สรุปสั้น
บริษัท Revolut ผู้ให้บริการฟินเทคที่มีลูกค้าทั่วโลกกว่า 80 ล้านราย ยืนยันเมื่อวันที่ 12 กันยายน 2569 ว่าได้เปิดเผยข้อมูลยืนยันตัวตน (KYC) ที่ละเอียดอ่อนของลูกค้าให้บุคคลที่ไม่ได้รับอนุญาต หลังได้รับ “คำขอข้อมูล” ที่ดูเหมือนมาจากหน่วยงานรัฐแห่งหนึ่ง แต่แท้จริงส่งมาจากบัญชีอีเมลที่ปลอมหรือถูกยึดภายในโดเมนจริงของหน่วยงานนั้น จุดที่ทำให้เหตุการณ์นี้อันตรายเป็นพิเศษคืออีเมลปลอมดังกล่าวผ่านการตรวจสอบ domain authentication ครบถ้วน ทำให้พนักงานเชื่อว่าเป็นคำขอที่ถูกต้องตามกฎหมายและดำเนินการส่งข้อมูลให้ นี่จึงไม่ใช่การเจาะระบบในความหมายทั่วไป เพราะไม่มีการฝังมัลแวร์ ไม่มีการเจาะเซิร์ฟเวอร์ และเงินของลูกค้าไม่ได้รับผลกระทบ แต่ผู้โจมตีกลับได้ข้อมูลครบชุดที่ฟินเทคภายใต้การกำกับต้องเก็บไว้เพื่อยืนยันตัวตน ทั้งหมดในแพ็กเกจเดียวและส่งไปให้คนผิด
Revolut ระบุว่าเหตุการณ์กระทบลูกค้าจำนวนจำกัดและได้ติดต่อผู้ได้รับผลกระทบทันที แต่ไม่เปิดเผยขอบเขตความเสียหาย และปฏิเสธที่จะระบุชื่อหน่วยงานรัฐที่เกี่ยวข้องหรือประเทศที่ได้รับผลกระทบ นาย ZachXBT นักวิจัยด้านความมั่นคงคริปโตที่เผยแพร่เรื่องนี้ ประเมินว่าการโจมตีน่าจะพุ่งเป้าไปที่ลูกค้าผู้มีทรัพย์สินสูงโดยเฉพาะ ซึ่งหากประเมินถูก ก็หมายความว่านี่ไม่ใช่การขโมยข้อมูลปริมาณมาก แต่เป็นปฏิบัติการเจาะจงเพื่อสร้างโปรไฟล์เชิงลึกของบุคคลร่ำรวย โดยใช้เอกสาร KYC และประวัติธุรกรรมคริปโตที่ผูกกับตัวตนจริง
รายละเอียดข่าว
เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 12 กันยายน 2569 ว่า บริษัท Revolut ได้ส่งหนังสือแจ้งเตือนถึงลูกค้าที่ได้รับผลกระทบตั้งแต่วันที่ 11 กันยายน โดยระบุว่าบริษัทได้รับคำขอข้อมูลลูกค้าที่ดูเหมือนมาจากหน่วยงานรัฐที่ถูกต้อง แต่คำขอนั้นส่งมาจากบัญชีอีเมลที่ไม่ได้รับอนุญาต ซึ่งใช้โดเมนอีเมลทางการของหน่วยงานรัฐโดยตรง
ตามหนังสือแจ้งเตือน เนื่องจากอีเมลดังกล่าวมี “หลักฐานยืนยันโดเมนที่ถูกต้อง” (valid domain authentication credentials) คำขอจึงได้รับการดำเนินการภายใต้ความเชื่อโดยสมเหตุสมผลว่าเป็นคำขอจากหน่วยงานรัฐจริง สื่อ TechCrunch ซึ่งได้ตรวจสอบหนังสือแจ้งเตือนฉบับดังกล่าว รายงานว่าข้อมูลที่ถูกส่งออกไปรวมถึงข้อมูลระบุตัวตนและการติดต่อของลูกค้า ได้แก่ วันเกิด ที่อยู่ทางไปรษณีย์ อีเมล หมายเลขโทรศัพท์ ตลอดจนสำเนาเอกสารระบุตัวตนอย่างพาสปอร์ตและใบขับขี่ นอกจากนี้ข้อมูลยังอาจรวมถึงเซลฟีที่ใช้ยืนยันตัวตน รายการเดินบัญชี และประวัติธุรกรรมด้วย
สื่อหลายสำนักรวมถึง CoinDesk และ Crypto Times ยืนยันว่าประวัติธุรกรรมที่หลุดครอบคลุมธุรกรรม Bitcoin สิ่งที่ Revolut ส่งมอบให้ผู้โจมตีจึงเป็นแทบทุกอย่างที่ฟินเทคภายใต้การกำกับจำเป็นต้องเก็บเพื่อยืนยันตัวตน รวมอยู่ในชุดเดียว Revolut ระบุว่าค้นพบการฉ้อโกงนี้ภายหลัง จากการติดต่อหน่วยงานรัฐเพื่อยืนยันคำขอด้วยตนเอง ซึ่งหน่วยงานยืนยันว่าไม่ได้เป็นผู้ส่งคำขอนั้น เหตุการณ์นี้เกิดขึ้นในช่วงที่ Revolut กำลังมองหาความน่าเชื่อถือด้านการกำกับดูแลเพิ่มขึ้น โดยเพิ่งได้รับการอนุมัติแบบมีเงื่อนไขให้เป็นธนาคารระดับชาติในสหรัฐ และมีรายงานว่ากำลังพิจารณา IPO มูลค่าราว 200,000 ล้านดอลลาร์
วิธีการโจมตี
การโจมตีนี้อาศัยจุดอ่อนของกระบวนการรับ “คำขอข้อมูลตามกฎหมาย” ของฟินเทคที่พึ่งพาการยืนยันความถูกต้องของอีเมลเป็นหลัก ผู้โจมตีไม่จำเป็นต้องเจาะระบบของ Revolut เลย แต่เลือกสร้างบัญชีปลอมภายในโดเมนของหน่วยงานรัฐ หรือยึดบัญชีที่มีอยู่แล้ว จากนั้นใช้บัญชีนั้นส่งคำขอที่ดูเหมือนถูกต้องตามกฎหมาย
หัวใจของปัญหาคือ เมื่ออีเมลถูกส่งจากภายในโครงสร้างพื้นฐานของโดเมนจริง กลไกตรวจสอบอย่าง SPF, DKIM และ DMARC จะยืนยันว่าอีเมลมาจากโดเมนนั้นจริง แต่กลับ “ไม่สามารถ” ยืนยันได้ว่าบุคคลที่อยู่หลังบัญชีอีเมลนั้นมีอำนาจส่งคำขอตามกฎหมายจริงหรือไม่ เมื่อพนักงานเห็นว่าคำขอผ่านการตรวจสอบโดเมนครบถ้วน จึงดำเนินการให้โดยไม่มีขั้นตอนยืนยันกลับผ่านช่องทางอื่น (out-of-band verification) ทำให้กระบวนการที่ควรเป็นด่านป้องกันกลายเป็นช่องให้ผู้โจมตีที่เข้าถึงโดเมนหน่วยงานรัฐได้ ผ่านทะลุไปเอาข้อมูลลูกค้าที่ละเอียดอ่อนได้ทั้งชุด
ผลกระทบ
หากการประเมินว่าปฏิบัติการนี้เจาะจงลูกค้าผู้มีทรัพย์สินสูงเป็นความจริง ผลกระทบไม่ได้อยู่ที่ปริมาณข้อมูลที่หลุด แต่อยู่ที่ “คุณภาพ” ของข้อมูล การได้เอกสาร KYC ครบชุดพร้อมประวัติธุรกรรมคริปโตที่ผูกกับตัวตนจริง รวมถึง IBAN และรายการเดินบัญชี ทำให้ผู้โจมตีสามารถนำไปใช้ฉ้อโกง สวมรอย หรือกรรโชกทรัพย์บุคคลเป้าหมายได้อย่างมีประสิทธิภาพ เพราะเป็นข้อมูลที่ยืนยันได้ว่าเป้าหมายเป็นใครและมีทรัพย์สินระดับใด
ประเด็นที่น่ากังวลระดับอุตสาหกรรมคือ การที่ Revolut ปฏิเสธเปิดเผยชื่อหน่วยงานรัฐที่ถูกใช้เป็นทางเข้า ทำให้ฟินเทครายอื่นไม่สามารถไปตรวจสอบ log คำขอข้อมูลตามกฎหมายของตนเองว่าเคยได้รับข้อความจากบัญชีเดียวกันหรือไม่ ช่องว่างนี้อาจทำให้ผู้โจมตีที่ยังถือครองการเข้าถึงโดเมนหน่วยงานรัฐเดิม ใช้วิธีเดียวกันกับแพลตฟอร์มอื่น ๆ ต่อไปได้โดยไม่มีใครเชื่อมโยงเหตุการณ์เข้าด้วยกัน
คำแนะนำ
สำหรับผู้ให้บริการที่ต้องรับคำขอข้อมูลตามกฎหมาย ควรเลิกใช้การยืนยันโดเมนอีเมลเป็นด่านเดียว และเพิ่มขั้นตอนยืนยันกลับผ่านช่องทางอื่นเสมอ เช่น โทรกลับผ่านหมายเลขทางการของหน่วยงาน หรือใช้พอร์ทัลรับคำขอที่มีการยืนยันตัวตนระดับเจ้าหน้าที่ ก่อนปล่อยข้อมูลลูกค้าที่ละเอียดอ่อน ควรตั้งเกณฑ์ว่าคำขอที่ต้องการเอกสารระบุตัวตนหรือประวัติธุรกรรมจำนวนมากต้องผ่านการอนุมัติหลายชั้น
ทีมความมั่นคงควรจัดเก็บและตรวจสอบ log ของคำขอข้อมูลตามกฎหมายทั้งหมด เพื่อให้สามารถย้อนสอบได้หากพบว่ามีบัญชีต้นทางที่น่าสงสัย สำหรับผู้บริโภค หากได้รับแจ้งว่าข้อมูล KYC ของตนหลุด ควรระวังการหลอกลวงแบบเจาะจงตัวบุคคล (spear phishing) และความพยายามสวมรอยที่อ้างข้อมูลจริงเพื่อสร้างความน่าเชื่อถือ