ADT บริษัทรักษาความปลอดภัยบ้านรายใหญ่โดนรั่ว 10 ล้านรายการ — โจมตีด้วย Vishing + Okta SSO

ADT — บริษัทรักษาความปลอดภัยบ้านที่ใหญ่ที่สุดในอเมริกา — ยืนยันว่า ถูก hack ข้อมูลลูกค้า หลังกลุ่ม ShinyHunters ขู่ leak ข้อมูล

ข้อมูลที่รั่ว

ADT ยืนยัน (official statement ต่อ BleepingComputer):

• ชื่อ, เบอร์โทร, ที่อยู่ ของลูกค้าและลูกค้าที่สนใจ
• ในส่วนน้อย: วันเกิด + 4 หลักสุดท้ายของ SSN/Tax ID
• ไม่มีข้อมูลการชำระเงิน (บัตรเครดิต, ธนาคาร)
• ระบบรักษาความปลอดภัยของบ้านไม่โดนกระทบ

ShinyHunters อ้างว่ามีกว่า 10 ล้านรายการ — ADT ไม่ยืนยันตัวเลขนี้

Deadline: 27 เม.ย. 2026 — “Pay or Leak”

วิธีโจมตี — Vishing + Okta SSO

Step 1: Vishing (Voice Phishing)

ShinyHunters โทรหลอก พนักงาน ADT จนได้ข้อมูลเข้าบัญชี

Step 2: Okta SSO Compromised

ใช้ข้อมูลที่ได้เข้าถึง บัญชี Okta SSO ของพนักงาน — ซึ่งเป็น single sign-on สำหรับทุกระบบของบริษัท

Step 3: Salesforce Data Exfiltration

จาก Okta SSO → เข้าถึง Salesforce instance ของ ADT → ดึงข้อมูลลูกค้าออกมา

ทำไมน่ากลัว

• ไม่ใช่ zero-day exploit — ไม่ใช่ code vulnerability
• คือ โทรหลอกพนักงาน + เข้า SSO + ดึงข้อมูล
• ทำได้กับบริษัทใดก็ได้ที่ใช้ SSO + ไม่มี MFA ที่เพียงพอ

ShinyHunters คือใคร

• กลุ่ม extortion ที่กำลัง active มากในปี 2026
• โจมตี Harvard, Vercel, ADT (ยืนยัน) — Udemy (ยังไม่ confirm)
• ใช้ vishing เป็นหลัก — โทรหลอกพนักงาน → เข้า SSO → ดึงข้อมูล → ขู่เงิน

ADT ตอบยังไง

• ตรวจพบ unauthorized access 20 เม.ย. → ยุติ intrusion ทันที
• เปิด investigation → ยืนยันว่าข้อมูลส่วนบุคคลถูก steal
• ติดต่อผู้กระทบทุกคนแล้ว
• ยืนยันว่าระบบรักษาความปลอดภัยบ้านไม่โดน

บทเรียนสำหรับองค์กร

1. Vishing = Threat จริง

การโทรหลอกพนักงานไม่ใช่เรื่องตลก — ShinyHunters ใช้มันเข้าบริษัทหลายแห่งแล้ว

2. SSO = Single Point of Failure

Okta SSO ถูก compromise แค่บัญชีเดียว → เข้าถึงทุกระบบได้ ต้องมี MFA ทุกบัญชี (hardware key > authenticator app > SMS), conditional access policies, monitoring alerts

3. Salesforce = Goldmine

CRM เก็บข้อมูลลูกค้าทุกอย่าง — ถ้า SSO โดน Salesforce ก็โดน ต้อง encrypt data + field-level security

4. Training ไม่พอ

พนักงานโดน vishing ได้เสมอ — ต้องมี simulated phishing training + reporting mechanism + minimum access

เทียบกับ Breach ที่เราเขียนไป

• สภาวิศวกร: Migration vulnerability → อย่า migrate วันหยุด
• Lovable: BOLA (API) → เช็ค authorization
• FastGPT: NoSQL Injection → Input validation
• ADT: Vishing + SSO → MFA + phishing training

จะเห็นว่าไม่จำเป็นต้องมี technical vulnerability เลย — โทรหลอกพนักงานคนเดียวก็เข้าได้

สรุป

• ADT ยืนยัน breach แล้ว — บริษัทรักษาความปลอดภัยบ้านใหญ่ที่สุดในอเมริกา
• ShinyHunters โจมตีด้วย vishing → Okta SSO → Salesforce → 10M+ รายการ
• ข้อมูลที่รั่ว: ชื่อ, เบอร์โทร, ที่อยู่ + บางรายมี DOB, 4 หลัก SSN
• ระบบรักษาความปลอดภัยบ้านไม่โดน แต่ข้อมูล PII รั่ว
• Deadline 27 เม.ย. — อีก 2 วัน ShinyHunters จะ leak
• บทเรียน: Vishing อันตรายจริง, SSO ต้องมี MFA, phishing training ต้องทำจริง

📌 Source: BleepingComputer