สรุปสั้น
ศูนย์ข้อมูลกำลังพลของกระทรวงกลาโหมสหรัฐ หรือ Defense Manpower Data Center (DMDC) ซึ่งเก็บรักษาประวัติบุคลากรของเพนตากอน เริ่มแจ้งเตือนประชาชนว่าข้อมูลส่วนบุคคลของพวกเขาถูกเปิดเผย โดยตามหนังสือแจ้งเตือน ผู้ที่ไม่ได้รับอนุญาตสามารถเข้าถึงเซิร์ฟเวอร์แชร์ไฟล์เครื่องหนึ่งได้นานราว 9 เดือน สำเนาจดหมายแจ้งเตือนลงวันที่ 18 กันยายนที่ผู้รับรายหนึ่งเผยแพร่ออนไลน์ระบุว่าปัญหาถูกค้นพบช่วงกลางเดือนกรกฎาคม โดยเมื่อวันที่ 16 กรกฎาคม 2026 มีการค้นพบช่องโหว่ความปลอดภัยในระบบแชร์ไฟล์ของ DMDC ที่ยอมให้ผู้ไม่ได้รับอนุญาตเข้าถึงไฟล์ได้ และ DMDC ได้แพตช์ช่องโหว่พร้อมกู้คืนระบบทันที จดหมายไม่ได้ระบุชื่อผลิตภัณฑ์แชร์ไฟล์ที่ได้รับผลกระทบหรืออธิบายลักษณะช่องโหว่ การวิเคราะห์พบว่าระหว่างเดือนตุลาคม 2025 จนถึงวันที่ค้นพบ มีผู้ไม่ได้รับอนุญาตจำนวนไม่มากเข้าถึงไฟล์บนเซิร์ฟเวอร์ที่มีข้อมูล PII แบบไม่ได้เข้ารหัส ข้อมูลที่ถูกเปิดเผยต่างกันไปในแต่ละบุคคล ครอบคลุมทั้ง Social Security number ชื่อ วันเกิด ข้อมูลติดต่อ ข้อมูลประชากร และรหัสความชำนาญทางทหาร
รายละเอียดข่าว
เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 29 กันยายน 2569 ว่า DMDC ได้เริ่มแจ้งเตือนผู้ได้รับผลกระทบจากเหตุข้อมูลรั่ว โดยหน่วยงานระบุว่า “ในขณะนี้กระทรวงกลาโหมยังไม่มีสิ่งบ่งชี้ถึงการนำข้อมูลที่ถูกเข้าถึงไปใช้ในทางมิชอบ” จดหมายแจ้งเตือนไม่ได้ระบุจำนวนผู้ได้รับผลกระทบ แต่เจ้าหน้าที่กระทรวงกลาโหมบอกกับ CNN ว่าเหตุการณ์นี้กระทบผู้ที่ยังมีชีวิตอยู่ 2.76 ล้านราย และผู้เสียชีวิตแล้วอีก 294,000 ราย ตามข้อมูลบนเว็บไซต์ของ DMDC หน่วยงานนี้เก็บข้อมูลอย่างน้อย 60 ล้านรายการ ณ ปีงบประมาณ 2024 ครอบคลุมบุคลากรทหารและพลเรือน ผู้รับเหมา สมาชิกครอบครัว ผู้เกษียณ และทหารผ่านศึก ขณะนี้ยังไม่ชัดเจนว่าใครอยู่เบื้องหลังการโจมตี และยังไม่มีกลุ่มอาชญากรไซเบอร์รายใดออกมาอ้างความรับผิดชอบต่อการโจมตี DMDC โดย DMDC ระบุว่าได้เริ่มดำเนินการตอบสนองเหตุด้านความเป็นส่วนตัวและความมั่นคงปลอดภัยไซเบอร์หลังพบช่องโหว่
ข้อมูลที่รั่วและไทม์ไลน์
ตามลำดับเหตุการณ์ที่ปรากฏในหนังสือแจ้งเตือน ช่วงเวลาที่ผู้ไม่ได้รับอนุญาตเข้าถึงไฟล์เริ่มตั้งแต่เดือนตุลาคม 2025 ต่อเนื่องจนถึงกลางเดือนกรกฎาคม 2026 ที่มีการค้นพบและแพตช์ช่องโหว่ รวมระยะเวลาที่เซิร์ฟเวอร์เปิดช่องให้เข้าถึงได้ราว 9 เดือน จุดที่น่ากังวลเป็นพิเศษคือไฟล์บนเซิร์ฟเวอร์ที่ถูกเข้าถึงเก็บข้อมูล PII ไว้แบบไม่ได้เข้ารหัส ทำให้ข้อมูลอ่อนไหวอย่าง Social Security number อยู่ในรูปที่อ่านได้ทันทีหากถูกคัดลอกออกไป ทั้งนี้ หนังสือแจ้งเตือนยังคงไม่เปิดเผยชื่อผลิตภัณฑ์ระบบแชร์ไฟล์และรายละเอียดทางเทคนิคของช่องโหว่ ทำให้ยากต่อการประเมินว่าเป็นช่องโหว่ที่พบในผลิตภัณฑ์เชิงพาณิชย์ทั่วไปหรือเป็นระบบเฉพาะของหน่วยงาน
ผลกระทบ
เหตุการณ์นี้กระทบข้อมูลบุคลากรที่เชื่อมโยงกับกระทรวงกลาโหมสหรัฐจำนวนมาก ทั้งผู้ที่ยังมีชีวิตและเสียชีวิตแล้ว รวมกว่า 3 ล้านราย ซึ่งการรั่วไหลของ Social Security number ควบคู่กับชื่อ วันเกิด และข้อมูลติดต่อ เปิดความเสี่ยงต่อการฉ้อโกงข้อมูลตัวตน (identity theft) และการโจมตีแบบ social engineering ที่พุ่งเป้าไปยังบุคลากรและครอบครัว การที่ข้อมูลถูกเก็บแบบไม่เข้ารหัสและเซิร์ฟเวอร์เปิดช่องให้เข้าถึงได้นานหลายเดือนสะท้อนช่องว่างด้านการจัดการข้อมูลอ่อนไหวและการเฝ้าระวังการเข้าถึงในระบบที่เก็บข้อมูลบุคคลปริมาณมหาศาล แม้หน่วยงานจะระบุว่ายังไม่พบสัญญาณการนำข้อมูลไปใช้ในทางมิชอบ แต่ระยะเวลาที่ผู้บุกรุกเข้าถึงได้ยาวนานทำให้ประเมินขอบเขตความเสียหายที่แท้จริงได้ยาก
คำแนะนำ
องค์กรที่เก็บข้อมูลบุคคลปริมาณมากควรเข้ารหัสข้อมูล PII ทั้งขณะจัดเก็บ (at rest) เพื่อลดผลกระทบเมื่อไฟล์ถูกเข้าถึงโดยไม่ได้รับอนุญาต และควรจำกัดสิทธิ์การเข้าถึงเซิร์ฟเวอร์แชร์ไฟล์ตามหลัก least privilege พร้อมเปิดการบันทึกและเฝ้าติดตามการเข้าถึงไฟล์อย่างต่อเนื่อง เพื่อให้ตรวจจับพฤติกรรมผิดปกติได้เร็วขึ้น ไม่ปล่อยให้ผู้บุกรุกฝังตัวได้นานหลายเดือน นอกจากนี้ควรมีกระบวนการจัดการช่องโหว่และแพตช์ระบบแชร์ไฟล์อย่างสม่ำเสมอ ทำการประเมินความเสี่ยงของระบบที่เก็บข้อมูลอ่อนไหวเป็นระยะ และเตรียมแผนแจ้งเตือนผู้ได้รับผลกระทบพร้อมบริการเฝ้าระวังข้อมูลตัวตนกรณีเกิดเหตุรั่วไหล