เว็บไซต์ถูกฝังโค้ดโดยไม่รู้ตัว

ความขัดแย้งที่น่ากลัวที่สุดของการถูกฝังโค้ดในเว็บไซต์ คือมันไม่ส่งเสียงเตือนใดๆ เว็บไซต์ของเรายังเปิดได้ตามปกติ หน้าตายังเหมือนเดิม สินค้ายังขายได้ ลูกค้ายังติดต่อเข้ามา ทุกอย่างในสายตาของเราดูปกติดีทุกประการ แต่ในเบื้องหลัง อาจมีโค้ดแปลกปลอมที่ถูกแอบฝังเข้ามา ทำงานเงียบๆ ในเบราว์เซอร์ของผู้เข้าชมทุกคน คอยขโมยข้อมูล เปลี่ยนเส้นทางผู้ใช้ไปยังหน้าหลอกลวง หรือใช้เครื่องของคนอื่นทำสิ่งที่เราไม่รู้เลย เว็บไซต์ที่เราภูมิใจว่าเป็นหน้าตาของธุรกิจ กลับกลายเป็นเครื่องมือทำร้ายคนที่ไว้ใจเรามากที่สุด โดยที่เราเองก็ตกเป็นเหยื่อพร้อมกันไปด้วย

มุมมองที่ทำให้เราไม่ทันระวังคือความเชื่อว่า ถ้าเว็บไซต์มีปัญหา เราคงรู้เอง เราเข้าเว็บตัวเองทุกวัน เห็นทุกหน้า ถ้ามีอะไรผิดปกติคงสังเกตได้ ทว่าโค้ดที่ถูกฝังอย่างแยบยลมักออกแบบมาให้ไม่แสดงตัวต่อเจ้าของ มันอาจทำงานเฉพาะกับผู้เข้าชมที่มาจากการค้นหา หรือเฉพาะคนที่ใช้มือถือ หรือเฉพาะบางช่วงเวลา เพื่อหลบสายตาคนที่ดูแลเว็บ ความเงียบของมันไม่ใช่สัญญาณว่าทุกอย่างปกติ แต่เป็นกลยุทธ์ของมันเอง

ความเสียหายที่ไม่ใช่แค่เรื่องเทคนิค

เมื่อพูดถึงเว็บไซต์ถูกฝังโค้ด เรามักนึกถึงปัญหาทางเทคนิคที่ต้องให้ช่างมาแก้ แต่ความเสียหายที่แท้จริงนั้นลึกกว่านั้นมาก เพราะมันคือการกัดกร่อนความไว้วางใจ ลูกค้าที่เข้าเว็บเราแล้วถูกขโมยข้อมูลบัตรเครดิต หรือถูกพาไปยังหน้าหลอกลวง จะไม่ได้โทษแฮกเกอร์ที่มองไม่เห็น เขาจะจำชื่อแบรนด์ของเรา เพราะนั่นคือสิ่งเดียวที่เขาเห็นและเขาไว้ใจ ความไว้วางใจที่เราใช้เวลาหลายปีสร้างขึ้น อาจถูกทำลายในเหตุการณ์เดียว และที่เจ็บกว่านั้นคือ เมื่อเสิร์ชเอนจินตรวจพบว่าเว็บเราแพร่สิ่งอันตราย มันอาจขึ้นคำเตือนสีแดงให้ทุกคนที่จะเข้าเว็บเราเห็น หรือถอดเราออกจากผลการค้นหาไปเลย เท่ากับว่าหน้าร้านดิจิทัลของเราถูกปิดป้ายเตือนภัยไว้ต่อหน้าคนทั้งโลก

อีกชั้นของความเสียหายที่มักถูกมองข้ามคือกฎหมายและความรับผิดชอบ ในฐานะเจ้าของเว็บไซต์ เรามีหน้าที่ดูแลข้อมูลของผู้ที่เข้ามาใช้ ถ้าเว็บของเรากลายเป็นช่องทางทำร้ายลูกค้า แม้เราจะเป็นเหยื่อด้วย ความรับผิดชอบก็ยังตกอยู่กับเราในสายตาของลูกค้าและของกฎหมาย การบอกว่าเราไม่รู้เรื่องไม่ใช่คำตอบที่ปลอบใจใครได้

ความจริงที่ไม่ค่อยมีใครพูดคือ เว็บไซต์สมัยใหม่แทบไม่มีอันไหนที่เราสร้างขึ้นมาเองทั้งหมด มันถูกประกอบขึ้นจากชิ้นส่วนของคนอื่นมากมาย ปลั๊กอินที่ติดตั้งเพิ่ม สคริปต์ของบริการภายนอก เครื่องมือวิเคราะห์ผู้ชม ระบบแชต ทุกชิ้นคือประตูบานหนึ่งที่เราเปิดให้โค้ดของคนอื่นเข้ามาทำงานในบ้านของเรา ยิ่งเราต่อเติมเว็บด้วยความสะดวกมากเท่าไร เราก็ยิ่งมีประตูให้ต้องเฝ้ามากเท่านั้น และเมื่อชิ้นส่วนใดชิ้นส่วนหนึ่งล้าสมัยหรือถูกเจาะ มันก็กลายเป็นทางเข้าให้โค้ดร้ายแฝงตัวเข้ามาได้ คำถามที่เจ้าของกิจการควรถามจึงไม่ใช่แค่เว็บเราปลอดภัยไหม แต่คือเรารู้จริงไหมว่าตอนนี้มีโค้ดของใครบ้างกำลังทำงานอยู่บนเว็บของเรา

ก่อนจะคิดว่าเรื่องนี้ไกลตัว ลองถามตัวเองด้วยคำถามเหล่านี้

• เรารู้ไหมว่าครั้งสุดท้ายที่เว็บไซต์และส่วนเสริมทั้งหมดถูกอัปเดตคือเมื่อไร
• ถ้าวันนี้มีโค้ดแปลกถูกฝังเข้ามา เราจะรู้ได้ด้วยวิธีใด หรือเราจะรู้ก็ต่อเมื่อมีลูกค้ามาบ่น
• มีกี่บริการภายนอกที่มีสิทธิ์รันโค้ดบนเว็บของเรา และเราจำเป็นต้องใช้ทุกอันจริงหรือ
• ถ้าเว็บถูกฝังโค้ดจริง ใครคือคนแรกที่เราจะโทรหา และเขาตอบได้เร็วแค่ไหน

คำถามที่เปลี่ยนจากการตั้งรับเป็นการเฝ้าระวัง

บางทีกรอบความคิดที่เราควรเปลี่ยนคือการเลิกมองเว็บไซต์เป็นสิ่งที่สร้างเสร็จแล้วจบ เหมือนป้ายโฆษณาที่ติดไว้แล้วลืมได้ เว็บไซต์ที่ยังมีชีวิตและเชื่อมต่อกับโลกภายนอก คือสิ่งที่ต้องการการเฝ้ามองอย่างต่อเนื่อง เหมือนหน้าร้านที่เปิดตลอดยี่สิบสี่ชั่วโมงและไม่มีวันปิด คำถามที่ดีกว่าจึงไม่ใช่เว็บเราโดนฝังโค้ดหรือยัง ซึ่งเป็นคำถามที่ตอบได้แค่วันนี้ แต่คือเรามีวิธีรู้ตัวเร็วแค่ไหนถ้ามันเกิดขึ้นในวันพรุ่งนี้ ความปลอดภัยของเว็บไม่ใช่สภาวะที่เราไปถึงแล้วอยู่ตรงนั้นตลอดไป แต่เป็นนิสัยของการสังเกตและดูแลที่ทำซ้ำไปเรื่อยๆ ความแตกต่างระหว่างธุรกิจที่ฟื้นจากเหตุการณ์แบบนี้ได้ กับธุรกิจที่เสียลูกค้าไปถาวร มักอยู่ที่ว่ารู้ตัวเร็วแค่ไหน ไม่ใช่ว่าโดนหรือไม่โดน

ที่ Whale Task เรามองว่าการดูแลเว็บไซต์ให้ปลอดภัยคือการรู้จักทุกชิ้นส่วนที่ประกอบขึ้นเป็นเว็บของคุณ และมีวิธีสังเกตเมื่อมีบางอย่างเปลี่ยนไปจากที่ควรเป็น ถ้าวันหนึ่งคุณอยากเข้าใจว่าเว็บของคุณกำลังเปิดประตูให้ใครเข้ามาทำงานบ้าง เรายินดีเป็นเพื่อนร่วมคิดในเรื่องนี้