โซฟอสย้ำแค่รอบคอบยังไม่พอ ถ้าไม่อยากเจอปัญหาแบบอูเบอร์

โซฟอสชี้ไม่ใช่อูเบอร์ที่ถูกขโมยข้อมูล เร่งภาคธุรกิจป้องกันภัยก่อนเสียหายเกินแก้

นายเชสเตอร์ วิซนิวสกี้ นักวิจัยอาวุโสของโซฟอส เปิดเผยว่า จากกรณีการโดนโจมตีทางไซเบอร์ของ อูเบอร์จนทำให้ข้อมูลบัญชีของลูกค้าและพาร์ตเนอร์ร่วมขับกว่า 57 ล้านรายทั่วโลกรั่วไหลนั้น ถือว่าเป็นสิ่งที่ผู้พัฒนาไม่ควรมองข้าม

ทั้งนี้ ทางอูเบอร์แก้ปัญหาด้วยการจ่ายเงินให้ผู้ที่ตกเป็นเหยื่อและแฮ็กเกอร์กว่า 1 แสนดอลลาร์สหรัฐ เพื่อลบข้อมูลและปกปิดกรณีดังกล่าวไม่ให้ประชาชนรับทราบ รวมทั้งได้ไล่นาย โจ ซัลลิแวน ออกจากบริษัทเมื่อปี 2558 เพื่อแก้ปัญหาดังกล่าว

สำหรับข้อมูลที่ถูกขโมยไปประกอบด้วยชื่อ ที่อยู่ อีเมลและหมายเลขโทรศัพท์ของผู้ขับขี่ รวมทั้งหมายเลขใบอนุญาตการขับขี่ในสหรัฐจำนวน 6 แสนใบ แต่ไม่มีหมายเลขประกันสังคมและบัญชีบัตรเครดิต

จากการตรวจสอบพบว่า โปรแกรม เมอร์ของทางอูเบอร์ได้อัพโหลดข้อมูลไว้บน Github ระบบโอเพนซอร์สที่ไว้ใช้เก็บข้อมูลที่มีผู้ใช้กว่า 14 ล้านคน และมากกว่า 35 ล้านพื้นที่เก็บ ส่งผลให้เป็นโครงสร้างระบบงานซอร์สโค้ดที่ใหญ่ที่สุดในโลก แต่ไม่ได้หมายความว่าปลอดภัย และส่งผลให้แฮ็กเกอร์สามารถเจาะเข้าไปยังโฮสต์ของอเมซอนเพื่อดึงข้อมูลอื่นๆ ได้ด้วย

ดังนั้น ผู้พัฒนาระบบจำเป็นต้องคำนึงถึงหลักความปลอดภัยและไม่ควรฝังหรือติดตั้งโทเคนหรือคีย์ที่ใช้ยืนยันตนในการเข้าถึงระบบลงในซอร์สโค้ด เนื่องจากหลายครั้งที่เหตุการณ์ลักษณะนี้เกิดขึ้นกับองค์กรต่างๆ และองค์กรเหล่านั้นมักเลือกที่จะปกปิดเพื่อปกป้องชื่อเสียง

แม้ว่าเหตุการณ์ดังกล่าวจะเกิดขึ้นจากความบกพร่องของทีมนักพัฒนาระบบ ที่ไม่ได้ปฏิบัติตามแนวทางด้านความปลอดภัยอย่างเพียงพอ ด้วยการปล่อยให้มีการแบ่งปันรหัสผ่านออกสู่ภายนอก แต่เหตุการณ์ลักษณะนี้มักพบได้บ่อยครั้ง โดยเฉพาะในสภาพแวดล้อมของการพัฒนาระบบที่เน้นความคล่องตัวสูง

ขณะที่อูเบอร์ไม่ได้เป็นบริษัทเดียวและบริษัทสุดท้ายที่ปิดบังเหตุการณ์ข้อมูลรั่วไหล หรือการโดนโจมตีไซเบอร์ ซึ่งเห็นได้ชัดว่าการจงใจไม่แจ้งเตือนให้ลูกค้าทราบมีความเสี่ยงมากกว่าการโดนหลอกลวงในลักษณะอื่นๆ ทำให้หลายประเทศพยายามผลักดันกฎหมาย และข้อบังคับให้เปิดเผยข้อมูลกรณีถูกโจมตีความลับองค์กรรั่วไหล n