วันที่ 6 สิงหาคม 2569 นายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ในฐานะประธานคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (กกม.) เปิดเผยว่า ได้รับรายงานกรณีมีบุคคลเข้าถึงและนำข้อมูลส่วนบุคคลของประชาชนไปเผยแพร่ผ่านช่องทางออนไลน์ ซึ่งสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ร่วมกับหน่วยงานเจ้าของระบบเร่งควบคุมเหตุ ตรวจสอบขอบเขตผลกระทบ ดูแลประชาชนผู้ได้รับความเสียหาย และรวบรวมพยานหลักฐานเพื่อดำเนินการตามกฎหมาย
จากการตรวจสอบทางเทคนิคเบื้องต้น พบลักษณะการนำ Username และ Password ของบัญชีผู้ใช้งานที่รั่วไหลอยู่ภายนอกระบบ มาใช้เข้าสู่ระบบด้วยข้อมูลรับรองที่ถูกต้อง ก่อนนำไปสืบค้นหรือเข้าถึงข้อมูลส่วนบุคคลโดยมิชอบหรือเกินกว่าสิทธิที่ได้รับอนุญาต
แม้เหตุการณ์ดังกล่าวมิใช่การเจาะระบบด้วยเทคนิคขั้นสูง แต่ถือเป็นเหตุด้านความมั่นคงปลอดภัยไซเบอร์และเหตุละเมิดข้อมูลส่วนบุคคลที่สำคัญ
รมว.ดีอี เสริมว่า จากเหตุการณ์ที่เกิดขึ้นเนื่องจากมีบุคคลอื่นเข้าถึงข้อมูลของประชาชนโดยมิชอบ ซึ่งอาจก่อให้เกิดความเสียหายจากการเปิดเผยข้อมูล การสวมรอย การหลอกลวง การปลอมแปลงเอกสาร หรือการนำข้อมูลไปใช้กระทำความผิดในรูปแบบอื่น
เตือนประชาชนอย่าหลงเชื่อ แม้ผู้ติดต่อจะรู้ข้อมูลส่วนบุคคล
สำหรับประชาชนที่อาจได้รับผลกระทบ ขอให้เพิ่มความระมัดระวัง เนื่องจากมิจฉาชีพอาจนำข้อมูลส่วนบุคคลที่ได้ไปประกอบการหลอกลวง โดยสามารถระบุชื่อ เลขทะเบียนรถ ข้อมูลบัตรประชาชน ที่อยู่ หรือรายละเอียดส่วนบุคคลบางส่วนได้อย่างถูกต้อง เพื่อสร้างความน่าเชื่อถือและทำให้ผู้เสียหายหลงเชื่อ
ขอให้ประชาชนอย่าหลงเชื่อเพียงเพราะผู้ติดต่อสามารถบอกข้อมูลส่วนบุคคลได้ถูกต้อง และไม่ควรเปิดเผยรหัสผ่าน รหัส OTP เลขบัตรประชาชนเต็มฉบับ หรือข้อมูลบัญชีธนาคาร รวมทั้งไม่โอนเงิน ติดตั้งแอปพลิเคชัน กดลิงก์ หรือเพิ่มเพื่อนตามคำแนะนำของบุคคลดังกล่าว
ทั้งนี้ หากได้รับการติดต่อโดยอ้างว่าเป็นเจ้าหน้าที่ของรัฐ ธนาคาร บริษัทขนส่ง บริษัทประกันภัย หรือหน่วยงานอื่น ขอให้ยุติการสนทนาและตรวจสอบข้อเท็จจริงกับหน่วยงานที่ถูกกล่าวอ้างโดยตรง ผ่านหมายเลขโทรศัพท์หรือช่องทางทางการที่ประชาชนค้นหาและติดต่อด้วยตนเอง โดยไม่ใช้หมายเลขโทรศัพท์ ลิงก์ หรือช่องทางที่ผู้ติดต่อส่งมาให้
นอกจากนี้ หากพบความผิดปกติหรือสงสัยว่าข้อมูลของตนถูกนำไปใช้ ขอให้เก็บหลักฐาน เช่น หมายเลขโทรศัพท์ ข้อความ ลิงก์ ชื่อบัญชี และหลักฐานการทำธุรกรรม พร้อมแจ้งหน่วยงานที่เกี่ยวข้องโดยเร็ว
พบข้อมูลบัญชีรั่วไหลที่เกี่ยวข้องกับประเทศไทยกว่า 221 ล้านรายการ
ในส่วนของ สกมช. ตรวจพบและรวบรวมข้อมูลเกี่ยวกับ Username และ Password ที่รั่วไหลจากแหล่งข้อมูลต่าง ๆ โดยพบข้อมูลในภาพรวมทั่วโลกมากกว่า 56,000 ล้านรายการบัญชี และพบข้อมูลที่เกี่ยวข้องกับประเทศไทยมากกว่า 221 ล้านรายการบัญชี
ตัวเลขดังกล่าวเป็นจำนวนรายการข้อมูลบัญชีที่ตรวจพบจากหลายแหล่งและหลายช่วงเวลา ซึ่งอาจมีรายการซ้ำ หรือเป็นหลายบัญชีของบุคคลเดียวกัน จึงไม่ใช่จำนวนประชาชนที่ได้รับผลกระทบโดยตรง
ที่ผ่านมา สกมช. ได้แจ้งเตือนหน่วยงานภาครัฐและหน่วยงานที่เกี่ยวข้องให้ตรวจสอบบัญชีที่มีความเสี่ยง เปลี่ยนรหัสผ่าน ระงับบัญชีที่ไม่มีความจำเป็น ทบทวนสิทธิการเข้าถึง และปรับปรุงมาตรการรักษาความมั่นคงปลอดภัยอย่างต่อเนื่อง โดยเฉพาะระบบสำคัญและระบบที่จัดเก็บหรือเชื่อมโยงข้อมูลส่วนบุคคลของประชาชน
ย้ำหน่วยงานเจ้าของข้อมูลมีหน้าที่ตามกฎหมาย
นายไชยชนก กล่าวว่า หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามมาตรา 37 (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันมิให้ข้อมูลส่วนบุคคลสูญหาย ถูกเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไป พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
การที่หน่วยงานได้รับแจ้งความเสี่ยงเกี่ยวกับ Username และ Password รั่วไหลแล้ว แต่ยังเพิกเฉย ไม่ตรวจสอบ ไม่ระงับหรือเปลี่ยนข้อมูลรับรอง ไม่ทบทวนสิทธิ และไม่เพิ่มมาตรการยืนยันตัวตนที่เหมาะสม โดยเฉพาะกับระบบสำคัญหรือระบบที่จัดเก็บข้อมูลประชาชน อาจเข้าข่ายไม่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามที่กฎหมายกำหนด และอาจต้องรับผิดตามกระบวนการของกฎหมายคุ้มครองข้อมูลส่วนบุคคล
กกม. สั่งยกระดับระบบรัฐด้วย MFA
ทั้งนี้ คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ ได้เน้นย้ำให้หน่วยงานภาครัฐยกระดับระบบสำคัญและระบบที่จัดเก็บข้อมูลประชาชน โดยเพิ่มการยืนยันตัวตนแบบหลายปัจจัย หรือ Multi-Factor Authentication (MFA) โดยเร่งด่วน โดยเฉพาะบัญชีผู้ดูแลระบบ บัญชีผู้มีสิทธิสูง บัญชีที่เข้าถึงข้อมูลส่วนบุคคล และระบบที่เปิดให้เข้าถึงจากเครือข่ายภายนอก
MFA จะช่วยลดความเสี่ยงจากกรณี Username และ Password ถูกขโมยหรือรั่วไหล เพราะแม้ผู้ไม่หวังดีจะทราบรหัสผ่าน ก็ยังไม่สามารถเข้าสู่ระบบได้หากไม่มีปัจจัยยืนยันตัวตนเพิ่มเติม
นายไชยชนก ระบุว่า เหตุการณ์ครั้งนี้สะท้อนว่า ผู้ไม่หวังดีไม่จำเป็นต้องใช้เทคนิคขั้นสูง หากมี Username และ Password ที่รั่วไหลก็อาจเข้าสู่ระบบและเข้าถึงข้อมูลประชาชนได้ หน่วยงานจึงไม่สามารถพึ่งพารหัสผ่านเพียงชั้นเดียวได้อีกต่อไป หน่วยงานใดได้รับการแจ้งเตือนแล้วต้องเร่งตรวจสอบ เปลี่ยนรหัสผ่าน ทบทวนสิทธิ และใช้ MFA กับระบบที่มีความเสี่ยง
ขณะนี้ ตนได้สั่งให้ สกมช. โดย ThaiCERT ร่วมกับหน่วยงานเจ้าของระบบเร่งตรวจพิสูจน์หลักฐานดิจิทัล วิเคราะห์ขอบเขตความเสียหาย ตรวจสอบบัญชีและเส้นทางการเข้าถึง ตลอดจนติดตามการนำข้อมูลไปเผยแพร่หรือใช้ประโยชน์โดยมิชอบ พร้อมแจ้งให้หน่วยงานที่ตรวจพบบัญชีมีความเสี่ยงดำเนินการแก้ไขโดยเร่งด่วน
