การเปิดโปงที่ทำลายสถิติ: ข้อมูลประจำตัว 2.4 หมื่นล้านรายการพบโดยไม่มีการป้องกัน

ในเดือนมิถุนายน 2026 นักวิจัยด้านความปลอดภัยสะดุดกับบางสิ่งที่ทำให้การรั่วไหลของข้อมูลครั้งอื่นๆ ในปีนี้ดูเล็กไปทันที: ฐานข้อมูลที่เข้าถึงได้แบบสาธารณะซึ่งมีบันทึกข้อมูลประจำตัวที่ถูกขโมยมากกว่า 2.4 หมื่นล้านรายการ ไม่มีรหัสผ่าน ไม่มีกำแพงการเข้าสู่ระบบ และไม่มีการเข้ารหัสคั่นระหว่างอินเทอร์เน็ตกับข้อมูล ใครก็ตามที่พบเซิร์ฟเวอร์ที่เปิดเผยนี้สามารถเรียกดูได้อย่างอิสระ

เพื่อความชัดเจน บันทึก 2.4 หมื่นล้านรายการไม่ได้หมายความว่ามีคนที่ไม่ซ้ำกัน 2.4 หมื่นล้านคน ฐานข้อมูลประเภทนี้มักเป็นการรวบรวม ชุดข้อมูลประจำตัวที่ถูกขูดและรวมเข้าด้วยกันจากการละเมิดในอดีตหลายปี บันทึกมัลแวร์ และการทิ้งรหัสผ่านที่รั่วไหล ทั้งหมดรวมเป็นไฟล์ขนาดใหญ่หนึ่งไฟล์ รายการที่ซ้ำกันเป็นเรื่องปกติ และอีเมลเดียวกันอาจปรากฏขึ้นหลายสิบครั้งควบคู่กับรหัสผ่านที่แตกต่างกันซึ่งถูกขโมยในช่วงเวลาต่างกัน อย่างไรก็ตาม ขนาดมหึมาของการเปิดเผยนี้ชี้ให้เห็นปัญหาที่กลายเป็นเรื่องปกติในปี 2026: ข้อมูลที่ถูกขโมยจำนวนมหาศาลยังคงปรากฏขึ้นซ้ำแล้วซ้ำเล่า โดยไม่มีการรักษาความปลอดภัย ในสถานที่ใหม่ๆ

การเปิดเผยแบบนี้เป็นอันตรายอย่างยิ่งเพราะลดอุปสรรคในการเข้าสู่วงการอาชญากรไซเบอร์ แทนที่จะจ่ายเงินเพื่อเข้าถึงชุดข้อมูลการละเมิดที่คัดสรรมาแล้วในเว็บบอร์ดมืด ผู้โจมตีสามารถดึงข้อมูลประจำตัวจากฐานข้อมูลที่เปิดเผยและเริ่มทดสอบกับเว็บไซต์ธนาคาร ผู้ให้บริการอีเมล และระบบเข้าสู่ระบบขององค์กรผ่านการโจมตีแบบ "credential stuffing" ที่เป็นอัตโนมัติ

โคดักเข้าร่วมรายชื่อเหยื่อการละเมิดปี 2026

เดือนเดียวกันนั้นนำมาซึ่งเหตุการณ์ที่เจาะจงมากขึ้นเป็นครั้งที่สอง โคดักยืนยันการละเมิดหลังจากกลุ่มแฮกเกอร์อ้างว่าขโมยข้อมูลลูกค้าและองค์กรประมาณ 2.2 ล้านรายการ กลุ่มดังกล่าวลงรายชื่อโคดักบนเว็บไซต์รั่วไหลในดาร์กเว็บ ซึ่งเป็นกลวิธีที่กลายเป็นแนวทางปฏิบัติมาตรฐานสำหรับแก๊งแฮกเกอร์ที่มุ่งเน้นการขู่กรรโชกเพื่อกดดันให้บริษัทจ่ายเงินก่อนที่ข้อมูลที่ถูกขโมยจะถูกเผยแพร่หรือขาย

แนวทางนี้สะท้อนสิ่งที่เกิดขึ้นกับองค์กรอื่นๆ ตลอดทั้งปี กลุ่มเช่น CMD ได้ขยายแนวทางการขู่กรรโชกด้วยการประมูลข้อมูลที่ถูกขโมยโดยตรง แทนที่จะเพียงข่มขู่ว่าจะรั่วไหล ในขณะที่ DARK PROJECT ใช้เว็บไซต์รั่วไหลของตนเพื่อระบุชื่อเหยื่อหลายรายพร้อมกัน เพื่อเพิ่มแรงกดดันสูงสุด ไม่ว่าผู้โจมตีของโคดักจะทำตามคำขู่ที่จะเผยแพร่ชุดข้อมูลทั้งหมดหรือไม่ รูปแบบก็เหมือนกัน: ขโมยก่อน แล้วใช้การเปิดเผยต่อสาธารณะเป็นเครื่องมือต่อรอง

ส่วนหนึ่งของรูปแบบที่ใหญ่กว่าในปี 2026

ทั้งการเปิดเผยข้อมูลประจำตัว 2.4 หมื่นล้านรายการและการละเมิดโคดักไม่ได้เกิดขึ้นโดยลำพัง ปี 2026 มีเหตุการณ์ขนาดใหญ่เกิดขึ้นอย่างต่อเนื่องในทุกภาคส่วนและทุกภูมิภาค ระบบภาครัฐก็ไม่ได้รับการยกเว้นเช่นกัน การละเมิดข้อมูลของรัฐบาลสหราชอาณาจักรและสวิตเซอร์แลนด์ทำให้การดำเนินงานหยุดชะงักในต้นเดือนสิงหาคม แสดงให้เห็นว่าองค์กรภาครัฐเผชิญความเสี่ยงในการเปิดเผยข้อมูลเช่นเดียวกับบริษัทเอกชน ในฝั่งผู้บริโภค คดีความที่ยื่นฟ้องเกี่ยวกับการละเมิดในเดือนมิถุนายนอ้างว่า ผู้ใช้ TikTok มากถึง 2.4 พันล้านคนมีข้อมูลถูกเปิดเผย ซึ่งหากเป็นความจริงจะจัดอยู่ในกลุ่มการละเมิดที่ใหญ่ที่สุดเท่าที่เคยมีรายงานมา

สิ่งที่เชื่อมโยงเหตุการณ์เหล่านี้เข้าด้วยกันไม่ใช่สาเหตุเดียว แต่เป็นชุดจุดอ่อนพื้นฐานร่วมกัน: ฐานข้อมูลที่ไม่มีการรักษาความปลอดภัยปล่อยให้เปิดสู่อินเทอร์เน็ต ข้อมูลประจำตัวที่ใช้ซ้ำข้ามบริการต่างๆ และผู้โจมตีที่ปฏิบัติต่อข้อมูลที่ถูกขโมยเป็นสินค้าที่จะประมูล รั่วไหล หรือเรียกค่าไถ่ มากกว่าจะเก็บไว้เพียงอย่างเดียว

สิ่งนี้หมายความต่อคุณอย่างไร

คนส่วนใหญ่จะไม่มีทางรู้แน่ชัดว่าข้อมูลประจำตัวของตนอยู่ในฐานข้อมูล 2.4 หมื่นล้านรายการนั้นหรือไม่ และโคดักก็ไม่ได้เผยแพร่รายชื่อผู้ได้รับผลกระทบทั้งหมดจากการละเมิด ความไม่แน่นอนนั้นเป็นส่วนหนึ่งที่ทำให้การรั่วไหลของข้อมูลปี 2026 มีความสำคัญต่อผู้ใช้ทั่วไป ไม่ใช่แค่แผนกไอที หากอีเมลและรหัสผ่านของคุณปรากฏในการละเมิดครั้งก่อนๆ ใดๆ และมีการละเมิดเกิดขึ้นมากมาย ก็มีโอกาสจริงที่ข้อมูลนั้นเป็นส่วนหนึ่งของชุดข้อมูลรวมขนาดใหญ่ที่หมุนเวียนอยู่ในขณะนี้

การตอบสนองเชิงปฏิบัติไม่จำเป็นต้องตื่นตระหนก แต่ต้องมีการปฏิบัติพื้นฐานที่ปิดเส้นทางการโจมตีที่พบบ่อยที่สุด: รหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละบัญชี การยืนยันตัวตนแบบหลายปัจจัยในทุกที่ที่มีให้ และการตรวจสอบเป็นระยะว่าอีเมลของคุณปรากฏในการละเมิดที่รู้จักหรือไม่

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • ใช้ตัวจัดการรหัสผ่านเพื่อสร้างและเก็บรหัสผ่านที่ไม่ซ้ำกันสำหรับทุกบัญชี เพื่อให้ข้อมูลประจำตัวที่รั่วไหลจากการละเมิดครั้งหนึ่งไม่สามารถใช้เปิดบัญชีอื่นได้
  • เปิดใช้การยืนยันตัวตนแบบหลายปัจจัยสำหรับอีเมล ธนาคาร และบัญชีใดๆ ที่เก็บข้อมูลส่วนบุคคลหรือข้อมูลทางการเงินที่ละเอียดอ่อน
  • ตรวจสอบบริการเฝ้าระวังการละเมิดเป็นระยะเพื่อดูว่าอีเมลของคุณปรากฏในการรั่วไหลที่รู้จักหรือไม่ รวมถึงฐานข้อมูลรวมขนาดใหญ่เช่นที่พบในเดือนมิถุนายน
  • ปฏิบัติกับอีเมลรีเซ็ตรหัสผ่านหรือการแจ้งเตือนการเข้าสู่ระบบที่ไม่คาดคิดเป็นสัญญาณให้เปลี่ยนรหัสผ่านทันที แม้คุณจะไม่สามารถยืนยันได้ว่าการละเมิดใดเป็นต้นเหตุ
  • ติดตามข่าวการรั่วไหลของข้อมูลปี 2026 ที่เกิดขึ้นกับบริษัทที่คุณทำธุรกิจด้วย เนื่องจากการแจ้งเตือนการละเมิดมักมาถึงหลายสัปดาห์หรือหลายเดือนหลังจากเหตุการณ์จริง

การรั่วไหลของข้อมูลในระดับนี้ไม่น่าจะชะลอตัวลงในปี 2026 การก้าวนำหน้าไม่ได้เกี่ยวกับการหลีกเลี่ยงทุกความเสี่ยง แต่เป็นการทำให้แน่ใจว่าเมื่อเกิดการรั่วไหล มันจะไม่กลายเป็นบัญชีที่ถูกเจาะหรืออัตลักษณ์ที่ถูกขโมย