สรุปสั้น
บริษัท Origin Energy ผู้ค้าปลีกพลังงานรายใหญ่ที่สุดของออสเตรเลียซึ่งให้บริการไฟฟ้า ก๊าซธรรมชาติ และอินเทอร์เน็ตบรอดแบนด์แก่ลูกค้าหลายล้านรายทั่วประเทศ ออกมายืนยันแล้วว่าถูกผู้ไม่หวังดีที่ยังไม่ทราบตัวตนเจาะระบบ และทำให้ข้อมูลที่ระบุตัวบุคคลได้ (Personally Identifiable Information — PII) ของลูกค้ารั่วไหลออกไป โดยบริษัทมีฐานลูกค้าราว 4.8 ล้านราย และขณะนี้กำลังตรวจสอบว่ามีลูกค้ากี่รายที่ได้รับผลกระทบเพื่อแจ้งเตือนเป็นรายบุคคล ข้อมูลที่หลุดออกไปครอบคลุมทั้งชื่อ-นามสกุลเต็ม ที่อยู่ วันเกิด เบอร์โทรศัพท์ ข้อมูลบัญชี ตลอดจนเลขบัตรเครดิต 4 หลักท้ายและเลขบัญชีธนาคาร 3 หลักท้าย แม้บริษัทยืนยันว่าข้อมูลการเงินที่หลุดนั้น “ไม่สมบูรณ์” และไม่สามารถนำไปยึดบัญชีหรือหักเงินได้ก็ตาม เหตุการณ์ยิ่งรุนแรงขึ้นเมื่อมีแฮ็กเกอร์ที่ใช้ชื่อว่า “John Doe” ออกมาอ้างว่าถือข้อมูลลูกค้าถึง 2 ล้านราย พร้อมตั้งเว็บไซต์ขู่จะปล่อยข้อมูลภายใน 2 สัปดาห์หากบริษัทไม่ยอมติดต่อเจรจาผ่านแอปพลิเคชัน Signal ทาง Origin Energy ได้แจ้งเหตุต่อตำรวจสหพันธรัฐออสเตรเลีย (AFP) ศูนย์ความมั่นคงไซเบอร์ออสเตรเลีย และสำนักงานคณะกรรมการข้อมูลข่าวสารออสเตรเลียแล้ว
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 23 กรกฎาคม 2569 ว่า บริษัท Origin Energy ได้ยืนยันการถูกละเมิดข้อมูล (Data Breach) โดยผู้ไม่หวังดีที่ยังไม่ทราบตัวตน ซึ่งทำให้ข้อมูลส่วนบุคคลของลูกค้ารั่วไหลออกไป บริษัท Origin Energy เป็นผู้ค้าปลีกพลังงานรายใหญ่ที่สุดของออสเตรเลีย มีลูกค้าราว 4.8 ล้านราย จดทะเบียนในตลาดหลักทรัพย์ ASX มีรายได้ต่อปีราว 8.5 พันล้านดอลลาร์ และถือหุ้น 20% ในบริษัท Octopus ผู้ค้าปลีกพลังงานหมุนเวียนของอังกฤษ ก่อนหน้านี้หนึ่งวัน บริษัทเพิ่งประกาศว่าได้เริ่มการสอบสวน “เหตุการณ์ด้านความปลอดภัยที่อาจเกิดขึ้น ซึ่งอาจเกี่ยวข้องกับการเข้าถึงข้อมูลของลูกค้าบางรายโดยไม่ได้รับอนุญาต” ต่อมาบริษัทได้ออกประกาศฉบับใหม่ยืนยันการรั่วไหล พร้อมระบุประเภทข้อมูลที่อาจถูกเปิดเผย ได้แก่ ชื่อ-นามสกุลเต็ม ที่อยู่ วันเกิด เบอร์โทรศัพท์ ข้อมูลบัญชี เลขบัตรเครดิต 4 หลักท้าย และเลขบัญชีธนาคาร 3 หลักท้าย นาย Frank Calabria ประธานเจ้าหน้าที่บริหารของ Origin ได้ออกมาขอโทษลูกค้าที่ข้อมูลอ่อนไหวถูกเปิดเผย และยืนยันว่าบริษัทกำลังดำเนินการเพื่อสกัดการเข้าถึงโดยไม่ได้รับอนุญาตเพิ่มเติม พร้อมทั้งติดต่อลูกค้าที่ได้รับผลกระทบโดยตรงและเสนอความช่วยเหลือผ่านพอร์ทัลเฉพาะ
รายละเอียดการรั่วไหลและการขู่กรรโชก
สื่อท้องถิ่น 7news รายงานว่า ก่อนที่ Origin Energy จะออกแถลงการณ์ฉบับที่สอง มีผู้ไม่หวังดีที่แอบอ้างตัวเป็น “John Doe” ได้ติดต่อไปยังสื่อเพื่ออ้างความรับผิดชอบต่อการเจาะระบบครั้งนี้ โดยผู้ก่อเหตุอ้างว่าถือข้อมูลลูกค้าของ Origin จำนวนถึง 2 ล้านราย และอ้างว่าเคยพยายามติดต่อทั้งทีมความปลอดภัย ฝ่ายบริการลูกค้า ตลอดจนผู้บริหารระดับคณะกรรมการบริษัทแล้ว แต่ไม่ได้รับการตอบกลับ จากนั้นแฮ็กเกอร์รายนี้จึงตั้งเว็บไซต์ขึ้นมาเพื่อข่มขู่ว่าจะปล่อยข้อมูลที่ขโมยมาภายใน 2 สัปดาห์ หากบริษัทไม่ยอมติดต่อเจรจาผ่านแอปพลิเคชัน Signal ซึ่งเป็นรูปแบบการข่มขู่กรรโชก (Extortion) ที่พบได้บ่อยในเหตุการณ์ลักษณะนี้ ทั้งนี้ บริษัทระบุว่ารายละเอียดทางการเงินที่หลุดออกไปนั้นเป็นข้อมูลที่ไม่สมบูรณ์ (แสดงเพียงเลขบางส่วน) จึงไม่สามารถนำไปใช้ยึดบัญชีหรือหักเงินจากบัญชีธนาคารของลูกค้าได้โดยตรง อย่างไรก็ตาม ข้อมูล PII ที่ครบถ้วนอย่างชื่อ ที่อยู่ วันเกิด และเบอร์โทรศัพท์ ยังคงเป็นวัตถุดิบชั้นดีสำหรับการฟิชชิงและการสวมรอย
อัปเดต (28 กรกฎาคม 2569): เว็บไซต์ SecurityWeek รายงานเพิ่มเติมว่า Origin Energy ได้ยืนยันแล้วว่าเหตุการณ์นี้กระทบลูกค้าทั้งปัจจุบันและอดีตรวม 900,000 ราย จากฐานลูกค้าราว 4.8 ล้านราย โดยบริษัทระบุว่าได้เริ่มสอบสวน “ภัยคุกคามด้านความปลอดภัยที่อาจเกิดขึ้น” มาตั้งแต่ต้นเดือนกรกฎาคม แต่ข้อมูลในตอนแรกบ่งชี้ว่าภัยดังกล่าวไม่น่าเชื่อถือ กระทั่งมีข้อมูลใหม่ปรากฏเมื่อวันที่ 22 กรกฎาคมจึงยืนยันการบุกรุกได้ ที่น่าสนใจคือผู้ที่อ้างว่าอยู่เบื้องหลังการเจาะระบบซึ่งเดิมขู่จะปล่อยข้อมูลลูกค้า 2 ล้านรายหากบริษัทไม่จ่ายค่าไถ่ ต่อมากลับให้สัมภาษณ์กับสื่อ The Australian ว่าได้บรรลุข้อตกลงกับ Origin แล้วและจะไม่มีการปล่อยข้อมูล แต่ทาง Origin Energy ไม่ได้กล่าวถึงการบรรลุข้อตกลงใด ๆ กับผู้โจมตี โดยนาย Frank Calabria ประธานเจ้าหน้าที่บริหาร ระบุเพียงว่า “นี่เป็นคดีอาญาที่อยู่ระหว่างการสอบสวนของหน่วยงานที่เกี่ยวข้อง ทำให้เราถูกจำกัดในระดับข้อมูลที่สามารถเปิดเผยได้ในขณะนี้” ทั้งนี้ Origin ยอมรับว่าแม้ข้อมูลที่ถูกขโมยจะไม่ถูกเปิดเผยต่อสาธารณะ ผู้ไม่หวังดีรายอื่นก็ยังอาจฉวยโอกาสจากเหตุการณ์นี้ไปใช้หลอกลวงได้
ผลกระทบต่อไทย
แม้ Origin Energy จะให้บริการเฉพาะในออสเตรเลียและไม่มีลูกค้าโดยตรงในไทย แต่เหตุการณ์นี้สะท้อนความเสี่ยงที่ตรงกับบริบทของไทยอย่างยิ่ง โดยเฉพาะกลุ่มผู้ให้บริการโครงสร้างพื้นฐานสำคัญอย่างการไฟฟ้า การประปา และผู้ให้บริการพลังงาน/อินเทอร์เน็ต ที่ถือครองข้อมูล PII ของประชาชนจำนวนมหาศาลเช่นเดียวกัน ข้อมูลชุดที่หลุดออกไป — ชื่อ ที่อยู่ วันเกิด เบอร์โทร — คือชุดข้อมูลเดียวกับที่แก๊งคอลเซ็นเตอร์และมิจฉาชีพในไทยต้องการมากที่สุด เพราะสามารถนำไปสร้างข้อความฟิชชิงหรือโทรหลอกลวงที่แนบเนียนได้ทันที ผู้ที่ตกเป็นเหยื่ออาจถูกอ้างชื่อบริษัทพลังงานจริงเพื่อหลอกให้ชำระค่าบริการปลอมหรือกดลิงก์อันตราย นอกจากนี้ รูปแบบการข่มขู่ปล่อยข้อมูลเพื่อบีบให้จ่ายเงิน (Data Extortion) กำลังเป็นภัยคุกคามที่องค์กรไทยเผชิญเพิ่มขึ้น การเตรียมแผนรับมือเหตุข้อมูลรั่วและแนวทางสื่อสารกับผู้ที่ได้รับผลกระทบตามหลัก PDPA จึงเป็นสิ่งที่ทุกองค์กรควรวางไว้ล่วงหน้า
คำแนะนำ
สำหรับลูกค้าที่อาจได้รับผลกระทบ ควรระวังอีเมล SMS หรือสายโทรศัพท์ที่อ้างชื่อบริษัทพลังงานหรือหน่วยงานที่เกี่ยวข้อง โดยเฉพาะข้อความที่เร่งให้กดลิงก์ ชำระเงิน หรือให้ข้อมูลเพิ่มเติม เพราะผู้โจมตีมีข้อมูลส่วนตัวจริงในมือที่ทำให้การหลอกลวงดูน่าเชื่อถือ ควรเปลี่ยนรหัสผ่านบัญชีที่เกี่ยวข้องและเปิดใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) รวมถึงเฝ้าระวังความเคลื่อนไหวผิดปกติในบัญชีธนาคารและบัตรเครดิต สำหรับองค์กรที่ถือครองข้อมูล PII จำนวนมาก ควรทบทวนการควบคุมสิทธิ์การเข้าถึงข้อมูลลูกค้า จำกัดการเข้าถึงตามความจำเป็น (Least Privilege) เข้ารหัสข้อมูลอ่อนไหวทั้งขณะจัดเก็บและส่งผ่าน ตรวจจับการดึงข้อมูลปริมาณมากผิดปกติ (Data Exfiltration) และเตรียมแผนตอบสนองเหตุการณ์รวมถึงแนวทางสื่อสารกับผู้ได้รับผลกระทบไว้ล่วงหน้า ที่สำคัญ องค์กรไม่ควรเพิกเฉยต่อการติดต่อจากผู้พบช่องโหว่หรือผู้แจ้งเหตุ เพราะการไม่ตอบสนองอาจถูกใช้เป็นข้ออ้างในการเปิดเผยข้อมูลต่อสาธารณะดังเช่นกรณีนี้