Cyber-attack ครั้งใหญ่ของ Heroku

หลังจากข่าวใหญ่ที่ Heroku โดนแฮ็ก ทำให้ผู้ที่โจมตี (attacker) ซึ่งจวบจนป่านนี้ยังไม่ทราบว่าเป็นใคร จากที่ไหน สามารถเข้าถึงฐานข้อมูลของ Heroku รวมไปถึง GitHub Integration OAuth tokens ของลูกค้า ซึ่งทำให้ผู้โจมตีเข้าถึงบัญชีและฐานข้อมูลของลูกค้า โดยไทม์ไลน์การโจมตีครั้งนี้ได้เริ่มต้นในช่วงประมาณวันที่ 7 เมษายน ซึ่งสร้างความเสียหายต่อ Heroku อย่างมากโดยเฉพาะอย่างยิ่งภาพลักษณ์และความน่าเชื่อถือ คำกล่าวหนึ่งจาก Heroku ด้านล่าง

"On April 7, 2022, a threat actor gained access to a Heroku database and downloaded stored customer GitHub integration OAuth tokens. Access to the environment was achieved by leveraging a compromised token for a Heroku machine account."

นอกเหนือจากนี้ผู้โจมตียังได้ดาวน์โหลดข้อมูลต่าง ๆ ของหลาย ๆ องค์กรที่ได้เก็บไว้ใน Heroku รวมไปถึง JavaScript Package Manger (NPM) ต่าง ๆ ทาง Heroku ได้กล่าวไว้

ถ้าใครที่ใช้ Heroku จะเห็นว่าในวันที่ 4 พฤษภาคม ที่ผ่านมาสุดล่า มีอีเมลแจ้งเตือนจาก Salesforce (บริษัทแม่ของ Heroku) ได้ส่งแจ้งเตือนผู้ใช้งาน Heroku ให้รีบทำการรีเซ็ตรหัสผ่านโดยด่วน ดังภาพด้านล่าง (แต่ก็ไม่ได้บอกเหตุผลในการเปลี่ยนและสาเหตุว่าทำไมต้องเปลี่ยนซึ่งสร้างความสับสนให้กับผู้ใช้)

May 7, 2022

ล่าสุดได้มีประกาศอย่างเป็นทางการออกมาจากทางเว็บไซต์ของ Heroku โดยคุณ Bob Wise ซึ่งเป็น General Manager ของ Heroku ซึ่งเพิ่งเข้ามารับตำแหน่งนี้เมื่อไม่นาน ใจความโดยรวมได้ว่า ทางทีม Heroku นั้นได้ทำงานกันข้ามคืน ไม่เว้นแม้แต่ช่วง weekends ในการจัดการและตรวจสอบแก้ไขกับปัญหาที่เกิดขึ้น แต่ในตอนนี้ก็ยังไม่มีหลักฐานที่แน่ชัดในการโจมตีครั้งนี้ แต่สันนิษฐานว่าน่าจะมาจาก OAuth Tokens ของ Heroku และ Travis-CI ที่ทางผู้โจมตีได้ขโมยไปได้

ทาง GM ของ Heroku ก็ได้กล่าวต่ออีกว่า "ได้มีการมอนิเตอร์เรื่องนี้อย่างใกล้ชิดและทำงานอย่างหนักเพื่อไม่ให้เกิดการโจมตีแบบนี้ขึ้นได้อีกในอนาคต"

คงต้องติดตามการอัปเดตจาก Heroku Statusโดยตรง กันต่อไปท้ายที่สุดแล้ว การโจมตีครั้งนี้มาจากที่ไหนหรือสาเหตุใดที่แท้จริงกันแน่ และความเชื่อมั่นของผู้ใช้ Heroku ตอนนี้น่าจะลดลงไปไม่มากก็น้อยอย่างแน่นอน และข้อคิดหนึ่งที่ได้คือ ขนาดบริษัทระดับโลกซึ่งเป็นผู้ให้บริการในระดับ infrastructure ซึ่งแน่นอนว่าระบบความปลอดภัยคงต้องสูงมาก ๆ อยู่แล้วยังมีช่องโหว่และโดนโจมตีได้ ก็เป็นสิ่งที่น่าคิดครับ

ร่วมแสดงความคิดเห็นเข้ามาได้ที่โพสต์นี้ใน Facebook เพจ

References

• Heroku resets user passwords after concluding April cyber-attack ran deep

• We've heard your feedback
• Salesforce-owned Heroku faces Backlash over handling of stolen user credentials
• Heroku admits that customers credentials were stolen in cyberattack