สรุปสั้น

บริษัท Nikkei กลุ่มสื่อยักษ์ใหญ่ของญี่ปุ่นที่รู้จักจากหนังสือพิมพ์การเงินอย่าง The Nikkei และ Financial Times เปิดเผยเหตุข้อมูลรั่วครั้งใหม่ที่กระทบข้อมูลมากกว่า 1.8 ล้านรายการ เหตุเกิดกับบริการคลาวด์ที่บริษัทใช้สำหรับพัฒนาระบบ เมื่อเช้าวันที่ 7 ตุลาคม 2569 ผู้โจมตีใช้ข้อมูลรับรองที่ถูกขโมยมาก่อนหน้าเข้าสู่บริการคลาวด์ดังกล่าวและนำข้อมูลออกไปรวม 1.83 ล้านรายการ ในจำนวนนี้ราว 1.68 ล้านรายการเป็นข้อมูลที่ระบุตัวบุคคลไม่ได้ ส่วนที่เหลือ 150,000 รายการมีชื่อ ที่อยู่ อีเมล เบอร์โทรศัพท์ และวันเกิด และอีก 120,000 รายการมีอีเมล

Nikkei ระบุว่าไม่มีข้อมูลบัตรเครดิตรั่ว และได้เพิกถอนข้อมูลรับรองที่ถูกใช้ทันทีที่ตรวจพบ แจ้งหน่วยงานกำกับดูแลแล้ว และยังสอบสวนขอบเขตต่อ ณ วันที่ 16 ตุลาคม บริษัทยังไม่พบหลักฐานว่าข้อมูลส่วนบุคคลถูกนำไปใช้ในทางที่ผิด และเหตุครั้งนี้ไม่ได้ทำให้ระบบหยุดชะงักหรือข้อมูลถูกแก้ไข เหตุนี้เกิดขึ้นไม่ถึงปีหลังจาก Nikkei เปิดเผยเหตุข้อมูลรั่วที่มีต้นเหตุจากบัญชี Slack ถูกแฮ็ก ซึ่งตอกย้ำว่าข้อมูลรับรองที่หลุดคือช่องทางหลักที่บริษัทยังปิดไม่สนิท

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 20 ตุลาคม 2569 ว่า Nikkei ประกาศบนเว็บไซต์ของบริษัทว่าเหตุการณ์เกี่ยวข้องกับบริการคลาวด์ที่ใช้พัฒนาระบบ และผู้โจมตีเข้าถึงด้วยข้อมูลรับรองที่ถูกเจาะมาก่อนหน้านี้ ประกาศไม่ได้ระบุชื่อผู้ให้บริการคลาวด์ ชนิดของข้อมูลรับรอง หรือว่าข้อมูลรับรองนั้นหลุดมาจากที่ใด

ข้อมูลที่ถูกขโมยแบ่งได้เป็นสามกลุ่ม ราว 1.68 ล้านรายการเป็นข้อมูลที่ระบุตัวบุคคลไม่ได้ 150,000 รายการมีข้อมูลส่วนบุคคลครบชุดคือชื่อ ที่อยู่ อีเมล เบอร์โทรศัพท์ และวันเกิด และ 120,000 รายการมีเพียงอีเมล บริษัทยังไม่ระบุว่าผู้ได้รับผลกระทบเป็นสมาชิกสมัครรับข่าว ผู้ใช้บริการ หรือพนักงาน

Nikkei กล่าวขออภัยและระบุว่า “เราจะแจ้งท่านเป็นรายบุคคลหากยืนยันได้ว่าข้อมูลส่วนบุคคลรั่วไหล” และจะใช้มาตรการความปลอดภัยเพิ่มเติมหากจำเป็น ยังไม่มีกลุ่มใดออกมาอ้างความรับผิดชอบ

วิธีการโจมตี

ข้อมูลที่เปิดเผยมีจำกัด แต่โครงของเหตุการณ์ตรงกับรูปแบบที่พบบ่อยในปีนี้ คือผู้โจมตีไม่ต้องใช้ช่องโหว่ใดเลย แค่นำข้อมูลรับรองที่ได้มาจากเหตุก่อนหน้า (เช่น infostealer การรั่วของ token หรือบัญชีที่ถูกฟิชชิง) มาล็อกอินเข้าบริการคลาวด์โดยตรง

สภาพแวดล้อมสำหรับพัฒนาระบบเป็นเป้าที่น่าสนใจเพราะมักมีสำเนาข้อมูลจริงไว้ทดสอบ ขณะที่การควบคุมการเข้าถึง การบังคับ MFA และการเฝ้าระวังมักหละหลวมกว่าระบบ production การที่ข้อมูลส่วนใหญ่ระบุตัวบุคคลไม่ได้ แต่ยังมีข้อมูลส่วนบุคคลครบชุด 150,000 รายการปนอยู่ บ่งชี้ว่าสภาพแวดล้อมพัฒนามีข้อมูลจริงที่ไม่ได้ทำให้เป็นข้อมูลนิรนาม

ผลกระทบ

ผู้ได้รับผลกระทบ 150,000 รายที่ข้อมูลรั่วครบชุดเสี่ยงต่อฟิชชิงแบบเจาะจงที่อ้างชื่อ Nikkei หรือบริการสมัครสมาชิกข่าว เพราะผู้โจมตีรู้ทั้งชื่อ ที่อยู่ และวันเกิด อีก 120,000 อีเมลก็อาจถูกนำไปใช้ส่งสแปมหรือฟิชชิงทั่วไป

สำหรับองค์กรสื่อ นี่เป็นเหตุครั้งที่สองในเวลาไม่ถึงปีที่มีต้นเหตุจากข้อมูลรับรองถูกขโมย สะท้อนว่าการจัดการตัวตนและข้อมูลรับรองบนบริการ SaaS และคลาวด์ ยังเป็นจุดอ่อนที่ซ้ำเดิม แม้หลังเกิดเหตุครั้งแรกไปแล้ว

คำแนะนำ

  • บังคับ MFA ที่ทนต่อฟิชชิงกับทุกบัญชีบนบริการคลาวด์และ SaaS รวมถึงสภาพแวดล้อมพัฒนาและทดสอบ
  • ห้ามใช้ข้อมูลส่วนบุคคลจริงในสภาพแวดล้อมพัฒนา ใช้ข้อมูลสังเคราะห์หรือข้อมูลที่ทำให้เป็นนิรนามแทน
  • หลังเกิดเหตุข้อมูลรับรองรั่ว ให้หมุนเวียน (rotate) ข้อมูลรับรองทั้งหมดที่อาจเกี่ยวข้อง ไม่ใช่เฉพาะบัญชีที่ยืนยันว่าถูกใช้
  • เฝ้าระวังข้อมูลรับรองขององค์กรในตลาด infostealer และแหล่งรั่วไหล และเพิกถอนทันทีเมื่อพบ
  • ตั้งการแจ้งเตือนเมื่อมีการล็อกอินจากตำแหน่งหรืออุปกรณ์ใหม่ และการดาวน์โหลดหรือ export ข้อมูลปริมาณมากจากบริการคลาวด์

แหล่งอ้างอิง