ข่าวใหญ่ที่สั่นสะเทือนวงการตลาดทุนไทยในช่วงที่ผ่านมา คงหนีไม่พ้นกรณีที่ บริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด (TSD) ตรวจพบการรั่วไหลของข้อมูลส่วนบุคคลของนักลงทุนกว่า 2 แสนราย แม้ทางผู้บริหารตลาดหลักทรัพย์แห่งประเทศไทยจะออกมายืนยันแล้วว่า ระบบโครงสร้างพื้นฐานยังมีการป้องกันหลายชั้น และข้อมูลที่หลุดไปไม่สามารถนำไปทำธุรกรรมทางการเงินได้ทันที แต่เหตุการณ์นี้ก็ได้สร้างความตื่นตัวครั้งใหญ่ให้กับวงการ Cybersecurity ในบ้านเราอย่างมาก
แม้ในหน้าข่าวจะยังไม่ได้ระบุชัดเจนถึงจุดเริ่มต้นของการเจาะระบบในครั้งนี้ แต่หากมองจากบริบท และรูปแบบการโจมตีทางไซเบอร์ที่ระบาดหนักในปัจจุบัน มีความเป็นไปได้สูงที่เหตุการณ์ลักษณะนี้จะเกิดจากคอมโบมฤตยู นั่นคือ “การนำข้อมูลสิทธิ์การเข้าถึงที่รั่วไหล (Compromised Credentials)” มาใช้ร่วมกับช่องโหว่ระดับแอปพลิเคชันอย่าง “IDOR” (Insecure Direct Object Reference) หรือ “BOLA” (Broken Object Level Authorization)
Blog นี้จะมาเจาะลึกการทำงานของการโจมตีรูปแบบนี้กัน ว่าทำไมระบบที่มีการป้องกันแน่นหนาถึงยังตกเป็นเป้าหมายได้
เกิดอะไรขึ้นบ้าง?
อ้างอิงจากข้อมูลการแถลงข่าว เหตุการณ์เริ่มต้นขึ้นในช่วงเย็นของวันที่ 25 กรกฎาคม 2026 เมื่อทีม IT ของ TSD ตรวจพบความพยายามในการเข้าถึงข้อมูลส่วนบุคคลในระบบ TSD Investor Portal โดยไม่ได้รับอนุญาต ทีมงานได้ทำการบล็อก และตรวจสอบทันที ก่อนจะพบความจริงในวันถัดมาว่า มีข้อมูลของผู้ใช้งานบางส่วนถูกดึงออกไป เช่น ชื่อ-นามสกุล, วันเดือนปีเกิด, เลขบัตรประจำตัวประชาชน, ที่อยู่, หมายเลขโทรศัพท์ และอีเมล
โดยทางผู้บริหารได้เร่งดำเนินมาตรการรับมืออย่างรวดเร็ว ทั้งการแจ้งเตือนหน่วยงานกำกับดูแล, สคส., ประสานตำรวจไซเบอร์ และ ThaiCERT เพื่อหาตัวผู้กระทำผิด รวมถึงประกาศเตรียมนำเทคโนโลยี AI เข้ามาสแกนซอร์สโค้ด (Source Code) ทั้งองค์กรเพื่ออุดช่องโหว่
แต่คำถามที่น่าสนใจในมุมมองทางเทคนิคคือ จริง ๆ แล้ว แฮ็กเกอร์เข้ามาขโมยข้อมูลหลักแสนรายการได้อย่างไร?
Step 1: ก้าวข้ามประตูหน้าด้วย “สิทธิ์การเข้าถึงที่รั่วไหล” (Compromised Access)
ระบบของสถาบันการเงินมักมีการป้องกันที่แน่นหนา การพยายามเจาะระบบตรง ๆ จากภายนอกเป็นเรื่องที่ทำได้ยาก แฮ็กเกอร์ในปัจจุบันจึงเปลี่ยนกลยุทธ์มาใช้กุญแจที่ขโมยมาแทนการพังประตูเข้าไปตรง ๆ
การได้มาซึ่งสิทธิ์การเข้าถึงระบบ เช่น Username, Password หรือ Session Cookies ทำได้หลายวิธี เช่น:
- การหลอกลวงด้วย Phishing: แฮ็กเกอร์อาจใช้วิธีการส่งอีเมล หรือ SMS หลอกให้เหยื่อกรอกรหัสผ่านให้ด้วยตัวเอง
- การสุ่มรหัสผ่านจากข้อมูลที่เคยหลุด (Credential Stuffing): แฮ็กเกอร์อาจลองนำรหัสผ่านของเหยื่อที่เคยหลุดจากเว็บไซต์อื่นมาลองล็อกอินกับระบบของ TSD ซึ่งหากเหยื่อมีการใช้งานรหัสผ่านที่ซ้ำกัน ก็อาจทำให้สามารถเข้าระบบได้ทันที
- มัลแวร์ขโมยข้อมูล (Infostealer Malware): หนึ่งในภัยคุกคามที่มาแรงที่สุด มัลแวร์ตัวนี้มักแฝงมากับโปรแกรมเถื่อน ซึ่งหากเหยื่อเผลอติดตั้ง มันจะขโมยข้อมูลการล็อกอิน และ “Session Cookies” ออกไป ทำให้แฮ็กเกอร์สามารถนำข้อมูลนี้ไปสวมรอยล็อกอินเข้าสู่ระบบปลายทางได้ทันที
เมื่อแฮ็กเกอร์ใช้ข้อมูลที่รั่วไหลเหล่านี้ล็อกอินเข้ามาได้ ระบบป้องกันส่วนใหญ่จะมองว่านี่คือผู้ใช้งานตัวจริงที่ผ่านการยืนยันตัวตนมาแล้ว ทำให้พวกเขาสามารถแฝงตัวเข้ามาอยู่ภายในระบบอย่างแนบเนียนได้สำเร็จ
Step 2: ขยายผลการโจมตีด้วยช่องโหว่ IDOR / BOLA
เมื่อแฮ็กเกอร์เข้ามาอยู่ในระบบด้วยสิทธิ์ของผู้ใช้งานธรรมดาได้แล้ว พวกเขาจะเริ่มมองหาช่องโหว่ภายในแอปพลิเคชันเพื่อดึงข้อมูลของผู้ใช้งานรายอื่นออกไป นี่คือจุดที่ช่องโหว่ของแอปพลิเคชันอย่าง IDOR หรือ BOLA เข้ามามีบทบาท
เพื่อให้เห็นภาพ ลองจินตนาการแบบนี้ เมื่อคุณไปเช่าโรงแรม และได้กุญแจห้องหมายเลข 101 มา (เปรียบเทียบกับการล็อกอินสำเร็จ) เมื่อคุณไขประตูห้อง 101 คุณก็เข้าไปดูของในห้องของตัวเองได้ตามปกติ แต่ด้วยความซน คุณลองเอากุญแจดอกเดียวกันนี้ไปเสียบห้อง 102, 103, 104… ปรากฏว่ามันเปิดได้หมดเลย!
ทำไมถึงเป็นแบบนั้น? เพราะระบบล็อกประตูของโรงแรมดันเช็กแค่ว่า “คุณมีกุญแจเข้าตึกหรือไม่” แต่ลืมตรวจสอบยืนยันอีกชั้นว่า “กุญแจดอกนี้ มีสิทธิ์เปิดห้องหมายเลขอื่น ๆ หรือเปล่า”
ในโลกของการพัฒนาแอปพลิเคชัน เมื่อระบบต้องการดึงข้อมูลผู้ใช้ มันอาจจะส่งคำสั่งผ่าน API ไปที่เซิร์ฟเวอร์แบบนี้:
[hxxps://api[.]example.com/user/profile?id=10001]
หากระบบหลังบ้านมีช่องโหว่ IDOR/BOLA แฮ็กเกอร์เพียงแค่เขียนสคริปต์ง่าย ๆ เพื่อสั่งรันตัวเลขต่อท้ายไปเรื่อย ๆ เช่น เปลี่ยนเป็น id=10002, 10003 ไปจนถึงหลักแสน หากเซิร์ฟเวอร์ขาดการตรวจสอบสิทธิ์ในระดับ Object (Object Level Authorization) ว่าผู้ที่เรียก API ข้อมูลนี้เป็นเจ้าของข้อมูลตัวจริงหรือไม่ เซิร์ฟเวอร์ก็จะโชว์ข้อมูลส่วนบุคคลของคนอื่น ๆ ออกมาให้แฮ็กเกอร์ขโมยข้อมูลออกไปได้อย่างรวดเร็ว
บทเรียนจากเหตุการณ์: อุดรอยรั่วก่อนสายเกินแก้
เหตุการณ์นี้แสดงให้เห็นว่า การโจมตีทางไซเบอร์ในยุคปัจจุบันมีความซับซ้อน และใช้ประโยชน์จากความผิดพลาดหลาย ๆ จุดประกอบกัน เพื่อป้องกันไม่ให้ประวัติศาสตร์ซ้ำรอย นี่คือแนวทางที่เราสามารถเรียนรู้ได้
สำหรับฝั่งองค์กร และนักพัฒนา:
- ยึดหลัก Never Trust User Input: ทุกครั้งที่ API มีการเรียกข้อมูลโดยอ้างอิงจาก ID หรือพารามิเตอร์ใด ๆ ต้องมีการตรวจสอบสิทธิ์ (Authorization Check) เสมอว่า User ที่กำลัง Request ข้อมูลนี้ มีสิทธิ์เข้าถึงข้อมูลของ ID นั้น ๆ หรือไม่
- ใช้ AI สแกนหาช่องโหว่: ตามที่ทาง ตลท. ได้ประกาศนำ AI มาช่วยสแกนซอร์สโค้ด ถือเป็นแนวทางปฏิบัติที่ดี เพราะการใช้เครื่องมือสแกนซอร์สโค้ดก่อนนำระบบขึ้นใช้งานจริง อาจจะช่วยสามารถตรวจจับช่องโหว่ประเภท IDOR/BOLA ในระดับโค้ดได้ตั้งแต่เนิ่น ๆ
- ค้นหาช่องโหว่เชิงลึกด้วย VA & Pentest: การใช้แค่เครื่องมือสแกนอัตโนมัติอาจไม่เพียงพอ องค์กรควรมีการทำ Vulnerability Assessment (VA) เพื่อประเมินช่องโหว่ของระบบโดยรวมอย่างสม่ำเสมอ และที่ขาดไม่ได้คือการทำ Penetration Testing (Pentest) หรือการจำลองการโจมตีโดยผู้เชี่ยวชาญ เพราะช่องโหว่อย่าง IDOR/BOLA เป็นเรื่องของ Business Logic ซึ่งเครื่องมืออัตโนมัติมักจะตรวจไม่พบ การให้มนุษย์มาช่วยทดสอบเจาะระบบ จะช่วยยืนยันได้ว่าระบบตรวจสอบสิทธิ์ทำงานได้รัดกุมจริงก่อนที่จะถูกแฮ็กเกอร์ตัวจริงมาค้นพบ
- ตรวจสอบพฤติกรรมผิดปกติ (Anomaly Detection & Rate Limiting): ควรมีระบบเฝ้าระวัง หากพบว่ามีบัญชีผู้ใช้งานใดส่ง Request เพื่อดึงข้อมูลโปรไฟล์จำนวนมากในระดับที่มนุษย์ทั่วไปไม่ทำกัน ระบบควรจะทำการบล็อก และแจ้งเตือนทันที
สำหรับฝั่งผู้ใช้งาน และนักลงทุน:
- ระวังการโดนขโมยข้อมูล: หลีกเลี่ยงการดาวน์โหลดโปรแกรมเถื่อนมาติดตั้ง เพื่อป้องกันความเสี่ยงที่จะติดมัลแวร์ขโมยข้อมูล และไม่คลิกลิงก์แปลกปลอมในอีเมล หรือ SMS ที่ถูกส่งมาอย่างผิดปกติ
- รู้เท่าทันกลโกงต่อเนื่อง (Spear Phishing): หลังจากเหตุการณ์นี้ที่มีข้อมูลหลุดออกไป เช่น ชื่อ, เบอร์โทร, อีเมล อาจถูกมิจฉาชีพนำไปใช้ในการหลอกลวงแบบเฉพาะเจาะจง หากมีใครโทรมาอ้างว่าเป็นเจ้าหน้าที่สถาบันการเงิน และรู้ข้อมูลส่วนตัวของเรา ให้ตั้งสติ อย่าเพิ่งเชื่อ และห้ามกดลิงก์ใด ๆ ควรวางสายแล้วโทรกลับไปยังเบอร์ทางการของหน่วยงานนั้น ๆ ด้วยตัวเอง
ภัยคุกคามทางไซเบอร์เปรียบเสมือนเงาตามตัวของเทคโนโลยี เมื่อเทคโนโลยีพัฒนา วิธีการโจมตีก็พัฒนาตาม การหมั่นตรวจสอบระบบสม่ำเสมอ และการสร้างความตระหนักรู้ให้กับผู้ใช้งาน จึงเป็นกุญแจสำคัญที่สุดในการปกป้องข้อมูลในยุคปัจจุบัน
ที่มา : i-secure.co.th / เผยแพร่วันที่ 14 ส.ค.69
Link : https://www.i-secure.co.th/2026/08/เจาะลึกวิกฤตข้อมูลรั่ว/
