"ใคร ๆ ก็ยังเป็นคุณได้อย่างง่ายดายที่ Experian"

 (krebsonsecurity.com)
1 คะแนน โดย GN⁺ 2023-11-12 | 1 ความคิดเห็น | แชร์ทาง WhatsApp

ปัญหาความปลอดภัยของ Experian ยังคงดำเนินต่อไป

  • ในช่วงฤดูร้อนปี 2022 มีรายงานกรณีที่บัญชีรายงานเครดิตผู้บริโภคของ Experian ถูกยึดไปใช้ เพียงแค่ลงทะเบียนใหม่โดยเปลี่ยนที่อยู่อีเมลเท่านั้น
  • แม้ผ่านไป 16 เดือนแล้ว Experian ก็ยังไม่สามารถแก้ไขปัญหาความปลอดภัยร้ายแรงนี้ได้
  • บัญชี Experian ของผู้สื่อข่าวก็เพิ่งถูกแฮ็กเมื่อไม่นานมานี้ และต้องสร้างบัญชีใหม่เพื่อกู้คืนการเข้าถึงบัญชี

กระบวนการลงทะเบียนบัญชีใหม่ที่ทำได้ง่าย

  • เมื่อนักข่าวกรอก SSN (หมายเลขประกันสังคม) และวันเกิดลงใน Experian ก็พบว่าบัญชีถูกผูกกับที่อยู่อีเมลที่ตนไม่ได้ยืนยัน
  • เว็บไซต์ของ Experian ขอ SSN และวันเกิดเพื่อค้นหาชื่อผู้ใช้ของบัญชี และแสดงบางส่วนของที่อยู่อีเมลที่ยังไม่ได้รับการยืนยัน
  • Experian ยังเปิดให้สร้างบัญชีไฟล์เครดิตขึ้นใหม่ได้โดยใช้ข้อมูลส่วนบุคคลเดิมร่วมกับที่อยู่อีเมลอื่น

ความเปราะบางของกระบวนการสร้างบัญชี

  • หน้าแรกของ Experian ขอ SSN และหมายเลขมือถือ พร้อมระบุว่าจะส่งลิงก์เพื่อยืนยันตัวตน
  • ผู้ใช้สามารถข้ามขั้นตอนกรอกหมายเลขโทรศัพท์ได้ และจากนั้นต้องกรอกชื่อ ที่อยู่ วันเกิด SSN ที่อยู่อีเมล และรหัสผ่าน
  • ต้องตอบคำถามความปลอดภัยแบบปรนัย 3 ถึง 5 ข้อ แต่คำถามเหล่านี้ส่วนใหญ่อิงจากข้อมูลบันทึกสาธารณะ จึงค้นหาได้ไม่ยาก

การแจ้งเตือนทางอีเมลที่ไม่เพียงพอเมื่อมีการเปลี่ยนแปลงบัญชี

  • เมื่อมีการสร้างบัญชีใหม่ Experian จะส่งการแจ้งเตือนไปยังที่อยู่อีเมลเดิมเกี่ยวกับการเปลี่ยนแปลงโปรไฟล์ผู้ใช้
  • การแจ้งเตือนนี้ไม่ใช่คำขอให้ยืนยันการเปลี่ยนแปลง และเจ้าของบัญชีเดิมก็ไม่สามารถทำอะไรได้นอกจากกดลิงก์เพื่อเข้าสู่ระบบที่ Experian.com

ความสำคัญของบัญชี Experian

  • หากไม่มีบัญชี Experian ผู้ใช้สามารถสร้างบัญชีเพื่อรับการแจ้งเตือนทางอีเมลเมื่อไฟล์เครดิตของตนถูกนำไปใช้ในทางมิชอบ
  • แต่หากบัญชีถูกยึด ข้อมูลเข้าสู่ระบบเดิม PIN และคำถามสำหรับกู้คืนบัญชีจะถูกเปลี่ยนทั้งหมด ทำให้แทบไม่มีทางเลือกนอกจากต้องสร้างบัญชีขึ้นใหม่เพื่อแย่งคืนจากผู้สวมรอย

การเปรียบเทียบกับหน่วยงานรายงานเครดิตอื่น

  • หน่วยงานรายงานเครดิตผู้บริโภครายใหญ่อื่น ๆ เช่น Equifax หรือ TransUnion กำหนดให้ต้องกรอกรหัสที่ส่งไปยังอีเมลหรือหมายเลขโทรศัพท์ที่ลงทะเบียนไว้ในไฟล์เมื่อมีการเปลี่ยนแปลงบัญชี

ปฏิกิริยาของ Experian

  • Scott Anderson โฆษกของ Experian ปฏิเสธที่จะแชร์ข้อมูลเกี่ยวกับที่อยู่อีเมลที่ยังไม่ได้รับการยืนยัน
  • Anderson ระบุว่า Experian ใช้แนวทางความปลอดภัยแบบหลายชั้น ซึ่งรวมถึงคำถาม-คำตอบแบบอิงความรู้ รวมถึงกระบวนการตรวจสอบความเป็นเจ้าของและการครอบครองอุปกรณ์

ปัญหาเรื่องประสิทธิผลของการยืนยันตัวตนหลายปัจจัย

  • แม้ว่าผู้บริโภคทุกคนจะมีตัวเลือกในการเปิดใช้ปัจจัยยืนยันตัวตนหลายชั้นที่ถูกขอทุกครั้งเมื่อเข้าสู่ระบบ แต่หากยังสามารถสร้างบัญชีใหม่ด้วยหมายเลขโทรศัพท์และที่อยู่อีเมลใหม่ได้ มาตรการนี้ก็แทบไม่มีประโยชน์

การทดลองของผู้ใช้ Mastodon

  • ผู้ใช้ Mastodon ได้ทดลองตรวจสอบปัญหาความปลอดภัยของ Experian เพื่อยืนยันสิ่งที่ผู้สื่อข่าวค้นพบ
  • เมื่อ Experian ขอหมายเลขโทรศัพท์และเลข 4 หลักท้ายของ SSN ผู้ใช้เลือกตัวเลือก "ป้อนข้อมูลของฉันด้วยตนเอง" แล้วกรอกหมายเลขโทรศัพท์และที่อยู่อีเมลใหม่
  • ไม่มีการขอให้ยืนยันใด ๆ จากอีเมลเดิม และมีการทำ 2FA (การยืนยันตัวตนสองชั้น) ผ่านหมายเลขโทรศัพท์ใหม่แทน

ปัญหาความปลอดภัยในอดีตของ Experian

  • ในเดือนธันวาคม 2022 KrebsOnSecurity พบวิธีง่าย ๆ ในการข้ามระบบความปลอดภัยของ Experian เพื่อเข้าถึงรายงานเครดิตฉบับเต็มของผู้บริโภครายใดก็ได้
  • ในเดือนเมษายน 2021 KrebsOnSecurity เปิดโปงกลุ่มขโมยข้อมูลส่วนบุคคลที่ปลดล็อกไฟล์เครดิตผู้บริโภค โดยอาศัยการยืนยันตัวตนที่หละหลวมในหน้าค้นหา PIN ของ Experian
  • Experian เคยถูกวิจารณ์หลายครั้งในอดีตเกี่ยวกับปัญหาความปลอดภัยหลากหลายรูปแบบ

ความเห็นของ GN⁺

  • ประเด็นสำคัญที่สุดคือ Experian ยังคงไม่สามารถแก้ไขช่องโหว่ด้านความปลอดภัยร้ายแรงได้ และสิ่งนี้อาจทำให้ข้อมูลเครดิตของผู้ใช้ตกอยู่ในความเสี่ยง
  • บทความนี้ช่วยสร้างความตระหนักที่สำคัญให้ผู้บริโภคว่าควรดำเนินการอย่างไรเพื่อปกป้องข้อมูลเครดิตของตนเอง
  • ปัญหาความปลอดภัยของ Experian เกี่ยวข้องโดยตรงกับความเป็นส่วนตัวของข้อมูลส่วนบุคคลของผู้บริโภค และเป็นประเด็นที่สำคัญอย่างยิ่งสำหรับทุกคน

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2023-11-12
ความคิดเห็นบน Hacker News

  • ลูกค้าของบริษัทสปายไม่ใช่พวกเรา แต่ก็น่าแปลกใจที่การขาดความปลอดภัยไม่ได้เป็นเหตุให้ลูกค้าตัวจริงยุติการทำธุรกรรม

    • ระบบความปลอดภัยของบริษัทสปายอ่อนแอมากจนสามารถใช้บริการเพื่อปลอมตัวเป็นผู้อื่นได้ จึงตั้งคำถามถึงเหตุผลที่บริการแบบนี้ยังคงมีอยู่

  • ถ้าผู้บริหารของ Experian ยังถูกแฮ็กบัญชีด้วยวิธีเดิมซ้ำๆ ต่อไป สักวันก็คงจะมีการเปลี่ยนแปลง

    • คาดเดาว่าหากผู้บริหารของ Experian ต้องเผชิญกับการถูกแฮ็กบัญชีซ้ำแล้วซ้ำเล่า ก็อาจทำให้เกิดการเปลี่ยนแปลงต่อปัญหานี้ได้

  • ไม่เข้าใจว่า Experian หลุดพ้นจากคดีความได้อย่างไร ทั้งที่ล้มเหลวในการปกป้องลูกค้า

    • แสดงความไม่เข้าใจต่อเหตุผลทางกฎหมายที่ทำให้ Experian ยังดำเนินงานต่อได้ แม้จะไม่สามารถปกป้องข้อมูลของลูกค้าได้

  • ช่วงไม่กี่สัปดาห์ที่ผ่านมาได้รับอีเมลยืนยันการซื้อสมาร์ตโฟนและแล็ปท็อปในชื่อตัวเองจากผู้ค้าปลีกรายใหญ่ไม่ขาดสาย

    • อธิบายว่าได้รับใบยืนยันการซื้อที่มีทั้งชื่อและหมายเลขประจำตัวของตนเอง และแม้จะติดต่อผู้ค้าปลีกกับตำรวจแล้วก็ยังแก้ปัญหาได้ยาก

  • บัญชี Experian ถูกแฮ็ก ถูกปลดการอายัด และถูกนำไปใช้กู้เงิน 100,000 ดอลลาร์จาก Ford Credit

    • แชร์ประสบการณ์ว่าบัญชี Experian ถูกแฮ็กจนเกิดเงินกู้จำนวนมากขึ้นมา และใช้เวลานานมากกว่าจะแก้ปัญหาได้

  • มีคำร้องบน resistbot ที่เรียกร้องให้ฝ่ายนิติบัญญัติหันมาสนใจปัญหานี้

    • แชร์ลิงก์คำร้องออนไลน์เพื่อเรียกร้องความสนใจเชิงนิติบัญญัติต่อปัญหานี้

  • เราต้องการทางเลือกที่ดีกว่าสำหรับรายงานเครดิต

    • แสดงมุมมองเชิงวิพากษ์ต่อระบบที่เมื่อธนาคารและผู้ให้กู้ไม่สามารถเลือกปฏิบัติทางเชื้อชาติได้โดยตรง ก็หันมาใช้คะแนนเครดิตเป็นวิธีทางอ้อมแทน

  • สงสัยว่ามีวิธีหลีกเลี่ยงคะแนนเครดิตจากหนึ่งในสามบริษัทเครดิตบูโรหรือไม่

    • ค้นหาข้อมูลเกี่ยวกับวิธีหลีกเลี่ยงการมีคะแนนเครดิตกับหนึ่งในบริษัทเครดิตบูโร เพื่อกระตุ้นการแข่งขันในฐานะผู้บริโภค

  • หากเกิดการฉ้อโกงเล็กน้อยขึ้นมา (เช่น ความพยายามเปิดบัญชีที่ไม่สำเร็จหรือข้อมูลรั่วไหล) ก็สามารถลงทะเบียนแจ้งเตือนการฉ้อโกงและอายัดเครดิตกับทุกหน่วยงานได้ ซึ่งช่วยลดจดหมายไม่พึงประสงค์และความเสี่ยงจากบัญชีฉ้อโกงจริงได้ในช่วงเวลาหนึ่ง

    • อธิบายว่าการตั้งแจ้งเตือนการฉ้อโกงและอายัดเครดิตช่วยเพิ่มขั้นตอนยืนยันตัวตน และสามารถป้องกันปัญหาหลายอย่างได้

  • ลองเข้าสู่ระบบเว็บไซต์ของ Experian แล้ว แต่เว็บไซต์ไม่เสถียรจนเข้าสู่ระบบไม่ได้เลย

    • แชร์ว่าประสบปัญหาเข้าถึงบัญชีของตนเองไม่ได้ เนื่องจากเว็บไซต์ของ Experian มีปัญหาด้านการทำงาน