เมื่อวันที่ 3 ตุลาคม 2025 Discord รายงานว่าแฮกเกอร์ได้โจมตีหนึ่งในผู้ให้บริการบริการลูกค้าและฝ่ายสนับสนุนที่เป็นบุคคลที่สาม (5CA) และถูกกล่าวหาว่า ขโมยภาพอย่างน้อย 70,000 ภาพ(หน้าต่างใหม่) ของบัตรประจำตัวที่ออกโดยรัฐบาล (เช่น หนังสือเดินทาง หรือใบอนุญาตขับขี่ของไดรเวอร์) ที่ใช้สำหรับการยืนยันอายุ
ตามข้อมูลจาก Discord ข้อมูลที่ละเอียดอ่อนอื่นๆ ที่ถูกขโมยไป ได้แก่:
- ชื่อ ชื่อผู้ใช้ Discord ที่อยู่อีเมล และรายละเอียดผู้ติดต่ออื่นๆ ที่ผู้ใช้ให้ไว้เพื่อรับบริการจากฝ่ายสนับสนุน
- ข้อความหรือบันทึกบทสนทนากับเจ้าหน้าที่ฝ่ายสนับสนุน (ตัวอย่างเช่น สิ่งที่ผู้ใช้สื่อสารกับทีมฝ่ายสนับสนุน)
- ข้อมูลเมตาการเรียกเก็บเงินและการชำระเงินที่จำกัด รวมถึงวิธีการชำระเงิน ประวัติการซื้อ และหมายเลขสี่หลักสุดท้ายของบัตรเครดิต
- ที่อยู่ IP ที่เกี่ยวข้องกับการโต้ตอบกับฝ่ายสนับสนุน
- “ข้อมูลองค์กรที่จำกัด” เช่น สื่อการฝึกอบรมหรือการนำเสนอภายในที่จัดเก็บอยู่ในระบบฝ่ายสนับสนุน
นอกจากนี้ยังระบุด้วยว่าข้อมูลที่ละเอียดอ่อนประเภทต่อไปนี้ไม่ได้ถูกเข้าถึง:
- หมายเลขบัตรเครดิตเต็มจำนวนและรหัสความปลอดภัย (CCV)
- ข้อความหรือกิจกรรมบน Discord นอกเหนือจากที่ผู้ใช้อาจได้พูดคุยกับฝ่ายสนับสนุนลูกค้า
- รหัสผ่านหรือข้อมูลการยืนยันตัวตน
การละเมิดข้อมูลดูเหมือนจะเริ่ม(หน้าต่างใหม่)ต้นขึ้นในวันที่ 20 กันยายน(หน้าต่างใหม่) หลังจากผู้โจมตีเข้าโจมตีบัญชีของเจ้าหน้าที่ฝ่ายสนับสนุน และเข้าถึงข้อมูลผู้ใช้ Discord เป็นเวลาประมาณ 58 ชั่วโมง Discord กำลังติดต่อผู้ใช้ที่ได้รับผลกระทบทั้งหมดผ่านอีเมลที่ noreply@discord.com
แรงจูงใจในการโจมตีดูเหมือนจะเป็นเรื่องทางการเงินทั้งหมด โดยการเรียกค่าไถ่เริ่มต้นของแฮกเกอร์จำนวน 5 ล้านดอลลาร์ลดลงเหลือ 3.5 ล้านดอลลาร์ในภายหลัง โฆษกของ Discord บอกกับ The Verge(หน้าต่างใหม่) ว่า Discord “จะไม่ให้รางวัลแก่ผู้ที่รับผิดชอบต่อการกระทำที่ผิดกฎหมาย”
อย่างไรก็ตาม มีรายงานที่ขัดแย้งกันเกี่ยวกับขอบเขตของการโจมตีและผู้ที่ต้องรับผิดชอบอย่างแท้จริง กลุ่มอาชญากรรมไซเบอร์ที่อ้างสิทธิ์รับเครดิตในการโจมตีอย่าง Scattered LAPSUS$ Hunters ระบุว่าได้ขโมยข้อมูลขนาด 1.5 เทราไบต์จากผู้ใช้ 5.5 ล้านราย รวมถึงภาพถ่ายบัตรประจำตัวที่ออกโดยรัฐบาลมากกว่า 2.1 ล้านภาพ และในวันที่ 14 ตุลาคม 5CA ซึ่งเป็นบริการฝ่ายสนับสนุนลูกค้าที่เป็นบุคคลที่สามที่ Discord กล่าวหาว่าต้องรับผิดชอบต่อการละเมิดข้อมูล (หน้าต่างใหม่)ได้ปฏิเสธว่(หน้าต่างใหม่)าไม่ได้เป็นผู้จัดการบัตรประจำตัวที่ออกโดยรัฐบาลสำหรับ Discord หรือระบบไม่ได้ถูกแฮก (ในขณะที่ยอมรับด้วยว่าเหตุการณ์ดังกล่าวอาจเกิดขึ้นจากข้อผิดพลาดของมนุษย์)
แล้วทำไม Discord ถึงเก็บรวบรวมภาพถ่ายบัตรประจำตัวที่ออกโดยรัฐบาล?
เพื่อให้เป็นไปตามกฎหมายยืนยันอายุฉบับใหม่ของสหราชอาณาจักร(หน้าต่างใหม่) (และกฎหมายที่จะเกิดขึ้นของออสเตรเลีย) Discord ได้ทำการทดลองยืนยันอายุ(หน้าต่างใหม่)โดยใช้การสแกนใบหน้าหรือการสแกนบัตรประจำตัว (เช่น หนังสือเดินทาง หรือใบอนุญาตขับขี่ของไดรเวอร์)
โดยทั่วไป Discord กำหนดให้ถ่ายภาพเซลฟี่ของผู้ใช้(หน้าต่างใหม่) จากนั้นใช้ซอฟต์แวร์สแกนภาพถ่ายดังกล่าวเพื่อประเมินอายุ จากนั้น Discord จะลบภาพถ่ายเมื่อสิ้นสุดกระบวนการ ส่วนระบบที่ถูกกล่าวหาว่าถูกแฮกนั้นเป็นส่วนหนึ่งของกระบวนการอุทธรณ์
หากผู้ใช้รู้สึกว่าถูกแบนอย่างไม่ถูกต้องเนื่องจากอายุยังน้อยเกินไป ก็สามารถส่งภาพถ่ายบัตรประจำตัวที่ออกโดยรัฐบาลเพื่อช่วยพิสูจน์อายุได้ ซึ่งข้อมูลส่วนนี้เองที่ถูกกล่าวหาว่าถูกขโมยไป และเมื่อพิจารณาจากจำนวนผู้ใช้ที่เปิดใช้งานอยู่ 200 ล้านรายของ Discord แม้ว่าจะมีผู้ใช้เพียงส่วนน้อยเท่านั้นที่ต้องผ่านกระบวนการอุทธรณ์ แต่ก็อาจส่งผลให้บัตรประจำตัวจำนวนหลายล้านใบตกอยู่ในความเสี่ยง
การที่แพลตฟอร์มโซเชียลมีเดียที่เกมเมอร์ใช้งานเป็นหลักรู้สึกถึงความจำเป็นในการรวบรวมข้อมูลนี้ แสดงให้เห็นว่าขอบเขตของกฎหมายยืนยันอายุที่ระบุว่ามีวัตถุประสงค์เพื่อปกป้องเด็กจากภาพอนาจารได้ขยายวงกว้างออกไปมากเพียงใด
วิธีปกป้องตนเอง
การละเมิดข้อมูลนี้เป็นเครื่องเตือนใจอีกครั้งว่า มักถูกบังคับให้ส่งมอบข้อมูลที่ละเอียดอ่อนโดยแทบไม่มีความโปร่งใสว่าข้อมูลนั้นถูกจัดเก็บ รักษาความปลอดภัย หรือแชร์อย่างไร แม้ไม่สามารถเรียกคืนข้อมูลที่รั่วไหลไปแล้วได้ แต่สามารถพยายามควบคุมข้อมูลที่จะแชร์ในอนาคตได้ โดยมีวิธีดังนี้:
- ตรวจสอบตำแหน่งของข้อมูลที่ละเอียดอ่อน: หากจำเป็นต้องแชร์ข้อมูลที่ละเอียดอ่อน (เช่น บัตรประจำตัว) ให้อ่านนโยบายความเป็นส่วนตัวของระบบ หากไม่ได้ใช้งานบัญชีนั้นอีกต่อไป ให้ดูว่ามีตัวเลือกในการลบข้อมูลหรือไม่
- ใช้บริการที่ไม่ต้องการข้อมูลที่ลุกล้ำความเป็นส่วนตัว: สิ่งนี้เริ่มทำได้ยากขึ้นเรื่อยๆ แต่ข้อมูลที่ไม่เคยถูกเก็บรวบรวมก็จะไม่เกิดการรั่วไหล หากต้องการใช้บริการ ให้มองหาบริการที่มีความโปร่งใส(หน้าต่างใหม่)เกี่ยวกับข้อมูลที่เก็บรวบรวม วัตถุประสงค์ในการเก็บ และระยะเวลาที่จะจัดเก็บข้อมูลดังกล่าว
- แชร์ข้อมูลทางออนไลน์ให้น้อยที่สุด: แม้กระทั่งในระหว่างการโต้ตอบกับฝ่ายสนับสนุน (หรือโดยเฉพาะอย่างยิ่งเมื่อพิจารณาจากการโจมตีหลายครั้งเมื่อเร็วๆ นี้ที่มุ่งเป้าไปที่พอร์ทัลฝ่ายสนับสนุน) อย่าแชร์ข้อมูลที่ไม่จำเป็นใดๆ ใช้ VPN(หน้าต่างใหม่) และนามแฝงอีเมลทุกครั้งที่ทำได้
สิ่งนี้มีความหมายอย่างไรต่อการยืนยันอายุ
ความจำเป็นในการปกป้องเด็กจากอันตรายทางออนไลน์ที่มีอยู่มากมาย(หน้าต่างใหม่)นั้นเป็นเรื่องจริง จึงเป็นเรื่องที่เข้าใจได้ว่ารัฐบาลทั่วโลก ตั้งแต่สหภาพยุโรป(หน้าต่างใหม่) ออสเตรเลีย(หน้าต่างใหม่) ไปจนถึงแคนาดา(หน้าต่างใหม่) ต่างกระตือรือร้นที่จะปฏิบัติตามกฎหมายยืนยันอายุที่เพิ่งบังคับใช้ของสหราชอาณาจักร
กฎหมายดังกล่าวจะเป็นแนวทางแก้ไขปัญหาที่ดีที่สุดหรือไม่นั้นยังเป็นเรื่องที่ถกเถียงกันได้(หน้าต่างใหม่) แต่สิ่งที่แน่นอนคือ การละเมิดข้อมูลได้กลายเป็นเรื่องที่เกิดขึ้นรายวันจนแทบไม่สังเกตเห็นพาดหัวข่าวเกี่ยวกับบริษัทชื่อดังอีกแห่งที่ทำข้อมูลรายละเอียดส่วนบุคคลของผู้คนนับล้านรั่วไหล
และไม่มีเหตุผลใดที่ทำให้คิดว่าข้อมูลการยืนยันอายุที่มีความละเอียดอ่อนเป็นพิเศษนี้จะรอดพ้นจากการรั่วไหลดังกล่าวได้ ซึ่งเป็นจุดที่ได้รับการพิสูจน์อย่างชัดเจนจากเหตุการณ์นี้
ซึ่งหมายความว่าแม้จะเห็นชอบกับกฎหมายยืนยันอายุในหลักการ แต่กฎหมายเหล่านี้ก็ไม่ควรถูกบังคับใช้ก่อนที่จะมีโซลูชันมาตรฐานแบบเปิดที่มีความปลอดภัยอย่างแท้จริง มีการกระจายศูนย์ และเคารพความเป็นส่วนตัวอย่างแท้จริง ถูกพัฒนาขึ้นและเปิดใช้งานอย่างแพร่หลาย
