สรุปสั้น

แพลตฟอร์มเรียนคณิตศาสตร์ออนไลน์ Mathspace ยืนยันเหตุข้อมูลรั่วที่ทำให้ข้อมูลส่วนบุคคลของนักเรียน ผู้ปกครอง ผู้ดูแล และบุคลากรในโรงเรียนทั่วออสเตรเลียและนิวซีแลนด์มากกว่าหนึ่งล้านรายถูกเปิดเผย หลังผู้โจมตีใช้ช่องโหว่ระดับวิกฤตในซอฟต์แวร์ทำรายงานภายในของบริษัท ตัวเลขที่บริษัทระบุคือ 1,079,819 ราย ซึ่งทำให้เหตุการณ์นี้เป็นหนึ่งในเหตุข้อมูลรั่วภาคการศึกษาที่ใหญ่ที่สุดที่ถูกรายงานในภูมิภาคนี้ในปีนี้

ต้นเหตุไม่ได้อยู่ที่ระบบการเรียนการสอนโดยตรง แต่อยู่ที่ Metabase ซึ่งเป็นเครื่องมือ business intelligence แบบโอเพนซอร์สที่บริษัทติดตั้งไว้ใช้ทำรายงานภายในเอง ช่องโหว่ที่ถูกใช้คือ CVE-2026-72898 ซึ่งเป็น SQL injection แบบไม่ต้องยืนยันตัวตนผ่านปลายทาง API สำหรับรีเซ็ตรหัสผ่าน เปิดให้ผู้โจมตีแทรกคำสั่ง SQL ตามใจชอบและยึดสิทธิ์ผู้ดูแลระบบได้โดยไม่ต้องมีบัญชีที่ถูกต้อง โดยผู้พัฒนา Metabase เปิดเผยช่องโหว่นี้เมื่อวันที่ 6 สิงหาคม 2569 พร้อมให้คะแนน CVSS เต็ม 10.0 ระบุว่ากำลังถูกใช้โจมตีจริง และปล่อยเวอร์ชันที่แก้แล้วในวันเดียวกัน

จุดที่เจ็บที่สุดของเหตุการณ์นี้คือช่องว่างระหว่างวันที่แพตช์มีให้ใช้กับวันที่บริษัทติดตั้งจริง Mathspace ยอมรับเองว่า “กระบวนการแจ้งเตือนช่องโหว่ที่มีอยู่ไม่ได้ระบุและยกระดับประกาศฉบับนั้นขึ้นมาให้ดำเนินการ” ผู้โจมตีเข้าถึงฐานข้อมูลรายงานในออสเตรเลียได้ตั้งแต่วันที่ 10 สิงหาคม ซึ่งห่างจากวันที่แพตช์ออกเพียงสี่วัน แล้วดึงข้อมูลออกไปในวันที่ 27 สิงหาคม ขณะที่บริษัทเพิ่งอัปเดต Metabase ของตัวเองในวันที่ 29 สิงหาคม หลังได้รับประกาศอีกฉบับหนึ่งในภายหลังจึงหันมาสนใจเรื่องนี้

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 7 กันยายน 2569 ว่า บริษัท Mathspace ซึ่งเป็นบริษัทเทคโนโลยีการศึกษาที่มีฐานอยู่ในนครซิดนีย์ และถูกใช้อย่างแพร่หลายในห้องเรียนทั้งออสเตรเลียและนิวซีแลนด์ ได้แถลงเมื่อวันที่ 3 กันยายน 2569 ว่ามีผู้ไม่ได้รับอนุญาตเข้าถึงระบบทำรายงานภายในและดาวน์โหลดระเบียนข้อมูลของนักเรียน ครอบครัวของนักเรียน ครู และพนักงานของบริษัทเองออกไป

จำนวนผู้ได้รับผลกระทบรวมทั้งสิ้น 1,079,819 ราย ตามการเปิดเผยของบริษัท ผู้โจมตีใช้ช่องโหว่ด้านความปลอดภัยในการติดตั้ง Metabase ที่บริษัทดูแลเอง ซึ่งเป็นเครื่องมือ business intelligence แบบโอเพนซอร์สที่ใช้สำหรับการทำรายงานภายในองค์กร

ช่องโหว่ที่ถูกติดตามในชื่อ CVE-2026-72898 เป็น SQL injection แบบไม่ต้องยืนยันตัวตนที่เข้าถึงได้ผ่านปลายทาง API สำหรับรีเซ็ตรหัสผ่านของ Metabase ทำให้ผู้โจมตีแทรกคำสั่ง SQL ตามอำเภอใจและยึดสิทธิ์ระดับผู้ดูแลระบบได้โดยไม่ต้องมีข้อมูลยืนยันตัวตนที่ถูกต้อง โดย Metabase เปิดเผยช่องโหว่ระดับวิกฤตตัวนี้เมื่อวันที่ 6 สิงหาคม 2569 พร้อมระบุว่ากำลังถูกใช้โจมตีจริง ให้คะแนน CVSS สูงสุดที่ 10.0 และปล่อยเวอร์ชันที่แก้ไขแล้วในวันเดียวกัน ขณะที่หน่วยงาน CISA เพิ่มช่องโหว่นี้เข้าสู่รายการ Known Exploited Vulnerabilities ภายในไม่กี่วันถัดมา ซึ่งสะท้อนว่าผู้โจมตีนำมาใช้กับอินสแตนซ์ที่เปิดสู่อินเทอร์เน็ตอย่างรวดเร็วเพียงใด

อย่างไรก็ตาม Mathspace ไม่ได้ดำเนินการตามประกาศดังกล่าวทันเวลา บริษัทยอมรับว่ากระบวนการแจ้งเตือนช่องโหว่ที่มีอยู่ไม่ได้หยิบประกาศฉบับนั้นขึ้นมายกระดับให้ดำเนินการ การเข้าถึงฐานข้อมูลรายงานในออสเตรเลียโดยไม่ได้รับอนุญาตจึงเริ่มขึ้นตั้งแต่วันที่ 10 สิงหาคม ซึ่งห่างจากวันที่แพตช์พร้อมใช้งานเพียงสี่วัน และผู้โจมตีดึงข้อมูลออกไปในวันที่ 27 สิงหาคม

บริษัทเพิ่งอัปเดตอินสแตนซ์ Metabase ของตนในวันที่ 29 สิงหาคม หลังมีประกาศอีกฉบับในภายหลังทำให้หันมาสนใจเรื่องนี้ และในตอนแรกบริษัทยังไม่ได้ทำการตรวจสอบเพิ่มเติมว่าระบบถูกเจาะไปแล้วหรือไม่ตามที่ Metabase แนะนำไว้สำหรับระบบที่ยังคงมีช่องโหว่อยู่ในช่วงเวลานั้น ช่องว่างดังกล่าวทำให้การบุกรุกที่เกิดขึ้นก่อนหน้าไม่ถูกตรวจพบ จนกระทั่งการทบทวนบันทึกการเข้าถึงย้อนหลังเมื่อวันที่ 3 กันยายนจึงยืนยันได้ว่ามีการเข้าถึงโดยไม่ได้รับอนุญาตเกิดขึ้นก่อนที่แพตช์จะถูกติดตั้ง

ข้อมูลที่ถูกดึงออกไปประกอบด้วยรหัสผู้ใช้ ชื่อผู้ใช้ ชื่อและนามสกุล ที่อยู่อีเมล ประเทศ เขตเวลา ประเภทบัญชี สถานะการยืนยันอีเมล วันที่ใช้งานล่าสุด วันที่เข้าสู่ระบบล่าสุด และวันที่สร้างบัญชี โดยไม่ใช่ทุกฟิลด์จะมีครบสำหรับผู้ได้รับผลกระทบทุกราย ขณะที่บริษัทเน้นย้ำว่าไม่มีรหัสผ่าน ค่าแฮชของรหัสผ่าน โทเคน single sign-on ข้อมูลยืนยันตัวตนของ API ระเบียนผลการเรียน ผลการประเมิน หรือข้อมูลกิจกรรมการเรียนรู้ถูกเปิดเผยออกไป และข้อมูลที่ถูกขโมยไม่ได้เชื่อมโยงบัญชีเข้ากับโรงเรียนใดโดยตรง แม้บริษัทจะยอมรับว่าอาจอนุมานได้สำหรับโรงเรียนที่ใช้โดเมนอีเมลที่ระบุตัวตนได้

บริษัทระบุว่า “จนถึงขณะนี้ยังไม่มีหลักฐาน” ว่าข้อมูลที่ถูกขโมยไปถูกเผยแพร่ ถูกขาย หรือถูกนำไปใช้ในทางมิชอบ และตัวตนของผู้โจมตียังไม่เป็นที่ทราบ โดย Mathspace เริ่มส่งอีเมลแจ้งผู้ประสานงานของโรงเรียนตั้งแต่วันที่ 4 กันยายน พร้อมขอให้ผู้รับตรวจสอบการสื่อสารที่น่าสงสัยเกี่ยวกับเหตุการณ์นี้ผ่านช่องทางรับมือเหตุข้อมูลรั่วอย่างเป็นทางการของบริษัทโดยตรง แทนการคลิกลิงก์ที่ฝังมาในอีเมล ทั้งนี้บริษัทได้ปิดระบบทำรายงานที่ได้รับผลกระทบ แจ้งโรงเรียน หน่วยงานด้านการศึกษา และหน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์แล้ว พร้อมระบุว่ากำลังปรับปรุงกระบวนการยกระดับประกาศช่องโหว่และการตรวจสอบหลังติดตั้งแพตช์เพื่อป้องกันการเกิดซ้ำ

ต่อมาเมื่อวันที่ 8 กันยายน 2569 เว็บไซต์ SecurityWeek รายงานรายละเอียดเพิ่มเติมของเหตุการณ์เดียวกัน โดยระบุมาตรการรับมือที่ Mathspace ดำเนินการไว้ครบถ้วนกว่าเดิม คือถอดอินสแตนซ์ Metabase ออกจากระบบ เพิกถอนคีย์ API ทั้งหมด ปิดการใช้งานบัญชีที่ใช้เข้าถึงฐานข้อมูล เปลี่ยนรหัสผ่าน และส่งออกบันทึกทั้งหมดเพื่อใช้ในการสอบสวน พร้อมอ้างถ้อยแถลงของบริษัทที่ระบุว่า “การสอบสวนของเราพบการเข้าถึงโดยไม่ได้รับอนุญาตย้อนกลับไปถึงวันที่ 10 สิงหาคม 2569 ตามเวลามาตรฐานออสเตรเลียตะวันออก เรายืนยันได้ว่ามีการดาวน์โหลดข้อมูลออกจากฐานข้อมูลรายงานในออสเตรเลียของเราเมื่อวันที่ 27 สิงหาคม” และยอมรับว่า “เรากำลังตรวจสอบว่าเหตุใดประกาศฉบับแรกจึงไม่ถูกยกระดับ และเหตุใดการตรวจสอบเหล่านั้นจึงไม่ถูกดำเนินการให้เสร็จเร็วกว่านี้ เรากำลังเปลี่ยนแปลงกระบวนการทั้งสองส่วนในฐานะส่วนหนึ่งของการรับมือเหตุการณ์”

รายงานฉบับเดียวกันยังเพิ่มบริบทเกี่ยวกับตัวผู้ก่อเหตุที่ควรอ่านอย่างระมัดระวัง โดยระบุว่าไม่นานหลังแพตช์ของ Metabase ถูกปล่อยออกมา กลุ่มเรียกค่าไถ่ที่มีชื่อเสียงอย่าง ShinyHunters ได้ออกมาอ้างความรับผิดชอบต่อการแฮ็ก Metabase จุดที่ต้องแยกให้ชัดคือการอ้างดังกล่าวเป็นการอ้างในระดับของช่องโหว่และเป้าหมายในภาพรวม ไม่ใช่การอ้างความรับผิดชอบต่อเหตุการณ์ของ Mathspace โดยตรง และ Mathspace เองก็ยังระบุว่าไม่ทราบตัวตนของผู้โจมตีที่เข้าถึงระบบของตน จึงยังไม่มีการยืนยันอย่างเป็นทางการว่าทั้งสองเรื่องเป็นผู้ก่อเหตุรายเดียวกัน

วิธีการโจมตี

CVE-2026-72898 เป็นช่องโหว่ SQL injection ที่อยู่ในปลายทาง API สำหรับรีเซ็ตรหัสผ่านของ Metabase ซึ่งเป็นจุดที่ตามธรรมชาติของฟังก์ชันต้องเปิดให้เข้าถึงได้โดยไม่ต้องล็อกอิน เพราะผู้ใช้ที่ลืมรหัสผ่านย่อมยังไม่มีเซสชัน เมื่อโค้ดในเส้นทางนั้นนำข้อมูลจากผู้ใช้ไปประกอบเป็นคำสั่ง SQL โดยไม่กรอง ผู้โจมตีจึงสั่งงานฐานข้อมูลได้โดยตรงและยกระดับตัวเองขึ้นเป็นผู้ดูแลระบบของ Metabase ได้ทันที ซึ่งเป็นเหตุผลที่ช่องโหว่นี้ได้คะแนน CVSS เต็ม 10.0

สิ่งที่ทำให้ความเสียหายรุนแรงคือลักษณะของ Metabase เอง เครื่องมือประเภท business intelligence ถูกออกแบบมาให้เชื่อมต่อกับฐานข้อมูลจริงขององค์กรเพื่อดึงข้อมูลมาทำรายงาน การยึดสิทธิ์ผู้ดูแลระบบบนเครื่องมือนี้จึงไม่ได้ให้แค่การเข้าถึงหน้าจอแดชบอร์ด แต่ให้ช่องทางไปถึงข้อมูลต้นทางที่มันเชื่อมอยู่ ในกรณีนี้คือฐานข้อมูลรายงานที่มีระเบียนของผู้ใช้กว่าหนึ่งล้านราย

ลำดับเวลาของเหตุการณ์บอกเรื่องราวได้ชัดเจนกว่ารายละเอียดทางเทคนิค แพตช์ออกวันที่ 6 สิงหาคม ผู้โจมตีเข้าถึงระบบได้วันที่ 10 สิงหาคม ดึงข้อมูลออกวันที่ 27 สิงหาคม บริษัทแพตช์วันที่ 29 สิงหาคม และยืนยันการบุกรุกได้วันที่ 3 กันยายน นั่นหมายความว่าผู้โจมตีอยู่ในระบบราวสองสัปดาห์ครึ่งก่อนดึงข้อมูล และการแพตช์ที่ตามมาทีหลังก็ไม่ได้ทำอะไรกับสิ่งที่เกิดขึ้นไปแล้ว จุดที่ทำให้เรื่องยืดออกไปอีกคือการที่บริษัทไม่ได้ทำขั้นตอนตรวจสอบร่องรอยการถูกเจาะที่ผู้พัฒนาแนะนำไว้สำหรับระบบที่เปิดช่องโหว่ค้างไว้ ทำให้ไม่มีใครรู้ว่าถูกเจาะไปแล้วจนกว่าจะย้อนดูบันทึกเก่าอีกห้าวันให้หลัง

น่าสังเกตว่าช่องโหว่ Metabase ตัวเดียวกันนี้เคยเป็นต้นเหตุของเหตุการณ์ที่เราเคยรายงานไว้ในโพสต์ 2026/09/039 ซึ่งเป็นกรณีข้อมูลลูกค้าของ Trezor รั่วผ่านผู้ให้บริการขนส่ง ShipMonk แสดงให้เห็นว่าหลังช่องโหว่ระดับ 10.0 ที่ถูกใช้โจมตีจริงถูกเปิดเผย ผู้โจมตีจะกวาดหาอินสแตนซ์ที่เปิดสู่อินเทอร์เน็ตอย่างเป็นระบบ และองค์กรที่แพตช์ช้าเพียงไม่กี่วันก็เพียงพอที่จะกลายเป็นเหยื่อ

ผลกระทบ

กลุ่มที่ได้รับผลกระทบมีลักษณะพิเศษคือส่วนใหญ่เป็นนักเรียน ซึ่งหลายคนเป็นผู้เยาว์ และไม่ได้เป็นผู้เลือกใช้บริการนี้ด้วยตัวเอง แต่ถูกโรงเรียนกำหนดให้ใช้ ข้อมูลที่หลุดคือชื่อจริง อีเมล และข้อมูลประกอบบัญชี ซึ่งแม้จะไม่ใช่รหัสผ่านหรือผลการเรียน แต่ก็เพียงพอสำหรับสร้างอีเมลหลอกลวงที่ระบุชื่อผู้รับได้ถูกต้องและอ้างอิงบริการที่ผู้รับใช้งานอยู่จริง

ความเสี่ยงที่ตามมาทันทีคือฟิชชิงที่แนบเนียนขึ้น โดยเฉพาะเมื่อบริษัทยอมรับว่าแม้ข้อมูลจะไม่ผูกบัญชีกับโรงเรียนโดยตรง แต่โดเมนอีเมลของโรงเรียนที่ระบุตัวตนได้ทำให้อนุมานได้ไม่ยากว่าใครอยู่โรงเรียนไหน ผู้โจมตีที่ได้ข้อมูลชุดนี้จึงประกอบข้อความหลอกลวงในนามโรงเรียนหรือในนาม Mathspace เองได้ และตัวบริษัทก็เตือนเรื่องนี้ไว้ด้วยการขอให้ผู้รับอย่าคลิกลิงก์ในอีเมลที่อ้างถึงเหตุการณ์

ในเชิงบทเรียนสำหรับองค์กร กรณีนี้ชี้ไปที่จุดอ่อนที่ไม่ใช่เทคนิคเลย บริษัทไม่ได้ถูกเจาะเพราะไม่รู้จักช่องโหว่ แต่เพราะกระบวนการรับประกาศช่องโหว่ของตัวเองไม่ยกระดับเรื่องขึ้นมาให้คนที่ต้องลงมือทำ ช่องโหว่ที่คะแนนเต็ม 10.0 ถูกใช้โจมตีจริง และมีแพตช์พร้อมในวันเดียวกันกับที่ประกาศ ถือเป็นกรณีที่ชัดเจนที่สุดเท่าที่จะเป็นไปได้แล้ว หากกรณีระดับนี้ยังหลุดจากกระบวนการ กรณีที่คลุมเครือกว่าก็ยิ่งไม่มีทางถูกจับได้

อีกจุดที่ควรเรียนรู้คือขั้นตอนหลังแพตช์ การติดตั้งแพตช์เมื่อระบบเปิดช่องโหว่ค้างไว้หลายวันไม่ใช่การจบงาน เพราะผู้โจมตีอาจเข้ามาก่อนแล้ว ผู้พัฒนา Metabase แนะนำให้ทำการตรวจสอบเพิ่มเติมสำหรับระบบกลุ่มนี้โดยเฉพาะ และการข้ามขั้นตอนนั้นคือสาเหตุที่ทำให้การบุกรุกถูกค้นพบช้าออกไปอีกห้าวัน

ข้อจำกัดของข้อมูลที่ควรระบุไว้คือ ข้อมูลทั้งหมดมาจากการเปิดเผยของบริษัทเอง ยังไม่มีการยืนยันจากบุคคลที่สาม ตัวตนของผู้โจมตียังไม่ทราบ และคำกล่าวที่ว่ายังไม่มีหลักฐานว่าข้อมูลถูกเผยแพร่หรือขายต่อนั้นเป็นการยืนยันเชิงลบซึ่งพิสูจน์ได้ยากเสมอ โดยเฉพาะเมื่อเวลาผ่านไปเพียงไม่กี่วันนับจากการค้นพบ

คำแนะนำ

องค์กรที่ติดตั้ง Metabase เองควรตรวจสอบทันทีว่าอินสแตนซ์ทั้งหมดได้รับการอัปเดตเป็นเวอร์ชันที่แก้ CVE-2026-72898 แล้วหรือยัง โดยรวมถึงอินสแตนซ์ที่ใช้ทดสอบหรือใช้เฉพาะทีมภายในซึ่งมักไม่อยู่ในบัญชีทรัพย์สินหลัก และตรวจว่ามีอินสแตนซ์ใดเปิดให้เข้าถึงจากอินเทอร์เน็ตโดยไม่จำเป็น

สำหรับระบบที่เคยเปิดช่องโหว่ค้างไว้แม้เพียงไม่กี่วัน ให้ทำขั้นตอนตรวจสอบร่องรอยการถูกเจาะตามที่ผู้พัฒนาแนะนำ ไม่ใช่ถือว่างานจบเมื่อแพตช์ติดตั้งเสร็จ โดยเน้นการย้อนดูบันทึกการเข้าถึงและบันทึกคำสั่งฐานข้อมูลในช่วงเวลาตั้งแต่วันที่ช่องโหว่ถูกเปิดเผยจนถึงวันที่แพตช์เสร็จ

ทบทวนกระบวนการรับและยกระดับประกาศช่องโหว่ขององค์กรว่ามีใครรับผิดชอบชัดเจน มีเส้นตายสำหรับช่องโหว่ที่อยู่ในรายการ Known Exploited Vulnerabilities หรือไม่ และมีการตรวจสอบย้อนกลับว่าประกาศที่เข้ามาถูกดำเนินการจริงหรือไม่ เพราะจุดที่พังในกรณีนี้คือกระบวนการ ไม่ใช่เทคโนโลยี

จำกัดสิทธิ์ของบัญชีที่เครื่องมือ business intelligence ใช้เชื่อมต่อฐานข้อมูล ให้อ่านได้เฉพาะข้อมูลที่จำเป็นต่อรายงานจริง ๆ เพราะการยึดเครื่องมือรายงานได้ไม่ควรเท่ากับการเข้าถึงฐานข้อมูลทั้งก้อน

โรงเรียนและผู้ปกครองที่ได้รับแจ้ง ควรระวังอีเมลหรือข้อความที่อ้างถึง Mathspace หรือชื่อโรงเรียนเป็นพิเศษในช่วงนี้ อย่าคลิกลิงก์ที่แนบมาในอีเมลลักษณะนั้น ให้เข้าผ่านช่องทางทางการของบริษัทโดยตรง หลีกเลี่ยงการใช้รหัสผ่านซ้ำข้ามบริการ และเฝ้าดูคำขอรีเซ็ตรหัสผ่านหรือการเข้าสู่ระบบที่ผิดปกติ

แหล่งอ้างอิง