โดย Rene Philippe Raymond Dubout · · อัปเดต ปี 2026 มีธนาคาร ฟินเทค และแพลตฟอร์มคริปโตถูกแฮ็กไปกี่แห่ง และมีเงินหลุดออกไปจริง ๆ เท่าไร? หลังจาก Crédit Mutuel Arkéa เสียเงินไปกว่า 100 ล้านยูโรในช่วงสุดสัปดาห์วันนักบุญทั้งหลาย (All Saints) ผมอยากได้คำตอบตรง ๆ สำหรับคำถามนี้ แต่หาไม่เจอสักหน้าที่ให้คำตอบได้ ผมจึงรวบรวมรายชื่อเอง: ทุกเหตุการณ์ที่มีความเสียหายทางการเงินในธนาคาร โบรกเกอร์ หรือฟินเทคที่ผมตรวจสอบได้ เหตุข้อมูลรั่วไหลในสถาบันการเงิน การแฮ็กคริปโตที่มีหลักฐานตั้งแต่ 5 ล้านดอลลาร์ขึ้นไป และข้อมูลรั่วไหลขนาดใหญ่ที่เป็นวัตถุดิบให้การฉ้อโกงทางการเงิน
กำลังมองหาใบอนุญาตคริปโตสวิสหรือบริษัท Swiss VASP ใช่ไหม? ดูบริการ ใบอนุญาตคริปโตสวิส ของเรา
ผลที่ได้คือราว 150 เหตุการณ์ในสิบเดือน จัดกลุ่มด้านล่างตามประเภทเป้าหมาย: ธนาคาร ฟินเทค บริษัทประกัน กระดานเทรดคริปโต บล็อกเชน กระเป๋าเงินคริปโต หน่วยงานรัฐ ผู้ให้บริการแก่ภาคการเงิน และบริษัททั่วไปที่แฟ้มข้อมูลของพวกเขาเป็นของขวัญชั้นดีสำหรับมิจฉาชีพ แต่ละกรณีตารางจะบอกว่ามีผู้ได้รับผลกระทบกี่คน มีเงินสูญหายหรือไม่ ถ้าไม่ใช่เงินแล้วเสียอะไรไป และผู้โจมตีเข้ามาได้อย่างไร
ภาพรวมไม่สวยเลย คริปโตอย่างเดียวเสียไปเกือบ 9 พันล้านดอลลาร์ ซึ่งเป็นสถิติสูงสุด และเกือบสามในสี่ของจำนวนนั้นหายไปในบ่ายวันเดียวที่ Binance ธนาคารเสียเงินน้อยกว่ามาก แต่เสียข้อมูลไปมหาศาล และเมื่อเอาทุกอย่างมาวางบนตารางเดียว สิ่งที่น่าสนใจกว่ายอดรวมก็ปรากฏขึ้น: เกือบทุกกรณีหน้าตาเหมือนกัน นั่นคือเรื่องที่ผมอยากพูดก่อน ตารางตามมาข้างหลัง สำหรับคนที่อยากตรวจสอบ หรืออยากดูว่าธนาคารของตัวเองอยู่ในรายชื่อหรือไม่
การแฮ็กธนาคารปี 2026 ในตัวเลข
- 8.73 พันล้านดอลลาร์ ถูกขโมยในโลกคริปโตจากการแฮ็ก 322 ครั้ง ณ วันที่ 30 ตุลาคม (DefiLlama) เป็นปีที่ทำสถิติ ส่วนเครื่องมือติดตามอื่นให้ตัวเลขสูงถึง 9.3 พันล้านดอลลาร์
- ราว 73% ของยอดนั้นหายไปในบ่ายวันเดียว: Binance วันที่ 29 ตุลาคม 6.36 พันล้านดอลลาร์ Binance แห่งเดียวเสียมากกว่าทั้งอุตสาหกรรมคริปโตที่เหลือรวมกันในสิบเดือน
- ราว 85% ของมูลค่าการแฮ็กคริปโตปี 2026 เชื่อมโยงกับเกาหลีเหนือ (TRM Labs สิ้นเดือนตุลาคม)
- 8 เหตุการณ์ที่มีความเสียหายทางการเงินในธนาคาร โบรกเกอร์ และฟินเทค ตั้งแต่ยูเครนถึงบราซิล อินเดีย ฮ่องกง และฝรั่งเศส ไม่ใช่ทุกกรณีที่เป็นเงินของสถาบันเอง: ที่ Futu อาชญากรถอนเงินจนบัญชีลูกค้าเกลี้ยง ส่วนที่ Upbound ข้อมูลที่ถูกขโมยถูกนำไปทำสัญญาเช่าปลอม
- ราว 150 เหตุการณ์ที่มีหลักฐานทั้งหมด: 70 กรณียืนยันโดยเป้าหมายหรือหน่วยงานรัฐ 22 กรณียืนยันบางส่วน 13 กรณีเป็นคำกล่าวอ้างที่ยังไม่ยืนยัน และ 46 กรณีเป็นการขโมยคริปโตที่มองเห็นได้บนบล็อกเชน
- 6.29 ล้านดอลลาร์: ต้นทุนเฉลี่ยของข้อมูลรั่วไหลหนึ่งครั้งในภาคบริการทางการเงิน (IBM, 2026) เทียบกับ 4.99 ล้านดอลลาร์ในทุกอุตสาหกรรม
ทุกกรณีแฮ็กเหล่านี้มีอะไรเหมือนกัน?
ผมเป็นนักกฎหมาย ไม่ใช่วิศวกรความปลอดภัย จึงจะไม่แกล้งทำเป็นอธิบายว่า validator key ทำงานอย่างไร แต่ไม่ต้องเป็นวิศวกรก็อ่านรายชื่อ 150 เหตุการณ์แล้วสังเกตได้ว่าเรื่องเดิมวนกลับมาซ้ำแล้วซ้ำเล่า นี่คือสิ่งที่ผมเห็น
1. ไม่มีใครงัดตู้เซฟ: มีคนยื่นกุญแจให้
ลองดูว่าผู้โจมตีเข้ามาได้อย่างไร: รหัสเข้าระบบที่ถูกขโมย private key ที่ถูกคัดลอกจากแล็ปท็อปที่ติดมัลแวร์ พนักงานที่ถูกโทรหาโดยฝ่ายซัพพอร์ตปลอม คำขอปลอมที่ดูเหมือนมาจากตำรวจ ที่ Binance ทุกอย่างเริ่มจากแล็ปท็อปของนักพัฒนาคนหนึ่ง Revolut ส่งมอบแฟ้มข้อมูลลูกค้าไปหลังได้รับคำขอปลอมในนามเจ้าหน้าที่บังคับใช้กฎหมาย ซึ่งส่งมาจากอีเมลของหน่วยงานรัฐที่ถูกยึด ผู้ร่วมพัฒนาของ Drift ถูกหว่านล้อมให้ลงนามธุรกรรมล่วงหน้า Jack Henry ซึ่งดูแลระบบหลักของธนาคาร (core banking) ให้ธนาคารกว่า 7,200 แห่ง ถูกโจมตีผ่านโทรศัพท์สายเดียว ที่ธนาคารสหกรณ์ Bhavnagar ในอินเดีย ผู้โจมตีแค่ล็อกอินเข้าระบบ core banking ด้วยรหัสของผู้ดูแลระบบ พูดอีกอย่างคือ ประตูห้องนิรภัยไม่ได้พัง ปัญหาอยู่ที่คนถือกุญแจ
นี่จึงเป็นเหตุผลที่ผมบอกว่าทั้งหมดนี้เป็นปัญหาด้านไอทีก่อนจะเป็นปัญหาธนาคารหรือปัญหาคริปโต เงินอาจอยู่ในธนาคาร ในฟินเทค หรือบนบล็อกเชน แต่ประตูทางเข้าคือคอมพิวเตอร์และคนที่นั่งอยู่หน้าจอเสมอ
2. จุดอ่อนอยู่ที่บริษัทของคนอื่น
Arkéa ถูกเจาะผ่านผู้ให้บริการภายนอก MGP เสีย IBAN ของสมาชิกผ่านผู้ให้บริการด้านเทคนิค Citizens Financial และ Frost Bank ถูกโจมตีผ่านผู้ขายรายเดียวกัน กองทุนบำนาญสวิสราวสิบกว่าแห่ง รวมถึง Publica ถูกเปิดเผยข้อมูลผ่านบริษัทซอฟต์แวร์เพียงรายเดียว ลูกค้าของ Ledger และ Trezor ถูกเปิดเผยข้อมูลผ่านพาร์ตเนอร์อีคอมเมิร์ซและบริษัทขนส่ง และตัวแทนจำหน่ายรายหนึ่งขายอุปกรณ์ Ledger ที่ถูกดัดแปลง ซึ่งดูดเงินจากกระเป๋าของเจ้าของจนหมด Verizon ระบุว่าบุคคลภายนอกเกี่ยวข้องใน 34% ของการเจาะระบบในภาคการเงิน และ Black Kite พบว่า 54% ของผู้ให้บริการ 140 รายที่ภาคการเงินใช้มากที่สุดมีช่องโหว่ที่รู้กันว่าถูกใช้โจมตีจริง ธนาคารจะทุ่มเงินมหาศาลให้ระบบความปลอดภัยของตัวเองก็ได้ แต่จะปลอดภัยได้เท่ากับผู้ให้บริการที่ถูกที่สุดที่ต่อเข้ากับระบบเท่านั้น
3. รถหลบหนีคือคริปโต
แม้เหยื่อจะเป็นธนาคารแบบดั้งเดิม เงินก็ออกไปทางคริปโต ตามข้อมูลของผู้สืบสวนที่ติดตามบนบล็อกเชน เงินของ Arkéa ถูกส่งไปยังบัญชีบนกระดานเทรดที่เปิดด้วยตัวตนปลอม แล้วฟอกผ่าน stablecoin, ether และ Monero ที่ Bhavnagar เงินผ่านบัญชีม้าราว 135 บัญชีก่อนจะไปจบที่คริปโต stablecoin โอนได้ในไม่กี่นาที ตลอด 24 ชั่วโมง ข้ามพรมแดน ซึ่งเป็นสิ่งที่ขโมยต้องการพอดี ผมไม่ได้ต่อต้านคริปโต ผมให้คำปรึกษาธุรกิจคริปโตด้วยซ้ำ ผมแค่บอกว่าธนาคารที่ถูกดูดเงินได้ในวันอาทิตย์ กับ stablecoin ที่ชำระราคาได้ในวันอาทิตย์ เป็นคู่ที่อันตราย
4. แฮ็กเกอร์ไม่มีวันหยุดสุดสัปดาห์
การขโมยเงินจากธนาคารหลายกรณีเริ่มในวันหยุดสุดสัปดาห์: Arkéa ในวันอาทิตย์ของวันนักบุญทั้งหลาย BTG Pactual ในวันอาทิตย์ A-Bank ในคืนวันอาทิตย์ แน่นอนว่าไม่ใช่ทุกกรณี: Binance ซึ่งใหญ่ที่สุดของปี เกิดในบ่ายวันพฤหัสบดี แต่ธนาคารปิดวันเสาร์อาทิตย์ แฮ็กเกอร์ไม่ปิด คนเฝ้าระบบน้อยลง การตัดสินใจช้าลง และพอถึงเช้าวันจันทร์ เงินก็ข้ามบล็อกเชนไปแล้วสามสาย คำถามที่ผมจะถามผู้บริหารธนาคารทุกคนนั้นง่ายมาก: ใครหยุดการโอนเงินที่เป็นการฉ้อโกงได้ในคืนวันอาทิตย์?
5. รู้ตัวช้า เสียเงินเร็ว
Shinhan Bank ใช้เวลา 15 ชั่วโมงกว่าจะตรวจพบการโจมตี KB Kookmin บันทึกไว้ตอนแรกว่าเป็นทราฟฟิกปกติ พอร์ทัลผู้ถือกรมธรรม์ของ Aflac เปิดให้ผู้บุกรุกเข้าออกได้นานสิบวัน ข้อมูลของ Standard Bank ไหลออกไปตลอดสามสัปดาห์ และความผิดพลาดในการเขียนโค้ดที่ PayPal ทำให้หมายเลขประกันสังคมถูกเปิดเผยนานกว่าห้าเดือนในปี 2025 ก่อนที่จะมีใครสังเกตเห็น ผู้โจมตีใช้เวลาเป็นนาที เหยื่อใช้เวลาเป็นวัน
6. ปฏิทรรศน์ของ KYC: กฎหมายสร้างหีบสมบัติให้โจร
ในฐานะนักกฎหมาย ข้อนี้คือข้อที่ผมเห็นว่าย้อนแย้งที่สุด กฎระเบียบบังคับให้ทุกธนาคาร ฟินเทค และกระดานเทรดเก็บสำเนาหนังสือเดินทาง เลขประจำตัว ที่อยู่ และข้อมูลบัญชีธนาคาร นี่คือ KYC (การรู้จักลูกค้า) แฟ้มเหล่านี้ถูกเก็บไว้โดยบริษัทเอง หรือที่เกิดขึ้นบ่อยขึ้นเรื่อย ๆ คือโดยผู้ให้บริการตรวจสอบตัวตน ในปี 2026 ผู้โจมตีพุ่งตรงไปที่หีบสมบัติเหล่านี้: IDScan.net บริษัทตรวจสอบตัวตน (ข้อมูลใบขับขี่ 153 ล้านรายการ) ทะเบียนบัญชีธนาคารแห่งชาติของฝรั่งเศส FICOBA ทะเบียนราษฎรของเดนมาร์ก และศูนย์รับฝากหลักทรัพย์ของไทย ซึ่งเลขประจำตัวประชาชน เลขบัญชีซื้อขายหลักทรัพย์ และเลขบัญชีธนาคารของนักลงทุนราว 200,000 คนถูกเปิดเผย นักวิจัยยังรายงานถึงฐานข้อมูลตัวตนกว่า 3 พันล้านรายการที่เชื่อมโยงกับบริษัทตรวจสอบตัวตน IDMerit ซึ่งบริษัทโต้แย้ง ที่ Revolut สิ่งที่ผู้โจมตีต้องการคือแฟ้มข้อมูลตัวตนของลูกค้าที่ถือคริปโตจำนวนมาก พูดอีกอย่างคือ กฎที่เขียนขึ้นเพื่อต่อสู้กับอาชญากรรมทางการเงิน ได้สร้างรายการช้อปปิ้งที่ดีที่สุดที่มิจฉาชีพจะฝันถึงได้
7. ข้อมูลรั่ววันนี้ คือการฉ้อโกงวันพรุ่งนี้
เป้าหมายส่วนใหญ่ในรายชื่อนี้เสียข้อมูล ไม่ใช่เงิน อย่าเพิ่งวางใจ IBAN ที่รั่วไหลคือการหักบัญชีอัตโนมัติปลอมที่รอวันเกิด เลขประจำตัวคือสินเชื่อในชื่อของคุณ เบอร์โทรศัพท์กับวันเกิดคือ SIM swap หรือสายจาก “เจ้าหน้าที่ธนาคารของคุณ” Upbound Group แสดงให้เห็นห่วงโซ่นี้ชัดเจน: ข้อมูลที่รั่วไหลนำไปสู่สัญญาเช่าปลอมเป็นระลอก มูลค่าราว 13 ล้านดอลลาร์ ลูกค้าของ Betterment ได้รับข้อเสนอคริปโตปลอมที่ส่งมาจากเครื่องมือการตลาดของบริษัทเองที่ถูกยึด
และยังมีสิ่งที่แย่กว่าการฉ้อโกง ที่อยู่บ้านที่ผูกกับคนที่รู้กันว่าถือคริปโต คือคำเชิญให้มาข่มขู่กรรโชก ในฝรั่งเศส สื่อรายงานการลักพาตัวที่เกี่ยวกับคริปโตหลายสิบกรณีในปีนี้ และผู้สืบสวนชี้ว่าแฟ้มลูกค้าที่รั่วไหลเป็นหนึ่งในวิธีที่อาชญากรใช้เลือกเหยื่อ นี่คือเหตุผลที่ข้อมูลรั่วไหลของ Revolut, Ledger และ Trezor มีความสำคัญ แม้จะไม่มีเงินหลุดออกจากบริษัทเหล่านั้นเลย
8. AI ทำให้กลโกงเก่าเร็วขึ้น ไม่ได้ทำให้ใหม่ขึ้น
ปัญญาประดิษฐ์ไม่ได้คิดค้นวิธีใหม่ในการเจาะธนาคาร มันแค่ให้โจรคนเดียวมีประสิทธิภาพเท่าแก๊งทั้งแก๊ง Acronis พบแฮ็กเกอร์คนหนึ่งใช้ AI agent สิบสองตัวโจมตีบริษัทในสิบเอ็ดประเทศ (กรณี “BOSSAI”) ในระลอกการโจมตีที่เกาหลีซึ่งกระทบสถาบันการเงิน 16 แห่ง หน่วยงานกำกับกำลังสอบสวนว่ามีการใช้ AI หรือไม่ และที่ธนาคารเล็ก ๆ แห่งหนึ่งในอเมริกา ข้อมูลรั่วมาจากข้างใน: พนักงานคนหนึ่งวางข้อมูลลูกค้าลงในแอป AI ที่ธนาคารไม่ได้อนุมัติ
9. ใครต้องจ่าย ขึ้นอยู่กับว่าเงินของคุณอยู่ที่ไหน
เมื่อธนาคารถูกปล้น ธนาคารมักเป็นฝ่ายรับความเสียหาย: A-Bank คืนเงินให้ลูกค้า Arkéa ระบุว่าทรัพย์สินของลูกค้าไม่ได้รับผลกระทบ Polymarket คืนเงินให้ผู้ใช้ กระดานเทรดรายใหญ่ก็ทำแบบเดียวกันได้: Binance ระบุว่าได้เติมเงินคืนแล้วราว 98% ของที่ถูกขโมย แต่ถ้าลงไปตามห่วงโซ่อาหาร นอกจากส่วนที่ถูกอายัดไว้ได้ ความเสียหายตกอยู่กับคนที่ถือเหรียญ: เจ้าของ Coldcard และอุปกรณ์ Ledger ที่ถูกดัดแปลง หรือผู้ถือรายหนึ่งที่เชื่อเจ้าหน้าที่ซัพพอร์ต Trezor ปลอม และเสียไปราว 283 ล้านดอลลาร์ในครั้งเดียว บัญชีธนาคารคือสิทธิเรียกร้องต่อสถาบันที่มีงบดุลและหน่วยงานกำกับอยู่ข้างหลัง ส่วน private key คือเงินสดในกระเป๋าคุณ
เป้าหมายแต่ละประเภทเสียอะไรไป
- ธนาคาร เสียเงินในไม่กี่กรณีที่หวือหวา และเสียข้อมูลในอีกหลายกรณี
- ฟินเทค ผู้ให้กู้ และโบรกเกอร์ ส่วนใหญ่เสียข้อมูล และเสียเงินผ่านบัญชีลูกค้าที่ถูกยึด (Futu, Kontigo)
- บริษัทประกัน เสียข้อมูลครั้งละหลายล้านรายการ บ่อยครั้งพ่วงข้อมูลบัญชีธนาคารไปด้วย
- กระดานเทรดคริปโต โปรโตคอล และกระเป๋าเงินคริปโต เสียเงินเป็นพันล้าน เพราะที่นั่นตัวเงินเองคือกุญแจ
- รัฐบาลและหน่วยงานราชการ ไม่ได้เสียเงิน แต่ทำข้อมูลที่ทดแทนยากที่สุดรั่วไหล: เลขประจำตัวประชาชน เลขผู้เสียภาษี และทะเบียนบัญชีธนาคาร
- ผู้ให้บริการ คือประตูหลังที่เปิดเข้าไปหาทุกคน
- บริษัททั่วไป (โทรคมนาคม ร้านค้าปลีก สายการบิน โรงพยาบาล) ทำ IBAN และเลขหนังสือเดินทางรั่วไหล ซึ่งมิจฉาชีพนำไปใช้เล่นงานธนาคารต่อ
อีกข้อสังเกตหนึ่ง ฝรั่งเศสโดดเด่นมากในเหตุการณ์ที่บันทึกไว้ที่นี่: ANTS, FICOBA, DGFiP, CAF, Éducation nationale, Almerys, MGP, ManoMano และ Arkéa ทั้งหมดในสิบเดือน สวิตเซอร์แลนด์ก็ไม่ได้ขาวสะอาด: Sunrise กองทุนบำนาญที่โดนผ่าน PK Softech และ Swiss Bitcoin Pay และเอเชียก็ไม่รอด: ศูนย์รับฝากหลักทรัพย์ของไทย MoneySmart ในสิงคโปร์และฮ่องกง และผู้บริหารจัดการด้านประกันที่ให้บริการลูกค้าของ HSBC Life และ Singlife ในสิงคโปร์ ไม่มีใครปลอดภัย บางคนแค่ประมาทน้อยกว่า
รายชื่อการแฮ็กและข้อมูลรั่วไหลปี 2026 ทั้งหมด แยกตามประเภทเป้าหมาย
วิธีอ่านตาราง: จำนวนเงินเป็นยอดรวมก่อนหัก (ก่อนการอายัดหรือการคืนเงิน) เว้นแต่ระบุไว้เป็นอย่างอื่น “ยืนยันแล้ว” หมายถึงยืนยันโดยเป้าหมายหรือหน่วยงานรัฐ “ยืนยันบางส่วน” หมายถึงเหตุการณ์ได้รับการยืนยันแต่ตัวเลขมาจากผู้โจมตีหรือสื่อ “ยังไม่ยืนยัน” หมายถึงเป็นเพียงคำกล่าวอ้างของผู้โจมตีหรือการประมาณการ “On-chain” หมายถึงการขโมยมองเห็นได้บนบล็อกเชน และตัวเลขมาจากเครื่องมือติดตาม เช่น DefiLlama, CertiK และ PeckShield “ไม่ระบุ” หมายถึงแหล่งข้อมูลไม่ได้บอกว่าผู้โจมตีเข้ามาได้อย่างไร ตัวเลขแตกต่างกันไปตามแหล่งข้อมูล หากเป็นเช่นนั้นจะแสดงเป็นช่วงตัวเลข
1. ธนาคาร
ธนาคารพาณิชย์ ธนาคารสหกรณ์ และธนาคารเอกชน
| วันที่ (2026) | เป้าหมาย | ผู้ได้รับผลกระทบ | เงินที่สูญเสีย | สิ่งที่สูญเสีย | วิธีการ | สถานะ |
|---|---|---|---|---|---|---|
| 15–16 ก.พ. (อาทิตย์–จันทร์) | A-Bank (ยูเครน) | ไม่เปิดเผย | ไม่เปิดเผย; ธนาคารคืนเงินให้ทั้งหมดแล้ว | เงิน | หักเงินจากบัญชีลูกค้าโดยไม่ได้รับอนุญาต (“การโจมตีรูปแบบใหม่”) | ยืนยันแล้ว |
| 22 มี.ค. (วันอาทิตย์) | BTG Pactual (บราซิล) | ไม่เปิดเผย | ≈ 100 ล้านเรียลถูกโอนออก; ยังสูญหาย 20–40 ล้านเรียล | เงิน | ระบบชำระเงินทันที Pix ถูกนำไปใช้โดยมิชอบ; ระงับ Pix จนถึงวันจันทร์ | ยืนยันบางส่วน |
| รายงาน 19 เม.ย. | Bhavnagar District Co-op Bank (อินเดีย) | ไม่เปิดเผย | 73.4 ล้านรูปี (อายัดได้ ≈ 20 ล้านรูปี) | เงิน | เข้าระบบ core banking ด้วยข้อมูลรับรองของผู้ดูแลระบบ; เปลี่ยนหมายเลขโทรศัพท์; โอนเงินไปยังบัญชีม้า ≈ 135 บัญชี แล้วแปลงเป็นคริปโต | ยืนยันแล้ว |
| 15–17 ต.ค. | Central Bank of India (อินเดีย) | ไม่เปิดเผย | 139.6 ล้านรูปี | เงิน | เจาะระบบ core banking แล้วต่อไปยังเซิร์ฟเวอร์รับส่งข้อความระหว่างธนาคาร SFMS ที่ใช้ร่วมกัน; โอนเงินฉ้อโกง 187 รายการ | ยืนยันบางส่วน |
| 1–2 พ.ย. (อาทิตย์–จันทร์ วันนักบุญทั้งปวง) | Crédit Mutuel Arkéa (ฝรั่งเศส) | เงินของธนาคารเอง; ทรัพย์สินของลูกค้าไม่ได้รับผลกระทบ การโอนบางรายการล่าช้า | ธนาคารไม่เปิดเผยตัวเลข; มีรายงาน ≈ 118 ล้านยูโร / 133 ล้านดอลลาร์ | เงิน | เจาะเข้ามาผ่านผู้ให้บริการภายนอก; โอนเงินไปยังบัญชีศูนย์ซื้อขายที่เปิดด้วยตัวตนปลอม; ฟอกเงินผ่าน stablecoin (เหรียญที่ตรึงมูลค่า), ETH และ Monero | ยืนยันบางส่วน |
| ก.พ.–เม.ย. | Standard Bank & Liberty (แอฟริกาใต้) | ไม่ระบุ | ไม่มีรายงาน; เรียกค่าไถ่ 1 BTC | ข้อมูลลูกค้า หมายเลขบัตรบางส่วน (อ้างว่า 1.2 TB) | ขโมยข้อมูลต่อเนื่อง 3 สัปดาห์ จากนั้นเรียกค่าไถ่และปล่อยข้อมูลทุกวัน | ยืนยันบางส่วน |
| มี.ค. | Lloyds Banking Group (สหราชอาณาจักร) | ลูกค้าสูงสุด 446,915 ราย (ปรับจาก 447,936) | ไม่มี | รายการธุรกรรมและหมายเลข National Insurance แสดงให้ลูกค้ารายอื่นเห็น | ระบบไอทีขัดข้อง ไม่ใช่การโจมตี | ยืนยันแล้ว |
| 3 เม.ย. | Awa Bank (ญี่ปุ่น) | 27,745 รายการ | ไม่มีรายงาน | ข้อมูลลูกค้าและผู้ถือหุ้น | การเข้าถึงโดยมิชอบ | ยืนยันแล้ว |
| 20–22 เม.ย. | Citizens Financial & Frost Bank (สหรัฐฯ) | Frost ยืนยัน 200,271 ราย; Citizens อ้าง 3.4 ล้านราย | ไม่มีรายงาน | หมายเลขประกันสังคมและเลขประจำตัวผู้เสียภาษี | ผู้ให้บริการที่ใช้ร่วมกัน (Sefas) ถูกเจาะ; กลุ่ม Everest | ยืนยันบางส่วน |
| 7 พ.ค. | Community Bank (PA/OH/WV, สหรัฐฯ) | ไม่เปิดเผย | ไม่มีรายงาน | ชื่อ วันเกิด หมายเลขประกันสังคม | พนักงานใช้แอป AI ที่ไม่ได้รับอนุมัติ | ยืนยันแล้ว |
| 16–19 มิ.ย. | River Bank & Trust (สหรัฐฯ) | ยังไม่ทราบ | ไม่เปิดเผย | ข้อมูล (ยังไม่ทราบขอบเขต) | แรนซัมแวร์ร่วมกับการขโมยข้อมูลออกไป | ยืนยันแล้ว |
| 27 ก.ย.–ต.ค. | KB Kookmin Bank (เกาหลีใต้) | 2,210 คน | ไม่มีรายงาน | ข้อมูลส่วนบุคคล | การโจมตีถูกบันทึกในตอนแรกว่าเป็นทราฟฟิกปกติ | ยืนยันแล้ว |
| 28 ก.ย. | Shinhan Bank (เกาหลีใต้) | 25,727 รายการ | ไม่มีรายงาน | ข้อมูลการสอบถามสินเชื่อ | เจาะระบบสอบถามสินเชื่อ; ใช้เวลา 15 ชั่วโมงกว่าจะตรวจพบ | ยืนยันแล้ว |
| ถึง 14 ต.ค. | บริษัทการเงินเกาหลี 16 แห่ง (BNK, Hana, ธนาคารออมทรัพย์, Hyundai Capital…) | ≈ 100,000 รายการ | ไม่มีรายงาน | ข้อมูลลูกค้า | การโจมตีเป็นระลอกอย่างประสานกันผ่านเครื่องมือบนมือถือและเครื่องมือขายของพนักงาน; หน่วยงานกำกับกำลังสอบสวนว่ามี AI เกี่ยวข้องหรือไม่; พบการสแกนจากช่วง IP ของเกาหลีเหนือ | ยืนยันแล้ว |
2. ฟินเทค สถาบันการชำระเงิน ผู้ให้กู้ และโบรกเกอร์
นีโอแบงก์ บริษัทชำระเงิน ผู้ให้กู้ออนไลน์ โบรกเกอร์ และแพลตฟอร์มของบริษัทเหล่านี้
| วันที่ (2026) | เป้าหมาย | ผู้ได้รับผลกระทบ | เงินที่สูญเสีย | สิ่งที่สูญเสีย | วิธีการ | สถานะ |
|---|---|---|---|---|---|---|
| 29 ต.ค. (เปิดเผย 3 พ.ย.) | MoneySmart แพลตฟอร์มเปรียบเทียบผลิตภัณฑ์การเงิน (สิงคโปร์ / ฮ่องกง) | ไม่เปิดเผย | ไม่มีรายงาน | เลขประจำตัว ช่วงรายได้ ผลิตภัณฑ์การเงินที่ถือครอง | ผู้บุกรุกคัดลอกข้อมูลลูกค้า | ยืนยันแล้ว |
| 5 ม.ค. | Kontigo นีโอแบงก์ด้าน stablecoin (สหรัฐฯ / ละตินอเมริกา) | ผู้ใช้มากกว่า 1,000 ราย | 340,905 ดอลลาร์ (สัญญาว่าจะคืนเงิน) | เงิน (ยอดคงเหลือ stablecoin) | การเข้าถึงโดยไม่ได้รับอนุญาตดูดยอดเงินของผู้ใช้ออกไป | ยืนยันแล้ว |
| ปลาย มิ.ย.–ก.ค. | ลูกค้า Futu Securities (ฮ่องกง) | ลูกค้ามากกว่า 20 ราย | มากกว่า 4 ล้านดอลลาร์ฮ่องกง | เงินของลูกค้า (หลักทรัพย์ถูกขาย) | SMS ฟิชชิง (“ภาษีหัก ณ ที่จ่ายของสหรัฐฯ”); บัญชีลูกค้าถูกยึด หลักทรัพย์ถูกขายเพื่อนำเงินไปซื้อหุ้นราคาต่ำ (penny stock) | ยืนยันบางส่วน |
| ไตรมาส 2 | Upbound Group: Acima, Rent-A-Center (สหรัฐฯ) | ไม่เปิดเผย | ≈ 13 ล้านดอลลาร์ (ความเสียหายของบริษัท) | ข้อมูลลูกค้า แล้วตามด้วยเงิน | นำข้อมูลลูกค้าที่ถูกขโมยไปทำสัญญาเช่าปลอม | ยืนยันแล้ว |
| ม.ค.–ก.พ. | Figure Technology ผู้ให้กู้ (สหรัฐฯ) | ≈ 967,000 บัญชี | ไม่มีรายงาน | ข้อมูลผู้ยื่นขอสินเชื่อ | พนักงานถูกฟิชชิง; ShinyHunters ปล่อยข้อมูล | ยืนยันแล้ว |
| 7 พ.ค. | Heights Finance ผู้ให้สินเชื่อผู้บริโภค (สหรัฐฯ) | 1.22 ล้านคน | ไม่มีรายงาน | ข้อมูลส่วนบุคคล | การเข้าถึงเครือข่ายโดยไม่ได้รับอนุญาต | ยืนยันแล้ว |
| 4–5 ก.ย. | DriveWealth โครงสร้างพื้นฐานด้านนายหน้าซื้อขายหลักทรัพย์ (สหรัฐฯ) | 2.5–3.6 ล้าน | ไม่มีรายงาน | ชื่อ หมายเลขประกันสังคม ข้อมูลบัญชีและบัตร | การบุกรุก; ข้อมูลถูกนำออกไป | ยืนยันแล้ว |
| 12 ก.ย. | Revolut (สหภาพยุโรป / สหราชอาณาจักร; ผู้เสียหายส่วนใหญ่อยู่ในสวิตเซอร์แลนด์และฝรั่งเศส) | ≈ 680 ราย (ลูกค้าที่ถือคริปโตมูลค่าสูง) | ไม่มีเงินถูกขโมย; เรียกค่าไถ่ 3 ล้านดอลลาร์ | ไฟล์ยืนยันตัวตน (KYC – การยืนยันตัวตนลูกค้า) | คำขอข้อมูลปลอมในนามหน่วยงานบังคับใช้กฎหมาย ส่งจากโดเมนอีเมลของรัฐบาลที่ถูกยึด | ยืนยันบางส่วน |
| 16–20 ต.ค. | IwaiCosmo Securities (ญี่ปุ่น) | 4,975 คน | คำสั่งซื้อขายปลอมใน 7 บัญชี | ข้อมูลส่วนบุคคล | ผู้รับจ้างภายนอก (outsourcing) ถูกเจาะ | ยืนยันแล้ว |
| 17–28 ต.ค. | Daishin Securities, Mirae Asset (เกาหลีใต้) | Daishin 38,490 ราย; รายอื่นไม่ระบุ | ไม่มีรายงาน | ข้อมูลการเปิดบัญชี | มีการเข้าถึงเซิร์ฟเวอร์เปิดบัญชีออนไลน์และระบบ groupware | ยืนยันแล้ว |
| ม.ค. | Betterment (สหรัฐฯ) | 1.4 ล้านบัญชี | ไม่มีรายงาน | ข้อมูลติดต่อ; มีการส่งข้อความคริปโตปลอมถึงลูกค้า | เครื่องมือการตลาดถูกยึด; วิศวกรรมสังคม (social engineering) | ยืนยันแล้ว |
| 6–7 ก.พ. | BridgePay Network Solutions เกตเวย์ชำระเงิน (สหรัฐฯ) | ร้านค้าทั่วประเทศ | ไม่ได้ประเมินมูลค่า (ร้านค้าต้องรับเงินสดเท่านั้น) | บริการชำระเงิน | แรนซัมแวร์ | ยืนยันแล้ว |
| 11 มี.ค. | Verifone เครื่องรับชำระเงิน (อิสราเอล / สหรัฐฯ) | ไม่เปิดเผย | ไม่มีรายงาน | อ้างว่าทำให้ระบบหยุดชะงัก; Verifone ปฏิเสธ | กลุ่ม Handala ที่เชื่อมโยงกับอิหร่านเป็นผู้อ้าง | ยังไม่ยืนยัน |
3. ประกันภัย
บริษัทประกันชีวิต ประกันสุขภาพ และประกันทรัพย์สิน รวมถึงแพลตฟอร์มของบริษัทเหล่านี้
| วันที่ (2026) | เป้าหมาย | ผู้ได้รับผลกระทบ | เงินที่สูญเสีย | สิ่งที่สูญเสีย | วิธีการ | สถานะ |
|---|---|---|---|---|---|---|
| เปิดเผย 24 ต.ค. | Alliance Medinet ผู้บริหารสวัสดิการสุขภาพให้ HSBC Life, Singlife, Income Insurance (สิงคโปร์) | ≈ 110,000 ราย | ไม่มีรายงาน | ข้อมูลส่วนบุคคลของสมาชิก | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 3 ม.ค. | Prosura (ออสเตรเลีย) | ไม่ระบุ | ไม่มีรายงาน | ข้อมูลภายใน; จากนั้นลูกค้าถูกฟิชชิง | การบุกรุกระบบภายใน | ยืนยันแล้ว |
| 16–17 มี.ค. | AssuranceAmerica (สหรัฐฯ) | 1.1–7.0 ล้านคน | ไม่มีรายงาน | ไฟล์ข้อมูลส่วนบุคคล | บัญชีเข้าระบบของพนักงานหนึ่งรายถูกเจาะ; ไฟล์ถูกคัดลอก | ยืนยันแล้ว |
| ≈ 17 เม.ย. | Canada Life (แคนาดา) | ยืนยัน 70,000 ราย; อ้าง 5.5 ล้านราย | ไม่มีรายงาน | ข้อมูลลูกค้า | บัญชีพนักงาน; ส่งออกข้อมูลจำนวนมากจาก Salesforce (ShinyHunters) | ยืนยันบางส่วน |
| ≈ 17 เม.ย. | Kemper Corporation (สหรัฐฯ) | อ้างมากกว่า 13 ล้านรายการ | ไม่มีรายงาน | ข้อมูลลูกค้า (อ้างว่า 29 GB) | ShinyHunters อ้าง | ยังไม่ยืนยัน |
| 15–25 มิ.ย. | Aflac Life Insurance Japan | ลูกค้าและตัวแทน 4.38 ล้านราย | ไม่มีรายงาน | ข้อมูลผู้ถือกรมธรรม์ รวมถึงข้อมูลบัญชีธนาคาร | เข้าถึงพอร์ทัลผู้ถือกรมธรรม์ได้นาน 10 วัน | ยืนยันแล้ว |
| ต้น ส.ค. | Mutuelle Générale de Prévoyance, MGP (ฝรั่งเศส) | 198,127 คน | ไม่มีรายงาน | ชื่อ; IBAN (เลขบัญชีธนาคารระหว่างประเทศ) 133,018 รายการ | ผู้ให้บริการด้านเทคนิคถูกเจาะ; ข้อมูลถูกเผยแพร่ | ยืนยันแล้ว |
| 23–25 พ.ค. | Almerys แพลตฟอร์มประกันสุขภาพของ Alan, MGEN, AG2R… (ฝรั่งเศส) | มากกว่า 15 ล้านคน | ไม่มีรายงาน | ข้อมูลสถานะบุคคล วันเกิด หมายเลขประกันสังคม | ไม่ระบุรายละเอียด | ยืนยันบางส่วน |
4. ศูนย์ซื้อขายคริปโตและบริษัทชำระเงินคริปโต
ศูนย์ซื้อขายแบบรวมศูนย์ ผู้ให้บริการประมวลผลการชำระเงินคริปโต และเกตเวย์ชำระเงิน
| วันที่ (2026) | เป้าหมาย | ผู้ได้รับผลกระทบ | เงินที่สูญเสีย | สิ่งที่สูญเสีย | วิธีการ | สถานะ |
|---|---|---|---|---|---|---|
| 29 ต.ค. | Binance | ไม่เปิดเผย | 6.3–6.36 พันล้านดอลลาร์; Binance เติมคืนแล้ว ≈ 98% (4 พ.ย.) | คริปโต | แล็ปท็อปของทีม DevOps → service container → การถอนเงิน; เกาหลีเหนือ (FBI) | On-chain |
| 24 ก.ย. | Bitget | ไม่เปิดเผย | 387.5 ล้านดอลลาร์ (อายัดได้ ≈ 0.3 ล้านดอลลาร์) | คริปโต | ได้ข้อมูลรับรองผ่านช่องโหว่ในผลิตภัณฑ์ความปลอดภัยของบุคคลที่สาม; สงสัยว่าเป็นเกาหลีเหนือ | On-chain |
| 2 พ.ย. | Mercado Bitcoin (บราซิล) | ไม่เปิดเผย | 40–46 ล้านดอลลาร์ (อายัดได้มากกว่า 6.2 ล้านดอลลาร์) | คริปโต | ดูดเงินจาก hot wallet (กระเป๋าที่เชื่อมต่ออินเทอร์เน็ต) บน ≈ 10 เชน | On-chain |
| เม.ย. | Grinex | ไม่เปิดเผย | 19.4 ล้านดอลลาร์ | คริปโต | hot wallet และกระเป๋ารับฝากบน TRON | On-chain |
| ≈ 20 ต.ค. | CoinDCX (อินเดีย) | ไม่เปิดเผย | 16 ล้านดอลลาร์ (กู้คืนได้หลักแสนดอลลาร์) | คริปโต | โครงสร้างกระเป๋าเงินที่ปลดระวางแล้ว | On-chain |
| 24 ก.ค. | Triple-A ผู้ให้บริการประมวลผลการชำระเงิน | ไม่เปิดเผย | 11.8 ล้านดอลลาร์ | คริปโต | hot wallet ถูกเจาะ | On-chain |
| 9 ส.ค. | Coinsbuy เกตเวย์ชำระเงิน | ไม่เปิดเผย | 7.9 ล้านดอลลาร์ (กู้คืนได้หลักแสนดอลลาร์) | คริปโต | hot wallet / กุญแจผู้ดูแลระบบ | On-chain |
| ก.ย. | Duelbits คาสิโนคริปโต | ไม่เปิดเผย | 5.9 ล้านดอลลาร์ | คริปโต | ไม่เปิดเผย | On-chain |
| 28 มี.ค. | ผู้ใช้ Binance | ≈ 1.5 ล้าน (อ้าง) | ไม่มีรายงาน | ชื่อ อีเมล โทรศัพท์ สถานะ KYC | การดึงข้อมูล (scraping) / การสุ่มใช้รหัสผ่านที่รั่วไหล (credential stuffing); ข้อมูลถูกประกาศขาย | ยังไม่ยืนยัน |
| เม.ย. | Kraken | ≈ 2,000 บัญชี | ไม่มีรายงาน; มีความพยายามขู่กรรโชก | ข้อมูลฝ่ายบริการลูกค้าถูกเปิดดู | คนใน 2 ราย | ยืนยันแล้ว |
| 16 ส.ค. | Bits of Gold (อิสราเอล) | 200,000–250,000 (อ้าง) | ไม่มีรายงาน | เลขประจำตัว บัญชีธนาคาร ที่อยู่กระเป๋าเงิน | ผู้ให้บริการภายนอก | ยังไม่ยืนยัน |
| 14 ก.ย. | Swiss Bitcoin Pay (สวิตเซอร์แลนด์) | ไม่ระบุ | ไม่มีรายงาน | อาจรวมถึง IBAN อีเมล ประวัติธุรกรรม | มีการเข้าถึงระบบภายใน | ยืนยันแล้ว |
| 17–28 ต.ค. | Bithumb (เกาหลีใต้) | ไม่เปิดเผย | ไม่มีรายงาน | ข้อมูลส่วนบุคคล; ขอบเขตไม่ชัดเจน | มีการเข้าถึงระบบ groupware ภายใน | ยืนยันแล้ว |
5. บล็อกเชน โปรโตคอล DeFi และ bridge
เครือข่ายบล็อกเชน โปรโตคอล DeFi (การเงินแบบกระจายศูนย์) bridge (สะพานเชื่อมข้ามเชน) และผู้ออก stablecoin
| วันที่ (2026) | เป้าหมาย | ผู้ได้รับผลกระทบ | เงินที่สูญเสีย | สิ่งที่สูญเสีย | วิธีการ | สถานะ |
|---|---|---|---|---|---|---|
| 6 ก.ย. | Liquid Network | ไม่เปิดเผย | 319–320 ล้านดอลลาร์ (คืนแล้ว 3,400 BTC; ≈ 48 ล้านดอลลาร์ยังไม่ได้คืน) | คริปโต | บั๊กการตรวจสอบความถูกต้องในซอฟต์แวร์โหนด | On-chain |
| 18 เม.ย. | KelpDAO (LayerZero) | ไม่เปิดเผย | 292–293 ล้านดอลลาร์ (อายัดได้ ≈ 71 ล้านดอลลาร์) | คริปโต | โจมตีช่องโหว่ระบบส่งข้อความข้ามเชน; เกาหลีเหนือ (TRM) | On-chain |
| 1 เม.ย. | Drift (Solana) | ไม่เปิดเผย | 285–295 ล้านดอลลาร์ | คริปโต | วิศวกรรมสังคมกับผู้ร่วมพัฒนา; multisig (กระเป๋าที่ต้องใช้หลายลายเซ็น) ที่ลงนามไว้ล่วงหน้า; เกาหลีเหนือ | On-chain |
| 30 ส.ค. | Tectonic (Cronos) | ไม่เปิดเผย | ยืมไป 120.4 ล้านดอลลาร์; ย้อนกลับได้ ≈ 111.2 ล้านดอลลาร์; สูญเสีย 9.19 ล้านดอลลาร์ | คริปโต | ปั่นราคา; ย้อนเชนกลับ (rollback) | On-chain |
| 9 มิ.ย. | Humanity Protocol | ไม่เปิดเผย | 31–36 ล้านดอลลาร์ | คริปโต | กุญแจถูกขโมยจากอุปกรณ์ของนักพัฒนาที่ติดมัลแวร์ | On-chain |
| 31 ม.ค. | Step Finance | ไม่เปิดเผย | 29–40 ล้านดอลลาร์ (กู้คืนได้ ≈ 4.7 ล้านดอลลาร์) | คริปโต | กุญแจของคลัง (treasury) และ deployer ถูกเจาะ | On-chain |
| 8 ม.ค. | Truebit | ไม่เปิดเผย | 26.4 ล้านดอลลาร์ | คริปโต | บั๊กการสร้างเหรียญ (minting) ในสัญญาอายุ 5 ปี | On-chain |
| 22 มี.ค. | Resolv Labs (stablecoin USR) | ไม่เปิดเผย | ≈ 25 ล้านดอลลาร์ | คริปโต | กุญแจในระบบจัดการกุญแจบนคลาวด์ถูกเจาะ; มีการสร้าง USR ที่ไม่มีสินทรัพย์หนุน | On-chain |
| 22 ก.ค. | AFX Trade bridge | ไม่เปิดเผย | 24.15 ล้านดอลลาร์ | คริปโต | กุญแจ validator 5 ใน 7 ดอกถูกเจาะ | On-chain |
| 15 ก.ค. | Ostium | ไม่เปิดเผย | 24 ล้านดอลลาร์ | คริปโต | ข้อมูลรับรองของผู้ลงนาม oracle ถูกเจาะ | On-chain |
| 7 ก.ค. | BonkDAO | ไม่เปิดเผย | 21 ล้านดอลลาร์ | คริปโต | โจมตีช่องโหว่การควบคุมสิทธิ์เข้าถึง | On-chain |
| 18 พ.ค. / 23 ก.ค. | Verus–Ethereum bridge (สองครั้ง) | ไม่เปิดเผย | 19.2 ล้านดอลลาร์ | คริปโต | บั๊กในสัญญา bridge | On-chain |
| เม.ย. | Rhea Lend | ไม่เปิดเผย | 18.4 ล้านดอลลาร์ | คริปโต | ไม่เปิดเผย | On-chain |
| 18 ส.ค. | Maya Protocol | ไม่เปิดเผย | 17 ล้านดอลลาร์ | คริปโต | บั๊กในสัญญา 6 จุดที่ถูกใช้ต่อเนื่องกัน | On-chain |
| 26 ม.ค. | SwapNet | ไม่เปิดเผย | 13.3 ล้านดอลลาร์ | คริปโต | การแฮก (ไม่ระบุรายละเอียด) | On-chain |
| ต.ค. | 79thVault | ไม่เปิดเผย | ≈ 12.5 ล้านดอลลาร์ (ประมาณการ) | คริปโต | การโจมตีช่องโหว่ | ยังไม่ยืนยัน |
| 21 ก.พ. | YieldBlox (Stellar) | ไม่เปิดเผย | 10.2 ล้านดอลลาร์ (กู้คืนได้ ≈ 7.2 ล้านดอลลาร์) | คริปโต | ปั่นราคา oracle | On-chain |
| 21 ก.ค. | Wanchain | ไม่เปิดเผย | 10 ล้านดอลลาร์ | คริปโต | บั๊กในสัญญา | On-chain |
| มิ.ย. | Syscoin bridge | ไม่เปิดเผย | 10 ล้านดอลลาร์ | คริปโต | ช่องโหว่การตรวจสอบความถูกต้อง; สร้างเหรียญที่ไม่มีสินทรัพย์หนุน | On-chain |
| 21 ก.พ. | IoTeX ioTube bridge | ไม่เปิดเผย | 8.8 ล้านดอลลาร์ | คริปโต | กุญแจของ bridge ถูกเจาะ | On-chain |
| 27 ส.ค. | Moonwell | ไม่เปิดเผย | 8.75 ล้านดอลลาร์ | คริปโต | ปั่นราคา | On-chain |
| 23 ส.ค. | Term Finance | ไม่เปิดเผย | 8.5 ล้านดอลลาร์ | คริปโต | ยึดอำนาจการกำกับดูแล (governance) | On-chain |
| 22 ส.ค. | TAC | ไม่เปิดเผย | 7.5 ล้านดอลลาร์ (เชนหยุดทำงาน) | คริปโต | ช่องโหว่ในสัญญา | On-chain |
| 21 ม.ค. | Saga | ไม่เปิดเผย | 7 ล้านดอลลาร์ | คริปโต | การโจมตีช่องโหว่ | On-chain |
| 26 ก.ค. | WEMIX | ไม่เปิดเผย | 6.25 ล้านดอลลาร์ | คริปโต | กุญแจส่วนตัวรั่วไหล | On-chain |
| 6 ก.ค. | Summer Finance | ไม่เปิดเผย | 6 ล้านดอลลาร์ | คริปโต | Flash loan | On-chain |
| 30 เม.ย. | Wasabi Perps | ไม่เปิดเผย | 4.5–5.5 ล้านดอลลาร์ | คริปโต | กุญแจ deployer ถูกเจาะ | On-chain |
| 7 พ.ค. | TrustedVolumes | ไม่เปิดเผย | 5.87 ล้านดอลลาร์ | คริปโต | การโจมตีช่องโหว่ | On-chain |
| 11 ก.ค. | Bonzo Lend | ไม่เปิดเผย | 5.25 ล้านดอลลาร์ | คริปโต | ปั่นราคา oracle | On-chain |
| 23–24 พ.ค. | StablR (stablecoin USDR, EURR) | ไม่เปิดเผย | นำออกไป 2.8 ล้านดอลลาร์ (สร้างโทเคนที่ไม่มีสินทรัพย์หนุน ≈ 12.85 ล้านดอลลาร์) | คริปโต | กุญแจหนึ่งดอกของ multisig แบบ 1-of-3 | On-chain |
| 29 มิ.ย. / 29 ต.ค. | Polymarket (สองครั้ง) ตลาดการทำนายผล | ผู้ใช้เว็บไซต์ | ≈ 3 ล้านดอลลาร์ + 2.65–3.9 ล้านดอลลาร์ (คืนเงินแล้ว) | คริปโต | โค้ดของผู้ให้บริการภายนอกถูกฝังเข้าไปในเว็บไซต์ | On-chain |
6. กระเป๋าเงินดิจิทัลและผู้ถือรายบุคคล
ฮาร์ดแวร์วอลเล็ตและซอฟต์แวร์วอลเล็ต บอตเทรด และนักลงทุนรายบุคคล
| วันที่ (2026) | เป้าหมาย | ผู้ได้รับผลกระทบ | เงินที่สูญเสีย | สิ่งที่สูญเสีย | วิธีการ | สถานะ |
|---|---|---|---|---|---|---|
| ≈ 10 ม.ค. | ผู้ถือที่ไม่เปิดเผยชื่อ | 1 คน | 282–285 ล้านดอลลาร์ | คริปโต | ผู้โจมตีแอบอ้างเป็นฝ่ายบริการลูกค้าของ Trezor | On-chain |
| 30–31 ก.ค. | Coldcard ฮาร์ดแวร์วอลเล็ต | ≈ 7,300 กระเป๋า | 100–130 ล้านดอลลาร์ | คริปโต | ช่องโหว่ในเฟิร์มแวร์ทำให้คาดเดา seed phrase ได้ | On-chain |
| 9–10 ต.ค. | อุปกรณ์ Ledger ที่ขายโดยตัวแทนจำหน่าย CryptoBilis | ผู้ซื้ออุปกรณ์ที่ถูกดัดแปลง | 86–93 ล้านดอลลาร์ (กู้คืนได้ ≈ 10 ล้านดอลลาร์) | คริปโต | ห่วงโซ่อุปทาน: อุปกรณ์ถูกดัดแปลงโดยฝังฮาร์ดแวร์แปลกปลอม | On-chain |
| 13 ส.ค. | บุคคลทั่วไป | 1 คน | 25.6 ล้านดอลลาร์ | คริปโต | ฟิชชิง | On-chain |
| 5 มี.ค. | “Sillytuna” ผู้ถือ Aave | 1 คน | 24 ล้านดอลลาร์ | คริปโต | การขโมย มีรายงานว่าใช้ความรุนแรง | On-chain |
| ก.ย. | Safe Wallet | ไม่เปิดเผย | 7.8 ล้านดอลลาร์ | คริปโต | ไม่เปิดเผย | On-chain |
| มิ.ย. | บอตเทรด jaredfromsubway.eth | ผู้ดำเนินการบอต 1 ราย | 7.5 ล้านดอลลาร์ | คริปโต | บอตถูกโจมตีช่องโหว่ | On-chain |
| ก.ย. | D’CENT wallet | ไม่เปิดเผย | 6 ล้านดอลลาร์ | คริปโต | ไม่เปิดเผย | On-chain |
| 5 ม.ค. | ลูกค้า Ledger (ผ่าน Global-e) | ไม่เปิดเผย | ไม่มีรายงาน | ชื่อ ที่อยู่ อีเมล โทรศัพท์ คำสั่งซื้อ | พันธมิตรอีคอมเมิร์ซถูกเจาะ | ยืนยันแล้ว |
| 10 ส.ค.–4 ก.ย. | ลูกค้า Trezor (ผ่าน ShipMonk) | ≈ 81,000 | ไม่มีรายงาน | ชื่อ โทรศัพท์ ที่อยู่บ้าน | ผู้ให้บริการขนส่งถูกเจาะ | ยืนยันแล้ว |
| ส.ค. | ลูกค้า SafePal | ≈ 40,000 | ไม่มีรายงาน | ชื่อ ข้อมูลติดต่อ ที่อยู่จัดส่ง | ไม่ได้ระบุ | ยืนยันบางส่วน |
7. รัฐบาลและหน่วยงานราชการ
หน่วยงานภาษี ทะเบียนระดับชาติ หน่วยงานออกบัตรประจำตัว หน่วยงานรัฐ และผู้รับจ้างของหน่วยงานเหล่านี้
| วันที่ (2026) | เป้าหมาย | ผู้ได้รับผลกระทบ | เงินที่สูญเสีย | สิ่งที่สูญเสีย | วิธีการ | สถานะ |
|---|---|---|---|---|---|---|
| 31 ม.ค. | Agencia Tributaria กรมสรรพากร (สเปน) | อ้าง 47.3 ล้าน | ไม่มีรายงาน | เลขบัตรประชาชน (DNI) ที่อยู่ IBAN ข้อมูลภาษี | แฮกเกอร์อ้าง | ยังไม่ยืนยัน |
| 20 เม.ย. | ANTS / France Titres: บัตรประชาชน หนังสือเดินทาง ใบขับขี่ (ฝรั่งเศส) ตรวจพบ 15 เม.ย. | ≈ 11.7 ล้านบัญชี (แฮกเกอร์ประกาศว่ามี 19 ล้าน) | ไม่มีรายงาน | ชื่อผู้ใช้สำหรับเข้าระบบ ชื่อ วันเกิด อีเมล; บางส่วนมีที่อยู่ สถานที่เกิด โทรศัพท์ (ไม่มีหมายเลขเอกสารในรายการ) | ไม่ระบุรายละเอียด; แฮกเกอร์นำข้อมูลมาประกาศ | ยืนยันแล้ว |
| ต.ค. | ทะเบียนราษฎร์ CPR (เดนมาร์ก) | 8.8 ล้านคน | ไม่มีรายงาน | ชื่อ ที่อยู่ หมายเลข CPR | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 18 ก.ย. | บุคลากรกระทรวงกลาโหมสหรัฐฯ (สหรัฐฯ) | 3.05 ล้าน | ไม่มีรายงาน | หมายเลขประกันสังคมที่ไม่ได้เข้ารหัส | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 18 มิ.ย. | Texas Parks & Wildlife ผ่านผู้ให้บริการ (สหรัฐฯ) | มากกว่า 3 ล้าน | ไม่มีรายงาน | ใบขับขี่ หนังสือเดินทาง | ผู้ให้บริการถูกเจาะ | ยืนยันแล้ว |
| 24 มี.ค. | NYC Health + Hospitals (สหรัฐฯ) | 1.8 ล้าน | ไม่มีรายงาน | หมายเลขประกันสังคม ข้อมูลบัญชีการเงิน ลายนิ้วมือ | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| ปลาย ก.ค. | Éducation nationale กระทรวงศึกษาธิการ (ฝรั่งเศส) | ≈ 1.22 ล้าน | ไม่มีรายงาน | ข้อมูลนักเรียนและบุคลากร | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 18 ก.พ. | FICOBA ทะเบียนบัญชีธนาคารแห่งชาติ (ฝรั่งเศส) | ≈ 1.2 ล้านบัญชี | ไม่มีรายงาน | IBAN เลขประจำตัวผู้เสียภาษี ที่อยู่ วันและสถานที่เกิด | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 12 ต.ค. | CAF / Vacaf สวัสดิการครอบครัว (ฝรั่งเศส) | อ้าง 1.19 ล้านแฟ้ม | ไม่มีรายงาน | ชื่อ วันเกิด ช่วงรายได้ สิทธิประโยชน์ | แฮกเกอร์อ้าง | ยืนยันบางส่วน |
| 12–13 ส.ค. | DGFiP พอร์ทัลภาษี impots.gouv.fr (ฝรั่งเศส) | ≈ 680,000 | ไม่มีรายงาน | เลขประจำตัวผู้เสียภาษี สถานะบุคคล ข้อความในพอร์ทัล | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| ปลาย ก.ย. | Publica + กองทุนบำเหน็จบำนาญสวิส ≈ 12 แห่ง (สวิตเซอร์แลนด์) | มากกว่า 100,000 | ไม่มีรายงาน | อาจรวมถึงหมายเลข AHV เงินเดือนที่เอาประกัน IBAN | ข้อมูลสมาชิกที่ส่งให้ผู้ให้บริการซอฟต์แวร์ PK Softech ก่อนการเปลี่ยนระบบถูกขโมย | ยืนยันบางส่วน |
| 20 ม.ค. | งานอีเวนต์ของ Energy Schweiz (สวิตเซอร์แลนด์) | 85,000 | ไม่มีรายงาน | วันเกิด | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 20 ก.พ. | ร้านจำหน่ายเหรียญของธนาคารแห่งชาติยูเครน ผ่านผู้รับจ้าง (ยูเครน) | ไม่เปิดเผย | ไม่มีรายงาน | ข้อมูลติดต่อและที่อยู่ของลูกค้า | ผู้รับจ้างถูกเจาะ | ยืนยันบางส่วน |
8. โครงสร้างพื้นฐานตลาดและผู้ให้บริการ
ศูนย์รับฝากหลักทรัพย์ บริษัทตรวจสอบตัวตน ผู้ให้บริการระบบ core banking และซอฟต์แวร์ เครือข่ายบัตร
| วันที่ (2026) | เป้าหมาย | ผู้ได้รับผลกระทบ | เงินที่สูญเสีย | สิ่งที่สูญเสีย | วิธีการ | สถานะ |
|---|---|---|---|---|---|---|
| 4 ก.ย. | IDScan.net ระบบยืนยันตัวตน (สหรัฐฯ) | ข้อมูลใบขับขี่ 153 ล้านรายการ | ไม่มีรายงาน | หมายเลขใบขับขี่และเลขประจำตัว ภาพบัตรประจำตัว | ไม่ระบุรายละเอียด | ยืนยันบางส่วน |
| 26 ก.ค. | Thailand Securities Depository (ศูนย์รับฝากหลักทรัพย์) พอร์ทัลนักลงทุน (ไทย) | นักลงทุน ≈ 200,000 ราย | ไม่มี; หลักทรัพย์ที่ถือครองไม่ได้รับผลกระทบ | เลขประจำตัวประชาชน ที่อยู่ เลขบัญชีซื้อขายหลักทรัพย์และบัญชีธนาคาร | การเข้าถึงพอร์ทัลนักลงทุนโดยไม่ได้รับอนุญาต | ยืนยันแล้ว |
| 31 ส.ค. | Jack Henry & Associates ระบบ core banking ของธนาคารกว่า 7,200 แห่ง (สหรัฐฯ) | สถาบันลูกค้าน้อยกว่า 10 แห่ง | ไม่มี; ปฏิเสธการขู่กรรโชก | ข้อมูลของสถาบันลูกค้า | โทรศัพท์หลอกพนักงาน (vishing) | ยืนยันแล้ว |
| 28 มี.ค.–12 เม.ย. | บริการด้านภาษีของ EY (สหรัฐฯ) | 10,895 คน | ไม่มีรายงาน | ข้อมูลลูกค้าด้านภาษี | ผ่านแพลตฟอร์มบริการไอที | ยืนยันแล้ว |
| 24 ส.ค. | TeamSystem ซอฟต์แวร์บัญชี (อิตาลี) | ไม่เปิดเผย | ไม่มีรายงาน | IBAN ประวัติธุรกรรม | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 14 ม.ค. | เครือข่ายขโมยข้อมูลบัตร Magecart (ทั่วโลก) | ผู้ซื้อสินค้าออนไลน์ | การฉ้อโกงบัตร (ไม่ได้ประเมินมูลค่า) | หมายเลขบัตร (Amex, Mastercard, UnionPay, JCB…) | แบบฟอร์มชำระเงินปลอมในหน้าชำระเงินของร้านค้าออนไลน์ | ยืนยันแล้ว |
| 4 พ.ย. (รายงาน) | “BOSSAI”: แฮกเกอร์ 1 คนกับ AI agent 12 ตัว (ไต้หวัน / 11 ประเทศ) | ไม่เปิดเผย | ไม่ได้ประเมินมูลค่า | ข้อมูลบริษัทสินเชื่อ; ระบบตรวจสอบความปลอดภัยบัตรของผู้ให้บริการชำระเงินรายหนึ่งถูกหลบเลี่ยง | AI agent เป็นผู้ดำเนินการโจมตี | ยืนยันแล้ว |
9. บริษัทอื่นที่ข้อมูลรั่วไหลแล้วนำไปสู่การฉ้อโกงทางการเงิน
โทรคมนาคม ค้าปลีก สุขภาพ การท่องเที่ยว พลังงาน การศึกษา และเกม: ไม่ใช่บริษัทการเงิน แต่ไฟล์ของบริษัทเหล่านี้มี IBAN เลขประจำตัว และหนังสือเดินทาง
| วันที่ (2026) | เป้าหมาย | ผู้ได้รับผลกระทบ | เงินที่สูญเสีย | สิ่งที่สูญเสีย | วิธีการ | สถานะ |
|---|---|---|---|---|---|---|
| 29 เม.ย. | Instructure / Canvas (สหรัฐฯ / ทั่วโลก) | อ้างการแจ้งเตือน 275 ล้านรายการ | ไม่มีรายงาน | ชื่อ อีเมล รหัสนักศึกษา | แฮกเกอร์อ้าง | ยืนยันบางส่วน |
| 22 มิ.ย. | Bet365 (สหราชอาณาจักร / ทั่วโลก) | อ้างมากกว่า 120 ล้าน | ไม่มีรายงาน | บัตรประจำตัว IBAN เลขประจำตัวผู้เสียภาษี | แฮกเกอร์อ้าง | ยังไม่ยืนยัน |
| 15 ก.ค. | Suno (สหรัฐฯ) | 55.3 ล้านบัญชี | ไม่มีรายงาน | บัญชี เลขบัตร 4 หลักสุดท้าย | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 27 ก.พ. | ManoMano (ฝรั่งเศส / สหภาพยุโรป) | อ้าง 37.8 ล้านบัญชี | ไม่มีรายงาน | ชื่อ อีเมล โทรศัพท์ | แฮกเกอร์อ้าง | ยืนยันบางส่วน |
| มิ.ย. | ไม่ทราบแหล่งที่มา (ไทย) | มากกว่า 36 ล้านรายการ | ไม่มีรายงาน | ข้อมูลส่วนบุคคล | ไม่ทราบแหล่งที่มา | ยังไม่ยืนยัน |
| 16 ก.ย. | Gyazo (ญี่ปุ่น) | 23.6 ล้าน | ไม่มีรายงาน | อีเมล รหัสผ่านแบบแฮช | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| ต.ค. | Sourcenext (ญี่ปุ่น) | สูงสุด 22.5 ล้าน | ไม่มีรายงาน | ชื่อ ที่อยู่ รหัสผ่าน | ไม่ระบุรายละเอียด | ยืนยันบางส่วน |
| ม.ค. | Endesa (สเปน) | อ้าง 20 ล้าน | ไม่มีรายงาน | DNI สัญญา IBAN บางส่วน | แฮกเกอร์อ้าง | ยืนยันบางส่วน |
| ต.ค. | Pathao (บังกลาเทศ) | ≈ 19 ล้าน | ไม่มีรายงาน | ไม่ระบุรายละเอียด | ไม่ระบุรายละเอียด | ยังไม่ยืนยัน |
| 17 ก.ค. | DentaQuest (สหรัฐฯ) | 15–23.4 ล้าน | ไม่มีรายงาน | หมายเลขประกันสังคมและหมายเลข Medicaid วันเกิด | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| ต.ค. | Skyticket (ญี่ปุ่น) | 14.64 ล้านรายการ | ไม่มีรายงาน | วันเกิด ที่อยู่ ข้อมูลธนาคารบางส่วน | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 23 มิ.ย. | KDDI (ญี่ปุ่น) | สูงสุด 14.22 ล้าน | ไม่มีรายงาน | อีเมล รหัสผ่าน | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 14 เม.ย. | McGraw Hill (สหรัฐฯ) | 13.5 ล้านบัญชี | ไม่มีรายงาน | ข้อมูลบัญชี | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 19 ต.ค. | Capcom (ญี่ปุ่น) | 11.77 ล้าน | ไม่มีรายงาน | อีเมล ชื่อผู้ใช้สำหรับเข้าระบบ | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| ต.ค. | Burger King Japan | 11.18 ล้าน | ไม่มีรายงาน | ชื่อ อีเมล โทรศัพท์ วันเกิด | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| ต.ค. | Monogatari / Yakiniku King (ญี่ปุ่น) | 10.79 ล้าน | ไม่มีรายงาน | อีเมล โทรศัพท์ | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 29 ม.ค. | Match Group: Hinge, OkCupid (สหรัฐฯ) | อ้างมากกว่า 10 ล้าน | ไม่มีรายงาน | ข้อมูลระบุตัวตน ข้อมูลธุรกรรม | แฮกเกอร์อ้าง | ยืนยันบางส่วน |
| 13–19 เม.ย. | Medtronic (สหรัฐฯ) | แจ้งแล้ว 3.83 ล้าน (ผู้โจมตีอ้าง 9 ล้าน) | ไม่มีรายงาน | ข้อมูลส่วนบุคคล | ยืนยันการบุกรุกในเอกสารที่ยื่นต่อ SEC; ShinyHunters อ้าง | ยืนยันแล้ว |
| 28 ส.ค. | Manchester Airports Group (สหราชอาณาจักร) | 8.7 ล้าน | ไม่มีรายงาน | อีเมล โทรศัพท์ ทะเบียนรถ | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| ก.ย. | CenterPoint Energy (สหรัฐฯ) | 7.49 ล้าน | ไม่มีรายงาน | ข้อมูลติดต่อ หมายเลขประกันสังคม 4 หลักสุดท้าย | ไม่ระบุรายละเอียด | ยืนยันบางส่วน |
| ก.ย. | Times Car / Park24 (ญี่ปุ่น) | 1.6–6.6 ล้าน | ไม่มีรายงาน | วันเกิด ใบขับขี่ เอกสารแสดงตน | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 12 ก.พ. | Odido (เนเธอร์แลนด์) | 6.2–6.4 ล้าน | ไม่มีรายงาน | IBAN หมายเลขหนังสือเดินทาง / ใบขับขี่ วันเกิด เบอร์มือถือ | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 11 มี.ค. | Sunrise (สวิตเซอร์แลนด์) | อ้างมากกว่า 6 ล้าน | ไม่มีรายงาน | ชื่อ ที่อยู่ ข้อมูลการสมัครใช้บริการและการชำระเงิน | แฮกเกอร์อ้าง | ยังไม่ยืนยัน |
| 27 พ.ค. | Carnival (สหรัฐฯ / ทั่วโลก) | 5,995,277 | ไม่มีรายงาน | หนังสือเดินทาง หมายเลขประกันสังคม ใบขับขี่ | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 22–24 พ.ค. | Atol, Auchan Optique, Optic 2000, Jimmy Fairly (ฝรั่งเศส) | อ้าง ≈ 6 ล้านขึ้นไป | ไม่มีรายงาน | ชื่อ ที่อยู่ ใบแจ้งหนี้ | แฮกเกอร์อ้าง | ยังไม่ยืนยัน |
| 24 เม.ย. | ADT (สหรัฐฯ) | 5.5 ล้าน | ไม่มีรายงาน | วันเกิด เลขประจำตัวบางส่วน | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 1 ส.ค. | Resamania ซอฟต์แวร์ฟิตเนส (สหราชอาณาจักร เยอรมนี ฝรั่งเศส สเปน) | อ้าง 5.2 ล้าน | ไม่มีรายงาน | ไม่ระบุ | แฮกเกอร์อ้าง | ยังไม่ยืนยัน |
| 2 ก.พ. | Panera Bread (สหรัฐฯ) | 5.1 ล้าน | ไม่มีรายงาน | ชื่อ ข้อมูลติดต่อ | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 26 พ.ค. | Charter / Spectrum (สหรัฐฯ) | 4.9 ล้าน | ไม่มีรายงาน | ข้อมูลบัญชี | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 20 ก.ค. | Brinks Home (สหรัฐฯ) | อ้าง 4.9 ล้าน | ไม่มีรายงาน | ข้อมูลลูกค้า | แฮกเกอร์อ้าง | ยืนยันบางส่วน |
| 30 ม.ค. | Ttareungyi จักรยานสาธารณะโซล (เกาหลีใต้) | 4.5 ล้าน | ไม่มีรายงาน | ไอดีผู้ใช้ เบอร์มือถือ | ไม่ระบุรายละเอียด | ยืนยันบางส่วน |
| ก.พ. | QualDerm Partners (สหรัฐฯ) | 3.12 ล้าน | ไม่มีรายงาน | ข้อมูลทางการแพทย์และประกันภัย | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| มี.ค. | Nacogdoches Memorial Hospital (สหรัฐฯ) | 2.51 ล้าน | ไม่มีรายงาน | หมายเลขประกันสังคมและหมายเลขแผนประกันสุขภาพ | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| มี.ค. | Navia Benefit Solutions (สหรัฐฯ) | 2.15 ล้าน | ไม่มีรายงาน | หมายเลขประกันสังคม วันเกิด | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 13 เม.ย. | Basic-Fit (ฝรั่งเศส เบลเยียม เยอรมนี สเปน ลักเซมเบิร์ก เนเธอร์แลนด์) | ≈ 1 ล้าน | ไม่มีรายงาน | ข้อมูลติดต่อ วันเกิด ข้อมูลธนาคาร | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 16 ก.ค. | Abbott (สหรัฐฯ) | อ้าง 1 ล้าน | ไม่มีรายงาน | หมายเลขประกันสังคม | แฮกเกอร์อ้าง | ยังไม่ยืนยัน |
| 3 ก.ค. | Shun Hing Group (ฮ่องกง) | ≈ 921,000 | ไม่มีรายงาน | ข้อมูลติดต่อลูกค้า; เลขประจำตัวและบัญชีธนาคารของพนักงาน | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 18 ก.พ. | youX (ออสเตรเลีย) | ผู้กู้ 444,538 ราย | ไม่มีรายงาน | ใบขับขี่ ที่อยู่ | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 10 ม.ค. | Eurail / Interrail รวมถึง DiscoverEU (สหภาพยุโรป) | ≈ 308,000 | ไม่มีรายงาน | หมายเลขหนังสือเดินทาง สำเนาบัตรประจำตัว ข้อมูลอ้างอิงธนาคาร | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 3 ส.ค. | Intermarché Drive (ฝรั่งเศส) | 287,605 | ไม่มีรายงาน | ชื่อ ที่อยู่ วันเกิด | ไม่ระบุรายละเอียด | ยืนยันแล้ว |
| 30 ต.ค. | Engie (ฝรั่งเศส) | ไม่เปิดเผย | ไม่มีรายงาน | ชื่อ ข้อมูลติดต่อ หมายเลขมิเตอร์ | เครื่องมือขายของพันธมิตรถูกเจาะ | ยืนยันแล้ว |
ยอดรวมคริปโตปี 2026: DefiLlama 8.73 พันล้านดอลลาร์จากการแฮ็ก 322 ครั้ง (ถึง 30 ตุลาคม) ในจำนวนนี้เป็นของ Binance 6.36 พันล้าน CertiK ราว 9.2 พันล้าน (ถึง 31 ตุลาคม) PeckShield โดยนัยราว 9.3 พันล้าน หากไม่นับ Binance ทั้งปีอยู่ที่ราว 2.4–2.9 พันล้านดอลลาร์ ตารางคริปโตแสดงเหตุการณ์ที่มีหลักฐานตั้งแต่ 5 ล้านดอลลาร์ขึ้นไป บวกกรณีเล็กกว่าที่น่าสนใจอีกไม่กี่กรณี ไม่ใช่การสำรวจครบทุกกรณี Crédit Mutuel Arkéa ปรากฏเพียงครั้งเดียวในหมวดธนาคาร แม้เงินจะถูกแปลงเป็นคริปโตในภายหลัง
สิ่งที่ไม่อยู่ในรายชื่อนี้
เหตุการณ์ที่เกิดก่อนปี 2026 แต่เปิดเผยในปี 2026 ไม่ได้รวมไว้ในตารางข้างต้น กรณีหลัก ๆ แสดงไว้ที่นี่เพื่อไม่ให้ใครคิดว่าผมลืม กรณีอื่น ๆ ได้แก่ Marquis Software, Chain IQ/UBS/Pictet, Habib Bank AG Zurich, Lotte Card และ BigONE
| เหตุการณ์ก่อนหน้า | เมื่อใด | เกิดอะไรขึ้น |
|---|---|---|
| PayPal Working Capital (สหรัฐฯ) | 1 ก.ค. – 13 ธ.ค. 2025; เปิดเผย ก.พ. 2026 | ข้อผิดพลาดในการเขียนโค้ดทำให้หมายเลขประกันสังคมของลูกค้าประมาณ 100 รายรั่วไหล; มีการฉ้อโกงบางส่วน |
| TriZetto Provider Solutions (สหรัฐฯ) | พ.ย. 2024 – ต.ค. 2025; แจ้งผู้เสียหายในปี 2026 | ประมาณ 3.4 ล้านคน; หมายเลขประกันสังคม วันเกิด ข้อมูลบริษัทประกัน |
| IDMerit ผู้ให้บริการตรวจสอบตัวตน | มีรายงานฐานข้อมูล พ.ย. 2025; เผยแพร่ ก.พ. 2026 | นักวิจัยรายงานว่าพบฐานข้อมูลที่เปิดเผยต่อสาธารณะกว่า 3 พันล้านรายการ (ข้อมูลชาวฝรั่งเศส 53 ล้านรายการ) ซึ่งเชื่อมโยงกับบริษัท; IDMerit ยืนยันว่าระบบของบริษัทเองไม่ได้ถูกเจาะ |
| ATM jackpotting – การเจาะตู้ ATM ให้คายเงิน (คำเตือนของ FBI, ก.พ. 2026) | ตัวเลขปี 2025 | ประมาณ 700 เหตุการณ์ และความเสียหายกว่า 20 ล้านดอลลาร์ในสหรัฐฯ ในปี 2025 |
ที่ไม่ได้รวมไว้เช่นกัน: ระบบเทคโนโลยีล่มที่ทำให้การซื้อขายบางส่วนของ UBS หยุดชะงักเมื่อวันที่ 17 มีนาคม (ไม่มีการยืนยันว่าเป็นการโจมตีทางไซเบอร์) และการโจมตี SWIFT หรือระบบชำระหักบัญชีใด ๆ เพราะไม่มีกรณีใดได้รับการยืนยันในปี 2026 ข้อมูลของฮ่องกง สิงคโปร์ และไทยยังบางกว่าของยุโรปและสหรัฐฯ เพราะมีกรณีที่เปิดเผยต่อสาธารณะน้อยกว่า
ภาพรวมภัยไซเบอร์ภาคการเงิน: สถิติบอกอะไร
- IBM Cost of a Data Breach 2026: ข้อมูลรั่วไหลหนึ่งครั้งในภาคบริการทางการเงินมีต้นทุนเฉลี่ย 6.29 ล้านดอลลาร์ เทียบกับค่าเฉลี่ยทุกอุตสาหกรรมที่ 4.99 ล้านดอลลาร์
- Verizon DBIR 2026 (ข้อมูลปี 2025): ภาคการเงินมีเหตุการณ์ 3,809 ครั้ง และการเจาะระบบที่ยืนยันแล้ว 1,300 ครั้ง บุคคลภายนอก (ผู้ให้บริการ) เกี่ยวข้องใน 34% ของการเจาะระบบในภาคการเงิน และมีปัจจัยมนุษย์เกี่ยวข้องใน 65% ช่องทางเข้าหลัก: ช่องโหว่ซอฟต์แวร์ 22% ฟิชชิง 20% และรหัสผ่านที่ถูกขโมย 15%
- ENISA Threat Landscape 2026 (ข้อมูลปี 2025): การเงินและธนาคารคิดเป็น 5.6% ของเหตุการณ์ทั้งหมด แต่เป็นสัดส่วนที่ใหญ่ที่สุดของเหตุข้อมูลรั่วไหล (15.4%) กลุ่มแรนซัมแวร์หลัก: Akira, Lynx, Qilin, INC
- รายงาน FBI IC3 (ปี 2025 เผยแพร่เมษายน 2026): ความเสียหายที่แจ้งไว้สูงเป็นประวัติการณ์ 20.9 พันล้านดอลลาร์ (+26%) ในจำนวนนี้ 11.3 พันล้านเกี่ยวข้องกับคริปโต และมากกว่า 30 ล้านดอลลาร์สูญไปกับการหลอกลวงทางอีเมลธุรกิจที่ใช้ AI ช่วย
- Black Kite 2026: แรนซัมแวร์ที่โจมตีภาคการเงินเพิ่มขึ้นราว 30% ในปี 2025 และ 76% ในไตรมาสแรกปี 2026 และ 54% ของผู้ให้บริการ 140 รายที่ภาคการเงินใช้มากที่สุดมีช่องโหว่ที่รู้กันว่าถูกใช้โจมตีจริง
- TRM Labs (คริปโต): ราว 85% ของมูลค่าการแฮ็กคริปโตปี 2026 เชื่อมโยงกับเกาหลีเหนือ (ณ สิ้นเดือนตุลาคม) ส่วนใหญ่มาจากการขโมยที่ Binance
ความหมายสำหรับคนที่บริหาร ซื้อ หรือสร้างธุรกิจการเงิน
ผมไม่ได้บอกว่าการบริหารธนาคาร payment institution หรือธุรกิจคริปโตกลายเป็นเรื่องที่ทำไม่ได้ หรือว่าคุณควรเก็บเงินออมไว้ใต้ที่นอน ประเด็นของผมคือ จุดอ่อนแทบไม่เคยเป็นเทคโนโลยีที่คุณซื้อมา แต่เป็นคน ผู้ให้บริการ และนิสัยรอบ ๆ ตัวเทคโนโลยีนั้น และการตัดสินใจส่วนใหญ่เหล่านี้เกิดขึ้นตั้งแต่ต้น: ตอนที่คุณเลือกเขตอำนาจศาล ใบอนุญาต ธนาคารพาร์ตเนอร์ และผู้ให้บริการภายนอก
ก่อนเซ็นสัญญากับผู้ให้บริการรายใด หรือซื้อบริษัทที่มีใบอนุญาตบริษัทใด ผมจะให้ผ่านสิ่งที่ผมเรียกว่า Sunday Test (การทดสอบวันอาทิตย์): ถ้ามีคนถอนเงินจากบัญชีของเราจนเกลี้ยงตอนตีสามวันอาทิตย์ ใครจะรู้ ใครหยุดได้ และใช้เวลานานเท่าไร? จากนั้นตามด้วยห้าคำถาม:
- ใครถือกุญแจ? มีกี่คนที่มีสิทธิ์ผู้ดูแลระบบ private key หรืออำนาจลงนาม บนอุปกรณ์กี่เครื่อง และใครตรวจสอบพวกเขา?
- ผู้ให้บริการรายใดเข้าถึงระบบของเราหรือข้อมูลลูกค้าของเราได้บ้าง และเราตรวจสอบอะไรจริง ๆ ก่อนเซ็นสัญญากับพวกเขา?
- ใครรับสายตอนตีสามวันอาทิตย์ และเขามีอำนาจระงับการโอนเงินออกโดยไม่ต้องปลุกคณะกรรมการหรือไม่?
- เราเก็บข้อมูลตัวตนไว้มากแค่ไหน ที่ไหน และนานเท่าไร? เก็บเท่าที่กฎหมายกำหนด ไม่ต้องเกินแม้แต่สำเนาหนังสือเดินทางฉบับเดียว
- ถ้า “ตำรวจ” หรือ “หน่วยงานกำกับ” ส่งอีเมลมาขอแฟ้มข้อมูลลูกค้า เราตรวจสอบอย่างไรว่าเป็นของจริง ก่อนที่ใครจะกดส่ง?
สำหรับบุคคลทั่วไป บทเรียนง่ายกว่านั้น ให้ถือว่า IBAN เลขประจำตัว และเบอร์โทรศัพท์ของคุณหลุดออกไปแล้ว คอยดูรายการหักบัญชีอัตโนมัติ อย่าทำตามสายจาก “เจ้าหน้าที่ธนาคารของคุณ” โดยไม่วางสายแล้วโทรกลับไปหาธนาคารเอง และซื้อ hardware wallet จากผู้ผลิตโดยตรง อย่าซื้อจากตัวแทนจำหน่าย
เลือกเขตอำนาจศาล ใบอนุญาต และผู้ให้บริการอย่างรู้เท่าทัน
กำลังจัดตั้งหรือซื้อ payment institution, EMI (สถาบันเงินอิเล็กทรอนิกส์) ธุรกิจคริปโต หรือธนาคารอยู่หรือเปล่า? ความเสี่ยงส่วนใหญ่ในรายชื่อนี้ถูกกำหนดไว้นานก่อนที่แฮ็กเกอร์คนแรกจะโผล่มา: ในการเลือกเขตอำนาจศาล ใบอนุญาต ธนาคารพาร์ตเนอร์ และผู้ให้บริการภายนอก นี่คืองานที่ FintechLex ทำ ระหว่างสวิตเซอร์แลนด์ สหราชอาณาจักร ฮ่องกง และส่วนอื่น ๆ ของเอเชีย ผมใช้เวลาสามสิบปีช่วยนักลงทุนต่างชาติหลีกเลี่ยงกับดักที่ไม่มีใครบอกพวกเขา และผมเคยช่วยลูกค้าสร้างธนาคาร ถ้าคุณอยากได้อีกมุมมองหนึ่งก่อนเซ็นสัญญา หรืออยากได้บริษัทที่มีใบอนุญาตซึ่งผ่านการตรวจสอบมาแล้ว ดูบริษัทที่มีใบอนุญาตพร้อมขายบนเว็บไซต์ FintechLex หรือเขียนถึงผม
เขียนถึงผมได้ที่ thailand@fintechlex.com หรือทาง WhatsApp +41 787 983 770
แหล่งที่มา: Cryptsy / DefiLlama: cryptsy.com/crypto-hacks; CertiK 2026 figures (via PrimeXBT news); PeckShield monthly reports (via The Block, Cointelegraph); TRM Labs and Chainalysis on North Korea (via The Block, crypto.news); AlphaWire: Crypto’s 10 biggest hacks of 2026; Sherlock Web3 Security Report Q1 2026; Nominis monthly reports; Global Ledger; StealthEX and Khaleej Times/Reuters on Binance; The Record on Bitget; crypto.news on Liquid Network; Insurance Journal, France 24, CU Today, IT-Connect, MoneyVox on Crédit Mutuel Arkéa; TechCrunch, Financial Times (via Global Banking & Finance), OCCRP, Which? on Revolut; IstoÉ Dinheiro, The Paypers (BTG Pactual); Liga.net (A-Bank); Gujarat Samachar (Bhavnagar); NewsBytes (Central Bank of India); Korea Times, Korea Herald, Korea JoongAng Daily, The Star (Korean financial-sector wave); Security Affairs, SecurityWeek (Aflac Japan); Daily Maverick (Standard Bank); American Banker, SC World (Citizens/Frost, Figure); Journal du Geek (MGP, ANTS, Almerys, Engie); Le Monde Informatique (Almerys); Futura (FICOBA, IDMerit, opticians); ITPro (FICOBA); Maire-info (DGFiP, Éducation nationale); MacG (CAF); IT-Connect (Basic-Fit); The Register (ManoMano, Eurail); CSO Online, Help Net Security (Danish CPR); bluewin (Swiss pension funds); Netzwoche (Sunrise, Energy Schweiz); Punto Informatico (TeamSystem); Euro Weekly (Hacienda); The Spanish Eye, Escudo Digital (Endesa); BornCity (Bet365); brightdefense, grcsolutions, guard.io (aggregators); Malwarebytes, Cybersecurity News (Magecart, BridgePay); Banking Exchange, Jack Henry IR; Acronis TRU, eSecurity Planet (BOSSAI); IBM, Verizon (via American Banker), ENISA Threat Landscape 2026, FBI IC3 (via Help Net Security), Black Kite, Europol IOCTA 2026; BleepingComputer (Upbound, PayPal); HIPAA Journal (TriZetto, Medtronic); Biometric Update (IDMerit); STV News (Lloyds); The Block (Tectonic); Crowdfund Insider (Wasabi); The Nation (Thailand Securities Depository); The Star (MoneySmart, Korean FSC, UBS); Little Big Red Dot (Alliance Medinet); finews.com (Zurich pension fund); Acteurs Publics, Siècle Digital (ANTS); Le Monde Informatique, Selectra (Arkéa); CoinAlertNews quoting DefiLlama (crypto totals, 30 October); Tech Insider, TRM Labs (North Korea); Sahara Reporters (Binance replenishment).
Rene-Philippe
