SafePal เผยเหตุข้อมูลรั่วไหล กระทบลูกค้าราว 39,798 ราย ที่สั่งซื้อสินค้าระหว่างวันที่ 2 มี.ค. 2025–11 เม.ย. 2026 โดยชื่อ ที่อยู่ และข้อมูลติดต่ออาจถูกเปิดเผย แต่ยืนยันว่า Seed Phrase, Private Key และสินทรัพย์คริปโทฯ ยังคงปลอดภัย
SafePal บริษัทด้านความปลอดภัย ผู้ให้บริการกระเป๋าเก็บสินทรัพย์ดิจิทัล ทั้งในรูปแบบ Hardware wallet และแอปพลิเคชันบนสมาร์ตโฟน ได้ออกแถลงการณ์ ร่อนอีเมลถึงลูกค้า เปิดเผยเหตุการณ์ความมั่นคงปลอดภัยทางไซเบอร์ หลังตรวจพบการรั่วไหลของข้อมูลการสั่งซื้อสินค้าของลูกค้ารายบุคคล เป็นจำนวนเกือบ 40,000 ราย
ซึ่งประเด็นนี้เริ่มเป็นที่พูดถึงในเว็บบอร์ด Reddit ตั้งแต่ช่วงเดือนพฤษภาคม ปี 2569 ที่ผ่านมา หลังผู้ใช้ SafePal S1 หลายรายถูกมิจฉาชีพติดต่อพร้อมข้อมูลส่วนตัวอย่างละเอียด
ช่องโหว่ระบบติดตามพัสดุ แค่เปลี่ยนเลขก็เห็นข้อมูลคนอื่น
เพื่อให้เห็นภาพง่าย ๆ ลองจินตนาการถึงระบบเช็กเลขพัสดุของร้านค้าออนไลน์ทั่วไป ซึ่งปกติเราจะเห็นแค่ข้อมูลการส่งของของตัวเอง แต่ในกรณีของ SafePal นี้ ทางบริษัทระบุว่าตรวจพบ “ช่องโหว่ด้านการตรวจสอบสิทธิ์” ภายในฟังก์ชันติดตามคำสั่งซื้อของปลั๊กอินที่เชื่อมโยงกับข้อมูลคำสั่งซื้อของลูกค้า
ช่องโหว่ดังกล่าวทำให้คนร้ายสามารถเข้าไปแอบดูใบเสร็จ รายละเอียดออร์เดอร์ และข้อมูลการจัดส่งของลูกค้ารายอื่น ๆ ได้อย่างง่ายดาย เพียงแค่เข้าไปเปลี่ยนตัวเลขรหัสสั่งซื้อในระบบเท่านั้น โดยเหตุการณ์นี้ส่งผลกระทบต่อข้อมูลของลูกค้าจำนวน 39,798 ราย ที่เข้ามาทำรายการสั่งซื้อสินค้าในช่วงระหว่างวันที่ 2 มีนาคม 2025 ถึง 11 เมษายน 2026
ข้อมูลที่หลุดไปมีอะไรบ้าง และเงินยังปลอดภัยไหม?
จากรายงานระบุว่า ข้อมูลที่แฮ็กเกอร์ได้ไปประกอบด้วย ชื่อ-นามสกุล, ที่อยู่สำหรับจัดส่งสินค้า และข้อมูลสำหรับติดต่อ (เช่น เบอร์โทรศัพท์หรืออีเมล) ของกลุ่มลูกค้าที่ได้รับผลกระทบ ซึ่งข้อมูลเหล่านี้อาจถูกนำไปใช้ประโยชน์ในทางที่ผิด เช่น การส่งข้อความแอบอ้างตัวเป็นเจ้าหน้าที่ หรือการส่งอีเมลปลอมเพื่อหลอกลวง (Phishing)
อย่างไรก็ตาม ทาง SafePal ได้เน้นย้ำเพื่อความสบายใจของลูกค้าว่า รหัสกุญแจส่วนตัว (Private keys), รหัสกู้คืนกระเป๋า (Seed phrases), รหัสผ่านธนาคาร, ข้อมูลบัตรชำระเงิน และเอกสารยืนยันตัวตนที่ออกโดยรัฐบาล ไม่ได้รับผลกระทบใด ๆ ทั้งสิ้น และสินทรัพย์ดิจิทัลทั้งหมดของผู้ใช้งานยังคงปลอดภัยดีอย่างสมบูรณ์ เนื่องจากตัวอุปกรณ์ SafePal S1 ถูกออกแบบมาให้ทำงานแบบ “Air-gapped” หรือตัดขาดจากการเชื่อมต่อบลูทูธ อินเทอร์เน็ต หรือสายเคเบิลภายนอกอย่างสิ้นเชิง ทำให้แฮ็กเกอร์ไม่สามารถเจาะเข้าระบบควบคุมเงินโดยตรงได้
แต่ทางบริษัทได้แจ้งเตือนเพิ่มเติมว่า หากผู้ใช้งานรายใดหลงกลไปให้รหัสกุญแจส่วนตัว (Private keys) หรือรหัสกู้คืนกระเป๋า (Seed phrases) แก่มิจฉาชีพผ่านทางอีเมลปลอม โทรศัพท์ หรือจดหมายหลอกลวง ให้ถือว่ากระเป๋าเงินนั้นไม่ปลอดภัยอีกต่อไป และต้องรีบโอนสินทรัพย์ไปยังกระเป๋าเงินใบใหม่ทันที
แนวทางการแก้ไขและมาตรการป้องกันหลังจากนี้
หลังจากตรวจพบความผิดปกติเมื่อวันอาทิตย์ที่ผ่านมา SafePal ได้เร่งดำเนินการอุดช่องโหว่ดังกล่าวและเพิ่มมาตรการความปลอดภัยขั้นสูงเข้าไปในระบบทันที พร้อมทั้งส่งอีเมลแจ้งเตือนอย่างเป็นทางการไปยังผู้ที่ได้รับผลกระทบทุกคนผ่านอีเมลเฉพาะกิจคือ [email protected] และว่าจ้างบริษัทผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์จากภายนอก เข้ามาตรวจสอบการแก้ไขช่องโหว่และระบบประมวลผลคำสั่งซื้อทั้งหมดอีกครั้งเพื่อความมั่นใจ
นอกจากนี้ ทางบริษัทได้ปรับเปลี่ยนนโยบายความปลอดภัยข้อมูล โดยจะทำการ เก็บรักษาข้อมูลส่วนบุคคลของลูกค้าไว้ในระบบประมวลผลการสั่งซื้อเพียงแค่ 90 วันเท่านั้นนับจากวันที่รวบรวมข้อมูล รวมถึงได้สืบหาและสั่งปิดเว็บไซต์หลอกลวงและลิงก์ฟิชชิงที่เกี่ยวข้องกับเหตุการณ์นี้ไปแล้วมากกว่า 30 แห่ง สำหรับลูกค้าที่กังวลใจ สามารถเข้าไปใช้เครื่องมือตรวจสอบบนเว็บไซต์หลักของ SafePal เพื่อเช็กได้ว่าตนเองเป็นหนึ่งในผู้ได้รับผลกระทบหรือไม่
เหตุการณ์ครั้งนี้เกิดขึ้นคล้อยหลัง การถูกโจมตีของกระเป๋าฮาร์ดแวร์ยี่ห้อดังอย่าง Coldcard ซึ่งมีรายงานว่าถูกขโมยบิตคอยน์ไปมูลค่าไม่ต่ำกว่า 120 ล้านดอลลาร์สหรัฐ แม้ว่าเหตุการณ์เหล่านี้จะไม่ได้หมายความว่าระบบกระเป๋าเงินฮาร์ดแวร์มีจุดอ่อนเชิงระบบที่แก้ไขไม่ได้ แต่มันก็แสดงให้เห็นว่าไม่มีเทคโนโลยีจัดเก็บคริปโทฯ ใดที่ไร้ความเสี่ยง 100%
ที่มา : efinancethai.com / เผยแพร่วันที่ 17 ส.ค.69
Link : https://www.efinancethai.com/crypto/news/safepal-data-breach-40000-customer-order-informati
