บริการ VPN ชื่อ SplitVPN ซึ่งโฆษณาว่าเป็นบริการแบบ "No Logs" หรือไม่มีการเก็บบันทึกการใช้งานของผู้ใช้ กำลังเผชิญข้อกล่าวหาครั้งใหญ่ หลังฐานข้อมูลที่อ้างว่าถูกขโมยถูกเผยแพร่บนฟอรัมของกลุ่มอาชญากรไซเบอร์ เปิดเผยว่าบริษัทเก็บข้อมูลการใช้งานไว้มากกว่าที่ประกาศต่อสาธารณะอย่างมาก
Timeline เหตุการณ์
- 21 กรกฎาคม 2026: เหตุการณ์รั่วไหลเกิดขึ้น ฐานข้อมูล SQL ขนาด 17 GB ถูกเผยแพร่บนฟอรัมอาชญากรไซเบอร์ Altenen โดยผู้โจมตีอ้างว่าขโมยมาจากโครงสร้างพื้นฐานของ SplitVPN โดยตรง
- นักวิจัยจาก Mysterium ตรวจสอบและยืนยันความถูกต้องของฐานข้อมูลดังกล่าว
- 1 สิงหาคม 2026: ชุดข้อมูลถูกเพิ่มเข้าสู่ฐานข้อมูลของ Have I Been Pwned ยืนยันบัญชีที่ได้รับผลกระทบ 865,336 บัญชี
ขนาดของข้อมูลที่รั่วไหล
จากการตรวจสอบของนักวิจัย ฐานข้อมูลที่หลุดออกมาประกอบด้วย:
- ข้อมูลผู้ใช้งาน: ประมาณ 23.4 ล้านรายการ
- ข้อมูลอุปกรณ์: 13.6 ล้านรายการ
- ข้อมูลการชำระเงิน: 2.6 ล้านรายการ
- Connection Log: เกือบ 58 ล้านรายการ
ข้อมูลที่ถูกเปิดเผย
ชุดข้อมูลที่หลุดออกมาครอบคลุมข้อมูลหลายประเภท ได้แก่:
- IP Address ของผู้ใช้งาน
- ประเทศที่พำนัก
- ข้อมูลบัตรชำระเงินบางส่วน (เลข 6 หลักแรกและ 4 หลักสุดท้าย พร้อมวันหมดอายุ)
- รหัสอุปกรณ์ (Device Identifier)
- ตำแหน่งที่ตั้งโดยประมาณ
- สถานะการสมัครสมาชิก
- Token สำหรับ Recurring Billing
ความขัดแย้งกับนโยบาย "No Logs"
จุดที่สร้างความกังวลมากที่สุดในเหตุการณ์นี้คือการพบ Connection Log เกือบ 58 ล้านรายการ ซึ่งบันทึกช่วงเวลาที่อุปกรณ์แต่ละเครื่องเชื่อมต่อเข้าใช้งานเซิร์ฟเวอร์ VPN แม้ Log เหล่านี้จะไม่ได้บันทึกเว็บไซต์ที่ผู้ใช้งานเข้าชม แต่การมีอยู่ของ Log ในปริมาณมากขนาดนี้ขัดแย้งโดยตรงกับนโยบาย "No Logs" ที่ SplitVPN ประกาศต่อสาธารณะ ซึ่งเป็นจุดขายหลักที่ดึงดูดผู้ใช้งานที่ให้ความสำคัญกับความเป็นส่วนตัว
ผลกระทบที่อาจเกิดขึ้น
- ผู้ใช้งานที่เลือกใช้ VPN เพื่อความเป็นส่วนตัวโดยเฉพาะ อาจมีข้อมูลพฤติกรรมการใช้งานถูกเปิดเผยโดยขัดกับความคาดหวังที่มีต่อบริการที่สมัครใช้
- ข้อมูลบัตรชำระเงินบางส่วนที่หลุดออกมา แม้ไม่ครบถ้วน แต่เพิ่มความเสี่ยงต่อการถูกใช้ประกอบการโจมตีแบบ Social Engineering หรือ Phishing ที่มีความน่าเชื่อถือสูงขึ้น
- ความน่าเชื่อถือของนโยบาย "No Logs" ในอุตสาหกรรม VPN โดยรวมถูกตั้งคำถาม โดยเฉพาะสำหรับผู้ให้บริการที่ไม่ผ่านการตรวจสอบจากบุคคลที่สาม (Independent Audit)
- ผู้ใช้งานในกลุ่มที่มีความเสี่ยงสูง เช่น นักข่าว นักเคลื่อนไหว หรือผู้ที่ต้องการปกปิดตัวตนด้วยเหตุผลด้านความปลอดภัย อาจได้รับผลกระทบร้ายแรงกว่าผู้ใช้งานทั่วไป
สิ่งที่องค์กรควรทำ
- ผู้ใช้งาน SplitVPN ควรตรวจสอบอีเมลของตนผ่าน Have I Been Pwned เพื่อยืนยันว่าได้รับผลกระทบจากเหตุการณ์นี้หรือไม่
- พิจารณาเปลี่ยนรหัสผ่านบัญชี SplitVPN และเฝ้าระวังธุรกรรมทางการเงินที่เกี่ยวข้องกับบัตรที่เคยใช้สมัครบริการ
- องค์กรที่ประเมินเลือกใช้บริการ VPN สำหรับพนักงาน ควรตรวจสอบนโยบาย Logging ของผู้ให้บริการอย่างละเอียด ไม่ควรเชื่อคำโฆษณา "No Logs" โดยไม่มีการตรวจสอบยืนยันจากบุคคลที่สาม
- หากองค์กรใช้งาน SplitVPN อยู่ ควรประเมินความเสี่ยงและพิจารณาเปลี่ยนผู้ให้บริการที่ผ่านการตรวจสอบ Independent Audit ที่น่าเชื่อถือกว่า
แนวทางลดความเสี่ยงระยะยาว
1. เลือกใช้บริการ VPN ที่ผ่านการตรวจสอบ Independent Security Audit เป็นประจำ
และเปิดเผยผลการตรวจสอบต่อสาธารณะ แทนการเชื่อคำโฆษณา "No Logs" เพียงอย่างเดียวโดยไม่มีหลักฐานยืนยัน
2. ประเมินผู้ให้บริการ VPN จากประวัติการรับมือเหตุการณ์ความปลอดภัยในอดีต
รวมถึงความโปร่งใสในการแจ้งเตือนผู้ใช้งานเมื่อเกิดเหตุการณ์ ไม่ใช่พิจารณาจากราคาหรือฟีเจอร์เพียงอย่างเดียว
3. หลีกเลี่ยงการใช้ข้อมูลบัตรชำระเงินเดียวกันกับหลายบริการ
เพื่อลดผลกระทบหากผู้ให้บริการรายใดรายหนึ่งเกิดเหตุการณ์ข้อมูลรั่วไหล
4. ติดตามข่าวสารด้าน Privacy และ Data Breach ของบริการที่องค์กรหรือพนักงานใช้งานอย่างสม่ำเสมอ
ผ่านบริการตรวจสอบอย่าง Have I Been Pwned เพื่อทราบผลกระทบได้อย่างทันท่วงที
วิเคราะห์ในมุมมองจาก TXEC
เหตุการณ์นี้ตอกย้ำบทเรียนสำคัญที่ TXEC เน้นย้ำมาโดยตลอด นั่นคือคำโฆษณาด้าน Privacy หรือความปลอดภัยของผู้ให้บริการใดๆ ไม่ควรถูกเชื่อถือโดยปราศจากการตรวจสอบยืนยันจากบุคคลที่สาม โดยเฉพาะบริการ VPN ที่ผู้ใช้งานเลือกใช้ด้วยเหตุผลด้านความเป็นส่วนตัวโดยเฉพาะ การพบ Connection Log เกือบ 58 ล้านรายการทั้งที่ประกาศนโยบาย "No Logs" สะท้อนช่องว่างระหว่างสิ่งที่ผู้ให้บริการสื่อสารต่อสาธารณะ กับแนวปฏิบัติจริงภายในองค์กร
TXEC มองว่าองค์กรและผู้ใช้งานทั่วไปควรให้ความสำคัญกับหลักฐานการตรวจสอบจากบุคคลที่สาม (Third-party Audit) มากกว่าคำโฆษณาของผู้ให้บริการเอง เมื่อต้องเลือกใช้บริการที่เกี่ยวข้องกับความเป็นส่วนตัวหรือความปลอดภัยของข้อมูล เนื่องจากเหตุการณ์ลักษณะนี้แสดงให้เห็นว่าแม้แต่บริการที่วางตำแหน่งตัวเองด้าน Privacy โดยเฉพาะ ก็อาจไม่ได้ปฏิบัติตามที่โฆษณาไว้จริง
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: CyberSecurityNews, Bitdefender, Security Affairs, SC Media, Have I Been Pwned ]