Burger King Japan បែកធ្លាយទិន្នន័យអតិថិជនជាង ១១.១៨ លានកំណត់ត្រា — ព័ត៌មានផ្ទាល់ខ្លួនលើ App សមាជិកត្រូវធ្លាក់ក្នុងដៃហេគឃ័រ
ក្រុមហ៊ុន Burger King Japan (BK Japan) ដែលជាប្រតិបត្តិករខ្សែច្រវាក់អាហារទាន់ចិត្តដ៏ល្បីល្បាញប្រចាំប្រទេសជប៉ុន បានចេញសេចក្តីបញ្ជាក់ជាផ្លូវការអំពីឧប្បត្តិហេតុបែកធ្លាយទិន្នន័យ (Data Breach) ដ៏ធំធេងមួយ ដែលបានប៉ះពាល់ដល់កំណត់ត្រាសមាជិកប្រមាណ ១១.១៨ លានករណី (Records)។ ហេតុការណ៍នេះបានធ្វើឱ្យព័ត៌មានផ្ទាល់ខ្លួនរសើបរបស់អតិថិជនជាច្រើនត្រូវបែកធ្លាយ និងកំពុងបង្កជាក្តីបារម្ភយ៉ាងខ្លាំងអំពីហានិភ័យនៃការបោកប្រាស់តាមរយៈ Phishing និងសន្តិសុខទិន្នន័យឌីជីថល។
ក្រុមហ៊ុន BK Japan បានបញ្ជាក់ថា ភាគីដែលគ្មានការអនុញ្ញាត (Unauthorized Party) បានលួចចូលទៅកាន់ប្រព័ន្ធព័ត៌មានសមាជិក (Member Information System) របស់ខ្លួននៅចន្លោះ ថ្ងៃទី ២ ដល់ថ្ងៃទី ៧ ខែតុលា។ ក្រុមហ៊ុនបានរកឃើញជាផ្លូវការនៅថ្ងៃទី ១៣ ខែតុលា ថាទិន្នន័យអតិថិជនត្រូវបានលេចធ្លាយ រួចបានប្រកាសព័ត៌មាននេះជាសាធារណៈ។
«កម្មវិធីសន្សំពិន្ទុ (Loyalty App) មិនមែនគ្រាន់តែជាឧបករណ៍ទីផ្សារធម្មតានោះទេ ប៉ុន្តែវាជាមូលដ្ឋានទិន្នន័យ (Database) ផ្ទុកព័ត៌មានផ្ទាល់ខ្លួនរបស់មនុស្សរាប់លាននាក់ ដែលប្រាកដជាមានជនខិលខូចព្យាយាមលួចនៅថ្ងៃណាមួយ!»
— ការលើកឡើងរបស់លោក Muhammad Yahya Patel ទីប្រឹក្សាសន្តិសុខសាយប័រនៅ Huntress
ក. ទំហំ និងប្រភេទនៃទិន្នន័យដែលបានបែកធ្លាយ
ហេតុផលនៃផ្នែកនេះ៖ បង្ហាញពីកម្រិតលម្អិតនៃព័ត៌មានអត្តសញ្ញាណ (PII) ដែលបានធ្លាយចេញ ដើម្បីឱ្យអ្នកប្រើប្រាស់អាចប្រុងប្រយ័ត្នចំពោះការក្លែងបន្លំ។
- ព័ត៌មានផ្ទាល់ខ្លួនលម្អិត៖ កំណត់ត្រាដែលរងផលប៉ះពាល់រួមមាន ឈ្មោះពេញ, អាសយដ្ឋានអ៊ីមែល, លេខទូរស័ព្ទ, ថ្ងៃខែឆ្នាំកំណើត,ភេទ, លេខសម្គាល់សមាជិក (Member ID), និងខេត្ត/តំបន់រស់នៅ។
- ទិន្នន័យនៃការប្រើប្រាស់កម្មវិធី៖ ព័ត៌មានបន្ថែមផ្សេងទៀតរួមមាន ប្រភេទនៃការចុះឈ្មោះ, ស្ថានភាពផ្ទៀងផ្ទាត់អ៊ីមែល (Email Verification Status), និងប្រវត្តិថាតើសមាជិកធ្លាប់បានប្រើប្រាស់ប្រព័ន្ធបញ្ជាទិញតាមទូរស័ព្ទ (Mobile Ordering) ដែរឬទេ។
- ទិន្នន័យហិរញ្ញវត្ថុ និង Password៖ ក្រុមហ៊ុនបានបញ្ជាក់ថា ប្រព័ន្ធដែលរងការវាយប្រហារនេះ មិនបានរក្សាទុកលេខកាតឥណទាន (Credit Card Numbers) ឡើយ ហើយមកទល់ពេលនេះ មិនទាន់មានភស្តុតាងនៃការបែកធ្លាយ Login Passwords ឬករណីយកទិន្នន័យទៅប្រើប្រាស់បោកប្រាស់ជាក់ស្តែងណាមួយនៅឡើយទេ។
ខ. មូលហេតុដែលទិន្នន័យអតិថិជននៅតែមានតម្លៃខ្ពស់ចំពោះហេគឃ័រ
ហេតុផលនៃផ្នែកនេះ៖ ពន្យល់ពីរបៀបដែលឧក្រិដ្ឋជនសាយប័រទាញផលប្រយោជន៍ពីទិន្នន័យទោះបីជាគ្មានលេខកាតធនាគារក៏ដោយ។
ទោះបីជាគ្មានលេខកាតទូទាត់ប្រាក់ធ្លាយចេញក៏ដោយ ក៏ហានិភ័យចំពោះសមាជិកមិនត្រូវបានកាត់បន្ថយឡើយ។ ឈ្មោះ, ថ្ងៃខែឆ្នាំកំណើត,លេខទូរស័ព្ទ និងអ៊ីមែល គឺជាវត្ថុធាតុដើមដ៏សំខាន់ដែលជួយឱ្យឧក្រិដ្ឋជនអាចរៀបចំសារបោកបញ្ឆោត (Phishing Scams) កម្រិតខ្ពស់ និងគួរឱ្យជឿជាក់បំផុត ដោយបន្លំខ្លួនជាក្រុមហ៊ុន Burger King ឬស្ថាប័នស្របច្បាប់ណាមួយដែលអតិថិជនស្គាល់ច្បាស់។
លោក Kelvin Lim ប្រធានផ្នែកវិស្វកម្មសន្តិសុខប្រចាំតំបន់ APAC នៅ Black Duck បានផ្តល់ជាទស្សនៈថា៖
«រឿងដំបូងបំផុតដែលខ្ញុំចង់សួរទៅកាន់គ្រប់អាជីវកម្ម គឺថាតើស្ថាប័នរបស់អ្នកពិតជាត្រូវការទិន្នន័យអតិថិជនទាំងអស់ដែលខ្លួនបានប្រមូលនោះដែរឬទេ? តើអ្នករក្សាទុកទិន្នន័យនោះយូរប៉ុណ្ណា ហើយនរណាខ្លះមានសិទ្ធិចូលមើល? អាជីវកម្មចាំបាច់ត្រូវដឹងច្បាស់ពីដំណើររត់នៃទិន្នន័យ (Data Flow) ឆ្លងកាត់ Applications, APIs, Cloud Services និងប្រព័ន្ធភាគីទីបី!»
គ. វិធានការឆ្លើយតបរបស់ BK Japan និងស្ថានភាពស៊ើបអង្កេត
ហេតុផលនៃផ្នែកនេះ៖ តាមដានចំណាត់ការផ្លូវច្បាប់ និងកិច្ចខិតខំប្រឹងប្រែងដោះស្រាយបច្ចេកទេសរបស់ក្រុមហ៊ុន។
- បិទខ្ទប់ប្រភពសង្ស័យ៖ BK Japan បានធ្វើការបិទខ្ទប់ការតភ្ជាប់ចេញពីប្រភពដែលសង្ស័យភ្លាមៗ។
- រាយការណ៍ទៅកាន់អាជ្ញាធរការពារទិន្នន័យ៖ ក្រុមហ៊ុនបានដាក់របាយការណ៍ជូនដំណឹងទៅកាន់គណៈកម្មការការពារព័ត៌មានផ្ទាល់ខ្លួនរបស់ប្រទេសជប៉ុន (Personal Information Protection Commission)។
- ជួលអ្នកជំនាញឯករាជ្យមកស៊ើបអង្កេត៖ ក្រុមហ៊ុនបាននាំយកអ្នកឯកទេសសន្តិសុខសាយប័រពីខាងក្រៅ ដើម្បីស្វែងរកប្រភព និងវិធីសាស្ត្រដែលហេគឃ័រប្រើប្រាស់ដើម្បីទម្លុះចូល (Initial Access Method) ដែលរហូតមកទល់ពេលនេះ ភាពងាយរងគ្រោះជាក់លាក់នៅពីក្រោយការវាយប្រហារមិនទាន់ត្រូវបានលាតត្រដាងនៅឡើយទេ។
ឃ. អនុសាសន៍បន្ទាន់ពី SecuDemy សម្រាប់អ្នកប្រើប្រាស់ និងអាជីវកម្ម
សម្រាប់អ្នកប្រើប្រាស់ទូទៅ (អតិថិជន App)៖
- ប្រុងប្រយ័ត្នចំពោះសារ និងការខលបោកបញ្ឆោត (Phishing Awareness)៖ ត្រូវតាមដាន និងប្រយ័ត្នចំពោះអ៊ីមែល សារ SMS ឬការហៅទូរស័ព្ទប្លែកៗដែលបន្លំជាក្រុមហ៊ុន Burger King។ ដាច់ខាតកុំចុចលើ Link ចម្លែក ឬបើកឯកសារភ្ជាប់ដែលមិនគួរឱ្យទុកចិត្ត។
- ផ្ទៀងផ្ទាត់តាមរយៈ App ផ្លូវការតែមួយគត់៖ រាល់ការជូនដំណឹង ឬការសាកសួរព័ត៌មានគណនី សូមចូលទៅកាន់ App ឬ Website ផ្លូវការដោយផ្ទាល់ ជៀសវាងការឆ្លើយតបតាមតំណភ្ជាប់ដែលផ្ញើមកតាមសារ។ ក្រុមហ៊ុនពិតប្រាកដនឹងមិនទាមទារ Password ឬកូដ OTP ពីអ្នកឡើយ។
- ផ្លាស់ប្តូរ Password ប្រសិនបើប្រើជាន់គ្នា (Password Hygiene)៖ ទោះបីជា Password មិនត្រូវបានបញ្ជាក់ថាធ្លាយក៏ដោយ ប៉ុន្តែប្រសិនបើអ្នកធ្លាប់ប្រើ Password ដូចគ្នានៅលើសេវាកម្មដទៃទៀត សូមផ្លាស់ប្តូរវាជាបន្ទាន់ ដើម្បីការពារហានិភ័យ Credential Stuffing។
សម្រាប់អាជីវកម្ម និងក្រុមការងារ IT/DevOps៖
- អនុវត្តគោលការណ៍ Data Minimization៖ កុំប្រមូលទិន្នន័យដែលអាជីវកម្មមិនចាំបាច់ប្រើប្រាស់។ ទិន្នន័យកាន់តែច្រើននៅក្នុង Database គឺស្មើនឹងបន្ទុកទទួលខុសត្រូវ និងហានិភ័យកាន់តែធំ។
- បែងចែកសិទ្ធិ និងការពារ Database ដោយការធ្វើ Encryption៖ ត្រូវធានាថាទិន្នន័យ PII ត្រូវបាន Encrypt ទាំងនៅពេលរក្សាទុក (At Rest) និងពេលបញ្ជូន (In Transit) ព្រមទាំងកំណត់សិទ្ធិចូលប្រើប្រាស់តាមកម្រិត Least Privilege។
ទស្សនៈយល់ឃើញពី SecuDemy
ករណីបែកធ្លាយទិន្នន័យរបស់ Burger King Japan គឺជាកណ្តឹងរោទ៍ព្រមានមួយទៀតដល់បណ្តាអាជីវកម្មលក់រាយ និងម្ចាស់ Loyalty Apps ទាំងអស់។ កាលណា App របស់អ្នកកាន់តែមានអ្នកប្រើច្រើន វានឹងក្លាយជាផ្ទាំងស៊ីបដ៏ទាក់ទាញបំផុតសម្រាប់ឧក្រិដ្ឋជនសាយប័រ។ សន្តិសុខទិន្នន័យអតិថិជន មិនអាចមើលរំលងត្រឹមតែការទិញ Firewall នោះឡើយ ប៉ុន្តែវាទាមទារនូវការគ្រប់គ្រងស្ថាបត្យកម្មប្រព័ន្ធ ការត្រួតពិនិត្យកំណត់ត្រាចូលប្រើប្រាស់ និងការកាត់បន្ថយការផ្ទុកទិន្នន័យមិនចាំបាច់ជាប្រចាំ។
អត្ថបទនេះផ្តល់ជូនដោយ Bitdefender Total Security
Bitdefender Total Security គឺជាកញ្ចប់កម្មវិធីការពារឧបករណ៍របស់អ្នកដែលអាចតំឡើងនៅលើប្រព័ន្ធប្រតិបត្តិការ (Windows, macOS, iOS, Android) ដែលប្រមូលផ្តុំនូវមុខងារជាច្រើន មានដូចជា មុខការទប់ស្កាត់និងកម្ចាត់មេរោគ មុខងារឯកជនភាព និងមុខងារសុវត្ថិភាពសំខាន់ៗផ្សេងទៀត ទៅក្នុងកញ្ចប់កម្មវិធីតែមួយ។ Bitdefender អាចបញ្ឈប់មេរោគកុំព្យូទ័រមិនឱ្យឆ្លង ទប់ស្កាត់មោរោគចាប់ជំរិតទារប្រាក់ (ransomware) ការវាយប្រហារតាមភាពងាយរងគ្រោះ/ចន្លោះប្រហោងទើបប្រទះឃើញ (zero-day exploits) និងមេរោគស៊ើបការណ៍ (spyware) មុនពេលដែលវាបង្កការខូចខាតដល់កុំព្យូទ័រ/ប្រព័ន្ធរបស់យើង។ លើសពីនេះ វាក៏មានការការពារនៅកម្រិតបណ្តាញ ដើម្បីរារាំងគេហទំព័រឆបោក (phishing) និងតំណភ្ជាប់ដែលមានមេរោគផងដែរ៕
