ใบขับขี่ของคนขับ Uber อย่างน้อย 7,870 ราย ในสามรัฐของสหรัฐฯ หลุดไปอยู่ในมือแฮกเกอร์ แต่เหตุที่หลายคนเล่าต่อกันว่า “ขโมยใบขับขี่ไปเอาพลัง AI ฟรี” ยังมีรายละเอียดที่ต้องแก้ให้ตรง ข้อมูลจากรายงานและเอกสารแจ้งเหตุที่ตรวจสอบแล้วระบุว่า แฮกเกอร์เจาะ Fireworks AI ผู้ให้บริการFireworks AIโมเดล AI ที่ Uber ใช้งานอยู่ เป้าหมายคือโทเคนและรหัสเข้าใช้ AI ส่วนข้อมูลใบขับขี่ของคนขับอยู่ในระบบของผู้ให้บริการรายนี้ และถูกเข้าถึงไปด้วย
เรื่องนี้ไม่ได้เพิ่งออกมา สื่อ TechCrunch รายงานเป็นรายแรกเมื่อวันที่ 13 พฤศจิกายน 2569 โดย Zack Whittaker ต่อมา Reuters, Engadget, Gizmodo, PCMag และ CNA รายงานตาม บทความนี้จึงเป็นการอธิบายภาพรวมให้ครบ ไม่ใช่การรายงานเป็นรายแรก ข้อมูลทั้งหมดอ้างอิงเอกสารแจ้งเหตุที่ยื่นต่อหน่วยงานรัฐของสหรัฐฯ และคำยืนยันของ Uber ที่ให้กับ TechCrunch
เกิดอะไรขึ้นกับคนขับ Uber
ลำดับเหตุการณ์ตามเอกสารแจ้งเหตุมีดังนี้ การเข้าถึงรหัสผ่านของผู้ให้บริการภายนอกโดยไม่ได้รับอนุญาตเริ่มต้นเร็วสุดวันที่ 7 ตุลาคม วันที่ 9 ตุลาคม Fireworks AI แจ้ง Uber ว่ารหัสเข้าระบบภายในถูกเจาะและมีผู้ไม่หวังดีใช้เข้าถึงบัญชีของ Uber Uber ตัดการเชื่อมต่อทั้งหมดกับผู้ให้บริการรายนี้ทันทีและเริ่มตรวจสอบภายใน
วันที่ 13 ตุลาคม ผลตรวจสอบพบว่าผู้ไม่หวังดีเข้าถึงข้อมูลของ Uber ที่ผู้ให้บริการเก็บไว้ ซึ่งมีรายละเอียดส่วนตัวและข้อมูลใบขับขี่ของคนขับ จากนั้นวันที่ 10 พฤศจิกายน Uber ส่งหนังสือแจ้งเหตุด้านความปลอดภัยถึงคนขับที่ได้รับผลกระทบ และยื่นเอกสารต่อสำนักงานอัยการสูงสุดของรัฐต่าง ๆ ทุกเอกสารระบุเฉพาะคนขับในสหรัฐฯ ยังไม่มีหลักฐานว่าคนขับในไทยหรือประเทศอื่นได้รับผลกระทบ
รัฐไหนโดนมากที่สุด
ตัวเลขรายรัฐที่เปิดเผยแล้วมีดังนี้
South Carolina 3,430 ราย ตามที่กรมคุ้มครองผู้บริโภครัฐรายงาน
Massachusetts 2,567 ราย ที่ใบขับขี่ถูกเข้าถึง ตามเอกสารที่ยื่นต่อสำนักงานกิจการผู้บริโภคของรัฐ
Rhode Island ประมาณ 1,873 ราย ตามเอกสารแจ้งเหตุที่ Uber ยื่นต่ออัยการสูงสุดแคลิฟอร์เนีย
สามรัฐรวมกันได้ 7,870 ราย ซึ่งเป็นที่มาของตัวเลข “กว่า 7,800” แต่ตัวเลขนี้ไม่ใช่ยอดรวมทั้งประเทศ Vermont แจ้งเพิ่มอีก 1,071 ราย ทำให้ยอดที่ยืนยันได้จากรัฐต่าง ๆ เกือบ 9,000 ราย และ Uber ยังส่งหนังสือแจ้งเหตุในแคลิฟอร์เนียและอิลลินอยส์ รวมถึงส่งคำแนะนำให้ผู้อยู่อาศัยใน DC, Maryland, North Carolina, New York และ Pennsylvania
Uber ยังไม่เปิดเผยจำนวนผู้ได้รับผลกระทบทั่วประเทศ ตัวเลขจริงจึงมีโอกาสสูงกว่านี้
ทำไมข้อมูลใบขับขี่ถึงเป็นทางเข้าสู่พลัง AI
ส่วนนี้เป็นคำอธิบายแนวคิดทั่วไป ไม่ใช่ข้อเท็จจริงของคดีนี้ ตามข้อมูลที่ตรวจสอบแล้ว แฮกเกอร์ในเหตุนี้ไม่ได้ใช้ใบขับขี่ไปยืนยันตัวตนเพื่อรับพลัง AI
แนวคิดคือ บริการ AI และคลาวด์จำนวนมากให้เครดิตฟรีหรือจำกัดการใช้งานตามบัญชี บางแห่งต้องยืนยันตัวตน (KYC) ก่อนเปิดบัญชีหรือเพิ่มวงเงิน ใครมีเอกสารตัวตนของคนจริง ก็อาจใช้สมัครบัญชีจำนวนมากเพื่อกวาดเครดิตได้ ตัวตนจึงกลายเป็นกุญแจเปิดทรัพยากรที่มีราคาแพง
ในเหตุของ Fireworks AI วิธีที่ใช้เป็นอีกแบบ ตามคำของ Fireworks AI กลุ่มผู้โจมตีมีแรงจูงใจด้านการเงินและมุ่งขโมยโทเคน API ของโมเดลภาษาและรหัสเข้าใช้ เทคนิคนี้เรียกว่า LLMjacking คือยึดพลังประมวลผล AI ของคนอื่นไปใช้เอง หรือนำสิทธิ์เข้าถึงไปขายต่อ ทีมวิจัยความปลอดภัยอย่าง Google Threat Intelligence, Mandiant และ Wiz บันทึกแคมเปญลักษณะนี้ไว้หลายครั้ง ข้อมูลใบขับขี่ของคนขับ Uber จึงเป็นความเสียหายที่ตามมาจากการเจาะระบบ ไม่ใช่เป้าหมายตั้งต้น
คำถามที่ยังไม่มีคำตอบคือ ทำไมข้อมูลใบขับขี่จึงอยู่ในระบบของ Fireworks AI Uber ยังไม่เปิดเผยว่างาน AI ที่ผู้ให้บริการทำให้เกี่ยวข้องกับข้อมูลตัวตนอย่างไร Fireworks AI เป็นสตาร์ทอัพในซิลิคอนวัลเลย์ที่ให้นักพัฒนาเรียกใช้โมเดลโอเพนซอร์สอย่าง Llama, Mistral และ Gemma ผ่าน API ความเร็วสูง นอกจาก Uber แล้ว Notion ก็ได้รับผลกระทบ โดยรายงานว่าบทสนทนากับ Notion AI รั่วออกไป
Uber ตอบอย่างไร
โฆษกของ Uber ยืนยันกับ TechCrunch ว่า หนังสือแจ้งที่ส่งถึงคนขับเกี่ยวข้องกับเหตุความปลอดภัยที่กระทบผู้ให้บริการภายนอกรายหนึ่งคือ Fireworks.ai ซึ่งเข้าถึงข้อมูลบางส่วนของ Uber ได้ Uber ส่งคำถามเชิงลึกเกี่ยวกับการโจมตีให้ Fireworks AI เป็นผู้ตอบ
ในเอกสารแจ้งเหตุ Uber ระบุว่ายังไม่พบการนำข้อมูลส่วนตัวที่ถูกขโมยไปใช้ในทางมิชอบ สำหรับการเยียวยา Uber ให้คนขับที่ได้รับผลกระทบใช้บริการเฝ้าระวังเครดิตฟรี 90 วัน พร้อมความช่วยเหลือแก้ปัญหาการสวมรอยตัวตนผ่าน Cyberscout บริษัทในเครือ TransUnion
ส่วนที่ยังไม่ชัดคือจำนวนผู้ได้รับผลกระทบทั่วประเทศ และเหตุผลที่ข้อมูลใบขับขี่ไปอยู่กับผู้ให้บริการรายนี้ ทั้งสองเรื่อง Uber ยังไม่ได้ตอบ วันที่ 15 พฤศจิกายน สำนักงานกฎหมายฟ้องร้องแบบกลุ่มในสหรัฐฯ บางแห่ง เช่น Edelson Lechtzin เริ่มออกประกาศตรวจสอบสิทธิ์เรียกร้องแทนคนขับแล้ว นี่ถือเป็นเหตุความปลอดภัยครั้งที่สองที่เป็นข่าวของ Uber ในปี 2569 ต่อจากเหตุที่ Uber Freight
บทเรียนสำหรับคนไทยที่ใช้แอปเรียกรถและแพลตฟอร์มคริปโต
ยังไม่มีหลักฐานว่าคนขับหรือผู้ใช้ในไทยได้รับผลกระทบ แต่เหตุนี้ชี้ให้เห็นช่องโหว่ที่ใช้ได้กับทุกแพลตฟอร์ม ข้อมูลตัวตนของเรามักไม่ได้อยู่กับบริษัทที่เราให้ไว้โดยตรง แต่กระจายไปอยู่กับผู้ให้บริการภายนอกที่เราไม่เคยรู้จัก กระดานเทรดคริปโตที่ต้องทำ KYC ก็ใช้ผู้ให้บริการยืนยันตัวตน คลาวด์ และ AI หลายราย โครงสร้างเดียวกันนี้ทำให้ความเสี่ยงไม่ได้หยุดอยู่ที่ตัวแพลตฟอร์ม
ที่มา : siamblockchain.com / วันที่เผยแพร่ 15 พ.ย. 2569
Link : https://siamblockchain.com/2026/11/15/uber-driver-license-breach-fireworks-ai-llmjacking/
