Credit: CathayPacific.com
สายการบิน Cathay Pacific ถูกสั่งปรับเป็นเงิน £500,000 (ราว 20 ล้านบาท) จากเหตุความล้มเหลวในการปกป้องข้อมูลส่วนบุคคลของลูกค้าให้มั่นคงปลอดภัยในช่วงปี 2014 – 2018 ส่งผลให้ข้อมูลเกือบ 10 ล้านรายการรั่วไหลสู่ภายนอก
Information Commissioner’s Office (ICO) ระบุว่า ช่วงระหว่างเดือนตุลาคม 2014 ถึงเดือนพฤษภาคม 2018 ที่ผ่านมา ระบบคอมพิวเตอร์ของสายการบิน Cathay Pacific ขาดมาตรการควบคุมด้านความมั่นคงปลอดภัยที่เหมาะสม ส่งผลให้ข้อมูลส่วนบุคคลของลูกค้าซึ่งประกอบด้วย ชื่อ พาสปอร์ต วันเกิด อีเมล เบอร์โทรศัพท์ ข้อมูลการเดินทาง และอื่นๆ จากลูกค้าในสหราชอาณาจักร 111,578 ราย และประเทศอื่นๆ ทั่วโลกราว 9,400,000 รายถูกเข้าถึงโดยมิชอบจากบุคคลภายนอก
ICO ยังระบุอีกว่า การโจมตีเกิดขึ้นเนื่องจากข้อมููลสำรอง (Backups) ไม่มีการใส่รหัสผ่านหรือเข้ารหัสไว้ เซิร์ฟเวอร์ที่เชื่อมต่อจากอินเทอร์เน็ตก็ไม่มีการแพตช์ช่องโหว่ มีการใช้ระบบปฏิบัติการที่ไม่มีการซัพพอร์ต การใช้แอนตี้ไวรัสไม่เหมาะสม รวมไปถึงการอนุญาตให้เข้าถึงระบบจากภายนอกได้โดยไม่มีการพิสูจน์ตัวตนแบบ 2-factor Authentication
Cathay Pacific เริ่มตระหนักถึงเหตุผิดปกติเมื่อเดือนมีนาคม 2018 โดยทราบจากการถูกโจมตีฐานข้อมูลผ่านการ Brute Force รหัสผ่าน หลังเกิดเหตุ Data Breach นานถึง 3 ปีครึ่ง หลังจากนั้นก็มีการส่งบริษัทด้านความมั่นคงปลอดภัยมาตรวจสอบเหตุการณ์ที่เกิดขึ้นและรายงานเรื่องไปยัง ICO
จากเหตุความผิดพลาดครั้งนี้ ทำให้ ICO สั่งปรับสายการบิน Cathay Pacific เป็นจำนวนเงินสูงถึง £500,000 ซึ่งเป็นเพดานสูงสุดของค่าปรับกฎหมายคุ้มครองข้อมูลปี 1998 ของสหราชอาณาจักรก่อนที่ GDPR จะประกาศบังคับใช้
————————————————
ที่มา : Techtalk Thai / 5 มีนาคม 2563
Link : https://www.techtalkthai.com/ico-issues-cathay-pacific-with-fine-of-20-million/
