วิกฤตการยืนยันตัวตนในความปลอดภัยไซเบอร์: ทำไมล็อกอินเดียลไม่พอแล้ว

การโจมตีแบบใช้ข้อมูลประจำตัวที่ถูกขโมยเข้ามาในระบบองค์กรสาธารณะของสหราชอาณาจักรหลายครั้งเมื่อปีนี้ทำให้ผู้บริหารด้านความปลอดภัยต้องทบทวนแนวคิดเดิมว่า “การล็อกอินสำเร็จแล้วเป็นหลักฐานว่าผู้ใช้เชื่อถือได้” อีกครั้ง เหตุการณ์เหล่านี้บ่งชี้ว่าการตรวจสอบตัวตนแบบดั้งเดิมอาจไม่เพียงพอในยุคที่ข้อมูลประจำตัวสามารถซื้อขายบนเว็บมืดได้อย่างง่ายดาย

Overview

การโจมตีไซเบอร์สมัยใหม่กำลังเปลี่ยนจากการทำลายกำแพงระบบด้วยช่องโหว่หรือแรนซัมแวร์ ไปสู่การใช้ credential ที่ถูกขโมยเพื่อเข้าสู่เครือข่ายภายในโดยไม่ต้องผ่านขั้นตอนตรวจสอบพิเศษใด ๆ ตัวอย่างล่าสุดคือการเจาะระบบของสำนักงานต่างประเทศอังกฤษ (Foreign Office) และหน่วยงานท้องถิ่นหลายแห่งซึ่งใช้ข้อมูลล็อกอินที่ได้จากการฟิชชิงหรือมัลแวร์ขโมยข้อมูล

แม้ว่าการทำลายระบบแบบดั้งเดิมยังคงเกิดขึ้นอยู่ แต่สัดส่วนของเหตุการณ์ที่อาศัย credential ที่ถูกขโมยเพิ่มอย่างต่อเนื่อง รายงาน “Cyber Security Breaches Survey 2025” ของสหราชอาณาจักรระบุว่า phishing ยังคงเป็นภัยคุกคามหลัก โดยมีผลกระทบต่อ **85% ขององค์กรที่ประสบการละเมิดหรือการโจมตี

Credential‑Based Breaches

ในหลายกรณี แฮกเกอร์เข้าถึงระบบด้วยข้อมูลล็อกอินที่ถูกนำไปขายบนเว็บมืด การซื้อขายเหล่านี้ทำให้ผู้ไม่ประสงค์ดีสามารถได้รับ authentication token ที่พร้อมใช้งานโดยไม่มีขั้นตอนยืนยันเพิ่มเติม ความง่ายในการหาข้อมูลประจำตัวเหล่านี้เป็นผลมาจากแคมเปญฟิชชิงขนาดใหญ่และซอฟต์แวร์ขโมยข้อมูล (infostealer) ซึ่งบรรจุไว้ในอีเมลหรือเว็บไซต์ปลอม

การเจาะระบบของหน่วยงานสาธารณะอังกฤษที่ใช้ credential ที่ถูกขโมยเป็นตัวอย่างชัดเจนว่า แม้จะมีการทำ Multi‑Factor Authentication (MFA) อยู่แล้ว ผู้โจมตียังคงสามารถหลีกเลี่ยงได้หากข้อมูล MFA ถูกเก็บไว้ในรูปแบบดิจิทัลและถูกรวบรวมพร้อมกับรหัสผ่าน

Limitations of Traditional Authentication

องค์กรหลายแห่งเคยพึ่งพาการตรวจสอบตัวตนเพียงครั้งเดียว (single‑point authentication) ว่าเป็นเหตุการณ์สำคัญที่ทำให้ผู้ใช้ได้รับสิทธิ์เข้าถึงระบบอย่างถาวร อย่างไรก็ตาม การพิสูจน์ว่าผู้ใช้ใส่ password หรือโค้ด MFA ที่ถูกต้องในช่วงเวลาหนึ่งไม่ได้รับประกันว่าเจ้าของบัญชีนั้นยังเป็นคนเดียวตลอดการทำงาน

จากมุมมองของความปลอดภัย การตรวจสอบตัวตนเพียงครั้งเดียวให้ข้อมูลแค่ “snapshot” ของเหตุการณ์เท่านั้น ไม่ได้พิจารณาปัจจัยเสี่ยงที่อาจเปลี่ยนแปลงหลังจากผู้ใช้ได้รับสิทธิ์แล้ว เช่น การเข้าถึงจากสถานที่หรืออุปกรณ์ใหม่ การทำธุรกรรมที่ไม่เคยเกิดขึ้นมาก่อน หรือการเปิดไฟล์ที่มีลักษณะผิดปกติ

Continuous Trust & Zero Trust

แนวคิด Zero Trust แม้จะไม่ได้เป็นแนวคิดใหม่ แต่ตอนนี้ได้รับความสำคัญเพราะสอดคล้องกับการตรวจสอบตัวตนแบบต่อเนื่อง (continuous trust) ระบบที่ใช้โมเดลนี้จะประเมินระดับความเสี่ยงของแต่ละคำขออย่างเรียลไทม์ ไม่ว่าจะเป็นการล็อกอิน การเข้าถึงแอปพลิเคชัน หรือการทำงานกับข้อมูลสำคัญ

หลักการสำคัญประกอบด้วย:

• ทุกการกระทำต้องผ่านการประเมินความเสี่ยงใหม่ทุกครั้ง
• ความเชื่อถือ (trust) จะลดลงหากพบพฤติกรรมที่แตกต่างจากปกติ
• การให้สิทธิ์เข้าถึงจะจำกัดตามหลัก “least privilege” อย่างเคร่งครัด

โดยใช้การตรวจสอบต่อเนื่องนี้ ผู้ดูแลระบบสามารถบล็อกกิจกรรมที่ไม่สอดคล้องกับรูปแบบพฤติกรรมของผู้ใช้เดิม แม้ว่าผู้โจมตีจะมี credential ที่ถูกต้องก็ตาม

Behavioral Analytics

เทคโนโลยี behavioral analytics ทำให้การตรวจจับความแปลกประหลาดเป็นไปได้ในระดับที่ละเอียดกว่าเดิม ทุกการกระทำของผู้ใช้—เช่น เวลาที่ล็อกอิน, แอปพลิเคชันที่เปิดใช้งาน, หรือไฟล์ที่เข้าถึง—สร้าง digital fingerprint ที่สามารถเปรียบเทียบกับฐานข้อมูลพฤติกรรมปกติ

เครื่องมือที่ใช้ machine learning สามารถเรียนรู้รูปแบบการทำงานของผู้ใช้แต่ละคนและแจ้งเตือนเมื่อพบความเบี่ยงเบน แม้เพียงเล็กน้อย ตัวอย่างเช่น หากบัญชีผู้ใช้ที่เคยล็อกอินจากออฟฟิศในกรุงเทพฯ เริ่มเข้าถึงเซิร์ฟเวอร์ในลอนดอนภายในไม่กี่ชั่วโมง ระบบจะตั้งค่าความเสี่ยงเพิ่มขึ้นและต้องการการตรวจสอบเพิ่มเติม

การวิเคราะห์พฤติกรรมยังช่วยลดการพึ่งพา **indicator of compromise (IoC) แบบคงที่ ซึ่งมักถูกอัปเดตบ่อยครั้งและอาจล้าสมัยเร็วกว่าเทคนิคใหม่ของผู้โจมตี

Identity as Core of Resilience

ตามข้อมูลจากหลายแหล่ง การโจมตีที่เกี่ยวข้องกับ identity กำลังกลายเป็นภัยคุกคามหลักต่อความต่อเนื่องของธุรกิจ ระบบดิจิทัลสมัยใหม่พึ่งพาเครือข่ายผู้ใช้หลายประเภท ได้แก่ พนักงาน, ผู้รับเหมา, พันธมิตร, ซัพพลายเออร์ และลูกค้า การที่ข้อมูลประจำตัวหนึ่งคนถูกละเมิดอาจเปิดช่องทางให้แฮกเกอร์เจาะระบบหลายส่วนพร้อมกัน

การจัดการความปลอดภัยจึงต้องเน้นที่:

• จำกัดสิทธิ์ตามหลัก “least privilege” อย่างต่อเนื่อง
• ตรวจสอบและปรับปรุงสิทธิ์เข้าถึงเมื่อผู้ใช้เปลี่ยนบทบาทหรือออกจากองค์กร
• สร้างมุมมองรวม (visibility) ของระบบตัวตนทั้งหมดเพื่อป้องกันการกระจายของบัญชีที่ไม่ได้รับการตรวจสอบ

องค์กรที่ยอมรับว่า identity เป็นระบบที่มีชีวิตและต้องอัปเดตอย่างสม่ำเสมอ จะสามารถตอบสนองต่อภัยคุกคามที่เปลี่ยนแปลงเร็วได้ดีกว่า

Summary

เหตุการณ์รั่วไหลของข้อมูลประจำตัวในภาครัฐอังกฤษย้ำให้เห็นว่าการตรวจสอบตัวตนแบบเดิม ๆ ไม่เพียงพออีกต่อไป การนำโมเดล Zero Trust และการวิเคราะห์พฤติกรรมเข้ามาใช้จะช่วยสร้างระบบความปลอดภัยที่ตอบสนองต่อความเสี่ยงได้อย่างต่อเนื่องและเป็นพลวัต.