บริษัทหนึ่งแจ้งหน่วยงานกำกับหลักทรัพย์เองว่า ไฟล์ที่ถูกเข้าถึงมีข้อมูลของคนอย่างน้อย 8 ถึง 11 ล้านคน
พฤษภาคม 2023 ช่องโหว่ในเครื่องมือรับส่งไฟล์ MOVEit Transfer ถูกใช้งานตั้งแต่ 27 พฤษภาคม ตามคำเตือนร่วม FBI + CISA (AA23-158A) ผู้ผลิตประกาศช่องโหว่ 31 พฤษภาคม 2023 คือสี่วันหลังจากนั้น
Maximus, Inc. บริษัทรับจ้างงานภาครัฐ แจ้งต่อ ก.ล.ต. สหรัฐ (แบบ 8-K · 26 กรกฎาคม 2023) ว่าไฟล์ที่ถูกเข้าถึงมีเลขประกันสังคมและข้อมูลสุขภาพ ของคนอย่างน้อย 8 ถึง 11 ล้านคน และบันทึกค่าใช้จ่ายราว 15 ล้านดอลลาร์ ในไตรมาสที่จบ 30 มิถุนายน 2023
หัวใจอยู่ในเอกสารฉบับเดียวกัน: บริษัทเขียนเองว่ายังไม่พบสัญญาณว่าเหตุนี้กระทบระบบไอทีภายใน "นอกเหนือจากสภาพแวดล้อมของ MOVEit" และธุรกิจไม่หยุดชะงักอย่างมีนัยสำคัญ — ธุรกิจเดินต่อได้ แต่ไฟล์ที่ฝากไว้กับเครื่องมือนั้นหลุดไปแล้ว
ข้อจำกัด: ตัวเลขนี้เป็นของบริษัทเดียวที่เป็นลูกค้าเครื่องมือนั้น ไม่ใช่ยอดรวมทั้งเหตุการณ์ และเป็นจำนวนที่บริษัทคาดว่าจะต้องแจ้งเตือน ไม่ใช่จำนวนที่ยืนยันว่าถูกนำไปใช้ต่อ
พรุ่งนี้ลองถามทีม: "ไฟล์ลูกค้าของเราวิ่งผ่านเครื่องมือของใครบ้าง"
ภาพและเสียงในคลิปสังเคราะห์จากตัวผมเอง เนื้อหาทุกตอนผมเขียนและตรวจเอง
ตอนย้อนหลังทุกตอน และเช็กลิสต์แจกฟรี อยู่ที่ thecybertalk.net
#TheCyberTalk #ความปลอดภัยไซเบอร์ #ผู้บริหาร #ผู้ให้บริการภายนอก #CISSP
บริษัทหนึ่ง แจ้งหน่วยงานกำกับ หลักทรัพย์เองว่า ไฟล์ที่ถูกเข้าถึง มีข้อมูลของคนอย่างน้อย 8 ถึง 11 ล้านคน
ซีซั่นนี้เราถาม ข้อเดียวครับ ทางเข้าที่เข้าระบบเราได้ เป็นของคนที่เรา ยังจ่ายเงินให้ไหม
พฤษภาคม 2023 เครื่องมือรับส่งไฟล์ ตัวหนึ่ง ที่องค์กรทั่วโลกใช้ ส่งไฟล์ให้คนนอกครับ
เอกสารราชการของสหรัฐ ระบุว่าช่องโหว่ ของเครื่องมือนั้น ถูกใช้ตั้งแต่ 27 พฤษภาคม
เรื่องนี้เกิดขึ้นจริง TheCyberTalk ถอดบทเรียนให้ฟัง
ตอนที่แล้วเรื่อง คนของผู้ให้บริการ ตอนนี้เรื่องเครื่องมือ ที่เราส่งไฟล์ผ่านครับ
ผู้ผลิตประกาศช่องโหว่ วันที่ 31 พฤษภาคม คือสี่วันหลังจาก ที่มันถูกใช้ไปแล้วครับ
ผมจะไม่เล่าว่า เข้าไปยังไงครับ ประเด็นคือ ไฟล์ของลูกค้าเรา ไปอยู่ที่ไหนได้บ้าง
บริษัทรับจ้างงานภาครัฐ รายหนึ่ง เป็นลูกค้าของ เครื่องมือตัวนั้นครับ
ไฟล์ที่ถูกเข้าถึง มีเลขประกันสังคม และข้อมูลสุขภาพ ของคนอย่างน้อย 8 ถึง 11 ล้านคน
และเขาบันทึกค่าใช้จ่าย จากเหตุนี้ ราว 15 ล้านดอลลาร์ ในไตรมาสที่จบ 30 มิถุนายน
ในเอกสารฉบับเดียวกัน บริษัทเขียนเองว่า ยังไม่พบสัญญาณ ว่ากระทบระบบไอทีภายใน ส่วนอื่น นอกเหนือจาก เครื่องมือตัวนั้นครับ
ธุรกิจของเขา ไม่หยุดชะงัก แต่ไฟล์ที่ฝากไว้ กับเครื่องมือของคนอื่น หลุดไปแล้วครับ
ผมทำงานสายความปลอดภัย ไซเบอร์มาหลายปี ถือ CISSP ใบนี้ฝึกให้ถามว่า ข้อมูลเราอยู่กี่ที่
เรามักวัดความปลอดภัย จากระบบของเราเอง แต่ไฟล์วิ่งออกไปทุกวัน ให้ผู้สอบบัญชี ให้ผู้ขายที่ทำระบบ ให้เราครับ
สิ่งที่ขอได้เลย คือรายการหนึ่งหน้า ว่าไฟล์ลูกค้าวิ่งออกไป ทางเครื่องมือไหน ใครอนุมัติครับ
ข้อจำกัดครับ ตัวเลขนี้ เป็นของบริษัทเดียว ไม่ใช่ยอดรวม ทั้งเหตุการณ์ และเป็นจำนวนที่เขา คาดว่าต้องแจ้งเตือน ไม่ใช่จำนวนที่ยืนยันว่า ถูกใช้ต่อครับ
พรุ่งนี้ลองถามทีม ประโยคเดียวครับ ไฟล์ลูกค้าของเรา วิ่งผ่านเครื่องมือ ของใครบ้าง
ตอนหน้าเรายังอยู่กับ คำถามเดิมครับ ทางเข้าที่เข้าระบบเราได้ เป็นของใคร
ติดตาม TheCyberTalk ไว้นะครับ จะได้รู้เท่าทันภัยไซเบอร์ ก่อนที่มันจะมาถึงคุณ