สรุปสั้น
มีผู้ไม่หวังดีออกมาอ้างว่าครอบครองและกำลังเปิดขายฐานข้อมูลลูกค้าของ Decathlon แบรนด์อุปกรณ์กีฬารายใหญ่ ซึ่งมีจำนวนราว 160 ล้านรายการ โดยฐานข้อมูลนี้ถูกประกาศขายในฟอรัมอาชญากรรมไซเบอร์ และผู้ขายระบุว่าจะรับชำระเงินผ่านสกุลเงินดิจิทัล (Cryptocurrency) ทั้งนี้ การรั่วไหลที่ถูกกล่าวอ้างยังไม่ได้รับการตรวจสอบยืนยันโดยอิสระ และทาง Decathlon ก็ยังไม่ได้ออกมายืนยันต่อสาธารณะว่าระบบหรือข้อมูลลูกค้าของบริษัทถูกเจาะแต่อย่างใด ตามโพสต์ในฟอรัม ฐานข้อมูลที่อ้างถึงประกอบด้วยข้อมูลที่ระบุตัวบุคคลได้ (PII) และข้อมูลที่เกี่ยวกับบัญชีในวงกว้าง โดยผู้ขายยังแสดงสิ่งที่ดูเหมือนตัวอย่างข้อมูลบางส่วนประกอบด้วย แต่ความถูกต้องแท้จริง ขอบเขต ความใหม่ และแหล่งที่มาของข้อมูลนั้นไม่สามารถยืนยันได้จากโพสต์เพียงอย่างเดียว จุดที่น่ากังวลที่สุดคือการอ้างว่ามีแฮชรหัสผ่าน (Password Hash) รวมอยู่ด้วย ซึ่งหากรหัสผ่านอ่อนแอ ถูกใช้ซ้ำ หรือป้องกันไม่ดีพอ ก็อาจถูกถอดรหัสได้ และเปิดทางไปสู่การโจมตีแบบยัดข้อมูลรับรอง (Credential Stuffing) และฟิชชิงที่แนบเนียนต่อไป
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 24 กรกฎาคม 2569 ว่า มีผู้ไม่หวังดีอ้างว่าครอบครองและกำลังขายฐานข้อมูลลูกค้าของ Decathlon ที่มีข้อมูลราว 160 ล้านรายการ โดยฐานข้อมูลถูกโฆษณาในฟอรัมอาชญากรรมไซเบอร์ และผู้ขายระบุว่าจะรับชำระเงินผ่านสกุลเงินดิจิทัล การรั่วไหลที่ถูกอ้างนี้ยังไม่ได้รับการตรวจสอบยืนยันโดยอิสระ และ Decathlon ยังไม่ได้ยืนยันต่อสาธารณะว่าระบบหรือข้อมูลลูกค้าถูกเจาะ ตามโพสต์ในฟอรัม ฐานข้อมูลที่อ้างถึงประกอบด้วยข้อมูลหลากหลาย ได้แก่ รหัสลูกค้า (Customer ID) ที่อยู่อีเมล แฮชรหัสผ่าน ชื่อและนามสกุล วันเกิด เบอร์โทรศัพท์ ที่อยู่ เมือง รหัสไปรษณีย์ ภูมิภาคและประเทศ สถานะบัญชี สถานะการยืนยันอีเมล ร้านค้าที่ลูกค้าชอบและข้อมูลความชอบร้านค้า ตลอดจนกีฬาที่ชื่นชอบและข้อมูลที่เกี่ยวกับการซื้อ หากข้อมูลชุดนี้เป็นของจริง ชุดข้อมูลขนาดเท่านี้อาจสร้างความกังวลด้านความเป็นส่วนตัวและความปลอดภัยให้ลูกค้า Decathlon ในหลายภูมิภาคได้อย่างมีนัยสำคัญ อย่างไรก็ตาม คำกล่าวอ้างในฟอรัมใต้ดินมักถูกพูดเกินจริง นำข้อมูลเก่ามาวนซ้ำ ปลอมแปลงขึ้น หรือประกอบขึ้นจากข้อมูลที่รั่วไหลในอดีต จึงจำเป็นต้องมีการตรวจสอบยืนยันโดยอิสระก่อนจะสรุปว่าเป็นการรั่วไหลของ Decathlon จริง
ความเสี่ยงจากข้อมูลที่ถูกกล่าวอ้าง
การอ้างว่ามีแฮชรหัสผ่านรวมอยู่ในชุดข้อมูลเป็นประเด็นสำคัญเป็นพิเศษ เนื่องจากแฮชรหัสผ่านเป็นการแทนค่ารหัสผ่านในรูปแบบเข้ารหัส ไม่ใช่รหัสผ่านแบบข้อความธรรมดา แต่รหัสผ่านที่อ่อนแอ ถูกใช้ซ้ำ หรือได้รับการป้องกันไม่ดีพอ ก็อาจถูกผู้โจมตีถอดรหัส (Crack) ได้ในบางครั้ง หากผู้โจมตีได้คู่อีเมลและรหัสผ่านที่ใช้ได้จริง พวกเขาอาจนำไปทดลองโจมตีแบบยัดข้อมูลรับรอง (Credential Stuffing) กับ Decathlon และบริการอื่นที่ไม่เกี่ยวข้อง เทคนิคนี้ใช้ประโยชน์จากการที่ผู้ใช้ตั้งรหัสผ่านซ้ำกันหลายบริการ โดยนำข้อมูลรับรองที่รั่วไหลไปทดสอบกับเว็บไซต์ยอดนิยม บริการอีเมล แพลตฟอร์มการเงิน และบัญชีโซเชียลมีเดียโดยอัตโนมัติ นอกจากนี้ ข้อมูลที่ถูกอ้างถึงยังสามารถใช้สนับสนุนแคมเปญฟิชชิงที่แนบเนียนอย่างมาก โดยผู้ไม่หวังดีอาจใช้ชื่อ ที่อยู่ ความชอบในการซื้อสินค้า และแบรนด์ Decathlon เพื่อสร้างข้อความที่ปรับแต่งเฉพาะบุคคลเพื่อหลอกขโมยข้อมูลล็อกอิน รายละเอียดการชำระเงิน หรือรหัสยืนยันตัวตนแบบหลายปัจจัย (MFA) และในกรณีที่ร้ายแรงกว่านั้น ข้อมูลส่วนบุคคลอาจเพิ่มความเสี่ยงในการฉ้อโกงตัวตน (Identity Fraud) หรือการยึดบัญชี (Account Takeover) ณ ขณะที่รายงานข่าว การรั่วไหลของฐานข้อมูล Decathlon ที่ถูกกล่าวอ้างยังคงไม่ได้รับการยืนยัน และไม่มีหลักฐานอิสระที่พิสูจน์ว่าข้อมูลที่นำมาขายมาจากระบบของ Decathlon จริง
ผลกระทบต่อไทย
Decathlon เป็นแบรนด์อุปกรณ์กีฬาที่มีสาขาและลูกค้าจำนวนมากในไทย หากการรั่วไหลนี้เป็นจริง ลูกค้าคนไทยที่เคยสมัครสมาชิกหรือซื้อสินค้าออนไลน์ก็อาจอยู่ในชุดข้อมูล 160 ล้านรายการนี้ด้วย ความเสี่ยงที่ตรงตัวที่สุดคือการที่คนไทยจำนวนมากมักตั้งรหัสผ่านซ้ำกันในหลายบริการ ทำให้หากคู่อีเมล-รหัสผ่านหลุดออกไป ก็อาจถูกนำไปยัดข้อมูลรับรองเข้าบัญชีอื่นอย่างอีเมล ธนาคาร หรือโซเชียลมีเดียได้ นอกจากนี้ ข้อมูลอย่างชื่อ เบอร์โทร ที่อยู่ และประวัติการซื้อ ยังเป็นวัตถุดิบชั้นดีให้แก๊งมิจฉาชีพและคอลเซ็นเตอร์ในไทยสร้างข้อความหลอกลวงที่อ้างชื่อร้านค้าจริงได้อย่างแนบเนียน แม้ข่าวนี้ยังไม่ได้รับการยืนยัน แต่ผู้บริโภคควรใช้เป็นโอกาสทบทวนสุขอนามัยด้านรหัสผ่านของตนเอง ขณะที่องค์กรก็ควรตระหนักว่าการรั่วไหลของแพลตฟอร์มผู้บริโภคสามารถกลายเป็นช่องทางโจมตีแบบยัดข้อมูลรับรองต่อระบบองค์กรได้ หากพนักงานใช้รหัสผ่านเดียวกัน
คำแนะนำ
จนกว่าคำกล่าวอ้างจะได้รับการยืนยันหรือปฏิเสธ ลูกค้าควรดำเนินการป้องกันไว้ก่อน โดยเปลี่ยนรหัสผ่านบัญชี Decathlon โดยเฉพาะหากใช้รหัสผ่านนั้นซ้ำกับบริการอื่น ควรใช้รหัสผ่านที่ไม่ซ้ำใครและยาว สร้างและจัดเก็บผ่านโปรแกรมจัดการรหัสผ่าน (Password Manager) และเปิดใช้การยืนยันตัวตนแบบหลายปัจจัยทุกที่ที่ทำได้ นอกจากนี้ควรตรวจสอบรายละเอียดบัญชี ประวัติการสั่งซื้อ และวิธีชำระเงินที่ผูกไว้ว่ามีความเคลื่อนไหวผิดปกติหรือไม่ ระวังอีเมล SMS หรือสายโทรศัพท์ที่ไม่พึงประสงค์ซึ่งอ้างว่ามาจาก Decathlon และห้ามให้รหัสผ่าน รหัสยืนยันครั้งเดียว (OTP) หรือข้อมูลธนาคารผ่านลิงก์ที่ได้รับในข้อความที่ไม่คาดคิดเด็ดขาด รวมถึงเฝ้าระวังการแจ้งเตือนรีเซ็ตรหัสผ่านที่ตนเองไม่ได้เป็นผู้ร้องขอ สำหรับองค์กร ควรย้ำเตือนพนักงานไม่ให้นำข้อมูลรับรองขององค์กรไปใช้ซ้ำบนแพลตฟอร์มสำหรับผู้บริโภค เพราะการรั่วไหลของข้อมูลผู้บริโภคที่ถูกกล่าวอ้างอาจกลายเป็นเส้นทางสู่การโจมตีแบบยัดข้อมูลรับรองระดับองค์กรได้