Google จัดเก็บรหัสผ่านของลูกค้าธุรกิจในรูปแบบข้อความธรรมดาบนเซิร์ฟเวอร์ เป็นเวลากว่า 14 ปี

Google ยอมรับว่าลูกค้าธุรกิจบางรายใน G Suite (เดิมชื่อ Google Apps) มีรหัสผ่านที่เป็นข้อความธรรมดาเก็บไว้ในเซิร์ฟเวอร์ภายในของ บริษัทเป็นเวลากว่า 14 ปี

Google กล่าวถึงไฟล์ที่ถูกจัดเก็บอย่างหละหลวมว่า “ไม่มีหลักฐานการเข้าถึงที่ไม่เหมาะสมหรือใช้ในทางที่ผิด” บริษัทยักษ์ใหญ่ด้านเทคโนโลยีกล่าวว่า กำลังติดต่อผู้ใช้ที่ได้รับผลกระทบเพื่อให้แน่ใจว่ามีการรีเซ็ตรหัสผ่าน

ในบล็อกของ Google ประกาศว่า บั๊กที่เกิดมาตั้งแต่ปี 2005 มีความผิดพลาดเมื่อเข้ารหัสเพื่อกู้คืนรหัสผ่านในคอนโซลผู้ดูแลระบบ G Suite ซึ่งทำให้รหัสผ่านแบบธรรมดาที่ไม่มีการเข้ารหัสจะถูกจัดเก็บไว้ในเซิร์ฟเวอร์

ความผิดนั่น หมายถึง พนักงาน Google ผู้ที่มีสิทธิ์เข้าถึงเซิร์ฟเวอร์ในการจัดเก็บรหัสผ่านที่ไม่มีการป้องกันสามารถเข้าถึงข้อมูลรับรองที่มีความอ่อนไหวสูง

Google ประกาศในบล็อกเพื่ออธิบายสถานการณ์โดยสังเขป

“การปฏิบัตินี้ไม่ได้มาตรฐานของเรา”

Google บอกว่าตอนนี้ได้แก้ไขข้อผิดพลาดแล้ว และกระตือรือร้นที่จะเน้นว่าเป็นลูกค้าองค์กร G Suite เท่านั้น ซึ่งอาจมีความเสี่ยงต่อรหัสผ่าน ไม่ใช่ผู้บริโภค

อย่างไรก็ตาม ปัญหาการจัดเก็บรหัสผ่านของ Google ไม่ได้หยุดเพียงแค่นั้น เนื่องจากได้ยอมรับว่ายังเกิดปัญหาอื่นขึ้นเมื่อต้นปีนี้

 “นอกจากนี้ เนื่องจากเรากำลังแก้ไขปัญหาขั้นตอนการสมัครลูกค้า G Suite ใหม่ เราค้นพบว่าเริ่มตั้งแต่เดือนมกราคม 2562 ได้จัดเก็บรหัสผ่านที่ไม่ได้แฮชไว้ในโครงสร้างพื้นฐานการเข้ารหัสที่ปลอดภัยของเราโดยไม่ตั้งใจ รหัสผ่านเหล่านี้ถูกเก็บไว้เป็นเวลาสูงสุด 14 วัน ปัญหานี้ได้รับการแก้ไขแล้วและอีกครั้งที่เราไม่เคยเห็นหลักฐานของการเข้าถึงหรือใช้รหัสผ่านที่ไม่เหมาะสมในทางที่ผิด”

Google กล่าวว่าได้แจ้งให้ผู้ดูแลระบบเปลี่ยนรหัสผ่านที่ได้รับผลกระทบแล้ว “ออกมาจากข้อควรระวัง” จะรีเซ็ตบัญชีที่ไม่ได้ทำเช่นนั้น

สิ่งที่ Google ไม่ได้กล่าวคือ จำนวนลูกค้าองค์กรที่ได้รับผลกระทบจากปัญหานี้ เพียงระบุว่า “ส่วนย่อยของลูกค้า G Suite ขององค์กร” ได้รับผลกระทบ

“ส่วนย่อย” อาจหมายถึงเปอร์เซ็นต์ใดๆ ระหว่างหนึ่งถึง 99% ของลูกค้าธุรกิจมากกว่าห้าล้านรายของ G Suite หนึ่งสามารถสันนิษฐานได้ว่า Google ไม่ต้องการให้ตัวเลข เพราะเกรงว่าจะดูไม่ดี และรวมความเสียหายที่ได้ทำไปแล้วเพื่อรักษาความน่าเชื่อถือ โดยการรักษาความปลอดภัยที่น่าอายนี้

แน่นอนว่าควรดำเนินการโดยไม่แจ้ง หากคุณรู้สึกว่าจำเป็นต้องเปลี่ยนรหัสผ่านสำหรับบัญชี Google บริษัทของคุณ ควรตรวจสอบให้แน่ใจว่าคุณได้ใช้โอกาสเพื่อให้แน่ใจว่าคุณไม่ได้ใช้รหัสผ่านเดียวกันทุกที่บนอินเทอร์เน็ต

ในรูปแบบของการเสริมความปลอดภัยให้กับบริษัทของคุณ อย่าเพิกเฉยต่อผลประโยชน์ Google เน้นเมื่อเร็วๆนี้เกี่ยวกับประโยชน์ด้านความปลอดภัยที่พิสูจน์แล้วของการมีชั้นรักษาความปลอดภัยเพิ่มเติม เช่น การตรวจสอบสองขั้นตอน เป็นต้น