ทีมรักษาความปลอดภัยของ ASUS มีเดือนที่ย่ำแย่อย่างชัดเจนในเดือนมีนาคม ข้อกล่าวหาใหม่เกี่ยวกับการละเมิดความปลอดภัยอย่างร้ายแรงโดยพนักงานของบริษัท คราวนี้เกี่ยวข้องกับ GitHub ข่าวดังกล่าวเกิดขึ้นภายหลังจากเรื่องอื้อฉาวที่เกี่ยวข้องกับการแพร่กระจายของช่องโหว่ผ่านเซิร์ฟเวอร์ Live Update อย่างเป็นทางการ
นักวิเคราะห์ความปลอดภัยจาก SchizoDuckie ติดต่อ Techcrunch เพื่อแบ่งปันรายละเอียดเกี่ยวกับข้อบกพร่องด้านความปลอดภัยอื่นที่เขาค้นพบในไฟร์วอลล์ ASUS ตามที่เขาพูด บริษัทเผยแพร่รหัสผ่านของพนักงานเองโดยไม่ได้ตั้งใจในพื้นที่เก็บข้อมูลบน GitHub ด้วยเหตุนี้ เขาจึงสามารถเข้าถึงอีเมลภายในบริษัทที่พนักงานแลกเปลี่ยนลิงก์ไปยังแอปพลิเคชัน ไดรเวอร์ และเครื่องมือรุ่นก่อนๆ
บัญชีนี้เป็นของวิศวกรซึ่งมีรายงานว่าเปิดทิ้งไว้อย่างน้อยหนึ่งปี SchizoDuckie ยังรายงานด้วยว่าเขาค้นพบรหัสผ่านภายในบริษัทที่เผยแพร่บน GitHub ในบัญชีของวิศวกรอีกสองคนที่ผู้ผลิตชาวไต้หวัน แหล่งข่าวแชร์ภาพหน้าจอกับนักข่าวที่ยืนยันข้อสรุปของเขา แม้ว่าภาพเหล่านั้นจะไม่ได้เผยแพร่ก็ตาม
เป็นที่น่าสังเกตว่านี่เป็นช่องโหว่ที่แตกต่างไปจากเดิมอย่างสิ้นเชิงเมื่อเทียบกับการโจมตีครั้งก่อนซึ่งแฮกเกอร์สามารถเข้าถึงเซิร์ฟเวอร์ ASUS และแก้ไขซอฟต์แวร์อย่างเป็นทางการโดยการฝังแบ็คดอร์เข้าไป (หลังจากนั้น ASUS ได้เพิ่มใบรับรองความถูกต้องและเริ่มแจกจ่าย ผ่านช่องทางราชการ) แต่ในกรณีนี้ มีการค้นพบข้อบกพร่องด้านความปลอดภัยที่อาจทำให้บริษัทเสี่ยงต่อการโจมตีที่คล้ายกัน
“บริษัทต่างๆ ไม่รู้ว่าโปรแกรมเมอร์กำลังทำอะไรกับโค้ดของตนบน GitHub” SchizoDuckie กล่าว ASUS กล่าวว่าไม่สามารถตรวจสอบคำกล่าวอ้างของผู้เชี่ยวชาญได้ แต่กำลังตรวจสอบระบบทั้งหมดอย่างจริงจังเพื่อลบภัยคุกคามที่ทราบออกจากเซิร์ฟเวอร์และซอฟต์แวร์ที่รองรับ และเพื่อให้แน่ใจว่าไม่มีข้อมูลรั่วไหล
ปัญหาด้านความปลอดภัยดังกล่าวไม่ได้เกิดขึ้นเฉพาะกับ ASUS - บ่อยครั้งที่แม้แต่บริษัทขนาดใหญ่มากก็พบว่าตนเองตกอยู่ในสถานการณ์ที่คล้ายกันซึ่งเกี่ยวข้องกับความประมาทเลินเล่อของพนักงาน ทั้งหมดนี้แสดงให้เห็นว่างานในการรับรองความปลอดภัยในโครงสร้างพื้นฐานสมัยใหม่นั้นยากเพียงใด และข้อมูลรั่วไหลได้ง่ายเพียงใด
ที่มา: 3dnews.ru