Data Breach สู่ Trust Breach (When Data Breach Becomes Trust Breach)

เหตุการณ์ดังกล่าวถือเป็นการรั่วไหลของข้อมูลในระดับสำคัญ เนื่องจากเกี่ยวข้องกับข้อมูลของผู้เดินทางและผู้ใช้บริการสนามบินเป็นจำนวนมาก

ความเสียหายไม่ได้อยู่ที่ข้อมูลการเงินเพียงอย่างเดียว

ข้อมูลที่ได้รับผลกระทบเกี่ยวข้องกับบริการจอดรถ การจองห้องรับรองพิเศษ การใช้บริการ Fast Track และการลงทะเบียนใช้งานเครือข่าย Wi-Fi ของสนามบิน

ข้อมูลที่ถูกขโมยไม่ได้รวมรายละเอียดบัญชีธนาคารหรือข้อมูลการชำระเงินโดยตรง แต่ประกอบด้วยข้อมูลที่สามารถใช้ระบุตัวบุคคลได้ เช่น อีเมล หมายเลขโทรศัพท์ รหัสไปรษณีย์ และทะเบียนรถยนต์

ประเด็นสำคัญที่ผู้บริหารควรตระหนักคือ การที่ระบบที่ถูกเจาะไม่มีข้อมูลบัตรเครดิตหรือบัญชีธนาคาร ไม่ได้หมายความว่าความเสี่ยงจะอยู่ในระดับต่ำ

เพราะข้อมูลระบุตัวบุคคลหลายประเภทเมื่อนำมาเชื่อมโยงกัน สามารถสร้างโปรไฟล์ของบุคคลได้

ตัวอย่างเช่น อีเมลและหมายเลขโทรศัพท์เปิดช่องทางให้ผู้โจมตีสามารถติดต่อเหยื่อได้โดยตรง ขณะที่ข้อมูลทะเบียนรถและประวัติการจองบริการสนามบินช่วยยืนยันว่าเหยื่อเคยเดินทางหรือใช้บริการบางประเภทจริง ข้อมูลเหล่านี้สามารถนำไปใช้สร้างเรื่องราวที่น่าเชื่อถือ เพื่อหลอกให้เหยื่อเปิดเผยข้อมูลเพิ่มเติม หรือดำเนินการบางอย่างที่นำไปสู่การฉ้อโกงได้

ความเสี่ยงที่ตามมา

แม้ในขณะนี้ยังไม่มีข้อมูลบ่งชี้ว่า หน่วยงานตกเป็นเป้าหมายของกลุ่ม ransomware หรือการโจมตีเพื่อเรียกค่าไถ่ แต่ความเสี่ยงสำคัญที่ต้องจับตามองคือ การนำข้อมูลที่รั่วไหลไปใช้ในการโจมตีเป็นรายบุคคล

เมื่อผู้โจมตีทราบทั้งช่องทางติดต่อและบริบทบางส่วนเกี่ยวกับการเดินทาง พวกเขาสามารถออกแบบข้อความ อีเมล หรือการโทร ให้ดูเหมือนเป็นการติดต่อจากสนามบินหรือผู้ให้บริการที่เกี่ยวข้องได้อย่างแนบเนียน

การโจมตีลักษณะนี้เรียกว่า Social Engineering ซึ่งอาศัยความน่าเชื่อถือของข้อมูลมากกว่าการโจมตีระบบทางเทคนิคโดยตรง

จึงมีการแจ้งเตือนลูกค้าให้ระมัดระวังอีเมล โทรศัพท์ หรือ SMS ที่อ้างว่าเกี่ยวข้องกับบริการของสนามบิน โดยเฉพาะการร้องขอข้อมูลสำคัญ รหัสผ่าน หรือข้อมูลการชำระเงิน

ผลกระทบต่อการดำเนินงาน

ในด้านปฏิบัติการ เหตุการณ์ครั้งนี้ไม่ได้ทำให้สนามบินต้องหยุดให้บริการ ระบบและบริการที่ได้รับผลกระทบส่วนใหญ่ยังสามารถใช้งานได้ตามปกติ

อย่างไรก็ตาม ระบบการจองบริการถูกระงับการให้บริการชั่วคราว ส่งผลให้ผู้เดินทางที่ต้องการแก้ไขการจอง จำเป็นต้องติดต่อศูนย์บริการทางโทรศัพท์แทน

ประเด็นนี้สะท้อนให้เห็นว่า ผลกระทบจากเหตุการณ์ Cybersecurity ไม่จำเป็นต้องปรากฏในรูปแบบของระบบล่มหรือธุรกิจหยุดชะงักเสมอไป ความเสียหายที่เกิดขึ้นกับความเชื่อมั่นของลูกค้า ภาระในการสื่อสาร และความเสี่ยงจากการโจมตีระลอกสอง สามารถมีผลต่อธุรกิจในระยะยาวได้เช่นกัน

สิ่งที่ผู้บริหารควรเรียนรู้

องค์กรควรมองข้อมูลส่วนบุคคลเป็นสินทรัพย์ที่มีความเสี่ยง และปกป้องตลอดวงจรชีวิตข้อมูล โดยประเมินว่าข้อมูลที่รั่วไหลอาจถูกนำไปใช้ระบุตัวตนหรือหลอกลวงได้เพียงใด ขณะที่ cyber resilience ต้องครอบคลุมทั้งการป้องกัน ตรวจจับ จำกัดความเสียหาย และรับมือผลกระทบหลังเกิดเหตุ

ผู้ให้บริการควรเริ่มจากการทบทวนว่าองค์กรเก็บข้อมูลใดไว้บ้าง ข้อมูลแต่ละประเภทมีความจำเป็นต่อการให้บริการมากน้อยเพียงใด และหากข้อมูลเหล่านั้นถูกนำออกไปพร้อมกันจะสามารถสร้างโปรไฟล์ลูกค้าได้ละเอียดเพียงใด

หลักคิดสำคัญคือ เก็บข้อมูลเท่าที่จำเป็น และลดความสามารถในการเชื่อมโยงข้อมูลที่ไม่จำเป็น

ในด้านเทคนิค ควรใช้การแบ่งแยกข้อมูลและระบบตามระดับความสำคัญ จำกัดสิทธิ์การเข้าถึงตามหลัก least privilege ใช้การเข้ารหัสข้อมูลที่เหมาะสม และมีระบบตรวจจับพฤติกรรมผิดปกติที่สามารถแจ้งเตือนการเข้าถึงหรือถ่ายโอนข้อมูลจำนวนมากผิดปกติได้อย่างรวดเร็ว

นอกจากนี้ องค์กรควรเตรียมแผนรับมือกรณีข้อมูลส่วนบุคคลรั่วไหลไว้ล่วงหน้า ไม่ใช่เริ่มวางแผนเมื่อเกิดเหตุแล้ว แผนดังกล่าวควรครอบคลุมทั้งการสืบสวนทางเทคนิค การจำกัดความเสียหาย การประเมินข้อมูลที่ได้รับผลกระทบ การแจ้งผู้เสียหาย และการสื่อสารกับสาธารณะอย่างโปร่งใสและตรงประเด็น

ที่สำคัญ ผู้ให้บริการควรคิดไปถึง การโจมตีระลอกสอง ตั้งแต่วันแรกของเหตุการณ์ เพราะเมื่อข้อมูลถูกขโมยออกไปแล้ว องค์กรไม่สามารถควบคุมได้ทั้งหมดว่าข้อมูลจะถูกนำไปใช้ที่ใด

การแจ้งเตือนลูกค้าจึงควรระบุอย่างชัดเจนว่าควรระวังการหลอกลวงรูปแบบใด และองค์กรจะไม่ขอข้อมูลอะไรจากลูกค้า เพื่อช่วยให้ผู้เสียหายแยกแยะการติดต่อที่เป็นจริงออกจากการหลอกลวงได้

ข้อเสนอแนะสำหรับผู้เสียหายจากข้อมูลส่วนบุคคลรั่วไหล

ผู้ที่ได้รับผลกระทบควรเพิ่มความระมัดระวัง เพราะข้อมูลรั่วไหลอาจถูกใช้สร้างข้อความหลอกลวงที่น่าเชื่อถือ ควรตรวจสอบกับองค์กรผ่านช่องทางทางการที่ค้นหาเอง และอย่าเปิดเผยรหัสผ่าน OTP ข้อมูลบัตร หรือชำระเงินตามคำขอเร่งด่วน พร้อมเปิดใช้ MFA และเปลี่ยนรหัสผ่านที่ใช้ซ้ำในหลายบริการ

จาก “Data Breach” สู่ “Trust Breach”

เหตุการณ์นี้สะท้อนว่าความเสียหายจาก data breach ในยุคปัจจุบันไม่ได้สิ้นสุดเมื่อองค์กรปิดช่องโหว่ได้ แต่เป็นจุดเริ่มต้นของความเสี่ยงอีกระยะ ข้อมูลที่หลุดออกไปสามารถถูกนำไปใช้เพื่อสร้างการโจมตีที่มีความเฉพาะเจาะจงมากขึ้น โดยเฉพาะเมื่อเทคโนโลยี AI ทำให้การรวบรวมและเชื่อมโยงข้อมูลจากหลายแหล่งทำได้รวดเร็วและมีต้นทุนต่ำลง

ดังนั้น ความคาดหวังของลูกค้าต่อองค์กรจึงกำลังเปลี่ยนจากคำถามว่า ระบบกลับมาใช้งานได้หรือยัง ไปสู่คำถามที่สำคัญกว่า คือ องค์กรป้องกันไม่ให้ข้อมูลของฉันถูกนำไปใช้โจมตีต่อได้อย่างไร การกู้ระบบให้กลับมาใช้งานได้จึงเป็นเพียงส่วนหนึ่งของ cyber resilience

ขณะที่การลดโอกาสเกิดเหตุ การลดขอบเขตข้อมูลที่อาจรั่วไหล และการช่วยเหลือผู้เสียหายหลังเกิดเหตุ ล้วนเป็นองค์ประกอบที่สำคัญไม่แพ้กัน

แม้เหตุการณ์นี้จะเกิดขึ้นในอุตสาหกรรมการบิน แต่บทเรียนสามารถนำไปใช้ได้กับทุกอุตสาหกรรม ไม่ว่าจะเป็นสถาบันการเงิน โรงพยาบาล ธุรกิจค้าปลีก โทรคมนาคม อีคอมเมิร์ซ การศึกษา หรือภาครัฐ

เพราะแทบทุกองค์กรต่างถือครองข้อมูลที่สามารถนำมาใช้ระบุตัวบุคคลและสร้างบริบทเกี่ยวกับพฤติกรรมของลูกค้าได้