ระบบจองตั๋ว Amadeus ถูกเจาะ ข้อมูลผู้โดยสาร JAL, ANA, Korean Air และ Asiana อาจถูกเปิดดู

คุณอาจไม่เคยได้ยินชื่อ Amadeus แต่ถ้าเคยจองตั๋ว JAL หรือ ANA ข้อมูลการจองของคุณก็เก็บอยู่ในระบบของบริษัทไอทีจากสเปนแห่งนี้ ระบบนี้รับจอง ออกตั๋ว และเช็กอินให้สายการบินหลายร้อยแห่งทั่วโลก และสัปดาห์ที่ผ่านมา สายการบินใหญ่ของญี่ปุ่นและเกาหลีใต้ทยอยประกาศว่ามีคนเข้าไปดูข้อมูลการจองในระบบนี้โดยไม่ได้รับอนุญาต

Korean Air และ Asiana Airlines เปิดเรื่องก่อน โดยบอกว่าผู้บุกรุกใช้ข้อมูลล็อกอินของบัญชีหนึ่งในระบบ Amadeus และรหัสการจองของลูกค้าบางส่วนหลุดออกไป จากนั้น Japan Airlines (JAL) ประกาศว่าพบร่องรอยการเปิดดูข้อมูลการจองของลูกค้าราว 92,000 คน ส่วนใหญ่เป็นรหัสการจอง ชื่อ วันเดินทาง และเส้นทางบิน แต่ราว 2,000 คนในจำนวนนี้มีอีเมล เบอร์โทร และเลขพาสปอร์ตติดไปด้วย วันต่อมา ANA ก็ประกาศว่าโดนแบบเดียวกัน แต่ยังไม่รู้ว่ากระทบกี่คน

ลองนึกถึงตู้เอกสารกลางที่หลายบริษัทฝากแฟ้มลูกค้าไว้ แล้วมีคนถือบัตรผ่านของพนักงานเปิดเข้าไปอ่าน สำนักงานของแต่ละบริษัทไม่ได้ถูกงัด แต่แฟ้มลูกค้าก็ถูกเปิดอยู่ดี ต่างกันตรงที่ยังไม่มีใครเปิดเผยว่าบัตรผ่านนั้นหลุดไปได้อย่างไร และข้อมูลเรื่องบัตรผ่านมาจากสายการบินเกาหลี ไม่ใช่จาก Amadeus เอง ส่วนช่วงเวลาเกือบ 3 ปีที่ข่าวพูดถึง คือช่วงที่การจองซึ่งได้รับผลกระทบถูกเก็บอยู่ในระบบ ไม่ได้แปลว่ายืนยันแล้วว่ามีคนแอบดูต่อเนื่องตลอดช่วงนั้น

ข่าวดีคือ JAL ระบุว่าเลขบัตรเครดิตและรหัสผ่านไม่หลุด และยังไม่พบการนำข้อมูลไปใช้ในทางมิชอบ ปัญหาคือรหัสการจองคู่กับชื่อเป็นเหยื่อล่อชั้นดี มิจฉาชีพที่รู้เที่ยวบินจริงของคุณจะส่งอีเมลหรือโทรมาได้น่าเชื่อกว่าปกติ เส้นทางไทย-ญี่ปุ่นและไทย-เกาหลีเป็นเส้นทางที่คนไทยบินกันมาก แต่ยังไม่มีสายการบินใดเปิดเผยตัวเลขผู้โดยสารแยกตามประเทศ

ถ้าคุณเคยจองเที่ยวบินของสี่สายการบินนี้ตั้งแต่เดือนสิงหาคม 2023 ให้ระวังข้อความที่อ้างรายละเอียดเที่ยวบินจริงแล้วขอให้กดลิงก์ จ่ายเงิน หรือยืนยันข้อมูล และเช็กการจองผ่านแอปหรือเว็บไซต์ของสายการบินที่คุณพิมพ์เข้าเอง ตารางว่าใครประกาศอะไร ข้อมูลที่หลุดของแต่ละสายการบิน และเบอร์ติดต่อ อยู่ด้านล่าง

สรุปประเด็นสำคัญ

• ต้นเหตุอยู่ที่ผู้ให้บริการระบบ: สายการบินทั้งหมดใช้ระบบบริการผู้โดยสาร (passenger service system) ของ Amadeus IT Group ซึ่งดูแลการจอง ออกตั๋ว และเช็กอิน สายการบินเกาหลีระบุว่าผู้บุกรุกใช้ข้อมูลล็อกอินของบัญชีในระบบ Amadeus และไม่พบการบุกรุกฐานข้อมูลของสายการบินเอง
• JAL ให้รายละเอียดมากที่สุด: JAL และ Japan Transocean Air (JTA) ระบุผู้ได้รับผลกระทบราว 92,000 คน ในจำนวนนี้ราว 2,000 คนมีเลขพาสปอร์ต สัญชาติ และช่องทางติดต่อหลุดไปด้วย
• ANA ยังตรวจสอบอยู่: ANA ยืนยันว่ามีร่องรอยการเข้าถึง แต่ยังไม่ระบุจำนวนคน ชนิดข้อมูล หรือช่วงเวลา
• ยังไม่ยืนยันว่ามีสายการบินอื่น: Amadeus ยังไม่ตอบ BleepingComputer ว่ามีสายการบินหรือประเทศอื่นได้รับผลกระทบหรือไม่ และยังไม่มีรายงานว่าสายการบินไทยรายใดเกี่ยวข้อง

ใครประกาศอะไร เมื่อไร

ที่มา: ประกาศของสายการบินตามที่ MoneyToday, ZDNet Korea, Aviation Wire, TRAICY และ ITmedia รายงาน

ทั้ง Korean Air และ Asiana ส่งอีเมลขอโทษถึงลูกค้าที่ได้รับผลกระทบแล้ว ZDNet Korea รายงานว่า Amadeus ปิดกั้นบัญชีที่ถูกใช้ และเฝ้าดูว่าข้อมูลถูกนำไปขายในดาร์กเว็บหรือไม่ ส่วน Korean Air ขอให้ Amadeus เพิ่มมาตรการป้องกันไม่ให้เกิดซ้ำ

ANA เริ่มใช้ระบบของ Amadeus กับเที่ยวบินระหว่างประเทศตั้งแต่เดือนเมษายน 2015 และย้ายเที่ยวบินในประเทศมาใช้ระบบเดียวกันเมื่อเดือนพฤษภาคม 2026 ตามที่ ITmedia รายงาน ส่วน JAL ย้ายมาใช้ระบบบริการผู้โดยสารของ Amadeus ตั้งแต่เดือนพฤศจิกายน 2017

ข้อมูลอะไรหลุด และอะไรไม่หลุด (กรณี JAL)

JAL และ JTA แบ่งลูกค้าที่ได้รับผลกระทบเป็นสองกลุ่ม ครอบคลุมการจองเที่ยวบินที่ใช้รหัสเที่ยวบิน JL หรือ NU

ที่มา: ประกาศของ JAL และ JTA ตามที่ Aviation Wire, TRAICY และ Travel Voice รายงาน

• ไม่หลุด: เลขบัตรเครดิตและรหัสผ่าน
• ยังไม่พบการใช้ในทางมิชอบ: ทั้ง JAL และ Amadeus ยังไม่พบว่ามีการนำข้อมูลไปใช้
• ไม่กระทบการบิน: JAL ระบุว่าเที่ยวบินทำงานตามปกติ และ Amadeus ดำเนินมาตรการความปลอดภัยที่จำเป็นแล้ว
• ตัวเลขนับเป็นคน: Aviation Wire ระบุว่า 92,000 คือจำนวนคน ไม่ใช่จำนวนการจอง

"เกือบ 3 ปี" หมายความว่าอะไร

ช่วงวันที่ 10 ส.ค. 2023 ถึง 23 ก.ย. 2026 ที่ JAL ประกาศ คือช่วงที่การจองเที่ยวบินของ JAL และ JTA ซึ่งได้รับผลกระทบถูกเก็บอยู่ในระบบของ Amadeus TRAICY และ Aviation Wire ระบุชัดว่าไม่ใช่วันที่จอง วันที่ซื้อตั๋ว หรือวันเดินทาง และ Escudo Digital เขียนว่าช่วงนี้ไม่ได้พิสูจน์ว่ามีการเข้าถึงต่อเนื่องตลอดเวลา JAL ยังไม่เปิดเผยว่าการเข้าถึงเกิดขึ้นจริงเมื่อไร

ฝั่งเกาหลีใช้ถ้อยคำต่างออกไป MoneyToday และ ZDNet Korea รายงานว่า Korean Air ประเมิน "ช่วงที่เกิดเหตุ" ไว้ที่สิงหาคม 2023 ถึงกันยายน 2026 แต่เวลาที่แน่นอนยังอยู่ระหว่างตรวจสอบ ReadEval จึงไม่เขียนว่าผู้บุกรุกอยู่ในระบบนานเกือบ 3 ปี เพราะยังไม่มีแหล่งใดยืนยันเช่นนั้น

ZDNet Korea ตั้งข้อสังเกตเรื่องช่องว่างระหว่างช่วงเวลาที่ประเมินกับวันที่ลูกค้าได้รับแจ้ง และอ้างแหล่งข่าวด้านความปลอดภัยว่าการยืนยันตัวตนหลายขั้น (MFA) ของบัญชีนั้นอาจทำงานไม่ถูกต้อง แต่ข้อนี้ยังเป็นการคาดการณ์ ไม่ใช่ผลการสอบสวน

ทำไมรหัสการจองกับชื่อจึงสำคัญ

รหัสการจอง (booking reference หรือ PNR) คือรหัสตัวอักษรสั้น ๆ ที่สายการบินให้หลังจองเสร็จ สายการบินจำนวนมากใช้รหัสนี้คู่กับนามสกุลเป็นทางเข้าหน้าจัดการการจองโดยไม่ต้องล็อกอิน Candid Wueest นักวิจัยของ Symantec เคยอธิบายไว้ตั้งแต่ปี 2017 ว่ากับสายการบินส่วนใหญ่ ใครที่มีรหัสการจองและนามสกุลของผู้โดยสารสามารถ "ยกเลิกเที่ยวบิน เลื่อนไปวันอื่น หรือแก้ข้อมูลในบัญชีสะสมไมล์" ได้

ข้อมูลที่หลุดในรอบนี้จึงเป็นวัตถุดิบของการหลอกลวงที่ดูจริงมาก อีเมลหรือข้อความที่ขึ้นต้นด้วยชื่อคุณ บอกเที่ยวบินและวันเดินทางถูกต้อง แล้วแจ้งว่า "ต้องจ่ายค่าธรรมเนียมเพิ่ม" หรือ "ยืนยันพาสปอร์ตก่อนเช็กอิน" อ่านแล้วแยกจากของจริงได้ยาก Escudo Digital ชี้ว่าผู้ที่มีเบอร์โทรหรือเลขพาสปอร์ตด้วยจะสร้างข้อความหลอกได้น่าเชื่อยิ่งขึ้น

ฉันได้รับผลกระทบไหม

• ถ้าคุณเคยบิน JAL หรือ JTA: JAL จะติดต่อลูกค้าที่ได้รับผลกระทบเป็นรายบุคคล ช่วงที่เกี่ยวข้องคือการจองที่อยู่ในระบบระหว่าง 10 ส.ค. 2023 ถึง 23 ก.ย. 2026
• ถ้าคุณเคยบิน Korean Air หรือ Asiana: ทั้งสองสายการบินส่งอีเมลแจ้งลูกค้าที่ได้รับผลกระทบแล้ว และบอกว่าจะแจ้งอีกครั้งถ้าพบข้อมูลรายการอื่นหลุดเพิ่ม
• ถ้าคุณเคยบิน ANA: ANA ยังไม่ระบุขอบเขต และจะแจ้งลูกค้าเมื่อได้ข้อมูลที่ยืนยันแล้ว
• คนไทยเกี่ยวไหม: ยังไม่มีสายการบินใดเปิดเผยจำนวนผู้โดยสารแยกตามสัญชาติหรือประเทศ ReadEval จึงยืนยันไม่ได้ว่ามีผู้โดยสารไทยได้รับผลกระทบกี่คน แต่ผู้โดยสารไทยที่จองเที่ยวบินของสายการบินเหล่านี้ในช่วงดังกล่าวก็อยู่ในกลุ่มที่อาจได้รับผลกระทบเช่นเดียวกับผู้โดยสารชาติอื่น
• สายการบินอื่นที่ใช้ Amadeus: Amadeus มีสายการบินลูกค้าจำนวนมาก รวมถึงบางกอกแอร์เวย์สที่ Amadeus ประกาศเมื่อปี 2018 ว่าเซ็นสัญญาใช้ชุดระบบ Altéa แต่ ณ วันที่ 30 ต.ค. 2026 ยังไม่มีรายงานว่าสายการบินอื่นนอกจากสี่รายนี้ได้รับผลกระทบ การใช้ระบบเดียวกันไม่ได้แปลว่าโดนด้วย

ควรทำอะไรตอนนี้

1. ระวังข้อความที่รู้เรื่องเที่ยวบินของคุณ อีเมล SMS ข้อความในแอปแชต หรือโทรศัพท์ที่อ้างเป็นสายการบินแล้วบอกรายละเอียดการเดินทางถูกต้อง ไม่ได้แปลว่าเป็นของจริง JAL เตือนให้ระวังอีเมล โทรศัพท์ และเว็บไซต์ปลอมที่แอบอ้างเป็นกลุ่ม JAL ส่วน Korean Air ขอให้ไม่เปิดลิงก์หรือไฟล์แนบที่ไม่ชัดเจน และระวังข้อความที่ขอให้กรอกข้อมูลส่วนตัว
2. อย่ากดลิงก์จ่ายเงินหรือยืนยันข้อมูลจากข้อความ ถ้าข้อความบอกว่าการจองมีปัญหา ให้เปิดแอปของสายการบิน หรือพิมพ์ที่อยู่เว็บไซต์ทางการเอง แล้วเข้าไปดูการจองจากตรงนั้น
3. ถ้ามีคนโทรมา ให้วางสายแล้วโทรกลับเอง ใช้เบอร์จากเว็บไซต์ทางการของสายการบิน ไม่ใช่เบอร์ที่ผู้โทรให้ JAL และ JTA เปิดสายสอบถามเฉพาะเรื่องนี้ตั้งแต่ 29 ต.ค. 2026 เวลา 10:00–17:00 น. ตามเวลาญี่ปุ่น เว้นวันเสาร์ อาทิตย์ และวันหยุดราชการ

JAL / JTA สายสอบถามเรื่องข้อมูลการจอง
ในญี่ปุ่น: 0120-25-6050 หรือ 03-4332-7280
จากต่างประเทศ: +81-3-4332-7280

4. ถ้าคุณใช้รหัสผ่านบัญชีสะสมไมล์ซ้ำกับที่อื่น ให้เปลี่ยน JAL ระบุว่ารหัสผ่านไม่หลุดในเหตุการณ์นี้ ข้อนี้จึงเป็นการป้องกันทั่วไป ไม่ใช่สิ่งที่สายการบินสั่ง และถ้าบัญชีมีการยืนยันตัวตนสองขั้น (2FA) ให้เปิดไว้ ReadEval ยังไม่ได้ตรวจว่าโปรแกรมสะสมไมล์ของแต่ละสายการบินมีตัวเลือกนี้หรือไม่
5. รออีเมลแจ้งจากสายการบิน แต่ตรวจให้ดี อีเมลแจ้งเหตุจริงก็อาจถูกเลียนแบบได้ อีเมลแจ้งจริงไม่ควรขอให้คุณจ่ายเงินหรือกรอกเลขบัตร ถ้าไม่แน่ใจ ให้โทรถามผ่านเบอร์ทางการ

วิธีสังเกตข้อความหลอกที่ใช้ข้อมูลการจองจริง ReadEval เคยเขียนไว้ในข่าวที่สหภาพยุโรปเปิดสอบ Booking.com เรื่องข้อความหลอกให้จ่ายเงินผ่านข้อมูลการจองที่พัก หลักการเดียวกันใช้กับตั๋วเครื่องบินได้

เกี่ยวกับช่องโหว่ที่ heise รายงานหรือไม่

เมื่อวันที่ 13 ต.ค. 2026 สำนักข่าว heise online ของเยอรมนีรายงานว่าพบช่องโหว่ในระบบจองการเดินทางของ Amadeus ที่เปิดให้ดึงไฟล์หน่วยความจำของโปรแกรม (heap dump) ได้โดยไม่ต้องยืนยันตัวตน ไฟล์นั้นมีข้อมูลล็อกอินและโทเคนที่ใช้เข้าถึงระบบได้ ข้อมูลที่ heise ตรวจดูส่วนใหญ่เป็นการจองของ Lufthansa และ Condor มีทั้งชื่อ วันเกิด รหัสการจอง ช่องทางติดต่อ และข้อมูลพาสปอร์ต

Amadeus บอก heise ว่ารู้เรื่อง "ช่องโหว่ที่อาจเกิดขึ้น" ใน "สภาพแวดล้อมสำหรับแสดงผลการจองการเดินทาง" ตั้งแต่ 21 ก.ย. 2026 ข้อมูลการจองบางส่วนอาจถูกเข้าถึงได้ แต่ข้อมูลการชำระเงินเข้าถึงไม่ได้ ช่องโหว่แก้แล้ว และบริษัทเพิ่มการเฝ้าระวัง

BleepingComputer เขียนว่าช่องโหว่นี้ "ดูเหมือน" ถูกนำไปใช้โจมตีแล้ว แต่ไม่มีสายการบินหรือ Amadeus รายใดยืนยันว่าเหตุที่ JAL, ANA และสายการบินเกาหลีประกาศมาจากช่องโหว่เดียวกัน ประกาศของสายการบินไม่ได้พูดถึงช่องโหว่นี้เลย ReadEval จึงถือว่าความเชื่อมโยงยังไม่ได้รับการยืนยัน

แหล่งข่าวต่างกันตรงไหน

• ความหมายของช่วงเวลา: แหล่งข่าวญี่ปุ่นอธิบายว่าเป็นช่วงที่การจองอยู่ในระบบ ส่วนแหล่งข่าวเกาหลีเรียกว่าช่วงที่ประเมินว่าเกิดเหตุ และสำนักข่าวบางแห่งพาดหัวว่า "ถูกเจาะนาน 3 ปี" ReadEval ใช้คำอธิบายของ JAL ซึ่งเป็นต้นทางที่ละเอียดที่สุด
• วันที่ Amadeus รู้เรื่องช่องโหว่: BleepingComputer เขียนว่า Amadeus แถลงเรื่องช่องโหว่ในสภาพแวดล้อมแสดงผลการจองเมื่อ 1 ต.ค. 2026 ส่วน heise อ้างคำของ Amadeus ว่ารู้เรื่องเมื่อ 21 ก.ย. 2026 ReadEval ใช้วันที่ 21 ก.ย. ตามคำที่ Amadeus ให้ไว้กับ heise และไม่ได้พบแถลงการณ์ฉบับวันที่ 1 ต.ค. โดยตรง
• บริการของ ANA ที่หยุดไป: BleepingComputer ระบุว่า ANA หยุดบริการบางส่วนบนเว็บไซต์และแอปตั้งแต่ 21 ต.ค. แต่ดูเหมือนเกี่ยวกับภัยจากช่องโหว่ PHP2Shell ไม่ใช่เหตุของ Amadeus แหล่งข่าวญี่ปุ่นที่ ReadEval อ่านไม่ได้พูดถึงการหยุดบริการนี้
• จำนวนสายการบินที่ใช้ Amadeus: BleepingComputer เขียนว่า Amadeus มีลูกค้าสายการบินกว่า 400 แห่ง ZDNet Korea เขียนราว 200 แห่ง และ Amadeus เองระบุเมื่อปี 2018 ว่ามีลูกค้ากว่า 200 รายที่ทำสัญญาใช้ระบบบริการผู้โดยสาร ตัวเลขต่างกันน่าจะเพราะนับบริการคนละประเภท ReadEval จึงใช้คำว่า "หลายร้อยแห่ง"
• จำนวนสายการบิน: Escudo Digital พาดหัวว่า "สี่สายการบิน" แต่ในเนื้อข่าวนับ JTA ซึ่งเป็นบริษัทลูกของ JAL แยกไว้ด้วย ReadEval นับ JAL และ JTA เป็นกลุ่มเดียวกัน