Reddit แจ้งผู้ใช้ว่าช่วงเดือนมิถุนายนที่ผ่านมาแฮกเกอร์ได้เข้าถึงโครงสร้างคลาวด์และระบบเก็บซอร์สโค้ด ด้วยการดักรับ SMS ที่ผู้ดูแลระบบใช้เป็นโทเค็นล็อกอินขั้นที่สอง ทำให้แฮกเกอร์เข้าถึงข้อมูลผู้ใช้ได้ด้วย แม้ฐานข้อมูลจะไม่ถูกแก้ไข และบัญชีที่หลุดไปจะไม่มีสิทธิ์เขียนข้อมูลในระบบหลัก แต่ก็มีข้อมูลผู้ใช้หลุดออกไปด้วย
ข้อมูลที่แฮกเกอร์อ่านไปได้ ได้แก่ ล็อกไฟล์อื่น, ซอร์สโค้ดของระบบ, ไฟล์คอนฟิกต่างๆ และข้อมูลที่กระทบต่อผู้ใช้
โดยแบ่งออกเป็นสองกลุ่ม
noreply@redditmail.com
ในช่วงเวลาดังกล่าวหรือไม่ปัญหาสำคัญของข้อมูลที่หลุดไปคือผู้ใช้จำนวนหนึ่งไม่ต้องการเปิดเผยตัวว่าเป็นผู้ใช้ชื่อใดใน Reddit ทาง Reddit แนะนำว่าหากไม่ต้องการเปิดเผยให้แจ้งลบข้อมูลออกได้ และขอให้ระวังถูกอีเมล phishing จากข้อมูลที่แฮกเกอร์ได้รับไป
ตอนนี้ทาง Reddit ปรับการล็อกอินสองขั้นตอนให้ใช้โทเค็นทั้งหมดแล้วเพราะสงสัยว่าต้นเหตุสำคัญของการแฮกครั้งนี้คือการดักรับ SMS
ที่มา - Reddit
ภาพโลโก้ Reddit บนสถานีอวกาศนานาชาติ เมื่อนักบิน Scott Kelly เข้าร่วมตอบคำถามบน Reddit ในปี 2016
Comments
... ในขณะที่ธนาคารไทยยังเชื่อถือการยืนยันตัวตนจากมือถือเป็นอันดับแรก
ทั้งที่มันเป็นวิธีที่อันตรายเกือบที่สุดละ
ตั้งแต่ก่อนหน้านี้ที่มีข่าวช่องโหว่ SS7 ออกมานานแล้ว ผ่านมาจนกลางปี 2018 ยังสงสัยอยู่เลยทำไมบริษัทใหญ่ๆบางแห่ง(โดยเฉพาะธนาคาร)ถึงยังมีแค่รับ OTP ผ่าน SMS อยู่
วิธีอื่นมันแพงครับ (token ชิ้นละ 300, แก้ซอฟต์แวร์, ฝึกพนักงาน, ฝึก call center)
เดิมๆ ถูกกว่ามาก บางแห่งเคยแจก hw otp ยังเลิกแจก
lewcpe.com, @wasonliw
ที่เลวร้ายกว่านั้นคือหลายธนาคารเลือกที่จะเปลี่ยนวิธีการยืนยันตัวตน จากเดิมที่ใช้ username/password ไปเหลือแต่ผ่านสัญญาณมือถือที่อันตรายกว่าเห็นๆแทน เช่น kbank tmb (มี ธ. อื่นอีกรึเปล่าไม่รู้)
ใช้พวกแอพแบบ Google Authenticator น่าจะดีกว่า
ลูกค้าใช้ mobile banking ได้ต้องลงแอพอื่นได้อยู่แล้ว
ผมว่าดูในแอพตัวเองไปเลยน่าจะดีกว่าเหมือน facebook , steam
แอปตัวเองมันก็ต้อง login มาจากที่อืนอีกทีครับ อย่าง Facebook นี่ก็มาจาก SMS (ถ้าเปิด 2FA ไว้)
ส่วน Steam นี่เป็นบริษัทที่ security practice ค่อนข้างแย่ บัญชีแต่ละคนมูลค่ามหาศาล แต่เพิ่งทำ HTTPS ทั้งเว็บไม่นานมานี้, OTP ก็ใช้ผ่านอีเมลทั้งที่ไม่ได้ช่วยเพิ่มความปลอดภัย
lewcpe.com, @wasonliw
Steam ใช้ Steam Guard ได้ครับ ดูผ่านแอพเหมือน Google Authenticator เลยครับ
บล็อก: nitpum.com
+1 ไม่ต้องบังคับทุกคนหรอก แต่คนที่อยากได้ความปลอดภัยสูงๆหรือไม่สะดวกจะใช้ sms ก็ควรจะมีตัวเลือกนี้นะ
ยังมีเรื่องความสะดวกของผู้ใช้งานด้วยครับ ถ้าธนาคารแจก HW Token แล้วเราต้องพกติดตัวไปตลอดเพื่อทำธุรกรรม หรือบางทีวางทิ้งไว้ในบ้านแล้วหาไม่เจอเวลาจะใช้ สรุปแล้วทำธุรกรรมไม่ได้ น่าจะสร้างปัญหา(ในมุมผู้ใช้)มากกว่าที่จะชอบครับ สุดท้ายจะกลายเป็นไล่ลูกค้าส่วนใหญ่ เหลือแต่คนที่ต้องการความปลอดภัยสูงๆ เท่านั้น ฝั่งธนาคารเลยใช้การ Limit Loss ด้วยวงเงินแทน
ปัญหาคือ "คนที่ต้องการความปลอดภัยสูงๆ" ธนาคารก็ไม่เปิดตัวเลือกให้ ช่วงหลังหลายธนาคารที่เคยให้ก็ยกเลิกหมด
ผมไม่คิดว่ามีข้ออ้างอื่นนอกจจากประหยัดต้นทุนครับ
lewcpe.com, @wasonliw
คงไม่ได้เป็นข้ออ้างอะไรหรอกครับ ก็ประหยัดต้นทุนตรงๆ เลย เพราะ Demand ไม่คุ้มต้นทุน และ Loss Data ที่เกิดก็น้อยมาก
คงต้องให้คนไทยตื่นตัวเรื่อง Cyber Security กันเยอะๆ มี Demand ตรงนี้มากพอ บางแบงก์ก็คงกลับมาเพิ่ม Option อีกรอบเองครับ (หวังว่า)
อันนี้ผมว่าเป็นความอ่อนแอของการกำกับดูแลของ BoT ครับ พอ loss น้อยพอธนาคารก็ไม่ทำได้ ทั้งที่เป็น best practice
เงินหายสักล้านสองล้านทำเรื่องขอคืนสักเดือนธนาคารแทบไม่เสียอะไร เสียหน้านิดหน่อย แต่ถ้าเป็นฝั่งลูกค้านี่ชีวิตสะดุดเป็นสัปดาห์ หรือเป็นเดือน ไม่ต้องทำอย่างอื่นเลย
lewcpe.com, @wasonliw
อันนี้คงแยกเป็นสองเรื่องครับ ถ้าเรื่องปรับมาตรฐานให้เป็น Best Practice แบบนี้ธปท. จะบังคับ สง. ได้ก็คือต้องเขียนลงในประกาศเลย เช่น "สง. ต้องมีเสนอบริการให้ลูกค้าสามารถเลือกยืนยันตัวตนด้วยวิธี XXX" ซึ่งกรอบมันจะแคบและไม่ยืดหยุ่น อีกอย่างคือประกาศแต่ละครั้งมันไม่สามารถระบุเป็นราย สง. ได้ ถ้าประกาศให้เหมือนกันหมดพวก สง. เล็กๆ มีลูกค้ารายย่อยน้อยแต่ต้องลงทุนระบบเท่าแบงก์ใหญ่ก็คงโวยวายกันแน่นอน
ส่วนอีกเรื่องคือการตรวจสอบข้อผิดพลาด จนถึงลูกค้าได้เงินคืน ผมเห็นด้วยว่าปัจจุบัน SLA มันนานเกินไป ก็หวังอยู่ว่าผู้ออกนโยบายจะรู้สึกเหมือนกันแล้วปรับให้มันเร็วขึ้นครับ
จริงๆ อย่างท่า NIST นี่ก็ดีนะครับ "สามารถใช้ SMS ต่อไปโดยต้องเสนอทางเลือกอื่นด้วย" แล้วที่เหลือจะไปเลือกท่ายากง่าย software OTP ก็ได้ ถูกหน่อย ใครเทพก็เลือก U2F ก็ได้ ตามแต่ใครจะสะดวก
lewcpe.com, @wasonliw
ก็อิงตาม demand แหละครับ คนใช้งานส่วนน้อยที่ตระหนักเรื่องความปลอดภัยระดับนั้น ก็เลยเลือกที่จะไม่ลงทุนกับอะไรที่มันไม่คุ้มค่า ยังไงพวกนี้ก็เป็นภาคธุรกิจอยู่ดีอ่ะนะ
ผมเห็นด้วยกับหลายๆท่านที่ควรจะมีเปิดให้เลือกว่าจะใช้การยืนยันตัวตนระบบไหน ใครไม่ซีเรียสอยากใช้งานง่ายๆก็ใช้แบบเดิมไป
. . . . //จิ้มตู้ ATM พลางกดดูกระทู้