ข้อมูลสมาชิกแอป Burger King ญี่ปุ่นรั่ว 11.18 ล้านรายการ ไม่มีเลขบัตร แต่มีวันเกิดกับเบอร์โทรที่มิจฉาชีพชอบ

ข้อมูลสมาชิกแอปทางการของ Burger King ญี่ปุ่นราว 11.18 ล้านรายการหลุดออกไปข้างนอก หลังระบบสมาชิกถูกเข้าถึงโดยไม่ได้รับอนุญาตระหว่างวันที่ 2–7 ตุลาคม 2026 (BK Japan) บริษัท BK Japan ผู้ดำเนินกิจการ Burger King ในญี่ปุ่นประกาศเรื่องนี้เมื่อ 15 ตุลาคม และ NHK รายงานข่าวในวันเดียวกัน (NHK)

ตัวเลข 11.18 ล้าน แปลว่าข้อมูลคนหลักสิบล้านรายการหลุดจากระบบเดียวครับ ข้อดีเดียวคือไม่มีเลขบัตรเครดิตหลุด เพราะบริษัทไม่ได้เก็บ (ITmedia NEWS) แต่ของที่หลุดคือชื่อ วันเกิด เบอร์โทร และอีเมล ซึ่งเป็นชุดวัตถุดิบที่มิจฉาชีพใช้แต่ง SMS ให้ดูน่าเชื่อ

สรุป 30 วินาที: เกิดอะไรขึ้น

• ใคร: BK Japan บริษัทที่ดูแลแอปทางการของ Burger King ในญี่ปุ่น (INTERNET Watch)
• เกิดอะไร: บุคคลภายนอกเข้าถึงระบบที่เก็บข้อมูลสมาชิกแอปช่วง 2–7 ตุลาคม 2026 บริษัทยืนยันว่าข้อมูลรั่วเมื่อ 13 ตุลาคม (BK Japan)
• ตัวเลขหลัก: ราว 11.18 ล้านรายการ (BK Japan)
• ข้อมูลที่หลุด: รหัสสมาชิก อีเมล ประเภทการลงทะเบียน จังหวัดที่อยู่ เพศ วันเกิด ชื่อทั้งตัวคันจิและคานะ เบอร์โทร ข้อมูลว่าเคยสั่งผ่านโมบายล์ออร์เดอร์หรือไม่ และข้อมูลว่ายืนยันอีเมลแล้วหรือไม่ (BK Japan)
• ที่ไม่หลุด (เท่าที่รู้ตอนนี้): เลขบัตรเครดิตไม่มีในระบบ ส่วนรหัสผ่านล็อกอินยังไม่พบว่ารั่ว (ITmedia NEWS)
• เวลาไทย: INTERNET Watch ลงข่าวเวลา 16:45 ตามเวลาญี่ปุ่นของวันที่ 15 ตุลาคม ซึ่งตรงกับ 14:45 น. เวลาไทย (INTERNET Watch)

ทำไมเรื่องนี้เกี่ยวกับคุณ

คนไทยที่เคยอยู่ เรียน หรือไปเที่ยวญี่ปุ่น แล้วโหลดแอป Burger King ญี่ปุ่นเพื่อรับคูปอง อาจอยู่ในชุดข้อมูลนี้ครับ ประกาศของบริษัทไม่ได้แยกว่ามีสมาชิกต่างชาติเท่าไหร่ ผมจึงบอกได้แค่ว่า ถ้าเคยสมัคร ให้ถือว่าเกี่ยว

แต่ต่อให้คุณไม่เคยกินเบอร์เกอร์ที่ญี่ปุ่น เรื่องนี้ก็ยังเกี่ยวครับ แอปร้านกาแฟ ร้านฟาสต์ฟู้ด ร้านสะดวกซื้อในไทยหลายเจ้าก็ขอวันเกิดกับเบอร์โทรแลกคูปองวันเกิดเหมือนกัน เคสนี้คือภาพตัวอย่างว่า ข้อมูลที่เรากรอกเพื่อแลกเค้กฟรีหนึ่งชิ้น อาจไปจบที่มือคนแปลกหน้าได้

ความเสี่ยงหลักไม่ใช่การรูดบัตร แต่คือการหลอกลวงครับ BK Japan เตือนให้ระวังอีเมล SMS และโทรศัพท์ที่แอบอ้างเป็นบริษัท และขอว่าอย่ากดลิงก์ เปิดไฟล์แนบ หรือกรอกข้อมูลสมาชิกกับรหัสผ่าน (BK Japan)

ทำงานยังไง

ประกาศของบริษัทยังไม่บอกว่าคนร้ายเข้ามาทางไหน บอกแค่ว่าเป็นการเข้าถึงโดยบุคคลภายนอก และกำลังสืบสวนร่วมกับหน่วยงานผู้เชี่ยวชาญภายนอก (BK Japan) ผมจึงอธิบายได้แค่ภาพกว้างว่าข้อมูลแอปสะสมแต้มทำงานยังไง และทำไมมันถึงมีค่ากับคนร้าย

แอปสมาชิกแบบนี้มีระบบหลังบ้านที่เก็บโปรไฟล์ลูกค้าไว้รวมกันครับ ทุกครั้งที่แอปเช็กสิทธิ์คูปองหรือส่งโปรวันเกิด มันดึงข้อมูลจากระบบนี้ ระบบเดียวจึงถือข้อมูลคนหลักสิบล้านไว้ในที่เดียว ถ้าประตูนี้เปิดได้ ของทั้งตู้ก็ออกไปได้ในไม่กี่วัน

BleepingComputer อ้างนักวิจัย Yutaka Sejiyama จาก Macnica ว่าปีนี้เขาบันทึกเหตุข้อมูลส่วนบุคคลถูกขโมยหรือเปิดเผยในญี่ปุ่นไว้ 119 เหตุการณ์ และพบว่าคนร้ายกำลังไล่หาจุดอ่อนเรื่องการคุมสิทธิ์ การตั้งค่า และการยืนยันตัวตนของเว็บไซต์กับ API รวมถึงใช้ช่องโหว่ที่รู้กันอยู่แล้ว (BleepingComputer) API คือช่องทางที่แอปใช้คุยกับระบบหลังบ้าน นี่เป็นภาพรวมของปี ไม่ได้ยืนยันว่า BK Japan โดนวิธีไหน

นึกภาพบัตรสะสมแต้มร้านกาแฟที่คุณกรอกชื่อ วันเกิด และเบอร์โทร เพื่อรับเค้กฟรีวันเกิดครับ ร้านเก็บบัตรของลูกค้าทุกคนไว้ในตู้ลิ้นชักหลังร้าน วันหนึ่งมีคนแอบเข้ามาห้าวันติด ดึงลิ้นชักออกไปถ่ายเอกสารทั้งตู้ ในบัตรไม่มีเงินสักบาท แต่มีทุกอย่างที่ใช้โทรหาคุณแล้วพูดว่า “สวัสดีครับคุณสมชาย สุขสันต์วันเกิดล่วงหน้า ร้านมีของขวัญให้ ขอยืนยันตัวตนหน่อย”

จุดหักมุม: ไม่มีบัตรเครดิต ไม่ได้แปลว่าปลอดภัย

ข่าวแบบนี้คนมักโล่งใจตรงประโยค “ไม่มีข้อมูลบัตรเครดิต” ครับ

แต่บัตรเครดิตอายัดได้ รหัสผ่านเปลี่ยนได้ วันเกิดกับชื่อจริงเปลี่ยนไม่ได้ เบอร์โทรเปลี่ยนได้ แต่คนส่วนใหญ่ไม่ทำ ข้อมูลชุดนี้จึงอยู่กับเราไปอีกนาน และใช้ประกอบการหลอกได้ซ้ำแล้วซ้ำอีก

ข้อมูลว่า “เคยสั่งโมบายล์ออร์เดอร์หรือไม่” ฟังดูไม่สำคัญ แต่สำหรับมิจฉาชีพ มันช่วยแยกว่าใครคือลูกค้าตัวจริงที่ใช้แอปบ่อย (BK Japan) ข้อความหลอกที่เอ่ยถึงคำสั่งซื้อจึงดูน่าเชื่อขึ้นอีกขั้น

เรื่องเงิน / ผลกระทบ

ตอนนี้ยังไม่มีความเสียหายทางเงินที่ยืนยันได้ครับ BK Japan บอกว่ายังไม่พบการนำข้อมูลไปใช้ในทางมิชอบหรือความเสียหายต่อเนื่อง (BK Japan) แต่ความเสียหายแบบนี้มักมาทีหลัง ในรูปของคนที่หลงกดลิงก์หรือโอนเงินให้คนแอบอ้าง

ฝั่งบริษัทต้องรับต้นทุนเต็มๆ บริษัทตัดการเชื่อมต่อจากต้นทางที่เข้ามา ทำมาตรการชั่วคราว ตั้งศูนย์รับมือ และรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น (PPC) แล้ว (ITmedia NEWS) ตอนนี้กำลังทยอยส่งอีเมลแจ้งผู้ได้รับผลกระทบ (INTERNET Watch) แหล่งข่าวไม่ได้ระบุค่าใช้จ่ายหรือค่าปรับใดๆ

เรื่องนี้ไม่ได้เกิดเดี่ยวๆ ด้วยครับ สัปดาห์เดียวกัน บริษัท Nikkei เปิดเผยว่าบริการคลาวด์ที่ใช้พัฒนาระบบถูกเข้าถึงด้วยข้อมูลล็อกอินที่ถูกขโมย ข้อมูลรั่วราว 1.83 ล้านรายการ ในนั้นราว 150,000 รายการมีข้อมูลที่ระบุตัวคนได้ เช่น ชื่อ อีเมล ที่อยู่ เบอร์โทร หรือวันเกิด (Nikkei Inc.) BleepingComputer ก็จัด Nikkei อยู่ในรายชื่อบริษัทญี่ปุ่นใหญ่ที่โดนโจมตีปีนี้ ร่วมกับ KDDI, Keio และ Sakura Internet (BleepingComputer)

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

“ประวัติการสั่งซื้อ” หรือแค่ “มีหรือไม่มี”: BleepingComputer เขียนว่าเซิร์ฟเวอร์เก็บ “order history” หรือประวัติการสั่งซื้อ (BleepingComputer) แต่ประกาศภาษาญี่ปุ่นของบริษัท และสื่อญี่ปุ่นอย่าง INTERNET Watch กับ ITmedia ระบุเพียงว่า “มีประวัติโมบายล์ออร์เดอร์หรือไม่” (INTERNET Watch) แปลว่าตามต้นทาง ไม่ได้หลุดว่าใครสั่งเมนูอะไร แค่หลุดว่าเคยสั่งผ่านแอปหรือเปล่า

“รั่วออกไปข้างนอก” หรือ “ถูกปล่อยออนไลน์”: ประกาศของบริษัทใช้คำว่าข้อมูลรั่วไหลออกไปภายนอก (BK Japan) ส่วน BleepingComputer เขียนว่าข้อมูลถูกขโมยต้นตุลาคม “and leaked online” (BleepingComputer) ผมยังไม่เห็นแหล่งไหนยืนยันว่าข้อมูลถูกเอาไปวางขายหรือโพสต์บนเว็บใด จึงขอถือว่ายังไม่ยืนยัน

รหัสผ่าน: บริษัทใช้คำว่า “ยังไม่พบ” การรั่วของรหัสผ่านล็อกอิน ณ ตอนนี้ (ITmedia NEWS) ไม่ใช่ “ไม่รั่วแน่นอน” ต่างจากเลขบัตรที่บริษัทยืนยันว่าไม่ได้เก็บเลย

ยังไม่รู้: ช่องทางที่คนร้ายใช้เข้าระบบ ใครเป็นคนทำ มีสมาชิกต่างชาติหรือคนไทยอยู่กี่ราย และทำไมระบบถึงถูกเข้าถึงได้ต่อเนื่องถึงห้าวันก่อนตัดการเชื่อมต่อ ไม่มีแหล่งไหนตอบเรื่องเหล่านี้ (BleepingComputer)

แล้วเราควรทำอะไร

ถ้าคุณเคยสมัครแอป Burger King ญี่ปุ่น — ทำตามได้เลย

1. เช็กอีเมลที่ใช้สมัครว่าได้รับจดหมายแจ้งจากบริษัทหรือไม่ แต่อย่ากดลิงก์ในอีเมลที่อ้างว่ามาจากบริษัทโดยไม่ตรวจชื่อผู้ส่งให้ดี
2. ระวัง SMS หรือสายที่เรียกชื่อจริงคุณถูก รู้วันเกิด แล้วชวนรับคูปอง เงินคืน หรือ “ยืนยันบัญชี” ให้ถือว่าน่าสงสัยไว้ก่อน
3. ถ้าใช้รหัสผ่านแอปนี้ซ้ำกับบริการอื่น ให้เปลี่ยนรหัสของบริการอื่นด้วย แม้บริษัทจะบอกว่ายังไม่พบการรั่ว
4. ถ้าไม่ได้ใช้แอปแล้ว ให้พิจารณาลบบัญชีตามช่องทางของบริษัท แทนที่จะแค่ลบแอปออกจากเครื่อง

ทุกคนที่ใช้แอปสะสมแต้มในไทย

1. กรอกข้อมูลเท่าที่จำเป็น ถ้าช่องไหนไม่บังคับ อย่ากรอก
2. ใช้รหัสผ่านไม่ซ้ำกันในแต่ละแอป และเปิดการยืนยันตัวตนสองชั้นเมื่อแอปมีให้
3. จำไว้ว่าร้านจริงไม่ต้องขอรหัส OTP หรือรหัสผ่านของคุณทางโทรศัพท์ เพื่อมอบของขวัญวันเกิด

ทีม IT และเจ้าของแอปสมาชิก

1. ถามตัวเองว่าต้องเก็บวันเกิดเต็มจริงไหม เดือนเกิดอย่างเดียวพอสำหรับโปรวันเกิดหรือเปล่า
2. เฝ้าดูการดึงข้อมูลจำนวนมากผิดปกติจาก API และฐานข้อมูลสมาชิก เพื่อจับให้ได้ก่อนผ่านไปห้าวัน
3. ตรวจการคุมสิทธิ์ การตั้งค่า และการยืนยันตัวตนของ API ตามจุดที่นักวิจัยญี่ปุ่นพบว่าคนร้ายกำลังไล่หา
4. เตรียมแผนแจ้งเหตุและข้อความเตือนลูกค้าไว้ล่วงหน้า ให้บอกได้ชัดว่าบริษัทจะติดต่อลูกค้าทางไหน และจะไม่ขออะไร

ผมมองว่า…

ผมมองว่าข่าวนี้ไม่ใช่เรื่องร้านเบอร์เกอร์ แต่คือเรื่องราคาจริงของคูปองฟรีครับ เรายอมแลกวันเกิดกับเบอร์โทรเพื่อส่วนลดไม่กี่สิบบาท โดยแทบไม่เคยถามว่าร้านจะดูแลข้อมูลนี้ดีแค่ไหน

ผมให้เครดิต BK Japan ที่ประกาศรายการข้อมูลละเอียด และบอกตรงว่าอะไรยังไม่รู้ แต่คำถามที่ทุกบริษัทควรถามตัวเองคือ ถ้าเก็บน้อยกว่านี้ตั้งแต่แรก วันนี้จะมีอะไรให้รั่วน้อยลงแค่ไหน

ปิดท้าย: สิ่งที่ต้องจับตา

ข้อมูลที่ไม่มีมูลค่าเป็นเงินในตัวเอง อาจเป็นข้อมูลที่ช่วยให้คนร้ายหลอกเอาเงินจากเราได้ง่ายที่สุด

สิ่งที่ต้องตามต่อมีสองเรื่อง หนึ่ง ผลสอบสวนว่าคนร้ายเข้าทางไหน ซึ่งบริษัทบอกว่ากำลังทำร่วมกับผู้เชี่ยวชาญภายนอก สอง จะมีรายงานยืนยันไหมว่าข้อมูลถูกนำไปขายหรือปล่อยบนเว็บใด ตามที่ BleepingComputer ใช้คำว่า leaked online

แล้วตอนนี้ในมือถือคุณ มีแอปสะสมแต้มกี่แอปที่รู้วันเกิดคุณครับ

Recap

• เกิดอะไรขึ้น: ระบบสมาชิกแอป Burger King ญี่ปุ่นถูกเข้าถึงช่วง 2–7 ต.ค. 2026 บริษัทยืนยันข้อมูลรั่วเมื่อ 13 ต.ค. และประกาศ 15 ต.ค.
• ตัวเลขที่ต้องจำ: ราว 11.18 ล้านรายการ มีชื่อ วันเกิด เบอร์โทร อีเมล เพศ จังหวัด
• ไม่หลุด: เลขบัตรเครดิต (ไม่ได้เก็บ) ส่วนรหัสผ่าน “ยังไม่พบ” ว่ารั่ว
• แหล่งข่าวไม่ตรงกัน: BleepingComputer เขียนว่ามี order history และ leaked online แต่ต้นทางบอกแค่ “มีประวัติสั่งหรือไม่” และ “รั่วออกไปภายนอก”
• ยังไม่รู้: ช่องทางเข้า ผู้ลงมือ จำนวนสมาชิกต่างชาติ และข้อมูลถูกขายหรือยัง
• กระทบคุณ: ระวัง SMS และสายที่รู้ชื่อกับวันเกิด กรอกข้อมูลแอปสะสมแต้มให้น้อยที่สุด ใช้รหัสผ่านไม่ซ้ำ
• จับตาต่อ: ผลสอบสวนของบริษัท และรายงานการนำข้อมูลไปขาย
• แหล่งข่าว: BK Japan, BleepingComputer, INTERNET Watch, ITmedia NEWS, NHK, Nikkei Inc.