AT&T ข้อมูลรั่วไหลครั้งใหญ่ กระทบลูกค้ากว่า 110 ล้านรายผ่านช่องโหว่ Snowflake
ยักษ์ใหญ่ด้านโทรคมนาคมอย่าง AT&T ได้ประกาศยอมรับว่าเกิดเหตุการณ์ข้อมูลรั่วไหลครั้งรุนแรง ซึ่งส่งผลกระทบต่อบันทึกการโทรและการส่งข้อความของลูกค้าเกือบทั้งหมด โดยบริษัทกำลังดำเนินการแจ้งเตือนผู้ที่ได้รับผลกระทบประมาณ 110 ล้านคน
เหตุการณ์นี้เริ่มต้นขึ้นเมื่อผู้โจมตีสามารถลักลอบดึงข้อมูลออกไปได้ในช่วงวันที่ 14 ถึง 25 เมษายน โดย AT&T ทราบเรื่องเมื่อวันที่ 19 เมษายน อย่างไรก็ตาม การเปิดเผยข้อมูลต่อสาธารณะถูกชะลอออกไปตามคำขอของกระทรวงยุติธรรมสหรัฐฯ เพื่อประโยชน์ในการสืบสวน ซึ่งปัจจุบันมีการจับกุมผู้เกี่ยวข้องได้แล้วอย่างน้อยหนึ่งราย
เจาะลึกข้อมูลที่ถูกขโมย: ทำไม Metadata ถึงอันตราย?
แม้ว่าข้อมูลที่รั่วไหลจะ ไม่มีเนื้อหา ของการสนทนาทางโทรศัพท์หรือข้อความ และไม่มีระบุวันเวลาที่ชัดเจน แต่สิ่งที่ผู้โจมตีได้ไปคือ Metadata (ข้อมูลกำกับข้อมูล) ซึ่งเป็นข้อมูลเชิงสถิติที่บอกว่าใครติดต่อกับใคร ระยะเวลาในการสนทนา และจำนวนครั้งในการติดต่อ
นอกจากนี้ ข้อมูลที่รั่วไหลยังรวมถึงหมายเลขโทรศัพท์และหมายเลขระบุตำแหน่งของเสาสัญญาณ (Cell Site Identification Numbers) ซึ่งสามารถนำมาใช้ประเมินตำแหน่งที่ตั้งของโทรศัพท์มือถือขณะที่มีการใช้งานได้ ข้อมูลเหล่านี้ครอบคลุมช่วงเวลาตั้งแต่วันที่ 1 พฤษภาคม 2022 ถึง 31 ตุลาคม 2022 และบางส่วนครอบคลุมถึงวันที่ 2 มกราคม 2023
สิ่งที่น่ากังวลคือ ข้อมูลนี้ไม่ได้กระทบแค่ลูกค้าโดยตรงของ AT&T แต่ยังรวมถึงผู้ใช้บริการผ่านผู้ให้บริการเครือข่ายเสมือน (MVNO) ที่เช่าโครงข่ายของ AT&T รวมถึงบุคคลทั่วไปที่ไม่ได้เป็นลูกค้าของ AT&T แต่เคยมีการติดต่อสื่อสารกับลูกค้าของบริษัทในช่วงเวลาดังกล่าวด้วย
ต้นตอของการโจมตี: ช่องโหว่จาก Snowflake Cloud
การรั่วไหลครั้งนี้เป็นส่วนหนึ่งของเหตุการณ์โจมตีต่อเนื่องที่พุ่งเป้าไปที่บัญชี Snowflake ซึ่งเป็นแพลตฟอร์มคลังข้อมูลบนคลาวด์ (Data Warehousing Platform) โดยกลุ่มแฮกเกอร์ที่ขับเคลื่อนด้วยผลประโยชน์ทางการเงินในชื่อ UNC5537 ได้ใช้มัลแวร์ขโมยข้อมูลประจำตัว (Credentials) เพื่อเข้าสู่ระบบ
จุดอ่อนสำคัญคือบัญชี Snowflake หลายแห่งไม่ได้เปิดใช้งาน การยืนยันตัวตนแบบสองปัจจัย (Two-Factor Authentication - 2FA) ซึ่งเป็นค่าเริ่มต้นของระบบ ทำให้แฮกเกอร์เข้าถึงข้อมูลได้โดยง่าย ส่งผลให้บริษัทชั้นนำอีกประมาณ 165 แห่ง เช่น Ticketmaster และธนาคาร Santander ตกเป็นเหยื่อเช่นกัน
| หัวข้อ | รายละเอียด |
|---|---|
| จำนวนผู้ได้รับผลกระทบ | ประมาณ 110 ล้านราย |
| ช่วงเวลาที่ข้อมูลรั่วไหล | 14 - 25 เมษายน (ข้อมูลปี 2022 - ต้นปี 2023) |
| ประเภทข้อมูลที่ถูกขโมย | Metadata, หมายเลขโทรศัพท์, ข้อมูลเสาสัญญาณ |
| ข้อมูลที่ ไม่ รั่วไหล | เนื้อหาการสนทนา, เลขประกันสังคม (SSN) |
| ช่องทางที่ถูกโจมตี | บัญชี Snowflake Cloud (ขาดการทำ 2FA) |
ข้อเท็จจริงสำคัญ
- ผลกระทบวงกว้าง: กระทบลูกค้าเกือบทั้งหมดของ AT&T รวมถึงผู้ที่ไม่ได้เป็นลูกค้าแต่เคยติดต่อกับลูกค้า AT&T
- ความเสี่ยงด้านความปลอดภัย: ข้อมูล Metadata สามารถนำไปใช้สร้างการโจมตีแบบ Phishing (การหลอกลวงทางอีเมลหรือข้อความ) ที่มีความแนบเนียนสูง
- ช่องโหว่ทางเทคนิค: การไม่เปิดใช้งาน 2FA ใน Snowflake เป็นปัจจัยหลักที่ทำให้แฮกเกอร์เข้าถึงข้อมูลได้
- การซื้อขายข้อมูล: มีรายงานว่ากลุ่มแฮกเกอร์ เช่น ShinyHunters พยายามประกาศขายข้อมูลที่ขโมยมาในตลาดมืดอย่าง BreachForums
คำถามที่พบบ่อย
เนื้อหาในข้อความหรือเสียงสนทนาของฉันรั่วไหลด้วยหรือไม่?
ไม่ ข้อมูลที่รั่วไหลประกอบด้วย Metadata หรือข้อมูลการติดต่อเท่านั้น ไม่รวมถึงเนื้อหาของการโทรหรือข้อความที่ส่งหากัน
ทำไมข้อมูล Metadata ถึงยังเป็นอันตรายแม้ไม่มีเนื้อหาการสนทนา?
เพราะ Metadata ช่วยให้ผู้โจมตีเห็นโครงข่ายความสัมพันธ์ (ใครคุยกับใคร เมื่อไหร่) ซึ่งสามารถนำไปใช้ในการวิเคราะห์ข้อมูลเชิงลึก หรือใช้สร้างเรื่องหลอกลวงเพื่อทำ Phishing ได้อย่างแม่นยำ
ใครคือผู้อยู่เบื้องหลังการโจมตีครั้งนี้?
จากการสืบสวนของ Mandiant พบว่าเป็นการกระทำของกลุ่มแฮกเกอร์ UNC5537 ซึ่งใช้มัลแวร์ขโมยรหัสผ่านเพื่อเข้าถึงบัญชีคลาวด์ที่ไม่มีการป้องกันที่รัดกุม
ฉันควรทำอย่างไรหากกังวลเรื่องความเป็นส่วนตัวของข้อมูลการสื่อสาร?
ผู้เชี่ยวชาญแนะนำให้ใช้แพลตฟอร์มที่ออกแบบมาเพื่อลดการสร้าง Metadata ให้เหลือน้อยที่สุด เช่น แอปพลิเคชัน Signal ซึ่งมีความปลอดภัยสูงกว่าบริการส่งข้อความทั่วไป
