อาดิดาสยืนยันกำลังสอบสวนเหตุการณ์ข้อมูลรั่วไหลที่อาจเกิดขึ้นกับพันธมิตรบุคคลที่สามอิสระ หลังจากกลุ่มผู้คุกคามภายใต้นามแฝง “LAPSUS-GROUP” อ้างว่าเข้าถึงพอร์ทัล extranet ของบริษัทโดยไม่ได้รับอนุญาตเมื่อวันที่ 16 กุมภาพันธ์ 2026 กลุ่มผู้คุกคามซึ่งเชื่อว่าเชื่อมโยงกับกลุ่ม Scattered Lapsus$ Hunters อ้างว่าได้ขโมยข้อมูลลูกค้าประมาณ 815,000 แถว รวมถึงชื่อ-นามสกุล ที่อยู่อีเมล รหัสผ่าน วันเกิด และข้อมูลบริษัท แม้อาดิดาสจะระบุว่าโครงสร้างพื้นฐานด้านไอทีและแพลตฟอร์มอีคอมเมิร์ซของตนเองไม่ได้รับผลกระทบ แต่เหตุการณ์นี้เป็นข้อมูลรั่วไหลจากบุคคลที่สามครั้งที่สองในเวลาไม่ถึงหนึ่งปี
Severity: สูง
System Impact:
- พอร์ทัล Extranet ของพันธมิตรบุคคลที่สามอิสระของ Adidas (ผู้จัดจำหน่ายผลิตภัณฑ์ศิลปะการต่อสู้)
- ข้อมูลลูกค้าจากระบบของบุคคลที่สาม
Technical Attack Steps:
- กลุ่มผู้คุกคามอ้างว่าเข้าถึงพอร์ทัล extranet ของพันธมิตรบุคคลที่สามโดยไม่ได้รับอนุญาต
- ดำเนินการขโมยข้อมูล (exfiltration) ลูกค้าประมาณ 815,000 แถว
- กลุ่มผู้คุกคามเป็นที่รู้จักจากการใช้การโจมตีทางวิศวกรรมสังคม (social engineering-based intrusions) ซึ่งอาจเป็นวิธีการเข้าถึงเริ่มต้น
Recommendations:
Short Term:
- ผู้ใช้ที่ได้รับผลกระทบควรเปลี่ยนรหัสผ่านทันที (โดยเฉพาะอย่างยิ่งหากใช้รหัสผ่านเดียวกันกับบริการอื่น)
- บังคับใช้หลักการเข้าถึงด้วยสิทธิ์น้อยที่สุด (least-privilege access) อย่างเคร่งครัดสำหรับการโต้ตอบกับผู้จำหน่ายบุคคลที่สามทั้งหมด
- กำหนดให้มีการยืนยันตัวตนแบบหลายปัจจัย (MFA) สำหรับการเข้าถึงของผู้จำหน่ายบุคคลที่สามทั้งหมด
- ดำเนินการตรวจสอบพอร์ทัลที่เชื่อมโยงกับพันธมิตร (extrane-style attack surfaces) เป็นประจำ
Long Term:
- เสริมความแข็งแกร่งด้านความปลอดภัยในห่วงโซ่อุปทาน (supply chain security) และการจัดการการเข้าถึงของผู้จำหน่าย (vendor access management) โดยรวม
- ปรับปรุงกระบวนการตรวจสอบและประเมินความเสี่ยงด้านความปลอดภัยของพันธมิตรบุคคลที่สามอย่างต่อเนื่อง
- เพิ่มความตระหนักด้านความปลอดภัยและการฝึกอบรมสำหรับพนักงานเกี่ยวกับการโต้ตอบกับบุคคลที่สามและการระบุการโจมตีแบบวิศวกรรมสังคม
Source: https://cybersecuritynews.com/adidas-investigates-data-breach/
Share this content: