Credential-Stuffing

บริษัท CrowdStrike พบแคมเปญโจมตีบริษัทการเงินเกาหลีใต้ช่วงปลาย ก.ย.–ต้น ต.ค. 2569 ที่ใช้ ARTEX เครื่องมือเจาะระบบแบบ agentic AI โอเพนซอร์สจากจีน จนขโมยข้อมูลออกไปได้ หลักฐานมาจากไดเรกทอรีเปิดบน IP ฮ่องกงที่มีประวัติ Claude Code และคอนฟิก ARTEX ผู้โจมตียังไม่ถูกระบุตัว แต่น่าจะพูดภาษาจีนและหวังผลทางการเงิน ผู้พัฒนา Autumn-27 ประกาศปิดซอร์สและหยุดพัฒนา ARTEX แล้ว ขณะเดียวกัน ZenoX เผย SCARLET LOOP แพลตฟอร์ม AI ยึดบัญชีที่ทดสอบ credential กว่า 12 ล้านชุด

บริษัท ASOS ร้านค้าแฟชั่นออนไลน์ของสหราชอาณาจักรกำลังสอบสวนเหตุไซเบอร์ หลังลูกค้าได้รับการแจ้งเตือนในแอปหัวข้อ ASOS HACKED เมื่อ 6 ตุลาคม 2569 ข้อความอ้างว่ายึด Snowflake ของบริษัทได้ทั้งหมดและขู่ปล่อยข้อมูลพร้อมลิงก์ Telegram ASOS ยืนยันว่ามีการใช้งานโดยไม่ได้รับอนุญาตบนแพลตฟอร์มภายนอกที่ใช้สื่อสารกับลูกค้า และชื่อกับช่องทางติดต่ออาจถูกเข้าถึง บริษัทเชื่อว่าข้อมูลบัตรและรหัสผ่านไม่ได้รับผลกระทบ ส่วนคำอ้างเรื่อง Snowflake ยังไม่ได้รับการยืนยัน

ผู้ไม่หวังดีอ้างว่าครอบครองและกำลังขายฐานข้อมูลลูกค้าของ Decathlon ราว 160 ล้านรายการ โดยประกาศขายในฟอรัมอาชญากรรมไซเบอร์และรับชำระเป็นสกุลเงินดิจิทัล ข้อมูลที่อ้างว่ามีทั้งอีเมล แฮชรหัสผ่าน ชื่อ-นามสกุล วันเกิด เบอร์โทร ที่อยู่ และข้อมูลบัญชี อย่างไรก็ตามการรั่วไหลนี้ยังไม่ได้รับการตรวจสอบยืนยันโดยอิสระ และ Decathlon ยังไม่ออกมายืนยันว่าระบบถูกเจาะจริง ความเสี่ยงหลักหากข้อมูลเป็นของจริงคือการโจมตีแบบยัดข้อมูลรับรองและฟิชชิงที่แนบเนียน

เครือร้านอาหารฟาสต์ฟู้ด Chick-fil-A ของสหรัฐฯ เปิดเผยเหตุข้อมูลรั่วจากการโจมตีแบบ credential stuffing ที่เล็งบัญชีโปรแกรมสะสมแต้ม Chick-fil-A One ระหว่างวันที่ 17-19 มิถุนายน 2569 ผู้โจมตีใช้ชุดชื่อผู้ใช้และรหัสผ่านที่ได้จากแหล่งอื่นมาสวมล็อกอิน ทำให้เข้าถึงชื่อ อีเมล เลขสมาชิก เลขบัตรเครดิตบางส่วน และยอดคงเหลือในบัญชี คาดว่ามีผู้ได้รับผลกระทบหลักพันถึงหลักหมื่นราย บริษัทได้บังคับล็อกเอาต์ รีเซ็ตรหัสผ่าน และคืนยอดที่ถูกขโมยแล้ว

บริษัท 23andMe ผู้ให้บริการตรวจพันธุกรรม ตกลงจ่าย 18 ล้านดอลลาร์เพื่อยุติข้อเรียกร้องจากอัยการสูงสุด 43 รัฐ ที่กล่าวหาว่าบริษัทไม่ปกป้องข้อมูลพันธุกรรมลูกค้า เหตุเกิดจากการโจมตีแบบ credential-stuffing ที่ไม่ถูกตรวจพบนานถึง 5 เดือนในปี 2566 ทำให้ข้อมูลลูกค้า 6.9 ล้านคนถูกขโมย รวมถึงข้อมูลบรรพบุรุษทางพันธุกรรม การสอบสวนพบว่าบริษัทขาดมาตรการพื้นฐาน เช่น การบล็อกรหัสผ่านและการยืนยันตัวตนหลายชั้น

นาย Nathan Austad วัย 21 ปี ฉายา ‘Snoopy’ ถูกศาลสหรัฐตัดสินจำคุก 18 เดือนจากบทบาทในการเจาะบัญชีผู้ใช้ DraftKings เมื่อปี 2022 กลุ่มผู้โจมตีใช้เทคนิค credential stuffing เจาะบัญชีได้ราว 60,000 บัญชี และดูดเงินจาก 1,600 บัญชีรวมกว่า 600,000 ดอลลาร์ Austad เปิดร้านขายสิทธิ์เข้าถึงบัญชีที่ถูกขโมยเอง โดยบัญชีคริปโตได้รับทรัพย์สินราว 465,000 ดอลลาร์ ศาลยังสั่งคุมประพฤติ 3 ปีและชดใช้เงินรวมกว่า 1.7 ล้านดอลลาร์