จับได้แล้วตำนานลือชื่อ

เชื่อว่าหลายคนยังจำได้ดีถึงกรณีที่บริษัทตรวจสอบเครดิตยักษ์ใหญ่ในสหรัฐอเมริกา ที่ถูกค้นพบว่าทำหน้าที่ให้การรักษาข้อมูลของลูกค้าบกพร่องเป็นอย่างมาก เป็นเหตุให้ข้อมูลส่วนบุคคลของลูกค้ารั่วไหล เกิดจากช่องโหว่จำนวนมาก ที่ทางบริษัทกระทำ ทั้งการตั้งชื่อผู้ใช้งานและรหัสผ่านด้วยคำว่า “Admin” ที่คาดเดาง่าย การไม่เข้ารหัสข้อมูลส่วนบุคคลของลูกค้า และอื่นๆ อีกมาก

ล่าสุด กระทรวงยุติธรรมของสหรัฐอเมริกาได้แถลงจับกุมแฮกเกอร์ที่เป็นทหารชาวจีน 4 คน ผู้อยู่เบื้องหลังเหตุการณ์ทั้งหมด โดยข้อมูลที่รั่วไหลออกไป เป็นข้อมูลส่วนบุคคลและข้อมูลทางการเงินของชาวอเมริกันราว 150 ล้านคน ทางอัยการสูงสุด และเจ้าหน้าที่เอฟบีไอระดับสูง ระบุว่า การก่ออาชญากรรมครั้งนี้ถือว่า เป็นการก่ออาชญากรรมทางไซเบอร์ที่มีการสนับสนุนโดยรัฐที่ถือว่าเป็นครั้งใหญ่ที่สุดเท่าที่มีการเปิดเผยมา

ทั้งนี้ ผู้ถูกกล่าวหาทั้งหมด 4 คน ถูกระบุว่า มีส่วนเกี่ยวข้องกับการโจรกรรมข้อมูลที่เป็นความลับทางการค้า ข้อมูลสำคัญอื่นๆ รวมถึงข้อมูลลับจากองค์กรธุรกิจในสหรัฐอเมริกาในช่วงหลายปีที่ผ่านมา

จากรายงานพบว่า แฮกเกอร์ทำการจู่โจมเซิร์ฟเวอร์ของบริษัทแห่งนี้ โดยอาศัยช่องโหว่ที่เกิดขึ้นในโครงสร้างเว็บไซต์ของผู้ให้บริการชื่อดังเจ้าหนึ่ง ซึ่งทางบริษัทแห่งนี้ได้ใช้บริการอยู่ แม้ว่าภายในตอนหลังเจ้าของโครงสร้างเว็บไซต์จะได้ออกแพตช์ปิดกั้นช่องโหว่นี้แล้ว แต่บริษัทที่ตกเป็นเหยื่อกลับไม่ได้ทำการอัพเดทให้ทันท่วงที

ทำให้แฮกเกอร์สามารถจู่โจมโดยใช้ประโยชน์จากช่องโหว่นี้เข้าไปยังหน้าพอร์ทัลเว็บ และขโมยข้อมูลสำหรับการเข้าสู่ระบบเพื่อใช้เข้าไปในระบบเครือข่ายของบริษัทที่ตกเป็นเหยื่อรายนี้ต่อ จากนั้นใช้เวลาหลายสัปดาห์ในการระบุโครงสร้างฐานข้อมูล เพื่อเสาะหาข้อมูลส่วนบุคคล ข้อมูลที่สำคัญๆในระบบของบริษัทแห่งนี้

เมื่อเข้าถึงไฟล์ต่างๆได้แล้วนั้น คนร้ายจึงเก็บข้อมูลเหล่านั้นไว้ในไฟล์ Temporary Output และบีบอัดไว้ เพื่อแบ่งข้อมูลออกเป็นส่วนๆ ให้ง่ายแก่การดาวโหลดและส่งข้อมูลเหล่านี้ออกมาจากระบบเครือข่ายของเหยื่อไปยังเครื่องคอมพิวเตอร์นอกประเทศต้นทางต่อไป เป็นที่เปิดเผยว่าแฮกเกอร์ได้เรียกข้อมูลประมาณ 9,000 ครั้งบนเครื่องเซิร์ฟเวอร์ของเหยื่อ และได้ข้อมูล วันเดือนปีเกิด เลขที่บัตรประกันสังคม ของชาวอเมริกันเกือบครึ่งประเทศไป

ผลจากเหตุการณ์ข้อมูลรั่วไหลในครั้งนี้ ทำให้บริษัทตรวจสอบเครดิตที่ตกเป็นเหยื่อถูกปรับเป็นเงินถึง 500,000 ปอนด์ จากหน่วยงานรักษาความปลอดภัยทางด้านข้อมูลส่วนบุคคลของประเทศอังกฤษเนื่องจากไม่มีมาตราการป้องกันข้อมูลที่ดีพอให้กับลูกค้าที่เป็นพลเมืองอังกฤษ รวมไปถึงต้องจ่ายอีก 700 ล้านดอลล่าสหรัฐในกระบวนการสืบสวนสอบสวนจากทางภาครัฐของสหรัฐอเมริกา

ในส่วนของแฮกเกอร์ชาวจีน นี่ไม่ใช่ครั้งแรกที่ทางสหรัฐอเมริกาจับกุมแฮกเกอร์ชาวจีนได้ ในปี 2014 และ 2015 ก็เคยเกิดเหตุการณ์เกี่ยวกับการจารกรรมข้อมูลที่กระทำโดยกลุ่มแฮกเกอร์ชาวจีนมาแล้ว

เชื่อว่ากรณีที่บริษัทแห่งนี้ถูกปรับเป็นยอดเงินมูลค่าสูง คงเป็นตัวอย่างให้หลายบริษัทเห็นว่า การไม่วางมาตราการรักษาข้อมูลส่วนตัวของลูกค้า จะส่งผลให้บริษัทต้องเสียทั้งชื่อเสียงและเม็ดเงินจำนวนมากให้กับกฎหมายคุ้มครองข้อมูลส่วนบุคคลของแต่ละประเทศที่ประกาศบังคับใช้ ซึ่งสำหรับประเทศไทยจะมีการบังคับใช้จริงในวันที่ 27 พฤษภาคมที่จะถึงนี้ครับ