ASOS HACKED คือข้อความแจ้งเตือน (push notification) ที่ลูกค้าแอป ASOS ผู้ค้าปลีกออนไลน์ในสหราชอาณาจักรได้รับเมื่อ 6 ตุลาคม 2569 ส่งผ่านแพลตฟอร์มสื่อสารกับลูกค้าของบุคคลที่สาม ASOS ยืนยันว่าแพลตฟอร์มนั้นถูกเข้าถึง ส่วนข้ออ้างว่าเจาะ Snowflake ของบริษัทยังไม่ยืนยัน บทความนี้เหมาะกับร้านออนไลน์และแบรนด์ไทยที่ใช้เครื่องมือส่งข้อความภายนอก อ่านแล้วจะรู้ว่าต้องเช็กสัญญาและแผนรับมืออะไร
ลองนึกภาพว่าคุณเปิดแอปร้านออนไลน์ที่ใช้ประจำ แล้วเจอแจ้งเตือนทำนองว่า “ร้านถูกเจาะ ถ้าไม่ติดต่อกลับจะปล่อยข้อมูล” ใครจะไม่ตกใจ เรื่องนี้เกิดกับลูกค้า ASOS แล้ว และจุดที่น่ากลัวคือข้อความมาจากช่องทางที่ลูกค้าไว้ใจที่สุด คือแอปของแบรนด์เอง
สรุปสั้น: ลูกค้า ASOS ได้รับแจ้งเตือน “ASOS HACKED” ในแอปเมื่อ 6 ตุลาคม 2569 ผ่านแพลตฟอร์มสื่อสารกับลูกค้าของบุคคลที่สามที่ถูกเข้าถึง ASOS เชื่อว่าข้อมูลบัตรและรหัสผ่านไม่กระทบ แต่ชื่อและช่องทางติดต่ออาจถูกเข้าถึง ส่วนข้ออ้างเรื่อง Snowflake ยังไม่ยืนยัน ร้านออนไลน์ไทยควรตรวจสิทธิ์ส่งข้อความ เปิด MFA และเตรียมข้อความแจ้งลูกค้าไว้ล่วงหน้า
ASOS HACKED คืออะไร และเกิดอะไรขึ้นกับแอป ASOS
ASOS HACKED คือหัวข้อของแจ้งเตือนที่ถูกส่งเข้าแอป ASOS ของลูกค้าเมื่อ 6 ตุลาคม 2569 ข้อความอ้างว่าเจาะ Snowflake ของบริษัทได้ และจะปล่อยข้อมูลถ้าไม่ติดต่อกลับ กลุ่มที่อ้างตัวคือ Xuanye Group ซึ่งผู้เชี่ยวชาญยังไม่เคยพบมาก่อน
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| วันที่ได้รับแจ้งเตือน | 6 ตุลาคม 2569 |
| ข้อความ | หัวข้อ “ASOS HACKED” อ้างว่าเจาะ Snowflake และจะปล่อยข้อมูลถ้าไม่ติดต่อกลับ |
| สิ่งที่ ASOS ยืนยัน | มีการเข้าถึงแพลตฟอร์มสื่อสารกับลูกค้าของบุคคลที่สาม (ไม่เปิดชื่อ) |
| ข้อมูลที่อาจถูกเข้าถึง | ชื่อและช่องทางติดต่อ ส่วนข้อมูลบัตรและรหัสผ่านบริษัทเชื่อว่าไม่กระทบ |
| ที่ยังไม่ยืนยัน | ข้ออ้างเรื่อง Snowflake และจำนวนลูกค้าที่ได้รับผลกระทบ |
| ผลต่อตลาด | มีรายงานว่าหุ้น ASOS ร่วงกว่า 10% หลังเหตุการณ์ |
ASOS แจ้งตลาดหลักทรัพย์ลอนดอนว่าได้จำกัดการเข้าถึงแพลตฟอร์มแจ้งเตือน และทำงานร่วมกับหน่วยงานที่เกี่ยวข้อง ผู้เชี่ยวชาญบางรายชี้ว่าการส่ง push ต้องใช้ระบบที่แยกจากคลังข้อมูล จึงเป็นไปได้ว่ามีการเจาะมากกว่าหนึ่งระบบ แต่ข้อนี้ยังไม่ยืนยัน
ASOS HACKED กระทบร้านออนไลน์ไทยอย่างไร
ASOS HACKED กระทบร้านออนไลน์ไทยตรง ๆ เพราะธุรกิจไทยจำนวนมากส่งแจ้งเตือน LINE OA และ SMS ผ่านเครื่องมือของบุคคลที่สาม ถ้าเครื่องมือเหล่านั้นถูกเข้าถึง คนร้ายก็ส่งข้อความในชื่อแบรนด์ได้ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
เครื่องมือส่งข้อความของบุคคลที่สามเป็นผู้ประมวลผลข้อมูลตาม PDPA ใช่ไหม
ใช่ โดยทั่วไปผู้ให้บริการเครื่องมือส่งข้อความและระบบรวมข้อมูลลูกค้าเป็นผู้ประมวลผลข้อมูล คือบริษัทที่รับข้อมูลไปจัดการแทนเรา ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ส่วนร้านที่เป็นเจ้าของลูกค้ายังเป็นผู้ควบคุมข้อมูล ลองนึกภาพร้านเสื้อผ้าออนไลน์ที่จ้างเอเจนซีดูแลระบบยิงข้อความ LINE OA และ SMS (ตัวอย่างสมมติ) ถ้าบัญชีของเอเจนซีถูกเข้าถึง ลูกค้าจะมองว่าร้านเป็นฝ่ายผิด
กรณีแพลตฟอร์มภายนอกถูกเจาะแล้วกระทบลูกค้าธุรกิจจำนวนมาก อ่านได้ใน แพลตฟอร์มใบแจ้งหนี้ Fakturownia ของโปแลนด์ถูกเจาะ ข้อมูลบัญชีธนาคารและโทเคนเชื่อมระบบของธุรกิจกว่า 6 แสนรายเสี่ยง SME และผู้ให้บริการ e-Tax ไทยต้องเรียนรู้อะไร
ถ้าเครื่องมือส่งข้อความถูกเจาะ ต้องแจ้ง สคส. ภายในกี่ชั่วโมง
ผู้ควบคุมข้อมูลต้องประเมินเหตุ และแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ตาม PDPA มาตรา 37(4) แม้ต้นเหตุจะอยู่ที่เครื่องมือของคนอื่น และถ้าผู้ให้บริการแจ้งช้า ร้านจะเหลือเวลาประเมินและแจ้งน้อยลง ดูขั้นตอนแจ้งเหตุเทียบกับต่างประเทศได้ใน Simba ข้อมูลลูกค้า 23,549 ราย รวมเลขบัตรประชาชนหลุด PDPC สิงคโปร์เปิดสอบ ขั้นตอนแจ้งเหตุตาม PDPA ไทยต่างกันตรงไหน
ข้อความหลอกในชื่อแบรนด์ทำให้ลูกค้าเสี่ยงอะไร
ลูกค้าเสี่ยงโดนฟิชชิงต่อ เช่น ถูกชักให้กดลิงก์หรือกรอกข้อมูลในหน้าเว็บปลอม เพราะแจ้งเตือนที่มาจากแอปของแบรนด์ดูน่าเชื่อถือกว่าข้อความแปลกหน้า ฝั่งแบรนด์ก็เสียโอกาสเป็นคนแรกที่บอกลูกค้า เมื่อช่องทางของตัวเองถูกใช้ประกาศเหตุแทน ช่องทางสื่อสารกับลูกค้าจึงเป็นทรัพย์สินด้านชื่อเสียงที่ต้องมีคนดูแล
ร้านออนไลน์ไทยควรเขียนสัญญากับผู้ให้บริการส่งข้อความอย่างไร
สัญญาควรกำหนดอย่างน้อย 4 เรื่อง คือใครมีสิทธิ์ส่งข้อความในนามแบรนด์ ผู้ให้บริการต้องแจ้งเหตุภายในกี่ชั่วโมง ต้องเก็บบันทึกการส่งไว้ให้ตรวจย้อนหลัง และต้องระงับการส่งทันทีเมื่อร้านสั่ง ข้อเสนอนี้เป็นของผู้เขียน ไม่ได้มาจากข่าว
ถ้าไม่เตรียมรับเหตุแบบ ASOS HACKED จะเสี่ยงอะไร
ถ้าไม่เตรียมอะไรเลย ร้านออนไลน์เสี่ยง 3 เรื่อง
- รู้เหตุช้า ผู้ให้บริการไม่ต้องแจ้งเร็ว ร้านจึงเหลือเวลาน้อยในการประเมินและแจ้ง สคส. ภายใน 72 ชั่วโมง
- ลูกค้าโดนหลอกซ้ำ ไม่มีข้อความแจ้งลูกค้าที่เตรียมไว้ ข้อความปลอมจึงเป็นเสียงแรกที่ลูกค้าได้ยิน
- อธิบายหน่วยงานไม่ได้ ถ้าไม่มีบันทึกว่าใครมีสิทธิ์ส่งข้อความ ร้านจะตอบไม่ได้ว่าใช้มาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37(1) แล้วอย่างไร
ร้านออนไลน์ไทยควรทำอะไรก่อนเครื่องมือส่งข้อความถูกเจาะ
ร้านออนไลน์ควรเริ่มจากตรวจว่าใครส่งข้อความในนามร้านได้บ้าง เพราะช่องทางส่งข้อความเป็นจุดที่องค์กรมักไม่ได้ตรวจสิทธิ์ 5 ข้อนี้ทำได้ก่อนเกิดเหตุ
- 1. ทำรายการเครื่องมือส่งข้อความทั้งหมด ไล่ push, LINE OA, SMS และอีเมล แล้วระบุว่าใครมีสิทธิ์ส่งในนามร้านและใช้บัญชีของใคร
- 2. เปิด MFA และลดสิทธิ์ เปิดการยืนยันตัวตนหลายขั้นตอนกับทุกบัญชีเครื่องมือการตลาด และถอนสิทธิ์พนักงานหรือเอเจนซีที่ไม่ใช้แล้ว
- 3. ปรับสัญญาผู้ให้บริการ กำหนดเวลาแจ้งเหตุ การเก็บบันทึกการส่ง และสิทธิ์สั่งระงับการส่งทันที
- 4. เตรียมข้อความแจ้งลูกค้ากรณีฉุกเฉิน ร่างไว้ล่วงหน้า พร้อมช่องทางทางการให้ลูกค้าตรวจว่าข้อความไหนเป็นของจริง
- 5. เพิ่มหัวข้อเครื่องมือส่งข้อความของบุคคลที่สามในรายการตรวจ PDPA ทบทวนทุกครั้งที่เปลี่ยนผู้ให้บริการ
ถ้าต้องการคนช่วยทบทวนสัญญาและรายการตรวจ PDPA ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru อ่านเรื่อง MFA กับ PDPA ต่อได้ที่ MFA และ PDPA สัญญาณเตือนองค์กรไทย จากข้อมูลรั่วถึงแฟ้มกระดาษ
มุมมองผู้เชี่ยวชาญ
ผมมองว่าบทเรียนของ ASOS ไม่ใช่เรื่องใครแฮกเก่ง แต่คือช่องทางที่ลูกค้าเชื่อใจที่สุดอยู่ในมือคนอื่น เมื่อคนร้ายใช้ช่องทางของเราประกาศเหตุเอง เราก็เสียสิทธิ์เป็นคนแรกที่บอกลูกค้า จุดที่องค์กรมักพลาดคือคุมคลังข้อมูลแน่นหนา แต่ปล่อยบัญชีเครื่องมือส่งข้อความให้ทีมการตลาดดูแลโดยไม่มีใครตรวจสิทธิ์ ส่วนเหตุนี้เริ่มจากจุดไหนยังไม่ชัด ต้องรอ ASOS เปิดข้อมูลเพิ่ม
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ ASOS HACKED
ASOS HACKED คืออะไร
ASOS HACKED คือหัวข้อของแจ้งเตือนที่ถูกส่งเข้าแอป ASOS ของลูกค้าเมื่อ 6 ตุลาคม 2569 ผ่านแพลตฟอร์มสื่อสารกับลูกค้าของบุคคลที่สามที่ถูกเข้าถึง ข้อความอ้างว่าเจาะ Snowflake ของบริษัทและจะปล่อยข้อมูลถ้าไม่ติดต่อกลับ
ข้อมูลลูกค้า ASOS รั่วจริงไหม
ASOS ยืนยันว่ามีการเข้าถึงแพลตฟอร์มสื่อสารกับลูกค้าของบุคคลที่สาม ข้อมูลพื้นฐานอย่างชื่อและช่องทางติดต่ออาจถูกเข้าถึง แต่บริษัทเชื่อว่าข้อมูลบัตรและรหัสผ่านไม่กระทบ ข้ออ้างเรื่อง Snowflake และจำนวนลูกค้าที่ได้รับผลกระทบยังไม่ยืนยัน
ร้านออนไลน์ไทยต้องแจ้ง สคส. ภายในกี่ชั่วโมงเมื่อเครื่องมือส่งข้อความถูกเจาะ
ผู้ควบคุมข้อมูลต้องประเมินเหตุและแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ตาม PDPA มาตรา 37(4) ข่าวต้นทางไม่ได้พูดถึงกฎหมายไทย ส่วนนี้จึงเป็นการเทียบของผู้เขียน
ร้านออนไลน์ควรเตรียมข้อความแจ้งลูกค้าอย่างไร
ควรร่างข้อความไว้ล่วงหน้า บอกชัดว่าเกิดอะไรขึ้น ลูกค้าควรทำและไม่ควรทำอะไร และมีช่องทางทางการให้ตรวจว่าข้อความไหนเป็นของจริง ข้อนี้เป็นข้อเสนอของผู้เขียน
แหล่งอ้างอิง
- SecurityWeek — (อ่านต้นฉบับ) — อ่านข่าวที่ SecurityWeek
- BleepingComputer — (อ่านต้นฉบับ) — อ่านข่าวที่ BleepingComputer
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
