Sears ประสบปัญหาข้อมูลรั่วไหลจาก AI Chatbot เผยข้อมูลส่วนตัวลูกค้าจำนวนมหาศาล
แม้ว่าห้างสรรพสินค้าชื่อดังอย่าง Sears จะลดบทบาทลงในสหรัฐอเมริกา แต่ธุรกิจบริการซ่อมเครื่องใช้ไฟฟ้าของพวกเขายังคงดำเนินต่อไป โดยมีการนำเทคโนโลยีสมัยใหม่มาใช้ผ่าน Samantha ซึ่งเป็น AI Chatbot และผู้ช่วยทางโทรศัพท์ อย่างไรก็ตาม ความพยายามในการก้าวสู่โลกดิจิทัลครั้งนี้กลับนำมาซึ่งปัญหาใหญ่ เมื่อมีการตรวจพบว่าข้อมูลการสนทนาระหว่างลูกค้ากับ AI ถูกเปิดเผยสู่สาธารณะบนโลกออนไลน์
Jeremiah Fowler นักวิจัยด้านความปลอดภัยจาก Black Hills Information Security ได้ค้นพบฐานข้อมูล 3 แห่งที่ไม่มีการป้องกัน ซึ่งบรรจุบันทึกการแชท ไฟล์เสียง และข้อความถอดเสียงจำนวนมหาศาลของลูกค้า Sears Home Services ซึ่งเป็นผู้ให้บริการซ่อมเครื่องใช้ไฟฟ้าที่ใหญ่ที่สุดในสหรัฐฯ โดยมีการดำเนินการซ่อมแซมมากกว่า 7 ล้านครั้งต่อปี
รายละเอียดของข้อมูลที่รั่วไหล
ข้อมูลที่ถูกเปิดเผยประกอบด้วยบันทึกการแชทกว่า 3.7 ล้านรายการ และไฟล์เสียงพร้อมข้อความถอดเสียงอีก 1.4 ล้านรายการ ตั้งแต่ปี 2024 จนถึงปัจจุบัน โดยระบบ AI นี้ใช้เทคโนโลยีที่ชื่อว่า kAIros ซึ่งรองรับทั้งภาษาอังกฤษและภาษาสเปน
ข้อมูลที่หลุดออกมามีความละเอียดอ่อนสูง ประกอบด้วย:
- ชื่อ-นามสกุล และเบอร์โทรศัพท์ของลูกค้า
- ที่อยู่บ้านพักอาศัย
- ประเภทของเครื่องใช้ไฟฟ้าที่ครอบครอง
- รายละเอียดการนัดหมายส่งสินค้าและการซ่อมแซม
| ประเภทข้อมูล | จำนวนที่ตรวจพบ | รายละเอียดสำคัญ |
|---|---|---|
| บันทึกการแชท (Chat Logs) | 3.7 ล้านรายการ | การสนทนากับ Samantha AI |
| ไฟล์เสียงและข้อความถอดเสียง | 1.4 ล้านรายการ | การบันทึกเสียงสนทนาทางโทรศัพท์ |
| ข้อมูลส่วนบุคคล | ระบุไม่ได้แน่ชัด | ชื่อ, ที่อยู่, เบอร์โทรศัพท์, รายการทรัพย์สิน |
ความเสี่ยงร้ายแรงด้านความเป็นส่วนตัว
Fowler ระบุว่าข้อมูลเหล่านี้เป็นอันตรายอย่างยิ่ง เนื่องจากสามารถนำไปใช้ใน Phishing (การหลอกลวงทางออนไลน์เพื่อขโมยข้อมูล) โดยมิจฉาชีพอาจใช้ข้อมูลเครื่องใช้ไฟฟ้าของลูกค้ามาสร้างเรื่องหลอกลวงเกี่ยวกับการรับประกันสินค้าเพื่อเข้าถึงตัวเหยื่อได้แม่นยำขึ้น
สิ่งที่น่าตกใจยิ่งกว่าคือ ไฟล์เสียงบางรายการมีการบันทึกเสียงสภาพแวดล้อมรอบตัวลูกค้าต่อเนื่องยาวนานหลายชั่วโมง แม้ว่าลูกค้าจะเข้าใจว่าการสนทนาจบลงแล้ว ทำให้เสียงกิจกรรมในบ้าน การเปิดโทรทัศน์ หรือการพูดคุยส่วนตัวถูกบันทึกไว้ทั้งหมดโดยไม่รู้ตัว
ประสิทธิภาพของ AI และเสียงสะท้อนจากผู้ใช้
นอกจากปัญหาความปลอดภัย บันทึกที่รั่วไหลยังเผยให้เห็นความล้มเหลวของระบบ AI ที่สร้างความหงุดหงิดให้กับลูกค้า หลายรายพยายามขอคุยกับเจ้าหน้าที่ที่เป็นมนุษย์แต่ถูก AI ปฏิเสธในตอนแรก โดยอ้างว่าสามารถจัดการปัญหาได้รวดเร็วกว่า แต่สุดท้าย AI กลับเกิดข้อผิดพลาดจนต้องโอนสายให้มนุษย์อยู่ดี
มีกรณีหนึ่งที่ลูกค้าถามคำถามเดิมซ้ำถึง 28 ครั้งว่า "ช่างเทคนิคของฉันอยู่ที่ไหน?" ก่อนจะระบายความโกรธด้วยการย้ำว่า "คุณเป็นแค่คอมพิวเตอร์" ซึ่งสะท้อนให้เห็นถึงช่องว่างระหว่างความคาดหวังของผู้ใช้กับความสามารถที่แท้จริงของ Generative AI ในปัจจุบัน
ข้อเท็จจริงสำคัญ
- ฐานข้อมูลรั่วไหล: พบฐานข้อมูล 3 แห่งที่เข้าถึงได้สาธารณะ บรรจุข้อมูลลูกค้าหลายล้านรายการ
- ความประมาทด้านความปลอดภัย: ข้อมูลไม่ได้ถูกเข้ารหัส (Encryption) หรือป้องกันด้วยรหัสผ่าน
- การละเมิดความเป็นส่วนตัว: มีการบันทึกเสียงรอบข้างลูกค้าหลังจบการสนทนา บางไฟล์ยาวถึง 4 ชั่วโมง
- การตอบสนองของบริษัท: Transformco (บริษัทแม่ของ Sears) ดำเนินการปิดกั้นการเข้าถึงหลังได้รับแจ้ง แต่ไม่มีการชี้แจงรายละเอียดเพิ่มเติม
คำถามที่พบบ่อย
ข้อมูลประเภทใดบ้างที่รั่วไหลจากระบบของ Sears?
ข้อมูลที่รั่วไหลประกอบด้วยชื่อ เบอร์โทรศัพท์ ที่อยู่บ้าน รายละเอียดเครื่องใช้ไฟฟ้าที่ลูกค้ามี และประวัติการนัดหมายซ่อมแซม รวมถึงไฟล์เสียงการสนทนาและบันทึกการแชท
ทำไมการรั่วไหลครั้งนี้ถึงอันตรายกว่าการหลุดของอีเมลทั่วไป?
เพราะมีข้อมูลเชิงลึกเกี่ยวกับชีวิตประจำวันและทรัพย์สินในบ้าน ซึ่งมิจฉาชีพสามารถนำไปใช้ทำ Phishing หรือสร้างสถานการณ์หลอกลวงเรื่องการรับประกันสินค้าได้อย่างแนบเนียน
ระบบ AI ของ Sears มีปัญหาด้านการใช้งานอย่างไร?
ผู้ใช้หลายรายพบว่า AI ทำงานผิดพลาด ไม่สามารถตอบคำถามได้ตรงจุด และพยายามยื้อไม่ให้ลูกค้าคุยกับเจ้าหน้าที่ที่เป็นมนุษย์จนสร้างความรำคาญ
บริษัทดำเนินการอย่างไรหลังจากทราบเรื่อง?
หลังจากที่ Jeremiah Fowler แจ้งไปยัง Transformco ทางบริษัทได้ดำเนินการปิดกั้นการเข้าถึงฐานข้อมูลดังกล่าวอย่างรวดเร็ว แต่ยังไม่มีการแถลงการณ์อย่างเป็นทางการถึงสาเหตุหรือผลกระทบ
เราสามารถป้องกันตัวเองจากเหตุการณ์ลักษณะนี้ได้อย่างไร?
ผู้เชี่ยวชาญแนะนำว่าบริษัทควรให้ทางเลือกแก่ลูกค้าในการเลือกคุยกับมนุษย์แทน AI และต้องมีตัวเลือกให้ลูกค้าปฏิเสธการบันทึกเสียงสนทนาเพื่อความปลอดภัยของข้อมูลส่วนบุคคล
