ฐานข้อมูลขนาดใหญ่ที่มีข้อมูลรับรองการเข้าสู่ระบบมากกว่า 149 ล้านรายการถูกค้นพบบนอินเทอร์เน็ตเมื่อปลายปีที่แล้ว ข้อมูลซึ่งรวมถึงชื่อผู้ใช้ รหัสผ่าน และลิงก์เข้าถึงแพลตฟอร์มดิจิทัลต่างๆ อยู่บนเซิร์ฟเวอร์ที่ไม่มีการป้องกัน และทุกคนที่มีเว็บเบราว์เซอร์สามารถเข้าถึงได้
เหตุการณ์ดังกล่าวส่งผลกระทบต่อบัญชี Gmail จำนวนมากที่น่าตกใจ โดยมีบันทึกที่ถูกบุกรุกรวมประมาณ 48 ล้านรายการ การสืบสวนพบว่าข้อมูลไม่ได้มาจากการบุกรุกเซิร์ฟเวอร์ของ Google โดยตรง แต่สะสมอยู่ตลอดเวลาโดยมัลแวร์ “infostealer” (หัวขโมยข้อมูล) ซึ่งทำงานในลักษณะซ่อนเร้นบนอุปกรณ์ที่ติดไวรัสของผู้ใช้ทั่วโลก
การไม่มีการเข้ารหัสหรืออุปสรรคในการใช้รหัสผ่านในฐานข้อมูลทำให้ข้อมูลที่ละเอียดอ่อนมีความเสี่ยงเป็นระยะเวลาไม่มีกำหนด หลังจากการแจ้งเตือนหลายครั้ง ในที่สุดเซิร์ฟเวอร์ก็ออฟไลน์ แต่ไม่มีวิธีใดที่จะระบุได้ว่าข้อมูลจะพร้อมใช้งานสำหรับการเข้าถึงโดยไม่ได้รับอนุญาตได้นานแค่ไหน
ต้นกำเนิดของการขโมยข้อมูลจำนวนมหาศาล
การสืบสวนยืนยันว่าแหล่งที่มาของการรั่วไหลไม่ใช่การละเมิดความปลอดภัยในบริษัทเทคโนโลยีขนาดใหญ่ เช่น Google หรือ Meta แต่ความรับผิดชอบกลับอยู่ที่ซอฟต์แวร์ที่เป็นอันตรายที่ติดตั้งโดยตรงบนคอมพิวเตอร์และอุปกรณ์มือถือของผู้ใช้เอง โปรแกรมเหล่านี้ได้รับการออกแบบมาเพื่อรวบรวมข้อมูลที่ละเอียดอ่อนโดยไม่ทำให้เกิดความสงสัย
ผู้ขโมยข้อมูลทำงานโดยการบันทึกทุกสิ่งที่พิมพ์ โดยเฉพาะในช่องเข้าสู่ระบบและรหัสผ่าน นอกเหนือจากการแยกคุกกี้เซสชันออกจากเบราว์เซอร์ ซึ่งสามารถอนุญาตให้เข้าถึงบัญชีได้แม้จะไม่มีรหัสผ่านก็ตาม มัลแวร์เหล่านี้แพร่กระจายผ่านวิธีการทั่วไป เช่น อีเมลฟิชชิ่ง การดาวน์โหลดซอฟต์แวร์ปลอม โฆษณาที่เป็นอันตราย และไฟล์แนบที่ติดไวรัส ทำให้ผู้ใช้ตกเป็นเป้าหมาย
แพลตฟอร์มหลักและปริมาณบัญชีที่ถูกเปิดเผย
การวิเคราะห์ชุดข้อมูลเผยให้เห็นขอบเขตที่กว้างขวางของการดำเนินการทางอาญา ซึ่งส่งผลกระทบต่อบริการออนไลน์ที่หลากหลาย Gmail ได้รับผลกระทบมากที่สุด โดยมีการเปิดเผยข้อมูลรับรอง 48 ล้านบัญชี แต่แพลตฟอร์มยอดนิยมอื่นๆ ก็อยู่ในรายชื่อเช่นกัน รวมถึงบัญชี Facebook 17 ล้านบัญชี, บัญชี Instagram 6.5 ล้านบัญชี และบัญชี Yahoo Mail 4 ล้านบัญชี การรั่วไหลดังกล่าวยังส่งผลกระทบต่อบริการด้านความบันเทิง เช่น บัญชี Netflix 3.4 ล้านบัญชี และแพลตฟอร์มอีเมลขององค์กร เช่น Outlook ซึ่งมีบันทึก 1.5 ล้านรายการ ระบบนิเวศของ Apple ไม่ได้รับการปกป้อง โดยมีบัญชี iCloud 900,000 บัญชีถูกเปิดเผย ขอบเขตของการโจมตีขยายไปยังโซเชียลเน็ตเวิร์กเกิดใหม่ เช่น TikTok ที่มีบัญชี 780,000 บัญชี และแม้แต่ภาคการเงินด้วยข้อมูลประจำตัว 420,000 รายการจาก Binance นายหน้าซื้อขายสกุลเงินดิจิทัล ซึ่งเน้นถึงความเสี่ยงโดยตรงต่อทรัพย์สินของผู้ใช้
มัลแวร์ Infostealer ทำงานอย่างไร
Infostealers เป็นตัวแทนของประเภทภัยคุกคามทางไซเบอร์ที่กำลังเติบโต โดยมุ่งเน้นไปที่การขโมยข้อมูลอันมีค่าอย่างเงียบๆ เมื่อติดตั้งบนอุปกรณ์แล้ว ซึ่งโดยปกติแล้วจะไม่มีสัญญาณให้ผู้ใช้มองเห็นได้ พวกเขาจะเริ่มกระบวนการรวบรวมข้อมูลที่ละเอียดอ่อนโดยอัตโนมัติ
โปรแกรมที่เป็นอันตรายเหล่านี้สามารถตรวจสอบกิจกรรมของแป้นพิมพ์ โดยบันทึกข้อมูลประจำตัวในขณะที่พิมพ์ นอกจากนี้ พวกเขาค้นหาไฟล์และข้อมูลที่จัดเก็บไว้ในเบราว์เซอร์ เช่น รหัสผ่านที่บันทึกไว้และคุกกี้เซสชัน ซึ่งเป็นไฟล์ขนาดเล็กที่ช่วยให้ผู้ใช้ลงชื่อเข้าใช้บัญชีของตนได้
หลังการรวบรวม ข้อมูลทั้งหมดจะถูกส่งไปยังเซิร์ฟเวอร์ระยะไกลที่ควบคุมโดยอาชญากรไซเบอร์อย่างรอบคอบ นักพัฒนามัลแวร์เหล่านี้ปรับปรุงการสร้างสรรค์ของตนอย่างต่อเนื่องเพื่อไม่ให้โปรแกรมป้องกันไวรัสแบบเดิมตรวจพบได้ ทำให้การป้องกันเป็นความท้าทายอย่างต่อเนื่อง
ด้านที่อันตรายที่สุดประการหนึ่งคือการคงอยู่ของการติดเชื้อ แม้ว่าผู้ใช้จะเปลี่ยนรหัสผ่าน ระบบขโมยข้อมูลที่ใช้งานอยู่ในอุปกรณ์จะยังคงเก็บข้อมูลประจำตัวใหม่ต่อไป ซึ่งจะทำให้วงจรของช่องโหว่คงอยู่ต่อไปจนกว่าซอฟต์แวร์ที่เป็นอันตรายจะถูกลบออกจนหมด
อันตรายเฉพาะสำหรับผู้ใช้ Gmail
การบุกรุกบัญชี Gmail มีความเสี่ยงที่นอกเหนือไปจากการเข้าถึงอีเมลส่วนตัว ที่อยู่ของ Google มักใช้เป็นวิธีการกู้คืนรหัสผ่านหลักสำหรับบริการออนไลน์อื่นๆ มากมาย เช่น เครือข่ายสังคม แอปพลิเคชันธนาคาร และร้านค้าออนไลน์
ด้วยการควบคุมบัญชีอีเมล ผู้โจมตีสามารถเริ่มต้นกระบวนการ “ลืมรหัสผ่าน” บนแพลตฟอร์มอื่นและสกัดกั้นลิงก์รีเซ็ตได้อย่างง่ายดาย สิ่งนี้สร้างผลกระทบแบบโดมิโน ซึ่งช่วยให้อาชญากรสามารถเข้าถึงระบบนิเวศดิจิทัลทั้งหมดที่เชื่อมโยงกับอีเมลนั้น เพิ่มโอกาสในการฉ้อโกงทางการเงินและการขโมยข้อมูลส่วนตัวอย่างทวีคูณ
ข้อมูลประจำตัวของรัฐบาลและการศึกษารั่วไหล
การวิเคราะห์ฐานข้อมูลเผยให้เห็นการมีอยู่ของข้อมูลรับรองที่เกี่ยวข้องกับโดเมนรัฐบาล (.gov) จากหลายประเทศ แม้ว่าจะไม่ได้รับประกันการเข้าถึงระบบที่สำคัญทั้งหมด แต่ก็ทำหน้าที่เป็นจุดเริ่มต้นที่มีคุณค่าสำหรับการโจมตีแบบฟิชชิ่งแบบกำหนดเป้าหมายต่อเจ้าหน้าที่ของรัฐและสถาบันของรัฐ
การเปิดเผยบัญชีเหล่านี้ทำให้เกิดสัญญาณเตือนเกี่ยวกับความปลอดภัยทางดิจิทัลในภาครัฐ ซึ่งข้อมูลประจำตัวที่ถูกบุกรุกเพียงข้อมูลเดียวสามารถเป็นประตูสู่เครือข่ายที่ละเอียดอ่อนได้ การมีอยู่ของข้อมูลนี้ในการรั่วไหลของสาธารณะแสดงให้เห็นถึงความจำเป็นในนโยบายความปลอดภัยที่เข้มงวดยิ่งขึ้น
นอกจากนี้ ยังพบข้อมูลรับรองโดเมนการศึกษา (.edu) ประมาณ 1.4 ล้านรายการ บัญชีเหล่านี้สามารถเปิดเผยข้อมูลการวิจัยทางวิชาการ ข้อมูลส่วนบุคคลของนักศึกษาและคณาจารย์ และอำนวยความสะดวกในการเข้าถึงระบบของมหาวิทยาลัยอย่างไม่เหมาะสม
การตอบกลับจาก Google และบริษัทอื่นๆ ที่ได้รับผลกระทบ
Google ระบุว่าระบบของตนไม่ได้ถูกละเมิด และที่จริงแล้วข้อมูลที่รั่วไหลนั้นเป็นการรวบรวมข้อมูลรับรองที่ได้รับผ่านมัลแวร์บุคคลที่สาม บริษัทรายงานว่าระบบรักษาความปลอดภัยอัตโนมัติตรวจพบความพยายามเข้าสู่ระบบที่น่าสงสัยจำนวนมากและเรียกใช้โปรโตคอลการป้องกัน เช่น การบล็อกการเข้าถึงและกำหนดให้ต้องรีเซ็ตรหัสผ่านสำหรับผู้ใช้ที่ได้รับผลกระทบ
แพลตฟอร์มอื่นๆ ที่กล่าวถึงในการรั่วไหลก็มีจุดยืนที่คล้ายกัน โดยเสริมความแข็งแกร่งให้กับระบบการตรวจสอบเพื่อระบุกิจกรรมที่ผิดปกติ และแจ้งเตือนผู้ใช้ที่บัญชีของตนได้รับการพิจารณาว่ามีความเสี่ยง การตอบสนองที่มีการประสานงานมีจุดมุ่งหมายเพื่อลดความเสียหายและปกป้องผู้ใช้จากการฉ้อโกงที่อาจเกิดขึ้นอันเป็นผลมาจากการเปิดเผยข้อมูลประจำตัว
คำแนะนำด้านความปลอดภัยที่จำเป็นสำหรับผู้ใช้
เมื่อเผชิญกับเหตุการณ์เช่นนี้ ผู้ใช้จำเป็นต้องมีมาตรการเชิงรุกเพื่อปกป้องข้อมูลดิจิทัลของตน ผู้เชี่ยวชาญด้านความปลอดภัยแนะนำชุดมาตรการเพื่อลดความเสี่ยง:
– การดำเนินการขั้นแรกควรเปลี่ยนรหัสผ่านสำหรับบัญชีที่สำคัญทั้งหมดทันที โดยเฉพาะอีเมลหลัก
– การเปิดใช้งานการตรวจสอบสิทธิ์แบบสองปัจจัย (หรือหลายปัจจัย) ถือเป็นสิ่งสำคัญ เนื่องจากเป็นการเพิ่มการรักษาความปลอดภัยอีกชั้นหนึ่งที่ต้องใช้รหัสยืนยันเพิ่มเติมจากรหัสผ่าน
– จำเป็นอย่างยิ่งที่จะต้องหลีกเลี่ยงการใช้รหัสผ่านซ้ำในบริการต่างๆ การใช้เครื่องมือจัดการรหัสผ่านที่เชื่อถือได้สามารถช่วยให้คุณสร้างและจัดเก็บรหัสผ่านที่รัดกุมและไม่ซ้ำกันสำหรับแต่ละแพลตฟอร์ม
– การอัปเดตระบบปฏิบัติการ เบราว์เซอร์ และซอฟต์แวร์ป้องกันไวรัสให้ทันสมัยเป็นหนึ่งในวิธีที่มีประสิทธิภาพที่สุดในการป้องกันตนเองจากมัลแวร์เวอร์ชันล่าสุด
– การสงสัยอีเมล ข้อความ และลิงก์ที่น่าสงสัย การหลีกเลี่ยงการคลิกหรือดาวน์โหลดไฟล์แนบจากแหล่งที่ไม่รู้จัก ถือเป็นหลักปฏิบัติด้านสุขอนามัยดิจิทัลขั้นพื้นฐาน
การค้นพบและการลบฐานข้อมูลที่ถูกเปิดเผย
เซิร์ฟเวอร์ที่โฮสต์ฐานข้อมูลยังคงออนไลน์และสามารถเข้าถึงได้ในช่วงระยะเวลาที่ไม่ระบุก่อนที่นักวิจัยด้านความปลอดภัยจะระบุได้ ในช่วงเวลาระหว่างการค้นพบและการลบเนื้อหาจริง พบว่าจำนวนบันทึกยังคงเพิ่มขึ้นอย่างต่อเนื่อง บ่งชี้ว่าแคมเปญการรวบรวมข้อมูลโดยผู้ขโมยข้อมูลกำลังดำเนินการอย่างเต็มที่ การลบออกเกิดขึ้นหลังจากการแจ้งเตือนหลายครั้งไปยังผู้ให้บริการโฮสติ้ง ซึ่งดำเนินการตามการละเมิดข้อกำหนดในการให้บริการ