23andMe เผชิญวิกฤตข้อมูลรั่วไหลครั้งใหญ่ กระทบผู้ใช้งานหลายล้านราย
เหตุการณ์ความปลอดภัยทางไซเบอร์ของ 23andMe บริษัทตรวจวิเคราะห์พันธุกรรมระดับโลก กำลังกลายเป็นประเด็นร้อนหลังจากมีการเปิดเผยรายละเอียดเพิ่มเติมเกี่ยวกับการรั่วไหลของข้อมูล ซึ่งสร้างความกังวลให้กับผู้ใช้งานจำนวนมาก เนื่องจากข้อมูลที่ถูกขโมยไปนั้นมีความละเอียดอ่อนและเกี่ยวข้องกับอัตลักษณ์ทางชีวภาพโดยตรง
จุดเริ่มต้นของปัญหาเกิดขึ้นเมื่อ 23andMe รายงานว่ามีผู้ไม่หวังดีลักลอบเข้าถึงบัญชีผู้ใช้บางส่วน และใช้ช่องทางดังกล่าวในการดึงข้อมูล (Scrape) ของผู้ใช้งานรายอื่นผ่านบริการ DNA Relatives ซึ่งเป็นฟีเจอร์ที่ให้ผู้ใช้เลือกเข้าร่วมเพื่อค้นหาญาติที่มีสายเลือดเดียวกัน
เจาะลึกจำนวนผู้ได้รับผลกระทบ: มากกว่าที่รายงานในตอนแรก
ในช่วงแรก 23andMe ระบุในเอกสารที่ยื่นต่อสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (SEC) ของสหรัฐฯ ว่ามีบัญชีผู้ใช้เพียง 0.1% หรือประมาณ 14,000 รายที่ถูกเจาะระบบ อย่างไรก็ตาม ตัวเลขนี้เป็นเพียงจำนวนบัญชีที่ถูกเข้าถึงโดยตรง แต่ไม่ได้รวมถึงผู้ที่ได้รับผลกระทบจากการดึงข้อมูลผ่านเครือข่าย DNA Relatives
ข้อมูลล่าสุดที่บริษัทกดยืนยันระบุว่า มีผู้ใช้งานถึง 5.5 ล้านคน ที่ถูกขโมยข้อมูลส่วนบุคคล และอีก 1.4 ล้านคน ที่ข้อมูลในส่วนของ "Family Tree" หรือแผนผังครอบครัวถูกเข้าถึง ซึ่งถือเป็นจำนวนที่มหาศาลเมื่อเทียบกับรายงานฉบับแรก
รายละเอียดข้อมูลที่ถูกขโมย
- กลุ่ม 5.5 ล้านคน: ข้อมูลชื่อที่ใช้แสดง, ประวัติการเข้าสู่ระบบล่าสุด, ป้ายระบุความสัมพันธ์, การคาดการณ์ความสัมพันธ์, เปอร์เซ็นต์ DNA ที่แชร์ร่วมกับผู้อื่น และในบางรายรวมถึงรายงานบรรพบุรุษ, ตำแหน่งโครโมโซมที่ตรงกัน, สถานที่เกิดของบรรพบุรุษ และรูปโปรไฟล์
- กลุ่ม 1.4 ล้านคน: ข้อมูลจากโปรไฟล์ Family Tree ซึ่งประกอบด้วยชื่อที่ใช้แสดง, ป้ายระบุความสัมพันธ์ และในบางกรณีรวมถึงปีเกิดและสถานที่ที่ผู้ใช้ระบุไว้
กลไกการโจมตีและข้อโต้แย้งด้านความปลอดภัย
23andMe อธิบายว่าแฮกเกอร์ใช้วิธี Credential Stuffing ซึ่งคือการนำชื่อผู้ใช้และรหัสผ่านที่หลุดจากเว็บไซต์อื่นมาทดลองล็อกอินในระบบของบริษัท เนื่องจากผู้ใช้งานจำนวนมากมักใช้รหัสผ่านชุดเดียวกันในหลายบริการ เพื่อแก้ไขปัญหานี้ บริษัทจึงบังคับให้ผู้ใช้ทุกคนรีเซ็ตรหัสผ่านและนำระบบการยืนยันตัวตนสองชั้น (Two-Factor Authentication) มาใช้
อย่างไรก็ตาม มีข้อสงสัยจากผู้เชี่ยวชาญและผู้ใช้งานบางรายว่าการโจมตีอาจไม่ได้เกิดจาก Credential Stuffing เพียงอย่างเดียว กรณีตัวอย่างที่น่าสนใจคือ Rob Joyce ผู้อำนวยการด้านความปลอดภัยไซเบอร์ของ NSA ซึ่งใช้ที่อยู่อีเมลที่ไม่ซ้ำกับบริการใดในโลกสำหรับ 23andMe แต่กลับพบว่าข้อมูลของเขาถูกนำไปใช้ในการโจมตี ซึ่งภายหลังพบว่าอาจเกิดจากการที่ 23andMe เคยร่วมมือกับ MyHeritage ในอดีต และข้อมูลอีเมลของเขาหลุดจากเหตุการณ์ข้อมูลรั่วไหลของ MyHeritage ในปี 2018
ข้อเท็จจริงสำคัญ
- จำนวนผู้ได้รับผลกระทบ: รวมแล้วกว่า 6.9 ล้านราย (5.5 ล้านรายจาก DNA Relatives และ 1.4 ล้านรายจาก Family Tree)
- วิธีการโจมตี: บริษัทระบุว่าใช้ Credential Stuffing แต่มีการตั้งข้อสังเกตว่าอาจเกี่ยวข้องกับการแชร์ข้อมูลระหว่างพันธมิตรทางธุรกิจ
- มาตรการแก้ไข: บังคับรีเซ็ตรหัสผ่านและใช้การยืนยันตัวตนสองชั้น (2FA)
- ประเด็นทางกฎหมาย: บริษัทมีการปรับเปลี่ยนข้อกำหนดการให้บริการ (Terms of Service) เกี่ยวกับการระงับข้อพิพาทและการอนุญาโตตุลาการ
| กลุ่มผู้ได้รับผลกระทบ | จำนวน (ประมาณ) | ข้อมูลที่สูญหาย/ถูกเข้าถึง |
|---|---|---|
| บัญชีที่ถูกเจาะโดยตรง | 14,000 ราย | การเข้าถึงบัญชีผู้ใช้ทั้งหมด |
| ผู้ใช้ DNA Relatives | 5.5 ล้านราย | ชื่อ, ความสัมพันธ์ทางสายเลือด, รายงานบรรพบุรุษ, ตำแหน่งโครโมโซม |
| ผู้ใช้ Family Tree | 1.4 ล้านราย | ชื่อ, ป้ายระบุความสัมพันธ์, ปีเกิด, สถานที่ |
คำถามที่พบบ่อย
Credential Stuffing คืออะไร?
คือเทคนิคที่แฮกเกอร์นำรายการชื่อผู้ใช้และรหัสผ่านที่รั่วไหลจากเว็บไซต์หนึ่ง ไปลองสุ่มล็อกอินกับเว็บไซต์อื่นๆ โดยอาศัยพฤติกรรมของผู้ใช้ที่มักใช้รหัสผ่านเดียวกันในทุกบัญชี
ทำไมจำนวนผู้เสียหายในรายงาน SEC ถึงน้อยกว่าความเป็นจริง?
เป็นเพราะบริษัทแยกประเภทระหว่าง "การเจาะบัญชีโดยตรง" (Breached) กับ "การดึงข้อมูลจากฟีเจอร์แชร์ข้อมูล" (Scraped) ซึ่งทำให้ตัวเลขในรายงานทางการดูน้อยกว่าผลกระทบที่เกิดขึ้นจริงกับผู้ใช้งาน
ข้อมูล DNA ของฉันถูกขโมยไปด้วยหรือไม่?
ข้อมูลที่รั่วไหลส่วนใหญ่เป็นข้อมูลโปรไฟล์ ความสัมพันธ์ และรายงานบรรพบุรุษ แต่ไม่ได้ระบุว่ามีการขโมยไฟล์ข้อมูลดิบทางพันธุกรรมทั้งหมด อย่างไรก็ตาม ข้อมูลที่หลุดไปก็เพียงพอที่จะระบุตัวตนและความสัมพันธ์ทางครอบครัวได้
ฉันควรทำอย่างไรเพื่อป้องกันตัวเอง?
ควรเปลี่ยนรหัสผ่านให้มีความซับซ้อนและไม่ซ้ำกับเว็บไซต์อื่น พร้อมทั้งเปิดใช้งานการยืนยันตัวตนสองชั้น (2FA) ในทุกบริการที่รองรับเพื่อเพิ่มความปลอดภัยอีกชั้นหนึ่ง
