‘FanDuel’ สื่อกีฬายักษ์ใหญ่ เตือนแฮกเกอร์เจาะระบบข้อมูลลูกค้า

โดยเป็นระบบของ MailChimp บริษัทที่ใช้บริการด้านมาร์เก็ตตี้แพลตฟอร์มและอีเมลมาร์เก็ตติ้งเพื่อเข้าไปขโมยข้อมูลของลูกค้าและกลุ่มเป้าหมายที่คาดว่าจะเป็นลูกค้าในอนาคตของ FanDuel

จากการตรวจสอบพบว่า ข้อมูลที่ทางแฮกเกอร์ขโมยไปมีเฉพาะ ชื่อ ที่อยู่ และอีเมล เท่านั้น ส่วนข้อมูลเกี่ยวกับรหัสผ่าน ข้อมูลบัญชีทางการเงิน และข้อมูลส่วนตัวอื่นๆ แฮกเกอร์ยังไม่สามารถโจรกรรมไปได้ 

แฮกเกอร์เหล่านี้จะดำเนินการแฮกโดยเลือกใช้วิธีส่งฟิชชิ่งอีเมล ไปยังเป้าหมายและพยายามอ้างสิทธิ์เข้าถึงในบัญชี FanDuel ของเจ้าของบัญชีนั้นๆ ซึ่งเจ้าของบัญชีจำเป็นต้องให้ข้อมูลส่วนบุคคลหรือข้อมูลส่วนตัวเพื่อเข้าไปจัดการแก้ไขระบบ

FanDuel จึงได้ออกประกาศแจ้งเตือนเพื่อกระตุ้นให้ลูกค้าตื่นตัวและระมัดระวังภัยจาก phishing email โดยแจ้งเตือนไปยังลูกค้าทั้งหมดเพื่อเน้นย้ำว่า FanDuel ไม่มีนโยบายในการส่งอีเมลตรงไปหาลูกค้าเพื่อขอข้อมูลส่วนบุคคลในการแก้ไขปัญหาใดๆ ทั้งสิ้น พร้อมทั้งแจ้งวิธีที่จะช่วยเพิ่มความปลอดภัยให้กับบัญชีของลูกค้า 

ยกตัวอย่างเช่น การเปลี่ยนรหัสผ่านให้บ่อยครั้งมากยิ่งขึ้น หรือการเปิดฟังชั่นการใช้งานสำหรับการยืนยันตัวตนแบบหลายปัจจัย หรือ MFA (Multi-Factor Authentication) ผ่านแอปยืนยันตัวตนจะทำให้บัญชีถูกโจรกรรมได้ยากมากยิ่งขึ้น แม้ว่าแฮกเกอร์จะสามารถเข้าถึงข้อมูลประจำตัวของลูกค้าได้ก็ตาม

สำหรับข้อมูลลูกค้า FanDuel ที่ถูกโจรกรรมผ่านระบบของ MailChimp ไปแล้วนั้น แม้ว่าจะยังไม่มีการยืนยันเกี่ยวกับการนำข้อมูลดังกล่าวไปใช้ในการโจมตีต่อ แต่เหล่าแฮกเกอร์ยังคงใช้มันในการโจมตีทาง phishing email ต่อไปอยู่เรื่อยๆ

ยิ่งไปกว่านั้นบัญชีลูกค้าของ FanDuel ยังเป็นที่ต้องการของเหล่าบรรดาแฮกเกอร์เป็นอย่างมาก โดยมีความพยายามในการโจมตีบัญชีเหล่านี้เพื่อนำไปขายในตลาดมืดในราคาเพียง 2 ดอลลาร์หรือมากกว่านั้นขึ้นอยู่กับยอดคงเหลือของบัญชีหรือการเชื่อมต่อข้อมูลในการชำระเงิน 

อีกทั้งยังมีบัญชีผู้ใช้งาน FanDuel จำนวนมากที่มีการใช้ชุดข้อมูลเดียวกันกับ FanDuel ในการลงทะเบียนกับเว็บไซต์อื่นๆ แล้วก็ต้องประสบกับปัญหาการละเมิดข้อมูล โดยแฮกเกอร์จะใช้ข้อมูลประจำตัวเหล่านี้เพื่อพยายามเข้าสูระบบบัญชีที่ไซต์อื่นๆ และด้วยเหตุผลนี้เอง การใช้งาน password manager และการสร้างรหัสผ่านส่วนตัวในทุกๆ ไซต์จึงมีความสำคัญอย่างมากในการช่วยหลีกเลี่ยงและป้องกันการถูกละเมิดข้อมูลของบริษัทหนึ่งซึ่งอาจส่งผลกระทบกับผู้ใช้งานรายเดียวกันในอีกบริษัทหนึ่งได้

เมื่อช่วงกลางปีที่ผ่านมาบริษัท MailChimp ก็เคยประสบปัญหาการถูกแฮกระบบมาแล้ว โดยแฮกเกอร์ได้ขโมยข้อมูล marketing email เพื่อเจาะเข้าระบบ Trezor Hardware Wallet และมีการนำข้อมูลเหล่านี้ไปใช้ในแคมเปญฟิชชิ่งโดยแจ้งเตือนว่า มีการแฮกข้อมูลและหลอกให้ผู้ใช้งานคลิกลิงค์เพื่อเข้าสู่ระบบซอฟต์แวร์ที่อันตรายและขโมยกระเป๋าเงินคริปโตจำนวนมาก

เราจะเห็นได้ว่าปัญหา การโจมตีด้วยฟิชชิ่งอีเมลเป็นปัญหาหลักของทุกๆ องค์กรเพราะตัวแปรสำคัญนั่นคือ พนักงานและบุคลากรภายในองค์กรที่ยังขาดความรู้ความเข้าใจเรื่อง Cybersecurity Awareness 

ดังนั้นการฝึกทักษะให้บุคลากรภายในองค์กรและการสร้างความตระหนักรู้เรื่องไซเบอร์เป็นสิ่งที่สำคัญและจำเป็นอย่างมาก องค์กรควรจะมีระบบหรือแพลตฟอร์มที่สามารถฝึกอบรม 

โดยปัจจุบันมีโซลูชันให้เลือกหลากหลายมากที่สามารถช่วยพัฒนาความรู้และเพิ่มทักษะในการทำ phishing simulation เพื่อป้องกันฟิชชิงแบบใหม่ๆ ที่อาจเกิดขึ้นได้ในอนาคต