เมื่อข้อความเรียกค่าไถ่มาถึงผ่านแอปของคุณเอง

เช้าวันที่ 6 ตุลาคม ผู้ใช้แอป ASOS ในสหราชอาณาจักรและตลาดอื่น ๆ อีกหลายแห่งได้รับการแจ้งเตือนแบบพุชจากร้านค้าปลีกที่ปกติส่งข่าวสินค้าเข้าใหม่และรหัสส่วนลดให้พวกเขา แต่ครั้งนี้ข้อความระบุว่า “ASOS ถูกแฮ็ก” โดยส่งถึงเจ้าหน้าที่คุ้มครองข้อมูล (Data Protection Officer (DPO)) และทีมไอทีของบริษัท พร้อมอ้างว่าผู้โจมตี “เข้าควบคุมอินสแตนซ์ Snowflake ได้อย่างสมบูรณ์” และขู่ว่าจะเปิดเผยข้อมูลหาก ASOS ไม่ติดต่อกลับผ่านช่องทาง Telegram 

ภายในหนึ่งชั่วโมง หุ้น ASOS ร่วงลงมากกว่า 10% ผู้โจมตียังไม่ได้เผยแพร่ข้อมูลแม้แต่รายการเดียว 

สิ่งที่เราทราบจนถึงตอนนี้

ASOS ยืนยัน ในช่วงบ่ายวันนั้นว่า มีการส่งการแจ้งเตือนโดยไม่ได้รับอนุญาต และบริษัทกำลังตรวจสอบกิจกรรมบนแพลตฟอร์มของบุคคลที่สามซึ่งใช้สื่อสารกับลูกค้า บริษัทจำกัดการเข้าถึงแพลตฟอร์มเหล่านั้น และระบุว่าชื่อกับข้อมูลติดต่ออาจถูกเปิดเผย บริษัทเชื่อว่าข้อมูลบัตรชำระเงินหรือรหัสผ่านบัญชีไม่ได้รับผลกระทบ 

วันที่ 8 ตุลาคม บริษัท อธิบาย ว่าผู้โจมตีเข้ามาได้อย่างไร มีผู้แอบอ้างเป็นผู้ติดต่อที่เชื่อถือได้และโน้มน้าวให้พนักงาน ASOS มอบข้อมูลเข้าสู่ระบบบัญชีที่ใช้ทำงานให้ ข้อมูลดังกล่าวทำให้ผู้โจมตีเข้าถึงแพลตฟอร์มสื่อสารกับลูกค้าได้ ASOS แจ้งเหตุให้ Information Commissioner’s Office ทราบแล้ว ซึ่งหน่วยงานกำลังประเมินเหตุการณ์นี้ 

​​ข้อกล่าวอ้างเกี่ยวกับ Snowflake ยังไม่มีหลักฐานยืนยัน Snowflake ระบุว่าการตรวจสอบของบริษัท ไม่พบว่ามีการเจาะระบบ แพลตฟอร์มของตน และกลุ่มที่อยู่เบื้องหลังข้อความซึ่งเรียกตัวเองว่า Xuanye Group ก็ยังไม่ได้เผยแพร่ข้อมูลตัวอย่าง การปรากฏของข้อมูลตัวอย่างในอีกไม่กี่วันข้างหน้าจะช่วยให้คลี่คลายข้อสงสัยนี้ได้อย่างมาก ในระหว่างนี้ National Cyber Security Centre (NCSC) ของสหราชอาณาจักร แนะนำให้ลูกค้า ASOS คิดไว้ก่อนว่าอาจได้รับผลกระทบ ไม่ว่าจะได้รับการแจ้งเตือนหรือไม่ก็ตาม​​​ 

เหตุใด AI จึงยกระดับความเสี่ยง

​​ผลกระทบที่อาจเกิดจากเหตุการณ์นี้ร้ายแรงกว่าที่ชุดข้อมูลพื้นฐานบ่งชี้ ร้านค้าปลีกที่พัฒนาการปรับแต่งเฉพาะบุคคลด้วย AI ต่างรวบรวมข้อมูลพฤติกรรม ธุรกรรม และประชากรศาสตร์ไว้ในโปรไฟล์ลูกค้ารายเดียวมากขึ้นเรื่อย ๆ ​โปรไฟล์เหล่านี้ช่วยให้คำแนะนำตรงจุดยิ่งขึ้นและการตลาดมีความเกี่ยวข้องกับลูกค้ามากขึ้น แต่หากอยู่ในมือผู้โจมตี ข้อมูลเหล่านี้ก็ช่วยให้ก่อการฉ้อโกงได้อย่างมีประสิทธิภาพเช่นกัน ​​     ​​ 

​​​​ผู้โจมตีไม่จำเป็นต้องเขียนข้อความล่อลวงเฉพาะบุคคลด้วยตนเองอีกต่อไป ในการทดลองภาคสนามที่มีผู้เข้าร่วมมากกว่า 7,700 คน นักวิจัยจาก BIFOLD และ TU Berlin ซึ่งทำงานร่วมกับ Inria and Ruhr University Bochum พบว่า ฟิชชิงที่ปรับให้เหมาะกับแต่ละบุคคลและสร้างด้วย AI มีอัตราการคลิกสูงกว่าฟิชชิงทั่วไป 2.4 เท่า​.​​ 

​​​เครื่องมือสื่อสารที่เป็นศูนย์กลางของเหตุการณ์ ASOS สมควรได้รับการดูแลเอาใจใส่ในระดับเดียวกัน แพลตฟอร์มสร้างความสัมพันธ์กับลูกค้าที่แบ่งกลุ่มลูกค้า ปรับแต่งเนื้อหาเฉพาะบุคคล และส่งข้อความในนามของร้านค้าปลีกนั้น มีทั้งข้อมูลลูกค้าและช่องทางที่ใช้ติดต่อกับลูกค้าทุกคนได้พร้อมกัน องค์ประกอบทั้งสองอย่างนี้ทำให้แพลตฟอร์มดังกล่าวตกเป็นเป้าหมายได้ด้วยตัวเอง ​​ 

การข่มขู่กรรโชกต่อหน้าสาธารณชน

กลุ่มอาชญากรที่รีดไถมักเริ่มต้นด้วยการส่งข้อความส่วนตัวถึงเหยื่อ การเจรจาเกิดขึ้นหลังประตูปิด และหากสาธารณชนรับรู้เรื่องการละเมิดข้อมูล ก็ผ่านเว็บไซต์เผยแพร่ข้อมูลที่รั่วไหลหรือเอกสารที่ยื่นต่อหน่วยงานกำกับดูแล 

ผู้โจมตี ASOS กลับลำดับดังกล่าว โดยแจ้งลูกค้าก่อนและดึงสื่อกับนักลงทุนให้เข้ามาจับตา ก่อนที่ ASOS จะยืนยันเรื่องใด ๆ แม้กลุ่มนี้จะไม่มีข้อมูลอยู่เลย การแจ้งเตือนแบบพุชเพียงครั้งเดียวก็สร้างแรงกดดันจากตลาดต่อ ASOS และบีบให้บริษัทมีเวลาน้อยลงในการตอบสนองต่อสาธารณะ ความล่าช้านั้นทำให้ลูกค้าเกิดความสงสัยและเพิ่มแรงกดดันจากตลาดต่อ ASOS 

การเลือกใช้ช่องทางนี้ยิ่งเพิ่มความเสียหาย ลูกค้าเลือกเปิดรับการแจ้งเตือนจากแอปเพราะเชื่อถือผู้ส่ง การอบรมสร้างความตระหนักด้านความปลอดภัยสอนให้ตรวจสอบที่อยู่ผู้ส่งหรือเลื่อนเคอร์เซอร์ไปวางเหนือลิงก์ แต่ข้อความที่ส่งผ่านแอปจริงบนโทรศัพท์ของตนเองย่อมผ่านการตรวจสอบเหล่านั้น การใช้ช่องทางนี้ในทางที่ผิดแต่ละครั้งทำให้ช่องทางดังกล่าวน่าเชื่อถือน้อยลงสำหรับข้อความที่ร้านค้าปลีกจำเป็นต้องส่งจริง รวมถึงการแจ้งเตือนเหตุข้อมูลรั่วไหลในอนาคต 

ลูกค้าควรทำอย่างไร

สิ่งที่มีแนวโน้มเกิดขึ้นตามมามากที่สุดคือฟิชชิง อาชญากรมักฉวยโอกาสจากกระแสข่าวเรื่องการละเมิดข้อมูล โดยส่งข้อเสนอคืนเงินปลอม คำขอให้รีเซ็ตรหัสผ่าน และอีเมลแจ้งเหตุข้อมูลรั่วไหลที่นำไปยังหน้าเว็บดักขโมยข้อมูลเข้าสู่ระบบ ลูกค้า ASOS ควรระแวดระวังข้อความที่ไม่คาดคิดเกี่ยวกับเหตุการณ์นี้ หลีกเลี่ยงลิงก์ Telegram และตรวจสอบบัญชีโดยเปิดแอปหรือเว็บไซต์โดยตรง การเปลี่ยนรหัสผ่านที่ใช้ซ้ำและเปิดใช้การยืนยันตัวตนแบบสองขั้นตอนจะช่วยสกัดความพยายามยึดบัญชีที่พบบ่อยที่สุดได้ตั้งแต่ก่อนเริ่มต้น 

สิ่งนี้หมายความว่าอย่างไรสำหรับร้านค้าปลีก

ผู้โจมตีไม่ได้เจาะเข้ามาผ่านเว็บไซต์หรือแอปของ ASOS แต่เข้าถึงระบบผ่านข้อมูลรับรองของพนักงานและเครื่องมือจากบุคคลที่สามที่เชื่อมต่อกับข้อมูลดังกล่าว พื้นที่เสี่ยงต่อการถูกโจมตีของผู้ค้าปลีกครอบคลุมทั้งเครือข่ายองค์กรและเครือข่ายพัฒนา แพลตฟอร์มข้อมูลลูกค้า แอปพลิเคชัน SaaS บัญชีบริการ เครื่องมือสื่อสาร และผู้ให้บริการภายนอกที่เชื่อมต่อกับสภาพแวดล้อมเหล่านี้ 

ทุกองค์กรต้องพึ่งพาแนวปฏิบัติด้านความปลอดภัยของผู้ให้บริการ จึงมีหน้าที่ตรวจสอบสถานะอย่างรอบคอบอย่างต่อเนื่อง การเชื่อมต่อกับผู้ให้บริการแต่ละรายอาจขยายพื้นที่เสี่ยงต่อการถูกโจมตีขององค์กรและเพิ่มความเสี่ยง จึงต้องตรวจสอบอย่างถี่ถ้วนและทบทวนเป็นประจำ ควรประเมินความเสี่ยงตั้งแต่ขั้นตอนคัดเลือกผู้ให้บริการและประเมินซ้ำตามช่วงเวลาอย่างสม่ำเสมอ พร้อมจัดทำบันทึกที่ชัดเจนว่าบัญชีของผู้ให้บริการรายใดบ้างที่เข้าถึงลูกค้าได้โดยตรง นี่เป็นงานที่ต้องทำอย่างต่อเนื่อง ไม่ใช่โครงการที่ทำเพียงครั้งเดียว การทบทวนเป็นประจำช่วยให้ข้อมูลดังกล่าวเป็นปัจจุบันและช่วยระบุการเปลี่ยนแปลงที่อาจก่อให้เกิดความเสี่ยงใหม่ 

การทบทวนดังกล่าวควรครอบคลุมด้วยว่าใครบ้างที่เข้าถึงช่องทางสื่อสารกับลูกค้าได้ บริการแจ้งเตือนแบบพุชผ่านแอปที่ผู้ค้าปลีกเป็นเจ้าของ เกตเวย์ SMS และแพลตฟอร์มอีเมล สามารถส่งข้อความถึงผู้คนนับล้านได้ภายในไม่กี่วินาที ผู้ค้าปลีกจึงต้องมีบันทึกที่ชัดเจนว่าบัญชีของผู้ให้บริการรายใดบ้างที่ส่งข้อความถึงลูกค้าได้โดยตรง ควรปกป้องบัญชีเหล่านั้นด้วย MFA ที่ป้องกันฟิชชิง และมีวิธีเพิกถอนสิทธิ์เข้าถึงอย่างรวดเร็วที่ผ่านการทดสอบแล้ว การควบคุมช่องทางเหล่านี้ยังช่วยให้ผู้ค้าปลีกมีวิธีที่เชื่อถือได้ในการติดต่อลูกค้าและชี้แจงข้อเท็จจริงเมื่อเกิดปัญหาขึ้น  

กฎระเบียบกำลังผลักดันไปในทิศทางเดียวกัน ตั้งแต่วันที่ 11 กันยายน 2026 กฎหมาย EU Cyber Resilience Act กำหนดให้ผู้ผลิตผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลรายงานช่องโหว่ที่กำลังถูกนำไปใช้โจมตีจริงและเหตุการณ์ร้ายแรงต่อ ENISA และ CSIRTs ระดับชาติภายใน 24 ชั่วโมง ข้อกำหนดนี้ทำให้ผู้ค้าปลีกต้อง รับผิดชอบต่อความปลอดภัยของแอปที่ตนนำออกให้บริการ, แต่แพลตฟอร์มที่ส่งข้อความผ่านแอปเหล่านั้นมักอยู่ภายใต้การดูแลของผู้ให้บริการที่กฎระเบียบนี้ไม่ได้ครอบคลุม 

​​สำหรับ ASOS การฟื้นฟูความไว้วางใจหมายถึงการแสดงให้ลูกค้าเห็นว่าทั้งข้อมูลของพวกเขาและช่องทางที่ใช้ติดต่อพวกเขาปลอดภัย สำหรับผู้ค้าปลีกรายอื่น นี่เป็นเครื่องเตือนใจอย่างชัดเจนให้ตรวจสอบความสัมพันธ์กับผู้ให้บริการทุกราย ทำความเข้าใจว่าผู้ให้บริการแต่ละรายเข้าถึงข้อมูลหรือระบบใดได้บ้าง และเตรียมพร้อมตอบสนองอย่างรวดเร็วหากมีการใช้สิทธิ์เข้าถึงนั้นในทางที่ผิด​