Amadeus คือใคร ทำไมข้อมูลผู้โดยสารของหลายสายการบินถึงหลุดผ่านผู้ให้บริการรายเดียว

หลังจากที่การบินไทยแจ้งว่าข้อมูลผู้โดยสาร 60,529 รายการอาจถูกเข้าถึง หลายคนอาจเข้าใจว่าเป็นการเจาะระบบของสายการบินโดยตรง แต่ต้นทางของเหตุอยู่ที่ Amadeus ผู้ให้บริการเทคโนโลยีด้านการเดินทางที่สายการบินจำนวนมากใช้จัดการข้อมูลการจองและบริการผู้โดยสาร

เหตุนี้ทำให้สายการบินในเอเชียอย่างน้อย 7 รายออกมาเปิดเผยผลกระทบในช่วงเวลาใกล้กัน และสะท้อนความเสี่ยงเมื่อข้อมูลการเดินทางไหลผ่านแพลตฟอร์มกลาง

Amadeus คือใคร

Amadeus คือบริษัทเทคโนโลยีด้านการท่องเที่ยวชั้นนำสัญชาติสเปน ผู้ให้บริการโครงสร้างพื้นฐานไอทีแก่สายการบิน ท่าอากาศยาน โรงแรม และตัวแทนท่องเที่ยวทั่วโลก ระบบของ Amadeus ครอบคลุมตั้งแต่การค้นหาเที่ยวบิน ตรวจสอบราคาและที่นั่ง การสำรองที่นั่ง ออกบัตรโดยสาร การบริหารจัดการข้อมูลผู้โดยสาร ไปจนถึงระบบเช็กอินและควบคุมการออกเดินทาง

สำหรับธุรกิจการบิน ระบบลักษณะนี้ทำหน้าที่เสมือนโครงสร้างพื้นฐานหลังบ้าน ที่ขับเคลื่อนทุกขั้นตอนของการเดินทาง ตั้งแต่การกรอกข้อมูลผู้โดยสาร การเลือกเที่ยวบิน ไปจนถึงการออกตั๋วและเช็กอินขึ้นเครื่อง 

นั่นหมายความว่า ข้อมูลการเดินทางจึงไม่ได้จัดเก็บอยู่เฉพาะในระบบของสายการบินใดสายการบินหนึ่งเท่านั้น แต่ถูกประมวลผลผ่านผู้ให้บริการเทคโนโลยีส่วนกลางที่สายการบินต่าง ๆ ใช้งานร่วมกัน

แม้การพึ่งพาแพลตฟอร์มกลางจะช่วยลดต้นทุนและเพิ่มความคล่องตัวในการเชื่อมต่อกับเครือข่ายการบินระดับโลก ทว่าในมิติด้านความปลอดภัย ผู้ให้บริการรายเดียวนี้กลับกลายเป็นจุดรวมศูนย์ของความเสี่ยง หากเกิดช่องโหว่ทางเทคนิคหรือการเข้าถึงข้อมูลโดยมิชอบ ผลกระทบย่อมสามารถแพร่กระจายไปยังสายการบินจำนวนมากพร้อมกันในทันที

เกิดอะไรขึ้นกันแน่ ?

Amadeus ระบุว่าพบช่องโหว่ในสภาพแวดล้อมที่ใช้แสดงข้อมูลการจอง หรือ booking display environment ทำให้ข้อมูลการจองบางส่วนสามารถถูกเข้าถึงได้โดยไม่ได้รับอนุญาต บริษัทบอกว่าได้แก้ไขช่องโหว่ เพิ่มการติดตามตรวจจับ และติดต่อกับลูกค้าและหน่วยงานที่เกี่ยวข้องแล้ว

รายงานของสื่อต่างประเทศระบุว่า Amadeus แจ้งคู่ค้าว่าผู้โจมตีใช้ข้อมูลล็อกอินที่กำหนดให้กับบัญชีระบบของ Amadeus 

อย่างไรก็ดี บริษัทยังไม่ได้เปิดเผยรายละเอียดเส้นทางการเข้าถึง วันที่เริ่มถูกโจมตี หรือจำนวนองค์กรที่ได้รับผลกระทบทั้งหมด และยังไม่พบหลักฐานว่าข้อมูลการชำระเงินหรือข้อมูลทางการเงินถูกเข้าถึง รวมถึงไม่พบสัญญาณว่าเป็นการโจมตีเพื่อเรียกค่าไถ่

มีสายการบินใดได้รับผลกระทบบ้าง

• การบินไทย 
  • วันที่ 9 พฤศจิกายน แจ้งว่าข้อมูลผู้โดยสารราว 60,529 รายการอาจถูกเข้าถึง อีก 376 รายการอาจมีข้อมูลติดต่อหรือเอกสารเดินทางเพิ่มเติม เหตุเกิดกับข้อมูลในระบบ Amadeus ระหว่าง 10 สิงหาคม 2023 ถึง 23 กันยายน 2026
• Singapore Airline
  • ข้อมูลการจองราว 46,000 รายการถูกเข้าถึง โดยราว 620 รายการอาจมีข้อมูลติดต่อ เอกสารเดินทาง หรือหมายเลขสมาชิก KrisFlyer เพิ่มเติม
• Japan Airlines
  • The Record รายงานว่ามีข้อมูลลูกค้าราว 92,000 รายถูกขโมยจากเหตุการณ์ดังกล่าว
• Cathay Pacific
  • ข้อมูลการจองราว 53,000 รายการถูกเข้าถึง ซึ่งบางส่วนอาจมีหมายเลขการจอง ชื่อผู้โดยสาร รายละเอียดเที่ยวบิน เอกสารเดินทาง หรือหมายเลขสมาชิกสะสมไมล์
• Korean Air, Asiana Airlines และ Malaysia Airlines ได้รับผลกระทบจากผู้ให้บริการเดียวกัน แต่ยังไม่มีการเปิดเผยตัวเลขให้ทราบ

ทำไม Amadeus จึงทำให้หลายสายการบินเสี่ยงพร้อมกัน

ในธุรกิจการเดินทาง สายการบินไม่ได้สร้างและดูแลระบบทุกชั้นด้วยตัวเอง ผู้ให้บริการอย่าง Amadeus เชื่อมต่อข้อมูลระหว่างสายการบิน ตัวแทนจำหน่าย ระบบจอง และจุดบริการผู้โดยสารหลายแห่ง จึงมีข้อมูลการจองจำนวนมากผ่านระบบเดียวกัน

เมื่อผู้โจมตีเข้าถึงบัญชีระบบหรือสภาพแวดล้อมที่ใช้แสดงข้อมูลการจองได้ ข้อมูลที่อยู่ในขอบเขตสิทธิ์ของระบบนั้นอาจถูกอ่านได้ แม้ระบบหลักของสายการบินแต่ละรายจะไม่ได้ถูกบุกรุกโดยตรง นี่คือความเสี่ยงของ third-party concentration หรือการพึ่งพาผู้ให้บริการกลางรายเดียวในกระบวนการสำคัญ

อย่างไรก็ตาม ยังไม่ควรด่วนสรุปว่า Amadeus เป็นสาเหตุของเหตุข้อมูลรั่วทั้งหมดในอุตสาหกรรมการบิน หรือว่าทุกสายการบินที่ใช้ Amadeus ได้รับผลกระทบ เพราะบริษัทไม่ได้เปิดเผยรายชื่อลูกค้าหรือขอบเขตผู้ได้รับผลกระทบทั้งหมด

ผู้โดยสารควรทำอะไร

• ระวังอีเมล SMS หรือข้อความที่อ้างการเปลี่ยนเที่ยวบิน การคืนเงิน หรือการขอให้ยืนยันข้อมูล โดยเฉพาะข้อความที่รู้ชื่อ เส้นทาง หรือหมายเลขอ้างอิงการจอง
• ตรวจสอบเที่ยวบินผ่านเว็บไซต์หรือแอปทางการของสายการบินเอง แทนการกดลิงก์จากข้อความที่ได้รับ
• อย่าส่งรหัสผ่าน รหัส OTP หรือข้อมูลบัตรชำระเงินให้ผู้ติดต่อที่ไม่ได้ยืนยันตัวตน
• หากสายการบินติดต่อเรื่องการเปลี่ยนหมายเลขการจองหรือการตั้งรหัสผ่านใหม่ ให้ดำเนินการผ่านช่องทางทางการเท่านั้น

อ้างอิง : The Record, Thai Airways