ตุลาคม 2023 ไฟล์ของลูกค้า 134 ราย ถูกคนนอกเข้าถึง — แต่ทางเข้าไม่ได้อยู่ที่ระบบของบริษัทไหนเลย
Okta ประกาศเองว่ามีคนนอกเข้าถึงระบบจัดการเคสของฝ่ายช่วยเหลือลูกค้า ช่วง 28 กันยายน ถึง 17 ตุลาคม 2023 ลูกค้าที่ไฟล์ถูกเข้าถึงมี 134 ราย คิดเป็นไม่ถึง 1% ของลูกค้าทั้งหมด และมี 5 ราย ที่ข้อมูลถูกนำไปใช้ต่อ
ต้นเหตุที่บริษัทเขียนไว้ในประกาศของตัวเอง: พนักงานคนหนึ่งเข้าใช้บัญชี Google ส่วนตัวบนเบราว์เซอร์ของเครื่องบริษัท แล้วรหัสของบัญชีบริการถูกบันทึกไว้ในบัญชีส่วนตัวนั้น ทางเข้าจึงไปอยู่ในที่ที่บริษัทมองไม่เห็น
ประเด็นของตอนนี้ไม่ใช่ว่าใครห่วย กลไกแบบนี้เกิดได้กับผู้ให้บริการทุกเจ้าและเกิดได้ในทุกออฟฟิศ และการที่บริษัทเขียนต้นเหตุออกมาเองอย่างตรงไปตรงมา เป็นเรื่องที่ควรชม เพราะมีไม่กี่เจ้าที่ทำ
ซีซัน 5 เริ่มวันนี้: ซีซันที่แล้วถามว่าของที่ต่อเน็ตอยู่ในทะเบียนของใคร ซีซันนี้ถามว่าบัญชีที่เข้าระบบเราได้ เป็นของใคร
พรุ่งนี้ลองถามทีม: "ผู้ให้บริการของเรา พนักงานเขาเห็นข้อมูลเราได้แค่ไหน" — ถามได้ตอนต่อสัญญา ไม่ต้องรอให้เกิดเรื่องก่อน
ภาพและเสียงในคลิปสังเคราะห์จากตัวผมเอง เนื้อหาทุกตอนผมเขียนและตรวจเอง
ตอนย้อนหลังทุกตอน และเช็กลิสต์แจกฟรีทุกใบ อยู่ที่ thecybertalk.net ไม่ต้องลงทะเบียน ไม่เก็บอีเมล
#TheCyberTalk #ความปลอดภัยไซเบอร์ #ผู้บริหาร #ผู้ให้บริการภายนอก #CISSP
ตุลาคม 2023 ไฟล์ของลูกค้า 134 ราย ถูกคนนอกเข้าถึง ผ่านระบบของผู้ให้บริการ ที่จ้างไว้ครับ
เรื่องนี้เกิดขึ้นจริง TheCyberTalk ถอดบทเรียนให้ฟัง
วันนี้เริ่มซีซั่นใหม่ครับ ซีซั่นที่แล้วเราถามว่า ของที่ต่อเน็ตอยู่ในทะเบียนของใคร
ซีซั่นนี้เปลี่ยนจากของ เป็นคนครับ บัญชีที่เข้าระบบเราได้ เป็นของคนที่เรายังจ่ายเงินให้ไหม
คนนอกเข้าไปอยู่ในระบบ ฝ่ายช่วยเหลือลูกค้าของเขา ช่วง 28 กันยายน ถึง 17 ตุลาคม
134 ราย คือไม่ถึง 1% ของลูกค้าทั้งหมด และมี 5 ราย ที่ถูกใช้ข้อมูลต่อจริงครับ
ทางเข้าไม่ได้อยู่ที่ระบบของลูกค้า และไม่ได้อยู่ที่ระบบหลัก ของผู้ให้บริการครับ
ตามที่บริษัทเขียนในประกาศเอง พนักงานคนหนึ่งเข้าใช้บัญชีส่วนตัว บนเครื่องของบริษัท
แล้วรหัสของบัญชีที่ใช้ทำงาน ถูกบันทึกไว้ในบัญชีส่วนตัวนั้น ทางเข้าจึงไปอยู่ ในที่ที่บริษัทไม่เห็น
ผมจะไม่เล่าว่าเข้าไปยังไงครับ ประเด็นคือทางเข้าย้ายที่ โดยไม่มีใครตั้งใจ
นี่ไม่ใช่เรื่องของบริษัทเดียวครับ เครื่องบริษัท กับบัญชีส่วนตัวของคน อยู่บนจอเดียวกันทุกวัน
ที่ผมอยากชมคือ บริษัทนี้เขียนต้นเหตุออกมาเอง อย่างตรงไปตรงมา ซึ่งไม่ค่อยมีใครทำครับ
ผมทำงานสายความปลอดภัยไซเบอร์ มาหลายปี ถือ CISSP ใบนี้ฝึกให้ถามว่า เราเชื่อใจใครไว้กว้างแค่ไหน
เราคัดคนของเราเอง อบรมคนของเราเอง แต่คนของผู้ให้บริการที่ดูข้อมูลเรา เราไม่เคยเห็นครับ
เวลาเซ็นสัญญา เราอ่านเรื่องราคา และเวลาที่เขาจะแก้ปัญหา แต่น้อยครั้งที่เราถาม เรื่องคนของเขาครับ
คำถามนี้ถามได้ และถามได้ตอนต่อสัญญา ไม่ต้องรอให้เกิดเรื่องก่อนครับ
สิ่งที่ขอได้เลย คือรายชื่อหนึ่งหน้า ว่าเจ้าไหนมีทางเข้าระบบเรา และใครถือรายชื่อนั้นครับ
พรุ่งนี้ลองถามทีมประโยคเดียวครับ ผู้ให้บริการของเรา พนักงานเขาเห็นข้อมูลเราได้แค่ไหน
ลองนับในใจตอนนี้ครับ บริษัทคุณมีผู้ให้บริการกี่เจ้า ที่มีทางเข้าระบบเรา ซีซั่นนี้ผมจะไล่ให้ดูทีละเจ้า
ติดตาม TheCyberTalk ไว้นะครับ จะได้รู้เท่าทันภัยไซเบอร์ ก่อนที่มันจะมาถึงคุณ