เมื่อสัปดาห์ที่แล้ว British Airways ประกาศว่าพบข้อข้อมูลรั่วไหล กระทบลูกค้า 380,000 คน ภายในวันเดียวกัน รัฐบาลอังกฤษโดยศูนย์ความมั่นคงปลอดภัยไซเบอร์ก็ออกมาเตือนประชาชนพร้อมกัน แนวทางนี้ทำให้เราเห็นว่าเมื่อเหตุการณ์เกิดขึ้นแล้ว ในประเทศที่เจริญแล้วมีแนวทางรับมือปัญหาอย่างไร

ภายใต้กฎหมาย GDPR ทาง British Airways ถูกบังคับให้ต้องแจ้งหน่วยงานที่เกี่ยวข้องว่ามีข้อมูลรั่วไหลภายใน 72 ชั่วโมงหลังทราบเรื่อง หากปิดบังไว้โทษปรับสูงสุดถึง 4% ของรายได้บริษัท

บริษัทผู้ทำข้อมูลรั่ว: บอกข้อมูลชัด, แจ้งผลกระทบ, บอกแนวทาง, แจ้งชดเชย

หน้าเว็บแจ้งเตือนของ British Airways มีการอัพเดตเป็นระยะ อย่างไรก็ตามข้อมูลตอนนี้ค่อนข้างนิ่งแล้ว โดยการแจ้งเตือนมีดังนี้

• แจ้งว่าเกิดอะไรขึ้น: ประโยคแรกของการแจ้งเตือนคือระบุว่ามีการ__ขโมยข้อมูล__ โดยเป็นการแจ้งเตือนเร่งด่วน (matter of urgency)
• แจ้งขอบเขตผู้ได้รับผลกระทบ: ข้อมูลแจ้งเตือนระบุชัดว่า ผู้ได้รับผลกระทบคือผู้ที่จองตั๋วในช่วงวันที่ 21 สิงหาคม 2018 เวลา 22:58 BST จนถึง 5 กันยายน 2018 เวลา 21:45 BST (แจ้งโซนเวลาในกรณีผู้ได้รับผลกระทบอยู่คนละโซนเวลา)
• แจ้งผลกระทบ: หน้าเว็บรายงานระบุผลกระทบที่เป็นไปได้กับลูกค้า
  • ผลกระทบสำคัญคือการปลอมตัวเป็นสายการบิน เนื่องจากคนร้ายได้ข้อมูลส่วนตัวลูกค้าเหมือนที่สายการบินมี ทางสายการบินเตือนทันทีว่าให้ระวังอีเมลปลอม และย้ำว่าจะไม่ติดต่อลูกค้าเพื่อขอข้อมูลบัตรเครดิต
  • ผลกระทบจากการถูกขโมยตัวตน (identity theft)
  • ผลกระทบจากการถูกใช้ข้อมูลบัตร
• บอกแนวทางแก้ปัญหา: เว็บบอกแนวทางแก้ปัญหาเบื้องเต้น เช่น ให้ลูกค้าที่รู้ว่าได้รับผลกระทบแจ้งธนาคารผู้ออกบัตร, แนะนำวิธีสังเกตเมื่อถูกขโมยตัวตนและขั้นตอนหลังจากตกเป็นเหยื่อ
• แจ้งชดเชย: ประกาศแจ้งว่าลูกค้าจะต้องไม่เสียค่าใช้จ่ายหากตกเป็นเหยื่อจากข้อมูลรั่วโดยตรง, จะให้บริการมอนิเตอร์เครดิตฟรี 12 เดือน

รัฐบาลแนะนำซ้ำ ย้ำแนวทางรักษาความปลอดภัย

ศูนย์ความมั่นคงปลอดภัยไซเบอร์ (NCSC) ประกาศซ้ำโดยเตือนว่าสถาบันทางการเงินนั้นจะไม่ขอให้ลูกค้าส่งข้อมูลส่วนตัวหรือข้อมูลบัญชีทางอีเมล หากต้องการติดต่อโดยส่งข้อมูลไปด้วย ให้หาอีเมลทางการขององค์กร ไม่ใช่ตอบกลับอีเมลที่ได้รับมา และผู้ได้รับผลกระทบควรตรวจสอบบัญชีว่ามีความเคลื่อนไหวผิดปกติหรือไม่

สำหรับผู้ได้รับผลกระทบ NCSC เตือนให้เปลี่ยนรหัสผ่านสำหรับบัญชีสำคัญ, ตั้งค่าบัญชีให้เป็นล็อกอินแบบสองขั้นตอน, และตรวจสอบว่าข้อมูลรั่วสู่สาธารณะหรือไม่ผ่านทางเว็บ Have I Been Pwned

ที่มา - NCSC

ภาพจาก British Airways