3 พฤศจิกายน 2569 — Have I Been Pwned (HIBP) เพิ่มชุดข้อมูลจากเหตุ ข้อมูลรั่วไหล Harvard โดยหน้าเหตุการณ์แสดงอีเมลประมาณ 850,500 รายการ ที่เกี่ยวข้องกับระบบศิษย์เก่าและการระดมทุน ความคืบหน้าครั้งนี้เป็นการเพิ่มข้อมูลในบริการแจ้งเตือน ไม่ใช่หลักฐานว่า Harvard ถูกโจมตีครั้งใหม่ในวันนี้

เหตุเกิดเมื่อใด และข้อมูลเกี่ยวกับใคร

ประกาศของ Harvard ลงวันที่ 22 พฤศจิกายน 2568 และอัปเดตล่าสุด 19 ธันวาคม 2568 ระบุว่าพบการเข้าถึงระบบ Alumni Affairs and Development โดยไม่ได้รับอนุญาตเมื่อ 18 พฤศจิกายน 2568 จากการหลอกลวงผ่านโทรศัพท์ มหาวิทยาลัยระบุว่าได้ตัดการเข้าถึงของผู้โจมตีและทำงานร่วมกับผู้เชี่ยวชาญภายนอกและเจ้าหน้าที่

ระบบดังกล่าวมีข้อมูลของศิษย์เก่า ครอบครัว ผู้บริจาค ผู้ปกครอง ตลอดจนนักศึกษา อาจารย์และเจ้าหน้าที่บางส่วน เช่น อีเมล เบอร์โทร ที่อยู่ การเข้าร่วมกิจกรรมและการบริจาค ขณะที่ HIBP ระบุหมวดข้อมูลเพิ่มเติมในชุดที่วิเคราะห์ เช่น วันเกิด อาชีพ สมาชิกครอบครัว และข้อมูลโปรไฟล์อื่น ๆ ไม่ได้หมายความว่าทุกรายมีข้อมูลครบทุกหมวด

ต้องแยกจำนวนอีเมลออกจากจำนวนบุคคล

ยอดประมาณ 850,500 เป็นจำนวนอีเมลในชุดข้อมูลตาม HIBP ไม่ใช่จำนวนผู้เสียหายทางการเงินหรือจำนวนบุคคลที่ไม่ซ้ำกันที่ Harvard ยืนยัน มหาวิทยาลัยไม่ได้ระบุยอดบุคคลรวมในประกาศที่ตรวจอ่านครั้งนี้ และยังไม่มีหลักฐานยืนยันจำนวนผู้ได้รับผลกระทบในประเทศไทย

Harvard ระบุอย่างมีข้อจำกัดว่าระบบที่ถูกเข้าถึงโดยทั่วไปไม่ได้เก็บเลขประกันสังคม รหัสผ่าน ข้อมูลบัตรชำระเงิน หรือเลขบัญชีการเงิน จึงไม่ควรสรุปว่ารหัสผ่านหรือบัตรของทุกรายรั่วไหลจากเหตุนี้

ผู้อ่านควรทำอะไร

  • ผู้เกี่ยวข้องกับ Harvard ควรระวังสายโทรศัพท์ อีเมลหรือข้อความอ้างฝ่ายไอที งานศิษย์เก่าหรือการระดมทุน โดยเฉพาะคำขอให้โอนเงิน เปิดไฟล์ หรือรีเซ็ตรหัสผ่าน
  • หากต้องตรวจคำขอ ให้ติดต่อมหาวิทยาลัยผ่านช่องทางที่ทราบอยู่แล้ว อย่าใช้เบอร์หรือลิงก์ที่ผู้ติดต่อส่งมา และอย่าเปิดเผยรหัสผ่านหรือ OTP
  • หากต้องการตรวจอีเมลกับ HIBP ให้เข้าบริการด้วยตนเองและอ่านขอบเขตข้อมูลที่แจ้ง ผลค้นไม่พบไม่ใช่หลักฐานว่าไม่เคยรั่วไหล
  • หากเคยกรอกรหัสผ่านในหน้าปลอม ให้เปลี่ยนจากอุปกรณ์ที่เชื่อถือได้ ตรวจเซสชัน และเปิด MFA ส่วนนี้เป็นคำแนะนำป้องกันของ ALPHASEC ไม่ใช่การยืนยันว่ารหัสผ่านอยู่ในชุดข้อมูลนี้

ข้อวิเคราะห์ ALPHASEC สำหรับองค์กรไทย

ประวัติความสัมพันธ์และกิจกรรมช่วยให้ข้อความสวมรอยดูน่าเชื่อถือ องค์กรที่ดูแลฐานสมาชิก ลูกค้าหรือผู้บริจาคควรจำกัดข้อมูลตามหน้าที่ กำหนดขั้นตอนโทรกลับยืนยันก่อนเปลี่ยนบัญชีหรือรีเซ็ตสิทธิ์ และทบทวนการเก็บข้อมูลเก่าให้เหมาะสม บทเรียนนี้ไม่ใช่หลักฐานว่าองค์กรไทยใดได้รับผลกระทบจากเหตุ Harvard

แหล่งข้อมูล