สรุปสั้น

บริษัท ASOS ร้านค้าแฟชั่นออนไลน์รายใหญ่ของสหราชอาณาจักรกำลังสอบสวนเหตุการณ์ไซเบอร์ หลังลูกค้าที่ใช้แอปได้รับการแจ้งเตือนที่ไม่ได้รับอนุญาตเมื่อเวลาราว 10 โมงเช้าของวันที่ 6 ตุลาคม 2569 ภายใต้หัวข้อ “ASOS HACKED” ข้อความเขียนถึงเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) และทีมไอทีของบริษัทโดยตรง อ้างว่า “ยึด Snowflake instance ได้ทั้งหมดแล้ว” และขู่ว่าจะปล่อยข้อมูลหากบริษัทไม่ติดต่อกลับ พร้อมแนบลิงก์ Telegram ผู้โจมตีจึงใช้ช่องทางสื่อสารกับลูกค้าของบริษัทเองเป็นเวทีกดดันต่อหน้าสาธารณะ

ASOS ยืนยันว่ามีการใช้งานโดยไม่ได้รับอนุญาตบนแพลตฟอร์มภายนอกที่บริษัทใช้สื่อสารกับลูกค้า ได้จำกัดการเข้าถึงแพลตฟอร์มแจ้งเตือนทันที และระบุว่าข้อมูลพื้นฐาน เช่น ชื่อและช่องทางติดต่อ อาจถูกเข้าถึง แต่เชื่อว่าข้อมูลบัตรชำระเงินและรหัสผ่านบัญชีไม่ได้รับผลกระทบ ทั้งนี้เป็นการประเมินเบื้องต้นเท่านั้น และคำอ้างว่า Snowflake ของบริษัทถูกยึดยังไม่มีการยืนยัน ภาพหน้าจอการแจ้งเตือนพิสูจน์ได้เพียงว่าลูกค้าเห็นข้อความอะไร ไม่ได้พิสูจน์ว่าฐานข้อมูลถูกเจาะจริง หุ้น ASOS ร่วงกว่า 11% โดยช่วงหนึ่งลดลงถึง 13% ระหว่างวัน

อัปเดต 7 ตุลาคม 2569: ASOS ยื่นแจ้งตลาดหลักทรัพย์ลอนดอนยืนยันว่าแพลตฟอร์มภายนอกที่ใช้สื่อสารกับลูกค้าถูกแฮ็ก โดยไม่เอ่ยถึง Snowflake เลย ขณะที่กลุ่มที่เรียกตัวเองว่า Xuanye Group ออกมาอ้างความรับผิดชอบผ่านช่อง Telegram ที่เพิ่งสร้างใหม่ ด้าน Snowflake ระบุว่าไม่พบการเจาะระบบแพลตฟอร์มของตน (รายละเอียดในหัวข้อด้านล่าง)

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 6 ตุลาคม 2569 ว่า ASOS แถลงว่า “เรากำลังสอบสวนการใช้งานโดยไม่ได้รับอนุญาตที่เกี่ยวข้องกับแพลตฟอร์มภายนอกที่เราใช้สื่อสารกับลูกค้า” และยืนยันว่ามี “การแจ้งเตือนลูกค้าที่ไม่ได้รับอนุญาต” บริษัทกำลังทำงานร่วมกับผู้เชี่ยวชาญและหน่วยงานที่เกี่ยวข้อง ระบุว่าเว็บไซต์และแอปยังทำงานตามปกติ และยืนยันว่ามีประกันภัยไซเบอร์และความต่อเนื่องทางธุรกิจกับผู้รับประกันรายใหญ่ระดับโลก แต่ยังเร็วเกินไปที่จะประเมินผลกระทบต่อการค้า

นางสาว Charlotte Wilson จากบริษัท Check Point ให้สัมภาษณ์กับ BBC ว่าผู้โจมตีอาจต้องการทำให้ ASOS อับอายผ่านข้อความสาธารณะ และย้ำว่าการเข้าถึง Snowflake ตามที่อ้างยังไม่ได้รับการยืนยัน Snowflake เป็นแพลตฟอร์มคลาวด์สำหรับจัดเก็บและวิเคราะห์ข้อมูลที่ธุรกิจจำนวนมากใช้ การเข้าถึงแพลตฟอร์มแจ้งเตือนโดยไม่ได้รับอนุญาตจึงไม่ได้แปลว่าผู้โจมตีเข้าถึงฐานข้อมูลบนคลาวด์ ระบบชำระเงิน หรือเครือข่ายค้าปลีกส่วนอื่นโดยอัตโนมัติ ผู้สอบสวนยังต้องหาจุดเริ่มต้นของการเจาะ ระบบที่เกี่ยวข้อง และพิสูจน์ว่ามีการคัดลอกข้อมูลลูกค้าออกไปหรือไม่

เหตุการณ์นี้เกิดหลังจากที่ ASOS เคยแจ้งเมื่อเดือนสิงหาคม 2569 ว่าบัญชีลูกค้าบางส่วนถูกเข้าถึงด้วยข้อมูลล็อกอินที่รั่วจากแหล่งภายนอกบริษัท (credential stuffing) ซึ่งตรวจพบวันที่ 28 กรกฎาคม และยืนยันในวันถัดมา ครั้งนั้นข้อมูลที่อาจถูกเข้าถึงมีชื่อ ที่อยู่ เบอร์โทรศัพท์ วันเกิด และรายละเอียดบัตรบางส่วน เช่น เลขสี่หลักท้ายและวันหมดอายุ ASOS บล็อกบัญชีที่ได้รับผลกระทบและบังคับรีเซ็ตรหัสผ่านเมื่อ 29 กรกฎาคม ทั้งนี้ยังไม่มีหลักฐานเชื่อมโยงเหตุครั้งก่อนกับการสอบสวนแพลตฟอร์มแจ้งเตือนครั้งนี้

อัปเดต: ASOS แจ้งตลาดหลักทรัพย์ และกลุ่ม Xuanye Group อ้างความรับผิดชอบ

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 7 ตุลาคม พ.ศ. 2569 ว่า ASOS ยื่นเอกสารต่อตลาดหลักทรัพย์ลอนดอนเมื่อวันอังคารที่ 6 ตุลาคม ยืนยันว่าลูกค้าได้รับการแจ้งเตือนที่ไม่ได้รับอนุญาตหลังจากแพลตฟอร์มภายนอกที่ใช้สื่อสารกับลูกค้าถูกแฮ็ก บริษัทระบุว่า “เราดำเนินการจำกัดการเข้าถึงแพลตฟอร์มแจ้งเตือนทันที และกำลังทำงานร่วมกับที่ปรึกษาผู้เชี่ยวชาญทั้งภายในและภายนอก รวมถึงหน่วยงานที่เกี่ยวข้องทั้งหมด” ข้อมูลที่อาจถูกเข้าถึงยังคงเป็นชื่อและช่องทางติดต่อ และ ASOS ยังเชื่อว่าข้อมูลบัตรชำระเงินและรหัสผ่านบัญชีไม่ได้รับผลกระทบ เอกสารไม่ระบุว่าแพลตฟอร์มที่ถูกเจาะเป็นของผู้ให้บริการรายใด ไม่ระบุว่าใครอยู่เบื้องหลัง และไม่เอ่ยถึง Snowflake เลย คำอ้างเรื่อง Snowflake จึงยังเป็นเพียงคำกล่าวอ้างของผู้โจมตีเช่นเดิม

กลุ่มที่เรียกตัวเองว่า Xuanye Group ออกมาอ้างว่าเป็นผู้ก่อเหตุผ่านช่อง Telegram ที่เพิ่งสร้างใหม่ นาย Daniel dos Santos รองประธานฝ่ายวิจัยของ Forescout Research – Vedere Labs ระบุว่าชื่อกลุ่มชี้ไปทางผู้ก่อภัยที่ใช้ภาษาจีน แต่ก็อาจเป็นการจงใจใช้ชื่อเพื่อเบี่ยงเบน (false flag) เขาเทียบกับเหตุการณ์ปี 2567 ที่กลุ่ม ShinyHunters เจาะ Snowflake instance ขององค์กรกว่า 160 แห่งด้วย credential ที่ได้จากอินโฟสตีลเลอร์ แล้วนำข้อมูลไปรีดไถ และบอกว่าเหตุครั้งนี้อาจคล้ายกัน แต่ยังไม่มีการยืนยันว่าผู้โจมตีเข้าถึงครั้งแรกด้วยวิธีใด

นางสาว Natalie Page หัวหน้าฝ่ายข่าวกรองภัยคุกคามของบริษัท Talion Cyber Security มองว่า หากผู้โจมตีเจาะ ASOS ผ่านช่องโหว่ของ Snowflake ได้จริง ควรเร่งสอบสวนเป็นลำดับแรกว่ากระทบองค์กรอื่นที่ใช้แพลตฟอร์มเดียวกันด้วยหรือไม่ เธอยังชี้ว่าการส่งข้อความหาลูกค้าผ่านแอป ASOS โดยตรงแสดงว่าผู้โจมตีต้องการให้เหตุการณ์เป็นข่าว ซึ่งเป็นกลยุทธ์ปกติของกลุ่มรีดไถที่ใช้ความสนใจของสื่อกดดันเหยื่อ

ด้านบริษัท Snowflake เปิดการสอบสวนหลังเห็นข้อความดังกล่าว และโฆษกให้ข้อมูลกับ BBC และ Bloomberg ว่า “ขณะนี้เราไม่พบการเจาะระบบแพลตฟอร์ม Snowflake” พร้อมระบุว่าการสอบสวนยังดำเนินอยู่ อย่างไรก็ตาม คำปฏิเสธนี้ครอบคลุมเฉพาะแพลตฟอร์มส่วนกลาง ไม่ได้ตัดความเป็นไปได้ที่บัญชี Snowflake ของลูกค้ารายใดรายหนึ่งจะถูกเข้าถึงด้วย credential ที่ถูกขโมย ซึ่งเป็นรูปแบบเดียวกับเหตุการณ์ปี 2567 ที่มีลูกค้าได้รับผลกระทบราว 165 ราย สำนักงานความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) กำลังช่วย ASOS รับมือเหตุการณ์ ขณะที่ ASOS มีลูกค้าที่ใช้งานอยู่ราว 16.4 ล้านรายในกว่า 100 ตลาด แต่ยังไม่เปิดเผยว่ามีลูกค้ากี่รายได้รับการแจ้งเตือนหรือมีข้อมูลกี่รายการที่อาจถูกเข้าถึง

ฝั่ง Xuanye Group ลิงก์ในการแจ้งเตือนพาไปยังช่อง Telegram ทางผ่าน ก่อนส่งต่อไปยังช่องที่กลุ่มเรียกว่าช่องประกาศหลัก กลุ่มอ้างว่าข้อมูลการชำระเงินไม่ได้รับผลกระทบ แอป ASOS ยังใช้งานได้ปลอดภัย และข้อมูลลูกค้าที่ได้ไปถูกเก็บไว้บนเซิร์ฟเวอร์ของกลุ่มเองโดยจะยังไม่แตะต้องในช่วงเวลาหนึ่ง แต่กลุ่มยังไม่เผยแพร่ตัวอย่างข้อมูลใด ๆ และไม่เคยมีประวัติในฟอรัมอาชญากรรมไซเบอร์หรือเว็บ leak มาก่อน สื่อหลายสำนักรวมถึง Bloomberg จึงยืนยันคำอ้างของกลุ่มไม่ได้ ส่วนตัวเลขหุ้นที่ร่วงก็ต่างกันตามช่วงเวลาที่วัด ตั้งแต่ราว 10-11% ตอนปิด ไปจนถึง 14-15% ในช่วงที่ลงหนักที่สุดระหว่างวัน

อัปเดต 2: ASOS เผยจุดเริ่มต้นคือพนักงานถูกหลอกเอารหัสผ่าน

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 8 ตุลาคม 2569 โดยอ้างประกาศอัปเดตล่าสุดของ ASOS ถึงลูกค้าว่า ผู้ไม่ได้รับอนุญาตแอบอ้างเป็นผู้ติดต่อที่พนักงานคนหนึ่งไว้ใจ แล้วได้ข้อมูลล็อกอินของพนักงานคนนั้นไป ก่อนใช้สิทธิ์ของบัญชีดังกล่าวหาข้อมูลเกี่ยวกับแพลตฟอร์มภายนอกหลายรายการของบริษัท ซึ่งหนึ่งในนั้นคือระบบส่งการแจ้งเตือนของแอปมือถือ ASOS มีพนักงานราว 2,800 คน แต่ผู้โจมตีต้องการ credential ของพนักงานเพียงคนเดียวเพื่อขยายการเข้าถึงไปยังระบบสำคัญหลายระบบ ส่วนเส้นทางที่แน่ชัดจากบัญชีพนักงานไปสู่สิทธิ์ส่งข้อความถึงลูกค้าทั้งฐานยังไม่ได้รับการยืนยัน

ผู้โจมตีบอกนักข่าว BBC ว่าใช้ Simon AI แพลตฟอร์มการตลาดแบบ agentic ที่ทำงานภายใน data cloud อย่าง Snowflake ในการเข้าถึงข้อมูลลูกค้า แต่ทั้ง ASOS และนักวิจัยอิสระยังยืนยันรายละเอียดนี้ไม่ได้ ASOS ยอมรับว่าผู้โจมตีได้ชื่อ “ข้อมูลติดต่อ” และข้อมูลบัญชีที่ไม่ใช่ข้อมูลส่วนบุคคล ขณะที่ BBC พบว่าชุดข้อมูลมีที่อยู่ เบอร์โทรศัพท์ อีเมล วันเกิด หมายเลขลูกค้า และประวัติการค้นหาสินค้าบน ASOS กลุ่ม Xuanye บอก The Telegraph ว่าจะไม่แตะข้อมูลเป็นเวลา 2 สัปดาห์ Dark Reading อ้างตัวเลขลูกค้าของ ASOS ราว 17 ล้านราย ต่างจากตัวเลข 16.4 ล้านรายที่อ้างไว้ข้างต้นเล็กน้อย และระบุว่าหุ้นร่วงสูงสุด 13% ก่อนฟื้นกลับมาราวครึ่งหนึ่ง

รายงานข่าวกรองของบริษัท Check Point ที่แบ่งปันกับ Dark Reading ประเมินว่าเหตุครั้งนี้ไม่น่าเกี่ยวกับเหตุของ ASOS US ในเดือนกรกฎาคม ที่ผู้โจมตีน่าจะใช้ credential stuffing เข้าถึงข้อมูลส่วนบุคคล ข้อมูลโซเชียล และข้อมูลการชำระเงินบางส่วนของผู้ใช้เกือบ 140,000 ราย นาย Aaron Rose สถาปนิกความปลอดภัยของ Check Point ชี้ว่าแพลตฟอร์มการตลาดและการแจ้งเตือนมักถูกฝ่ายธุรกิจซื้อและดูแลเอง ทีมความปลอดภัยจึงไม่ได้อยู่ในห้องตอนตั้งค่า ระบบเหล่านี้ไม่ค่อยอยู่ในรายการที่ถูกเฝ้าระวัง บัญชีมักมีสิทธิ์กว้างจนบัญชีเดียวส่งข้อความถึงลูกค้าทั้งหมดได้ และมักไม่มีการอนุมัติชั้นที่สองหรือการแจ้งเตือนเมื่อมีการส่งถึงทุกคนพร้อมกัน Check Point แนะนำให้ลูกค้าระวังข้อความที่อ้างว่ามาจาก ASOS ไปอีกระยะ ด้านนาย Justin Moore ผู้อำนวยการฝ่าย adversary operations ของบริษัท Arctic Wolf เสนอว่าองค์กรควรนับแพลตฟอร์มสื่อสารกับลูกค้าเป็นส่วนหนึ่งของโครงสร้างพื้นฐานความปลอดภัยที่สำคัญ เพราะผู้โจมตีเริ่มเห็นคุณค่าของ “ความไว้ใจ” ที่แพลตฟอร์มเหล่านี้ถือไว้

วิธีการโจมตี

จากข้อมูลที่เปิดเผยถึงตอนนี้ สิ่งที่ยืนยันได้มีเพียงว่าผู้โจมตีเข้าถึงแพลตฟอร์มภายนอกที่ ASOS ใช้ส่งการแจ้งเตือนและข้อความถึงลูกค้า แล้วใช้สิทธิ์นั้นส่ง push notification ไปยังผู้ใช้แอป ASOS ยังไม่เปิดเผยว่าแพลตฟอร์มดังกล่าวคือผู้ให้บริการรายใด ส่วนจุดเริ่มต้น ASOS อัปเดตภายหลังว่ามาจาก social engineering ที่แอบอ้างเป็นผู้ติดต่อที่พนักงานไว้ใจเพื่อเอาข้อมูลล็อกอิน (ดูอัปเดต 2) แต่ขั้นตอนจากบัญชีพนักงานไปสู่สิทธิ์ส่งข้อความถึงลูกค้ายังไม่ได้รับการยืนยัน

ลักษณะข้อความที่เขียนถึง DPO และทีมไอทีโดยตรง พร้อมลิงก์ Telegram ให้ติดต่อกลับ สะท้อนรูปแบบการรีดไถแบบขโมยข้อมูลแล้วขู่ปล่อย ซึ่งไม่ต้องเข้ารหัสระบบ การยิงข้อความผ่านช่องทางที่ลูกค้าเห็นทำให้เหตุการณ์กลายเป็นเรื่องสาธารณะก่อนที่บริษัทจะประเมินขอบเขตได้ครบ และกดดันให้บริษัทต้องเจรจา ส่วนคำอ้างเรื่อง Snowflake ยังเป็นเพียงคำกล่าวอ้างของผู้โจมตี

ผลกระทบ

ผลกระทบที่ยืนยันแล้วคือความเสียหายต่อความเชื่อมั่นและมูลค่าตลาด หุ้นที่ร่วงกว่า 11% ภายในวันเดียวแสดงว่าข้อความเพียงหนึ่งชุดที่ส่งผ่านช่องทางแจ้งเตือนสร้างแรงกดดันได้มาก แม้ยังไม่มีการยืนยันว่าข้อมูลสำคัญรั่ว ข้อมูลที่บริษัทยอมรับว่าอาจถูกเข้าถึงคือชื่อและช่องทางติดต่อ ซึ่งเพียงพอสำหรับฟิชชิงที่อ้างเหตุการณ์นี้

กรณีนี้ชี้ให้เห็นความเสี่ยงของแพลตฟอร์มภายนอกที่ได้สิทธิ์ส่งข้อความถึงลูกค้าทั้งฐาน หากสิทธิ์ใช้งานแพลตฟอร์มเหล่านี้หลุด ผู้โจมตีจะได้ช่องทางที่ลูกค้าเชื่อถือ ไม่ว่าจะใช้ประจานบริษัทหรือส่งลิงก์ฟิชชิงในนามแบรนด์ หาก Snowflake ถูกเจาะจริงตามที่อ้าง ขอบเขตข้อมูลอาจกว้างกว่าที่ประเมินตอนนี้มาก

คำแนะนำ

  • องค์กรที่ใช้แพลตฟอร์มส่ง push notification, SMS หรืออีเมลถึงลูกค้า ควรบังคับ MFA และจำกัดสิทธิ์ผู้ใช้ที่ส่งข้อความถึงลูกค้าทั้งหมดได้ ใช้ระบบอนุมัติสองชั้นสำหรับแคมเปญขนาดใหญ่
  • หมุนเวียน API key และโทเคนของแพลตฟอร์มสื่อสารลูกค้าเป็นระยะ เก็บในระบบจัดการความลับ และเฝ้าระวังการส่งข้อความนอกเวลาหรือนอกเทมเพลตที่อนุมัติไว้
  • ตรวจการเข้าถึง data warehouse อย่าง Snowflake ให้บังคับ MFA จำกัด network policy และตรวจหาการ query หรือ export ข้อมูลปริมาณมากที่ผิดปกติ
  • เตรียมแผนสื่อสารภาวะวิกฤตสำหรับกรณีช่องทางของแบรนด์ถูกใช้ส่งข้อความปลอม รวมถึงวิธีแจ้งลูกค้าผ่านช่องทางทางการอื่น
  • ลูกค้าไม่ควรกดลิงก์ Telegram ระวังอีเมลหรือ SMS ที่อ้างเหตุการณ์นี้เพื่อขอรหัสผ่านหรือเงิน และเปลี่ยนรหัสผ่านที่ใช้ซ้ำกับบริการอื่นเป็นรหัสที่ไม่ซ้ำกัน การได้รับการแจ้งเตือนเพียงอย่างเดียวไม่ได้แปลว่าโทรศัพท์ของลูกค้าถูกแฮ็ก

แหล่งอ้างอิง