นักวิจัยเผย TrueMove H ปล่อยข้อมูลสำคัญและบัตรประชาชนลูกค้ากว่า 43,000 ไฟล์ที่อยู่บน S3 bucket หลุดสู่สาธารณะนานนับเดือนทั้งที่เขาพยายามติดต่อเพื่อเตือนให้แก้ไขแล้ว

เป็นข่าวใหญ่รับช่วงสงกรานต์เลยก็ว่าได้ เมื่อมีนักวิจัยด้านความปลอดภัย Niall Merrigan ออกมาเผยว่า บริษัทโทรคมนาคมยักษ์ใหญ่ของไทย TrueMove H ปล่อยให้ข้อมูลสำคัญของลูกค้าซึ่งรวมถึงข้อมูล Passport และบัตรประชาชน ที่ถูกเก็บไว้บน Cloud Amazon S3 โดยไม่ได้จำกัดการเข้าถึง โดยเขาได้พบและแจ้งเตือนไปแล้วตั้งแต่วันที่ 10 มีนาคม แต่เพิ่งแก้ไขเมื่อ 12 เมษายนที่ผ่านมา เมื่อมีการเปิดเผยผ่านสื่อ The Register

Niall Merrigan นักวิจัยด้านความปลอดภัย ผู้ตรวจสอบความปลอดภัยบนระบบ Cloud Amazon S3 ได้มีการสแกนพบ โฟลเดอร์ที่ไม่ได้มีการจำกัดการเข้าถึง และเปิดเป็นสาธารณะ บน Amazon S3 ซึ่งหนึ่งในโฟลเดอร์ที่พบก็คือโฟลเดอร์ที่มีข้อมูลบัตรประชนชน ที่คาดว่าจะเป็นข้อมูลของลูกค้า TrueMove H ที่มีขนาดรวมกันถึง 32GB และมีจำนวนไฟล์ในโฟลเดอร์ถึง 43,000 ไฟล์ โดยมีชื่อโฟลเดอร์เริ่มต้นตั้งแต่ปี 2016 จนถึงปี 2018

ประเด็นสำคัญที่ถูกนำมาเปิดเผยคือ Merrigan ได้พยายามติดต่อทีมที่ดูแลด้านความปลอดภัยของ TrueMove H แล้วเพื่อแจ้งปัญหาที่เกิดขึ้น แต่กลับได้รับอีเมลตอบกลับมาว่าไม่สามารถติดต่อให้ได้และให้เขาแจ้งไปยังสำนักงานใหญ่ ในช่วงเวลาทำการแทน เพราะ TrueMove Care นั้นไม่สามารถดำเนินการใด ๆ ให้ได้ เขาจึงตัดสินใจติดต่อนักข่าวของ The Register เพื่อกดดัน TrueMove H ทำการแก้ไขเพราะถือเป็นข้อมูลสำคัญ จนในที่สุดวันที่ 4 เมษายน ก็ได้รับอีเมลตอบกลับจาก TrueMove H ว่า พวกเค้ากำลังตรวจสอบและแก้ไขอยู่

หลังจากนั้น Merrigan ได้เช็คอีกครั้งในวันที่ 12 เมษายนในช่วงเช้าซึ่งปรากฏว่า โฟลเดอร์ดังกล่าวยังไม่ได้ถูกจำกัดการเข้าถึง จนในที่สุดในเวลา 19.00 น. ทีมงาน TrueMove H ก็ได้ทำการปิดการเข้าถึงโฟลเดอร์ดังกล่าวเป็นที่เรียบร้อยแล้ว

อย่างไรก็ดี จำนวนไฟล์แม้จะมีขนาดมากกว่า 32GB แต่ตามรายงานแจ้งว่ามีไฟล์เพียง 43,000 ไฟล์ซึ่งเป็นไปได้ว่าจะมีข้อมูลหลุดออกไปทั้งหมด 43,000 คนเมื่อเทียบกับฐานลูกค้าของ TrueMove H ที่มีหลายสิบล้านคนคาดว่าน่าจะเป็นโฟลเดอร์ที่ใช้เก็บข้อมูลบางอย่างที่ไม่ใช่ฐานข้อมูลของลูกค้าทั้งหมด (ผู้เขียน)

โดยการปล่อยให้มีการเข้าถึงข้อมูลสำคัญโดยสาธารณะถือเป็นความผิดพลาดที่ทาง TrueMove H ควรจะออกมาชี้แจงให้ชัดเจนและแสดงความรับผิดชอบอย่างเหมาะสม

สำหรับผู้อ่านที่เป็น ลูกค้าของ TrueMove H นั้นผมคิดว่าไม่ควรตื่นตระหนกมากจนเกินไปเพราะตามรายงานนั้นน่าจะมีข้อข้อมูลหลุดเพียง 43,000 ไฟล์และอาจจะไม่ใช่ข้อมูลบัตรประชาชนทั้งหมด

ณ ขณะนี้ยังไม่มีคำชี้แจงอย่างเป็นทางการจาก TrueMove H หากมีการชี้แจงเพิ่มเติมอย่างเป็นทางการเมื่อไหร่เราจะรีบนำมาอัปเดตให้ทราบโดยเร็วที่สุดครับ
 

วันที่ : 14/4/2561