ศาลอัยการสาธารณะแห่งสกอตแลนด์เปิดเผยข้อมูลส่วนบุคคลของ 300 คนรั่วไหลจากซัพพลายเออร์ภายนอกหลังโจมตีไซเบอร์

การตรวจสอบข้อมูลส่วนบุคคลของเจ้าหน้าที่ศาลอัยการสาธารณะแห่งสกอตแลนด์ (COPFS) เผยว่าข้อมูลของประมาณ 300 คนอาจถูกรบกวนจากการโจมตีไซเบอร์ที่เกิดขึ้นกับผู้ให้บริการภายนอก รายงานนี้มีความสำคัญเพราะเป็นหนึ่งในไม่กี่เหตุการณ์ที่แสดงถึงช่องโหว่ในการจัดการข้อมูลร่วมระหว่างหน่วยงานของรัฐและซัพพลายเออร์บุคคลที่สาม

Overview

ศาลอัยการสาธารณะแห่งสกอตแลนด์ (Crown Office and Procurator Fiscal Service – COPFS) แจ้งว่าเจ้าหน้าที่ประมาณ 300 คนได้รับผลกระทบจากข้อมูลส่วนบุคคลที่อาจถูกเปิดเผยในเหตุการณ์โจมตีไซเบอร์ต่อผู้ให้บริการภายนอก รายการนี้เกิดขึ้นหลังจากซัพพลายเออร์ตรวจพบกิจกรรมแปลกประหลาดเมื่อ 5 สิงหาคม และเริ่มทำการสอบสวนโดยทันที COPFS ย้ำว่าระบบของหน่วยงานเองไม่ได้ถูกบุกรุกและข้อมูลที่อาจรั่วไหลเป็นข้อมูลที่ใช้ในการประเมินความพร้อมด้านข้อมูล (data maturity assessment) ซึ่งดำเนินการในปีที่ผ่านมา

Incident Timeline

กิจกรรมแปลกประหลาดที่ซัพพลายเออร์ตรวจพบในวันที่ 5 สิงหาคมได้กระตุ้นให้ผู้ให้บริการเปิดการสอบสวนทันที การสืบสวนเบื้องต้นระบุว่าการโจมตีไม่ได้เกี่ยวข้องกับระบบภายในของ COPFS หรือข้อมูลคดีความใด ๆ ที่เป็นความลับ ต่อมา COPFS ได้ออกคำแถลงต่อ *The Register* เพื่อแจ้งให้เจ้าหน้าที่ทราบถึงสถานการณ์และย้ำว่าไม่มีผลกระทบต่อการทำงานของศาลอัยการ

ในขั้นตอนต่อไป ผู้ให้บริการได้ดำเนินการเสริมความปลอดภัยให้กับระบบของตนเอง พร้อมสืบค้นหาว่าแฮกเกอร์เข้าถึงข้อมูลใดบ้าง และจะรายงานผลเพิ่มเติมเมื่อมีข้อมูลใหม่ที่สำคัญ การตรวจสอบนี้ยังไม่ชี้แจงว่าการโจมตีอาจเชื่อมโยงกับช่องโหว่ zero‑day ของแพลตฟอร์ม Business Intelligence อย่าง Metabase หรือไม่

Exposed Data

ตามที่ COPFS ระบุ ข้อมูลที่อาจถูกรั่วไหลจำกัดอยู่ในส่วนของข้อมูลการจ้างงานที่ส่งให้ซัพพลายเออร์เพื่อใช้ในการประเมินความพร้อมด้านข้อมูล รายละเอียดที่อาจเปิดเผยได้แก่

• ชื่อพนักงาน
• ตำแหน่งหน้าที่
• อีเมลทำงาน

COPFS ย้ำว่าข้อมูลเหล่านี้เป็นเพียงข้อมูลพื้นฐานเกี่ยวกับการทำงาน ไม่มีรายละเอียดส่วนบุคคลที่ละเอียดอ่อนหรือข้อมูลคดีความใด ๆ ถูกเปิดเผย

Response & Mitigation

หลังจากเหตุการณ์เกิดขึ้น COPFS ได้ส่งเสริมให้เจ้าหน้าที่ทบทวนแนวทางปฏิบัติด้านความปลอดภัยไซเบอร์ โดยเฉพาะการระมัดระวังต่อฟิชชิงและสแคมที่อาจเกิดจากข้อมูลรั่วไหล ผู้จัดการระบบของซัพพลายเออร์ได้ดำเนินการเสริมมาตรการรักษาความปลอดภัยของระบบเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต

ในคำแถลงต่อสื่อ COPFS ระบุว่า “เราให้ความสำคัญกับการปกป้องข้อมูลส่วนบุคคลของเจ้าหน้าที่และจะอัปเดตสถานการณ์หากมีข้อมูลใหม่ที่สำคัญ” การตอบสนองนี้สอดคล้องกับแนวทางมาตรฐานของหน่วยงานรัฐในการจัดการเหตุการณ์ละเมิดความปลอดภัยข้อมูล

Broader Context & Implications

เหตุการณ์นี้เกิดขึ้นท่ามกลางการเปิดเผยช่องโหว่ zero‑day ของ Metabase ที่ทำให้ผู้โจมตีสามารถเข้าถึงฐานข้อมูลที่เชื่อมต่อกับบริการคลาวด์ได้ในเดือนเดียวกัน การใช้ซอฟต์แวร์ดังกล่าวโดยผู้ให้บริการอาจเป็นหนึ่งในสาเหตุของความเสี่ยงเพิ่มขึ้น แต่จนถึงขณะนี้รัฐบาลสกอตแลนด์ยังไม่ได้เปิดเผยว่าซัพพลายเออร์ที่เกี่ยวข้องใช้ Metabase หรือไม่

การรั่วไหลของข้อมูลส่วนบุคคลระดับองค์กร แม้จะไม่มีผลต่อการดำเนินงานด้านคดี ความเชื่อมั่นของเจ้าหน้าที่และประชาชนต่อความปลอดภัยของระบบราชการอาจได้รับผลกระทบ การตรวจสอบอย่างเข้มข้นของผู้ให้บริการและการเสริมสร้างแนวทางปฏิบัติด้านไซเบอร์ภายในหน่วยงานจึงเป็นสิ่งจำเป็นเพื่อหลีกเลี่ยงเหตุการณ์ลักษณะนี้ในอนาคต

Summary

COPFS ได้แจ้งเจ้าหน้าที่ประมาณ 300 คนว่าข้อมูลส่วนบุคคลอาจถูกรั่วไหลจากผู้ให้บริการภายนอกที่ทำการประเมินความพร้อมด้านข้อมูล รายละเอียดที่รั่วไหลดังกล่าวจำกัดอยู่เพียงชื่อ, ตำแหน่งและอีเมลทำงาน และไม่มีผลต่อการดำเนินคดีหรือข้อมูลที่เป็นความลับใด ๆ.