ในช่วงสองปีที่ผ่านมา ความสนใจในเรื่องความปลอดภัยของข้อมูลส่วนบุคคลได้เพิ่มขึ้นอย่างมาก อันเนื่องมาจากปัจจัยหลายประการ เช่น การเปลี่ยนแปลงเข้าสู่ยุคดิจิทัลอย่างรวดเร็ว การใช้งานระบบคลาวด์ที่แพร่หลายขึ้น การเปลี่ยนรูปแบบการทำงานสู่ระบบ remote และ hybrid รวมถึงการมีกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่เข้มงวดมากขึ้น เช่น GDPR และ CCPA ซึ่งปัจจัยเหล่านี้ส่งผลให้แนวคิดด้านความปลอดภัยใหม่ ๆ เช่น ความปลอดภัยแบบ Zero-trust และการใช้งานเทคโนโลยีเช่น IoT, SaaS, และเทคโนโลยีคอนเทนเนอร์ ได้รับการยอมรับอย่างรวดเร็ว
ในขณะเดียวกัน การยืนยันตัวตนของทั้งผู้ใช้และอุปกรณ์ได้กลายเป็น "ขอบเขต" ใหม่ที่สำคัญสำหรับธุรกิจและองค์กร การยืนยันตัวตนจึงกลายเป็นเป้าหมายสำคัญของการโจมตีทางไซเบอร์ โดยเฉพาะในส่วนของโครงสร้างพื้นฐานที่เกี่ยวข้องกับการยืนยันตัวตน เช่น Identity Providers (IdP), ระบบ Identity and Access Management (IAM) หรือ Identity Governance and Administration (IGA) รวมถึงระบบ Privileged Access Management (PAM) ทั้งหมดนี้นำไปสู่ความสนใจที่เพิ่มขึ้นอย่างรวดเร็วในเรื่องความปลอดภัยของระบบการยืนยันตัวตน
การยืนยันตัวตนแบบหลายปัจจัย (Multi-factor Authentication - MFA) ได้กลายมาเป็นโซลูชันที่ได้รับความนิยมเป็นอย่างมากในการป้องกันขอบเขตของการยืนยันตัวตน โดย MFA ได้มีการเพิ่มชั้นความปลอดภัยมากกว่าการใช้รหัสผ่านเพียงอย่างเดียวขึ้นมา เพื่อลดความเสี่ยงของการเข้าถึงข้อมูลโดยไม่ได้รับการอนุญาตและป้องกันการโจมตีที่เน้นการยืนยันตัวตน นอกจากนี้ ระบบ MFA ยังช่วยขัดขวางผู้โจมตีที่มีทักษะน้อย และทำให้การใช้บอทหรือเครื่องมืออัตโนมัติเจาะระบบการยืนยันตัวตนในแต่ละขั้นตอนยากขึ้นกว่าเดิม ระบบ MFA ตามความเสี่ยงขั้นสูง (เช่น การเข้าถึงแบบมีเงื่อนไขบน Microsoft Entra ID) สามารถปรับ workflow การตรวจสอบสิทธิ์ตามปัจจัยเสี่ยงที่เกี่ยวข้องกับการเข้าถึงเพื่อเพิ่มการป้องกันโดยไม่กระทบต่อประสบการณ์ของผู้ใช้ปลายทาง (end-user)
การนําทางพรมแดนใหม่ของการโจมตีทางไซเบอร์
กระบวนการ และโครงสร้างพื้นฐานของ MFA มีการเติบโตอย่างรวดเร็ว ส่งผลให้เครื่องมือ MFA กลายที่ต้องการเป็นอย่างมากในตลาดมืด เนื่องจากการใช้เครื่องมือเหล่านี้สามารถช่วยให้ผู้โจมตีที่มีทักษะน้อยสามารถดำเนินการโจมตีที่ซับซ้อนได้ง่ายขึ้น
ในช่วงไม่กี่ปีที่ผ่านมา เราได้เห็นการโจมตี MFA ในหลายรูปแบบ:
MFA Implementation Flaws: องค์กรหลายแห่งเริ่มหันมาใช้ MFA เนื่องจากเป็นมาตราการความปลอดภัยที่ใหม่ และได้รับความนิยมเป็นอย่างมาก แต่บ่อยครั้งที่การกำหนดค่านั้นไม่สมบูรณ์ทำให้มีช่องโหว่ที่ทำให้ผู้โจมตีสามารถเจาะเข้ามาได้
MFA Bombing or MFA Fatigue attacks: ผู้โจมตีมีการใช้จุดอ่อนของการยืนยันตัวตนหลายขั้นตอนในการทำให้บางคนคลิ๊ก “อนุญาต” เพื่อแจ้งการรีเซ็ตรหัสผ่านอย่างต่อเนื่อง เพื่อให้พวกเขาสามารถใช้อุปกรณ์ได้อีกครั้ง
Brute force MFA attacks: ผู้โจมตีจะมุ่งเน้นไปที่การยืนยันตัวตนที่อ่อนแอกว่า MFA เช่น รหัสที่ส่งผ่าน SMS หรือข้อความ หากบัญชีไม่โดนล็อกอัตโนมัติหลังจากตั้งรหัสผ่านผิดหลายครั้ง ผู้โจมตีสามารถเดารหัส MFA ใหม่และลองต่อไปเรื่อย ๆ ได้
MFA Bypass Phishing Kits: นักโจมตีเริ่มใช้ชุดเครื่องมือฟิชชิงแบบ "Adversary-in-the-Middle" (AitM) ด้วยแคมเปญภัยคุกคามที่สามารถข้ามการป้องกันได้ โดยเล็งเป้าหมายการเจาะไปที่บัญชี Microsoft 365 และ Gmail
MFA Bypass Services: วิธีที่ง่ายขึ้นในการข้ามผ่าน MFA คือการใช้บริการที่ทำงานแทนเรา แม้แต่นักโจมตีที่ไม่มีทักษะทางเทคนิคก็สามารถใช้บริการเหล่านี้ได้
Using Social Engineering: แฮกเกอร์คอยเลียนแบบมนุษย์ทั่วไปอยู่เสมอโดยการใช้ “การโจมตีแบบวิศวกรรมสังคม (Social Engineering)” หลอกลวงเพื่อให้คนเปิดเผยข้อมูลที่ไม่ควรให้หรือกระทำสิ่งที่ไม่ควรทำ
การโจมตีและความท้าทายในการป้องกันการยืนยันตัวตนแบบหลายปัจจัย (MFA) ได้เพิ่มขึ้นอย่างมากในช่วงสองปีที่ผ่านมา เนื่องจากการเปลี่ยนแปลงทางยุคสมัย การเข้ามาของโลกดิจิทัล และการมีกฎหมายคุ้มครองข้อมูลที่เข้มงวดมกาขึ้น แม้ MFA จะเป็นแนวทางสำคัญในการเสริมความปลอดภัย แต่ช่องโหว่จากการตั้งค่าที่ไม่สมบูรณ์ก็ยังเกิดขึ้นได้เสมอ การเสริมสร้างความปลอดภัยโดยการยืนยันตัวตนยังคงเป็นเรื่องสำคัญที่องค์กรต้องเฝ้าระวัง
Comments