ป้องกันบัญชีหลังบ้านถูกเข้าถึงโดยไม่ได้รับอนุญาต

บัญชีหลังบ้านคือกุญแจที่เปิดเข้าถึงข้อมูลลูกค้าและเงินของธุรกิจทั้งหมด แต่กลับเป็นสิ่งที่ธุรกิจส่วนใหญ่ป้องกันน้อยที่สุด เพราะคิดว่าคนที่รู้ลิงก์มีแค่ทีมงานกันเอง บทความนี้รวมวิธีที่บัญชีหลังบ้านถูกเข้าถึงจริง และมาตรการป้องกันที่ทำได้เลยโดยไม่ต้องมีทีม IT

บัญชีถูกเข้าถึงได้อย่างไร

ความเข้าใจผิดที่พบบ่อยคือคิดว่าต้องมีคนเก่งมาแฮ็กระบบ ความจริงคือกรณีส่วนใหญ่ไม่ได้เกิดจากช่องโหว่ของระบบเลย แต่เกิดจากห้าเรื่องนี้

1. 1รหัสผ่านซ้ำกับที่อื่น เมื่อเว็บอื่นที่คุณสมัครไว้ข้อมูลรั่ว รหัสชุดนั้นจะถูกเอาไปลองกับทุกที่โดยอัตโนมัติ ถ้าคุณใช้รหัสเดียวกัน บัญชีหลังบ้านจะเปิดทันที
2. 2บัญชีที่ใช้ร่วมกัน รหัสที่หลายคนรู้จะรั่วไม่ช้าก็เร็ว โดยเฉพาะเมื่อมีคนลาออกแล้วไม่ได้เปลี่ยนรหัส
3. 3โดนหลอกให้กรอก ลิงก์ที่ส่งมาทางแชทหรืออีเมลพาไปหน้าเข้าสู่ระบบปลอมที่หน้าตาเหมือนของจริง
4. 4เครื่องที่ใช้มีปัญหา คอมพิวเตอร์ที่ติดโปรแกรมดักข้อมูลจะส่งรหัสออกไปโดยที่คุณไม่รู้ตัวเลย
5. 5บัญชีเก่าที่ลืมปิด พนักงานที่ออกไปแล้วแต่บัญชียังใช้ได้ เป็นช่องโหว่ที่พบบ่อยที่สุดและตรวจง่ายที่สุด

สังเกตว่าสี่ในห้าข้อแก้ได้ด้วยการจัดการ ไม่ใช่ด้วยเทคโนโลยี ซึ่งแปลว่าธุรกิจเล็กที่ไม่มีทีม IT ก็ป้องกันได้เกือบทั้งหมด

มาตรการที่ควรทำทันที

1เปิดการยืนยันตัวตนสองชั้น

ข้อนี้ได้ผลมากที่สุดต่อความยากในการทำ เพราะต่อให้รหัสผ่านรั่วออกไป คนที่ได้รหัสไปก็ยังเข้าไม่ได้ถ้าไม่มีรหัสชุดที่สองจากมือถือของคุณ

ควรใช้แอปยืนยันตัวตนมากกว่าการรับรหัสทาง SMS เพราะ SMS มีความเสี่ยงจากการที่ซิมถูกสวมรอย ซึ่งเกิดขึ้นจริงในไทยและกู้คืนยาก

ถ้าระบบที่ใช้อยู่ไม่รองรับการยืนยันสองชั้นเลย นั่นคือเหตุผลที่หนักพอจะพิจารณาเปลี่ยนระบบ

2ให้ทุกคนมีบัญชีของตัวเอง

บัญชีที่ใช้ร่วมกันสร้างปัญหาสองชั้น ชั้นแรกคือรหัสรั่วง่ายเพราะมีคนรู้หลายคน ชั้นที่สองคือเมื่อเกิดเรื่อง คุณจะรู้แค่ว่าบัญชีนี้ทำ แต่ไม่รู้ว่าใครเป็นคนทำ

การแยกบัญชีทำให้ audit log มีความหมายจริง และเมื่อมีคนออกก็ปิดเฉพาะบัญชีนั้นได้โดยไม่กระทบใคร อ่านเพิ่มได้ที่บทความ กำหนดสิทธิ์พนักงานในระบบหลังบ้านอย่างไรให้ปลอดภัย

3ใช้รหัสผ่านที่ไม่ซ้ำกับที่อื่น

ความยาวสำคัญกว่าความซับซ้อน รหัสที่ยาวและจำง่ายอย่างวลีสี่คำที่ไม่เกี่ยวกัน ปลอดภัยกว่ารหัสสั้นที่มีอักขระพิเศษเยอะแต่คาดเดาได้

สิ่งที่สำคัญกว่าความซับซ้อนคือต้องไม่ซ้ำกับที่อื่นเลย วิธีที่ทำได้จริงคือใช้โปรแกรมจัดการรหัสผ่าน เพราะการให้คนจำรหัสไม่ซ้ำสิบชุดเป็นเรื่องที่ไม่มีใครทำได้จริง

4ปิดบัญชีทันทีเมื่อคนออก

ควรทำเป็นขั้นตอนบังคับว่าวันสุดท้ายของการทำงานต้องปิดบัญชีทันที ไม่ใช่รอให้ฝ่ายบุคคลแจ้งหรือรอสิ้นเดือน

และควรตรวจรายชื่อผู้ใช้ทั้งหมดทุกไตรมาสว่ายังมีใครที่ไม่ควรอยู่ในระบบแล้วบ้าง ใช้เวลาไม่เกินครึ่งชั่วโมงแต่ปิดช่องโหว่ที่พบบ่อยที่สุดได้

5ตรวจ Audit Log เป็นประจำ

มาตรการทั้งหมดข้างต้นเป็นการป้องกัน แต่ต้องมีการตรวจจับด้วย เพราะไม่มีมาตรการไหนกันได้ร้อยเปอร์เซ็นต์

ตั้งเวลาไว้สัปดาห์ละครั้งเพื่อดูสามอย่าง คือการเข้าระบบนอกเวลาทำการ การเข้าจาก IP ที่ไม่คุ้น และการเปลี่ยนสิทธิ์ผู้ใช้ ใช้เวลาไม่เกิน 15 นาที อ่านเรื่อง audit log เพิ่มได้ที่บทความ Audit Log คืออะไร ทำไมธุรกิจที่มีเงินหมุนต้องมี

สิ่งที่ระบบควรมีให้

มาตรการฝั่งคนอย่างเดียวไม่พอ ระบบที่ใช้อยู่ควรมีเครื่องมือเหล่านี้ให้ด้วย ถ้าไม่มี ควรถามผู้ให้บริการว่าจะเพิ่มให้ได้เมื่อไร

สัญญาณว่าบัญชีอาจถูกเข้าถึงแล้ว

ถ้าสงสัยว่าถูกเข้าถึงแล้วต้องทำอะไร

ลำดับสำคัญมาก เพราะทำผิดลำดับอาจทำให้หลักฐานหายหรือคนที่เข้ามายังอยู่ในระบบ

1. 1เปลี่ยนรหัสผ่านของบัญชีที่สงสัยก่อน และบังคับให้ทุกอุปกรณ์ออกจากระบบทั้งหมด
2. 2เปิดยืนยันตัวตนสองชั้นทันที ถ้ายังไม่ได้เปิด เพื่อกันไม่ให้เข้ามาได้อีกแม้รู้รหัสใหม่
3. 3ตรวจ audit log ย้อนหลัง ดูว่าเข้ามาตั้งแต่เมื่อไรและทำอะไรไปบ้าง อย่าเพิ่งลบอะไร
4. 4ตรวจว่ามีบัญชีใหม่ถูกสร้างหรือสิทธิ์ถูกเปลี่ยนไหม คนที่เข้ามามักสร้างทางเข้าสำรองไว้
5. 5ตรวจข้อมูลบัญชีธนาคารในระบบ เป็นเป้าหมายอันดับหนึ่ง ตรวจว่าเลขบัญชีปลายทางถูกแก้หรือไม่
6. 6แจ้งผู้ให้บริการระบบ เพื่อให้ช่วยตรวจฝั่งเซิร์ฟเวอร์และดูว่ามีร่องรอยอื่นอีกไหม

สรุป

บัญชีหลังบ้านส่วนใหญ่ไม่ได้ถูกเข้าถึงเพราะระบบมีช่องโหว่ แต่เพราะรหัสซ้ำกับที่อื่น บัญชีใช้ร่วมกัน และบัญชีเก่าที่ลืมปิด ทั้งสามอย่างนี้แก้ได้ด้วยการจัดการ ไม่ต้องใช้ความรู้ทางเทคนิค

ถ้าจะทำอย่างเดียวให้เลือกเปิดการยืนยันตัวตนสองชั้น เพราะได้ผลมากที่สุดเทียบกับความยากในการทำ และถ้าจะทำเพิ่มอีกอย่าง ให้ตรวจรายชื่อผู้ใช้ทั้งหมดว่ายังมีใครที่ไม่ควรอยู่ในระบบแล้วบ้าง สองอย่างนี้ใช้เวลารวมไม่ถึงหนึ่งชั่วโมงแต่ปิดช่องโหว่ได้เกือบทั้งหมด