Thai Sites in Cit0Days Databreach

เรื่องมีอยู่ว่า … วันก่อน คุณ Troyhunt (ผู้สร้างเว็บ Have I Been Pwned ที่รวบรวมข้อมูลที่โดนแฮก, Data Breach, เอาไว้ให้เราตรวจสอบว่ามีข้อมูลเราหลุดมาจากการที่เว็บที่เราใช้งานโดนแฮคหรือไม่) ได้เปิดเผยถึงการปล่อยข้อมูลที่ถูกแฮคครั้งใหญ่ มากกว่า 226 ล้านรายการ เป็นขนาดกว่า 13 GB

ซึ่งผมเองก็เป็นหนึ่งในผู้ได้รับผลกระทบจากข้อมูลชุดนี้ .. คราวนี้พอดูลงไปในรายละเอียด ก็พบว่ามีเว็บไซต์มากกว่าสองหมื่นเว็บไซต์ที่โดนแฮกแล้วปล่อยข้อมูลออกมา ซึ่งเราเองไม่สามารถบอกได้ว่าข้อมูลชุดนี้นั้นโดนแฮคมาตั้งแต่เมื่อไหร่ และด้วยข้อมูลที่มากขนาดนี้ คุณ Troyhunt ก็ไม่สามารถบอกได้แบบละเอียดว่าข้อมูลของเรานั้นได้หลุดมาจากเว็บไซต์ไหน ทาง Have I Been Pwned ได้บอกเพียงแค่มีอีเมลคุณอยู่ในชุด Cit0days นี่หรือไม่

ทั้งนี้คุณ Troyhunt ได้เผยแพร่รายการเว็บไซต์ที่อยู่ในชุด Cit0Days นี่ออกมา .. นั่นเป็นที่มาของบล็อกนี้นั่นเอง

ผมได้เอาข้อมูลรายการเว็บไซต์ที่คุณ Troyhunt ปล่อยมา มาทำให้ย่อยง่ายแล้วลองดูผลกระทบที่เกิดกับเว็บไซต์ในไทย

ลองมาดูกัน

เมื่อตัดเว็บไซต์ top level domain (.com/.net.org) ออก เพราะเราบอกไม่ได้ว่าเว็บเหล่านั้นมาจากประเทสอะไร เลยมาดูที่เว็บไซต์ที่เป็น Country domain (เช่น .th) ก็จะพบว่า ทั้งจำนวนเว็บไซต์และปริมาณข้อมูลที่หลุด เราก็อยู่อันดับไม่ไกลมาก

กราฟแสดงจำนวนข้อมูลที่หลุดในโดเมนแต่ละประทศ

กราฟแสดงจำนวนเว็บไซต์ที่โดนแฮกในโดเมนแต่ละประทศ

เมื่อเราลองเจาะมาดูที่โดเมนของประเทศไทย (ที่ลงท้ายด้วย .th) ก็จะพบข้อมูลน่าสนใจมากๆว่า เว็บไซต์หน่วยงานของรัฐ (.go.th) และเว็บไซต์สถาบันการศึกษา (.ac.th) นั้นมีจำนวนเว็บไซต์ที่โดนแฮกเยอะอย่างมีนัยยะสำคัญ สองส่วนนี้รวมกันแล้วเกือบๆ 70% ของข้อมูลทั้งหมด

นอกจากวิเคราะห์เว็บไซต์ตามประเภทเว็บไซต์แล้วนั้น เมื่อเราดูข้อมูลจำนวน records ของเว็บไซต์แต่ละอันนั้น สามารถตั้งข้อสังเกตุเพิมเติมได้ดังนี้

เมื่อดูเว็บไซต์ .go.th ที่มีข้อมูลหลุดจำนวน 10,125 รายการ จะพบว่ามีมากกว่า 10 เว็บเลย ซึ่งมันดูพอเหมาะพอเจาะเกินกว่าจะเป็นความบังเอิญ และเมื่อเราเปิดดูเว็บไซต์แต่ละเว็บ จะพบว่า ทุกๆเว็บในนั้น ใช้ผู้ให้บริการเว็บไซต์เจ้าเดียวกัน (จะเห็นผู้ให้บริการ web hosting อย่างด้านล่างสุดของเว็บไซต์)

… ซึ่งทำให้เกิดความเป็นไปได้ว่า ผู้ให้บริการเว็บไซต์เหล่านี้มีโดนแฮก และข้อมูลของประมาณ 10 โดเมนนี้เป็นข้อมูลชุดเดียวกัน … และอาจจะเป็นไปได้อีกว่า มากกว่า 10 เว็บไซต์นี้ใช้ผู้ให้บริการเจ้าเดียวกัน แต่การโดนแฮกต่างเวลา ทำให้จำนวนข้อมูลที่หลุดแตกต่างกันออกไป

ทั้งนี้ ยังพบอีกว่า เว็บไซต์เหล่านี้เกือบทั้งหมด ไม่มีการเข้ารหัสความปลอดภัยระหว่างผู้ใช้งานและเซอเวอร์ (SSL/TLS)

นอกจาก .go.th แล้วนั้น ข้อมูลเว็บไซต์กลุ่ม .ac.th ก็มีลักษณะแบบเดียวกัน คือ มีผู้ให้บริการ web hosting เจ้าใหญ่ๆ ที่ให้บริการกับรร.ขนาดเล็กจำนวนมาก และข้อมูลที่หลุดออกไปนั้นก็มาจากบริการเว็บไซต์สำเร็จรูปเหล่านี้

ยังมีอีกสิ่งที่ที่คิดว่าควรจะต้องพูดถึง … ในข้อมูลที่หลุดในครั้งนี้ เจ้าของข้อมูล ได้มีการระบุด้วยว่าเว็บไซต์นั้นๆมีการเข้ารหัสความปลอดภัย ของรหัสผ่านหรือไม่ ซึ่งดูได้จากตารางข้างล่าง ในคอลัมน์ Hash ซึ่งจะพบว่า มีเว็บจำนวนมากที่ไม่ได้เข้ารหัสผ่านอย่างปลอดภัย ซึ่งหากผู้ใช้งานมีการใช้งานรหัสผ่านเดียวกันในหลายๆเว็บไซต์ ก็จะทำให้เว็บไซต์อื่นๆนั้นสามารถโดนเข้าถึงได้เช่นกัน

เลยมีคำถามว่า ผู้ให้บริการเว็บไซต์สำเร็จรูปราคาถูกนั้น มีความพร้อมในการให้บริการมากน้อยแค่ไหน รวมถึงมีการรักษาความปลอดภัยเพียงพอหรือไม่ เมื่อกฏหมาย PDPA กำลังจะเริ่มบังคับใช้ จะมีใครออกมารับผิดชอบกับข้อมูลที่หลุดออกไปหรือไม่ ?

นอกจากเรื่องผู้ให้บริการเว็บไซต์สำเร็จรูป .. ก็มีเว็บไซต์อีกส่วนนึงที่คิดว่าควรจะถูกพูดถึง

  • Software park swpark.or.th – ส่วนตัวคิดว่าโดนจากเว็บไซต์นี้ เนื่องจากในอดีตเคยมีการลงทะเบียนเพื่อติดต่อเรื่องการอบรมในหัวข้อ IT ต่างๆ ปัจจุบันพบว่าไม่มีการให้ลงทะเบียนหรือสมัครเข้าใช้งานบนเว็บไซต์แล้ว (แต่ก็ยังไม่มี SSL/TLS อยู่ดี
  • มีเว็บในหมวดความมั่นคงด้วย ซึ่งต้องภาวนาให้เป็นเว็บเวอร์ชันเก่า และปัจจุบันได้แก้ไขแล้ว
  • ต้นทางบล็อกของคุณ Troyhunt มีพูดถึงเว็บไซต์ vcanbuy.com ซึงเป็นเว็บ ecommerce สัญญาติไทยด้วย ไม่แน่ใจว่ามีใครเคยใช้บริการหรือไม่
  • เว็บไซต์สาธารณสุขจังหวัดเชียงใหม่ มีข้อมูลหลุดกว่าแสนรายการ … ซึ่งปัจจุบันเว็บไซต์ก็ยังไม่สามาถใช้งานได้ (503 Service Temporarily Unavailable)

ด้านล่างเป็นข้อมูลเว็บไซต์ที่ลงท้ายด้วย .th ทั้งหมด สามารถลองไถๆดูได้ว่ามีเว็บไหนที่ดูคุ้นเคยบ้างหรือไม่ (สามารถเรียงข้อมูลตามแต่ละคอลัมน์ได้ด้วยการคลิกที่หัวตาราง)

เพิ่มเติมตารางข้อมูลเว็บไซต์ที่มีข้อมูลหลุด 100 อันดับแรก

ลองอ่านเพิ่มเติมว่าคุณ Troyhunt ได้ประมวลผมข้อมูลขุดนี้ยังไงได้ที่ Troy Hunt: Inside the Cit0Day Breach Collection

Post cover photo by Arget on Unsplash

วันนี้คุณโดนแฮกแล้วหรือยัง ?

ปกติเวลา account online ใดๆของเราจะโดนแฮกเนี่ย โดยส่วนใหญ่จะเป็นไปได้สองกรณี คือ
– เราถูกแฮกอยู่คนเดียว (ซวยโคตร) หรือ
– บริการนั้นๆโดนแฮก ข้อมูลผู้ใช้บริการ รหัสผ่าน หรือาจจะรวมถึงข้อมูลบัตรเดรดิตหลุดออกสู่สาธารณะ (ซวยกันทั้งหมด)

ที่ผ่านๆมาเคยเขียนวิธีป้องกันกรณีแรก ที่หลายๆครั้งจะโดนทำ Social Engineering จำพวก คำถามลืมรหัสผ่านง่ายเกินไป จดรหัสผ่านพร่ำเพรื่อ หรือแชร์รหัสกับคนอื่น ซึ่งการใช้รหัสยากๆ อาจจะช่วยได้บ้าง เคสนี้ยังรวมถึงพวกติดไวรัส ไม่ว่าจะเป็นบนคอมหรือบนมือถือ หรือที่ Router หรือแม้กระทั่งโดนพวกเว็บ phishing ซึ่งการใช้โปรแกรมป้องกันไวรัส ไม่เข้าเว็บที่สุ่มเสี่ยง หรือถ้าเข้าก็ใช้พวกโหมดพิเศษใน Browser ที่ไม่ทิ้งร่องรอยเราเอาไว้ รวมถึงการใช้ล็อกอินสองชั้น (2 steps verification / multi-factor authentication) ก็จะยิ่งช่วยป้องกันได้มากขึ้น

คราวนี้เราลองมาดูกรณีที่สองกันดูบ้าง คือ Service ที่เราใช้บริการนั้นโดนแฮก ซึ่งเกิดขึ้นไม่ง่าย แต่ก็ไม่ได้ยากจนเกินไปนัก ยิ่งเดียวนี้ Startup ผุดเป็นดอกเห็ด เรายิ่งต้องรู้อะไรพวกนี้ไว้บ้าง

โดยมีข่าวสดๆร้อนๆที่น่าสนใจสองอันคือ LinkedIn เคยถูกแฮกเมื่อปี 2012 .. แล้วข้อมูลก็เพิ่งจะถูกปล่อย(ขาย)สู่สาธารณะเมื่อเร็วๆนี้ หลุดแล้วเป็นร้อยล้านรายการ

อีกข่าวที่เป็นของไทย คือ เว็บ e-commerce รายนึงในไทยพัฒนาการเชื่อมต่อกับ Payment Gateway ที่ไม่รัดกุมพอ ทำให้ข้อมูลบัตรเครดิตลูกค้ารั่วไหล (แถมยังไม่ยอมรับอีก) (แถมตอนนี้เปลี่ยนชื่อไปอีก)

เรื่องการป้องกัน เราคงทำอะไรเองไม่ได้มากนัก ทำได้ก็คงเลือกใช้บริการเจ้าที่ดูน่าปลอดภัยหน่อย อีกอย่างนึงที่เริ่มได้ง่ายๆก็คือ พยายามอย่าใช้รหัสในแต่ละเว็บไซต์เหมือนๆกัน เพื่อจำกัดความเสียหายในกรณีที่ข้อมูลหลุดจากที่นึง จะได้ไม่ทำให้บริการอื่นๆเสี่ยงไปด้วย

อีกเรื่องนึงก็คงเป็น 2 steps verification ที่ช่วยให้แม้ว่าข้อมูล username/password ของเราหลุดออกไป คนอื่นก็เอาไป login ใช้งานไม่ได้ .. เห็นมั๊ยว่าล็อกอินสองชั้นเนี่ย มันช่วยได้ทั้งสองกรณีเลย 😀

แล้วเราทำอะไรได้อีก ?

มีบริการอันนึงที่คุณ Troyhunt เป็นพนง. Microsoft ทำส่วนตัวขึ้นมา .. เป็นเว็บไซต์ชื่อ haveibeenpwned.com

HaveIBeenPwnedCapture

สิ่งทีเค้าทำก็ง่ายๆเลยคือ รวมรวบข้อมูลที่ถูกแฮกแล้วปล่อยออกมาสู่สาธาณะ ตรวจสอบว่าเป็นของจริง แล้วก็เอามาใส่ในเว็บดังกล่าว (ถ้าสนใจ เค้าเขียนวิธีที่เค้าตรวจสอบข้อมูลที่ถูกปล่อยออกมาไว้ ที่นี่ )

เราสามารถใช้ประโยชน์จากมันได้ คือ ตรวจสอบ username / email ของเราว่ามีอยู่ในฐานข้อมูลของเว็บหรือไม่ .. ถ้ามีนั่นแปลว่าคุณโชคร้ายแล้วคับ … ข้อมูลของคุณมีความเสี่ยงที่จะโดนใช้งานโดยผู้ไม่ประสงค์ดี ไม่ทางใดก็ทางหนึ่ง  … ควรเปลี่ยนรหัสผ่านโดยด่วน แล้วยิ่งถ้าใช้รหัสผ่านเดียวกันหลายๆเว็บไซต์ นี่เปลี่ยนยกแผงเลยครับพี่น้อง !!!

โดยทางเว็บจะบอกบริการที่ข้อมูลนี้หลุดออกมา รวมถึงที่อื่นที่พบข้อมูล(เว็บจำพวก pastebin) และข้อมูลที่หลุด เช่น อีเมล username รหัสผ่านแบบเข้ารหัส หรือรหัสผ่านแบบ plain text (สยองโคตร) คำใบ้รหัสผ่านก็ยังมี มีคำแถลงการของเจ้าของบริการที่ทำหลุดหรือไม่

 

เว็บยังมีสิ่งที่เรีกยว่า Notify me .. คือให้เรากรอก email ไว้กับเว็บไซต์ แล้วทางเว็บจะเตือนเราถ้ามีข้อมูลอีเมลของเราหลุดมาในอนาคต .. วันนี้ยังไม่มีไม่ได้แปลว่าวันข้างหน้าจะไม่มี …  ตั้ง notify ไว้ก็คงไม่เสียหาย (ถ้าอีเมลหลุดจากเว็บนี้อีก ก็คงซวยซ้ำซวยซ้อนจริงๆ แต่เว็บก็ไม่ได้เก็บอะไรมากกว่าอีเมล)

 

Good luck have fun !!

หรือว่าเว็บในเครือ NetDesign จะถูกแฮค ?

เช้านี้ผมตื่นมาเช็คเมลตามปกติ ..  เจอแสปมเมลตามปกติ … แต่พักหลังชอลเล่นกับพวกแสปมเมล เพื่อดูว่าวิวัฒนาการของด้านมืดว่าไปถึงไหนกันแล้ว

 

ซึ่งวันนี้ก็ได้รับแสปมเมลที่เลียนแบบหน้าตาเมลของ Facebook (ซึ่งก็ได้เป็นปกติอีกนั่นแหล่ะ)

แต่ที่น่าแปลกใจคือลิงค์ของเมลอันนี้หยายามพาไปเว็บไซต์ http://nd.co.th/beecham.html ซึ่งแน่นอนว่ามันเป็นเว็บในบ้านเรา

ตอนแรกผมก็ประณามเต็มที่ เพราะคิดว่าเว็บบ้านเราต้องทำฟิชชิง (phishing) แบบนี้แล้วหรือ .. มันแย่มาก

แต่พอได้ลองเข้าเว็บ http://nd.co.th ไปดูจริงๆ ก็พบกว่าเว็บนี้เป็นเว็บในเครืองของ NetDesign บ.ที่สร้างชื่อจากการเปิดโรงเรียนสอนคอมพิวเตอร์ (คนอื่นอาจจะรู้จักมาก่อน แต่ผมรู้จักมันเพราะสอนคอมฯนี่แหล่ะ) ซึ่งในเว็บก็ดูโอเคทุกอย่าง

เลยทำให้เปลี่ยนความคิดว่า หรือว่าเว็บนี้อาจจะโดน Hack เพื่อทำ phishing หลอกไปที่อื่น ?  .. เลยลองกดตามลิงค์ในเมล ก็พบว่า

มันถูกส่งต่อไปยังเว็บ http://pillpillspharmacy.net/ ซึ่งเป็นเว็บขายยาอีกที

สุดท้ายก็สรุปไม่ได้ว่า เว็บนี้ตั้งใจทำแบบนี้หรือไม่ (แต่ส่วนตัวคิดว่าน่าจะโดนแฮคล่ะ) … ถ้าโดนแฮคจริงก็คงต้องรอเค้าแก้กันต่อไป

อันนี้ก็คงเป็นสิ่งเตือนใจว่า ในฐานะคนเล่นเน็ต จะคลิกอะไรก็ดูให้ดีๆก่อน เพราะเกิดหน้าที่ส่งต่อไปทำเนียนเป็นหน้า Facebook หรือว่าปล่อยไวรัสก็สยองอยู่ ส่วนในฐานะคนทำเว็บ ก็ต้องดูให้ดีว่าเว็บเราไม่ได้เป็นเครื่องมือให้ใครเอาไปทำอะไรไม่ดีได้

 

ปล. ก่อนคลิกลิงค์นี้ Hotmail ก็มีเตือนว่าลิงค์ที่เรากดนั้นอาจจะมีอันตรายได้ .. แต่ด้วยความอยากรู้อยากเห็นเราก็คลิกอยู่ดี 😛

Scroll to top