แพลตฟอร์มแชทยอดนิยมอย่าง Discord ประกาศเมื่อวันที่ 3 ตุลาคม 2025 ว่าเกิดเหตุการณ์ละเมิดข้อมูลผู้ใช้งานผ่านบริษััทผู้ให้บริการด้านการบริการลูกค้าบุคคลที่สามรายหนึ่ง หลังจากที่แฮกเกอร์สามารถเจาะเข้าถึงระบบของผู้ให้บริการดังกล่าวในช่วงปลายเดือนกันยายน 2025 แม้ว่าระบบหลักของ Discord เองจะไม่ถูกโจมตีโดยตรง แต่ข้อมูลส่วนบุคคลของผู้ใช้งานจำนวนจำกัดที่เคยติดต่อทีมสนับสนุนก็ยังคงถูกเปิดเผย[1]
รายละเอียดเหตุการณ์และข้อมูลที่ถูกเปิดเผย
ตามรายงานจาก Discord ผู้โจมตีได้เข้าถึงระบบตั๋วสนับสนุน (support tickets) ของบริษัทผู้ให้บริการที่คาดว่าคือ Zendesk ซึ่งทำให้สามารถดูข้อมูลของผู้ใช้ที่เคยติดต่อทีม Customer Support และ Trust & Safety ของ Discord เท่านั้น ข้อมูลที่อาจรั่วไหลประกอบด้วย ชื่อจริง ชื่อผู้ใช้ Discord อีเมล ข้อมูลการติดต่อ ประเภทการชำระเงิน เลข 4 หลักสุดท้ายของบัตรเครดิต ประวัติการซื้อ ที่อยู่ IP ข้อความที่ส่งถึงฝ่ายสนับสนุน และที่น่าเป็นห่วงที่สุดคือเอกสารระบุตัวตนที่ออกโดยรัฐบาล เช่น บัตรประชาชน ในจำนวนจำกัด[2]
ขอบเขตและวัตถุประสงค์ของการโจมตี
Discord ยืนยันว่าเหตุการณ์นี้ส่งผลกระทบต่อผู้ใช้งานเพียงจำนวนจำกัดเท่านั้น โดยเฉพาะผู้ที่เคยติดต่อฝ่ายบริการลูกค้าในช่วงเวลาที่เกิดเหตุ ส่วนข้อมูลที่ไม่ได้รับผลกระทบ ได้แก่ หมายเลขบัตรเครดิตแบบเต็ม รหัส CVV รหัสผ่านหรือข้อมูลการยืนยันตัวตน และข้อความในแชทหรือกิจกรรมภายในแอปพลิเคชัน จากการสืบสวนเบื้องต้นพบว่า จุดประสงค์หลักของผู้โจมตีคือการเรียกค่าไถ่ทางการเงินจาก Discord ซึ่งเป็นรูปแบบ supply chain attack ที่มักพบเห็นในปัจจุบัน[3]
มาตรการรับมือและคำแนะนำสำหรับผู้ใช้งาน
Discord ระบุว่าจะแจ้งเตือนผู้ใช้ที่ได้รับผลกระทบทางอีเมลโดยตรง และแนะนำให้ผู้ใช้งานที่เคยส่งเอกสารระบุตัวตนควรติดตามข่าวสารและตรวจสอบกิจกรรมที่ผิดปกติในบัญชีของตนอย่างใกล้ชิด บริษัทเน้นย้ำว่าโครงสร้างพื้นฐาน ฐานข้อมูล และระบบการยืนยันตัวตนหลักของ Discord ยังคงปลอดภัย เหตุการณ์นี้เกิดขึ้นจากช่องโหว่ของผู้ให้บริการภายนอกเท่านั้น[4]
บทเรียนด้านความปลอดภัยในยุค Supply Chain Attack
เหตุการณ์ครั้งนี้เป็นอีกหนึ่งตัวอย่างของความเสี่ยงจาก supply chain attack ที่องค์กรต่าง ๆ ต้องเผชิญในปัจจุบัน แม้ว่า Discord เองจะมีระบบรักษาความปลอดภัยที่แข็งแกร่ง แต่ช่องโหว่จากผู้ให้บริการบุคคลที่สามก็สามารถส่งผลกระทบต่อข้อมูลของผู้ใช้งานได้ นี่เป็นเตือนใจให้ทั้งบริษัทเทคโนโลยีและผู้ใช้งานตระหนักถึงความสำคัญของการเลือกใช้ผู้ให้บริการที่มีมาตรฐานความปลอดภัยสูง การตรวจสอบ credential อย่างเข้มงวด และการจำกัดสิทธิ์การเข้าถึงข้อมูลอ่อนไหวให้เหมาะสมที่สุด