Uber ถูกแฮกข้อมูลใบขับขี่คนขับกว่า 7,800 ราย เพื่อขโมยพลังประมวลผล AI ฟรี

ใบขับขี่ของคนขับ Uber อย่างน้อย 7,870 ราย ในสามรัฐของสหรัฐฯ หลุดไปอยู่ในมือแฮกเกอร์ แต่เหตุที่หลายคนเล่าต่อกันว่า “ขโมยใบขับขี่ไปเอาพลัง AI ฟรี” ยังมีรายละเอียดที่ต้องแก้ให้ตรง ข้อมูลจากรายงานและเอกสารแจ้งเหตุที่ตรวจสอบแล้วระบุว่า แฮกเกอร์เจาะ Fireworks AI ผู้ให้บริการระบบประมวลผลโมเดล AI ที่ Uber ใช้งานอยู่ เป้าหมายคือโทเคนและรหัสเข้าใช้ AI ส่วนข้อมูลใบขับขี่ของคนขับอยู่ในระบบของผู้ให้บริการรายนี้ และถูกเข้าถึงไปด้วย

เรื่องนี้ไม่ได้เพิ่งออกมา สื่อ TechCrunch รายงานเป็นรายแรกเมื่อวันที่ 13 พฤศจิกายน 2569 โดย Zack Whittaker ต่อมา Reuters, Engadget, Gizmodo, PCMag และ CNA รายงานตาม บทความนี้จึงเป็นการอธิบายภาพรวมให้ครบ ไม่ใช่การรายงานเป็นรายแรก ข้อมูลทั้งหมดอ้างอิงเอกสารแจ้งเหตุที่ยื่นต่อหน่วยงานรัฐของสหรัฐฯ และคำยืนยันของ Uber ที่ให้กับ TechCrunch

เกิดอะไรขึ้นกับคนขับ Uber

ลำดับเหตุการณ์ตามเอกสารแจ้งเหตุมีดังนี้ การเข้าถึงรหัสผ่านของผู้ให้บริการภายนอกโดยไม่ได้รับอนุญาตเริ่มต้นเร็วสุดวันที่ 7 ตุลาคม วันที่ 9 ตุลาคม Fireworks AI แจ้ง Uber ว่ารหัสเข้าระบบภายในถูกเจาะและมีผู้ไม่หวังดีใช้เข้าถึงบัญชีของ Uber Uber ตัดการเชื่อมต่อทั้งหมดกับผู้ให้บริการรายนี้ทันทีและเริ่มตรวจสอบภายใน

วันที่ 13 ตุลาคม ผลตรวจสอบพบว่าผู้ไม่หวังดีเข้าถึงข้อมูลของ Uber ที่ผู้ให้บริการเก็บไว้ ซึ่งมีรายละเอียดส่วนตัวและข้อมูลใบขับขี่ของคนขับ จากนั้นวันที่ 10 พฤศจิกายน Uber ส่งหนังสือแจ้งเหตุด้านความปลอดภัยถึงคนขับที่ได้รับผลกระทบ และยื่นเอกสารต่อสำนักงานอัยการสูงสุดของรัฐต่าง ๆ

ทุกเอกสารระบุเฉพาะคนขับในสหรัฐฯ ยังไม่มีหลักฐานว่าคนขับในไทยหรือประเทศอื่นได้รับผลกระทบ

รัฐไหนโดนมากที่สุด

ตัวเลขรายรัฐที่เปิดเผยแล้วมีดังนี้

• South Carolina 3,430 ราย ตามที่กรมคุ้มครองผู้บริโภครัฐรายงาน
• Massachusetts 2,567 ราย ที่ใบขับขี่ถูกเข้าถึง ตามเอกสารที่ยื่นต่อสำนักงานกิจการผู้บริโภคของรัฐ
• Rhode Island ประมาณ 1,873 ราย ตามเอกสารแจ้งเหตุที่ Uber ยื่นต่ออัยการสูงสุดแคลิฟอร์เนีย

สามรัฐรวมกันได้ 7,870 ราย ซึ่งเป็นที่มาของตัวเลข “กว่า 7,800” แต่ตัวเลขนี้ไม่ใช่ยอดรวมทั้งประเทศ Vermont แจ้งเพิ่มอีก 1,071 ราย ทำให้ยอดที่ยืนยันได้จากรัฐต่าง ๆ เกือบ 9,000 ราย และ Uber ยังส่งหนังสือแจ้งเหตุในแคลิฟอร์เนียและอิลลินอยส์ รวมถึงส่งคำแนะนำให้ผู้อยู่อาศัยใน DC, Maryland, North Carolina, New York และ Pennsylvania

Uber ยังไม่เปิดเผยจำนวนผู้ได้รับผลกระทบทั่วประเทศ ตัวเลขจริงจึงมีโอกาสสูงกว่านี้

ทำไมข้อมูลใบขับขี่ถึงเป็นทางเข้าสู่พลัง AI

ส่วนนี้เป็นคำอธิบายแนวคิดทั่วไป ไม่ใช่ข้อเท็จจริงของคดีนี้ ตามข้อมูลที่ตรวจสอบแล้ว แฮกเกอร์ในเหตุนี้ไม่ได้ใช้ใบขับขี่ไปยืนยันตัวตนเพื่อรับพลัง AI

แนวคิดคือ บริการ AI และคลาวด์จำนวนมากให้เครดิตฟรีหรือจำกัดการใช้งานตามบัญชี บางแห่งต้องยืนยันตัวตน (KYC) ก่อนเปิดบัญชีหรือเพิ่มวงเงิน ใครมีเอกสารตัวตนของคนจริง ก็อาจใช้สมัครบัญชีจำนวนมากเพื่อกวาดเครดิตได้ ตัวตนจึงกลายเป็นกุญแจเปิดทรัพยากรที่มีราคาแพง

ในเหตุของ Fireworks AI วิธีที่ใช้เป็นอีกแบบ ตามคำของ Fireworks AI กลุ่มผู้โจมตีมีแรงจูงใจด้านการเงินและมุ่งขโมยโทเคน API ของโมเดลภาษาและรหัสเข้าใช้ เทคนิคนี้เรียกว่า LLMjacking คือยึดพลังประมวลผล AI ของคนอื่นไปใช้เอง หรือนำสิทธิ์เข้าถึงไปขายต่อ ทีมวิจัยความปลอดภัยอย่าง Google Threat Intelligence, Mandiant และ Wiz บันทึกแคมเปญลักษณะนี้ไว้หลายครั้ง ข้อมูลใบขับขี่ของคนขับ Uber จึงเป็นความเสียหายที่ตามมาจากการเจาะระบบ ไม่ใช่เป้าหมายตั้งต้น

คำถามที่ยังไม่มีคำตอบคือ ทำไมข้อมูลใบขับขี่จึงอยู่ในระบบของ Fireworks AI Uber ยังไม่เปิดเผยว่างาน AI ที่ผู้ให้บริการทำให้เกี่ยวข้องกับข้อมูลตัวตนอย่างไร Fireworks AI เป็นสตาร์ทอัพในซิลิคอนวัลเลย์ที่ให้นักพัฒนาเรียกใช้โมเดลโอเพนซอร์สอย่าง Llama, Mistral และ Gemma ผ่าน API ความเร็วสูง นอกจาก Uber แล้ว Notion ก็ได้รับผลกระทบ โดยรายงานว่าบทสนทนากับ Notion AI รั่วออกไป

Uber ตอบอย่างไร

โฆษกของ Uber ยืนยันกับ TechCrunch ว่า หนังสือแจ้งที่ส่งถึงคนขับเกี่ยวข้องกับเหตุความปลอดภัยที่กระทบผู้ให้บริการภายนอกรายหนึ่งคือ Fireworks.ai ซึ่งเข้าถึงข้อมูลบางส่วนของ Uber ได้ Uber ส่งคำถามเชิงลึกเกี่ยวกับการโจมตีให้ Fireworks AI เป็นผู้ตอบ

ในเอกสารแจ้งเหตุ Uber ระบุว่ายังไม่พบการนำข้อมูลส่วนตัวที่ถูกขโมยไปใช้ในทางมิชอบ สำหรับการเยียวยา Uber ให้คนขับที่ได้รับผลกระทบใช้บริการเฝ้าระวังเครดิตฟรี 90 วัน พร้อมความช่วยเหลือแก้ปัญหาการสวมรอยตัวตนผ่าน Cyberscout บริษัทในเครือ TransUnion

ส่วนที่ยังไม่ชัดคือจำนวนผู้ได้รับผลกระทบทั่วประเทศ และเหตุผลที่ข้อมูลใบขับขี่ไปอยู่กับผู้ให้บริการรายนี้ ทั้งสองเรื่อง Uber ยังไม่ได้ตอบ วันที่ 15 พฤศจิกายน สำนักงานกฎหมายฟ้องร้องแบบกลุ่มในสหรัฐฯ บางแห่ง เช่น Edelson Lechtzin เริ่มออกประกาศตรวจสอบสิทธิ์เรียกร้องแทนคนขับแล้ว นี่ถือเป็นเหตุความปลอดภัยครั้งที่สองที่เป็นข่าวของ Uber ในปี 2569 ต่อจากเหตุที่ Uber Freight

บทเรียนสำหรับคนไทยที่ใช้แอปเรียกรถและแพลตฟอร์มคริปโต

ยังไม่มีหลักฐานว่าคนขับหรือผู้ใช้ในไทยได้รับผลกระทบ แต่เหตุนี้ชี้ให้เห็นช่องโหว่ที่ใช้ได้กับทุกแพลตฟอร์ม ข้อมูลตัวตนของเรามักไม่ได้อยู่กับบริษัทที่เราให้ไว้โดยตรง แต่กระจายไปอยู่กับผู้ให้บริการภายนอกที่เราไม่เคยรู้จัก กระดานเทรดคริปโตที่ต้องทำ KYC ก็ใช้ผู้ให้บริการยืนยันตัวตน คลาวด์ และ AI หลายราย โครงสร้างเดียวกันนี้ทำให้ความเสี่ยงไม่ได้หยุดอยู่ที่ตัวแพลตฟอร์ม

ความเห็นผู้เขียน

ส่วนตัวผมมองว่าหัวข้อข่าวที่แพร่ออกไปเล่าเรื่องง่ายเกินไป การบอกว่าแฮกเกอร์ขโมยใบขับขี่เพื่อเอาพลัง AI ฟรี ทำให้ภาพเป็นแผนที่ตั้งใจและเรียบร้อย ความจริงน่าอึดอัดกว่านั้น คือแฮกเกอร์มาหาโทเคน AI แต่เจอข้อมูลคนจริงวางอยู่ในระบบเดียวกัน คำถามสำคัญจึงไม่ใช่แค่ใครแฮก แต่คือทำไมข้อมูลใบขับขี่ต้องไปอยู่ในระบบประมวลผล AI ของผู้ให้บริการภายนอก ซึ่ง Uber ยังไม่ได้ตอบ

บริษัทที่รีบเอา AI มาใช้ ต้องตอบให้ได้ว่าส่งข้อมูลอะไรไปบ้าง และเก็บนานแค่ไหน ใครอ่านเรื่องนี้แล้วคิดว่ายังไม่กระทบไทยก็ถูกต้องตามหลักฐานที่มี แต่อย่าเพิ่งวางใจ เพราะผู้ให้บริการแบบเดียวกันนี้มีอยู่ทั่วโลก

วิธีป้องกันข้อมูลส่วนตัวที่ทำได้จริงมีดังนี้

• ส่งสำเนาบัตรหรือใบขับขี่เท่าที่จำเป็น และเขียนกำกับบนสำเนาว่าใช้เพื่ออะไร พร้อมวันที่
• ใช้รหัสผ่านที่ไม่ซ้ำกันในแต่ละบริการ และเปิดการยืนยันสองชั้น โดยเลือกแอปสร้างรหัสแทน SMS ถ้าทำได้
• เปิดการแจ้งเตือนธุรกรรมและการล็อกอินในแอปเรียกรถและกระดานเทรดคริปโต
• ระวังข้อความหรืออีเมลที่อ้างว่ามาจากบริการที่ใช้อยู่และขอข้อมูลเพิ่ม ให้เข้าแอปหรือเว็บทางการเอง ไม่กดลิงก์ในข้อความ
• ถ้าได้รับหนังสือแจ้งเหตุข้อมูลรั่ว ให้ใช้บริการเฝ้าระวังที่บริษัทเสนอ และตรวจสอบบัญชีที่เปิดใหม่ด้วยชื่อของตัวเองเป็นระยะ
• ถ้าสงสัยว่าข้อมูลรั่ว ให้เปลี่ยนรหัสผ่านทันที และแจ้งผู้ให้บริการกับธนาคารที่ผูกบัญชีไว้

ภาพจาก AI