สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เดินหน้าตรวจสอบกรณีข้อมูลส่วนบุคคลของผู้ใช้บริการระบบ TSD Investor Portal ถูกเข้าถึงโดยไม่ได้รับอนุญาต โดยได้แจ้งให้บริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด (TSD) นำส่งข้อมูล คำชี้แจง และพยานหลักฐานเพิ่มเติม เพื่อประกอบการพิจารณาว่าได้ดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ครบถ้วนหรือไม่
พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กล่าวว่า กรณีดังกล่าวถือเป็นเหตุการณ์ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของประชาชนจำนวนมาก จึงจำเป็นต้องตรวจสอบข้อเท็จจริงและหลักฐานเชิงลึก ทั้งสาเหตุของเหตุการณ์ ขอบเขตความเสียหาย และมาตรการที่องค์กรใช้ในการป้องกันและรับมือกับเหตุละเมิดข้อมูลส่วนบุคคล
ก่อนหน้านี้ TSD เปิดเผยว่า ระบบตรวจพบความผิดปกติเมื่อวันที่ 25 ก.ค.2569 ก่อนยืนยันในวันที่ 26 ก.ค. 2569 ว่ามีข้อมูลส่วนบุคคลบางส่วนถูกเข้าถึงโดยไม่ได้รับอนุญาต และแถลงรายละเอียดต่อสาธารณะเมื่อวันที่ 28 ก.ค.ที่ผ่านมา
จากข้อมูลของ TSD เหตุการณ์ดังกล่าวส่งผลกระทบต่อผู้ใช้บริการประมาณ 200,000 ราย จากบัญชีผู้ใช้งานทั้งหมดราว 5 ล้านบัญชี
โดยข้อมูลที่อาจได้รับผลกระทบ ได้แก่ ชื่อ-นามสกุล วันเดือนปีเกิด เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ชื่อบริษัทหลักทรัพย์และเลขบัญชีซื้อขายหลักทรัพย์ รวมถึงชื่อธนาคารและเลขที่บัญชีธนาคารของผู้ใช้บริการบางส่วน
อย่างไรก็ตาม TSD ยืนยันว่า ระบบ TSD Investor Portal แยกออกจากระบบรับฝากหลักทรัพย์และระบบธุรกรรมหลัก ทำให้จากการตรวจสอบจนถึงขณะนี้ยังไม่พบว่าข้อมูลการถือครองหลักทรัพย์หรือข้อมูลธุรกรรมซื้อขายได้รับผลกระทบ และยังไม่พบความเสียหายทางการเงินที่เชื่อมโยงกับเหตุการณ์ดังกล่าว
ภายหลังตรวจพบเหตุ TSD ระบุว่าได้ปิดกั้นช่องทางการเข้าถึงที่ผิดปกติ แจ้งหน่วยงานกำกับดูแล ประสานตำรวจไซเบอร์ บริษัทหลักทรัพย์ ธนาคาร และหน่วยงานที่เกี่ยวข้อง เพื่อเพิ่มระดับการเฝ้าระวัง พร้อมส่งอีเมลและข้อความ SMS แจ้งเตือนผู้ที่ได้รับผลกระทบแล้ว
แม้ TSD จะเปิดเผยข้อมูลต่อสาธารณะแล้ว แต่ พ.ต.อ.สุรพงศ์ ระบุว่า ในกระบวนการกำกับดูแลตามกฎหมาย PDPA สคส. ยังต้องตรวจสอบหลักฐานเชิงเทคนิคและเอกสารประกอบเพิ่มเติม โดยเฉพาะสาเหตุของการเข้าถึงข้อมูล ช่องทางที่ทำให้เกิดเหตุ ระยะเวลาที่เกิดเหตุ ประเภทและจำนวนข้อมูลที่ได้รับผลกระทบ ตลอดจนประสิทธิภาพของมาตรการรักษาความมั่นคงปลอดภัยทั้งก่อนและหลังเกิดเหตุ
นอกจากนี้ ยังจะตรวจสอบหลักฐานการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. การประเมินความเสี่ยงต่อเจ้าของข้อมูล วิธีการแจ้งเตือนผู้ได้รับผลกระทบ รวมถึงมาตรการเฝ้าระวัง เยียวยา และป้องกันไม่ให้เกิดเหตุในลักษณะเดียวกันซ้ำอีก
เลขาธิการ สคส. ย้ำว่า การเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลไม่ได้หมายความว่าองค์กรจะมีความผิดตามกฎหมายโดยอัตโนมัติ แต่การพิจารณาจะอาศัยข้อเท็จจริงและพยานหลักฐานว่า องค์กรได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยงหรือไม่ สามารถตรวจพบและควบคุมเหตุได้รวดเร็วเพียงใด รวมถึงได้แจ้งเหตุ แจ้งเจ้าของข้อมูล และลดผลกระทบตามที่กฎหมายกำหนดครบถ้วนแล้วหรือไม่
หากผลการตรวจสอบพบข้อบกพร่องหรือการดำเนินการไม่เป็นไปตามกฎหมาย PDPA สคส. จะพิจารณาดำเนินการตามอำนาจหน้าที่ ตั้งแต่กำหนดมาตรการแก้ไข การยกระดับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล ไปจนถึงการดำเนินการตามกฎหมายตามระดับความร้ายแรงของแต่ละกรณี
พร้อมกันนี้ สคส. ขอให้ผู้ที่ได้รับการแจ้งเตือนจาก TSD เพิ่มความระมัดระวังการติดต่อที่แอบอ้างผ่านอีเมล ข้อความ SMS หรือโทรศัพท์ ไม่กดลิงก์จากแหล่งที่ไม่น่าเชื่อถือ ไม่เปิดเผยรหัสผ่านหรือรหัส OTP และหากพบความผิดปกติควรติดต่อ TSD หรือหน่วยงานที่เกี่ยวข้องผ่านช่องทางอย่างเป็นทางการโดยตรง
นอกจากนี้ ในมิติด้านความมั่นคงปลอดภัยไซเบอร์ ประเทศไทยยังมีกลไกกำกับดูแลตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 โดยสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ หรือ สกมช. ได้มอบหมายหน่วยงานกำกับดูแลหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure: CII) ในแต่ละภาคส่วน เพื่อกำกับ ติดตาม และยกระดับมาตรการด้านความมั่นคงปลอดภัยไซเบอร์ของหน่วยงานที่มีความสำคัญต่อประเทศ
สำหรับหน่วยงานกำกับดูแลที่ สกมช. กำหนด แบ่งตามภาคส่วนสำคัญ ได้แก่
- ด้านความมั่นคงของรัฐ มีสำนักงานปลัดกระทรวงกลาโหม สำนักงานตำรวจแห่งชาติ และสำนักงานสภาความมั่นคงแห่งชาติ
- ด้านบริการภาครัฐที่สำคัญ มีสำนักงานปลัดกระทรวงการคลัง กรมศุลกากร กรมการปกครอง สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) หรือ DGA
- ด้านการเงินการธนาคาร มีธนาคารแห่งประเทศไทย (ธปท.) และสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.)
- ด้านเทคโนโลยีสารสนเทศและโทรคมนาคม มีสำนักงาน กสทช.
- ด้านการขนส่งและโลจิสติกส์ มีสำนักงานตำรวจแห่งชาติ กรมการขนส่งทางราง สำนักงานปลัดกระทรวงคมนาคม และสำนักงานการบินพลเรือนแห่งประเทศไทย (กพท.)
- ด้านพลังงานและสาธารณูปโภค มีสำนักงานปลัดกระทรวงพลังงาน และการประปาส่วนภูมิภาค (เฉพาะบริการส่วนภูมิภาค)
- ด้านสาธารณสุข มีสำนักงานปลัดกระทรวงสาธารณสุข สำนักงานคณะกรรมการอาหารและยา (อย.) และสำนักงานปรมาณูเพื่อสันติ เป็นหน่วยงานกำกับดูแลตามที่กฎหมายกำหนด
