นักวิจัยพบฐานข้อมูลลายนิ้วมือและใบหน้ารั่วไหล คาดกระทบผู้ใช้หลายล้านราย 

18 ส.ค.62 (11:05 น.)
เปิดอ่าน 116 ครั้ง
Noam Rotem และ Ran Locar นักวิจัยจาก vpnMentor ได้ออกมาเปิดเผยถึงการค้นพบฐานข้อมูลลายนิ้วมือและใบหน้าของแพลตฟอร์ม BioStar 2 ที่มีการตั้งค่า Elasticsearch Database เอาไว้ไม่ดีทำให้สามารถเข้าถึงข้อมูลขนาดกว่า 23 กิกะไบต์ได้

credit : vpnMentor

BioStar 2 เป็นแพลตฟอร์มแบบ Web-based สำหรับโซลูชัน Smart lock เช่น ระบบเข้าถึงสถานที่ที่ต้องแสกนลายนิ้วมือหรือใบหน้า เป็นต้น ทั้งนี้เจ้าของคือบริษัท Suprema จากเกาหลีใต้นั่นเอง 

ประเด็นคือ 2 นักวิจัยของ vpnMentor ได้ค้นพบการตั้งค่าผิดพลาดที่ Elasticsearch Database ทำให้สามารถเข้าถึงฐานข้อมูลของแพลตฟอร์มได้ผ่านบราวน์เซอร์และยังทำการปรับแต่ง URL ให้เข้าถึงข้อมูลต่างๆ ได้ด้วย โดยข้อมูลที่พบในฐานข้อมูลประกอบด้วย Dashboard ของลูกค้า, Username/Password ที่ไม่ได้เข้ารหัส, บันทึกการเข้าออก, ที่อยู่, อีเมล, ระดับชั้นของการรักษาความปลอดภัย และข้อมูลอุปกรณ์มือถือและ OS เป็นต้น นอกจากนี้นักวิจัยยังชี้ลูกค้าหลายรายยังใช้รหัสผ่านอ่อนแอมาก เช่น abcd1234, Password หรืออื่นๆ สามารถดูวีดีโอจากนักวิจัยได้ตามด้านล่าง


ความน่ากังวลคือหากแฮ็กเกอร์เข้าถึงฐานข้อมูลนี้ได้จะมีรหัสผ่านระดับผู้ดูแลซึ่งนำไปสู่การเข้าถึงองค์กรได้อย่างสมบูรณ์แบบ เช่น สร้างบัญชีใหม่ มีสิทธิ์กระทำการสั่งเปิด/ปิด ทางเข้าออกต่างๆ เป็นต้น แถมลายนิ้วมือกับหน้าคนไม่ได้เป็นสิ่งที่จะแก้ไขได้บ่อยๆ ด้วย

นอกจากนี้ Suprema ยังถือเป็นผู้ให้บริการโซลูชันรายใหญ่และมีฐานลูกค้าจำนวนมากด้วย อย่างไรก็ตามเมื่อนักวิจัยได้แจ้งช่องโหว่ไปหาเจ้าหน้าที่ของบริษัทก็ไม่ค่อยได้เสียงตอบรับที่ดีนักแต่ก็ยังมีการแก้ไขแล้วเมื่อวันที่ 13 สิงหาคมที่ผ่านมา โดยหัวหน้าฝ่ายการตลาดของบริษัทยังมาบอกว่า “หากพบภัยใดที่กระทบต่อบริการหรือผลิตภัณฑ์ของเรา เราจะประกาศแจ้งลูกค้าทันทีอย่างเหมาะสม”

ผู้สนใจสามารถติดตามเรื่องราวโดยละเอียดได้จากบล้อกของ vpnMentor

ที่มา :  https://www.securityweek.com/millions-unencrypted-fingerprint-and-facial-biometrics-found-unsecured-database และ  https://www.cbronline.com/news/biostar-2-vpnmentor , https://www.techtalkthai.com/vpnmentor-found-biostar2-breach-bio-metric-database/

Cyber Domain - Royal Thai Air Force

ล่าสุด

Microsoft ออกเตือนช่องโหว่ Zero-day บน Internet Explorer ที่ถูกใช้โจมตีแล้ว
28 ม.ค.63(เมื่อวาน) อ่าน 8 ครั้ง
ประกาศรายชื่อผู้ผ่านการประเมินสมรรถนะ ครั้งที่ ๑
28 ม.ค.63(เมื่อวาน) อ่าน 90 ครั้ง
ข้าราชการศูนย์ไซเบอร์กองทัพอากาศ ร่วมฝึกบุคคลท่ามือเปล่า
23 ม.ค.63(6 วัน) อ่าน 40 ครั้ง
คณะนายทหารนักเรียนหลักสูตร เจ้าหน้าที่เทคโนโลยีสารสนเทศและสงครามอิเล็กทรอนิกส์ รุ่นที่ ๓ ศึกษาดูงาน
21 ม.ค.63(8 วัน) อ่าน 51 ครั้ง
NIST Privacy Framework ออกตัวเต็มแล้ว องค์กรควรศึกษาเพื่อใช้เป็นแนวทางบริหารความเสี่ยงด้านความเป็นส่วนตัว
21 ม.ค.63(8 วัน) อ่าน 16 ครั้ง
พบช่องโหว่ร้ายแรงบน WordPress Plugin คาดกระทบกว่า 320,000 เว็บไซต์
19 ม.ค.63(9 วัน) อ่าน 11 ครั้ง
เตือนข้าราชการ ทอ. ให้ระมัดระวังโปรแกรมประเภท Crack KeyGen Trojan รวมถึง Adware/Spyware
18 ม.ค.63(11 วัน) อ่าน 26 ครั้ง
เดือนภัย!! กลุ่มแฮ็กเกอร์ที่ใช้ REvil Ransomware ได้ปล่อยข้อมูลของเหยื่อ ลงเว็บไซต์ของแอ็กเกอร์
17 ม.ค.63(12 วัน) อ่าน 14 ครั้ง
กิจกรรมทดสอบสมรรถภาพร่างกายข้าราชการศูนย์ไซเบอร์กองทัพอากาศ ครั้งที่ ๑/๖๓
16 ม.ค.63(12 วัน) อ่าน 98 ครั้ง
ช่องโหว่ CryptoAPI (CVE-2020-0601) ถูกโจมตีสำเร็จแล้ว ตัวอย่างโค้ดถูกเผยแพร่สู่สาธารณะ ควรรีบอัปเดต
16 ม.ค.63(12 วัน) อ่าน 13 ครั้ง
Microsoft ปล่อยแพตช์ประจำเดือนมกราคม 2563 แก้ไขช่องโหว่ระดับวิกฤติใน CryptoAPI และ RD Gateway ควรรีบอัปเดต
16 ม.ค.63(12 วัน) อ่าน 8 ครั้ง
การตรวจเยี่ยมหน่วยสายวิทยาการปลัดบัญชี ประจำปีงบประมาณ ๖๓
16 ม.ค.63(13 วัน) อ่าน 81 ครั้ง
ประกาศรายชื่อผู้มีสิทธิ์เข้ารับการประเมินสมรรถนะ ครั้งที่ ๑
14 ม.ค.63(15 วัน) อ่าน 270 ครั้ง
เตือนพบช่องโหว่แอปบน TikTok แนะผู้ใช้เร่งอัปเดต
11 ม.ค.63(17 วัน) อ่าน 112 ครั้ง
เตือนช่องโหว่ Zero-day บน Firefox กำลังถูกแฮ็กเกอร์ใช้โจมตี รีบอัปเดตแพตช์ด่วน
11 ม.ค.63(18 วัน) อ่าน 72 ครั้ง