จากข่าว Dropbox ถูกแฮกตั้งแต่ปี 2012 กระทบผู้ใช้ 68 ล้านบัญชี ตอนนี้มีผู้ปล่อยให้ดาวน์โหลดแล้ว ซึ่งขนาดไฟล์มีขนาดใหญ่ถึง 5GB ตามที่เป็นข่าวก่อนหน้า สิ่งที่น่าสนใจหลังจากมีการปล่อยให้ดาวน์โหลดข้อมูลคือ ทางเพจ Incognito Lab ได้นำข้อมูลมาทำ filter อีเมลที่ลงท้ายด้วย .th พบว่ามีข้อมูลทั้งหมด 23,761 บัญชี โดย 10 อันดับยอดนิยมดังนี้
- hotmail.co.th จำนวน 4,449 บัญชี
- yahoo.co.th จำนวน 1,974 บัญชี
- patana.ac.th จำนวน 1,041 บัญชี
- nist.ac.th จำนวน 902 บัญชี
- scg.co.th จำนวน 508 บัญชี
- truemail.co.th จำนวน 365 บัญชี
- loxinfo.co.th จำนวน 312 บัญชี
- egat.co.th จำนวน 209 บัญชี
- truecorp.co.th จำนวน 105 บัญชี
- ais.co.th จำนวน 97 บัญชี
ทางเพจยังเผยว่ายังมีอีกหลายองค์กรที่เป็นของไทยแต่ไม่ได้ใช้งาน .th เช่น กลุ่มธนาคารต่างๆ
ทำให้เห็นได้ว่า พนักงานหลายองค์กรอาจมีการแชร์ข้อมูลภายในบริษัท ผ่านบริการ Public Cloud Service เช่น Dropbox และเจ้าอื่นๆ สิ่งนี้อาจจะนำไปสู่การทำให้ข้อมูลลูกค้า, ความลับบริษัทรั่วไหลได้ หวังว่าข่าวนี้จะช่วยเตือนให้ทุกหน่วยงานตระหนักถึงความสำคัญของการควบคุมการใช้งานบริการ Public Cloud Service ต่อไป
ที่มา - Incognito Lab, thecthulhu
on
แหม่พาดหัวข่าวยังกะเกมแจกฟรี
Hadakung Thu, 06/10/2016 - 16:50
แหม่พาดหัวข่าวยังกะเกมแจกฟรี โชคดีไม่เคยคิดจะใช้เลยรอดไป...
แต่พนักงานธนาคารใช้
kadeep Thu, 06/10/2016 - 16:53
In reply to แหม่พาดหัวข่าวยังกะเกมแจกฟรี by Hadakung
แต่พนักงานธนาคารใช้ และข้อมูลของคุณก็อยู่ในนั้น
ชิหายยยยยยยละะ555
Jirawat Thu, 06/10/2016 - 16:56
In reply to แต่พนักงานธนาคารใช้ by kadeep
ชิหายยยยยยยละะ555
ไม่เป็นไรครับธนาคารมีแบ็คอัพไ
Hadakung Thu, 06/10/2016 - 17:36
In reply to แต่พนักงานธนาคารใช้ by kadeep
ไม่เป็นไรครับธนาคารมีแบ็คอัพไว้แล้ว:P
ปล. อยากได้เอาไปเลยจ่ายค่าโอนก็หมดแล้ว XD
อ้อ
waroonh Thu, 06/10/2016 - 18:01
In reply to แต่พนักงานธนาคารใช้ by kadeep
อ้อ ที่บัตรเครดิตโทรมาหาผมบ่อยๆ
ก็เพราะรั่วทางนี้นี่เอง
... ใช่มั้ยครับ?
Siemens C35i> Panasonic GD88, Panasonic X400, T610, W810i, Aino, Arc, Arc S, t2 ultra, z ultra, z3 tables, z5, XA ultra.
อันนั้นเพราะคุณเซนยินยอมให้ธน
Hadakung Thu, 06/10/2016 - 19:37
In reply to อ้อ by waroonh
อันนั้นเพราะคุณเซนยินยอมให้ธนาคารขายข้อทูลให้ฝ่ายเครดิตครับ ซึ่งไม่เซนก็เปิดบัญชีไม่ได้....
เป็นสิ่งที่ไม่เคยอ่าน ฮ่าา
Prince12 Fri, 07/10/2016 - 13:47
In reply to อันนั้นเพราะคุณเซนยินยอมให้ธน by Hadakung
เป็นสิ่งที่ไม่เคยอ่าน ฮ่าา
bot.or.th ก็มีครับ
Ford AntiTrust Thu, 06/10/2016 - 18:02
In reply to แต่พนักงานธนาคารใช้ by kadeep
bot.or.th ก็มีครับ
หลาบเลยแบบนี้
gotobanana Thu, 06/10/2016 - 16:55
หลาบเลยแบบนี้
แย่เลย แล้วเพิ่งมาบอกเนี่ยนะ
Higps Thu, 06/10/2016 - 17:20
แย่เลย แล้วเพิ่งมาบอกเนี่ยนะ
แล้วจะยังให้อัพเกรดเป็น Business อีก
อันดับ 3 และ 4
vaLVE Thu, 06/10/2016 - 17:21
อันดับ 3 และ 4 เป็นสถาบันการศึกษา (โรงเรียนนานาชาติ) ???
อันนี้น่าจะเป็นอาจารย์ให้เด็ก ๆ สมัครใช้เพื่อประกอบการเรียนการสอน
น่าสนใจมากว่า เด็ก ๆ นำมาประยุกต์ใช้อย่างไรนะครับ
ข้อมูลที่หลุดมากกว่า 60
Ford AntiTrust Thu, 06/10/2016 - 17:58
ข้อมูลที่หลุดมากกว่า 60 ล้านรายการ เป็นอีเมล และตัวรหัสผ่านนั้นถูกแฮชไว้ด้วย sha1 หรือ blowfish
เท่าที่ทดสอบ
EThaiZone Thu, 06/10/2016 - 18:10
เท่าที่ทดสอบ เคสอีเมล์ผมโดนเป็น sha1
ทดสอบเข้ารหัส sha1 กับรหัสผ่านมั้งหมดแล้วเทียบกับใน DB แล้ว ทดสอบหลายแบบ และตรวจโดยเข้า sha1 ตรวจจนครบ 1 ล้านรอบ ก็ยังไม่ตรง เลยเข้าใจว่าที่หลุดมานี้น่าจะมี salt อยู่แล้ว
แต่ถ้ามีเจ้าของอีเมล์กับรหัสผ่านจริง จำนวนเยอะๆ ก็อาจมีการแกะ salt ออกมาได้เหมือนกัน
อนาคตแฮกเกอร์คงไล่สมัคร acc ผีไว้สักหลายพันหรือหลายหมื่น แล้วค่อยแฮกมาเอา DB จากนั้นก็น่าจะเป็นการสุ่มยิง salt ออกมาแทน
ไม่รู้ว่า dropbox ใช้เก็บ
stan Thu, 06/10/2016 - 18:13
In reply to เท่าที่ทดสอบ by EThaiZone
ไม่รู้ว่า dropbox ใช้เก็บ password ระบบ hash salt pepper หรือเปล่า
เราไม่รู้อะไรเลยนี้สิครับ 55+
EThaiZone Fri, 07/10/2016 - 16:35
In reply to ไม่รู้ว่า dropbox ใช้เก็บ by stan
เราไม่รู้อะไรเลยนี้สิครับ 55+
blowfish ที่ dropbox
pd2002 Thu, 06/10/2016 - 19:11
In reply to เท่าที่ทดสอบ by EThaiZone
bcrypt ก็ยากหน่อย
ถ้าแบบนี้เราสามารถกระจาย salt
MrNonz Thu, 06/10/2016 - 21:28
In reply to เท่าที่ทดสอบ by EThaiZone
ถ้าแบบนี้เราสามารถกระจาย salt ออกเป็นหลายๆ ตัวได้ไหมครับ? เพื่อให้ข้อมูลสำหรับการ decrypt ย้อนกลับไปทำได้ยากขึ้น?
ใช้ salt แบบ dinamic
wichate Thu, 06/10/2016 - 21:38
In reply to ถ้าแบบนี้เราสามารถกระจาย salt by MrNonz
ใช้ salt แบบ dinamic ไปเลยครับ เช่นเอาบางส่วนของค่า hash ตัว username มาเป็น salt
สรุปคือ
Jaddngow Thu, 06/10/2016 - 21:36
In reply to เท่าที่ทดสอบ by EThaiZone
สรุปคือ น่าจะปลอดภัยหรือเปล่าครับ มีชื่อผมอยู่ในนั้นด้วย แต่ก็แก้pass ไปแล้วล่ะครับ
อยู่ใน bcrypt หรือ sha1 ครับ
pd2002 Fri, 07/10/2016 - 01:08
In reply to สรุปคือ by Jaddngow
อยู่ใน bcrypt หรือ sha1 ครับ ถ้าตัวแรกก็น่าจะสบายใจได้
มาถอนคำพูดนะครับ ถ้าเป็น sha1
EThaiZone Fri, 07/10/2016 - 16:36
In reply to เท่าที่ทดสอบ by EThaiZone
มาถอนคำพูดนะครับ ถ้าเป็น sha1 อาจโดนแกะด้วยวิธี RainbowCrack ได้ครับ แต่นั้นคือกับกรณีถ้าดันไม่มี salt นะ เพราะเราก็ไม่รู้ว่ามันจะยังไง ไม่รู้ว่า salt มีไหม มีใส่ pepper เพิ่มหรือเปล่า มันไม่รู้อะไรเลยนี้สิ -*-
ลาก๋อยยย (ยังไม่ได้เทสจริงจัง แต่เสียงก็เปลี่ยนๆ ไปเถอะครับ ทุกเว็บอย่าใช้ซ้ำกัน)
ตรวจได้ที่ไหน
natong Thu, 06/10/2016 - 21:44
ตรวจได้ที่ไหน
โดเมนที่ลงท้ายด้วย .th
MrNonz Thu, 06/10/2016 - 22:45
โดเมนที่ลงท้ายด้วย .th ผมดึงออกมาได้ 23830 นะครับ
plublic => public
Virusfowl Sun, 09/10/2016 - 03:19