เมื่อเกิดช่องโหว่ในแพลตฟอร์มหนึ่ง ผู้โจมตีจะไม่หยุดอยู่แค่นั้น พวกเขานำชื่อผู้ใช้ที่รั่วไหลไปทดสอบกับบริการอื่นๆ หากคุณใช้ชื่อผู้ใช้ซ้ำ ช่องโหว่ครั้งเดียวนั้นจะกลายเป็นแผนที่ของชีวิตดิจิทัลทั้งหมดของคุณ
การใช้ชื่อผู้ใช้ซ้ำขยายผลของช่องโหว่อย่างไร
ผู้โจมตีใช้เทคนิค credential stuffing: พวกเขานำคู่ชื่อผู้ใช้/รหัสผ่านจากช่องโหว่หนึ่งไปลองใช้กับแพลตฟอร์มอื่น การใช้ชื่อผู้ใช้ซ้ำทำให้ขั้นตอนนี้เป็นเรื่องง่าย แม้ว่ารหัสผ่านจะต่างกัน ชื่อผู้ใช้เพียงอย่างเดียวสามารถเปิดเผยบัญชีที่เชื่อมโยง ข้อมูลโปรไฟล์ และอีเมลสำหรับกู้คืนได้
การค้นหาชื่อผู้ใช้เปิดเผยอะไร
การค้นหาชื่อผู้ใช้จะสแกนแหล่งข้อมูลสาธารณะเพื่อหาชื่อผู้ใช้ของคุณ มันแสดงให้เห็นว่าชื่อผู้ใช้นั้นมีอยู่ที่ใด แพลตฟอร์มใดที่ใช้งานอยู่ และบางครั้งก็มีข้อมูลย่อจากโปรไฟล์ ซึ่งช่วยให้คุณเห็นขอบเขตการเปิดเผยข้อมูลของคุณโดยไม่ต้องเข้าสู่ระบบแต่ละเว็บไซต์
กลไกและกับดักของแพลตฟอร์ม
- Soft-404s: บางเว็บไซต์ส่งกลับสถานะ 200 OK แม้สำหรับผู้ใช้ที่ไม่มีอยู่จริง โดยแสดงหน้าเว็บทั่วไป ซึ่งอาจทำให้เกิดผลบวกลวงในการค้นหา
- ตัวแปรของชื่อผู้ใช้: ผู้โจมตีลองใช้ตัวแปรทั่วไป: ขีดล่าง ตัวเลข หรือจุด การค้นหาที่ตรวจสอบเฉพาะการตรงกันแบบเป๊ะๆ อาจพลาดสิ่งเหล่านี้
- ลักษณะเฉพาะของแพลตฟอร์ม: แพลตฟอร์มสำหรับนักพัฒนา เช่น GitHub มักเปิดเผยชื่อจริงและอีเมลในประวัติการคอมมิต เครือข่ายเกม เช่น Steam อาจแสดงนามแฝงและรายชื่อเพื่อน
| หมวดหมู่ | ตัวอย่างแพลตฟอร์ม | สิ่งที่การใช้ซ้ำเปิดเผย |
|---|---|---|
| โซเชียลมีเดีย | Twitter/X, Instagram, Reddit | ชื่อจริง, ที่ตั้ง, กราฟโซเชียล |
| แพลตฟอร์มสำหรับนักพัฒนา | GitHub, GitLab, Stack Overflow | อีเมล, รหัส, นายจ้าง |
| เครือข่ายเกม | Steam, Chess.com | นามแฝง, ประวัติการเล่น |
| ด้านอาชีพ | LinkedIn, About.me, Gravatar | ประวัติการทำงาน, ข้อมูลติดต่อ |
วิธีตรวจสอบการเปิดเผยข้อมูลของคุณ
TraceSeek ตรวจสอบชื่อผู้ใช้ข้ามแพลตฟอร์ม 3,000+ แห่งภายใน 20-30 วินาที การสแกนครั้งแรกฟรี ไม่จำเป็นต้องมีบัญชี ครอบคลุมโซเชียลมีเดีย แพลตฟอร์มสำหรับนักพัฒนา เว็บไซต์สื่อและงานสร้างสรรค์ เครือข่ายเกม ชุมชนมืออาชีพ ฟอรัม และแอปหาคู่ ใช้เพื่อค้นหาว่าชื่อผู้ใช้ของคุณปรากฏอยู่ที่ใด จากนั้นตัดสินใจว่าจะรักษาความปลอดภัยหรือลบบัญชีใด
ข้อจำกัดที่ต้องรู้
การค้นหาพบเฉพาะข้อมูลสาธารณะเท่านั้น ไม่สามารถเห็นฐานข้อมูลที่ถูกเจาะโดยตรง โปรไฟล์ส่วนตัว หรือบัญชีที่ใช้ชื่อผู้ใช้ต่างกัน มันเป็นจุดเริ่มต้น ไม่ใช่การตรวจสอบเต็มรูปแบบ สำหรับการตรวจสอบเฉพาะช่องโหว่ ให้ใช้บริการเช่น Have I Been Pwned ร่วมกับการค้นหาชื่อผู้ใช้
ขั้นตอนต่อไป
- รันการค้นหาชื่อผู้ใช้เพื่อทำแผนที่บัญชีสาธารณะของคุณ
- ใช้ชื่อผู้ใช้ที่ไม่ซ้ำกันต่อแพลตฟอร์มเท่าที่ทำได้
- เปิดใช้งานการยืนยันตัวตนสองขั้นตอน (two-factor authentication) ในบัญชีที่สำคัญ
- เฝ้าติดตามการปรากฏตัวใหม่หลังจากเกิดช่องโหว่