สรุปสั้น

บริษัท Trezor ผู้ผลิตกระเป๋าเงินคริปโตเคอร์เรนซีแบบฮาร์ดแวร์ แจ้งเหตุข้อมูลลูกค้ารั่วที่กระทบผู้ใช้เกือบ 14,000 ราย หลังบริษัท ShipMonk ซึ่งเป็นผู้ให้บริการขนส่งและโลจิสติกส์ของตนถูกแฮ็ก โดยผู้โจมตีเข้าถึงข้อมูลคำสั่งซื้อของลูกค้าที่ประกอบด้วยชื่อเต็ม ที่อยู่จัดส่ง ที่อยู่อีเมล และหมายเลขโทรศัพท์

ตามที่บริษัทอธิบายในบล็อกเมื่อวันพฤหัสบดี เหตุการณ์นี้กระทบลูกค้าจากสหรัฐอเมริกา สหราชอาณาจักร สวีเดน โคลอมเบีย บราซิล อิตาลี และโปรตุเกส ที่ได้รับพัสดุระหว่างวันที่ 10 พฤษภาคมถึง 8 สิงหาคม 2569 โดยแบ่งเป็นลูกค้า 11,742 รายที่ข้อมูลหลุดเต็มชุด และอีก 1,947 รายที่หลุดเพียงบางส่วนคือชื่อ เมือง และอีเมล ทั้งนี้ Trezor ยืนยันว่าการดำเนินงานและบริการของตนไม่ได้รับผลกระทบ ระบบของตนไม่ถูกเจาะ และอุปกรณ์ Trezor ทุกเครื่องยังปลอดภัย

ส่วนต้นทางของเหตุนั้นเชื่อมกลับไปยังช่องโหว่ที่เว็บไซต์ Cloud Thunder เคยรายงานไว้แล้ว เพราะในอีเมลแจ้งเหตุที่ ShipMonk ส่งถึงลูกค้าของตน บริษัทระบุว่าผู้โจมตีใช้ช่องโหว่ในแพลตฟอร์มวิเคราะห์ข้อมูลของบุคคลที่สามชื่อ Metabase เป็นทางเข้า ซึ่งเป็นซีโรเดย์ประเภท SQL injection ระดับ CVSS 10.0 ที่ถูกใช้โจมตีจริง นอกจากนี้ BleepingComputer ยังทราบมาว่า ShipMonk ได้รับอีเมลข่มขู่เรียกค่าไถ่จากกลุ่มรีดไถ ShinyHunters ด้วย

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 13 สิงหาคม 2569 ว่า บริษัท Trezor ผู้ผลิตกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ ได้แจ้งเหตุข้อมูลรั่วที่กระทบลูกค้าเกือบ 14,000 ราย หลังผู้ให้บริการขนส่งของตนถูกแฮ็ก

Trezor discloses data breach affecting nearly 14,000 customers

ไทม์ไลน์ที่บริษัทให้ไว้ระบุว่า “เมื่อวันจันทร์ที่ 10 สิงหาคม 2569 หนึ่งในผู้ให้บริการขนส่งของเรา คือ ShipMonk แจ้งเราว่ามีการเข้าถึงระบบของพวกเขาที่บรรจุข้อมูลลูกค้าโดยไม่ได้รับอนุญาต” พร้อมระบุตัวเลขว่า “เหตุการณ์นี้กระทบลูกค้า 11,742 รายที่ข้อมูลถูกเปิดเผยเต็มชุด (ชื่อ อีเมล หมายเลขโทรศัพท์ ที่อยู่จัดส่ง) และลูกค้า 1,947 รายที่ถูกเปิดเผยบางส่วน (ชื่อ เมือง อีเมล)”

สิ่งที่ Trezor ย้ำหนักแน่นที่สุดคือขอบเขตของความเสียหาย โดยบริษัทระบุว่า “ขอให้ชัดเจนว่าระบบของเราไม่ถูกเจาะ และอุปกรณ์ Trezor ของคุณยังปลอดภัย แต่ลูกค้าที่ได้รับผลกระทบอาจตกเป็นเป้าของความพยายามฟิชชิงที่แนบเนียนขึ้น” พร้อมเตือนว่า “มิจฉาชีพสามารถใช้ข้อมูลที่รั่วไปส่งอีเมลปลอม โทรศัพท์ปลอม ส่งจดหมายหลอกลวง หรืออาจสวมรอยเป็นธนาคาร ตลาดแลกเปลี่ยนคริปโต หรือแม้แต่ Trezor เอง” ทั้งนี้ BleepingComputer ระบุว่าติดต่อโฆษกของ Trezor เพื่อขอข้อมูลเพิ่มเติมแล้วแต่ยังไม่ได้รับการตอบกลับในทันที

รายละเอียดที่สำคัญที่สุดของข่าวนี้ไม่ได้อยู่ในคำแถลงของ Trezor แต่อยู่ในอีเมลแจ้งเหตุที่ ShipMonk ส่งถึงลูกค้าของตนเองซึ่ง BleepingComputer ได้อ่าน โดย ShipMonk ระบุว่า “เมื่อวันที่ 6 สิงหาคม 2569 Metabase แจ้งเราว่ามีบุคคลที่ไม่ได้รับอนุญาตใช้ช่องโหว่ในซอฟต์แวร์ของ Metabase เพื่อเข้าถึงข้อมูลที่เกี่ยวข้องกับบัญชีของคุณและลูกค้าของคุณ” และเสริมว่า “จากคำชี้แจงของผู้ให้บริการ เราเข้าใจว่าผู้ให้บริการได้ปิดช่องโหว่และยกเลิกเซสชันที่ยังใช้งานอยู่ทั้งหมดแล้ว เราได้เริ่มการตรวจสอบเชิงเทคนิคอย่างละเอียดโดยมีผู้เชี่ยวชาญด้านไอทีจากภายนอกช่วยด้วย”

ช่องโหว่ที่ ShipMonk พูดถึงคือตัวเดียวกับที่เว็บไซต์ Cloud Thunder รายงานไว้ในโพสต์ 2026/08/050 ซึ่ง Metabase เปิดเผยว่าเป็นซีโรเดย์ประเภท SQL injection ระดับความรุนแรงสูงสุด เปิดทางให้ผู้โจมตีได้สิทธิ์ผู้ดูแลระบบบนอินสแตนซ์ของลูกค้าโดยไม่ต้องล็อกอิน แล้วใช้สิทธิ์นั้นดูดข้อมูลออกไป รายชื่อองค์กรที่ได้รับผลกระทบจากช่องโหว่เดียวกันนี้ยังรวมถึงผู้ผลิตโน้ตบุ๊ก Framework และผู้ให้บริการสร้างแบบฟอร์มออนไลน์ Tally ซึ่งต่างก็แจ้งลูกค้าเรื่องข้อมูลรั่วหลังอินสแตนซ์ Metabase ของตนถูกยึด

อีกข้อมูลที่ BleepingComputer เพิ่มเข้ามาคือ ShipMonk ได้รับอีเมลข่มขู่เรียกค่าไถ่จากกลุ่มรีดไถ ShinyHunters ซึ่งเป็นรูปแบบที่คุ้นเคยของกลุ่มนี้ คือเข้าถึงข้อมูลผ่านช่องทางของบุคคลที่สาม แล้วใช้ข้อมูลที่ได้เป็นเครื่องมือต่อรองกับองค์กรที่ถือข้อมูลนั้นอยู่ อย่างไรก็ตามยังไม่มีการยืนยันว่ากลุ่มนี้เป็นผู้ลงมือใช้ช่องโหว่ Metabase เองหรือเพียงได้ข้อมูลมาต่อ

เหตุการณ์ที่เกี่ยวข้องและประวัติของ Trezor

นี่ไม่ใช่ครั้งแรกที่ข้อมูลลูกค้าของ Trezor รั่วผ่านผู้ให้บริการภายนอก บริษัทเคยแจ้งเหตุลักษณะเดียวกันเมื่อเดือนมกราคม 2567 หลังผู้โจมตีเข้าถึงพอร์ทัลระบบตั๋วสนับสนุนลูกค้าของบุคคลที่สาม ซึ่งครั้งนั้นผู้ใช้ 66,000 รายที่เคยติดต่อฝ่ายสนับสนุนของ Trezor ตั้งแต่เดือนธันวาคม 2564 อาจถูกเปิดเผยชื่อ ชื่อผู้ใช้ และที่อยู่อีเมล

สิ่งที่เกิดขึ้นหลังเหตุการณ์ครั้งนั้นคือบทเรียนที่ตรงกับสถานการณ์ปัจจุบันที่สุด เพราะ Trezor ยืนยันในภายหลังว่าผู้โจมตีนำข้อมูลที่ขโมยไปใช้เปิดปฏิบัติการฟิชชิง โดยพยายามหลอกให้ผู้รับเปิดเผยชุดคำกู้คืน 24 คำที่ได้รับตอนตั้งค่ากระเป๋าเงิน ซึ่งเป็นข้อมูลชิ้นเดียวที่ทำให้ผู้โจมตีย้ายสินทรัพย์ออกจากกระเป๋าได้จริง เว็บไซต์ Cloud Thunder เคยรายงานมัลแวร์ที่เล็งชุดคำกู้คืนของผู้ใช้ Trezor และ Ledger โดยเฉพาะไว้ในโพสต์ 2026/07/155 ด้วย

รูปแบบเดียวกันนี้ยังปรากฏกับผู้ผลิตฮาร์ดแวร์รายอื่นในสัปดาห์เดียวกัน โดยบริษัท Valve ผู้ให้บริการแพลตฟอร์มจัดจำหน่ายเกม ได้แจ้งลูกค้าที่ซื้อฮาร์ดแวร์ Steam ในยุโรปเมื่อวันจันทร์ว่าแฮ็กเกอร์ขโมยข้อมูลของพวกเขาไป หลังบริษัท CEVA Logistics ซึ่งเป็นพันธมิตรด้านการขนส่งถูกแฮ็ก จุดร่วมของทั้งสองกรณีคือข้อมูลไม่ได้รั่วจากผู้ผลิต แต่รั่วจากบริษัทที่ทำหน้าที่ส่งของถึงมือลูกค้า

ผลกระทบ

ความเสี่ยงที่แท้จริงของเหตุการณ์นี้ไม่ได้อยู่ที่คริปโตในกระเป๋าถูกขโมยโดยตรง เพราะข้อมูลที่รั่วไม่มีชิ้นใดใช้เข้าถึงสินทรัพย์ได้เลย แต่อยู่ที่ข้อมูลชุดนี้บอกอย่างชัดเจนว่า ใครเป็นเจ้าของกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ และเขาอยู่ที่ไหน ซึ่งเป็นการจับคู่ที่อันตรายกว่าฐานข้อมูลอีเมลทั่วไปมาก การมีอุปกรณ์ประเภทนี้เป็นเครื่องบ่งชี้โดยตัวมันเองว่าเจ้าของถือสินทรัพย์ดิจิทัลในปริมาณที่มากพอจะลงทุนซื้อฮาร์ดแวร์มาเก็บ

ผลที่ตามมาจึงมีสองชั้น ชั้นแรกคือฟิชชิงที่แนบเนียนขึ้นมาก เพราะผู้โจมตีรู้ชื่อจริง ที่อยู่ เบอร์โทร และช่วงเวลาที่เหยื่อได้รับพัสดุ ทำให้อีเมลหรือจดหมายที่อ้างว่าเป็น Trezor และขอให้ “ยืนยันอุปกรณ์” ดูน่าเชื่อถือจนแยกไม่ออก ชั้นที่สองคือความเสี่ยงทางกายภาพ เพราะรายชื่อผู้ถือคริปโตพร้อมที่อยู่บ้านเป็นข้อมูลที่มีมูลค่าสำหรับอาชญากรที่ใช้การข่มขู่หรือบุกรุกถึงตัวโดยตรง ซึ่งเป็นภัยที่ผู้ถือสินทรัพย์ดิจิทัลรายใหญ่เผชิญมาต่อเนื่องในช่วงหลายปีที่ผ่านมา

ในมุมองค์กร กรณีนี้เป็นตัวอย่างที่ชัดเจนของความเสี่ยงที่ไล่ต่อกันเป็นทอด ๆ ผ่านคู่ค้า เพราะจุดเริ่มต้นคือช่องโหว่ในซอฟต์แวร์วิเคราะห์ข้อมูลที่ผู้ให้บริการขนส่งใช้ ไม่ใช่ระบบของผู้ผลิตที่ลูกค้าซื้อของด้วย ลูกค้าของ Trezor ไม่เคยรู้จักหรือเลือก Metabase และไม่เคยรู้จัก ShipMonk ด้วยซ้ำ แต่กลับได้รับผลกระทบจากทั้งสองราย นี่คือเหตุผลที่การประเมินความเสี่ยงของบุคคลที่สามต้องมองให้ลึกกว่าคู่สัญญาตรง ไปถึงซัพพลายเออร์ของคู่สัญญาอีกชั้นหนึ่ง

อีกประเด็นที่ควรบันทึกไว้คือสิ่งที่รายงานยังไม่มีคำตอบ ทั้งจำนวนองค์กรทั้งหมดที่ ShipMonk ให้บริการและได้รับผลกระทบ ขอบเขตข้อมูลที่ถูกดูดออกไปจากอินสแตนซ์ Metabase ของ ShipMonk ทั้งหมด และคำถามว่ากลุ่ม ShinyHunters เป็นผู้ลงมือใช้ช่องโหว่เองหรือได้ข้อมูลมาภายหลัง ผู้ที่เป็นลูกค้าของผู้ค้าปลีกรายอื่นที่ใช้ ShipMonk จึงยังไม่ควรถือว่าตัวเองอยู่นอกขอบเขต

คำแนะนำ

  • ผู้ที่ซื้ออุปกรณ์ Trezor และได้รับพัสดุระหว่างวันที่ 10 พฤษภาคมถึง 8 สิงหาคม 2569 ควรถือว่าชื่อ ที่อยู่ อีเมล และเบอร์โทรของตนอยู่ในมือผู้โจมตีแล้ว และปรับระดับความระแวงต่อการติดต่อทุกช่องทางให้สูงขึ้นตามนั้น
  • ห้ามกรอกหรือบอกชุดคำกู้คืน 24 คำให้ใครทุกกรณี ไม่ว่าผู้ติดต่อจะอ้างเป็นฝ่ายสนับสนุนของ Trezor ธนาคาร หรือตลาดแลกเปลี่ยนคริปโต เพราะผู้ผลิตไม่มีเหตุผลใดที่ต้องขอข้อมูลนี้ และการรั่วครั้งก่อนของ Trezor จบลงด้วยปฏิบัติการฟิชชิงที่ล่าข้อมูลชิ้นนี้โดยตรง
  • ระวังจดหมายกระดาษและการโทรศัพท์ ไม่ใช่แค่อีเมล เนื่องจากข้อมูลที่รั่วมีที่อยู่ทางไปรษณีย์และหมายเลขโทรศัพท์ครบ ซึ่งเปิดทางให้หลอกลวงผ่านช่องทางที่คนมักเชื่อถือมากกว่าอีเมล
  • ผู้ถือสินทรัพย์ดิจิทัลควรทบทวนความปลอดภัยทางกายภาพด้วย เช่น การไม่เก็บอุปกรณ์และชุดคำกู้คืนไว้ที่เดียวกัน และการไม่เปิดเผยว่าถือสินทรัพย์จำนวนมากในช่องทางสาธารณะ
  • องค์กรที่ใช้ Metabase ควรตรวจสอบว่าได้ติดตั้งแพตช์และยกเลิกเซสชันที่ค้างอยู่ทั้งหมดแล้วหรือยัง ตามที่ระบุไว้ในโพสต์ 2026/08/050 และตรวจล็อกย้อนหลังหาการเข้าถึงระดับผู้ดูแลระบบที่ผิดปกติ
  • ขยายการประเมินความเสี่ยงของคู่ค้าให้ครอบคลุมซัพพลายเออร์ของคู่ค้าอีกชั้น โดยเฉพาะผู้ให้บริการขนส่งและโลจิสติกส์ที่ถือข้อมูลชื่อและที่อยู่ของลูกค้าปลายทางทั้งชุด
  • กำหนดในสัญญาให้ผู้ให้บริการภายนอกต้องแจ้งเหตุภายในกรอบเวลาที่ชัดเจน เนื่องจากในกรณีนี้ Metabase แจ้ง ShipMonk วันที่ 6 สิงหาคม แต่ Trezor เพิ่งได้รับแจ้งวันที่ 10 สิงหาคม และลูกค้าปลายทางทราบเรื่องในวันที่ 13 สิงหาคม

แหล่งอ้างอิง