สรุปสั้น

SplitVPN ผู้ให้บริการ VPN สัญชาติรัสเซียที่เดิมใช้ชื่อ NotVPN ถูกละเมิดข้อมูลครั้งใหญ่ ทำให้ระเบียนส่วนบุคคลของผู้ใช้ราว 865,000 รายหลุดออกสู่ภายนอก บริการติดตามการรั่วไหลอย่าง Have I Been Pwned ระบุว่าเหตุการณ์เกิดขึ้นเมื่อวันที่ 21 กรกฎาคม 2569 และชุดข้อมูลถูกเพิ่มเข้าฐานข้อมูลของบริการเมื่อวันที่ 1 สิงหาคม 2569 โดยยืนยันจำนวนบัญชีที่ได้รับผลกระทบไว้ที่ 865,336 บัญชี ต้นทางของข้อมูลคือฐานข้อมูล SQL ขนาด 17 กิกะไบต์ที่ผู้ก่อเหตุเริ่มนำไปแจกจ่ายบนฟอรัมอาชญากรรมไซเบอร์ชื่อ Altenen พร้อมอ้างว่าขโมยมาจากโครงสร้างพื้นฐานของ SplitVPN โดยตรง

นักวิจัยจากบริษัท Mysterium ได้ชุดข้อมูลมาตรวจสอบและยืนยันว่าภายในมีระเบียนผู้ใช้ราว 23.4 ล้านรายการ ระเบียนอุปกรณ์ 13.6 ล้านรายการ ระเบียนการชำระเงิน 2.6 ล้านรายการ และล็อกการเชื่อมต่ออีกเกือบ 58 ล้านรายการ ประเด็นที่ทำให้เหตุการณ์นี้หนักกว่าการรั่วไหลทั่วไปคือ SplitVPN ในยุคที่ยังใช้ชื่อ NotVPN โฆษณาไว้ชัดเจนว่า “ไม่เก็บล็อกหรือประวัติ” พร้อมคำมั่นว่า “รับประกันความเป็นส่วนตัว 100 เปอร์เซ็นต์” แต่ข้อมูลที่หลุดกลับมีตารางที่บันทึกการเชื่อมต่อระหว่างอุปกรณ์กับเซิร์ฟเวอร์เอาไว้จริง

ฐานผู้ใช้ที่ได้รับผลกระทบกระจุกตัวอยู่ในรัสเซีย อิหร่าน อินเดีย และเมียนมา ซึ่งล้วนเป็นประเทศที่การใช้ VPN มักผูกกับการหลบเลี่ยงการปิดกั้นอินเทอร์เน็ตของรัฐ ทำให้ข้อมูลเมทาดาทาการเชื่อมต่อที่หลุดออกมามีน้ำหนักมากกว่าข้อมูลรั่วทั่วไป เพราะอาจชี้ตัวผู้ที่พึ่งพาบริการนี้เพื่อเลี่ยงการสอดส่องของรัฐได้ ทั้งนี้ข้อมูลจำนวนและรายละเอียดทั้งหมดมาจากการตรวจสอบของนักวิจัยและบริการติดตามการรั่วไหล ยังไม่มีคำชี้แจงต่อสาธารณะจาก SplitVPN และยังไม่มีการเปิดเผยว่าผู้ก่อเหตุเข้าถึงฐานข้อมูลด้วยวิธีใด

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 2 สิงหาคม พ.ศ. 2569 ว่า SplitVPN ถูกละเมิดข้อมูลในเดือนกรกฎาคม 2569 จนระเบียนลูกค้าหลายล้านรายการหลุดออกมา ซึ่งรวมถึงที่อยู่อีเมลที่ไม่ซ้ำกัน 865,300 รายการ ตัวเลขนี้สอดคล้องกับข้อมูลของ Have I Been Pwned ที่บันทึกวันเกิดเหตุไว้ที่ 21 กรกฎาคม 2569 และยืนยันบัญชีที่ได้รับผลกระทบ 865,336 บัญชีเมื่อเพิ่มชุดข้อมูลเข้าระบบในวันที่ 1 สิงหาคม 2569

การรั่วไหลในภาพกว้างมีรายงานว่ามีต้นทางจากฐานข้อมูล SQL ขนาด 17 กิกะไบต์ ซึ่งผู้ก่อเหตุนำไปเผยแพร่บนฟอรัมอาชญากรรมไซเบอร์ชื่อ Altenen โดยอ้างว่าได้มาจากระบบของ SplitVPN โดยตรง ต่อมานักวิจัยจากบริษัท Mysterium ได้ชุดข้อมูลนั้นมาตรวจสอบและยืนยันความถูกต้อง พบว่าประกอบด้วยระเบียนผู้ใช้ประมาณ 23.4 ล้านรายการ ระเบียนอุปกรณ์ 13.6 ล้านรายการ ระเบียนการชำระเงิน 2.6 ล้านรายการ และล็อกการเชื่อมต่อเกือบ 58 ล้านรายการ

จุดที่ควรระวังในการตีความข่าวนี้คือ ตัวเลขและรายละเอียดเกือบทั้งหมดมาจากการตรวจสอบชุดข้อมูลโดยบุคคลที่สาม ไม่ใช่จากคำแถลงของผู้ให้บริการ ณ เวลาที่รายงาน ยังไม่มีคำชี้แจงต่อสาธารณะจาก SplitVPN ว่ายอมรับเหตุการณ์หรือไม่ ไม่มีการเปิดเผยช่องทางที่ผู้ก่อเหตุใช้เข้าถึงฐานข้อมูล ไม่มีการระบุตัวผู้ก่อเหตุ และยังไม่มีข้อมูลว่ามีการแจ้งเตือนผู้ใช้ที่ได้รับผลกระทบโดยตรงหรือยัง ผู้ใช้จึงต้องพึ่งบริการตรวจสอบการรั่วไหลของบุคคลที่สามเป็นหลักเพื่อรู้ว่าตัวเองอยู่ในชุดข้อมูลหรือไม่

รายละเอียดข้อมูลที่รั่วไหล

นอกเหนือจากอีเมลซึ่งเป็นตัวเลขพาดหัว ชุดข้อมูลที่หลุดยังมีหมายเลข IP ของผู้ใช้ ประเทศที่พำนัก และข้อมูลบัตรชำระเงินบางส่วน คือเลขหกหลักแรกและสี่หลักท้ายพร้อมวันหมดอายุของบัตร ส่วนฟิลด์อื่นที่มีรายงานว่าอยู่ในฐานข้อมูลชุดใหญ่ ได้แก่ ตัวระบุอุปกรณ์ ตำแหน่งทางภูมิศาสตร์โดยประมาณ สถานะการสมัครสมาชิก และโทเคนสำหรับตัดเงินอัตโนมัติรอบถัดไป ข้อดีอย่างเดียวคือหมายเลขบัตรเครดิตเต็มใบไม่ได้หลุดออกมา เพราะข้อมูลการชำระเงินในฐานข้อมูลถูกปิดบังเหลือเพียงรหัสประจำธนาคารผู้ออกบัตรกับเลขสี่หลักท้ายเท่านั้น

ประเด็นที่สร้างความเสียหายมากที่สุดกลับไม่ใช่ข้อมูลบัตร แต่เป็นตารางที่บันทึกการเชื่อมต่อระหว่างอุปกรณ์กับเซิร์ฟเวอร์ ซึ่งมีรายงานว่ามีเกือบ 58 ล้านรายการ ครอบคลุมช่วงเวลาตั้งแต่เดือนมิถุนายน 2568 จนถึงวันที่ 21 กรกฎาคม 2569 ซึ่งเป็นวันเดียวกับที่ชุดข้อมูลถูกขโมยออกไป ล็อกเหล่านี้ไม่ได้เก็บว่าผู้ใช้เปิดเว็บไซต์ใดหรือไปที่ปลายทางไหน แต่มันเชื่อมโยงอุปกรณ์และบัญชีเข้ากับเซิร์ฟเวอร์ VPN เครื่องใดเครื่องหนึ่งที่เวลาแน่นอนได้ ซึ่งเพียงพอจะทำลายความไม่ระบุตัวตนที่ผู้ใช้คาดหวังจากบริการประเภทนี้ และการที่ประทับเวลาต่อเนื่องมาจนถึงวันเกิดเหตุยังบ่งชี้ว่าบริการยังคงเขียนล็อกการเชื่อมต่อเหล่านี้อยู่จริงจนถึงวินาทีสุดท้าย ทั้งที่โฆษณาว่าไม่เก็บล็อก

ผลกระทบ

กลุ่มที่เสี่ยงที่สุดคือผู้ใช้ในประเทศที่การใช้ VPN ผูกกับการหลบเลี่ยงการปิดกั้นหรือการสอดส่องของรัฐ ซึ่งรายงานระบุว่าฐานผู้ใช้ของบริการนี้กระจุกอยู่ในรัสเซีย อิหร่าน อินเดีย และเมียนมา สำหรับคนกลุ่มนี้ ความเสียหายไม่ได้จบที่อีเมลหรือข้อมูลบัตร แต่คือเมทาดาทาที่ผูกบัญชีและอุปกรณ์เข้ากับช่วงเวลาการเชื่อมต่อ ซึ่งเมื่อนำไปประกอบกับข้อมูลจากแหล่งอื่น เช่น หมายเลข IP ต้นทางที่ผู้ให้บริการอินเทอร์เน็ตในประเทศถืออยู่ ก็อาจใช้ระบุตัวบุคคลได้ ความเสี่ยงจึงไม่ใช่เรื่องการเงินอย่างเดียว แต่เป็นเรื่องความปลอดภัยส่วนบุคคลของผู้ใช้ในประเทศที่เสรีภาพอินเทอร์เน็ตถูกจำกัด

ในแง่บทเรียนของทั้งอุตสาหกรรม เหตุการณ์นี้เป็นหลักฐานอีกชิ้นว่าคำโฆษณา “ไม่เก็บล็อก” เป็นเพียงคำกล่าวอ้างที่ผู้ใช้ตรวจสอบเองไม่ได้ จนกว่าจะมีเหตุแบบนี้เกิดขึ้นและมีคนได้ฐานข้อมูลจริงมาเปิดดู ผู้ให้บริการที่ผ่านการตรวจสอบอิสระ (independent audit) หรือใช้สถาปัตยกรรมที่ไม่มีดิสก์เก็บข้อมูลถาวรเท่านั้นจึงจะมีอะไรให้ผู้ใช้ยึดได้มากกว่าข้อความบนหน้าเว็บ

สำหรับผู้ใช้ทั่วไปที่ไม่ได้อยู่ในกลุ่มเสี่ยงสูง ความเสี่ยงเฉพาะหน้าคืออีเมลและหมายเลข IP ที่หลุดจะถูกนำไปใช้ทำฟิชชิงที่น่าเชื่อถือขึ้น เพราะผู้โจมตีรู้ว่าเหยื่อเคยใช้บริการ VPN ตัวไหน และข้อมูลบัตรบางส่วนกับโทเคนตัดเงินอัตโนมัติก็เพียงพอจะทำให้ข้อความหลอกลวงเรื่องการต่ออายุสมาชิกดูสมจริง

คำแนะนำ

  • ผู้ที่เคยใช้ NotVPN หรือ SplitVPN ควรถือว่าอีเมลและหมายเลข IP ที่ผูกกับบัญชีรั่วไปแล้ว และตรวจสอบสถานะการเปิดรับความเสี่ยงของตัวเองผ่านบริการแจ้งเตือนการรั่วไหล เช่น Have I Been Pwned
  • เปลี่ยนรหัสผ่านทุกบัญชีที่เคยใช้รหัสผ่านซ้ำกับบัญชี VPN ทันที และเปิดการยืนยันตัวตนสองขั้นตอนทุกที่ที่ทำได้
  • ตรวจรายการเดินบัญชีและใบแจ้งยอดบัตรย้อนหลัง โดยเฉพาะรายการตัดเงินอัตโนมัติที่อาจถูกกระตุ้นด้วยโทเคนตัดเงินที่หลุดออกไป และพิจารณาแจ้งธนาคารออกบัตรใหม่หากพบความผิดปกติ
  • ระวังอีเมลหรือข้อความที่อ้างอิงถึงการใช้งาน VPN การต่ออายุสมาชิก หรือการคืนเงิน เพราะข้อมูลที่หลุดเพียงพอให้ผู้โจมตีสร้างข้อความหลอกลวงที่เจาะจงและน่าเชื่อถือได้
  • ผู้ที่ใช้ VPN เพื่อความปลอดภัยส่วนบุคคลในประเทศที่มีการปิดกั้นอินเทอร์เน็ต ควรประเมินว่าช่วงเวลาที่ตนเชื่อมต่ออยู่ในกรอบมิถุนายน 2568 ถึงกรกฎาคม 2569 หรือไม่ และพิจารณาเปลี่ยนไปใช้บริการที่ผ่านการตรวจสอบอิสระหรือใช้สถาปัตยกรรมแบบไม่เขียนลงดิสก์
  • อย่าเลือกผู้ให้บริการ VPN จากคำโฆษณา “ไม่เก็บล็อก” เพียงอย่างเดียว ให้ดูรายงานการตรวจสอบจากบุคคลที่สาม เขตอำนาจศาลที่จดทะเบียน และประวัติการเปิดเผยเหตุการณ์ด้านความปลอดภัยประกอบด้วย

แหล่งอ้างอิง