พันล้านข้อมูลลูกค้า IDMerit รั่วไหล พอร์ตเปิดกว้าง ชุด SIM-swap พร้อมขาย 26 ประเทศเสี่ยงถูกเทียบเครื่องล้างบัญชี exchange

หนึ่งพันล้านข้อมูลประจำตัว พอร์ตเปิดหนึ่งพอร์ต และชุด SIM-swap พร้อมส่ง

อินสแตนซ์ MongoDB ที่ตั้งค่าผิดพลาดทิ้งบันทึกประมาณสามพันล้านรายการ ซึ่งในจำนวนนี้ประมาณหนึ่งพันล้านรายการมีข้อมูลที่ระบุตัวตนส่วนบุคคลที่สำคัญ เปิดอยู่บนอินเทอร์เน็ตโดยไม่มีรหัสผ่าน เป็นเวลาที่ไม่สามารถระบุได้ ก่อนที่นักวิจัยจาก Cybernews จะพบเมื่อวันที่ 11 พฤศจิกายน 2025 การรั่วไหลซึ่งสืบย้อนไปถึง IDMerit ผู้ให้บริการยืนยันตัวตนในคาลิฟอร์เนีย ไม่ได้เปิดเผยเพียงชื่อและวันเกิด แต่ยังรวม metadata ของผู้ให้บริการโทรคมนาคมและหมายเลขโทรศัพท์ ซึ่งเป็นส่วนผสมที่แก๊ง SIM-swap อุตสาหกรรมต้องการอย่างแม่นยำในการล้างบัญชี exchange ฝาก-ถอนจำนวนมาก

มีอะไรถูกเปิดเผยบ้าง

การจำแนกข้อมูลอ่านเหมือนรายการช้อปปิ้งที่แย่ที่สุดสำหรับผู้ดำเนินการฉ้อโกงข้อมูลประจำตัว ภายในอินสแตนซ์ขนาดกว่า 1 เทราไบต์ Cybernews บันทึกชื่อเต็มคู่กับที่อยู่ที่พักอาศัยและรหัสไปรษณีย์ วันเกิด หมายเลขประจำตัวประชาชน หมายเลขโทรศัพท์ เครื่องหมายระบุเพศ ที่อยู่อีเมล metadata ของผู้ให้บริการโทรคมนาคมที่อธิบายเครือข่ายมือถือที่เชื่อมโยงกับผู้ใช้บริการแต่ละราย และบันทึกการตรวจสอบ KYC/AML ที่แสดงว่าข้อมูลประจำตัวใดได้รับการตรวจสอบเมื่อใดและอย่างไรกับคู่สัญญาใด แต่ละฟิลด์ในตัวเองสามารถกู้คืนได้ บางครั้งถูกแม้กระทั่งในตลาดการรั่วไหลเก่า แต่การรวมกันนั้นไม่ใช่ หมายเลขประจำตัวประชาชนบวกที่อยู่ปัจจุบันบวกผู้ให้บริการมือถือบวกหมายเลขโทรศัพท์ที่ตรงกันบวกการผ่าน KYC ที่มี timestamp คือ ชุดข้อมูลประจำตัวที่รับรองโดยพฤตินัย ซึ่งผู้ทำงานฉ้อโกงจะต้องรวบรวมจากแหล่งแยกกันสี่หรือห้าแห่ง

ขอบเขตทางภูมิศาสตร์ถูกเปิดเผยอย่างน้อย 26 ประเทศ โดยมีความเข้มข้นสูงสุดดังนี้:

• United States: 203 ล้านรายการ
• Mexico: 124 ล้านรายการ
• Philippines: 72 ล้านรายการ
• Germany: 61 ล้านรายการ
• Italy: 53 ล้านรายการ
• France: 53 ล้านรายการ

บันทึก KYC/AML สมควรได้บันทึกแยกต่างหาก นี่ไม่ใช่เอกสารประจำตัวดิบเพียงอย่างเดียว แต่เป็นเส้นทางการตรวจสอบการยืนยันตัวตน ซึ่งหมายความว่าผู้โจมตีที่อ่านได้รู้ว่าฟินเทคหรือ exchange ใดไว้วางใจข้อมูลประจำตัวใดแล้ว เมื่อไหร่ที่ความไว้วางใจนั้นออกให้ และจากเอกสารใด สิ่งนี้เปลี่ยนความพยายามฉ้อโกงจากการติดต่อเย็นเป็นการแอบอ้างอุ่น โดยมีเอกสารสนับสนุนที่ตรวจสอบแล้วล่วงหน้า

ช่องว่าง 99 วัน

Cybernews ค้นพบอินสแตนซ์ที่เปิดอยู่เมื่อวันที่ 11 พฤศจิกายน 2025 แจ้ง IDMerit ในวันเดียวกันหรือไม่นานหลังจากนั้น และฐานข้อมูลถูกป้องกันเมื่อวันที่ 12 พฤศจิกายน วันถัดจากการค้นพบ การเปิดเผยสาธารณะเกิดขึ้นเมื่อวันที่ 18 กุมภาพันธ์ 2026 เก้าสิบเก้าวันหลังจากการค้นพบครั้งแรก ซึ่ง Cybernews บรรยายว่าเป็นแนวปฏิบัติการเปิดเผยอย่างรับผิดชอบมาตรฐานสำหรับชุดข้อมูลที่มีความอ่อนไหวเช่นนี้

อย่างไรก็ตาม การตอบสนองของ IDMerit ไม่สอดคล้องกับเอกสาร บริษัทระบุว่า "การตรวจสอบไม่พบการเปิดเผย ช่องโหว่ หรือการเข้าถึงโดยไม่ได้รับอนุญาตภายในสภาพแวดล้อมของ IDMERIT" และว่า "ระบบและโครงสร้างพื้นฐานด้านความปลอดภัยของ IDMERIT ไม่เคยถูกบุกรุก" พร้อมเสริมว่า "ไม่มีข้อบ่งชี้ว่าข้อมูลลูกค้าใดถูกบุกรุก" และลอยความเป็นไปได้ว่าเหตุการณ์นี้อาจ "เกี่ยวข้องกับค่าไถ่" การเลือกคำระมัดระวัง และยังขัดแย้งกับข้อเท็จจริงเชิงประจักษ์ของชุดข้อมูลหนึ่งเทราไบต์ ที่ติดตราด้วยบันทึกการตรวจสอบของ IDMerit ให้บริการโดยไม่ต้องยืนยันตัวตนจากปลายทาง MongoDB ที่นักวิจัยเข้าถึงโดยบังเอิญ การเลือกคำที่แคบกว่าของบริษัทเกี่ยวกับ "พอร์ตข้อมูลที่เชื่อมโยงกับแหล่งข้อมูลอิสระ" ที่อาจเปิดอยู่ คือรอยต่อที่การปฏิเสธยังคงอยู่ทางเทคนิค ในขณะที่ความเสียหายต่อบุคคลที่ระบุชื่อในฐานข้อมูลไม่ได้ลดน้อยลงไปเพราะความแตกต่างนั้น

กระบวนการ SIM-swap

มุมมอง SIM-swap คือสิ่งที่ยกระดับการรั่วไหลนี้จากน่าอับอายไปสู่การใช้เป็นอาวุธได้ Cybernews เขียนในการเปิดเผยของตนว่า metadata ของผู้ให้บริการโทรคมนาคมที่ถูกเปิดเผย รวมถึงข้อมูลเครือข่ายมือถือ "อาจอำนวยความสะดวกในการโจมตี SIM-swap" โดยระบุแยกต่างหากว่า metadata ของผู้ให้บริการโทรคมนาคมรวมกับหมายเลขโทรศัพท์ "เพิ่มความเสี่ยงที่อาชญากรจะยึดหมายเลขโทรศัพท์ของเหยื่อเพื่อดักจับรหัสยืนยันตัวตน"

กลไกนี้มีเอกสารประกอบดีแล้ว คำพิพากษาลงโทษในระดับสหพันธ์ในปี 2024 ในคดีขโมย cryptocurrency มูลค่า 8 ล้านดอลลาร์จาก SIM-swap ซึ่ง KrebsOnSecurity รายงานอย่างละเอียด ได้วางกระบวนการมาตรฐานไว้ ผู้ดำเนินการเล็งเป้าบัญชีมูลค่าสูง ระบุผู้ให้บริการของเหยื่อ เข้าไปในร้านค้าปลีกหรือใช้ social-engineering กับศูนย์บริการลูกค้าด้วยหลักฐานประจำตัวเพียงพอที่จะผ่านการตรวจสอบยืนยันตัวตนของผู้ให้บริการ ย้ายหมายเลขไปยัง SIM ที่อยู่ภายใต้การควบคุมของผู้ดำเนินการ ดักจับ SMS one-time-password ขาเข้าจาก exchange และรีเซ็ตบัญชี ทุกขั้นตอนของกระบวนการนี้มีจุดเสียง ซึ่งคือการยืนยันตัวตนที่ผู้ให้บริการ ชุดข้อมูล IDMerit ลบจุดเสียงนั้นออก ด้วยหมายเลขประจำตัวประชาชน ที่อยู่ วันเกิด และผู้ให้บริการปัจจุบันพร้อมที่จะวางลงใน script งานที่ก่อนหน้านี้ใช้เวลาหลายสัปดาห์ต่อเหยื่อของเซลล์อาชญากรขนาดเล็ก ยุบเหลือสายพานการประกอบ

นี่คือส่วนที่ตัวเลขพาดหัวปกปิดไว้ หนึ่งพันล้านบันทึกที่สำคัญไม่ใช่หนึ่งพันล้านผลลัพธ์ที่เลวร้าย แต่เป็นปัจจัยนำเข้าแรงงานสำหรับ SIM-swap อุตสาหกรรมหลายปี กระจายไปตามผู้ซื้อที่ได้มาซึ่งเศษชิ้นส่วนของฐานข้อมูลตามที่จะหมุนเวียนอย่างหลีกเลี่ยงไม่ได้

ทำไมผู้ให้บริการ KYC จึงเป็นพื้นผิวการโจมตีใหม่

การรั่วไหลของ IDMerit ไม่ใช่เหตุการณ์โดดเดี่ยว Sumsub ซึ่งรายชื่อลูกค้ารวมถึง Bitget, Bitpanda, Bybit, Huobi และ Wirex ประสบการรั่วไหลของตนเองในช่วงต้นปี 2026 และรูปแบบที่กว้างขึ้นของการรั่วไหลที่ถูกกล่าวหาว่ามาจากแอดมิน exchange (การเปิดเผยของแอดมิน Kraken เป็นตัวอย่างล่าสุดที่ถูกพูดถึงมากที่สุด) บ่งชี้ว่าการรวมศูนย์ของการรวบรวมข้อมูลประจำตัวได้สร้างชั้นเป้าหมายที่อุดมสมบูรณ์กว่า exchange เอง exchange ที่ถูกแฮก สูญเสีย hot wallet ของตน ผู้ให้บริการ KYC ที่ถูกแฮก สูญเสียข้อมูลประจำตัวที่ได้รับการตรวจสอบของฐานผู้ใช้ทุก exchange ในครั้งเดียว ซึ่งจากนั้นเปิดใช้งานรอบการยึดบัญชีถัดไปในสถานที่ที่ไม่เกี่ยวข้องหลายสิบแห่ง

ปัญหาโครงสร้างคือว่าความกดดันด้านกฎระเบียบผลักดันการยืนยันตัวตนไปสู่ผู้ให้บริการเฉพาะทางจำนวนน้อย บนทฤษฎีที่สมเหตุสมผลว่าความเชี่ยวชาญปรับปรุงคุณภาพ และการรวมศูนย์นั้นสร้างจุดบกพร่องเดี่ยวที่รวมศูนย์ซึ่งวิศวกรความปลอดภัยคนใดก็จะเตือนหากถูกเสนอโดยเจตนา ระบอบการปฏิบัติตามกฎระเบียบบังคับให้มีการรวบรวม กลไกตลาดรวมศูนย์การจัดเก็บ และการจัดเก็บ ตามที่ IDMerit ได้สาธิตแล้ว สามารถอยู่บนพอร์ตเปิดได้เป็นเวลาหลายวันที่ไม่มีใครรู้ก่อนที่ใครจะสังเกตเห็น

สิ่งนี้เปลี่ยนอะไรสำหรับ Directory: คำตัดสินของเรา

เรากำลังปรับลดการประเมิน exchange ใดก็ตามที่ระบุไว้ซึ่งพึ่งพาผู้ให้บริการ KYC ที่มีการรั่วไหลที่มีเอกสารในปี 2025 หรือ 2026 จนกว่าผู้ให้บริการนั้นจะเผยแพร่ post-mortem ที่น่าเชื่อถือ ไม่ใช่การปฏิเสธ คำแถลงของ IDMerit ไม่ผ่านเกณฑ์ การรั่วไหลของ Sumsub ยังสดใหม่พอที่เราถือว่าแพลตฟอร์มใดก็ตามที่ส่งกระแสข้อมูลประจำตัวผ่านมัน (Bybit, Bitget, Huobi รวมถึงอื่นๆ) มีความเสี่ยง SIM-swap ที่เพิ่มขึ้นสำหรับผู้ใช้ที่ยังพึ่งพา 2FA แบบ SMS ซึ่งในสถานที่เหล่านั้นยังคงเป็นค่าเริ่มต้นสำหรับประเภทบัญชีหลายประเภท

คำแนะนำที่เป็นรูปธรรมของเรา: หากผู้อ่านเคยผ่าน KYC ที่ exchange รายใหญ่ใดก็ตามโดยใช้หมายเลขโทรศัพท์จาก United States, Mexico, Philippines, Germany, Italy หรือ France ถือว่า metadata ของผู้ให้บริการอยู่ในวงจรหมุนเวียน แทนที่ 2FA แบบ SMS ด้วย hardware token หรือหากรองรับ แอป authenticator ที่ผูกกับอุปกรณ์ และพิจารณาหมุนเวียนหมายเลขโทรศัพท์ที่เชื่อมโยงกับบัญชี exchange หากต้นทุนการดำเนินงานสามารถรับได้ สำหรับการสมัครใหม่ ทางเลือก no-KYC ที่เราครอบคลุมอยู่แล้วไม่ใช่ความชอบด้านความเป็นส่วนตัวอีกต่อไป แต่เป็นการลดความเสี่ยง SIM-swap

บทเรียนที่ไม่สบายใจที่สุดของการรั่วไหลนี้ไม่ใช่ว่า IDMerit ล้มเหลว แต่คือเส้นทางที่มีการควบคุม ตรวจสอบ และปฏิบัติตามกฎระเบียบ ตอนนี้ผลิตชุดข้อมูลที่ตลาดอาชญากรไม่สามารถรวบรวมเองได้เป็นประจำ

แหล่งข้อมูล

• Global data leak exposes billion records (Cybernews)
• IDMerit data breach analysis (Bright Defense)
• 1 Billion KYC Records Exposed in Massive Identity Data Leak (Quantrail Data)
• IDMerit KYC Data: One Billion Records Exposed (FinCrime Central)
• IDMerit data leak (Zyphe)
• kycisbad reference repository (GitHub)

บันทึกการแก้ไข

• 2026-03-08 : ดึงการเปิดเผยต้นฉบับของ Cybernews ขูดข้อมูลจำนวนประเทศลงในตารางที่เรียงลำดับได้ และตรวจสอบยอดรวมกับบทความของ Bright Defense
• 2026-03-24 : อ่านการปฏิเสธของ IDMerit สองครั้งและเปรียบเทียบคำว่า "no exposure within the IDMERIT environment" กับวิธีการของ Cybernews ในการระบุถังข้อมูล
• 2026-04-09 : จับคู่รายชื่อลูกค้า Sumsub (Bitget, Bitpanda, Bybit, Huobi, Wirex) กับรายชื่อฟินเทค downstream ของ IDMerit เพื่อหาความซ้อนทับ ตัดชื่อสามรายที่ความสัมพันธ์เป็นเพียงแค่ press-release
• 2026-04-18 : ร่างส่วน SIM-swap โดยใช้รายงานของ KrebsOnSecurity เกี่ยวกับคำพิพากษา 8 ล้านดอลลาร์เป็นอ้างอิงกระบวนการ จากนั้นตัดย่อหน้าที่เบี่ยงเบนไปสู่การคาดเดาเกี่ยวกับราคาขายต่อ
• 2026-04-26 : ผ่านครั้งสุดท้าย: ลบประโยคคาดเดาสามประโยคเกี่ยวกับผู้กระทำคุกคามที่เป็นไปได้เบื้องหลัง MongoDB ที่เปิดอยู่ เก็บเฉพาะสิ่งที่มีเอกสารในรายงานของ Cybernews และ Bright Defense