Third-Party-Risk

Pokémon Center เริ่มแจ้งลูกค้าในสหราชอาณาจักรและเยอรมนีว่าข้อมูลส่วนบุคคลถูกเปิดเผยจากการโจมตีผู้ให้บริการภายนอก และต้องยกเลิกคำสั่งซื้อบางส่วน ต้นทางไม่ได้อยู่ที่เว็บของบริษัทเอง แต่คือ CEVA Logistics ผู้รับจัดส่งสินค้าที่ถูกโจมตีตั้งแต่ราววันที่ 29-30 กรกฎาคม 2569 และกระทบคลังสินค้าในยุโรปอย่างน้อยแปดแห่ง ข้อมูลที่อาจหลุดคือชื่อ ที่อยู่ เบอร์โทร อีเมล และรายการสินค้าในคำสั่งซื้อ แต่ไม่รวมข้อมูลบัตรชำระเงิน หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์กำลังสอบสวน

หน่วยงานการคลังสาธารณะของฝรั่งเศสหรือ DGFiP เปิดเผยเหตุข้อมูลรั่วที่กระทบผู้เสียภาษีราว 680,000 ราย หลังผู้โจมตีโอ้อวดบนเว็บบอร์ดแฮ็กเกอร์ว่าเข้าถึงระบบภายในและนำข้อมูลออกไปได้ หน่วยงานยืนยันภายหลังว่าผู้โจมตีใช้ข้อมูลยืนยันตัวตนของพนักงานคนหนึ่งและบัญชีของบุคคลที่สามที่ถูกยึดมา ข้อมูลที่หลุดรวมถึงรายได้ที่ใช้อ้างอิงทางภาษี อัตราหักภาษี ณ ที่จ่าย และข้อมูลระวางที่ดิน แต่ไม่มีชื่อผู้ใช้และรหัสผ่าน

บริษัท Beacon ผู้ให้บริการ CRM สำหรับองค์กรการกุศลในสหราชอาณาจักร เปิดเผยสาเหตุที่น่าจะเป็นของเหตุข้อมูลรั่วที่กระทบลูกค้าจำนวนมาก การสอบสวนพบว่าผู้โจมตีดึงข้อมูลออกจากสภาพแวดล้อม AWS ด้วยคีย์เข้าถึงที่อาจหลุดอยู่ในไฟล์ JavaScript ที่เผยแพร่สู่สาธารณะ กิจกรรมแรกสุดเกิดขึ้นวันที่ 27 กรกฎาคม และบริษัทประเมินว่าผู้โจมตีส่งออกข้อมูลทั้งฐานข้อมูล องค์กรที่ได้รับผลกระทบระบุว่าครอบคลุมลูกค้าทั้งหมดกว่า 1,000 ราย

ผู้ผลิตกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ Trezor แจ้งเหตุข้อมูลลูกค้าเกือบ 14,000 รายรั่ว หลังผู้ให้บริการขนส่งและโลจิสติกส์ ShipMonk ถูกเจาะ ข้อมูลที่หลุดคือชื่อเต็ม ที่อยู่จัดส่ง อีเมล และเบอร์โทรศัพท์ของผู้ที่ได้รับพัสดุระหว่าง 10 พฤษภาคมถึง 8 สิงหาคม 2569 Trezor ยืนยันว่าระบบของตนไม่ถูกเจาะและอุปกรณ์ยังปลอดภัย ส่วน ShipMonk แจ้งลูกค้าว่าผู้โจมตีใช้ช่องโหว่ในแพลตฟอร์มวิเคราะห์ข้อมูล Metabase เป็นทางเข้า และยังได้รับอีเมลข่มขู่เรียกค่าไถ่จากกลุ่ม ShinyHunters

บริษัท Unlimited Technology Systems ผู้ให้บริการซอฟต์แวร์การเงินและวงจรรายได้สำหรับสถานพยาบาลเฉพาะทางในสหรัฐอเมริกา รายงานว่าเหตุข้อมูลรั่วที่เกิดขึ้นเมื่อเดือนตุลาคม 2568 กระทบผู้คน 3,803,750 ราย โดยผู้บุกรุกเข้าถึงไฟล์บนเซิร์ฟเวอร์ในศูนย์ข้อมูลเชิงพาณิชย์ในช่วง 5 วันระหว่างวันที่ 5 ถึง 10 ตุลาคม 2568 ข้อมูลที่อาจรั่วครอบคลุมทั้งเลขประกันสังคม ภาพสแกนบัตรประจำตัวราชการ ข้อมูลกรมธรรม์ และข้อมูลการวินิจฉัยโรค ยังไม่มีกลุ่มใดอ้างความรับผิดชอบและบริษัทยังระบุตัวผู้โจมตีไม่ได้

มีเว็บไซต์ภายนอกเปิดให้ค้นข้อมูลผู้ครอบครองรถยนต์จากหมายเลขทะเบียน แสดงทั้งชื่อ ที่อยู่ เลขบัตรประชาชนบางส่วน รายละเอียดรถและข้อมูลประกันภัย กระทรวงคมนาคมสั่งปิดระบบเชื่อมต่อ API ทุกช่องทางตั้งแต่เที่ยงวันที่ 4 สิงหาคม 2569 หลังพบว่าข้อมูลบางส่วนไม่ตรงกับฐานข้อมูลของกรมการขนส่งทางบก กรมการขนส่งทางบก สกมช. และ ThaiCERT เข้าตรวจสอบร่วมกันแต่ยังสรุปต้นตอไม่ได้ ขณะที่ ผบ.ตร. สั่งตำรวจไซเบอร์สอบกรณีข้อมูลนายกรัฐมนตรีและผู้บริหารกระทรวงมหาดไทยถูกเผยแพร่

กลุ่มรีดไถ ShinyHunters ปล่อยไฟล์กว่า 41 กิกะไบต์ที่อ้างว่าขโมยมาจากบริษัท Brinks Home ผู้ให้บริการระบบรักษาความปลอดภัยบ้านในสหรัฐฯ หลังบริษัทไม่ยอมจ่ายค่าไถ่ กลุ่มดังกล่าวอ้างว่าดูดข้อมูลจากระบบ Salesforce ของบริษัทไปกว่า 4.9 ล้านรายการ และบางส่วนมีข้อมูลระบุตัวบุคคล ด้าน Brinks Home ยืนยันว่าระบบเฝ้าระวังสัญญาณเตือนภัยและการทำงานของอุปกรณ์ไม่ได้รับผลกระทบ ขณะที่ SecurityWeek ระบุว่ายังตรวจสอบคำกล่าวอ้างของผู้โจมตีอย่างเป็นอิสระไม่ได้

บริษัท Brinks Home ผู้ให้บริการระบบรักษาความปลอดภัยบ้านในสหรัฐฯ เปิดเผยว่าถูกแฮ็กเกอร์เจาะระบบบางส่วนและถูกขู่ว่าจะปล่อยข้อมูลที่อ้างว่าขโมยไป บริษัทตรวจพบเหตุเมื่อวันที่ 20 กรกฎาคม 2569 และยืนยันว่าระบบเฝ้าระวังสัญญาณเตือนภัยไม่ได้รับผลกระทบ ด้านกลุ่มรีดไถ ShinyHunters อ้างว่าเจาะเข้าไปตั้งแต่ 13 กรกฎาคม ด้วยการโทรหลอกพนักงานให้ยืนยันตัวตน Microsoft Entra แล้วดูดข้อมูลจาก Salesforce กว่า 4.9 ล้านรายการ BleepingComputer ยังตรวจสอบความถูกต้องของข้อกล่าวอ้างไม่ได้

กลุ่มรีดไถข้อมูล ShinyHunters ออกมาอ้างความรับผิดชอบต่อเหตุข้อมูลรั่วไหลของบริษัท Ernst & Young ที่เปิดเผยเมื่อต้นเดือน โดยอ้างว่าได้รหัสผ่านเข้าระบบผ่านการโจมตีห่วงโซ่อุปทาน กลุ่มนำ EY ขึ้นเว็บไซต์ปล่อยข้อมูลและขู่ปล่อยข้อมูลหากไม่ติดต่อภายใน 31 กรกฎาคม 2569 พร้อมอ้างว่าเจาะระบบ Jira, GitHub และ Azure ของบริษัทได้ ขณะที่ EY ยังไม่ยืนยันว่า ShinyHunters อยู่เบื้องหลัง และเสนอบริการเฝ้าระวังตัวตน 24 เดือนแก่ลูกค้าที่ได้รับผลกระทบ

ประธานาธิบดี Donald Trump ลงนามคำสั่งพิเศษให้กระทรวงกลาโหมสหรัฐฯ ออกกฎใหม่บังคับผู้รับเหมากลาโหมทำแผนที่และป้องกันห่วงโซ่อุปทานสำคัญ ครอบคลุมทั้งซอฟต์แวร์ บริการ และเทคโนโลยี ผู้รับเหมาต้องส่ง Bill of Materials ที่ละเอียดกว่า SBOM ทั่วไป ตรวจสอบซัพพลายเออร์ทุกชั้นเรื่องการถือครองโดยต่างชาติ และรายงานความเสี่ยงภายใน 15 วัน ด้านผู้เชี่ยวชาญเตือนว่าฐานข้อมูลห่วงโซ่อุปทานเองอาจกลายเป็นเป้าล่อของหน่วยข่าวกรองต่างชาติ