เหตุการณ์การเข้าถึง AWS Root ของ Rubygems.org – กันยายน 2025

• ในเดือนกันยายน 2025 เกิดเหตุ การเข้าถึงโดยไม่ได้รับอนุญาต ต่อบัญชี AWS root ของ Rubygems.org
• ผลการสอบสวนที่เปิดเผยต่อสาธารณะ ยืนยันว่า ไม่พบหลักฐานของความเสียหายหรือการรั่วไหล ต่อข้อมูลผู้ใช้หรือสภาพแวดล้อมการปฏิบัติงาน
• สาเหตุหลัก คือการไม่เปลี่ยนรหัสผ่านของบัญชี AWS root ทันทีหลังเพิกถอนสิทธิ์ของผู้ที่ออกจากงานแล้ว และ การจัดการข้อมูลรับรองที่ใช้ร่วมกันที่ไม่รัดกุม
• หลังเหตุการณ์ มีการ หมุนเวียนข้อมูลรับรองและรหัสผ่านทั้งหมด เสริมความเข้มงวดของการตรวจสอบความปลอดภัย และปรับปรุงกระบวนการตรวจสอบจากภายนอกและการเปลี่ยนแปลงสิทธิ์
• มีการเน้นย้ำซ้ำ ๆ ถึง จริยธรรมองค์กร, ความเป็นส่วนตัวของข้อมูล และ การสื่อสารอย่างโปร่งใส พร้อมระบุอย่างชัดเจนถึงความพยายามในการฟื้นฟูความเชื่อมั่นของชุมชน

---

ภาพรวมและที่มา

Ruby Central เผยแพร่รายงานวิเคราะห์หลังเหตุการณ์อย่างเป็นทางการเกี่ยวกับการละเมิดการเข้าถึง AWS root ของ Rubygems.org ในเดือนกันยายน 2025 เอกสารนี้สรุปอย่างโปร่งใสถึงลำดับการเกิดเหตุ ผลการสอบสวน สิ่งที่จัดการผิดพลาด และมาตรการเพื่อเสริมความมั่นคงปลอดภัยในอนาคต

เหตุการณ์เริ่มต้นขึ้นเมื่อมีการเปิดเผยผ่านบล็อกสาธารณะว่า André Arko ซึ่งเป็นผู้ดูแลระบบคนก่อน ยัง สามารถเข้าถึงสภาพแวดล้อม production และเครื่องมือมอนิเตอร์ของ Rubygems.org ได้ แม้หลังจากถูกเพิกถอนสิทธิ์แล้ว Ruby Central จึงมุ่งเน้นทันทีไปที่ ความสมบูรณ์ของบริการ และการปกป้องข้อมูลผู้ใช้ พร้อมแสดงคำขอโทษต่อสาธารณะ

ไทม์ไลน์การตอบสนองต่อเหตุการณ์

เหตุการณ์สำคัญของวันที่ 30 กันยายน 2025

• 17:23 UTC: André Arko แจ้งทางอีเมลว่าตนยังสามารถเข้าถึง root ได้
• 17:30 UTC: มีการเปิดเผยสู่สาธารณะผ่านบล็อกโพสต์ของบุคคลภายนอกเกี่ยวกับ การเข้าถึงบัญชี root และภาพหน้าจอ
• 17:51 UTC: Ruby Central จัดตั้งทีมสอบสวนเหตุการณ์ และเริ่มตรวจสอบบริการทั้งหมดกับข้อมูลรับรองทั้งหมด
• 18:20 UTC: ยืนยันว่ารหัสผ่านเดิมถูกทำให้ใช้ไม่ได้แล้ว
• 18:24 UTC: รีเซ็ตรหัสผ่านบัญชี AWS root และกู้คืนบัญชีด้วยการยืนยันตัวตน MFA
• 18:30 UTC: ตรวจสอบผ่าน “Credentials Report” และยืนยันว่า มีผู้ไม่ได้รับอนุญาตเปลี่ยนรหัสผ่าน root เมื่อวันที่ 19 กันยายน
• 20:45 UTC: ยกเลิกบัญชีย่อยและข้อมูลรับรองแบบ legacy ทั้งหมด ออก MFA ใหม่ และเก็บข้อมูลรับรองใหม่ไว้ในคลังลับที่แยกต่างหาก

รายละเอียดลำดับเหตุการณ์

โครงสร้างพื้นฐานทั้งหมดของ Ruby Central ทำงานอยู่บน AWS และข้อมูลรับรองของบัญชี root ถูกเก็บไว้ในคลังลับที่ใช้ร่วมกันซึ่งมีเพียง 3 คนเท่านั้นที่เข้าถึงได้ (พนักงานปัจจุบัน 2 คน และอดีตพนักงาน 1 คน)

18 กันยายน 2025

• 18:40 UTC: Arko ได้รับอีเมลแจ้งการเพิกถอนสิทธิ์เข้าถึง production และสิทธิ์บริการ on-call
• ข้อมูลรับรอง AWS ที่ Arko ใช้งานถูกลบไปแล้ว แต่ รหัสผ่านของบัญชี root ไม่ได้ถูกหมุนเวียน

19 กันยายน 2025 เริ่มการโจมตี

• 04:34~04:39 UTC: มีการล็อกอิน root โดยไม่ได้รับอนุญาตจาก IP ในซานฟรานซิสโก เปลี่ยนรหัสผ่าน ถอนตัวออกจากกลุ่ม/นโยบายของผู้มีสิทธิ์ และดำเนินกิจกรรมสำรวจ IAM ทั้งระบบ

28 กันยายน 2025

• 05:49 UTC: เกิดเซสชันที่ไม่ได้รับอนุญาตจาก IP ในโตเกียว และตรวจสอบเมตาดาต้าของผู้ใช้ผ่าน IAM introspection API
• (ช่วงเวลาเดียวกับงานประชุม Kaigi on Rails จึงคาดว่าเป็นบุคคลเดียวกัน)

30 กันยายน 2025

• 15:25~15:35 UTC: มีการเข้าถึง root จาก IP ในลอสแอนเจลิส และรันคำสั่งเพื่อดึงข้อมูลรับรองของผู้ใช้ (ตรงกับภาพหน้าจอที่แชร์ในบล็อก)
• 18:24 UTC: Ruby Central กู้คืนการควบคุม root ได้

ผลกระทบและขอบเขตความเสียหาย

• จากการตรวจสอบอย่างละเอียด ไม่พบหลักฐานความเสียหายต่อข้อมูลผู้ใช้ บัญชี gems หรือความพร้อมใช้งานของบริการ
• Rubygems.org ให้บริการได้ตามปกติตลอดช่วงเหตุการณ์
• ไม่มีการเข้าถึงหรือรั่วไหลของข้อมูลอ่อนไหว เช่น PII หรือข้อมูลทางการเงิน
• ไม่มีการเปลี่ยนแปลงต่อ production DB, S3 หรือ CI/CD
• อย่างไรก็ตาม การไม่หมุนเวียนข้อมูลรับรองที่ใช้ร่วมกันและการเปิดให้เข้าถึงต่อเนื่อง ถือเป็นข้อบกพร่องร้ายแรงในกระบวนการปฏิบัติงาน

กระบวนการแก้ไขเหตุการณ์

• ยกเลิกข้อมูลรับรอง root และ IAM ทั้งหมด และใช้ MFA ใหม่
• หมุนเวียนโทเค็นของการเชื่อมต่อภายนอกที่เกี่ยวข้องทั้งหมด (เช่น DataDog, GitHub Actions)
• เสริมการมอนิเตอร์แบบเรียลไทม์ต่อการเปลี่ยนแปลงสำคัญผ่าน AWS CloudTrail, GuardDuty, DataDog
• ทบทวนโครงสร้างสิทธิ์ IAM และยกเลิกสิทธิ์ที่ไม่จำเป็น
• เริ่มต้น การตรวจสอบความปลอดภัยแบบครอบคลุม โดยรวมผู้เชี่ยวชาญภายนอก
• จัดทำ runbook ด้านความปลอดภัยฉบับใหม่ (รวมการหมุนเวียนรหัสผ่านทันทีเมื่อมีการเปลี่ยนแปลงบุคลากร การตรวจสอบรายไตรมาส และกระบวนการสื่อสารเมื่อเกิดเหตุ)

การวิเคราะห์สาเหตุราก

• ไม่ตระหนักว่าการจัดการรหัสผ่านแบบใช้ร่วมกันอาจมีการคัดลอกไว้ภายนอก
• เมื่อมีพนักงานออกจากงาน ไม่ได้หมุนเวียนรหัสผ่าน AWS root และ MFA
• ปัจจัยสองข้อนี้ทำให้เกิดความเป็นไปได้ที่ผู้ไม่ได้รับอนุญาตจะเข้าถึงโครงสร้างพื้นฐาน production ของ Rubygems และพยายามแย่งสิทธิ์การเข้าถึง

มาตรการป้องกันการเกิดซ้ำ

• ขยายขั้นตอนและเช็กลิสต์การเพิกถอนสิทธิ์ให้ครอบคลุมถึง การจัดการคลังลับที่ใช้ร่วมกัน
• ข้อมูลรับรองที่ไม่ผูกกับระบบรวมศูนย์ (โดยเฉพาะข้อมูลรับรองที่ใช้ร่วมกัน) ต้องหมุนเวียนทันทีเมื่อมีการเปลี่ยนแปลงบุคลากร
• มอบหมาย การตรวจสอบความปลอดภัยแบบอิสระ ให้หน่วยงานภายนอก
• นำข้อตกลงผู้ปฏิบัติการ/ผู้มีส่วนร่วมที่ชัดเจนมาใช้ เพื่อกำหนดว่าใครจะได้รับสิทธิ์ production ภายใต้เงื่อนไขใด

เหตุใดจึงจัดว่าเป็นเหตุการณ์ด้านความปลอดภัย

• เกิดจากปัญหาการควบคุมระบบสำคัญโดยบุคคลเพียงคนเดียว
• คุณ Arko เคยให้บริการ on-call ระดับที่สองในรูปแบบที่ปรึกษาแบบมีค่าตอบแทนปีละ 50,000 ดอลลาร์สหรัฐ และหลังมีการเปลี่ยนโครงสร้างงบประมาณ ได้เสนอให้ให้บริการ on-call ฟรีแลกกับ การเข้าถึง production HTTP logs (รวม PII) และโอกาสสร้างรายได้
• ข้อเสนอนี้มีปัญหาเชิงพื้นฐานด้าน ธรรมาภิบาล ความเป็นส่วนตัว และผลประโยชน์ทับซ้อน ทำให้ Ruby Central เห็นว่าไม่อาจยอมรับได้ และได้ดำเนินการปรับโครงสร้างผู้ปฏิบัติการและธรรมาภิบาล
• การยืนยันว่าการเข้าถึงระบบที่มี PII ของ Arko ยังคงดำเนินต่อไป เป็นเหตุผลชี้ขาดที่ทำให้ ถูกจัดประเภทเป็นเหตุการณ์ด้านความปลอดภัย
• จนถึงขณะนี้ยังไม่มีหลักฐานว่าข้อมูลของ Rubygems ถูกนำออกไปภายนอกหรือถูกเก็บสำเนาไว้ และมีคำมั่นว่าจะ ฟื้นฟูความเชื่อมั่นของชุมชนและเพิ่มความโปร่งใส

บทสรุป

• ขอบคุณชุมชนสำหรับการสนับสนุนและการตรวจสอบถ่วงดุลอย่างสร้างสรรค์
• Ruby Central จะยังคงรับประกัน เสถียรภาพและความน่าเชื่อถือ ของ Rubygems.org ต่อไปด้วย การดำเนินงานที่โปร่งใส ความรับผิดชอบ และระบบความปลอดภัยที่เข้มงวดยิ่งขึ้น

Shan Cureton
Executive Director