พบช่องโหว่จำนวนมากในเว็บไซต์ของ Intel ทำข้อมูลพนักงาน 270,000 รายเสี่ยงรั่วไหล
Intel ต้องเผชิญกับแรงสั่นสะเทือนด้านความปลอดภัยไซเบอร์อีกครั้ง หลังนักวิจัยอิสระจาก Eaton Works ค้นพบช่องโหว่ร้ายแรงหลายจุดในเว็บไซต์ภายในของบริษัท ซึ่งอาจเปิดทางให้ข้อมูลพนักงานกว่า 270,000 รายทั่วโลกตกอยู่ในความเสี่ยง แม้ยังไม่มีหลักฐานบ่งชี้ว่ามีการรั่วไหลจริง แต่เหตุการณ์นี้สะท้อนถึงปัญหาการจัดการระบบที่อาจกระทบต่อความน่าเชื่อถือของบริษัท
รายงานระบุว่า ช่องโหว่ที่พบมีตั้งแต่การเลี่ยงระบบยืนยันตัวตนด้วยการแก้ไขโค้ด JavaScript ฝั่งผู้ใช้เพื่อข้ามการล็อกอิน Azure ไปจนถึงการดึงข้อมูลพนักงานผ่าน API ที่ไม่มีการตรวจสอบสิทธิ์เพียงพอ
โดยข้อมูลที่สามารถเข้าถึงได้มีขนาดเกือบ 1 กิกะไบต์ ประกอบด้วยชื่อ ตำแหน่ง และช่องทางการติดต่อของพนักงาน Intel นอกจากนี้ยังมีการพบรหัสลับที่ฝังอยู่ในโค้ดและใช้การเข้ารหัส AES ที่อ่อนแอ รวมถึงคีย์ API และ token ของ GitHub ที่เชื่อมโยงกับระบบผู้ผลิตภายนอก อีกทั้งระบบซัพพลายเออร์บางส่วนยังตรวจสอบ token อย่างไม่รัดกุม ถึงขั้นยอมรับ token ที่มีข้อความสะกดผิดว่า “Not Autorized” ให้เข้าถึงข้อมูลได้
แม้ข้อมูลที่ถูกเปิดเผยจะยังไม่ได้รั่วไหลสู่สาธารณะ แต่นักวิจัยยืนยันว่า หากช่องโหว่เหล่านี้ตกไปอยู่ในมือของผู้ไม่หวังดี ย่อมส่งผลร้ายแรงต่อพนักงานและพันธมิตรทางธุรกิจของ Intel อย่างหลีกเลี่ยงไม่ได้
โดยเฉพาะเมื่อมีข้อมูลการติดต่อและรายละเอียดของพนักงานจำนวนมหาศาลที่สามารถนำไปใช้โจมตีแบบ Social engineering หรือฟิชชิ่งได้อย่างง่ายดาย
นักวิจัยได้รายงานช่องโหว่ทั้งหมดให้กับ Intel ตั้งแต่เดือนตุลาคม 2024 และบริษัทได้ดำเนินการแก้ไขเรียบร้อยภายในกรอบเวลา 90 วัน ตามมาตรฐานการเปิดเผยช่องโหว่อย่างมีความรับผิดชอบ ซึ่งทำให้มั่นใจได้ในระดับหนึ่งว่า ข้อมูลสำคัญยังไม่ถูกนำออกไปใช้โจมตีจริง