ข้อมูลผู้เข้าพักโรงแรมถูกขโมยและรั่วไหลบน Telegram แบบเรียลไทม์

นักวิจัยด้านความปลอดภัยจาก Cybernews ได้เปิดเผยปฏิบัติการขโมยข้อมูลขนาดใหญ่ที่มุ่งเป้าไปยังผู้เข้าพักโรงแรมในหลายประเทศ การโจมตีดังกล่าวได้เจาะระบบบัญชีกว่า 500 บัญชีบนแพลตฟอร์มจัดการธุรกิจโรงแรม ทำให้ข้อมูลส่วนตัวของนักเดินทางทั่วโลกเกือบ 5 ล้านคนถูกเปิดเผย สิ่งที่ทำให้การละเมิดข้อมูลครั้งนี้น่าเป็นห่วงเป็นพิเศษไม่ใช่แค่ขนาดของความเสียหาย แต่เป็นวิธีการเผยแพร่ข้อมูล กล่าวคือข้อมูลที่ถูกขโมยถูกรั่วไหลแบบเรียลไทม์ผ่านช่องทาง Telegram ในขณะเดียวกันก็ถูกจัดเก็บไว้บนเซิร์ฟเวอร์ที่ไม่มีการป้องกัน

แพลตฟอร์มที่ตกเป็นเป้าหมาย ได้แก่ Chekin ซึ่งมีฐานอยู่ในสเปน และ Gastrodat ซึ่งมีฐานอยู่ในออสเตรีย ทั้งสองแพลตฟอร์มนี้ถูกใช้โดยโรงแรมและผู้จัดการอสังหาริมทรัพย์เพื่อจัดการการเช็กอินของผู้เข้าพักและข้อมูลด้านการบริหาร แฮกเกอร์ใช้สคริปต์อัตโนมัติในการรวบรวมชื่อผู้เข้าพัก ที่อยู่อีเมล หมายเลขโทรศัพท์ และรายละเอียดบัตรประจำตัวที่ออกโดยรัฐบาลจากบัญชีที่ถูกเจาะระบบอย่างเป็นระบบ

วิธีการดำเนินการโจมตี

ปฏิบัติการนี้อาศัยการเจาะระบบข้อมูลประจำตัว มากกว่าการละเมิดระบบแบบหายนะเดียวบนแพลตฟอร์มใดแพลตฟอร์มหนึ่ง ด้วยการเข้าถึงบัญชีจัดการอสังหาริมทรัพย์รายบุคคลกว่า 500 บัญชี ผู้โจมตีสามารถดึงข้อมูลผู้เข้าพักจากแต่ละบัญชีโดยใช้เครื่องมืออัตโนมัติ การโจมตีลักษณะนี้บางครั้งเรียกว่า credential stuffing หรือการยึดบัญชี ซึ่งเป็นการใช้ข้อมูลประจำตัวสำหรับเข้าสู่ระบบที่ถูกขโมยหรือที่มีความปลอดภัยต่ำเพื่อเข้าถึงระบบที่ถูกต้องตามกฎหมาย

เมื่อเข้าถึงได้แล้ว สคริปต์จะดึงข้อมูลส่วนตัวทั้งหมดที่บัญชีเหล่านั้นมีอยู่ ซึ่งรวมถึงข้อมูลประเภทที่ผู้เข้าพักต้องให้เมื่อเช็กอินเข้าโรงแรม ได้แก่ ชื่อตามกฎหมายเต็ม ข้อมูลติดต่อ และเอกสารระบุตัวตน การรวมกันของข้อมูลเหล่านี้มีคุณค่าอย่างมากสำหรับอาชญากร เนื่องจากสามารถนำไปใช้สำหรับการโจรกรรมข้อมูลส่วนตัว การโจมตีแบบฟิชชิง การสลับซิม และการฉ้อโกงรูปแบบอื่น ๆ

การตัดสินใจเผยแพร่ข้อมูลที่ถูกขโมยผ่าน Telegram แทนที่จะขายบนตลาดมืดแบบดั้งเดิม สะท้อนให้เห็นถึงการเปลี่ยนแปลงที่กว้างขึ้นในวิธีการดำเนินงานของอาชญากรไซเบอร์ Telegram กลายเป็นช่องทางการเผยแพร่ข้อมูลที่รั่วไหลมากขึ้นเรื่อย ๆ เนื่องจากใช้งานง่ายและมีการกลั่นกรองเนื้อหาที่ค่อนข้างผ่อนปรน

ผลกระทบต่อคุณ

หากคุณเคยพักในโรงแรมที่ใช้ Chekin หรือ Gastrodat สำหรับการจัดการผู้เข้าพักในช่วงเวลาใดก็ตาม ข้อมูลส่วนตัวของคุณอาจเป็นส่วนหนึ่งของชุดข้อมูลนี้ แม้ว่าคุณจะไม่ได้รับผลกระทบโดยตรง เหตุการณ์นี้ก็แสดงให้เห็นถึงช่องโหว่ที่กว้างขึ้นที่นักเดินทางต้องเผชิญ นั่นคือเมื่อคุณเช็กอินเข้าโรงแรม คุณมอบข้อมูลส่วนตัวที่ละเอียดอ่อนโดยมองเห็นได้น้อยมากว่าข้อมูลนั้นถูกจัดเก็บอย่างไร ใครสามารถเข้าถึงได้บ้าง หรือระบบเหล่านั้นมีการจัดการด้านความปลอดภัยอย่างไร

ข้อมูลที่เปิดเผยในครั้งนี้ไปไกลกว่าการรวมกันของอีเมลและรหัสผ่านธรรมดา รายละเอียดบัตรประจำตัวที่ออกโดยรัฐบาลรวมกับชื่อเต็ม หมายเลขโทรศัพท์ และที่อยู่อีเมล ให้ข้อมูลเพียงพอแก่ผู้ไม่หวังดีในการแอบอ้างตัวตนของคุณ เปิดบัญชีในชื่อของคุณ หรือสร้างข้อความฟิชชิงที่น่าเชื่อถืออย่างมากซึ่งปรับแต่งมาสำหรับคุณโดยเฉพาะ

โรงแรมและแพลตฟอร์มจัดการอสังหาริมทรัพย์เป็นเป้าหมายที่น่าดึงดูดอย่างยิ่ง เนื่องจากรวบรวมข้อมูลส่วนตัวที่ละเอียดอ่อนจากผู้คนจำนวนมาก โดยมักมีโครงสร้างพื้นฐานด้านความปลอดภัยที่เข้มงวดน้อยกว่าสถาบันการเงินหรือบริษัทเทคโนโลยีขนาดใหญ่

ขั้นตอนที่คุณสามารถทำได้เพื่อลดความเสี่ยง

คุณไม่สามารถควบคุมสิ่งที่เกิดขึ้นกับข้อมูลของคุณได้เสมอไปหลังจากที่มอบให้กับธุรกิจ แต่คุณสามารถดำเนินการเพื่อจำกัดความเสียหายหากมีบางอย่างผิดพลาดได้

ติดตามบัญชีและข้อมูลส่วนตัวของคุณ หากคุณเดินทางบ่อย ควรพิจารณาใช้บริการตรวจสอบข้อมูลส่วนตัวที่แจ้งเตือนคุณเมื่อข้อมูลส่วนตัวของคุณปรากฏในการละเมิดข้อมูลที่ทราบหรือบนเว็บแบบเปิด

ใช้ที่อยู่อีเมลเฉพาะสำหรับการจองการเดินทาง บริการที่อนุญาตให้คุณสร้างที่อยู่อีเมลแบบนามแฝงหมายความว่าแม้บัญชีหนึ่งจะถูกเจาะระบบ ความเสียหายก็ยังคงถูกจำกัด

ระมัดระวังการติดต่อที่ไม่ได้ร้องขอ หากคุณได้รับอีเมล ข้อความ หรือสายโทรศัพท์ที่อ้างอิงถึงการพักโรงแรมเมื่อเร็ว ๆ นี้ ให้ระมัดระวัง ผู้โจมตีใช้รายละเอียดเหล่านี้เพื่อทำให้การพยายามฟิชชิงดูน่าเชื่อถือมากขึ้น

รักษาความปลอดภัยอุปกรณ์และการเชื่อมต่อเมื่อเดินทาง เครือข่ายสาธารณะในโรงแรมและสนามบินเป็นจุดเข้าถึงทั่วไปสำหรับการดักจับข้อมูล การใช้ VPN เมื่อเชื่อมต่อกับ WiFi สาธารณะจะเข้ารหัสการรับส่งข้อมูลของคุณและลดความเสี่ยงที่กิจกรรมของคุณจะถูกตรวจสอบหรือดักจับ

ตรวจสอบข้อมูลที่แพลตฟอร์มเก็บไว้เกี่ยวกับคุณ ในหลายประเทศ โดยเฉพาะภายในสหภาพยุโรป คุณมีสิทธิ์ขอทราบว่าบริษัทเก็บข้อมูลส่วนตัวใดบ้างและขอให้ลบข้อมูลนั้น หากคุณเคยพักในอสังหาริมทรัพย์ที่ใช้แพลตฟอร์มอย่าง Chekin หรือ Gastrodat คุณสามารถติดต่อแพลตฟอร์มเหล่านั้นได้โดยตรง

การละเมิดข้อมูลครั้งนี้เป็นเครื่องเตือนใจว่าข้อมูลส่วนตัวของคุณเดินทางไปพร้อมกับคุณ มักในรูปแบบที่คุณมองไม่เห็นหรือควบคุมไม่ได้ การติดตามข้อมูลว่าข้อมูลของคุณไปอยู่ที่ไหน และการดำเนินการในทางปฏิบัติเพื่อจำกัดความเสี่ยง คือการป้องกันที่มีประสิทธิภาพสูงสุดที่นักเดินทางทั่วไปสามารถทำได้ในขณะนี้