วิกฤตไซเบอร์ครั้งใหญ่: ShinyHunters แฮ็ก Telus Digital ขโมยข้อมูล 1 Petabyte เรียกค่าไถ่ 65 ล้านดอลลาร์

เหตุการณ์สำคัญ: Telus Digital ยืนยันถูกโจมตี

วันที่ 12 มีนาคม 2026 บริษัท Telus Digital ผู้ให้บริการ Business Process Outsourcing (BPO) ชั้นนำของแคนาดา ออกมายืนยันว่าตนตกเป็นเหยื่อของการโจมตีทางไซเบอร์ครั้งใหญ่ หลังจากกลุ่มแฮ็กเกอร์ที่รู้จักกันในชื่อ ShinyHunters อ้างว่าได้ขโมยข้อมูลปริมาณมหาศาลเกือบ 1 Petabyte หรือราว 1,000 Terabyte จากระบบของบริษัท เหตุการณ์นี้กลายเป็นข่าวระดับโลกทันที เนื่องจากขนาดของข้อมูลที่ถูกขโมยถือเป็นหนึ่งในกรณีการละเมิดข้อมูลที่ใหญ่ที่สุดในประวัติศาสตร์วงการความปลอดภัยไซเบอร์

Telus Digital เป็นบริษัทในเครือของ TELUS Corporation บริษัทโทรคมนาคมยักษ์ใหญ่ของแคนาดา ซึ่งให้บริการ Customer Experience (CX) และบริการดิจิทัลแก่บริษัทชั้นนำทั่วโลก บริการที่ให้ครอบคลุมตั้งแต่ Customer Support, Call Center Outsourcing ไปจนถึง AI-Powered Customer Support Tools ทำให้บริษัทจัดเก็บข้อมูลที่ละเอียดอ่อนของลูกค้าหลายสิบรายไว้ในระบบ

ShinyHunters คือใคร และโจมตีอย่างไร

ShinyHunters คือกลุ่มแฮ็กเกอร์ที่มีชื่อเสียงฉาวโฉ่ในโลกไซเบอร์ เคยรับผิดชอบการโจมตีบริษัทชั้นนำมานับสิบครั้ง รวมถึงการแฮ็ก Ticketmaster, Snowflake และบริษัทโทรคมนาคม Odido ของเนเธอร์แลนด์ ซึ่งโจมตีได้สำเร็จและเปิดเผยข้อมูลส่วนตัวของผู้ใช้กว่า 6 ล้านบัญชี

สำหรับการโจมตี Telus Digital ในครั้งนี้ กลุ่ม ShinyHunters เปิดเผยวิธีการเบื้องต้นว่าพวกเขาได้รับ Credentials ของ Google Cloud Platform (GCP) จากข้อมูลที่ขโมยมาจากการโจมตี Salesloft Drift ครั้งก่อนหน้า จากนั้นนำ Credentials ดังกล่าวมาใช้เข้าถึงระบบหลายอย่างของ Telus Digital รวมถึงฐานข้อมูล BigQuery ขนาดใหญ่ที่เก็บข้อมูลลูกค้า จากนั้นทำการ Lateral Movement หรือเคลื่อนตัวไปยังระบบอื่นๆ เพื่อดึงข้อมูลออกมาให้ได้มากที่สุด

ข้อมูลอะไรบ้างที่ถูกขโมยออกไป

ตามที่กลุ่ม ShinyHunters อ้างและ Telus Digital ยืนยันบางส่วน ข้อมูลที่ถูกขโมยไปมีหลายประเภท ได้แก่:

• ข้อมูลลูกค้าของ Telus Digital ที่เป็นธุรกิจ BPO ครอบคลุมบริษัทชั้นนำกว่า 28 แห่งทั่วโลก
• Call Records และ Voice Recordings จากระบบโทรคมนาคมของ TELUS
• Agent Performance Ratings และข้อมูลพนักงาน Call Center
• ข้อมูล FBI Background Check Information
• Source Code ของระบบต่างๆ ภายในองค์กร
• ข้อมูลแคมเปญการตลาดและข้อมูล Personally Identifiable Information (PII)
• ข้อมูล AI-Powered Customer Support Tools และ Training Data

ขนาดข้อมูลที่ถูกขโมยรวมกันเกือบ 1 Petabyte หรือ 1,000 Terabyte ถือเป็นตัวเลขที่น่าตกใจอย่างยิ่ง เพื่อให้เห็นภาพชัดขึ้น ข้อมูล 1 Petabyte เทียบเท่ากับวิดีโอ HD ความยาวราว 200,000 ชั่วโมง หรือข้อมูลข้อความธรรมดานับล้านล้านหน้า

การเรียกค่าไถ่และปฏิกิริยาของ Telus

กลุ่ม ShinyHunters เปิดเผยว่าพวกเขาเริ่มส่งอีเมลเรียกค่าไถ่ไปยัง Telus Digital ตั้งแต่เดือนกุมภาพันธ์ 2026 โดยเรียกร้องเงิน 65 ล้านดอลลาร์สหรัฐ (ราว 2.3 พันล้านบาท) เพื่อแลกกับการไม่เปิดเผยข้อมูลที่ขโมยมา อย่างไรก็ตาม Telus Digital ไม่ได้ตอบสนองต่ออีเมลดังกล่าวเลย ซึ่งทำให้กลุ่มแฮ็กเกอร์ตัดสินใจออกมาประกาศเรื่องนี้ต่อสาธารณะในสัปดาห์นี้

ในแถลงการณ์อย่างเป็นทางการ Telus Digital ระบุว่า ขณะนี้อยู่ระหว่างการสอบสวนร่วมกับผู้เชี่ยวชาญด้าน Forensics ภายนอก และหน่วยงานตำรวจ พร้อมยืนยันว่าระบบปฏิบัติการทั้งหมดยังคงทำงานได้ตามปกติ และยังไม่พบหลักฐานว่ามีการหยุดชะงักในบริการสื่อสารของลูกค้า บริษัทยังระบุว่าจะแจ้งเตือนลูกค้าที่ได้รับผลกระทบเมื่อการสอบสวนดำเนินไปอย่างมีความชัดเจนมากขึ้น

ผลกระทบต่อบริษัทลูกค้าและความเสี่ยงด้าน Third-Party

ประเด็นที่น่ากังวลที่สุดในกรณีนี้คือขอบเขตของผลกระทบที่อาจเกิดขึ้นกับบริษัทลูกค้าของ Telus Digital ซึ่งยังไม่มีการเปิดเผยชื่ออย่างเป็นทางการ แต่กลุ่มแฮ็กเกอร์อ้างว่าข้อมูลที่ขโมยมาครอบคลุมบริษัทชั้นนำกว่า 28 แห่ง ซึ่งเป็นลูกค้าของบริการ BPO และ Customer Experience ของ Telus Digital

นักวิเคราะห์ด้านความปลอดภัยจาก SOCRadar ระบุว่า การโจมตีนี้เป็นตัวอย่างคลาสสิกของ Supply Chain Attack หรือการโจมตีผ่านห่วงโซ่อุปทาน ซึ่งแฮ็กเกอร์ไม่ได้โจมตีบริษัทเป้าหมายโดยตรง แต่เลือกโจมตีผู้ให้บริการภายนอกที่มีการเชื่อมต่อกับระบบของเป้าหมาย Telus Digital จึงกลายเป็นทั้งเหยื่อและตัวกลางในการโจมตีบริษัทลูกค้าพร้อมกัน

• ข้อมูลส่วนตัวของพนักงานและลูกค้าปลายทางอาจถูกนำไปใช้ใน Phishing Attack
• Source Code ที่รั่วไหลอาจถูกวิเคราะห์เพื่อหาช่องโหว่ใหม่
• Call Recordings ที่มีข้อมูลทางธุรกิจอาจถูกนำไปใช้ใน Competitive Intelligence
• ข้อมูล FBI Background Check อาจถูกนำไปใช้ในการปลอมตัวหรือ Identity Theft

บทเรียนด้านความปลอดภัยไซเบอร์จากเหตุการณ์นี้

เหตุการณ์ Telus Digital เป็นบทเรียนสำคัญสำหรับองค์กรทั่วโลก โดยเฉพาะในประเด็นการบริหารจัดการ Credentials และ Access Control เนื่องจากจุดเริ่มต้นของการโจมตีมาจาก Credentials ที่รั่วไหลจากการโจมตีบริษัทอื่น (Salesloft Drift) สะท้อนให้เห็นว่าในยุคที่บริษัทต่างๆ ใช้บริการ SaaS และ Cloud Platform มากมาย ความปลอดภัยไม่ได้ขึ้นอยู่แค่กับมาตรการภายในองค์กรเท่านั้น แต่ยังขึ้นอยู่กับความปลอดภัยของบริการภายนอกที่ใช้งานทั้งหมดด้วย

ผู้เชี่ยวชาญด้านความปลอดภัยแนะนำมาตรการสำคัญที่องค์กรควรนำมาปรับใช้ทันที ได้แก่:

1. ใช้ Multi-Factor Authentication (MFA) สำหรับทุก Cloud Service และบัญชีสำคัญ
2. ตรวจสอบ Credential Exposure อย่างสม่ำเสมอผ่านบริการอย่าง HaveIBeenPwned หรือ Dark Web Monitoring
3. จำกัดสิทธิ์การเข้าถึงตามหลัก Principle of Least Privilege ไม่ให้บัญชีใดมีสิทธิ์มากเกินความจำเป็น
4. ใช้ Zero Trust Architecture เพื่อตรวจสอบทุก Request แม้มาจากภายในเครือข่าย
5. ตรวจสอบและจัดการความเสี่ยงของ Third-Party Vendors อย่างเข้มงวด
6. มีแผน Incident Response ที่ชัดเจน รวมถึงขั้นตอนการแจ้งเตือนผู้ได้รับผลกระทบ

---

สถานการณ์ภัยคุกคามไซเบอร์ในปี 2026

เหตุการณ์นี้เกิดขึ้นในช่วงที่ภัยคุกคามทางไซเบอร์กำลังทวีความรุนแรงขึ้นอย่างต่อเนื่อง ในปี 2026 กลุ่มแฮ็กเกอร์ต่างๆ ได้ใช้ AI และ Automation เข้ามาช่วยในการโจมตีมากขึ้น ทำให้สามารถสแกนหาช่องโหว่และเข้าถึงระบบได้เร็วและมีประสิทธิภาพกว่าที่เคย ในขณะเดียวกัน ข้อมูลที่ถูกขโมยจากการโจมตีครั้งก่อนๆ ก็ถูกนำมาใช้ซ้ำในการโจมตีใหม่ สร้างวงจรอุบาทว์ที่ยากต่อการหยุดยั้ง

การโจมตี Telus Digital ยังแสดงให้เห็นถึงแนวโน้มใหม่ที่กลุ่มแฮ็กเกอร์มักเลือกโจมตี BPO และบริษัทผู้ให้บริการ Outsourcing เนื่องจากบริษัทเหล่านี้เป็น Single Point of Access ที่มีข้อมูลของลูกค้าหลายรายรวมอยู่ในที่เดียว การโจมตีสำเร็จเพียงครั้งเดียวจึงสามารถเข้าถึงข้อมูลของบริษัทหลายสิบแห่งได้พร้อมกัน

ขณะนี้ทั้งผู้เชี่ยวชาญด้านความปลอดภัยและหน่วยงานกำกับดูแลกำลังจับตามองเหตุการณ์นี้อย่างใกล้ชิด โดยเฉพาะคำถามที่ว่า Telus Digital จะยืนยันได้อย่างไรว่าข้อมูลของบริษัทลูกค้า 28 รายนั้นถูกละเมิดไปแล้วหรือไม่ และมีกระบวนการแจ้งเตือนที่ถูกต้องตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลอย่าง GDPR และ PIPEDA (Personal Information Protection and Electronic Documents Act) ของแคนาดาหรือเปล่า ผลการสอบสวนที่จะออกมาในสัปดาห์หน้าจะเป็นตัวกำหนดทิศทางของเรื่องนี้ต่อไป