กรณีศึกษาจับแฮกเกอร์จบระดับชั้นปวช. ล้วงข้อมูลลูกค้าออนไลน์นับหมื่นราย!

ช่วงนี้ข่าว แฮกๆ ออกแทบทุกวันเลย ไม่ว่าจะเป็นการใช้เทคนิคที่เรียกว่า Social engineering เพื่อหลอกให้เหยื่อทำตามสิ่งที่แฮกเกอร์ต้องการ ตั้งแต่หลอกให้กดลิ้งค์ไปจนถึงหลอกให้เหยื่อโอนเงินเข้าบัญชีของแฮกเกอร์เอง

แต่เรื่องที่จะมาพูดในวันนี้ก็คือข่าวนี้ครับ https://www.khaosod.co.th/breaking-news/news_2680991

โดยเนื้อหาในข่าวได้บอกว่าผู้ต้องหาใช้ความรู้ด้านคอมพิวเตอร์แฮกข้อมูลเข้าไปในเว็บไซต์ขายของออนไลน์ที่มีระบบป้องกันการแฮกไม่ได้มาตราฐาน และเมื่อได้ข้อมูลของผู้เสียหายเป็นที่เรียบร้อยแล้วจะเจาะข้อมูลเข้าอีเมล์ของลูกค้า ก่อนเข้าไปทำธุรกรรมทางการเงินในบัญชีธนาคารผ่านระบบออนไลน์ จากนั้นจะนำไปเลือกซื้อสินค้าออนไลน์ หรือบัตรเติมเงิน ก่อนนำไปขายต่อและโอนเงินออกมาเข้าบัญชีของตนเอง

โดยนายจักรพงศ์ ผู้ต้องหารรับสารภาพว่าเป็นผู้ลงมือก่อเหตุจริง โดยก่อนหน้านี้เคยศึกษาคณะเกี่ยวกับคอมพิวเตอร์ในระดับชั้นปวช.ของสถาบันแห่งหนึ่งในกทม. แต่ศึกษาได้เพียงแค่ 2 ปี ก่อนใช้ความรู้เรื่องคอมพิวเตอร์ในโลกสังคมออนไลน์ที่ถนัด ทำการแฮกเว็บไซต์สาธารณะนานกว่า 2 ปี จนมีเงินหมุนเวียนในบัญชีมากกว่า 1 ล้านบาท!

จากกรณีดังกล่าวทำให้เกิดข้อสงสัยที่ว่า “ทำไมแฮกเกอร์จึงสามารถนำ password ที่แฮกได้จากระบบขายของออนไลน์ไปใช้งานต่อได้ ?”

มีการสันนิษฐานไว้แบบนี้ครับ
– ระบบขายของออนไลน์อาจจะเก็บ password เป็นแบบ Plain text และเมื่อแฮกเกอร์สามารถเข้าถึงฐานข้อมูลได้ก็สามารถมองเห็น password ได้เลย โดยการเข้าถึงฐานข้อมูลครั้งนี้อาจจะเข้าผ่านทางช่องโหว่ SQL Injection ก็เป็นได้

“แล้วเราจะป้องกันข้อมูลของ User ได้ยังไงบ้าง ?” Hashing Algorithm ช่วยท่านได้ครับ
ก่อนเก็บ password ลงฐานข้อมูลเราควร hash ข้อมูลนั้นก่อนอย่างเช่น
– user กรอก password เป็น “1234” เข้ามาในระบบเราควรจะนำ “1234” นั้นไปผ่าน hash function (MD5) ก็จะได้เป็น “81dc9bdb52d04dc20036dbd8313ed055” แบบนี้ ซึ่ง hash string ที่ได้มาจะไม่สามารถแปลงกลับได้ จากนั้นเราค่อยนำ hash string ไปเก็บในฐานข้อมูลอีกทีนึงเพียงเท่านี้ข้อมูลของ user ก็จะปลอดภัยขึ้นมาอีกขั้นนึงแล้ว

ปล. ถ้าจะให้ดีควรใช้ Hashing Algorithm จำพวก sha256, sha512 ขึ้นไปครับ และควรจะเพิ่ม salt เข้าไปด้วย ทั้งนี้ข้อมูลดังกล่าวเป็นเพียงข้อสันนิษฐานเท่านั้นทุกท่านโปรดใช้วิจารณญาณในการรับชม

ที่มา: http://www.atimedesign.com/webdesign/hacker-10000-thailand/