Okta ยอมรับข้อมูลลูกค้ารั่วไหลทั้งหมด หลังประเมินความเสียหายผิดพลาดในตอนแรก
เกิดเหตุการณ์ความปลอดภัยทางไซเบอร์ครั้งใหญ่กับ Okta แพลตฟอร์มผู้ให้บริการจัดการตัวตน (Identity Management) ระดับโลก เมื่อบริษัทต้องออกมาแก้ไขข้อมูลการรั่วไหลของระบบสนับสนุนลูกค้า (Customer Support System) โดยยอมรับว่าผู้ใช้งานทุกรายได้รับผลกระทบ ซึ่งขัดแย้งกับรายงานฉบับแรกที่ระบุว่ามีผู้เสียหายเพียง 1% เท่านั้น
เหตุการณ์นี้เริ่มต้นขึ้นในช่วงปลายเดือนตุลาคม เมื่อ Okta ตรวจพบว่าผู้ไม่หวังดีได้ใช้ข้อมูลประจำตัวที่ขโมยมาเพื่อเข้าควบคุมบัญชีสนับสนุนของบริษัท ซึ่งเป็นบัญชีที่มีสิทธิ์เข้าถึงระบบของลูกค้าเพื่อใช้ในการแก้ไขปัญหาทางเทคนิค (Troubleshooting) ในตอนแรกบริษัทเชื่อว่ามีลูกค้าเพียงประมาณ 1% จากทั้งหมด 18,400 รายที่ได้รับผลกระทบ
ความผิดพลาดในการตรวจสอบและขอบเขตของข้อมูลที่รั่วไหล
อย่างไรก็ตาม ผลการสืบสวนล่าสุดพบว่าผู้โจมตีไม่ได้เพียงแค่เข้าควบคุมบัญชีเท่านั้น แต่ยังได้ใช้คำสั่งค้นหาข้อมูลอัตโนมัติ (Automated Query) เพื่อดึงข้อมูลจากฐานข้อมูลที่มีรายชื่อและอีเมลของ ผู้ใช้งานระบบสนับสนุนของ Okta ทั้งหมด รวมถึงข้อมูลของพนักงานบางส่วนด้วย
ข้อมูลที่ถูกดึงออกไปประกอบด้วย ชื่อ-นามสกุล, อีเมล, ชื่อบริษัท, เบอร์โทรศัพท์ติดต่อ รวมถึงบันทึกการเข้าสู่ระบบครั้งล่าสุดและการเปลี่ยนรหัสผ่านครั้งล่าสุด อย่างไรก็ตาม Okta ระบุว่าข้อมูลส่วนใหญ่ในรายงานนั้นเป็นช่องว่าง และไม่มีการรั่วไหลของรหัสผ่านหรือข้อมูลส่วนบุคคลที่มีความอ่อนไหวสูง โดย 99.6% ของผู้ใช้ในรายงานมีเพียงชื่อและอีเมลเท่านั้นที่ถูกบันทึกไว้
| หัวข้อ | รายละเอียด |
|---|---|
| กลุ่มที่ได้รับผลกระทบ | ลูกค้าเกือบทั้งหมด (ยกเว้นกลุ่มความปลอดภัยสูงพิเศษ) |
| ข้อมูลที่รั่วไหล | ชื่อ, อีเมล, ชื่อบริษัท, เบอร์โทรศัพท์, ประวัติการล็อกอิน |
| ข้อมูลที่ไม่รั่วไหล | รหัสผ่าน (Credentials) และข้อมูลส่วนบุคคลที่มีความอ่อนไหว |
| สาเหตุการรั่วไหล | การใช้บัญชีสนับสนุนที่ถูกขโมยมาเพื่อ Query ฐานข้อมูล |
ทำไม Okta ถึงประเมินสถานการณ์ผิดพลาด?
สาเหตุที่ทำให้ Okta ไม่ทราบว่าลูกค้าทุกคนได้รับผลกระทบ เกิดจากความแตกต่างของขนาดไฟล์ที่ผู้โจมตีดาวน์โหลดไปกับไฟล์ที่ทีมสืบสวนสร้างขึ้นเพื่อจำลองเหตุการณ์ โดยในตอนแรกทีมงานไม่ได้รันรายงานแบบ Unfiltered (รายงานแบบไม่กรองข้อมูล) ทำให้ผลลัพธ์ที่ได้มีจำนวนน้อยกว่าความเป็นจริง เมื่อนำมาเปรียบเทียบกับบันทึก (Logs) ของระบบ จึงพบว่ามีไฟล์ขนาดใหญ่ถูกดึงออกไปมากกว่าที่คาดการณ์ไว้
เหตุการณ์นี้สร้างความกังวลให้กับผู้เชี่ยวชาญด้านความปลอดภัย เนื่องจาก Okta เป็นบริการโครงสร้างพื้นฐานด้านการระบุตัวตน ซึ่งมีความสำคัญสูงมาก และบริษัทเคยมีประวัติการสื่อสารที่คลุมเครือเกี่ยวกับผลกระทบของการรั่วไหลของข้อมูลในอดีต
ข้อเท็จจริงสำคัญ
- ขอบเขตผลกระทบ: ลูกค้าเกือบทั้งหมดถูกขโมยข้อมูล ยกเว้นกลุ่มที่ต้องปฏิบัติตามมาตรฐาน FedRAMP หรือ DoD Impact Level 4 ของสหรัฐฯ ซึ่งใช้แพลตฟอร์มสนับสนุนแยกต่างหาก
- ประเภทข้อมูล: ส่วนใหญ่เป็นข้อมูลติดต่อ (ชื่อและอีเมล) ไม่รวมรหัสผ่าน
- ความผิดพลาดทางเทคนิค: เกิดจากการรันรายงานจำลองเหตุการณ์แบบมีการกรองข้อมูล ทำให้ประเมินจำนวนผู้เสียหายต่ำกว่าความเป็นจริง
- ความเสี่ยงในอนาคต: ข้อมูลที่รั่วไหลอาจถูกนำไปใช้ในการโจมตีแบบ Phishing (การหลอกลวงทางอีเมลเพื่อขโมยข้อมูล)
คำถามที่พบบ่อย
รหัสผ่านของฉันรั่วไหลด้วยหรือไม่?
ตามรายงานของ Okta ข้อมูลที่ถูกขโมยไปไม่รวมถึงรหัสผ่านหรือข้อมูลประจำตัว (User Credentials) ของผู้ใช้งาน
ใครบ้างที่ไม่ได้รับผลกระทบจากเหตุการณ์นี้?
ลูกค้ากลุ่มที่มีความไวต่อความปลอดภัยสูง ซึ่งใช้แพลตฟอร์มสนับสนุนแยกต่างหากเพื่อปฏิบัติตามข้อกำหนดของรัฐบาลสหรัฐฯ (FedRAMP และ DoD Impact Level 4) จะไม่ได้รับผลกระทบ
ฉันควรป้องกันตัวเองอย่างไรจากเหตุการณ์นี้?
Okta แนะนำให้ผู้ใช้งานและผู้ดูแลระบบทุกคนเปิดใช้งาน Multi-factor Authentication (MFA) หรือการยืนยันตัวตนหลายขั้นตอนทันที เพื่อป้องกันการเข้าถึงบัญชีโดยไม่ได้รับอนุญาต
ข้อมูลที่รั่วไหลจะถูกนำไปใช้ทำอะไรได้บ้าง?
แม้จะไม่มีรหัสผ่าน แต่ชื่อและอีเมลที่รั่วไหลสามารถถูกนำไปใช้สร้างแคมเปญ Phishing ที่มีความแนบเนียนมากขึ้น เพื่อหลอกล่อให้ผู้ใช้เปิดเผยข้อมูลสำคัญในอนาคต
ทำไม Okta ถึงใช้เวลานานกว่าจะแจ้งข้อมูลที่ถูกต้อง?
บริษัทระบุว่าเกิดจากความคลาดเคลื่อนในการวิเคราะห์ขนาดไฟล์รายงานระหว่างสิ่งที่ผู้โจมตีทำกับสิ่งที่ทีมสืบสวนจำลองขึ้น ซึ่งต้องใช้เวลาในการตรวจสอบและปรับปรุงวิธีการรันรายงานให้ถูกต้อง
