครอัปเดตซอฟต์แวร์ ใครทบทวนรายชื่อคนที่เข้าดูได้ ใครได้รับแจ้งเมื่อผิดปกติ
สามข้อนี้ไม่ต้องซื้ออะไรเพิ่ม ต้องการแค่ชื่อคน ที่เป็นเจ้าของกล้องในทะเบียน
พรุ่งนี้ลองถามทีมสองประโยคครับ กล้องของเราต่อเน็ตผ่านบริการของใคร และใครมีบัญชีผู้ดูแล
ตอนหน้า ระบบแอร์และระบบอาคาร กับบัญชีของผู้รับเหมา ที่ยังเข้าเครือข่ายเราได้หลังจบงาน
ติดตาม TheCyberTalk ไว้นะครับ จะได้รู้เท่าทันภัยไซเบอร์ ก่อนที่มันจะมาถึงคุณ