สรุปสั้น

บริษัท CenterPoint Energy ผู้ให้บริการไฟฟ้าและก๊าซรายใหญ่ในเมืองฮิวสตัน รัฐเท็กซัส ยอมรับเมื่อวันจันทร์ว่ามีผู้บุกรุกเข้ามาขโมยข้อมูลส่วนบุคคลของลูกค้าบางส่วน โดยเปิดเผยเหตุการณ์ผ่านเอกสารแบบ 8-K ที่ยื่นต่อคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์สหรัฐ (ก.ล.ต. หรือ SEC) หลังจากที่แฮ็กเกอร์เริ่มนำข้อมูลออกมาประกาศขายบนโลกออนไลน์ บริษัทซึ่งจ่ายไฟฟ้าและก๊าซให้ลูกค้าราว 7 ล้านบัญชีในรัฐเท็กซัส อินดีแอนา มินนิโซตา และโอไฮโอ ระบุว่าผู้ไม่หวังดีเข้าถึงข้อมูลผ่านระบบที่เปิดสู่ภายนอกระบบหนึ่งของบริษัท

เมื่อวันที่ 12 กันยายน แฮ็กเกอร์ที่ใช้นามแฝง “4d722e4d656f77” อ้างบนฟอรัมอาชญากรรมไซเบอร์ว่าดึงข้อมูลลูกค้าราว 7.49 ล้านรายการออกมาได้ผ่าน API ที่ควบคุมโดยบริษัทเอง ซึ่งเขาอ้างว่าขาดทั้งการป้องกันด้วย WAF การจำกัดอัตราคำขอ และไม่มีโทเค็นยืนยันตัวตน ข้อมูลที่อ้างว่าหลุดครอบคลุมชื่อ หมายเลขโทรศัพท์ ที่อยู่สำหรับให้บริการและออกใบแจ้งหนี้ หมายเลขบัญชี ยอดค่าบริการ สถานะการชำระเงิน และเลขประกันสังคมบางส่วน อย่างไรก็ตาม เอกสารที่บริษัทยื่นต่อ ก.ล.ต. ไม่ได้ยืนยันตัวเลข 7.49 ล้านรายการ และยังไม่มีสำนักข่าวอิสระใดตรวจสอบชุดข้อมูลที่หลุดได้ครบถ้วน

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 16 กันยายน 2569 ว่า บริษัท CenterPoint Energy รับทราบเหตุการณ์นี้หลังพบโพสต์บนฟอรัมใต้ดินที่แฮ็กเกอร์นำข้อมูลซึ่งอ้างว่าขโมยมาจากระบบของบริษัทออกมาเผยแพร่ จากนั้นบริษัทจึงเร่งปิดกั้นระบบของตนเพื่อจำกัดความเสียหาย ในเอกสารแบบ 8-K บริษัทระบุว่า “ในเดือนกันยายน 2569 บริษัทได้รับทราบถึงโพสต์ออนไลน์จากบุคคลที่สามที่อ้างว่าได้ครอบครองชุดข้อมูลซึ่งมีข้อมูลลูกค้าบางส่วนของบริษัท” และยืนยันว่าบุคคลที่สามที่ไม่ได้รับอนุญาตได้เข้าถึงข้อมูลส่วนบุคคลของลูกค้าบางรายผ่านระบบที่เปิดสู่ภายนอก

บริษัทเน้นย้ำว่าบริการด้านพลังงานไม่ได้รับผลกระทบ และกำลังอยู่ระหว่างการสอบสวน ประเมินขอบเขตของข้อมูลที่ถูกเปิดเผย พร้อมจะแจ้งเตือนลูกค้าที่ได้รับผลกระทบ หน่วยงานกำกับดูแล และหน่วยงานบังคับใช้กฎหมายตามที่กฎหมายกำหนด ในโพสต์บนฟอรัม แฮ็กเกอร์ยังโอ้อวดว่าข้อมูลถูกจัดเก็บเป็นไฟล์ .jsonl รวม 7 ไฟล์ หนึ่งบรรทัดต่อผู้ใช้หนึ่งราย และมีไฟล์ CSV ที่กรองเฉพาะข้อมูลระบุตัวตนไว้แยกต่างหาก พร้อมเสนอไฟล์บีบอัดขนาด 2.5 GB ให้ดาวน์โหลด และขู่ว่า “ครั้งหน้าเราจะไม่แค่ดึงข้อมูล แต่จะเริ่มโจมตีโครงสร้างพื้นฐานหลัก” ซึ่งแม้จะฟังดูเป็นคำขู่บนฟอรัม แต่ก็เป็นสิ่งที่ผู้ดูแลโครงสร้างพื้นฐานสำคัญไม่ควรมองข้าม เนื่องจากผู้โจมตีมักพูดเกินจริงหรือนำข้อมูลเก่ามาแพ็กใหม่ ขอบเขตที่แท้จริงจึงอาจต่างจากที่กล่าวอ้าง

วิธีการโจมตี

จากคำกล่าวอ้างของผู้โจมตี จุดที่ถูกเจาะคือ API ที่บริษัทเปิดให้เข้าถึงได้จากภายนอก ซึ่งเขาระบุว่าออกแบบมาอย่างหละหลวมหลายด้าน ทั้งไม่มี WAF (Web Application Firewall) คอยกรองคำขอที่เป็นอันตราย ไม่มีการจำกัดอัตราคำขอ (rate limiting) เพื่อสกัดการดึงข้อมูลจำนวนมากในเวลาสั้น ไม่มีการป้องกันด้วยใบรับรอง และไม่มีโทเค็น JWT หรือกลไกยืนยันตัวตนใด ๆ ที่ต้องผ่านก่อนจึงจะดึงข้อมูลได้ ช่องว่างเหล่านี้ทำให้ผู้โจมตีสามารถวนดึงข้อมูลออกมาทีละบรรทัดจนสะสมได้จำนวนมหาศาล

ผู้โจมตียังอ้างว่า ระหว่างการดึงข้อมูลถึงราว 7.49 ล้านรายการ บริษัทเพิ่งพยายามขัดขวางการดูดข้อมูล และหากไม่มีการใส่ระบบยืนยันแบบ CAPTCHA เข้ามาขวางไว้ ก็อาจดึงข้อมูลได้มากถึง 17.44 ล้านรายการ รูปแบบการโจมตีลักษณะนี้สะท้อนปัญหาที่พบได้ทั่วไปในภาคส่วนต่าง ๆ คือระบบที่เปิดสู่อินเทอร์เน็ต API ที่ป้องกันไม่รัดกุม และบริการที่ตั้งค่าผิดพลาด ล้วนเปิดช่องให้ผู้โจมตีเข้าถึงได้ง่าย ขณะที่องค์กรเองมักตรวจจับและหยุดยั้งการโจมตีไม่ทันก่อนข้อมูลจะถูกขโมยออกไป

อัปเดต 16 ต.ค. 2569: ยืนยันผู้เสียหายในเท็กซัส 1,062,060 ราย ข้อมูลหลุดรวมเลขประกันสังคมและเลขใบขับขี่

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 16 ตุลาคม 2569 ว่า บริษัท CenterPoint Energy แจ้งต่อสำนักงานอัยการสูงสุดรัฐเท็กซัสว่าเหตุข้อมูลรั่วครั้งนี้กระทบผู้อยู่อาศัยในรัฐเท็กซัส 1,062,060 ราย ตามฐานข้อมูลเหตุข้อมูลรั่วของรัฐที่เผยแพร่ออกมา และสถานีข่าว Click2Houston รายงานว่าข้อมูลที่เกี่ยวข้องมีทั้งชื่อ ที่อยู่ ข้อมูลเลขประกันสังคม และเลขใบอนุญาตขับขี่ของลูกค้า ซึ่งรุนแรงกว่ารายการที่แฮ็กเกอร์อ้างไว้ตอนแรก (ซึ่งระบุเพียงเลขประกันสังคมบางส่วน) ขณะที่ ณ วันที่รายงาน บริษัทดูเหมือนยังไม่ได้ส่งจดหมายแจ้งผู้ได้รับผลกระทบเป็นรายบุคคล

ตัวเลข 1.06 ล้านรายนี้เป็นเฉพาะผู้เสียหายในรัฐเท็กซัส จึงยังเทียบโดยตรงกับคำอ้างของแฮ็กเกอร์ที่ว่าดึงข้อมูลได้ราว 7.49 ล้านรายการไม่ได้ เพราะบริษัทให้บริการในรัฐอินดีแอนา โอไฮโอ และมินนิโซตาด้วย โฆษกของบริษัทระบุเมื่อวันพุธว่ายังคงสอบสวนร่วมกับผู้เชี่ยวชาญภายนอกด้านความปลอดภัยไซเบอร์ นิติวิทยาศาสตร์ และกฎหมาย เพื่อประเมินขอบเขตข้อมูลลูกค้าที่ได้รับผลกระทบและระบุว่าลูกค้ารายใดจะได้รับการแจ้งเตือนตามที่กฎหมายกำหนด

ผลกระทบ

หากตัวเลขที่อ้างเป็นจริง เหตุการณ์นี้กระทบลูกค้าของบริษัทสาธารณูปโภคขนาดใหญ่จำนวนมาก โดยข้อมูลที่เสี่ยงหลุดไม่ใช่แค่ชื่อและที่อยู่ แต่รวมถึงหมายเลขบัญชี ยอดค่าบริการ และเลขประกันสังคมบางส่วน ซึ่งเพียงพอให้ผู้ไม่หวังดีนำไปประกอบเป็นข้อมูลหลอกลวงที่ดูน่าเชื่อถือ ลูกค้าที่ได้รับผลกระทบจึงเสี่ยงต่อการถูกฟิชชิงแบบเจาะจง การโจมตีแบบยัดรหัสผ่านที่รั่ว (credential stuffing) และข้อความเรียกเก็บเงินปลอมที่อ้างข้อมูลจริงเพื่อให้ดูสมจริง

ในเชิงโครงสร้าง เหตุการณ์นี้เป็นเครื่องเตือนสำหรับผู้ให้บริการโครงสร้างพื้นฐานสำคัญว่า จุดอ่อนไม่จำเป็นต้องอยู่ที่ระบบควบคุมการจ่ายไฟหรือ OT เสมอไป แต่ API ฝั่งลูกค้าที่ป้องกันไม่รัดกุมก็สามารถทำให้ข้อมูลส่วนบุคคลของผู้ใช้หลายล้านรายรั่วไหลได้ และคำขู่ของผู้โจมตีที่ว่าจะยกระดับไปโจมตีโครงสร้างพื้นฐานหลัก ยิ่งเป็นเหตุผลให้ต้องรีบอุดช่องโหว่และเฝ้าระวังอย่างจริงจัง

คำแนะนำ

สำหรับลูกค้าของ CenterPoint Energy ควรตั้งสมมติฐานไว้ก่อนว่าชื่อ ที่อยู่ ข้อมูลบัญชี และเลขประกันสังคมบางส่วนอาจถูกเปิดเผยไปแล้ว จึงควรระมัดระวังข้อความฟิชชิงที่เจาะจง อีเมลหรือ SMS เรียกเก็บเงินปลอม และการติดต่อที่อ้างข้อมูลส่วนตัวเพื่อสร้างความน่าเชื่อถือ ควรพิจารณาเฝ้าติดตามความเคลื่อนไหวของบัญชีทางการเงินและขออายัดเครดิต (credit freeze) หากกังวลว่าข้อมูลจะถูกนำไปสวมรอย และหลีกเลี่ยงการกดลิงก์หรือให้ข้อมูลผ่านช่องทางที่ไม่ได้เริ่มต้นติดต่อด้วยตนเอง

สำหรับองค์กรที่เปิด API สู่ภายนอก บทเรียนสำคัญคือต้องบังคับใช้การยืนยันตัวตนและการอนุญาต (authentication/authorization) กับทุกเอนด์พอยต์ ใส่การจำกัดอัตราคำขอเพื่อสกัดการดึงข้อมูลจำนวนมาก วาง WAF ไว้ด้านหน้า ตรวจสอบว่าไม่มีเอนด์พอยต์ที่เข้าถึงได้โดยไม่ต้องยืนยันตัวตนหลงเหลืออยู่ และเฝ้าติดตามพฤติกรรมการเรียก API ที่ผิดปกติเพื่อตรวจจับการดูดข้อมูลตั้งแต่เนิ่น ๆ

แหล่งอ้างอิง