สรุปสั้น
กลุ่มขู่กรรโชกที่ใช้ชื่อ FulcrumSec ออกมาอ้างความรับผิดชอบต่อการเจาะระบบของบริษัท Manchester Airports Group หรือ MAG ผู้ดำเนินการสนามบินแมนเชสเตอร์ ลอนดอนสแตนสเต็ด และอีสต์มิดแลนด์ส แล้วปล่อยข้อมูลที่อ้างว่าได้มาจากระบบของผู้ดำเนินการสนามบินออกสู่สาธารณะราว 550 กิกะไบต์แบบไม่บีบอัด หลังจาก MAG ปฏิเสธข้อเรียกร้องค่าไถ่ ซึ่งต่อยอดจากเหตุการณ์ที่บริษัทเปิดเผยไว้เมื่อวันที่ 27 สิงหาคม 2569 ว่ามีการเข้าถึงข้อมูลลูกค้าในฐานข้อมูลของผู้ให้บริการภายนอก
บริการแจ้งเตือนข้อมูลรั่วไหล Have I Been Pwned ประมวลผลชุดข้อมูลที่เผยแพร่ออกมาแล้วเพิ่มเหตุการณ์นี้เข้าฐานข้อมูลของตัวเอง โดยรายงานว่ามีที่อยู่อีเมลและหมายเลขโทรศัพท์ราว 8.8 ล้านรายการถูกละเมิด พร้อมด้วยชื่อ หมายเลขไอพี รายละเอียด user-agent ของเบราว์เซอร์ ข้อมูลตำแหน่งทางภูมิศาสตร์ ประวัติการซื้อ และหมายเลขทะเบียนรถ ซึ่งเป็นชุดข้อมูลที่กว้างกว่าที่ MAG แจ้งไว้ตอนแรกว่าประกอบด้วยอีเมล เบอร์โทรศัพท์ ทะเบียนรถ และรหัสไปรษณีย์ โดยไม่มีข้อมูลบัตรชำระเงิน
จุดที่ควรพิจารณาอย่างระมัดระวังคือคำอ้างของกลุ่มผู้ก่อเหตุเรื่องวิธีเข้าถึงระบบ FulcrumSec ระบุว่าเข้าถึงระบบของ MAG ได้ด้วยกุญแจผู้ดูแลของแพลตฟอร์ม Iterable ที่ถูกฝังไว้ในโค้ด JavaScript ฝั่งหน้าเว็บของเว็บไซต์สนามบินทั้งสามแห่ง แต่ MAG ยังไม่ได้ยืนยันคำอ้างนี้ และสำนักข่าวที่รายงานก็ระบุว่ายังไม่สามารถตรวจสอบได้ด้วยตัวเอง คำอธิบายเรื่องช่องทางเข้าจึงยังเป็นเพียงข้ออ้างของฝ่ายผู้โจมตีที่ยังไม่ได้รับการพิสูจน์ อย่างไรก็ตามข้อมูลที่ถูกปล่อยออกมาเองนั้นได้รับการยืนยันจากบุคคลที่สามคือ Have I Been Pwned แล้ว
รายละเอียดข่าว
เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 4 กันยายน 2569 ว่า MAG ยืนยันการรั่วไหลของข้อมูลลูกค้าที่เก็บอยู่ในฐานข้อมูลของผู้ให้บริการภายนอก โดยบริษัทระบุว่าการปฏิบัติการของสนามบิน ความปลอดภัยของผู้โดยสาร และความมั่นคงด้านการบินไม่ได้รับผลกระทบ แต่ข้อมูลที่หลุดออกไปทำให้การฉ้อโกงมีความน่าเชื่อถือมากขึ้นอย่างมีนัยสำคัญ
ข้อมูลที่เกี่ยวข้องมาจากการจองที่จอดรถ การจองเลานจ์ การจองช่องตรวจแบบเร่งด่วน และการลงทะเบียนใช้ไวไฟภายในสนามบิน โดย MAG ระบุว่าผู้โจมตีนำที่อยู่อีเมล หมายเลขโทรศัพท์ รายละเอียดทะเบียนรถ และรหัสไปรษณีย์ออกไป ขณะที่ข้อมูลบัตรชำระเงินไม่ถูกเข้าถึง บริษัทเปิดเผยเหตุการณ์เมื่อวันที่ 27 สิงหาคม พร้อมระบุว่าได้จำกัดความเสี่ยงไว้แล้ว เรียกที่ปรึกษาเฉพาะทางเข้ามาช่วย และแจ้งหน่วยงานที่เกี่ยวข้อง ทั้งนี้เว็บไซต์นี้เคยรายงานเหตุการณ์ระยะแรกไว้แล้วในโพสต์ 2026/08/166 ซึ่งขณะนั้นยังไม่มีกลุ่มใดอ้างความรับผิดชอบ
ในประกาศบนเว็บไซต์เผยแพร่ข้อมูลรั่วไหลของตัวเอง FulcrumSec เขียนว่า “วันนี้เรากำลังปล่อยชุดข้อมูลของ Manchester Airports Group ทุกลูกค้า ทุกอีเวนต์ ทุกคอนฟิกที่ให้บริการสนามบินแมนเชสเตอร์ ลอนดอนสแตนสเต็ด และอีสต์มิดแลนด์ส ครึ่งเทระไบต์ และทุกไบต์ของมันคือข้อมูลระบุตัวบุคคลล้วน ๆ” พร้อมระบุว่ากลุ่มตัดสินใจกันส่วนที่อันตรายที่สุดไว้ไม่เผยแพร่ ซึ่งคือผู้โดยสารเกือบ 200,000 รายที่ตารางการเดินทางในอนาคตทั้งหมดถูกเปิดเผย โดยกลุ่มให้เหตุผลว่าเมื่อเชื่อมโยงกับข้อมูลระบุตัวบุคคลและข้อมูลรถยนต์แล้ว “จะสร้างโอกาสอันเหมาะเจาะให้กับพวกโจรย่องเบา ผู้สะกดรอยตาม และสิ่งที่แย่กว่านั้น”
กลุ่มดังกล่าวยังกล่าวหา MAG ว่าไม่ได้พยายามปกป้องข้อมูลที่เก็บรวบรวมไว้เลย และอธิบายวิธีเข้าถึงระบบว่า “วิธีที่เราเข้าถึงได้นั้นง่ายจนน่าขำทั้งที่เป็นเรื่องน่าเศร้า นั่นคือกุญแจผู้ดูแลของ Iterable ที่อยู่ในโค้ด JavaScript ฝั่งหน้าเว็บของเว็บไซต์สนามบินทั้งสามแห่ง” คือ manchesterairport.co.uk, stanstedairport.com และ eastmidlandsairport.com โดยอ้างว่าแต่ละเว็บไซต์มีกุญแจของตัวเองฝังอยู่ในโค้ดโดยตรง ซึ่งเปิดทางเข้าถึงข้อมูลผู้โดยสารหลายล้านคนที่เคยผ่านสนามบินแห่งนั้น และสรุปว่าการที่เหตุการณ์เกิดขึ้นในขนาดนี้ได้ MAG ต้องพลาดด้านความปลอดภัยอย่างร้ายแรง “ไม่ใช่ครั้งเดียว ไม่ใช่สองครั้ง แต่ถึงสามครั้ง”
ประกาศของกลุ่มยังอ้างว่าฐานข้อมูลที่หลุดออกมาเปิดเผยการจองล่วงหน้า 190,849 รายการ ซึ่งในจำนวนนี้ 142,755 รายการผูกกับหมายเลขทะเบียนรถ จึงอาจบ่งชี้ได้ว่าบ้านหลังใดจะไม่มีคนอยู่ในช่วงเวลาใด นอกจากนี้ยังอ้างว่าข้อมูลรวมถึงพนักงานหน่วยงานรัฐ ฝ่ายตุลาการ ทหาร ตำรวจ ระบบบริการสุขภาพแห่งชาติ และอุตสาหกรรมกลาโหมอีกหลายพันราย ซึ่งสร้างความเสี่ยงด้านความมั่นคงอย่างมีนัยสำคัญ พร้อมกล่าวหาว่า MAG พยายามลดทอนความร้ายแรงของเหตุการณ์ ทั้งนี้ตัวเลขและรายละเอียดกลุ่มบุคคลเหล่านี้มาจากคำกล่าวอ้างของผู้ก่อเหตุเอง ยังไม่มีการยืนยันจากฝ่ายอื่น
วิธีการโจมตี
ตามคำอ้างของ FulcrumSec ช่องทางเข้าคือกุญแจผู้ดูแลของแพลตฟอร์มการตลาดอัตโนมัติ Iterable ที่ถูกเขียนฝังไว้ในโค้ด JavaScript ที่ทำงานอยู่ในเบราว์เซอร์ของผู้เข้าชมเว็บไซต์ ซึ่งหมายความว่าใครก็ตามที่เปิดหน้าเว็บแล้วดูซอร์สโค้ดฝั่งหน้าเว็บก็เห็นกุญแจนั้นได้โดยไม่ต้องเจาะระบบใด ๆ และเมื่อกุญแจที่หลุดออกมาเป็นระดับผู้ดูแล ผู้ที่ได้ไปจึงเรียกข้อมูลจากระบบหลังบ้านออกมาได้ในปริมาณมาก
ประเด็นสำคัญคือ MAG ยังไม่ได้ยืนยันคำอธิบายนี้ และสำนักข่าวที่รายงานระบุว่ายังไม่สามารถตรวจสอบได้อย่างอิสระ คำอ้างจึงยังไม่ได้รับการพิสูจน์ กระนั้นกรณีนี้ก็ตอกย้ำหลักปฏิบัติพื้นฐานด้านความปลอดภัยที่ยังถูกละเลยอยู่บ่อยครั้ง นั่นคือการไม่เก็บความลับไว้ในโค้ดฝั่งไคลเอนต์ การหมุนเวียนเปลี่ยนกุญแจอย่างสม่ำเสมอ การจำกัดสิทธิ์ของกุญแจแต่ละใบให้แคบที่สุด และการสแกนโค้ด รีโพสิทอรี บันทึกการทำงาน และไฟล์คอนฟิกเพื่อหาความลับที่หลุดออกไปโดยไม่ตั้งใจ
สิ่งที่ทำให้ข้อมูลชุดนี้อันตรายกว่ารายชื่ออีเมลทั่วไปคือความเชื่อมโยงระหว่างฟิลด์ต่าง ๆ อาชญากรสามารถเชื่อมบุคคลหนึ่งเข้ากับสนามบินที่ใช้บริการ ประเภทการจอง รถยนต์ ตำแหน่งที่อยู่ และหมายเลขติดต่อได้ในคราวเดียว ซึ่งเหลือสิ่งที่ต้องเดาไม่มากนักเมื่อจะสร้างข้อความหลอกลวงให้ดูน่าเชื่อถือ
ผลกระทบ
ผลกระทบที่ตรงที่สุดต่อผู้ที่เคยใช้บริการที่จอดรถ เลานจ์ ช่องตรวจแบบเร่งด่วน หรือไวไฟของสนามบินทั้งสามแห่งคือความเสี่ยงจากการหลอกลวงแบบเจาะจงตัวบุคคล ข้อความที่อ้างถึงการจอง การคืนเงิน ค่าปรับที่จอดรถ ปัญหาบัญชี หรือคำขอชำระเงิน จะแนบรายละเอียดที่ถูกต้องจริงมาด้วยได้ ทำให้วิธีสังเกตแบบเดิมที่อาศัยความผิดปกติของเนื้อหาใช้ไม่ได้ผลเท่าเดิม
ที่ร้ายแรงกว่านั้นคือความเสี่ยงทางกายภาพจากการที่ตารางเดินทางในอนาคตถูกเชื่อมกับทะเบียนรถและรหัสไปรษณีย์ ซึ่งเท่ากับบอกได้ว่าบ้านหลังใดจะว่างในช่วงเวลาใด แม้กลุ่มผู้ก่อเหตุจะอ้างว่าได้ตัดข้อมูลส่วนนี้ออกก่อนเผยแพร่ แต่ข้อมูลดังกล่าวยังอยู่ในมือของผู้ที่ดึงออกไปได้ตั้งแต่แรก และไม่มีหลักประกันว่าจะไม่ถูกขายหรือปล่อยในภายหลัง ความเสี่ยงจึงไม่ได้จบลงเพราะกลุ่มเลือกไม่เผยแพร่ในรอบนี้
สำหรับองค์กรอื่นโดยทั่วไป บทเรียนอยู่ที่การจัดการความลับในโค้ดฝั่งหน้าเว็บ กุญแจที่ฝังในโค้ดที่ส่งไปรันบนเบราว์เซอร์ของผู้ใช้ไม่ใช่ความลับอีกต่อไป และการที่คำอ้างในกรณีนี้ระบุว่าเว็บไซต์สามแห่งต่างมีกุญแจของตัวเองฝังอยู่คนละใบ ยังชี้ให้เห็นว่าปัญหาลักษณะนี้มักเกิดซ้ำในทีมหรือโครงการที่แยกกันพัฒนาแต่ใช้แนวทางเดียวกัน การตรวจครั้งเดียวที่เว็บไซต์เดียวจึงไม่พอ
ข้อจำกัดของข้อมูลชุดนี้ที่ควรระบุไว้คือรายละเอียดเรื่องวิธีการเข้าถึงระบบ จำนวนการจองล่วงหน้า และการที่มีข้อมูลของพนักงานหน่วยงานรัฐและกลาโหมอยู่ในชุดข้อมูล ล้วนมาจากคำแถลงของกลุ่มผู้ก่อเหตุเองซึ่งยังไม่ได้รับการยืนยัน ส่วนที่ได้รับการยืนยันจากบุคคลที่สามคือขอบเขตของข้อมูลที่ถูกเผยแพร่ตามที่ Have I Been Pwned ประมวลผลได้ นอกจากนี้ตัวเลข 8.8 ล้านรายการที่ปรากฏในรอบนี้กับตัวเลข 8.7 ล้านรายที่ MAG แจ้งไว้ตอนแรกก็นับจากฐานคนละชุด จึงไม่ควรนำมาเทียบกันโดยตรง
คำแนะนำ
ผู้ที่เคยใช้บริการที่จอดรถ เลานจ์ ช่องตรวจแบบเร่งด่วน หรือไวไฟของสนามบินในเครือ MAG ควรตั้งสมมติฐานว่าความพยายามฟิชชิงที่จะได้รับต่อจากนี้จะเจาะจงและแนบเนียนขึ้น และควรระมัดระวังข้อความที่อ้างถึงการจอง การคืนเงิน ค่าปรับที่จอดรถ ปัญหาบัญชี หรือคำขอชำระเงินเป็นพิเศษ
ควรเปลี่ยนรหัสผ่านหากเคยใช้รหัสผ่านชุดเดียวกันกับบริการเหล่านี้ที่อื่นด้วย โดยเฉพาะกับบัญชีอีเมล พร้อมทั้งเปิดใช้การยืนยันตัวตนหลายปัจจัย ทบทวนช่องทางกู้คืนบัญชี และหลีกเลี่ยงการคลิกลิงก์ในข้อความที่ไม่ได้คาดหมาย ทั้งนี้องค์กรที่ถูกต้องจะไม่ขอรหัสผ่าน รหัส PIN ของธนาคาร หรือรหัสยืนยันตัวตนแบบใช้ครั้งเดียวผ่านอีเมล ข้อความสั้น หรือโทรศัพท์ หากได้รับข้อความที่อ้างถึงการจอง ให้เปิดเว็บไซต์ของสนามบินหรือผู้ให้บริการด้วยตนเองแทนการกดลิงก์ที่แนบมา ผู้ที่ต้องการตรวจสอบว่าอีเมลของตนอยู่ในชุดข้อมูลที่ถูกเผยแพร่หรือไม่สามารถค้นได้จากรายการเหตุการณ์บนบริการ Have I Been Pwned
สำหรับองค์กรที่พัฒนาเว็บไซต์ที่มีการเชื่อมต่อกับแพลตฟอร์มการตลาดหรือระบบภายนอก ควรไล่ตรวจโค้ด JavaScript ที่ส่งไปยังเบราว์เซอร์ทุกโดเมนที่ดูแลอยู่ว่ามีกุญแจหรือโทเคนฝังอยู่หรือไม่ ย้ายการเรียกใช้งานที่ต้องใช้สิทธิ์สูงไปไว้ฝั่งเซิร์ฟเวอร์ และแยกกุญแจสำหรับงานฝั่งหน้าเว็บให้มีสิทธิ์จำกัดเฉพาะที่จำเป็นเท่านั้น พร้อมทั้งตั้งกระบวนการหมุนเวียนเปลี่ยนกุญแจและสแกนหาความลับที่หลุดในรีโพสิทอรีและไฟล์คอนฟิกอย่างสม่ำเสมอ