National Public Data ข้อมูลรั่วไหลครั้งใหญ่ กระทบประชากรหลายประเทศและเสี่ยงต่อการโจรกรรมอัตลักษณ์
ปัญหาการรั่วไหลของข้อมูลกลายเป็นวิกฤตที่เกิดขึ้นซ้ำซากและแก้ไขได้ยาก กรณีล่าสุดของ National Public Data (NPD) ผู้ให้บริการตรวจสอบประวัติเบื้องหลัง ได้แสดงให้เห็นถึงความอันตรายของการจัดเก็บข้อมูลขนาดใหญ่ โดยหลังจากเกิดความคลุมเครือมานานถึง 4 เดือน ในที่สุดบริษัทก็ได้ยอมรับว่าเกิดเหตุการณ์ข้อมูลรั่วไหลจริง ซึ่งเกิดขึ้นในช่วงเวลาเดียวกับที่มีการนำข้อมูลที่ถูกขโมยไปเผยแพร่สู่สาธารณะบนโลกออนไลน์
เหตุการณ์นี้เริ่มต้นขึ้นในเดือนเมษายน เมื่อแฮกเกอร์ที่ใช้นามแฝงว่า USDoD ได้นำข้อมูลจำนวนมหาศาลมาประกาศขายในฟอรัมอาชญากรรมไซเบอร์ด้วยราคาสูงถึง 3.5 ล้านดอลลาร์ โดยอ้างว่ามีบันทึกข้อมูลถึง 2.9 พันล้านรายการ ซึ่งครอบคลุมประชากรทั้งหมดในสหรัฐอเมริกา แคนาดา และสหราชอาณาจักร ต่อมาในเดือนมิถุนายน นักวิจัยด้านความปลอดภัยได้ตรวจสอบพบว่าข้อมูลบางส่วนเป็นของจริง ซึ่งประกอบด้วยชื่อ อีเมล และที่อยู่
รายละเอียดของข้อมูลที่ถูกโจรกรรม
จากการตรวจสอบพบว่าข้อมูลที่รั่วไหลถูกแบ่งออกเป็นสองกลุ่มหลัก กลุ่มแรกประกอบด้วยที่อยู่อีเมลที่ถูกต้องมากกว่า 100 ล้านรายการพร้อมข้อมูลอื่น ๆ ส่วนกลุ่มที่สองเป็นข้อมูล Social Security Number (SSN) หรือหมายเลขประกันสังคม (ซึ่งเป็นเลขประจำตัวประชาชนของสหรัฐฯ) แต่ไม่มีที่อยู่อีเมลกำกับไว้
ทาง National Public Data ระบุว่าเหตุการณ์นี้เกิดจากผู้ไม่หวังดีพยายามเจาะระบบในช่วงปลายเดือนธันวาคม 2023 และมีการรั่วไหลของข้อมูลเกิดขึ้นในช่วงเดือนเมษายนและฤดูร้อนปี 2024 โดยข้อมูลที่ได้รับผลกระทบ ได้แก่ ชื่อ, อีเมล, เบอร์โทรศัพท์, หมายเลขประกันสังคม และที่อยู่ทางไปรษณีย์ ซึ่งขณะนี้บริษัทกำลังร่วมมือกับหน่วยงานบังคับใช้กฎหมายและหน่วยงานรัฐ รวมถึงกำลังเผชิญกับการฟ้องร้องแบบกลุ่ม (Class Action Lawsuits)
| หัวข้อ | รายละเอียด |
|---|---|
| ผู้ได้รับผลกระทบ | ประชากรในสหรัฐฯ, แคนาดา และสหราชอาณาจักร |
| ประเภทข้อมูลที่รั่วไหล | ชื่อ, อีเมล, เบอร์โทรศัพท์, SSN, ที่อยู่ |
| ช่วงเวลาที่เกิดเหตุ | เริ่มเจาะระบบ ธ.ค. 2023 / รั่วไหล เม.ย. และ ฤดูร้อน 2024 |
| จำนวนบันทึกที่ถูกอ้าง | 2.9 พันล้านรายการ |
| มูลค่าที่แฮกเกอร์เรียกขาย | 3.5 ล้านดอลลาร์สหรัฐ |
ความซับซ้อนของ Data Broker และความเสี่ยงระยะยาว
ความน่ากังวลของกรณีนี้คือ National Public Data ทำหน้าที่เป็น Data Broker หรือนายหน้าซื้อขายข้อมูล ซึ่งแตกต่างจากการรั่วไหลจากบริษัทค้าปลีกทั่วไป เพราะผู้เสียหายส่วนใหญ่มักไม่ทราบด้วยซ้ำว่าบริษัทนี้มีข้อมูลของตนอยู่ ทำให้การติดตามแหล่งที่มาและความรับผิดชอบเป็นเรื่องยาก
Troy Hunt ผู้ก่อตั้งเว็บไซต์ Have I Been Pwned (HIBP) ซึ่งเป็นบริการตรวจสอบว่าอีเมลถูกรั่วไหลหรือไม่ ระบุว่าข้อมูลที่หลุดออกมามีความไม่แน่นอนสูง บางส่วนมีการจับคู่ข้อมูลผิดพลาด หรือมีข้อมูลซ้ำซ้อน โดยเขาเน้นย้ำว่าหากใครพบอีเมลตนเองในฐานข้อมูล HIBP ก็ไม่ได้หมายความว่าหมายเลข SSN จะต้องรั่วไหลไปด้วยเสมอไป เนื่องจากไฟล์ SSN ไม่มีอีเมลระบุไว้
อย่างไรก็ตาม Jeremiah Fowler นักวิจัยด้านความปลอดภัยเตือนว่า แม้ผลกระทบอาจไม่เกิดขึ้นทันที แต่ข้อมูลเหล่านี้คือ "จิ๊กซอว์" ชิ้นสำคัญที่อาชญากรไซเบอร์หรือหน่วยงานจารกรรมระดับรัฐสามารถนำไปรวมกับฐานข้อมูลอื่น ๆ เพื่อสร้างโปรไฟล์บุคคลที่สมบูรณ์ ซึ่งจะนำไปสู่การหลอกลวง (Scamming) และการโจรกรรมอัตลักษณ์ที่มีประสิทธิภาพมากขึ้นในอนาคต
ข้อเท็จจริงสำคัญ
- การยอมรับล่าช้า: บริษัทใช้เวลาถึง 4 เดือนกว่าจะยอมรับการรั่วไหลหลังจากมีข้อมูลปรากฏในตลาดมืด
- ความเสี่ยงของ SSN: ผู้ที่ข้อมูลหมายเลขประกันสังคมรั่วไหลมีความเสี่ยงสูงต่อการถูกสวมรอยทางการเงิน
- ข้อมูลไม่สมบูรณ์: ข้อมูลบางส่วนที่รั่วไหลมีความคลาดเคลื่อนและไม่ถูกต้องทั้งหมด
- ผลกระทบวงกว้าง: ข้อมูลถูกนำไปใช้เป็นฐานในการทำ Cybercrime และการจารกรรมข้อมูลระดับประเทศ
คำถามที่พบบ่อย
หากพบว่าอีเมลอยู่ในฐานข้อมูลที่รั่วไหล หมายความว่าหมายเลขประกันสังคม (SSN) รั่วด้วยหรือไม่?
ไม่จำเป็นเสมอไป เนื่องจากข้อมูลที่รั่วไหลถูกแบ่งเป็นสองชุด ชุดที่มีอีเมลไม่มี SSN และชุดที่มี SSN ไม่มีอีเมล ดังนั้นการพบอีเมลในระบบตรวจสอบอย่าง HIBP จึงไม่ใช่หลักฐานยืนยันว่า SSN ของคุณถูกขโมย
ผู้เสียหายควรทำอย่างไรเมื่อทราบว่าข้อมูลส่วนบุคคลรั่วไหล?
ผู้ที่กังวลเรื่องการโจรกรรมอัตลักษณ์ควรดำเนินการระงับวงเงินเครดิต (Freeze Credit), ตรวจสอบรายงานเครดิตอย่างละเอียด และติดตั้งบริการเฝ้าระวังทางการเงินเพื่อป้องกันการเปิดบัญชีโดยไม่ได้รับอนุญาต
ทำไมการรั่วไหลจาก Data Broker ถึงอันตรายกว่าบริษัททั่วไป?
เพราะ Data Broker รวบรวมข้อมูลจากหลายแหล่งมาไว้ที่เดียว และผู้บริโภคมักไม่รู้ว่าบริษัทเหล่านี้ถือครองข้อมูลของตนอยู่ ทำให้ไม่สามารถป้องกันหรือติดตามการรั่วไหลได้ทันท่วงที
ข้อมูลที่รั่วไหลสามารถนำไปใช้ทำอะไรได้บ้าง?
อาชญากรสามารถนำข้อมูลที่กระจัดกระจายจากหลายเหตุการณ์รั่วไหลมาประกอบกัน เพื่อสร้างโปรไฟล์บุคคลที่แม่นยำ ใช้ในการทำ Phishing, การหลอกลวงทางโทรศัพท์ หรือการสวมรอยเพื่อทำธุรกรรมทางการเงิน
