Tulsi Gabbard กับประเด็นความปลอดภัยทางไซเบอร์และการใช้รหัสผ่านซ้ำ
กลายเป็นประเด็นร้อนแรงเมื่อ Tulsi Gabbard ผู้อำนวยการข่าวกรองแห่งชาติ (Director of National Intelligence หรือ DNI) ของสหรัฐฯ ถูกเปิดเผยว่าเคยใช้รหัสผ่านชุดเดียวกันในหลายบัญชีออนไลน์เป็นเวลานานหลายปี ซึ่งข้อมูลนี้ถูกตรวจพบจากบันทึกที่รั่วไหลออกมาและได้รับการตรวจสอบโดย WIRED
เหตุการณ์นี้สร้างความกังวลอย่างมาก เนื่องจากตำแหน่ง DNI เป็นผู้ดูแลหน่วยงานข่าวกรองถึง 18 แห่ง รวมถึง CIA และ NSA พร้อมงบประมาณมหาศาลกว่า 1 แสนล้านดอลลาร์ และมีหน้าที่เป็นที่ปรึกษาหลักของประธานาธิบดีในด้านความมั่นคงระดับสูงสุด การที่ผู้กุมความลับของชาติมีพฤติกรรมการรักษาความปลอดภัยทางดิจิทัลที่หละหลวม จึงนำไปสู่คำถามสำคัญเกี่ยวกับมาตรฐานความปลอดภัยของผู้นำหน่วยงานจารกรรมของสหรัฐฯ
เจาะลึกข้อมูลการรั่วไหลและพฤติกรรมการใช้รหัสผ่าน
จากการตรวจสอบฐานข้อมูลของบริษัทด้านข่าวกรองโอเพนซอร์ส (Open-source intelligence) อย่าง District 4 Labs และ Constella Intelligence พบว่าในช่วงปี 2013 ถึง 2021 ซึ่งเป็นช่วงที่ Gabbard ดำรงตำแหน่งสมาชิกสภาคองเกรสและอยู่ในคณะกรรมการด้านการทหารและข่าวกรอง เธอได้ใช้รหัสผ่านเดียวกันในหลายแพลตฟอร์ม
ข้อมูลจาก Combolists (รายการคู่ชื่อผู้ใช้และรหัสผ่านที่หลุดจากการถูกแฮ็ก) ระบุว่ารหัสผ่านชุดนี้ถูกใช้กับบัญชีที่หลากหลาย ดังนี้:
- อีเมลที่เชื่อมโยงกับเว็บไซต์ส่วนตัว (พบข้อมูลรั่วไหลปี 2017)
- บัญชี Gmail (พบข้อมูลรั่วไหลปี 2019)
- บัญชี Dropbox และ LinkedIn (พบข้อมูลรั่วไหลตั้งแต่ปี 2012)
- บัญชี MyFitnessPal และ HauteLook (พบข้อมูลรั่วไหลปี 2018)
ทั้งนี้ ทางโฆษกของ Gabbard ได้ชี้แจงว่าเหตุการณ์ข้อมูลรั่วไหลดังกล่าวเกิดขึ้นเมื่อเกือบ 10 ปีที่แล้ว และปัจจุบันได้มีการเปลี่ยนรหัสผ่านหลายครั้งแล้ว พร้อมยืนยันว่าไม่มีการใช้รหัสผ่านดังกล่าวกับบัญชีของรัฐบาลแต่อย่างใด
ความเชื่อมโยงกับชื่อทางศาสนาและข้อโต้แย้ง
สิ่งที่น่าสนใจคือ รหัสผ่านที่ถูกใช้ซ้ำนั้นมีคำว่า “shraddha” ประกอบอยู่ ซึ่งสอดคล้องกับรายงานของ The Wall Street Journal ที่ระบุว่าเธออาจมีความเกี่ยวข้องกับ Science of Identity Foundation ซึ่งเป็นกลุ่มแยกย่อยของขบวนการ Hare Krishna โดยอดีตสมาชิกเชื่อว่าเธอได้รับชื่อว่า “Shraddha Dasi” เมื่อเข้าสู่กลุ่ม
อย่างไรก็ตาม ทีมงานของ Gabbard ได้ปฏิเสธข้อกล่าวหานี้อย่างรุนแรง โดยระบุว่าเป็นการโจมตีด้วยอคติทางศาสนา (Hinduphobia) และยืนยันว่าเธอไม่มีความเกี่ยวข้องกับองค์กรดังกล่าว ซึ่งประเด็นนี้เคยถูกหยิบยกขึ้นมาพูดถึงในช่วงการรับรองตำแหน่งในวุฒิสภาเมื่อเดือนมกราคมที่ผ่านมา
ข้อเท็จจริงสำคัญ
- พฤติกรรมเสี่ยง: การใช้รหัสผ่านซ้ำ (Password Reuse) ในหลายบัญชีเพิ่มความเสี่ยงในการถูกแฮ็กแบบลูกโซ่
- ตำแหน่งหน้าที่: Tulsi Gabbard ดูแลหน่วยงานข่าวกรอง 18 แห่ง และเป็นที่ปรึกษาด้านความมั่นคงของประธานาธิบดีสหรัฐฯ
- คำแนะนำจากผู้เชี่ยวชาญ: CISA แนะนำให้ใช้ Password Manager เพื่อสร้างรหัสผ่านที่สุ่มและมีความยาวอย่างน้อย 16 ตัวอักษร
- ความเสี่ยงของอีเมล: หากอีเมลหลักถูกเจาะ ข้อมูลรหัสผ่านของบัญชีอื่นๆ จะสามารถถูกรีเซ็ตและเข้าถึงได้โดยง่าย
| ปีที่พบข้อมูลรั่วไหล | แพลตฟอร์ม/บัญชีที่ได้รับผลกระทบ | ประเภทของบัญชี |
|---|---|---|
| 2012 | Dropbox, LinkedIn | จัดเก็บข้อมูลและเครือข่ายอาชีพ |
| 2017 | อีเมลเว็บไซต์ส่วนตัว | การสื่อสารส่วนตัว |
| 2018 | MyFitnessPal, HauteLook | สุขภาพและช้อปปิ้งออนไลน์ |
| 2019 | Gmail | การสื่อสารหลัก |
คำถามที่พบบ่อย
การใช้รหัสผ่านซ้ำอันตรายอย่างไร?
อันตรายอย่างมากเพราะหากแฮ็กเกอร์สามารถเจาะรหัสผ่านจากเว็บไซต์หนึ่งที่ระบบรักษาความปลอดภัยต่ำได้ พวกเขาจะนำรหัสชุดเดียวกันนั้นไปลองเข้าสู่ระบบในเว็บไซต์สำคัญอื่นๆ เช่น อีเมล หรือบัญชีธนาคาร ซึ่งเรียกว่าการโจมตีแบบ Credential Stuffing
CISA มีคำแนะนำในการตั้งรหัสผ่านอย่างไรให้ปลอดภัย?
หน่วยงานความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA) แนะนำให้ใช้โปรแกรมจัดการรหัสผ่าน (Password Manager) เพื่อสร้างรหัสผ่านที่ยาวอย่างน้อย 16 ตัวอักษร ประกอบด้วยตัวเลข ตัวอักษรพิมพ์เล็ก-ใหญ่ และสัญลักษณ์แบบสุ่ม หรือใช้คำที่ไม่เกี่ยวข้องกัน 4 คำมาผสมกัน
ทำไมกรณีของ Tulsi Gabbard ถึงเป็นเรื่องใหญ่ในระดับชาติ?
เนื่องจากเธอดำรงตำแหน่งผู้อำนวยการข่าวกรองแห่งชาติ (DNI) ซึ่งต้องรับผิดชอบข้อมูลที่ลับที่สุดของรัฐบาลสหรัฐฯ พฤติกรรมการรักษาความปลอดภัยทางดิจิทัลที่หละหลวมจึงถูกมองว่าเป็นจุดอ่อนที่อาจส่งผลกระทบต่อความมั่นคงของประเทศ
การรั่วไหลของข้อมูลในอดีตส่งผลต่อปัจจุบันหรือไม่?
แม้ว่ารหัสผ่านจะถูกเปลี่ยนไปแล้ว แต่ข้อมูลที่รั่วไหลในอดีตสามารถบอกถึงรูปแบบ (Pattern) การตั้งรหัสผ่านของบุคคลนั้นๆ ซึ่งแฮ็กเกอร์สามารถนำไปใช้ในการคาดเดารหัสผ่านใหม่ได้ นอกจากนี้ยังสะท้อนถึงวินัยด้านความปลอดภัยทางไซเบอร์ของผู้ดำรงตำแหน่งสำคัญ
