เว็บร้านเล็กๆ โดนแฮกได้ยังไง ทั้งที่ไม่มีอะไรน่าขโมย

เจ้าของร้านส่วนใหญ่คิดว่าตัวเองไม่ใช่เป้าหมาย ซึ่งถูกครึ่งเดียว คนไม่ได้เล็งมาที่คุณ แต่เครื่องมืออัตโนมัติกวาดทุกเว็บบนอินเทอร์เน็ตอยู่ตลอดเวลา และสิ่งที่มันเอาไปไม่ใช่สิ่งที่คุณคิด

คำพูดที่ผมได้ยินบ่อยที่สุดตอนคุยเรื่องความปลอดภัยกับเจ้าของร้านคือ ร้านผมเล็กนิดเดียว ไม่มีอะไรให้ขโมย ใครจะมาสนใจ

ประโยคนี้ถูกครึ่งเดียว ถูกตรงที่ไม่มีใครนั่งเล็งร้านคุณเป็นการส่วนตัว ผิดตรงที่การโจมตีส่วนใหญ่ไม่ได้เริ่มจากการเล็ง

ไม่มีใครเลือกคุณ เครื่องมือมันกวาดทุกคน

สิ่งที่วิ่งอยู่บนอินเทอร์เน็ตตลอดเวลาคือโปรแกรมที่ไล่ยิงทุกที่อยู่ที่มีอยู่ ถามคำถามเดียวกันซ้ำๆ ว่าเว็บนี้ใช้ปลั๊กอินตัวที่มีช่องโหว่ที่เพิ่งประกาศเมื่อวานไหม หน้าเข้าระบบอยู่ที่อยู่มาตรฐานหรือเปล่า มีไฟล์สำรองข้อมูลวางทิ้งไว้ให้โหลดไหม

มันไม่รู้ด้วยซ้ำว่าคุณขายอะไร มันรู้แค่ว่าประตูบานนี้เปิดอยู่ ต้นทุนในการลองกับเว็บเพิ่มอีกหนึ่งเว็บเกือบเป็นศูนย์ เพราะฉะนั้นการเป็นร้านเล็กไม่ได้ทำให้ถูกข้าม มันแค่ทำให้คุณไม่รู้ตัวว่าถูกลองมาแล้วกี่รอบ

ของที่เขาเอาไป ไม่ใช่ของที่คุณหวง

เจ้าของร้านมักคิดถึงข้อมูลลูกค้าหรือเงินในบัญชี ซึ่งเป็นของที่มีค่าที่สุดในสายตาเรา แต่ในทางปฏิบัติ ของที่ถูกเอาไปใช้บ่อยที่สุดคือสิ่งที่เราไม่เคยคิดว่ามันมีค่า

• เครื่องเซิร์ฟเวอร์ของคุณ เอาไปใช้ยิงเว็บอื่นต่อ หรือขุดเหรียญ คุณจ่ายค่าเครื่องแต่เขาใช้
• ชื่อโดเมนของคุณ เอาไปยัดหน้าขายของผิดกฎหมายซ่อนไว้ในเว็บ เพื่อยืมความน่าเชื่อถือของโดเมนคุณไปติดอันดับ
• ความสามารถในการส่งอีเมล เอาไปส่งอีเมลหลอกลวงในนามร้านคุณ
• รายชื่อลูกค้าพร้อมเบอร์โทร ไม่ได้เอาไปใช้เอง แต่ขายต่อให้แก๊งคอลเซ็นเตอร์

ข้อที่สองเป็นข้อที่เจ็บที่สุดและคนรู้ตัวช้าที่สุด เว็บยังเปิดได้ปกติ หน้าตาเหมือนเดิมทุกอย่าง แต่วันหนึ่ง Google ขึ้นเตือนสีแดงหน้าเว็บคุณ แล้วลูกค้าที่ค้นเจอจะไม่กล้ากดเข้ามาอีกเลย กว่าจะแก้ให้กลับมาเหมือนเดิมใช้เวลาเป็นเดือน

ทางเข้าที่เจอบ่อยที่สุดสามทาง

จากที่ผมตรวจมา ปัญหาส่วนใหญ่ไม่ใช่เรื่องซับซ้อน มันซ้ำกันอยู่ไม่กี่แบบ

• ปลั๊กอินหรือธีมที่ไม่ได้อัปเดตมาเป็นปี ช่องโหว่ถูกประกาศต่อสาธารณะพร้อมวิธีใช้งาน ใครก็ทำตามได้
• รหัสผ่านผู้ดูแลที่ใช้ซ้ำกับที่อื่น พอที่อื่นข้อมูลรั่ว รหัสของคุณก็ไปอยู่ในรายการที่คนเอาไปไล่ลองทุกเว็บ
• ไฟล์ที่ไม่ได้ตั้งใจให้ใครเห็น เช่นไฟล์สำรองฐานข้อมูลหรือไฟล์ตั้งค่าที่มีรหัสผ่านอยู่ข้างใน ถูกวางไว้ในที่ที่เปิดดูได้จากภายนอก

สิ่งที่ทำได้เองวันนี้ โดยไม่ต้องจ้างใคร

• เปิดการอัปเดตอัตโนมัติของระบบจัดการเนื้อหาและปลั๊กอินทุกตัว
• เปลี่ยนรหัสผ่านผู้ดูแลให้ไม่ซ้ำกับที่ไหนเลย และเปิดการยืนยันสองชั้น
• ลบปลั๊กอินที่ไม่ได้ใช้ออกให้หมด ของที่ปิดไว้แต่ยังไม่ลบ ยังเป็นช่องทางเข้าได้
• เช็คว่าเว็บเปิดด้วย https ทุกหน้า ไม่ใช่แค่หน้าจ่ายเงิน
• ตั้งการสำรองข้อมูลอัตโนมัติ และเก็บไว้คนละที่กับตัวเว็บ

ข้อสุดท้ายสำคัญกว่าที่คิด เพราะมันไม่ได้ป้องกันการถูกแฮก แต่มันเปลี่ยนการถูกแฮกจากหายนะให้เหลือแค่เสียเวลาครึ่งวัน

สรุป

การเป็นร้านเล็กไม่ได้แปลว่าปลอดภัย มันแปลว่าถ้าโดนแล้วจะไม่มีทีมไอทีมาช่วย ข่าวดีคือปัญหาส่วนใหญ่ที่ผมเจอ ป้องกันได้ด้วยการทำห้าข้อข้างบนให้ครบ ซึ่งไม่ต้องใช้ความรู้ทางเทคนิคเลยสักข้อ