Image
By arjin Writer on Tag: Slack, Security
Slack

Slack ประกาศว่าได้ทำการรีเซ็ตรหัสผ่านของผู้ใช้งาน จำนวนประมาณ 1% ของผู้ใช้งาน ซึ่งหากอ้างอิงตัวเลขจำนวนผู้ใช้ที่ Slack เคยรายงาน จะอยู่ราว 1 แสนบัญชี

บัญชีผู้ใช้งานที่ได้รับผลกระทบนั้น Slack บอกว่าต้องมีเงื่อนไขตรงกัน 3 ข้อ คือ เป็นบัญชีที่สร้างก่อนมีนาคม 2015 และ ไม่เคยเปลี่ยนรหัสผ่านเลย และ ไม่ถูกกำหนดให้ต้องล็อกอินผ่าน single-sign-on (SSO)

By arjin Writer on Tag: Zoom, Security, Apple, macOS
Zoom

แอปเปิลได้ออกแพตช์ลบซอฟต์แวร์สำหรับผู้ใช้ macOS ทุกคน เป็นครั้งที่สอง โดยซอฟต์แวร์ที่ถูกถอนออกคือ RingCentral และ Zhumu ซึ่งเป็นแอปประชุมทางวิดีโอที่ใช้เทคโนโลยีของ Zoom ที่มีรายงานช่องโหว่ออกมา และแอปเปิลได้ออกแพตช์ไปก่อนหน้านี้

อัพเดตดังกล่าวเป็นการแพตช์แบบเงียบ ๆ (Silent Update) ผู้ใช้ไม่ต้องทำอะไรเพิ่มเติม ซึ่งจะทำการลบ web server ที่ทั้งสองโปรแกรมลงเพิ่มเติมเข้ามา

ทั้งนี้แอปเปิลชี้แจงว่าแอปเปิลต้องการแก้ไขปัญหาของแอปจาก Zoom ตลอดจนแอปของพาร์ตเนอร์ทั้งหมดให้เรียบร้อย

By mk Founder on Tag: Germany, Banking, Authentication, SMS, Security
Germany

ธนาคารของเยอรมนีหลายราย ประกาศแผนการเลิกใช้ระบบยืนยันตัวตนแบบ OTP ผ่าน SMS เนื่องจากเป็นวิธีการยืนยันตัวตนที่ "ไม่ปลอดภัย" ซะแล้ว

การขยับตัวของธนาคารในเยอรมนี เป็นผลมาจากกฎหมาย Payment Services Directive (PSD) ของสหภาพยุโรปที่ออกในปี 2015 และมีผลบังคับใช้ในวันที่ 14 กันยายนปีนี้ ซึ่งกฎหมายระบุว่าธนาคารต้องใช้วิธีการยืนยันตัวตนที่ผ่านมาตรฐาน strong customer authentication (SCA) ที่แข็งแกร่งเพียงพอ

ตัวอย่างวิธีการยืนยันตัวตนที่ผ่านมาตรฐาน SCA คือ การใช้รหัสผ่าน, PIN, passphrase, การตอบคำถามที่อิงกับความรู้, การลากนิ้วเป็นเส้น

By BlackMiracle Writer on Tag: Zoom, Apple, Security
Zoom

จากประเด็นอื้อฉาวเรื่องช่องโหว่ของ Zoom เวอร์ชันแมคที่เปิดช่องให้ผู้ไม่ประสงค์ดีแอบล่อให้เหยื่อเข้าสู่การประชุมและเปิดกล้องโดยไม่รู้ตัว

ล่าสุดแอปเปิลได้ออกแพตช์ในฝั่งตัวเองด้วยเพื่อลบ web server ที่ Zoom ติดตั้งไว้เพื่อเป็น "ฟีเจอร์" ให้ผู้ใช้งานเข้าสู่การประชุมได้โดยง่าย โดยแพตช์ดังกล่าวจะถูกอัพเดตสู่เครื่องผู้ใช้แมคทุกคนอย่างเงียบๆ และผู้ใช้ไม่ต้องทำอะไร

By lew Founder on Tag: Zoom, Security
Zoom

Zoom ประกาศออกแพตช์พิเศษ หลังจากนักวิจัยความปลอดภัยไซเบอร์รายงานช่องโหว่ดึงเหยื่อให้เข้าประชุมแล้วถ่ายทอดสดภาพผู้ใช้ออกไป โดยแพตช์ใหม่จะถอนการติดตั้งเว็บเซิร์ฟวเอร์ออกทั้งหมด และแพตช์ต่อไปในวันศุกร์นี้จะเพิ่มตัวเลือกในการปิดวิดีโอเป็นค่าเริ่มต้น สำหรับการร่วมประชุมในอนาคต

ทาง Zoom ชี้แจงการฝังเว็บเซิร์ฟเวอร์ไว้ในเครื่องผู้ใช้ ว่าทำไปเพื่อหลบเลี่ยงมาตรการความปลอดภัยของ Safari 12 ที่บังคับให้ผู้ใช้ต้องกดยืนยันก่อนเข้าร่วมประชุม และทาง Zoom "รู้สึก" ว่าการบังคับของ Safari ทำให้ประสบการณ์ผู้ใช้ไม่ดี จึงได้สร้างเว็บเซิร์ฟเวอร์ขึ้นมา

By nutmos Writer on Tag: Marriott, Hotel, Security, Hack, GDPR, United Kingdom
Marriott

คณะกรรมาธิการด้านข้อมูลของสหราชอาณาจักรหรือ ICO กำลังเตรียมสั่งปรับ Marriott เชนโรงแรมขนาดใหญ่เป็นเงินจำนวน 99 ล้านปอนด์ ฐานไม่รักษาความปลอดภัยของข้อมูลลูกค้าอย่างเพียงพอ จนส่งผลให้ข้อมูลลูกค้าของบริษัทหลุดเป็นจำนวนมาก

ย้อนกลับไปเมื่อปีที่แล้ว Marriott ได้ประกาศว่าฐานข้อมูลของโรงแรมเครือ Starwood ถูกแฮก ทำให้มีผู้เข้าถึงโดยไม่ได้รับอนุญาตมาตั้งแต่ปี 2014 แต่เพิ่งจะถูกค้นพบเมื่อปีที่แล้ว ผลกระทบจากการถูกแฮกครั้งนี้คือข้อมูลสำคัญของลูกค้าโรงแรมรั่วไหลออกไปถึง 383 ล้านคน

By lew Founder on Tag: Zoom, Security
Zoom

Jonathan Leitschuh นักวิจัยความมั่นคงปลอดภัยไซเบอร์ รายงานถึงช่องโหว่ของแอปประชุมออนไลน์ Zoom ที่เปิดทางให้ผู้ที่ "เคยติดตั้งแอป" Zoom บนเครื่องแมคถูกโจมตี แอบมองภาพผ่านกล้องเว็บแคม และอาจจะถูกติดตั้งซอฟต์แวร์ลงบนเครื่องได้

By nismod Writer on Tag: British Airways, Data Breach, Security, UK, GDPR
British Airways

ต่อเนื่องจากกรณีที่ British Airways ทำข้อมูลสำคัญและข้อมูลบัตรเครดิตลูกค้าหลุดเมื่อปีที่แล้ว ล่าสุดคณะกรรมาธิการด้านข้อมูลของสหราชอาณาจักร (Information Commissioner Office) สั่งปรับ British Airways เป็นเงินกว่า 183 ล้านปอนด์ ซึ่งสูงที่สุดที่ ICO เคยปรับมา

By lew Founder on Tag: Bank of Thailand, Banking, Security
Bank of Thailand

เมื่อสัปดาห์ที่ผ่านมา ศูนย์ปราบปรามอาชญากรรมทางเทคโนโลยีสารสนเทศ สำนักงานตำรวจแห่งชาติ ได้โพสแจ้งเตือนถึงภัย "โกงเงินแบบใหม่" ที่คนร้ายอาศัยฟีเจอร์ผูกกระเป๋าเงินอิเล็กทรอนิกส์เข้ากับบัญชี

คนร้ายอาศัยกระบวนการอนุญาตให้ผูกเงินของหลายธนาคารที่ค่อนข้างง่าย เพียงกด "ยอมรับ" ในข้อความยาวๆ ที่ไม่แจ้งเตือนให้ชัดเจนว่าจะมีผลอย่างไรบ้าง เมื่อกดแล้วคนร้ายก็สามารถดูดเงินออกจากบัญชีทั้งหมดได้ภายในไม่กี่นาที

By lew Founder on Tag: Security, Japan, Mobile Payment
Security

ผู้ใช้แอป 7pay ที่เป็นบริการของ 7-Eleven ในญี่ปุ่นถูกขโมยบัญชีจนกระทั่งเสียเงินเป็นวงกว้าง รวมเหยื่อประมาณ 900 คน มูลค่าความเสียหาย 55 ล้านเยน หรือประมาณ 15 ล้านบาท จากการออกแบบระบบรีเซ็ตรหัสผ่านที่ผิดพลาด

หน้าจอรีเซ็ตรหัสผ่านของ 7pay ถามข้อมูลอีเมล, วันเกิด, และหมายเลขโทรศัพท์ แต่หลังจากนั้นกลับมีหน้าจอถามว่าต้องการให้ส่งลิงก์รีเซ็ตรหัสผ่านไปที่ใด ทำให้คนร้ายที่รู้ข้อมูลเบื้องต้นของเหยื่อสามารถขโมยบัญชีของเหยื่อได้โดยง่าย

By nutmos Writer on Tag: AWS, Amazon, Security, Cloud
AWS

AWS ประกาศว่า Security Hub บริการเพื่อตรวจสอบด้านความปลอดภัยของ resource ต่าง ๆ บนคลาวด์ และรวบรวมข้อมูลทั้งหมดไว้ในพื้นที่เดียวเพื่อความง่ายในการตรวจสอบ ได้เข้าสู่สถานะ GA พร้อมให้บริการเต็มรูปแบบแล้ว

Security Hub นี้เกิดขึ้นมาเพื่อตอบโจทย์ด้านความปลอดภัย เนื่องจากนักพัฒนามักจะไม่ใช่ผู้เชี่ยวชาญด้านความปลอดภัย และบ่อยครั้งอาจคอนฟิกระบบพลาดจนทำให้เกิดช่องโหว่ด้านความปลอดภัยที่สำคัญ ซึ่ง Security Hub จะมีคอนฟิกที่คอยตรวจสอบ resource บนคลาวด์ให้อัตโนมัติตามมาตรฐานต่าง ๆ เพื่อให้มั่นใจว่า resource ต่าง ๆ จะเป็นไปตามเงื่อนไขด้านความปลอดภัยที่กำหนดไว้

By lew Founder on Tag: Security, PGP, Spam
Security

Robert J. Hansen ผู้ดูแลเอกสารของ GnuPG รายงานถึงการโจมตีเซิร์ฟเวอร์กุญแจ (Synchronizing Key Server - SKS) ที่ใช้ค้นหากุญแจสาธารณะสำหรับผู้รับอีเมลปลายทาง ถูกโจมตีโดยมุ่งเป้าไปยังนักพัฒนาบางคนด้วยการโพสใบรับรองกุญแจจำนวนมาก จน OpenPGP ทำงานไม่ได้ หรือทำงานได้ช้า

By mk Founder on Tag: Chronicle, Alphabet, Google, Google Cloud, Security
Chronicle

Alphabet ประกาศยุบบริษัทลูก Chronicle บริษัทด้านระบบความปลอดภัยไซเบอร์ที่แยกตัวมาตอนต้นปี 2018 กลับเข้าไปอยู่ใต้ Google โดยจะเป็นส่วนหนึ่งของธุรกิจ Google Cloud

Chronicle เคยเป็นส่วนหนึ่งของ X (หรือชื่อเดิมคือ Google X) ก่อนที่จะแยกตัวออกมาเป็นบริษัทลูกของ Alphabet (มีศักดิ์เท่ากับ Google และ X) เมื่อเดือนมกราคม 2018 โดยดึงเอา VirusTotal แอนตี้ไวรัสที่กูเกิลซื้อมาในปี 2018 เข้ามาอยู่ใต้สังกัดด้วย และภายหลังก็เปิดตัวบริการ BackStory ที่ช่วยวิเคราะห์ล็อกไฟล์ขนาดใหญ่

By lew Founder on Tag: Microsoft, Linux, Security
Microsoft

ไมโครซอฟท์ส่งใบสมัครเข้าวงเมลลิ่งลิสต์ oss-security ในฐานะผู้ผลิตลิุนกซ์ดิสโทร โดยเมลนี้จะทำให้ไมโครซอฟท์เข้าถึงรายงานช่องโหว่ความปลอดภัยได้ล่วงหน้าก่อนที่จะมีการเปิดเผยช่องโหว่ต่อสาธารณะ

โดยปกติแล้ว สมาชิกของ oss-security จะเป็นผู้ผลิตลินุกซ์ดิสโทรที่มีผู้ใช้มากเพียงพอ, เป็นผู้สร้างดิสโทรหลักของตัวเอง, มีประวัติการรับและแก้ไขปัญหาช่องโหว่ความปลอดภัยที่สม่ำเสมอ

ไมโครซอฟท์ระบุว่าตัวเองมีลินุกซ์ในความดูแลถึง 3 กลุ่ม ได้แก่ Azure Sphere ที่เป็นลินุกซ์สำหรับ IoT, WSL2 ลินุกซ์ที่รันเคียงอยู่กับวินโดวส์, และกลุ่มคลาวด์คือ Azure HDInsight / Azure Kubernetes Service

By nismod Writer on Tag: VLC, Security
VLC

VLC ออกแจ้งเตือนการค้นพบช่องโหว่ CVE-2019-5439 และ CVE-2019-12874 ระดับวิกฤติ 2 ช่อง ซึ่งเป็นช่องโหว่ในกระบวนการอ่านและประมวลผลไฟล์วิดิโอ หากเหยื่อเปิดไฟล์ .avi หรือ .mkv ที่ไม่ประสงค์ดี แฮกเกอร์สามารถรันโค้ดที่มากับไฟล์วิดิโอผ่านช่องโหว่ดังกล่าวได้ด้วยสิทธิเดียวกับผู้ที่เปิดไฟล์

ช่องโหว่นี้กระทบกับ VLC เวอร์ชัน 3.0.6 ลงไป โดยล่าสุด VLC อัพเดตเวอร์ชัน 3.0.7 ออกมาเพื่ออุดช่องโหว่นี้แล้ว ดังนั้นใครใช้ VLC อยู่รีบอัพเดตโดยด่วน

By nutmos Writer on Tag: FIDO, Internet of Things, Security
FIDO

FIDO Alliance ประกาศตั้งกลุ่มกำหนดมาตรฐานอุตสาหกรรมด้าน IoT ขึ้นมาสองกลุ่ม เพื่อนำระบบยืนยันตัวตนของ FIDO เข้ามาใช้งานเป็นมาตรฐานในกลุ่มสินค้าประเภท IoT เพื่อให้ IoT ที่กำลังจะแพร่หลายในอนาคตมีมาตรฐานด้านความปลอดภัยที่ชัดเจนและรัดกุมกว่าปัจจุบัน

กลุ่มที่กำหนดมาตรฐานกลุ่มแรกคือ Identity Verification and Binding Working Group ที่จะกำหนดกฎเกณฑ์ของ remote ID verification รวมถึงพัฒนาเอกสารให้ความรู้และจัดทำกระบวนการออกใบรับรองให้ผู้ผลิตสินค้า IoT ที่ผ่านมาตรฐานด้วย

By arjin Writer on Tag: Ransomware, Cybersecurity, Security
Ransomware

เมือง Lake City ในรัฐฟลอริด้า สหรัฐอเมริกา เป็นเมืองที่ 2 ต่อจาก Riviera Beach ที่พบปัญหาระบบคอมพิวเตอร์ของหน่วยงานท้องถิ่นติด Ransomware แพร่ระบาด และสภาเมืองก็ได้ลงมติให้จ่ายค่าไถ่แฮกเกอร์เพื่อแลกกับกุญแจถอดรหัสคืน

ทั้งนี้แฮกเกอร์ได้ติดต่อเรียกค่าไถ่ผ่านบริษัทประกันภัยของเมือง โดยคิดค่าถอดรหัส 42 บิตคอยน์ หรือราว 500,000 ดอลลาร์ ซึ่งล่าสุดได้มีการจ่ายค่าไถ่เรียบร้อยแล้ว และกำลังอยู่ในขั้นตอนถอดรหัสกู้ข้อมูลคืน

By mk Founder on Tag: macOS, Security, Malware, Apple
macOS

นักวิจัยด้านความปลอดภัย ค้นพบมัลแวร์ตัวใหม่ของ macOS ที่อาศัย__ช่องโหว่ที่แอปเปิลยังไม่ออกแพตช์__เป็นช่องทางในการโจมตี

มัลแวร์ตัวนี้ถูกตั้งชื่อว่า OSX/Linker ค้นพบโดย Joshua Long นักวิจัยด้านความปลอดภัยจากบริษัท Intego

OSX/Linker อาศัยช่องโหว่ของ Gatekeeper ระบบรักษาความปลอดภัยของ macOS ที่ค้นพบและเปิดเผยในเดือนพฤษภาคม หลักการของช่องโหว่นี้คือ Gatekeeper จะไม่สแกนไฟล์ประเภท symbolic link (symlink) ที่อยู่ในไฟล์บีบอัดข้อมูล และสามารถใช้ symlink เชื่อมกลับไปยังเซิร์ฟเวอร์ NFS ของแฮ็กเกอร์ได้

By nismod Writer on Tag: Huawei, USA, Security, Network
Huawei

Wall Street Journal ระบุว่าได้รับรายงานของบริษัทด้านความปลอดภัยไซเบอร์ Finite State ที่ชี้ว่าอุปกรณ์เครือข่ายของ Huawei มีแนวโน้มจะถูกโจมตีจากแฮกเกอร์ได้มากกว่าแบรนด์คู่แข่งอื่นๆ ซึ่งรายงานชิ้นนี้ถูกส่งมอบให้รัฐบาลสหรัฐและสหราชอาณาจักรแล้วด้วย

นักวิจัยได้นำเฟิร์มแวร์สำหรับอุปกรณ์เครือข่ายสำหรับองค์กรของ Huawei กว่า 10,000 ตัว มาทดสอบผ่านอุปกรณ์กว่า 500 ชิ้น ก่อนจะพบว่าเฟิร์มแวร์กว่า 55% มีช่องโหว่อย่างน้อยๆ 1 ช่องโหว่ ซึ่งถือว่าสูงกว่าค่าเฉลี่ยที่เจอในอุปกรณ์ของคู่แข่งค่อนข้างมาก โดยช่องโหว่เหล่านั้นรายงานระบุว่ามีสิทธิจะเป็น backdoor ก็ได้ด้วยซ้ำไป (potential backdoor)

By nismod Writer on Tag: Oracle, WebLogic, Security, Security Patch
Oracle

Oracle ประกาศและแจ้งเตือนลูกค้า Oracle WebLogic ให้อัพเดตแพตช์อุดช่องโหว่ CVE-2019-2729 ซึ่งเป็นช่องโหว่ Zero-Day ที่มีคะแนน CVSS ถึง 9.8 จาก 10 ที่เปิดโอกาสให้แฮกเกอร์สามารถรันโค้ดทางไกลและเข้ายึดเครื่องได้โดยไม่ต้องยืนยันตัวตนใดๆ

Oracle WebLogic เวอร์ชันที่ได้รับผลกระทบคือ 10.3.6.0.0, 12.1.3.0.0, และ 12.2.1.3.0 โดยนักวิจัยด้านความปลอดภัยจาก KnownSec 404 ระบุว่ามีความพยายามโจมตีผ่านช่องโหว่นี้แล้วด้วย

Subscribe to Security