ร้านคุณไม่ได้เล็กเกินกว่าจะตกเป็นเป้า: ความปลอดภัยของเว็บอีคอมเมิร์ซในไทย

ลองถามเจ้าของร้านค้าไทยส่วนใหญ่ว่าทำไมถึงยังไม่ลงทุนเรื่องความปลอดภัย คำตอบที่ได้ยินบ่อยที่สุดมักคล้ายกัน: เราไม่ได้ใหญ่พอที่จะคุ้มค่าให้โจมตี ความเชื่อนี้ฟังดูสบายใจ แต่ก็ล้าสมัยไปแล้วเหมือนกัน ผู้โจมตีไม่ได้เลือก เป้าหมายจากขนาด พวกเขาเลือกจากช่องโหว่ที่เปิดอยู่ ร้าน Magento หรือ Shopify เล็ก ๆ ที่มีส่วนขยาย (extension) ไม่อัปเดต มักเจาะเข้าได้ง่ายกว่าธนาคารเสียอีก

ตัวเลขก็ยืนยันเรื่องนี้ ธุรกิจขนาดเล็กรายงานว่าถูกโจมตีทางไซเบอร์เกือบ 1 ใน 2 ต่อปี มีเหตุการณ์เกิดขึ้นทุก ประมาณเจ็ดวินาทีที่ไหนสักแห่งในโลก ความเสียหายเฉลี่ยจากการถูกเจาะระบบครั้งใหญ่อยู่ที่หลักแสนดอลลาร์ เมื่อรวมค่าเสียเวลาระบบล่ม การกู้คืน และความเชื่อมั่นที่เสียไป ธุรกิจขนาดเล็กจำนวนมากที่เจอเหตุการณ์ร้ายแรง กลับมาเปิดกิจการไม่ได้ภายในหกเดือนด้วยซ้ำ ฟิชชิงยังคงเป็นช่องทางหลักที่ผู้โจมตีใช้เข้าถึงระบบ ตามมาด้วยมัลแวร์และการโจมตีเว็บไซต์โดยตรง

เรื่องเหล่านี้ไม่ได้เกิดเฉพาะกับผู้ค้าปลีกระดับองค์กรเท่านั้น แต่ครอบคลุมร้านค้าใดก็ตามที่รับชำระเงิน และเก็บข้อมูลลูกค้า ซึ่งก็คือเว็บอีคอมเมิร์ซทุกแห่ง

บริการความปลอดภัยที่แท้จริงต้องครอบคลุมอะไรบ้าง

คำว่า "ความปลอดภัย" ถูกใช้อย่างหลวม ๆ จึงควรระบุให้ชัดว่าบริการ ความปลอดภัยเว็บไซต์ ที่ถูกต้องควรมีอะไรบ้าง:

• การเสริมความแข็งแกร่งให้แพลตฟอร์ม (Hardening) ปิดการตั้งค่าเริ่มต้นที่เสี่ยง เส้นทางแอดมินที่เปิดเผย และคอมโพเนนต์ที่ล้าสมัยซึ่งเป็นสิ่งแรกที่สแกนเนอร์อัตโนมัติมองหา
• Web Application Firewall ชั้นป้องกันด้านหน้าเว็บไซต์ที่กรองทราฟฟิกที่เป็นอันตรายก่อนที่จะเข้าถึงร้านค้า นี่คือความต่างระหว่างการโจมตีที่สะท้อนกลับไปกับการโจมตีที่ได้จุดยืนในระบบ
• การสแกนช่องโหว่และมัลแวร์อย่างต่อเนื่อง ช่องโหว่ใหม่ ๆ ถูกเปิดเผยตลอดเวลาสำหรับทุกแพลตฟอร์ม ร้านค้าที่สแกนแค่ครั้งเดียวตอนเปิดตัวแล้วไม่เคยสแกนอีกเลย คือร้านค้าที่กำลังใช้โมเดลความเสี่ยงของปีที่แล้ว
• การจัดการข้อมูลที่สอดคล้องกับ PDPA พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของไทยกำหนดข้อผูกพันจริงจัง กับธุรกิจใดก็ตามที่เก็บข้อมูลลูกค้า — ชื่อ ที่อยู่ เบอร์โทร ประวัติการซื้อ บริการความปลอดภัย ที่คุ้มค่าเงินต้องมองเรื่องนี้เป็นข้อกำหนดในการออกแบบตั้งแต่แรก ไม่ใช่สิ่งที่แปะเพิ่มก่อนตรวจสอบ
• แผนรับมือเหตุการณ์ที่ใช้งานได้จริง ไม่ใช่แค่หวังว่าจะไม่มีอะไรผิดพลาด แต่เป็นลำดับขั้นตอนที่ชัดเจนว่า ใครต้องได้รับแจ้ง อะไรต้องถูกแยกออกจากระบบ และจะแจ้งลูกค้าอย่างไร โดยพร้อมใช้ก่อนวันที่ต้องใช้จริง ไม่ใช่คิดสด ๆ ตอนเกิดเหตุ

สิทธิ์แอดมินมักเป็นจุดอ่อนที่สุด ไม่ใช่ตัวโค้ด

การถูกเจาะระบบในโลกจริงจำนวนมากไม่ได้เกี่ยวข้องกับช่องโหว่ซับซ้อนอะไรเลย แต่เป็นรหัสผ่านแอดมิน ที่ใช้ร่วมกันมาตั้งแต่วันเปิดตัว บัญชีของพนักงานเก่าที่ไม่เคยถูกปิดใช้งาน หรือการล็อกอินที่ไม่มีปัจจัยยืนยันตัวตนที่สอง บน URL แอดมินที่เข้าถึงได้จากสาธารณะ การบังคับให้แต่ละคนมีข้อมูลล็อกอินเฉพาะตัว การเปิดใช้ 2FA บนทุกบัญชีแอดมิน และการถอดสิทธิ์เข้าถึงจริงเมื่อมีคนออกจากทีม ไม่มีต้นทุนในการทำ แต่ปิดช่องทางเข้าถึง ที่ผู้โจมตีมักลองก่อนเป็นอันดับแรก ก่อนที่จะไปมองหาอะไรที่ซับซ้อนกว่านั้น

สคริปต์จากบุคคลที่สามคือความเสี่ยงห่วงโซ่อุปทานที่ร้านส่วนใหญ่ไม่เคยตรวจสอบ

หน้าร้านทั่วไปโหลดสคริปต์จากบุคคลที่สามสิบกว่าตัวหรือมากกว่านั้น — วิดเจ็ตแชท ปลั๊กอินรีวิว แท็ก analytics SDK ระบบชำระเงิน — แต่ละตัวเป็นโค้ดจากบริษัทอื่นที่ทำงานอยู่บนหน้าที่ลูกค้ากำลังกรอกข้อมูลชำระเงินจริง ๆ การถูกเจาะที่ผู้ให้บริการรายใดรายหนึ่งเหล่านั้น ไม่ใช่ที่โค้ดของคุณเอง คือวิธีที่เหตุการณ์ขโมยข้อมูลบัตรครั้งใหญ่ ในอีคอมเมิร์ซหลายครั้งเกิดขึ้นจริง การตรวจสอบเป็นระยะว่าอะไรถูกโหลดอยู่จริงในหน้าชำระเงิน และลบทิ้งสิ่งที่ไม่คุ้มค่าจะอยู่แล้ว เป็นแนวปฏิบัติด้านความปลอดภัยพอ ๆ กับด้านประสิทธิภาพ

ทราฟฟิกจากบอทและการสแครปข้อมูลก็ควรได้รับความสนใจ ไม่ใช่แค่เรื่อง uptime

ไม่ใช่ทุกภัยคุกคามด้านความปลอดภัยจะเป็นความพยายามเจาะระบบ ทราฟฟิกจำนวนมากที่เข้าหน้าร้านไทย ระหว่างเซลหรือแคมเปญเป็นทราฟฟิกอัตโนมัติ ทั้งบอทสแครปราคา สคริปต์เช็คสต็อกจากผู้ค้าปลีกซ้ำ และบางครั้งก็เป็นทราฟฟิกที่ออกแบบมาเพื่อดึงทรัพยากรเซิร์ฟเวอร์มากกว่าจะขโมยอะไร หากปล่อยไว้โดยไม่จัดการ มันจะค่อย ๆ ลดประสิทธิภาพสำหรับลูกค้าจริง และอาจบิดเบือนข้อมูล analytics มากพอที่จะทำให้แคมเปญ ดูดีหรือแย่กว่าที่เป็นจริง การกรองบอทพื้นฐาน ซึ่งมักรวมอยู่กับ Web Application Firewall ควรตรวจสอบให้แน่ใจว่าใช้งานอยู่จริง ไม่ใช่แค่สมมติเอาเอง

จุดที่ร้านค้าไทยมักถูกโจมตีในทางปฏิบัติ

จากประสบการณ์กว่าทศวรรษในการสร้างงานบน Magento, Shopify และ WooCommerce รูปแบบที่เจอมักเหมือนเดิม และแทบไม่ใช่เรื่องซับซ้อนอะไร มักเป็นส่วนขยายที่ล้าสมัยที่ไม่มีใครจำได้ว่าต้องอัปเดต บัญชีแอดมินที่ยังใช้รหัสผ่าน ตั้งแต่วันเปิดตัว ฟอร์มอัปโหลดไฟล์ในหน้าติดต่อหรือหน้ารีวิวที่ไม่มีการตรวจสอบ และสำเนาเว็บไซต์ staging เก่า ที่ยังเปิดใช้งานและถูกลืมไว้โดยไม่มีการป้องกันแบบเดียวกับเว็บไซต์จริง ผู้โจมตีไม่จำเป็นต้องใช้ zero-day เมื่อประตูหน้าถูกลืมไม่ได้ล็อกไว้ตั้งแต่แรก

นี่คือเหตุผลที่ความปลอดภัยไม่สามารถเป็นโปรเจกต์ทำครั้งเดียวได้ ร้านค้าที่เสริมความแข็งแกร่งตอนเปิดตัวแล้วไม่เคยแตะอีกเลย จะค่อย ๆ กลับไปมีช่องโหว่ภายในหนึ่งปี เมื่อส่วนขยายเก่าลงและช่องโหว่ใหม่ถูกเปิดเผยตรงกับเวอร์ชันที่คุณยังใช้อยู่ ด้วยเหตุนี้เรื่องนี้จึงใกล้เคียงกับ การดูแลรักษาเว็บไซต์ มาก — สองเรื่องนี้ทับซ้อนกัน เพราะเว็บไซต์ที่ไม่ได้รับการดูแลมักเป็นเว็บไซต์ที่ไม่ปลอดภัยด้วย

มุมมองเฉพาะเรื่อง PDPA

PDPA ของไทยเปลี่ยนสมการต้นทุนของการถูกเจาะระบบไปโดยสิ้นเชิง ไม่ใช่แค่เรื่องการแก้ไขทางเทคนิคอีกต่อไป แต่เป็นข้อผูกพันที่ต้องจัดการเหตุการณ์ข้อมูลรั่วไหลอย่างถูกต้อง และต้นทุนด้านชื่อเสียงของผู้ค้าปลีกไทย ที่ต้องแจ้งลูกค้าว่าข้อมูลของพวกเขาถูกเปิดเผย ท่าทีด้านความปลอดภัยที่สร้างขึ้นโดยคำนึงถึง PDPA ตั้งแต่ต้น — รู้ว่าคุณเก็บข้อมูลส่วนบุคคลอะไรบ้าง อยู่ที่ไหน และใครเข้าถึงได้ — สร้างตั้งแต่แรกถูกกว่าการแก้ไขทีหลัง หลังการตรวจสอบ หรือแย่กว่านั้นคือหลังเกิดเหตุการณ์จริง

สิ่งที่ควรถามก่อนสมมติว่าคุณปลอดภัยแล้ว

เช็กลิสต์สั้น ๆ ที่ตรงไปตรงมา:

• คุณรู้หรือไม่ว่าร้านค้าของคุณกำลังใช้แพลตฟอร์มเวอร์ชันและส่วนขยายอะไรอยู่ และมีตัวไหนที่มีช่องโหว่ที่ถูกเปิดเผยแล้วหรือไม่?
• มี Web Application Firewall อยู่หน้าระบบชำระเงินของคุณตอนนี้หรือไม่?
• ครั้งล่าสุดที่มีใครสแกนเว็บไซต์หามัลแวร์จริง ๆ คือเมื่อไหร่ ไม่ใช่แค่สมมติว่าโฮสต์จัดการให้แล้ว?
• หากข้อมูลลูกค้าถูกเปิดเผยพรุ่งนี้ มีใครในทีมของคุณรู้สามขั้นตอนแรกที่ต้องทำหรือไม่?
• สำเนา staging หรือ backup เก่าของเว็บไซต์ยังเข้าถึงได้จากสาธารณะอยู่หรือไม่?
• ทุกบัญชีแอดมินเปิดใช้ 2FA อยู่หรือไม่ และสิทธิ์เข้าถึงถูกถอดจริงเมื่อมีคนออกจากทีมหรือเปล่า?

หากมีมากกว่าหนึ่งข้อที่ทำให้คุณชะงัก นั่นคือจุดเริ่มต้นที่แท้จริง ไม่ใช่การสร้างความหวาดกลัว แต่เป็นการตรวจสอบอย่างตรงไปตรงมาว่าช่องโหว่อยู่ตรงไหน และวางแผนปิดมันก่อนที่จะกลายเป็นโอกาสของคนอื่น