GMO Trust Login บริการจัดการตัวตนและ Single Sign-On ของ GMO GlobalSign ยืนยันในผลสอบสวนวันที่ 30 ตุลาคม 2569 ว่าไฟล์ข้อมูลลูกค้าถูกบุคคลภายนอกดาวน์โหลดจากพื้นที่จัดเก็บที่เปิดให้อ่านได้ ขอบเขตล่าสุดคือ 2,492 องค์กร และ 45,030 คน โดยบริษัทนับจำนวนบุคคลด้วยการตัดอีเมลซ้ำ ข่าวนี้เป็นเหตุข้อมูลรั่วไหลที่เกิดขึ้นจริง ไม่ใช่เพียงประกาศช่องโหว่ซอฟต์แวร์

ข้อมูลอะไรอยู่ในไฟล์

ข้อมูลครอบคลุมชื่อ อีเมล ชื่อแอปหรือบริการที่เชื่อมต่อ และคุณลักษณะที่องค์กรกำหนด เช่น รหัสพนักงานหรือหน่วยงาน รวมถึงข้อมูลติดต่อผู้รับเอกสารเรียกเก็บเงินบางราย บริษัทระบุว่าไม่รวมรหัสผ่านเข้าสู่ Trust Login รหัสผ่านบริการ SSO ข้อมูล MFA และข้อมูลชำระเงิน

แยกระยะเวลาเปิดเผยออกจากหลักฐานการดาวน์โหลด

บริษัทระบุว่าพื้นที่ซึ่งใช้แจกจ่ายโลโก้เก็บไฟล์จากงานนำเข้าข้อมูลและไฟล์สัญญาไว้ด้วย ทำให้ภายนอกดูรายการและดาวน์โหลดได้ตั้งแต่ประมาณพฤศจิกายน 2560 จนปิดกั้นครบเมื่อ 15 กันยายน 2569 แต่บันทึกที่ยืนยันการดาวน์โหลดโดยบุคคลภายนอกเริ่มตั้งแต่ 8 มิถุนายน 2564 จึงไม่ควรอ้างว่ามีหลักฐานถูกดาวน์โหลดต่อเนื่องตลอดเกือบเก้าปี

รายงาน innovaTopia วันที่ 2 พฤศจิกายนชี้ความสำคัญของเหตุนี้ต่อองค์กรที่ฝากข้อมูลสมาชิกไว้กับบริการดังกล่าว เหตุ Trust Login เป็นคนละบริการกับข่าว FX บน Onamae.com Desktop Cloud จึงไม่ควรรวมยอดหรือสาเหตุเข้าด้วยกัน

ผู้ใช้งานและผู้ดูแลระบบควรตรวจอะไร

  • หากองค์กรเคยใช้ Trust Login ให้ตรวจหนังสือแจ้งและสอบถามขอบเขตข้อมูลของตนผ่านช่องทางทางการ โดยเฉพาะข้อมูลที่นำเข้าหรือกำหนดเอง
  • แจ้งผู้เกี่ยวข้องให้ระวังข้อความอ้างต่ออายุสัญญา ไลเซนส์เกินจำนวน หรือยืนยันบัญชี ตรวจสอบผู้ติดต่อผ่านช่องทางที่มีอยู่เดิมก่อนกรอกข้อมูลหรือจ่ายเงิน
  • อย่ามอบรหัสผ่านหรือรหัส MFA ให้ผู้ที่ติดต่อเข้ามา และไม่ควรสรุปว่าทุกบัญชีถูกยึดเพียงเพราะข้อมูลการติดต่อรั่วไหล
  • หากได้รับการติดต่อผิดปกติ ให้เก็บข้อความและเวลาไว้ แล้วแจ้งผู้ดูแลความปลอดภัยขององค์กร

ข้อวิเคราะห์ ALPHASEC สำหรับองค์กรไทย

ข้อมูลว่าบุคคลใดใช้บริการใดอาจทำให้การสวมรอยฝ่าย IT ดูน่าเชื่อขึ้น แม้ไม่มีรหัสผ่านในไฟล์ องค์กรไทยที่ใช้บริการนี้ควรประเมินจากขอบเขตที่ผู้ให้บริการยืนยันเฉพาะราย ส่วนแหล่งที่ตรวจในรอบนี้ยังไม่ได้ยืนยันจำนวนองค์กรหรือบุคคลในประเทศไทย

สำหรับผู้ให้บริการระบบองค์กร ควรแยกไฟล์สาธารณะออกจากไฟล์นำเข้าข้อมูลและไฟล์ชั่วคราว จำกัดสิทธิ์การดาวน์โหลด กำหนดอายุไฟล์ และทดสอบสิทธิ์ของพื้นที่เก็บข้อมูลด้วย การตรวจเฉพาะหน้าแอปโดยไม่ครอบคลุมที่เก็บไฟล์อาจทำให้ประเมินความเสี่ยงไม่ครบ

แหล่งข้อมูลและเครดิต

ตรวจต้นทาง 3 พฤศจิกายน 2569 เวลา 01:35 น. ไทย · แยกข้อเท็จจริงจากข้อวิเคราะห์ ALPHASEC