Credential stuffing คือการโจมตีที่คนร้ายเอาชื่อผู้ใช้และรหัสผ่านที่เคยหลุดจากที่อื่นมาไล่ลองเข้าระบบซ้ำ ๆ จนเจอบัญชีที่ใช้รหัสเดิม วิธีนี้คือต้นเหตุที่รายงานระบุในเหตุข้อมูลลูกค้า Shinhan รั่วราว 25,000 ราย บทความนี้เหมาะกับธนาคาร ฟินเทค และบริษัทที่ให้ตัวแทนล็อกอินเข้าระบบ อ่านแล้วจะรู้ว่าต้องปิดจุดไหนก่อน
ลองนึกภาพตัวแทนสินเชื่ออิสระที่ใช้รหัสผ่านเดียวกันทั้งอีเมลส่วนตัวและพอร์ทัลของธนาคาร วันหนึ่งอีเมลของเขาหลุด คนร้ายไม่ต้องเจาะอะไรเลย แค่ล็อกอินเข้าพอร์ทัลด้วยรหัสเดิม เหตุที่เกาหลีใต้ตอนนี้มีรูปแบบใกล้เคียงกันมาก
สรุปสั้น: ธนาคารและสถาบันการเงินเกาหลีใต้อย่างน้อย 6 แห่งรายงานเหตุข้อมูลรั่วต่อเนื่อง Shinhan หนักสุดราว 25,000 ราย รายงานระบุว่าเป็น credential stuffing ผ่านระบบของตัวแทนและพนักงานที่เปิดสู่ภายนอก ส่วนข่าวใช้ AI โจมตียังไม่ยืนยัน ธนาคารและฟินเทคไทยควรเปิด MFA และตรวจรหัสผ่านที่เคยหลุดในบัญชีตัวแทนทันที เพราะถ้าเกิดเหตุในไทยต้องแจ้ง สคส. ภายใน 72 ชั่วโมง
แฮกธนาคารเกาหลีด้วย credential stuffing เกิดอะไรขึ้น
ธนาคารเกาหลีถูกโจมตีด้วย credential stuffing กับระบบที่เปิดสู่ภายนอก เช่น ระบบสอบถามของตัวแทนสินเชื่อ ระบบสนับสนุนพนักงานบนมือถือ และระบบสนับสนุนการขาย ตามที่ Herald ระบุในกรณี Shinhan ข้อมูลที่หลุดรวมชื่อ เบอร์โทร รายได้ต่อปี วงเงินกู้ และเลขทะเบียนราษฎรของลูกค้าบางราย
หลัง Shinhan รายงานเหตุ สถาบันอื่นก็รายงานตามมา ส่วน Woori และ NongHyup ถูกพยายามบุกรุก แต่ยังไม่ยืนยันว่าข้อมูลรั่ว ตัวเลขด้านล่างเป็นไปตามรายงานของแต่ละสำนักข่าว
| สถาบัน | ผู้ได้รับผลกระทบ (ตามรายงาน) |
|---|---|
| Shinhan | ลูกค้าราว 25,000 ราย |
| Yegaram Savings Bank | ราว 40,000 ราย |
| Hyundai Capital | ตัวแทนสินเชื่อบ้าน 146 ราย |
| KB Kookmin / Hana | 119 ราย / 89 ราย |
| BNK Busan | ข้อมูลนักพัฒนา outsource 11 ราย |
Korea Times รายงานว่าพบร่องรอยเครื่องมือเจาะระบบด้วยเอไอภาษาจีนบนเซิร์ฟเวอร์ที่ถูกเจาะ ซึ่งอาจเกี่ยวกับระบบเปิดซอร์ส ARTEX AI แต่ยังไม่ยืนยันว่าใช้ AI โจมตีจริง ประธานาธิบดี Lee Jae Myung สั่งสอบสวนอย่างละเอียดเมื่อ 4 ต.ค. และ FSC เรียกประชุมฉุกเฉิน มีการตรวจสอบของ FSS วันที่ 19 ต.ค. และการตรวจร่วม FSC–FSS วันที่ 22 ต.ค.
credential stuffing กระทบธนาคารและธุรกิจไทยอย่างไร
Credential stuffing ไม่สนพรมแดน รูปแบบเหตุที่เกาหลี คือรหัสผ่านซ้ำบวกระบบของตัวแทนหรือผู้รับจ้างที่เปิดสู่อินเทอร์เน็ต ใช้กับธนาคารและผู้ให้บริการทางการเงินไทยได้ตรง ๆ แม้เกาหลีใต้ไม่ใช่เขตอำนาจของไทย ส่วนต่อไปนี้เป็นการวิเคราะห์ของผู้เขียน
ธนาคารและสินเชื่อที่มีตัวแทนอิสระเสี่ยงตรงไหน
ธนาคาร บริษัทสินเชื่อ และประกันที่ให้ตัวแทนอิสระล็อกอินผ่านเว็บ เสี่ยงที่สุด เพราะบัญชีตัวแทนมักมีมาตรการอ่อนกว่าบัญชีพนักงาน ไม่มี MFA และไม่มีใครเป็นเจ้าของระบบรอบนอกชัดเจน ทั้งที่บัญชีเหล่านี้เข้าถึงข้อมูลรายได้และวงเงินกู้ของลูกค้าได้
ฟินเทคและบริษัทที่ใช้ outsource
ฟินเทคที่จ้าง outsource พัฒนาระบบต้องระวังบัญชีของผู้รับจ้างด้วย กรณี BNK Busan ข้อมูลที่หลุดคือข้อมูลนักพัฒนา outsource ปัญหารหัสผ่านและคีย์หลุดจากผู้รับจ้างเป็นเรื่องที่เคยเกิดซ้ำ ดูได้ใน พบรหัสผ่านและคีย์ที่ยังใช้ได้ 543,699 รายการบน GitHub สาธารณะ บริษัทไทยที่จ้าง outsource เขียนโค้ดต้องเขียนอะไรในสัญญา
ถ้าเกิดเหตุแบบนี้ในไทย ผิด PDPA มาตราไหน
ถ้าเกิดในไทย ผู้ควบคุมข้อมูลต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม PDPA มาตรา 37(1) และต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) คำถามที่ผู้กำกับจะถามคือ ระบบรอบนอกที่ตัวแทนใช้ไม่มี MFA นับว่า “เหมาะสม” หรือไม่ ถ้าตอบไม่ได้ ความรับผิดจะตกที่องค์กร ไม่ใช่ตัวแทน
ผู้บริหารต้องรับผิดชอบส่วนตัวไหม
ที่เกาหลี ผู้นำประเทศสั่งสอบเอง และมีการคาดการณ์ว่าอาจเรียกผู้บริหารธนาคารเป็นพยาน เรื่องความปลอดภัยจึงกลายเป็นประเด็นระดับบอร์ด การกำกับผู้ให้บริการภายนอกเคยมีบทเรียนชัดใน 44 รัฐสหรัฐฯ ปรับ Labcorp $2.3M เพราะ vendor ทำข้อมูลรั่ว บทเรียน Vendor Governance ที่ธุรกิจไทยใช้ได้ทันที
ถ้าไม่ป้องกัน credential stuffing จะเสี่ยงอะไร
ถ้าไม่ป้องกัน credential stuffing ข้อมูลรายได้และวงเงินกู้ของลูกค้าอาจหลุดผ่านบัญชีตัวแทนเพียงบัญชีเดียว ตามมาด้วยหน้าที่แจ้ง สคส. ภายใน 72 ชั่วโมง การถูกตรวจสอบว่ามาตรการเหมาะสมหรือไม่ และความเสียหายต่อชื่อเสียงที่ลูกค้าธนาคารให้อภัยยากที่สุด ที่เกาหลีสถาบันที่ผิดอาจถูกลงโทษตามกฎหมายข้อมูลเครดิตและกฎหมายคุ้มครองข้อมูลส่วนบุคคล แม้ยังไม่มีตัวเลขค่าปรับ
ธนาคารและฟินเทคไทยควรทำอะไรตอนนี้
ธนาคารและฟินเทคไทยควรเริ่มจากระบบรอบนอกที่ตัวแทนและพาร์ทเนอร์ใช้ เพราะเป็นจุดที่ credential stuffing ได้ผลที่สุด และควรทำก่อนหน่วยงานเกาหลีเปิดผลสอบช่วงกลางถึงปลาย ต.ค.
- 1. ทำบัญชีระบบที่เปิดสู่อินเทอร์เน็ต ระบุว่าระบบไหนให้ตัวแทน พนักงานนอกสถานที่ หรือพาร์ทเนอร์ล็อกอิน และใครเป็นเจ้าของ
- 2. บังคับ MFA ทุกบัญชีตัวแทนและพาร์ทเนอร์ ไม่ยกเว้นบัญชีที่ใช้นาน ๆ ครั้ง
- 3. ตรวจรหัสผ่านที่เคยหลุด เทียบรหัสผ่านกับฐานข้อมูลรหัสที่รั่ว และบังคับเปลี่ยนเมื่อเจอ
- 4. จำกัดสิทธิ์และเฝ้าดูการล็อกอินผิดปกติ บัญชีตัวแทนควรเห็นข้อมูลเท่าที่จำเป็น และแจ้งเตือนเมื่อมีการลองล็อกอินจำนวนมาก
- 5. ซ้อมแผนแจ้งเหตุ 72 ชั่วโมง กำหนดว่าใครประเมินเหตุและใครแจ้ง สคส. เมื่อพบข้อมูลรั่วจากระบบรอบนอก
ถ้าต้องการคนช่วยตรวจมาตรการตาม PDPA และสัญญากับพาร์ทเนอร์ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru และติดตามข่าวต่อได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
เหตุที่เกาหลีบอกเราว่าคำถามผิดมาตลอด องค์กรการเงินชอบถามว่าระบบหลักปลอดภัยไหม แต่คนร้ายไม่ได้เดินเข้าประตูหน้า ประตูที่อ่อนที่สุดของธนาคาร มักเป็นประตูที่ไม่มีใครในธนาคารจำได้ว่าเปิดไว้ จุดที่ควรเช็กก่อนคือระบบรอบนอกที่ตัวแทนใช้ มีเจ้าของหรือยัง และมี MFA หรือยัง ส่วนประเด็น AI โจมตี ควรรอผลสอบก่อนสรุป
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ credential stuffing
credential stuffing ต่างจากการเดารหัสผ่านอย่างไร
Credential stuffing ไม่ได้เดารหัสสุ่ม แต่ใช้ชื่อผู้ใช้และรหัสผ่านจริงที่เคยรั่วจากเว็บอื่นมาลองซ้ำ จึงได้ผลสูงกับคนที่ใช้รหัสเดียวกันหลายที่ การเปิด MFA ทำให้รหัสที่หลุดอย่างเดียวใช้ไม่ได้
ธนาคารเกาหลีโดนแฮกด้วย AI จริงไหม
ยังไม่ยืนยัน Korea Times รายงานว่าพบร่องรอยเครื่องมือเจาะระบบด้วยเอไอบนเซิร์ฟเวอร์ที่ถูกเจาะ แต่ยังไม่ยืนยันว่าใช้ AI โจมตีจริง ต้องรอผลสอบของหน่วยงานเกาหลี
ข้อมูลอะไรของลูกค้า Shinhan รั่ว
ตามรายงาน ข้อมูลที่หลุดรวมชื่อ เบอร์โทร รายได้ต่อปี วงเงินกู้ และเลขทะเบียนราษฎรของลูกค้าบางราย จำนวนราว 25,000 ราย
ถ้าข้อมูลลูกค้ารั่วในไทย ต้องแจ้งใครภายในกี่ชั่วโมง
ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับจากทราบเหตุตาม PDPA มาตรา 37(4) เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล
แหล่งอ้างอิง
- The Korea Times — (อ่านต้นฉบับ) — อ่านข่าวที่ The Korea Times
- Herald Business — (อ่านต้นฉบับ) — อ่านข่าวที่ Herald Business
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
