Dumpster Diving ในบริบทความปลอดภัยข้อมูลคืออะไร?
Dumpster Diving (การขุดขยะ) คือเทคนิคการรวบรวมข้อมูล (Information Gathering) โดยการค้นหาเอกสาร/อุปกรณ์ที่ทิ้งทิ้ง เพื่อนำข้อมูลไปใช้ในการโจมตีเครือข่าย หรือการขโมยข้อมูลส่วนตัว/องค์กร
สิ่งที่แฮกเกอร์หาในขยะ
| ประเภทขยะ | ข้อมูลที่อาจพบ | ความเสี่ยง |
|---|---|---|
| กระดาษ/Sticky Notes | รหัสผ่าน, IP Address, Server Name, โค้ด OTP, บัญชีผู้ใช้ | สูง - ใช้ Login ได้ทันที |
| เอกสารองค์กร | โครงสร้างเครือข่าย, รายชื่อพนักงาน, นโยบาย IT, สัญญา | สูง - ใช้ทำ Social Engineering/Reconnaissance |
| Hard Drive/SSD/USB | ฐานข้อมูล, Source Code, Email, Certificate, Private Key | วิกฤต - Data Breach ตรงตัว |
| สมาร์ทโฟน/แท็บเล็ต | Contact, SMS, Email, App Data, Saved Password | สูง - Identity Theft |
| เครื่องพิมพ์/ฟอกซ์ (Hard Drive ภายใน) | เอกสารที่พิมพ์/สแกน/แฟกซ์ล่าสุด | ปานกลาง-สูง |
| บัตรผ่านประตู/ID Badge | เข้าสถานที่ได้ (Physical Access) | สูง - Physical Security Breach |
Dumpster Diving vs Piggybacking (Tailgating)
| Dumpster Diving | Piggybacking / Tailgating |
|---|---|
| ค้นหาข้อมูลจากขยะที่ทิ้ง | แอบเข้าตามคนที่มีสิทธิ์ (Social Engineering) |
| Information Gathering (Passive) | Physical Access Attack (Active) |
| ได้ Credentials, Network Info | ได้ Physical Access เข้าสerver room |
| ป้องกัน: Shredder, Encryption, Policy | ป้องกัน: Mantrap, Badge Reader, Security Guard, Culture |
เหตุการณ์จริง (Case Studies)
- 2008 - Heartland Payment Systems: แฮกเกอร์หาเอกสารจากขยะได้ข้อมูลเครือข่าย นำไปโจมตี ขโมย 130 ล้านบัตรเครดิต
- 2017 - Morgan Stanley: พนักงานทิ้ง Hard Drive ไม่ได้ Destroy ข้อมูลลูกค้ารั่วไหล
- หลายกรณี: พบ Server Hard Drive ขายบน eBay ยังมีข้อมูล NHS (UK), โรงพยาบาล, ธนาคาร
มาตรการป้องกัน (Countermeasures)
1. นโยบายและกระบวนการ (Policy & Process)
- นโยบาย Clean Desk Policy - ไม่ทิ้งเอกสารบนโต๊ะ
- นโยบาย Data Classification & Handling - จัดประเภทข้อมูล ระบุวิธีทำลาย
- นโยบาย Media Sanitization / Disposal - ขั้นตอนทำลายอุปกรณ์เก็บข้อมูล
- Audit การทิ้งขยะเป็นประจำ (Dumpster Audit)
2. ทางกายภาพ (Physical)
- Cross-cut Shredder (DIN 66399 P-4/P-5) สำหรับเอกสารกระดาษ
- Degausser / Physical Destruction (Drill, Shred, Melt) สำหรับ HDD/SSD/Tape
- Encrypted Drives (BitLocker, FileVault, LUKS, OPAL/SED) - ถ้าขโมยไปก็อ่านไม่ได้
- ล็อกถังขยะ / วางในพื้นที่ควบคุมการเข้าถึง
- CCTV ติดตามพื้นที่ทิ้งขยะ
3. ทางเทคนิค (Technical)
- Full Disk Encryption บุกอุปกรณ์ทุกเครื่อง
- Remote Wipe สำหรับ Mobile Device (MDM)
- DLP (Data Loss Prevention) ป้องกัน Copy/Paste/Print ข้อมูล nhạy cảm
- Secure Print (Pull Printing) - ต้อง Badge/PIN ที่เครื่องพิมพ์ถึงจะพิมพ์
4. คน (People)
- Security Awareness Training: สอนพนักงานว่า "ขยะของคุณ = ขุมทรัพย์ของแฮกเกอร์"
- Phishing Simulation รวม Physical Social Engineering
- รายงานเหตุการณ์พบขยะผิดปกติ
มาตรฐานและกฎระเบียบที่เกี่ยวข้อง
- NIST SP 800-88 - Guidelines for Media Sanitization
- ISO 27001 Annex A.8.2.3 - Handling of assets / A.11.2.7 - Secure disposal
- GDPR Art. 32 - Security of processing (รวมการทำลายข้อมูล)
- HIPAA - PHI Disposal Requirements
- PCI DSS Req 9.8 - Media destruction
สรุป
Dumpster Diving เป็นภัยคุกคาม Low-tech แต่ High-impact ที่องค์กรมองข้ามง่าย การป้องกันต้องครบ 4 มิติ: Policy, Physical, Technical, People สำคัญที่สุดคือ Encryption ทุกอุปกรณ์ + Shredder/Destruction ทุกสื่อ ก่อนทิ้ง
