ShinyHunters โจมตี CarGurus กระทบผู้ใช้งานกว่า 12.4 ล้านบัญชี กระทบผู้ใช้งานในสหรัฐฯ แคนาดา และสหราชอาณาจักร
ในเดือนกุมภาพันธ์ 2026 เกิดเหตุข้อมูลรั่วไหลครั้งใหญ่ที่ส่งผลกระทบต่อแพลตฟอร์มตลาดซื้อขายและค้นคว้าข้อมูลยานยนต์ออนไลน์รายสำคัญของสหรัฐอเมริกาอย่าง CarGurus หลังจากกลุ่มอาชญากรรมไซเบอร์ ShinyHunters เผยแพร่ข้อมูลส่วนบุคคลจากบัญชีผู้ใช้งานมากกว่า 12.4 ล้านบัญชี ภายหลังความพยายามเรียกค่าไถ่ไม่ประสบความสำเร็จ
CarGurus เป็นแพลตฟอร์มดิจิทัลด้านยานยนต์ที่ให้บริการในสหรัฐอเมริกา แคนาดา และสหราชอาณาจักร โดยมีผู้เข้าใช้งานประมาณ 40 ล้านรายต่อเดือน และเป็นบริษัทจดทะเบียนในตลาดหลักทรัพย์ ถือเป็นหนึ่งในผู้เล่นรายสำคัญของอุตสาหกรรมการซื้อขายรถยนต์ออนไลน์และการวิจัยข้อมูลยานยนต์
ภาพรวมเหตุการณ์ข้อมูลรั่วไหล CarGurus กุมภาพันธ์ 2026
เหตุการณ์ข้อมูลรั่วไหลดังกล่าวเกิดขึ้นหลังจากกลุ่ม ShinyHunters พยายามเรียกค่าไถ่จาก CarGurus แต่ไม่ประสบความสำเร็จ ก่อนที่จะตัดสินใจเผยแพร่ข้อมูลออกสู่สาธารณะ เมื่อวันที่ 21 กุมภาพันธ์ 2026 โดยข้อมูลถูกบรรจุอยู่ในไฟล์บีบอัดขนาดประมาณ 6.1GB และมีข้อมูลมากกว่า 12.4 ล้านระเบียน
ข้อมูลที่ถูกเปิดเผยประกอบด้วย
-
ที่อยู่อีเมล
-
หมายเลขบัญชีผู้ใช้งาน
-
ชื่อ–นามสกุล
-
หมายเลขโทรศัพท์
-
ที่อยู่
-
หมายเลข IP
-
ข้อมูลตัวแทนจำหน่าย
-
ข้อมูลและผลการพิจารณาการสมัครสินเชื่อยานยนต์
เหตุการณ์นี้ยังได้รับการยืนยันเพิ่มเติมเมื่อบริการติดตามเหตุข้อมูลรั่วไหล Have I Been Pwned ได้เพิ่ม CarGurus เข้าไปในฐานข้อมูลเหตุการณ์ข้อมูลรั่วไหลดังกล่าว
ความเสี่ยงที่เกิดจากข้อมูลส่วนบุคคลจริงที่ถูกเปิดเผย
การรั่วไหลของข้อมูลครั้งนี้ไม่ได้เป็นเพียงการเปิดเผยอีเมลหรือชื่อผู้ใช้งานเท่านั้น แต่เป็นข้อมูลส่วนบุคคลจริงที่สามารถนำไปใช้สร้างความเสียหายต่อผู้ใช้งานได้ในหลายรูปแบบ ความเสี่ยงที่ตามมาประกอบด้วย
การโจมตีแบบ Phishing และ Social Engineering
ข้อมูลจริง เช่น ชื่อ เบอร์โทร และรายละเอียดการสมัครสินเชื่อ ทำให้การโจมตีแบบฟิชชิงมีความน่าเชื่อถือสูงขึ้น ผู้ไม่หวังดีสามารถใช้ข้อมูลเหล่านี้ในการหลอกลวงเหยื่อได้ง่ายขึ้น โดยเฉพาะการโจมตีที่อาศัยความเชื่อใจ
Identity Theft และการฉ้อโกงทางการเงิน
การเปิดเผยข้อมูลระบุตัวตน รวมถึงข้อมูลเกี่ยวกับสินเชื่อยานยนต์ เพิ่มความเสี่ยงต่อการโจรกรรมข้อมูลประจำตัว และการนำข้อมูลไปใช้ในกิจกรรมฉ้อโกงทางการเงิน
ความเสี่ยงต่อ Account Takeover
หากผู้ใช้งานใช้รหัสผ่านซ้ำในหลายแพลตฟอร์ม ข้อมูลที่รั่วไหลอาจนำไปสู่การยึดบัญชีผู้ใช้งานในระบบอื่นได้
รูปแบบการโจมตีที่เกี่ยวข้องกับกลุ่ม ShinyHunters
จากข้อมูลในอดีต กลุ่ม ShinyHunters เคยมีส่วนเกี่ยวข้องกับการโจมตีองค์กรขนาดใหญ่หลายแห่ง เช่น Odido, Figure, Canada Goose และ SoundCloud โดยมักใช้เทคนิค Social Engineering เป็นหลัก โดยเฉพาะ Voice Phishing (Vishing) เพื่อหลอกให้พนักงานหรือผู้ใช้งานเปิดเผยข้อมูลรับรอง และนำไปใช้เข้าถึงระบบ SaaS ต่าง ๆ
กรณีของ CarGurus สะท้อนให้เห็นว่า การโจมตีทางไซเบอร์ไม่ได้มุ่งเป้าเฉพาะช่องโหว่ทางเทคนิคของระบบเท่านั้น แต่ยังอาศัย “ข้อมูลของคนจริง” เป็นจุดเริ่มต้นของความเสียหาย
บทสรุปของเหตุการณ์ ShinyHunters กับ CarGurus
เหตุการณ์ ShinyHunters โจมตี CarGurus ในเดือนกุมภาพันธ์ 2026 เป็นอีกหนึ่งกรณีศึกษาที่แสดงให้เห็นถึงผลกระทบของเหตุข้อมูลรั่วไหลในระดับมหาศาล ทั้งต่อผู้ใช้งานหลายล้านรายและต่อความเชื่อมั่นของแพลตฟอร์มดิจิทัลขนาดใหญ่ ข้อมูลที่ถูกเปิดเผยไม่เพียงสร้างความเสี่ยงในระยะสั้น แต่ยังสามารถนำไปใช้ต่อยอดการโจมตีในอนาคตได้ หากไม่มีการเฝ้าระวังและรับมืออย่างเหมาะสม