เราเตอร์มือสอง ช่องโหว่ร้ายแรงที่อาจทำให้ข้อมูลองค์กรหลุดไหล
หลายคนคุ้นเคยกับการล้างข้อมูลในสมาร์ทโฟนหรือแล็ปท็อปก่อนจะขายต่อหรือส่งต่อให้คนใกล้ชิด เพื่อป้องกันไม่ให้ข้อมูลส่วนตัวที่สำคัญตกไปอยู่ในมือผู้อื่น แต่ในระดับองค์กร ความประมาทเช่นนี้อาจนำไปสู่หายนะทางธุรกิจได้ เมื่ออุปกรณ์เครือข่ายระดับองค์กรจำนวนมากถูกปล่อยขายในตลาดมือสองโดยที่ไม่มีการลบข้อมูลภายในออกอย่างถูกต้อง
ทีมนักวิจัยจาก ESET บริษัทด้านความปลอดภัยทางไซเบอร์ ได้เปิดเผยข้อมูลที่น่าตกใจในงานประชุม RSA ที่ซานฟรานซิสโก โดยระบุว่าเราเตอร์ระดับองค์กรมือสองที่นำมาทดสอบมากกว่าครึ่งหนึ่ง ยังคงมีข้อมูลสำคัญของเจ้าของเดิมหลงเหลืออยู่ครบถ้วน ซึ่งข้อมูลเหล่านี้เปรียบเสมือนกุญแจที่เปิดประตูให้แฮกเกอร์เข้าถึงระบบภายในขององค์กรได้อย่างง่ายดาย
ผลการทดสอบที่น่ากังวล: ข้อมูลหลุดเพียงแค่เสียบปลั๊ก
จากการสุ่มซื้อเราเตอร์มือสองจำนวน 18 เครื่อง จากแบรนด์ชั้นนำอย่าง Cisco, Fortinet และ Juniper Networks พบว่ามีเพียง 5 เครื่องเท่านั้นที่ถูกล้างข้อมูลอย่างถูกต้อง ในขณะที่ 9 เครื่องสามารถเข้าถึงข้อมูลภายในได้ทันที ส่วนที่เหลือเป็นเครื่องที่เข้ารหัสไว้ เครื่องที่เสีย และเครื่องที่เป็นสำเนาของอุปกรณ์อื่น
สำหรับอุปกรณ์ 9 เครื่องที่ไม่มีการป้องกัน นักวิจัยพบข้อมูลที่มีความเสี่ยงสูง ดังนี้:
- ข้อมูลการเข้าถึง: พบรหัสผ่านสำหรับ VPN, บริการสื่อสารเครือข่ายที่ปลอดภัย และรหัสผ่านของผู้ดูแลระบบระดับ Root ที่ถูกเก็บในรูปแบบ Hashed (การแปลงรหัสผ่านเป็นชุดตัวอักษรที่อ่านไม่ออกเพื่อความปลอดภัย แต่ยังสามารถถูกถอดรหัสได้)
- ข้อมูลระบุตัวตน: ทุกเครื่องมีข้อมูลเพียงพอที่จะระบุได้ว่าใครเป็นเจ้าของหรือผู้ใช้งานเดิม
- กุญแจเชื่อมต่อ: 8 ใน 9 เครื่องมีกุญแจยืนยันตัวตนระหว่างเราเตอร์ (Router-to-router authentication keys) และรายละเอียดการเชื่อมต่อกับแอปพลิเคชันเฉพาะขององค์กร
- การเข้าถึงเครือข่ายภายนอก: 4 เครื่องมีข้อมูลการเชื่อมต่อไปยังเครือข่ายของพันธมิตรหรือบุคคลที่สาม และ 3 เครื่องมีข้อมูลที่ช่วยให้บุคคลภายนอกสามารถเชื่อมต่อเข้าสู่เครือข่ายของเจ้าของเดิมได้
- ข้อมูลลูกค้า: มี 2 เครื่องที่พบข้อมูลของลูกค้าโดยตรง
ทำไมข้อมูลในเราเตอร์ถึงอันตรายกว่าที่คิด?
Cameron Camp นักวิจัยหลักจาก ESET อธิบายว่า เราเตอร์หลัก (Core Router) คือจุดศูนย์กลางที่ข้อมูลทุกอย่างในองค์กรต้องไหลผ่าน ดังนั้นผู้ที่ครอบครองเราเตอร์เหล่านี้จะเห็นภาพรวมของแอปพลิเคชันและโครงสร้างทั้งหมดขององค์กร ทำให้สามารถปลอมแปลงเป็นองค์กรนั้นๆ ได้อย่างแนบเนียน
ความเสี่ยงนี้ไม่ได้หยุดอยู่แค่การขโมยข้อมูล แต่ยังรวมถึงการทำ Reconnaissance หรือการสำรวจหาจุดอ่อนเพื่อวางแผนโจมตีด้วย Ransomware หรือการจารกรรมข้อมูลทางธุรกิจ เช่น การพบว่าองค์กรใช้ซอฟต์แวร์เวอร์ชันเก่าที่มีช่องโหว่ หรือแม้กระทั่งข้อมูลเกี่ยวกับระบบรักษาความปลอดภัยทางกายภาพของอาคารสำนักงาน
| ประเภทข้อมูลที่พบ | ผลกระทบต่อองค์กร | ระดับความเสี่ยง |
|---|---|---|
| รหัสผ่าน VPN / Root Password | แฮกเกอร์เข้าควบคุมระบบเครือข่ายได้โดยตรง | สูงมาก |
| กุญแจยืนยันตัวตน (Auth Keys) | การปลอมแปลงตัวตนเพื่อเข้าถึงระบบภายใน | สูง |
| โครงสร้างเครือข่าย (Topology) | ใช้เป็นแผนที่ในการวางแผนโจมตีทางไซเบอร์ | สูง |
| ข้อมูลลูกค้า / ข้อมูลส่วนบุคคล | ละเมิดความเป็นส่วนตัวและผิดกฎหมายคุ้มครองข้อมูล | สูง |
ข้อเท็จจริงสำคัญ
- เราเตอร์มือสองราคาถูกอาจกลายเป็นเครื่องมือให้อาชญากรไซเบอร์ใช้ "ขุด" ข้อมูลเพื่อนำไปขายใน Dark Web
- การใช้บริการบริษัทกำจัดขยะอิเล็กทรอนิกส์ (e-waste) หรือบริษัทล้างข้อมูลภายนอก ไม่ได้รับประกันว่าข้อมูลจะถูกลบจริงเสมอไป
- รหัสผ่านที่ถูก Hash ไว้ ไม่ได้ปลอดภัย 100% เพราะสามารถถูกถอดรหัส (Crack) ได้หากตั้งรหัสผ่านที่คาดเดาง่าย
- การเปิดใช้งานการเข้ารหัส (Encryption) ในตัวอุปกรณ์ตั้งแต่ต้น จะช่วยลดความเสียหายได้หากอุปกรณ์สูญหายหรือถูกขายต่อ
คำถามที่พบบ่อย
การล้างข้อมูลแบบปกติเพียงพอหรือไม่?
ไม่เพียงพอ หากเป็นการลบไฟล์แบบธรรมดา ข้อมูลอาจยังคงค้างอยู่ในหน่วยความจำ การล้างข้อมูลอุปกรณ์เครือข่ายต้องใช้กระบวนการ Sanitization ที่ถูกต้องตามมาตรฐานความปลอดภัย
ทำไมแฮกเกอร์ถึงต้องการเราเตอร์มือสอง?
เพราะเป็นวิธีที่ลงทุนต่ำแต่ได้ผลตอบแทนสูง ข้อมูลการตั้งค่าเครือข่ายและรหัสผ่านที่หลงเหลืออยู่ช่วยให้แฮกเกอร์ไม่ต้องเสียเวลาเจาะระบบจากภายนอก แต่สามารถเข้าถึงระบบภายในได้ทันที
องค์กรควรป้องกันปัญหานี้อย่างไร?
ควรใช้ฟีเจอร์การเข้ารหัสข้อมูลในตัวอุปกรณ์ และมีนโยบายการทำลายข้อมูลดิจิทัลอย่างเข้มงวดก่อนส่งมอบอุปกรณ์ให้บุคคลที่สาม หรือตรวจสอบการทำงานของบริษัทรับกำจัดขยะอิเล็กทรอนิกส์อย่างใกล้ชิด
ข้อมูลประเภท Hashed Password ปลอดภัยจริงหรือ?
ไม่เสมอไป นักวิจัยจาก Red Balloon Security พบว่ารหัสผ่านที่ถูก Hash สามารถถูกถอดรหัสได้ง่ายหากผู้ใช้ตั้งรหัสผ่านที่เรียบง่าย เช่น ชื่อสัตว์เลี้ยง ทำให้ข้อมูลเหล่านี้ยังคงมีความเสี่ยง
