Dropbox เป็นบริการ พื้นที่จัดเก็บข้อมูลบนคลาวด์ กระแสหลักรายแรกที่เปิดให้บริการ และเป็นผู้นำทางสำหรับอุตสาหกรรมนี้ น่าเสียดายที่บริการนี้ได้ก้าวพลาดไปหลายครั้งในช่วงหลายปีที่ผ่านมา ซึ่งเหตุการณ์ที่เลวร้ายที่สุดคือการละเมิดข้อมูลของ Dropbox ในปี 2012 ซึ่งเป็นการละเมิดข้อมูลครั้งใหญ่ที่สุดที่เคยเกิดขึ้นในอุตสาหกรรมนี้ จึงมีการรวบรวมลำดับเหตุการณ์ของปัญหาด้านความปลอดภัยของ Dropbox นี้ขึ้นมา เพื่อให้สามารถตัดสินใจได้ว่าบริการนี้ยังคงเป็นผู้ให้บริการที่เหมาะสมหรือไม่
หากอ่านแล้วและพร้อมที่จะเปลี่ยนมาใช้งาน โปรดดูคู่มือฉบับย่อเกี่ยวกับการลบบัญชี Dropbox และสุดท้ายนี้ หากกำลังพิจารณาทางเลือกอื่นนอกเหนือจาก Dropbox ด้านล่างนี้ยังมีการแชร์ข้อมูลเกี่ยวกับ Proton Drive ซึ่งมีความปลอดภัยมากกว่าอย่างมาก
การละเมิดข้อมูลความปลอดภัย of Dropbox: ลำดับเหตุการณ์
Dropbox เริ่มต้นขึ้นในปี 2008 และตั้งแต่ปี 2011 เป็นต้นมา ก็เผชิญกับการละเมิดข้อมูลในบางรูปแบบเกือบทุกปีตั้งแต่นั้นมา แม้ว่าช่วงหลังนี้จะชะลอตัวลงไปบ้างก็ตาม อย่างไรก็ตาม เมื่อต้องตัดสินใจเลือกบริการพื้นที่จัดเก็บข้อมูลบนคลาวด์ที่จะไว้วางใจให้ดูแลไฟล์ สิ่งสำคัญคือต้องพิจารณาจากประวัติการทำงานที่ผ่านมาของบริการนั้นๆ
2011: บั๊กเกี่ยวกับรหัสผ่านของ Dropbox
เรื่องอื้อฉาวครั้งแรกของ Dropbox เกิดขึ้นในเดือนมิถุนายน ปี 2011 เพียงสามปีหลังการก่อตั้ง ด้วยเหตุของบั๊ก ระบบของ Dropbox จึงยอมรับรหัสผ่านใดๆ(หน้าต่างใหม่) ที่ป้อนเข้าไปในช่วงเวลาประมาณสี่ชั่วโมง ซึ่งหมายความว่าใครๆ ก็สามารถเข้าถึงบัญชีใดก็ได้ตราบใดที่รู้ชื่อผู้ใช้หรืออีเมล — นับเป็นกรณีศึกษาที่ดีสำหรับการใช้ ชื่อผู้ใช้ที่ปลอดภัย
อย่างไรก็ตาม ควรสังเกตว่าการแก้ไขปัญหานั้นทีมงาน Dropbox ใช้เวลาเพียงห้านาทีเท่านั้นหลังจากได้รับการแจ้งเตือน แต่ในช่วงเวลาสี่ชั่วโมงนั้น บัญชี Dropbox ทุกบัญชีเปิดกว้างอย่างสมบูรณ์ ถือเป็นความโชคดีอย่างยิ่งที่ไม่มีผู้โจมตีพบช่องโหว่นี้ในช่วงเวลาดังกล่าว
2012: การละเมิดข้อมูลของ Dropbox ส่งผลให้รหัสผ่าน 68 ล้านรายการถูกโจมตี
ในเดือนกรกฎาคม ปี 2012 Dropbox รายงาน(หน้าต่างใหม่) ว่าชื่อผู้ใช้และรหัสผ่านบางส่วนถูกขโมยไปจากเว็บไซต์อื่น แล้วนำมาใช้เพื่อเข้าถึง Dropbox (ซึ่งเป็นเหตุผลที่ดีในการ สร้างรหัสผ่านที่แข็งแกร่ง แยกต่างหากในแต่ละไซต์) Dropbox ตอบสนองโดยการปรับใช้มาตรการความปลอดภัยเพื่อทำให้การเข้าถึงที่ไม่ได้รับอนุญาตทำได้ยากขึ้น
ทุกอย่างดูเหมือนจะเป็นไปด้วยดี แต่ในปี 2016 มีการเปิดเผยว่า Dropbox ไม่ได้บอกความจริงทั้งหมด(หน้าต่างใหม่): ในบรรดาผู้ที่ถูกแฮกในปี 2012 นั้น มีพนักงานของ Dropbox รายหนึ่งที่ใช้รหัสผ่านของบริษัทกับ LinkedIn ด้วยเช่นกัน ส่งผลให้ผู้โจมตีสามารถเข้าถึงระบบของ Dropbox ได้
เมื่อเรื่องราวนี้ถูกเผยแพร่ออกไปในปี 2016 — สี่ปีหลังจากเกิดการละเมิดข้อมูลครั้งแรก — ก็พบว่ามีผู้ใช้ประมาณ 68 ล้านรายถูกโจมตี ทำให้เป็นเหตุการณ์การแฮกครั้งใหญ่ที่สุดในประวัติศาสตร์ของพื้นที่จัดเก็บข้อมูลบนคลาวด์ และเป็นหนึ่งในการแฮกครั้งใหญ่ที่สุดในประวัติศาสตร์อินเทอร์เน็ต ยิ่งไปกว่านั้น เรื่องอื้อฉาวของ Dropbox ซึ่งเป็นบริษัทขนาดใหญ่ คือการใช้เวลานานถึงสี่ปีกว่าจะยอมรับขอบเขตความเสียหายทั้งหมดที่เกิดขึ้น
2013: ข้อกล่าวหาเกี่ยวกับโครงการ PRISM
เมื่อในปี 2013 Edward Snowden ได้เปิดเผยกับหนังสือพิมพ์ The Guardian ว่ารัฐบาลสหรัฐฯ กำลังสอดแนมผู้คนทั่วโลกผ่านโครงการ PRISM หนึ่งในรายชื่อบริษัท(หน้าต่างใหม่) ที่ปรากฏขึ้นคือ Dropbox ตามข้อมูลของ Snowden บริษัทนี้มีความกระตือรือร้นที่จะทำงานร่วมกับหน่วยงานของสหรัฐฯ โดยเรียกบริษัทนี้ว่าเป็น “พันธมิตรที่อยากเข้าร่วมโครงการ PRISM(หน้าต่างใหม่)”
ยังไม่ชัดเจนว่า Dropbox เคยเข้าร่วมโครงการ PRISM หรือไม่ — เนื่องจากบริษัทปฏิเสธเรื่องนี้มาโดยตลอด — แต่ก็น่าจะทำให้ผู้คนต้องหยุดคิดชั่วคราวว่าเหตุใดบริการพื้นที่จัดเก็บข้อมูลบนคลาวด์จึงถูกอธิบายว่ากระตือรือร้นที่จะเข้าร่วมแผนการสมคบคิดในการสอดแนมมวลชนขนาดนี้
2017: ข้อมูลที่ฟื้นคืนชีพ
In เดือนมกราคม ปี 2017 ผู้ใช้ Dropbox บางรายพบสิ่งผิดปกติอย่างมาก นั่นคือ ไฟล์ที่เคยลบไปแล้ว ซึ่งในบางกรณีลบไปนานหลายปีแล้ว จู่ๆ ก็กลับมาปรากฏในบัญชี Dropbox อีกครั้ง หลังจากการตรวจสอบ Dropbox พบบั๊ก(หน้าต่างใหม่) ที่แทรกซึมอยู่ในรหัสซึ่งขัดขวางไม่ให้ไฟล์และโฟลเดอร์ถูกลบอย่างถาวร
แม้ว่าในตอนแรกอาจดูเหมือนไม่มีอันตรายใดๆ แต่การลบไฟล์มักจะทำไปด้วยเหตุผลบางประการ และความจริงที่ว่าข้อมูลที่ละเอียดอ่อนอาจยังคงมีอยู่เหมือนผีสิงแม้ว่าจะถูกทำลายไปแล้วก็ตาม ถือเป็นปัญหาที่ร้ายแรงมาก และไม่ใช่สิ่งที่คาดหวังว่าจะได้เห็นจากบริษัทอย่าง Dropbox
2018: มีการแชร์ข้อมูลโดยไม่ได้รับความยินยอม
ในเดือนกรกฎาคม ปี 2018 มีการเผยแพร่ การศึกษาที่น่าสนใจของ Harvard(หน้าต่างใหม่) ซึ่งใช้ข้อมูลความร่วมมือของผู้คนหลายพันคนเป็นจุดข้อมูลเพื่อประเมินว่าทีมงานจะสามารถทำงานร่วมกันได้อย่างไร ผลการศึกษานั้นน่าสนใจและได้ข้อค้นพบที่แปลกใหม่มาก อย่างไรก็ตาม ข้อมูลที่ใช้นั้นมาจาก Dropbox และบุคคลที่เกี่ยวข้องก็ ไม่เคยถูกถาม(หน้าต่างใหม่) ว่าสามารถนำข้อมูลไปใช้ในลักษณะนี้ได้หรือไม่
แม้ว่าข้อมูลที่ใช้นั้นจะถูกทำให้ไม่ระบุตัวตนก่อนส่งไปยังนักวิจัย (ซึ่งเป็นสิ่งที่ไม่ได้ระบุอย่างชัดเจนในบทความเวอร์ชันแรก) แต่ก็ยังอาจทำให้รู้สึกไม่สบายใจที่บริการที่เชื่อถือได้ในการดูแลข้อมูลนั้นได้แชร์ข้อมูลกับบุคคลภายนอกโดยไม่ได้รับอนุญาต ไม่ว่าจะทำให้ไม่ระบุตัวตนแล้วหรือไม่ก็ตาม
ยิ่งไปกว่านั้น ยังอาจโต้แย้งได้ว่าข้อมูลที่ไม่ระบุตัวตนนั้นไม่ได้ไม่ระบุตัวตนขนาดนั้น เนื่องจากมีวิธีสร้างข้อมูลระบุตัวตนของบุคคลขึ้นมาใหม่ แม้ว่าจะมีการลบชื่อออกจากเอกสารดิจิทัลแล้วก็ตาม
2022: การกลับมาของการโจมตีแบบฟิชชิ่ง
เรื่องอื้อฉาวล่าสุดของ Dropbox เกิดขึ้นในเดือนพฤศจิกายน ปี 2022 เมื่อข้อมูลยืนยันตัวตนของพนักงาน Dropbox ถูกขโมย(หน้าต่างใหม่) อีกครั้งในระหว่างการโจมตีแบบฟิชชิ่ง
ในครั้งนี้ ผู้โจมตีได้แอบอ้างเป็น GitHub ซึ่งเป็นไซต์ที่นักพัฒนาใช้จัดเก็บรหัสของตน ในกรณีนี้ หัวขโมยได้ข้อมูลอีเมลและรหัสผ่านของทั้งพนักงานและลูกค้าของ Dropbox ไปด้วย และควรสังเกตด้วยว่า GitHub เป็นฝ่ายตรวจพบการโจมตีนี้เอง ไม่ใช่ Dropbox
ในการตอบสนอง Dropbox ระบุว่าไฟล์ของลูกค้าไม่เคยตกอยู่ในอันตราย รวมถึงโมดูลหลักๆ ของระบบ ซึ่งเป็นส่วนประกอบที่ทำให้ Dropbox ทำงานได้ และอาจเป็นภัยคุกคามต่อทั้งระบบหากถูกเปิดเผย ถือเป็นความโชคดีสำหรับพวกเขา แต่ก็นับเป็นการปลอบใจที่แทบไม่ช่วยอะไรเลยสำหรับผู้ที่อีเมลถูกอาชญากรไซเบอร์นำไปใช้งาน
สามารถใช้อะไรแทน Dropbox ได้บ้าง?
ดังที่ลำดับเหตุการณ์ข้างต้นได้แสดงให้เห็น Dropbox ควรทำได้ดีกว่าที่เป็นอยู่และที่เคยทำมา แม้ว่าจะไม่ แย่เท่าระดับ LastPass แต่ก็ทำงานผิดพลาดมากกว่าหนึ่งครั้ง บ่อยครั้งที่ขอบเขตและความรุนแรงของเหตุการณ์ไม่ได้รายงานโดย Dropbox ซึ่งชี้ให้เห็นถึงการขาดความตระหนักรู้หรือความโปร่งใส และการละเมิดข้อมูลส่วนใหญ่มักเกิดจากแนวทางปฏิบัติด้านความปลอดภัยที่หละหลวม
โดยเฉพาะอย่างยิ่ง การที่ Dropbox ขาด การเข้ารหัสลับจากต้นทางถึงปลายทาง นั้นเป็นเรื่องที่น่ากังวล เมื่อบริการพื้นที่จัดเก็บข้อมูลบนคลาวด์ปกป้องไฟล์ด้วยการเข้ารหัสลับจากต้นทางถึงปลายทาง นั่นหมายความว่าข้อมูลจะได้รับการเข้ารหัสบนอุปกรณ์ก่อนที่จะส่งไปยังคลาวด์ การละเมิดข้อมูลของเซิร์ฟเวอร์คลาวด์ที่เกิดขึ้นในภายหลังจะไม่ทำให้ข้อมูลใดๆ ถูกเปิดเผย สามารถดูรายละเอียดเพิ่มเติมเกี่ยวกับเรื่องเหล่านี้และประเด็นอื่นๆ ได้ในบทความเรื่อง ความปลอดภัยของ Dropbox
ด้วยข้อบกพร่องของผู้ให้บริการพื้นที่จัดเก็บข้อมูลบนคลาวด์กระแสหลักเหล่านี้ จึงเป็นที่มาของการพัฒนา Proton Drive ซึ่งเป็นทางเลือกที่เข้ารหัสลับจากต้นทางถึงปลายทางที่มีความปลอดภัย โดยนำเสนอทั้งความปลอดภัยระดับแนวหน้าและประสบการณ์การใช้งานที่ดีเยี่ยมไว้ในหนึ่งเดียว แม้ว่าจะต้องการดูข้อมูล แต่ก็ไม่สามารถเข้าถึงข้อมูลนั้นได้อยู่ดี เพราะ โมเดลธุรกิจคือการปกป้องความเป็นส่วนตัว
คำมั่นสัญญาเรื่องความเป็นส่วนตัวนี้เป็นหัวใจสำคัญ of Proton มาตั้งแต่เริ่มก่อตั้ง และด้วยการสนับสนุนจากผู้สนับสนุน จึงทำให้สามารถดำเนินการได้โดยไม่ต้องพึ่งพาเงินทุนจากภายนอก ดังนั้น ข้อผูกมัดเพียงอย่างเดียวที่มีจึงเป็นเรื่องของชุมชน
หากการเลือกใช้บริการพื้นที่จัดเก็บข้อมูลบนคลาวด์ที่เป็นส่วนตัวและปลอดภัยเป็นสิ่งที่ตรงใจ โปรด เข้าร่วม Proton Drive ฟรี และลองสัมผัสประสบการณ์ของเว็บที่เป็นส่วนตัวอย่างแท้จริง
