เหตุการณ์ล่าสุดที่นักวิจัยด้านความปลอดภัยค้นพบ Secret มากถึงกว่า 17,000 รายการที่ยังใช้งานได้จริง ใน repository สาธารณะบน GitLab Cloud สร้างความสั่นสะเทือนให้วงการไซเบอร์ไปทั่วโลก—และเป็นสัญญาณเตือนแรงสำหรับธุรกิจไทยที่ใช้ระบบ DevOps หรือพัฒนา Software ภายในองค์กร

การรั่วไหลของ Secret เช่น API keys, Access tokens และรหัสผ่าน ไม่ใช่เรื่องเล็ก ๆ เพราะข้อมูลเพียงชุดเดียว อาจถูกใช้เจาะระบบ ทำลายข้อมูล ขโมยฐานข้อมูล หรือเข้าควบคุมโครงสร้าง Cloud ของทั้งองค์กรได้ในเวลาไม่กี่นาที

เกิดอะไรขึ้น?

นักวิจัยใช้เครื่องมือ Open-source อย่าง TruffleHog ในการสแกน repository สาธารณะจำนวนกว่า 5.6 ล้าน repo บน GitLab และพบ Secret ที่สามารถใช้งานได้จริงกว่า 17,000 รายการ ซึ่งเป็นข้อมูลสำคัญที่เกี่ยวข้องกับ

• Google Cloud Platform (GCP) credentials มากกว่า 5,200 รายการ

• MongoDB keys

• Telegram bot tokens

• OpenAI API keys

• GitLab API keys มากกว่า 400 รายการ

ข้อมูลชี้ว่ามีทั้ง Secret ใหม่หลังปี 2018 และ Secret เก่าเก็บตั้งแต่ปี 2009 ที่ยังใช้งานได้อยู่ ซึ่งเป็นการตอกย้ำว่าปัญหานี้ไม่ใช่เหตุการณ์ชั่วคราว แต่ถูกสะสมมาเรื่อย ๆ

ทำไมเหตุการณ์นี้อันตรายสำหรับธุรกิจไทย?

หลายบริษัทในไทยเริ่มใช้ GitLab, GitHub, Bitbucket และระบบ DevOps มากขึ้น ทั้งการพัฒนาเว็บ แอปพลิเคชัน ระบบแบ็กเอนด์ และการเชื่อมต่อกับบริการ Cloud เช่น AWS, GCP หรือ Azure

และนี่คือความเสี่ยงที่เกิดขึ้นได้ทันทีเมื่อ Secret รั่วไหล

1) ระบบ Cloud ถูกยึด

แฮกเกอร์สามารถใช้ keys ที่รั่วไหลเข้าไป

• ปั่นค่าใช้งาน Cloud

• ลบข้อมูล

• สร้าง VM สำหรับใช้ทำโจมตี

2) แก้ไขโค้ดเพื่อใส่ Backdoor

เมื่อแฮกเกอร์เข้าถึง GitLab ได้ จะแก้โค้ดเพื่อ

• แทรกมัลแวร์

• เปิดช่องทางลับให้กลับเข้ามาโจมตี

• ทำ Supply Chain Attack

3) ข้อมูลลูกค้ารั่วไหล

MongoDB keys หรือ DB credentials ทำให้เข้าถึงฐานข้อมูลแบบเต็มสิทธิ์

4) ความเสียหายด้านชื่อเสียง

หากข้อมูลรั่วไหล องค์กรอาจสูญเสียความน่าเชื่อถือ ซึ่งกระทบยาวนานมากกว่าเหตุการณ์เอง

ทำไม Secret ถึงรั่วไหล?

สาเหตุส่วนใหญ่เกิดจากมนุษย์ เช่น

• เผลอ commit API key ขึ้น Git โดยไม่รู้ตัว

• ใช้โค้ดจาก sample แล้วลืมลบคีย์ออก

• ใช้เครื่องมือ CI/CD ที่จัดการ secret ไม่ถูกต้อง

• แชร์ repo กับผู้รับเหมาภายนอกโดยไม่ได้ตรวจสอบ

แม้จะเป็นเรื่องเล็ก ๆ แต่ความผิดพลาดเพียงครั้งเดียวอาจทำให้ระบบทั้งองค์กรถูกแฮกได้

วิธีป้องกันการรั่วไหลของ Secret สำหรับองค์กรไทย

1. ห้ามเก็บ Secret ไว้ใน Source Code

2. ใช้เครื่องมือสแกนหา Secret อัตโนมัติ

3. บังคับใช้ Least Privilege

4. เปิดใช้ MFA/2FA ทุกบัญชี

5. ฝึกอบรม Dev และทีม IT

เพิ่มชั้นป้องกัน ใช้ Morphisec ช่วยลดความเสี่ยงจากการโจมตีผ่าน Secret ที่รั่วไหล

แม้องค์กรจะมีมาตรการมากมาย แต่ความผิดพลาดมนุษย์ (Human Error) ยังเป็นจุดอ่อนเสมอ ซึ่งแฮกเกอร์ใช้ประโยชน์เป็นหลัก

Morphisec ช่วยลดความเสี่ยงได้แบบ proactive ด้วยเทคโนโลยี Automated Moving Target Defense (AMTD) ที่

• ป้องกันการโจมตีที่อาศัย API keys หรือ tokens ที่ถูกขโมย

• ปิดโอกาสแฮกเกอร์ใช้เครื่องมือสแกนหรือ exploit ผ่านช่องโหว่

• บล็อกพฤติกรรมผิดปกติแบบ Zero-day และ Fileless Attack

• เพิ่มเกราะป้องกันบนเครื่องใช้งาน (Endpoints), Server และ VM

แม้ Secret จะรั่วไหล แต่ระบบของคุณก็ไม่ควรถูกเจาะได้ง่าย ๆ