รั่วมโหฬาร 840 ล้านไฟล์ บริษัทขนส่งสหรัฐทำข้อมูลลูกค้าหลุดครั้งใหญ่ เหตุตั้งค่าระบบผิด

เกิดเหตุข้อมูลรั่วครั้งใหญ่ในวงการขนส่ง หลัง SpeedX บริษัทขนส่งพัสดุแบบ Last-mile Delivery ของสหรัฐฯ ถูกพบว่ามีการเปิดเผยข้อมูลลูกค้าและพนักงานจำนวนมหาศาลบนระบบออนไลน์

ทีมนักวิจัยระบุว่า พวกเขาค้นพบข้อมูลดังกล่าวตั้งแต่เดือนมีนาคม 2026 โดยพบไฟล์รั่วไหลมากกว่า 840 ล้านรายการ ซึ่งอาจกลายเป็นหนึ่งในเหตุข้อมูลรั่วของบริษัทขนส่งที่ใหญ่ที่สุดเท่าที่เคยมีมา

ข้อมูลที่หลุดออกมาครอบคลุมตั้งแต่

• ชื่อ-นามสกุลผู้รับพัสดุ
• ที่อยู่บ้าน
• รูปถ่ายหน้าบ้านที่ใช้ยืนยันการส่งของ
• ใบขับขี่ของพนักงานส่งของ
• ข้อมูลล็อกอินแอปของ SpeedX
• เอกสารและข้อมูลด้านการขนส่งจำนวนมาก

นักวิจัยระบุว่า ข้อมูลเหล่านี้เพิ่มความเสี่ยงต่อการถูกหลอกลวง การโจมตีแบบ Social Engineering รวมถึงการขโมยตัวตน ทั้งฝั่งลูกค้าและพนักงานขนส่ง

นอกจากนี้ เอกสารด้านการขนส่งยังเผยให้เห็นภาพการทำงานภายในของบริษัทอย่างละเอียด ซึ่งอาจเปิดช่องให้ผู้ไม่หวังดีใช้วางแผนโจมตีระบบโลจิสติกส์หรือซัพพลายเชนได้ง่ายขึ้น

SpeedX เป็นบริษัทขนส่งแบบ Last-mile Delivery หรือผู้ให้บริการส่งพัสดุจากศูนย์กระจายสินค้าไปยังหน้าบ้านลูกค้า โดยบริษัทระบุว่ารองรับการจัดส่งหลายล้านรายการต่อวันให้กับแพลตฟอร์มใหญ่ เช่น Shein, Temu, Amazon และ TikTok Shop

ด้าน SpeedX ออกมายืนยันว่า บริษัทได้ตรวจสอบระบบ Azure Blob Storage และพบว่าเกิดปัญหาด้านการตั้งค่า Storage จริง แต่ระบุว่าเป็นเพียง “ปัญหาการตั้งค่าระบบจัดเก็บข้อมูล” ไม่ใช่การถูกเจาะระบบโดยตรง

บริษัทอ้างว่า ไม่พบหลักฐานว่ามีการเข้าถึงข้อมูลสำคัญโดยไม่ได้รับอนุญาต ไม่มีสัญญาณของการขโมยข้อมูลออกจากระบบ และไม่พบการโจมตีที่กระทบต่อบัญชีผู้ใช้งาน

อย่างไรก็ตาม ทีมนักวิจัยแย้งว่า การเข้าถึงไฟล์ทั้งหมดนั้นแทบไม่ต้องใช้ข้อมูลพิเศษใดๆ เพียงแค่รู้ชื่อ Bucket ของระบบจัดเก็บข้อมูล ก็สามารถเข้าถึงไฟล์จำนวนมหาศาลได้แล้ว

จากการตรวจสอบ นักวิจัยพบว่า Storage Bucket ดังกล่าวอยู่บน Microsoft Azure และประกอบด้วยไฟล์จำนวนมากถึง 11 กลุ่มหลัก

กลุ่มข้อมูลที่ใหญ่ที่สุดมีมากกว่า 618 ล้านไฟล์ ส่วนใหญ่เป็นรูปพัสดุและป้าย Shipping Label ซึ่งเผยให้เห็นว่าพัสดุถูกส่งให้ใครและส่งไปที่ไหน

อีกชุดหนึ่งมีมากกว่า 220 ล้านไฟล์ เป็นเอกสาร PDF ของ Shipping Label ที่แสดงข้อมูลปลายทาง ชื่อผู้รับ ที่อยู่ และข้อมูลศูนย์กระจายสินค้าระหว่างทาง

นักวิจัยยังพบว่า บาง Shipping Label มีข้อมูลของ Raven Force Couriers บริษัทขนส่งจากแคนาดา ซึ่งอาจเป็นพาร์ตเนอร์ด้านการขนส่งข้ามพรมแดนของ SpeedX

นอกจากนี้ยังพบเอกสารสรุปรายงานการจัดส่งอีกกว่า 3.8 ล้านไฟล์ ที่มีทั้งหมายเลขติดตามพัสดุ ข้อมูลศูนย์คัดแยกสินค้า ชื่อร้านค้า และข้อมูลส่วนตัวของผู้รับ อีกส่วนหนึ่งที่น่ากังวล คือข้อมูลของพนักงานขับรถส่งของ โดยมีไฟล์เกือบ 105,000 รายการที่ประกอบด้วยรูปใบขับขี่ Screenshot ข้อมูลล็อกอินแอป และภาพหน้าจออื่นๆ ที่คาดว่าใช้ยืนยันสิทธิ์การทำงานกับบริษัท

ทีมนักวิจัยยังพบ Log File ของระบบอีกกว่า 117,000 รายการถูกเปิดเผยอยู่ใน Storage เดียวกัน

หลังได้รับแจ้ง SpeedX ได้ดำเนินการปิดช่องโหว่ดังกล่าวแล้ว และทีมนักวิจัยระบุว่ายังไม่พบหลักฐานว่าข้อมูลถูกนำไปใช้โจมตีจริง แต่พวกเขาเตือนว่า หากนักวิจัยสามารถค้นพบข้อมูลเหล่านี้ได้ ก็มีความเป็นไปได้สูงที่ระบบอัตโนมัติหรือ Bot สำหรับค้นหาข้อมูลรั่วบนอินเทอร์เน็ต อาจเข้าถึงและดาวน์โหลดข้อมูลไปแล้วเช่นกัน

ด้วยจำนวนข้อมูลมากกว่า 840 ล้านรายการ ผู้ไม่หวังดีอาจใช้ข้อมูลเหล่านี้สร้างการหลอกลวงขนาดใหญ่ได้ง่ายขึ้น เช่น ส่งข้อความปลอมเกี่ยวกับการจัดส่งพัสดุ หลอกให้เหยื่อยืนยันข้อมูลหรือเปลี่ยนที่อยู่จัดส่ง ก่อนนำไปสู่การติดตั้งมัลแวร์หรือขโมยข้อมูลเพิ่มเติม

นักวิจัยยังเตือนว่า ข้อมูลจากเหตุการณ์นี้อาจถูกนำไปเชื่อมกับข้อมูลรั่วจากเหตุการณ์อื่น เพื่อสร้างโปรไฟล์เหยื่อที่ละเอียดมากขึ้น และถูกนำไปขายต่อในตลาดใต้ดินออนไลน์ได้ในอนาคต

ที่มา