(มีการตอบกลับเบื้องต้นจาก Big Loyalty Thailand ในความเห็นที่ 1)

ปกติไม่ค่อยต้องมาแชร์อะไรอย่างนี้บ่อยนัก
แต่อันนี้คิดว่าน่าจะเป็นประโยชน์ต่อคนอื่นครับ (และผมวิจารณ์โดยสุจริตในฐานะผู้ใช้บริการที่มีส่วนได้ส่วนเสียนะ บอกก่อน)

เริ่มจากเมื่อคืนวันที่ 8 ที่ผ่านมาตอนดึกสงัด  มีอีเมล์เด้งเข้ามาจากแอร์เอเชียครับว่า
คุณได้ขอรีเซตรหัสผ่าน ให้กดลิงค์นี้ ถ้าคุณไม่ได้ขอก็ไม่เป็นไร ไม่ต้องทำอะไร ขอให้เชื่อว่าแอคเคาท์คุณยังปลอดภัยกับเรา
ผมก็คิดว่าเอ๊ะ ระบบคงรวนอะไรหรือเปล่า เราก็ไม่ได้ลืมรหัสนะ ไม่ได้กดขอรีเซ็ตด้วย แต่ก็เชื่อตามเขาไม่ได้ทำอะไรครับ ก็เขาว่าอยู่กับเขาปลอดภัยนี่นะ

ปลอดภัยกะผีแน่ะ!!!

เช้าวันนี้ครับ พอล็อกอินเข้าเว็บแอร์เอเชียเพื่อจะจองตั๋วปรากฎว่า เข้าแอคเคาท์ได้ แต่ชื่อโดนเปลี่ยนเป็น Jennyfer อะไรก็ไม่รู้ คะแนนก็หายเกลี้ยงครับ จาก 12,000 คะแนนกว่าๆ เหลือ 0 เลย (จะว่าไปมูลค่าก็ไม่ได้มากมายเท่าไหร่หรอกครับ ประมาณ 1000 บาทมั้ง แต่มันแค้นนะ ใครๆก็รู้ว่าคะแนนแอร์เอเชียไม่ได้เอาไว้แลก แต่เอาไว้เป็นกุญแจเข้าไปจองตั๋วโปร final call ตังหาก)

เข้าไปดูรายละเอียดโปรไฟล์ ปรากฎว่าที่อยู่ก็โดนแก้เป็นอินโดนีเซียครับ คนทำคงจะอยู่อินโดนีเซียละมั๊ง

เมื่อไปดูในรายชื่อ Family and friends (การจองตั๋วด้วยคะแนน big เดี๋ยวนี้สามารถจองให้คนอื่นที่เป็นนอมินีเราได้ 10 คนเท่านั้น รายชื่อนี้แก้ได้เพียงปีละครั้ง) ปรากฎว่ามีชื่อคนอินโดเพิ่มขึ้นมา 2 คนครับ

ลองไปดูหน้าสเตทเม้นท์ - transaction พบว่าวันที่ 10 พ.ค. ที่ผ่านมามีการจองตั๋ว หมายเลข PNR : CHHR8L  ครับ ไม่มีรายละเอียดอื่น แล้วหักแต้มผมไปเกลี้ยงเลยหมื่นสองพันกว่าแต้ม ผมลองไปดูในเมนู Manage my booking แล้ว ไม่พบบุคกิ้งนี้เลยครับ
กดปุ่มค้นหาจากการจองที่อื่นก็หาไม่เจอ เข้าใจว่าโจรได้ใส่อีเมล์อื่นในการจองโดยใช้แอคเคาท์ผมครับ (มันทำได้ด้วยเหรอเนี่ย?)

ผมอึ้งเลยครับ ไม่นึกว่าแค่แอคเคาท์สายการบินที่ดูไม่มีอะไร ก็มีการขโมยกันได้ มานั่งลองนึกดู ว่าแฮกเกอร์สามารถเอา username (ซึ่งคืออีเมล์) และรหัสผ่านของเราไปทางไหนได้บ้าง อยากให้ทุกท่านช่วยวิเคราะห์ตรงนี้หน่อยครับ

1. จากการที่บราวเซอร์จำล็อกอินและรหัสของเราไว้ แล้วมีคนเข้าถึงแอคเคาท์กูเกิ้ล, แอปเปิ้ล, ไมโครซอฟต์ของเรา
    - อันนี้ส่วนตัวผมว่าเสี่ยงสำหรับคนใช้ระบบแอนดรอยด์แล้วไม่ชอบล็อกโทรศัพท์ แต่ส่วนตัวผมไม่ได้ใช้ และทุกแอคเคาท์ของผมผมตั้งการยืนยันตัวตนสองชั้นไว้หมด คือทุกครั้งที่ล็อกอินที่อื่นต้องมี OTP ตลอดถึงจะเข้าได้
2. จากการถูกฟิชชิ่ง
    - อันนี้ปกติเขาทำกันกับแอคเคาท์ธนาคาร กับแอคเคาท์กูเกิ้ลแอปเปิ้ลที่ผูกบัตรเครดิตไว้ ไม่นึกว่าใครจะมาทำกับแอคเคาท์สายการบิน
     สำหรับผมมั่นใจ 100 % ว่าไม่โดนหรือไปกดเข้าแน่นอนครับ เพราะผมเจนจัดเรื่องพวกนี้มาก วันนึงๆมีเมล์ฟิชชิ่งมาเป็นสิบ ไปไล่ย้อนดูอีเมล์ที่มีคำว่า airasia หรือ big ทั้งหมด ก็ไม่พบข้อความลักษณะ ฟิชชิ่งเลยครับ
3. จากการล็อกอินแล้วมีการส่งผ่านข้อมูลโดยไม่ผ่านโปรโตคอล HTTPS
     - อันนี้ผมว่าเป็นไปได้มากที่สุด ช่วงหลังนี้ทั้งเว็บทั้งแอปแอร์เอเชียและ big loyalty มีการอัปเดทบ่อยมาก (เพื่อปรับปรุงโปรแกรม Big ให้เขี้ยวงอกและตึ๋งหนืดมากขึ้น) บางครั้งแอปก็เอ๋อ ล็อกอินไม่เข้าบ้างอะไรบ้าง
     ผมว่าเป็นไปได้ที่ข้อมูลจะหลุดออกไปกับระบบเข้ารหัสที่ไม่สมบูรณ์แล้วไปซื้อขายกันในตลาดมืด จากบรรดาพวกแฮกเกอร์

ไม่ว่ายังไงก็แล้วแต่ คนอื่นผมไม่รู้ แต่ส่วนตัวผมไม่มั่นใจความปลอดภัยระบบแอคเคาท์ของสายการบินนี้แล้วล่ะ
ตอนนี้ผมเปลี่ยนรหัส และเอาบัตรเครดิตที่ผูกไว้ (My Big Click) ออกทั้งหมด (อันนี้ผมว่าสำคัญสุด วันดีคืนร้ายบัตรเราจะโดนเอาไปซื้อตั๋วให้คนอินโดอีกไหม จะว่าไปก็เหมือนจะเคยมีกระทู้โดนคนอินโดขโมยข้อมูลบัตรเครดิตไปซื้อตั๋วแอร์เอเชียในบลูพลาเน็ทอยู่นะครับ >> https://ppantip.com/topic/36397845)

ผมว่าใครก็ตามที่อ่านกระทู้นี้แล้วรู้สึกไม่ค่อยปลอดภัยเหมือนกันก็ควรจะทำด้วยนะครับ ปลอดภัยไว้ก่อน ไม่รู้หลุดไปมากน้อยแค่ไหน

ตอนนี้ผมติดต่อแอร์เอเชียไปแล้ว เขาตอบกลับมาว่าแอร์เอเชียไม่เกี่ยว เป็นเรื่องของ Big Loyalty ให้ไปติดต่อทางนั้นเอง (เอ่อ... แต่คุณใช้แอคเคาท์ร่วมกันนะ แฮคอันนึงได้ก็เข้าอันนึงได้ แน่ใจเหรอว่าไม่ได้หลุดที่คุณ) ผมติดต่อไปหา Big Loyalty ทุกทางที่ทำได้แล้ว ทั้งไทยทั้งมาเลย์ แต่ก็ยังเงียบครับ
ตอนนี้ก็ยังไม่รู้ว่าจะเอายังไง

สุดท้าย ผมขอยืนยันว่าผมไม่โง่จดรหัสทิ้งไว้เรี่ยราด หรือตั้งรหัสโง่ๆ 12345678 อะไรแบบนี้แน่นอน
รหัสผมเดายากมากครับมีทั้งตัวใหญ่ตัวเล็กตัวเลข 15 ตัวที่ไม่สัมพันธ์กัน ไม่ใช่ชื่อไม่ใช่วันเกิดตัวเองแน่นอนครับ