จากข่าว Dropbox ถูกแฮกตั้งแต่ปี 2012 กระทบผู้ใช้ 68 ล้านบัญชี ตอนนี้มีผู้ปล่อยให้ดาวน์โหลดแล้ว ซึ่งขนาดไฟล์มีขนาดใหญ่ถึง 5GB ตามที่เป็นข่าวก่อนหน้า สิ่งที่น่าสนใจหลังจากมีการปล่อยให้ดาวน์โหลดข้อมูลคือ ทางเพจ Incognito Lab ได้นำข้อมูลมาทำ filter อีเมลที่ลงท้ายด้วย .th พบว่ามีข้อมูลทั้งหมด 23,761 บัญชี โดย 10 อันดับยอดนิยมดังนี้
- hotmail.co.th จำนวน 4,449 บัญชี
- yahoo.co.th จำนวน 1,974 บัญชี
- patana.ac.th จำนวน 1,041 บัญชี
- nist.ac.th จำนวน 902 บัญชี
- scg.co.th จำนวน 508 บัญชี
- truemail.co.th จำนวน 365 บัญชี
- loxinfo.co.th จำนวน 312 บัญชี
- egat.co.th จำนวน 209 บัญชี
- truecorp.co.th จำนวน 105 บัญชี
- ais.co.th จำนวน 97 บัญชี
ทางเพจยังเผยว่ายังมีอีกหลายองค์กรที่เป็นของไทยแต่ไม่ได้ใช้งาน .th เช่น กลุ่มธนาคารต่างๆ
ทำให้เห็นได้ว่า พนักงานหลายองค์กรอาจมีการแชร์ข้อมูลภายในบริษัท ผ่านบริการ Public Cloud Service เช่น Dropbox และเจ้าอื่นๆ สิ่งนี้อาจจะนำไปสู่การทำให้ข้อมูลลูกค้า, ความลับบริษัทรั่วไหลได้ หวังว่าข่าวนี้จะช่วยเตือนให้ทุกหน่วยงานตระหนักถึงความสำคัญของการควบคุมการใช้งานบริการ Public Cloud Service ต่อไป
ที่มา - Incognito Lab , thecthulhu
Comments
แหม่พาดหัวข่าวยังกะเกมแจกฟรี โชคดีไม่เคยคิดจะใช้เลยรอดไป...
แต่พนักงานธนาคารใช้ และข้อมูลของคุณก็อยู่ในนั้น
ชิหายยยยยยยละะ555
ไม่เป็นไรครับธนาคารมีแบ็คอัพไว้แล้ว:P
ปล. อยากได้เอาไปเลยจ่ายค่าโอนก็หมดแล้ว XD
อ้อ ที่บัตรเครดิตโทรมาหาผมบ่อยๆ
ก็เพราะรั่วทางนี้นี่เอง
... ใช่มั้ยครับ?
Siemens C35i> Panasonic GD88, Panasonic X400, T610, W810i, Aino, Arc, Arc S, t2 ultra, z ultra, z3 tables, z5, XA ultra.
อันนั้นเพราะคุณเซนยินยอมให้ธนาคารขายข้อทูลให้ฝ่ายเครดิตครับ ซึ่งไม่เซนก็เปิดบัญชีไม่ได้....
เป็นสิ่งที่ไม่เคยอ่าน ฮ่าา
bot.or.th ก็มีครับ
หลาบเลยแบบนี้
แย่เลย แล้วเพิ่งมาบอกเนี่ยนะแล้วจะยังให้อัพเกรดเป็น Business อีก
อันดับ 3 และ 4 เป็นสถาบันการศึกษา (โรงเรียนนานาชาติ) ???
อันนี้น่าจะเป็นอาจารย์ให้เด็ก ๆ สมัครใช้เพื่อประกอบการเรียนการสอน
น่าสนใจมากว่า เด็ก ๆ นำมาประยุกต์ใช้อย่างไรนะครับ
ข้อมูลที่หลุดมากกว่า 60 ล้านรายการ เป็นอีเมล และตัวรหัสผ่านนั้นถูกแฮชไว้ด้วย sha1 หรือ blowfish
เท่าที่ทดสอบ เคสอีเมล์ผมโดนเป็น sha1
ทดสอบเข้ารหัส sha1 กับรหัสผ่านมั้งหมดแล้วเทียบกับใน DB แล้ว ทดสอบหลายแบบ และตรวจโดยเข้า sha1 ตรวจจนครบ 1 ล้านรอบ ก็ยังไม่ตรง เลยเข้าใจว่าที่หลุดมานี้น่าจะมี salt อยู่แล้ว
แต่ถ้ามีเจ้าของอีเมล์กับรหัสผ่านจริง จำนวนเยอะๆ ก็อาจมีการแกะ salt ออกมาได้เหมือนกัน
อนาคตแฮกเกอร์คงไล่สมัคร acc ผีไว้สักหลายพันหรือหลายหมื่น แล้วค่อยแฮกมาเอา DB จากนั้นก็น่าจะเป็นการสุ่มยิง salt ออกมาแทน
มันไม่ง่ายเลยที่จะทำ GIF ให้มีขนาดน้อยกว่า 20kB
ไม่รู้ว่า dropbox ใช้เก็บ password ระบบ hash salt pepper หรือเปล่า
เราไม่รู้อะไรเลยนี้สิครับ 55+
มันไม่ง่ายเลยที่จะทำ GIF ให้มีขนาดน้อยกว่า 20kB
bcrypt ก็ยากหน่อย
ถ้าแบบนี้เราสามารถกระจาย salt ออกเป็นหลายๆ ตัวได้ไหมครับ? เพื่อให้ข้อมูลสำหรับการ decrypt ย้อนกลับไปทำได้ยากขึ้น?
ใช้ salt แบบ dinamic ไปเลยครับ เช่นเอาบางส่วนของค่า hash ตัว username มาเป็น salt
สรุปคือ น่าจะปลอดภัยหรือเปล่าครับ มีชื่อผมอยู่ในนั้นด้วย แต่ก็แก้pass ไปแล้วล่ะครับ
อยู่ใน bcrypt หรือ sha1 ครับ ถ้าตัวแรกก็น่าจะสบายใจได้
มาถอนคำพูดนะครับ ถ้าเป็น sha1 อาจโดนแกะด้วยวิธี RainbowCrack ได้ครับ แต่นั้นคือกับกรณีถ้าดันไม่มี salt นะ เพราะเราก็ไม่รู้ว่ามันจะยังไง ไม่รู้ว่า salt มีไหม มีใส่ pepper เพิ่มหรือเปล่า มันไม่รู้อะไรเลยนี้สิ -*-
ลาก๋อยยย (ยังไม่ได้เทสจริงจัง แต่เสียงก็เปลี่ยนๆ ไปเถอะครับ ทุกเว็บอย่าใช้ซ้ำกัน)
มันไม่ง่ายเลยที่จะทำ GIF ให้มีขนาดน้อยกว่า 20kB
ตรวจได้ที่ไหน
โดเมนที่ลงท้ายด้วย .th ผมดึงออกมาได้ 23830 นะครับ
@ Virusfowl
I'm not a dev. not yet a user.