AI เจาะระบบขายตั๋วคอนเสิร์ตยักษ์ใหญ่ เผยช่องโหว่ร้ายแรงที่เกือบทำให้ตั๋ว VIP กลายเป็นของฟรี
เมื่อพูดถึงภัยคุกคามจากปัญญาประดิษฐ์ (AI) หลายคนอาจนึกถึงภาพยนตร์ไซไฟที่ AI ขโมยรหัสยิงนิวเคลียร์หรือล้างบัญชีธนาคารทั่วโลก แต่ในความเป็นจริง ภัยใกล้ตัวที่น่ากังวลกว่าคือการใช้ AI เพื่อเจาะระบบเว็บไซต์บริการทั่วไป เช่น การเข้าถึงสิทธิ์ผู้ดูแลระบบสูงสุดของเว็บขายตั๋ว เพื่อออกตั๋ว VIP ให้ตัวเองและเพื่อนๆ ได้เข้างานคอนเสิร์ตฟรี
นี่คือสิ่งที่ Ian Carroll นักวิจัยด้านความปลอดภัยและผู้ก่อตั้ง startup Seats.aero ได้พิสูจน์ให้เห็น โดยเขาใช้ Claude Opus 4.7 ซึ่งเป็น AI ขั้นสูงจาก Anthropic ในการค้นหาและเจาะช่องโหว่ของ Front Gate Tickets ผู้ให้บริการจำหน่ายตั๋วสำหรับเทศกาลดนตรีรายใหญ่เกือบทั้งหมดในสหรัฐฯ เช่น Lollapalooza และ South by Southwest ซึ่งบริษัทนี้เป็นบริษัทในเครือของ Live Nation Entertainment เช่นเดียวกับ Ticketmasterการค้นพบช่องโหว่ที่น่าตกใจ
Carroll เริ่มต้นจากการสำรวจโดเมนของ Front Gate และพบสิ่งที่ดูเหมือนจะเป็น SQL injection ซึ่งเป็นช่องโหว่ทางเทคนิคที่ยอมให้แฮกเกอร์ส่งคำสั่งผ่านช่องกรอกข้อมูลบนหน้าเว็บ เพื่อสั่งการระบบหลังบ้านหรือดึงข้อมูลจากฐานข้อมูลออกมาได้ อย่างไรก็ตาม ในตอนแรกเขาถูกบล็อกโดย Web Application Firewall (WAF) หรือระบบกำแพงไฟที่คอยคัดกรองทราฟฟิกที่เป็นอันตราย
จุดเปลี่ยนเกิดขึ้นเมื่อเขาขอให้ Claude Opus 4.7 ช่วยหาวิธีข้ามผ่านระบบป้องกันนี้ AI ได้สร้างเทคนิคที่เรียกว่า Nested SQL Query หรือการเขียนคำสั่ง SQL ซ้อนกัน ซึ่งสามารถหลบเลี่ยงการตรวจจับของ Firewall ได้อย่างสมบูรณ์ โดยที่ตัว Carroll เองยอมรับว่าเขาไม่ได้เป็นคนเขียนโค้ดนี้ แต่ AI เป็นผู้สร้างขึ้นมาเองทั้งหมด
จากข้อมูลลูกค้าสู่สิทธิ์ผู้ดูแลระบบ
หลังจากเจาะผ่านกำแพงไฟได้ AI ได้เขียนสคริปต์ที่ทำให้ Carroll สามารถเข้าถึงฐานข้อมูลลูกค้าและพนักงานจำนวนมหาศาล ซึ่งรวมถึงชื่อ อีเมล และที่อยู่ (แต่ไม่มีข้อมูลบัตรเครดิต) และที่ร้ายแรงที่สุดคือเขาสามารถเข้าถึงข้อมูลพนักงานเพื่อทำการ Account Takeover หรือการยึดบัญชีผู้ใช้
เขาใช้วิธีรีเซ็ตรหัสผ่านของบัญชีผู้ดูแลระบบระดับสูง (Super-administrator) โดยดึงรหัสรีเซ็ตจากระบบหลังบ้านมาใช้ ทำให้เขามีอำนาจเบ็ดเสร็จในการจัดการระบบ และสามารถออกตั๋วราคาแพง เช่น ตั๋ว VIP มูลค่า 4,000 ดอลลาร์ ให้กับใครก็ได้โดยไม่มีข้อจำกัด แม้ว่าตั๋วนั้นจะขายหมดไปแล้วก็ตาม
| หัวข้อ | รายละเอียด |
|---|---|
| เครื่องมือที่ใช้ | Claude Opus 4.7 (AI จาก Anthropic) |
| ช่องโหว่หลัก | SQL Injection (แบบ Nested Query) |
| ระดับการเข้าถึง | Super-administrator (ผู้ดูแลระบบสูงสุด) |
| ข้อมูลที่ถูกเข้าถึง | ชื่อ, อีเมล, ที่อยู่ของลูกค้าและพนักงานหลายล้านราย |
| ผลกระทบที่อาจเกิดขึ้น | การออกตั๋วฟรีทุกประเภท รวมถึงตั๋ว VIP และ Backstage |
ข้อเท็จจริงสำคัญ
- AI ทำงานแทนมนุษย์: Claude Opus 4.7 สามารถสร้างเทคนิคการเจาะระบบที่ซับซ้อนได้ด้วยตัวเองโดยที่นักวิจัยไม่ต้องชี้นำในรายละเอียด
- ขาดการป้องกันขั้นพื้นฐาน: ระบบของ Front Gate ไม่มีการใช้การยืนยันตัวตนแบบสองปัจจัย (2FA) ทำให้เพียงแค่มีรหัสผ่านก็สามารถยึดบัญชีได้ทันที
- การตอบสนองของบริษัท: Front Gate ระบุว่าได้แก้ไขช่องโหว่ภายใน 24 ชั่วโมง และอ้างว่าไม่มีข้อมูลลูกค้าถูกนำไปใช้ในทางที่ผิด
- ข้อโต้แย้ง: Carroll แย้งว่าเขาสามารถเข้าถึงระบบผ่านพอร์ทัลสาธารณะได้โดยไม่มีการแจ้งเตือนใดๆ จากบริษัทในขณะที่กำลังเจาะระบบ
บทวิเคราะห์: เมื่อ AI กลายเป็นอาวุธของแฮกเกอร์
เหตุการณ์นี้สะท้อนให้เห็นว่า AI กำลังเปลี่ยนโฉมหน้าของการโจมตีทางไซเบอร์ โดยทำให้การค้นหาช่องโหว่ที่เคยต้องใช้ผู้เชี่ยวชาญและเวลาจำนวนมาก กลายเป็นเรื่องที่ทำได้ง่ายและรวดเร็วขึ้น ซึ่งทาง Anthropic ผู้พัฒนา Claude ได้ชี้แจงว่าพวกเขาได้จัดตั้ง Cyber Verification Program เพื่อให้นักวิจัยด้านความปลอดภัยใช้เครื่องมือของตนในการช่วยให้โค้ดทั่วโลกปลอดภัยขึ้น และหากผู้ใช้ทั่วไปพยายามทำเช่นนี้ ระบบจะตรวจพบและบล็อกการทำงานทันที
อย่างไรก็ตาม คำวิจารณ์ของ Carroll ที่ว่าระบบของบริษัทใหญ่ๆ บางแห่ง "ถูกยึดไว้ด้วยเทปกาวและการสวดมนต์" (held together by duct tape and prayers) เป็นการเตือนใจว่า แม้แต่บริษัทระดับโลกที่มีรายได้มหาศาลก็อาจละเลยการตรวจสอบความปลอดภัยพื้นฐาน ซึ่งในยุค AI ความผิดพลาดเพียงเล็กน้อยอาจนำไปสู่ความเสียหายระดับมหึมา
คำถามที่พบบ่อย
AI ตัวนี้สามารถเจาะระบบได้เองโดยไม่มีมนุษย์ควบคุมหรือไม่?
จากคำบอกเล่าของ Ian Carroll เขาเชื่อว่ามีความเป็นไปได้สูงที่ AI จะสามารถค้นพบและดำเนินการเจาะระบบนี้ได้ตั้งแต่ต้นจนจบ (end-to-end) โดยที่เขาไม่ต้องช่วยเหลือเลย
ข้อมูลบัตรเครดิตของลูกค้าถูกขโมยไปด้วยหรือไม่?
ไม่ ข้อมูลที่ถูกเข้าถึงประกอบด้วย ชื่อ อีเมล และที่อยู่จัดส่ง แต่ไม่มีข้อมูลบัตรเครดิตรวมอยู่ในช่องโหว่ที่ถูกค้นพบนี้
ทำไมการเจาะระบบถึงทำได้ง่ายขนาดนี้?
ปัจจัยหลักคือการขาดระบบยืนยันตัวตนแบบสองปัจจัย (Two-factor authentication) และการมีช่องโหว่ SQL Injection ที่สามารถหลบเลี่ยง Firewall ได้ด้วยเทคนิคที่ AI คิดค้นขึ้น
ทางบริษัท Front Gate แก้ไขปัญหาอย่างไร?
บริษัทระบุว่าได้ทำการ Patch หรือปิดช่องโหว่ดังกล่าวเรียบร้อยแล้วภายใน 24 ชั่วโมงหลังจากได้รับแจ้งจากนักวิจัย
ตั๋วที่ถูกออกโดยแฮกเกอร์จะสามารถใช้งานได้จริงหรือไม่?
Front Gate อ้างว่าตั๋วที่ออกโดยไม่ถูกต้องจะถูกตรวจพบและยกเลิกก่อนใช้งาน และตั๋ว VIP ระดับสูงบางประเภทต้องใช้สายรัดข้อมือ RFID ซึ่งไม่สามารถสร้างผ่านระบบออนไลน์ได้
