Amadeus ข้อมูลรั่ว คือเหตุที่ระบบแสดงข้อมูลการจองของ Amadeus ถูกเข้าถึงโดยไม่ได้รับอนุญาตตั้งแต่สิงหาคม 2566 (ค.ศ. 2023) ถึงกันยายน 2569 กระทบอย่างน้อย 7 สายการบิน เช่น JAL ราว 92,000 รายการ และ Singapore Airlines ราว 46,000 รายการ บทความนี้เหมาะกับสายการบิน เอเจนซีท่องเที่ยว OTA และฝ่ายบุคคลที่ซื้อตั๋วให้พนักงาน
ลองนึกภาพเอเจนซีทัวร์ในกรุงเทพฯ ที่ออกตั๋วผ่านระบบ Amadeus ให้ลูกค้าไปญี่ปุ่นและสิงคโปร์ทุกเดือน (ตัวอย่างสมมติ) วันหนึ่งลูกค้าโทรมาว่าได้อีเมลอ้างเลขการจองจริงพร้อมลิงก์ให้ชำระเงินเพิ่ม เอเจนซีไม่รู้ว่าข้อมูลหลุดจากไหน และไม่รู้ว่าต้องแจ้งใครภายในกี่ชั่วโมง
สรุปสั้น: Amadeus แจ้งสายการบินระหว่าง 20–28 ตุลาคม 2569 ว่าข้อมูลการจองถูกเข้าถึงนานกว่า 3 ปี ข้อมูลบัตรและบัญชีธนาคารไม่รั่ว ยังไม่มีรายงานว่าสายการบินไทยได้รับผลกระทบ แต่ธุรกิจไทยที่ใช้ระบบ Amadeus ควรขอคำยืนยันเป็นหนังสือ และจดเวลาที่รู้เหตุเพื่อนับกรอบแจ้ง สคส. 72 ชั่วโมงตาม PDPA
Amadeus ข้อมูลรั่ว คืออะไร เกิดอะไรขึ้น
Amadeus ข้อมูลรั่ว เกิดจากช่องโหว่ใน “booking display environment” หรือส่วนที่แสดงข้อมูลการจอง ตามที่ Amadeus แจ้ง ผู้ไม่ได้รับอนุญาตเข้าถึงข้อมูลได้ตั้งแต่สิงหาคม 2566 ถึงกันยายน 2569 บริษัทระบุว่าข้อมูลบัญชีธนาคารและบัตรเครดิตไม่ได้รั่ว
Cathay Pacific ระบุว่าผู้บุกรุกใช้บัญชีผู้ใช้ (credentials) ของระบบ Amadeus เข้ามา ส่วน PDPC สิงคโปร์แถลงเมื่อ 4 พฤศจิกายน 2569 ว่ากำลังสอบสวน วิธีที่ผู้บุกรุกได้บัญชีผู้ใช้ไปยังไม่มีข้อเท็จจริงยืนยัน
| สายการบิน | ยอดที่สายการบินแจ้ง (โดยประมาณ) |
|---|---|
| JAL | ราว 92,000 รายการ |
| Cathay Pacific | ราว 53,000 รายการ |
| Singapore Airlines | ราว 46,000 รายการ (ราว 620 รายการมีข้อมูลเอกสารเดินทางและเลข KrisFlyer) |
| ANA | 37,800 ราย (1,700 รายมีพาสปอร์ตและสัญชาติ) |
| Malaysia Airlines, Korean Air, Condor | ยืนยันว่าได้รับผลกระทบ ส่วน Qantas กำลังตรวจสอบ |
ไทม์ไลน์ Amadeus ข้อมูลรั่ว ที่ธุรกิจไทยใช้นับเวลาได้
ไทม์ไลน์ Amadeus ข้อมูลรั่วช่วยให้ธุรกิจไทยรู้ว่าต้องตรวจย้อนหลังช่วงไหน และเริ่มนับหน้าที่แจ้งเหตุเมื่อไร
- สิงหาคม 2566 ถึงกันยายน 2569 ช่วงที่มีการเข้าถึงข้อมูลการจองโดยไม่ได้รับอนุญาต
- 20–28 ตุลาคม 2569 Amadeus แจ้งสายการบินที่ได้รับผลกระทบ
- 4 พฤศจิกายน 2569 PDPC สิงคโปร์แถลงว่ากำลังสอบสวน
- ธุรกิจไทย กรอบ 72 ชั่วโมงตาม PDPA มาตรา 37(4) เริ่มนับเมื่อผู้ควบคุมข้อมูลทราบเหตุ จึงต้องจดวันเวลาที่ได้รับแจ้งจาก Amadeus ไว้เป็นหลักฐาน
Amadeus ข้อมูลรั่ว กระทบธุรกิจไทยอย่างไร
Amadeus ข้อมูลรั่วกระทบธุรกิจไทย 3 กลุ่ม แม้ยังไม่มีรายงานว่าสายการบินไทยได้รับผลกระทบ (ยังไม่ยืนยัน) ได้แก่ ผู้ที่ใช้ระบบ Amadeus เอง บริษัทที่ส่งพนักงานเดินทางกับสายการบินที่ได้รับผลกระทบ และผู้เดินทางชาวไทยทั่วไป
สายการบิน เอเจนซีท่องเที่ยว และ OTA ไทย
ธุรกิจที่ใช้ GDS ของ Amadeus ออกตั๋วอยู่ในฐานะผู้ควบคุมข้อมูลลูกค้าของตัวเอง เหตุเกิดที่ผู้ให้บริการก็จริง แต่ภาระแจ้งเหตุและตอบลูกค้ายังตกที่ธุรกิจ คำถามแรกที่ต้องได้คำตอบเป็นหนังสือคือ ข้อมูลการจองของบริษัทเราอยู่ในขอบเขตเหตุหรือไม่
เหตุลักษณะนี้คล้ายกับที่ญี่ปุ่นเจอต่อเนื่อง และเคยสรุปไว้ใน ญี่ปุ่นข้อมูลรั่วต่อเนื่อง skyticket 14.6 ล้าน คาราโอเกะ 8.7 ล้าน Lawson 2.16 ล้าน รัฐเรียกประชุมฉุกเฉิน สัญญา DPA ของธุรกิจไทยต้องมีข้อไหน บทเรียนเดียวกันคือสัญญากับผู้ให้บริการต้องกำหนดเวลาแจ้งเหตุเป็นชั่วโมง
ลำดับว่าใครต้องแจ้งใครเมื่อผู้รับจ้างทำข้อมูลหลุด ตอบไว้เป็นขั้นตอนใน ผู้รับจ้างทำข้อมูลรั่ว ใครต้องแจ้งใคร ภายในกี่ชั่วโมง
บริษัทที่ซื้อตั๋วให้พนักงาน
บริษัทไทยที่ส่งพนักงานบินกับ SIA, Cathay, JAL, ANA, Malaysia Airlines หรือ Korean Air ช่วงปี 2566–2569 ควรเตือนพนักงานเรื่องฟิชชิง ข้อมูลการจองที่หลุดทำให้อีเมลหลอกดูน่าเชื่อขึ้นมาก เพราะอ้างเลขการจองและเส้นทางบินจริงได้
ผู้เดินทางชาวไทย
ผู้เดินทางที่จองกับสายการบินเหล่านี้ควรระวังข้อความที่ขอให้ชำระเงินเพิ่มหรือยืนยันพาสปอร์ต แม้อ้างข้อมูลการจองถูกต้อง ให้ติดต่อสายการบินผ่านช่องทางทางการเท่านั้น
เทียบกับกฎหมายไทย: Amadeus ข้อมูลรั่ว ต่างจาก PDPA อย่างไร
ถ้าเหตุ Amadeus ข้อมูลรั่วเกิดกับธุรกิจไทย PDPA จะมองว่าสายการบินหรือเอเจนซีเป็นผู้ควบคุมข้อมูล และ Amadeus เป็นผู้ประมวลผลข้อมูล หน้าที่แจ้งเหตุต่อ สคส. ตกที่ผู้ควบคุมข้อมูล ไม่ใช่ผู้ให้บริการระบบ
| ประเด็น | ตามข่าว | กฎหมายไทย |
|---|---|---|
| ใครแจ้งหน่วยงานรัฐ | สายการบินแจ้งลูกค้าและหน่วยงาน PDPC สิงคโปร์สอบสวน | ผู้ควบคุมข้อมูลแจ้ง สคส. ภายใน 72 ชั่วโมงตาม ม.37(4) |
| หน้าที่ของผู้ให้บริการ | Amadeus แจ้งสายการบินหลังพบเหตุ | ผู้ประมวลผลข้อมูลมีหน้าที่ตาม ม.40 รวมถึงแจ้งเหตุต่อผู้ควบคุมข้อมูล |
| ความปลอดภัย | ผู้บุกรุกใช้บัญชีผู้ใช้ของระบบ (ตามที่ Cathay ระบุ) | ต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม ม.37(1) |
| ข้อมูลข้ามประเทศ | ระบบให้บริการหลายประเทศ | การส่งข้อมูลไปต่างประเทศต้องเป็นไปตาม ม.28–29 |
ช่องว่างของธุรกิจไทยอยู่ที่สัญญา ข้อตกลงประมวลผลข้อมูล (DPA) จำนวนมากเขียนแค่ “แจ้งโดยไม่ชักช้า” ไม่มีชั่วโมงกำหนด และไม่ให้สิทธิ์ขอดู log ถ้าผู้ให้บริการแจ้งช้า ผู้ควบคุมข้อมูลจะไม่มีหลักฐานว่าตัวเองรู้เมื่อไร เหตุที่ผู้ให้บริการภายนอกทำหลุดแบบเดียวกันเคยเกิดกับ Canva ยืนยันข้อมูลลูกค้าองค์กรรั่วผ่าน Canny ที่เชื่อม Salesforce องค์กรไทยที่ใช้ Canva ต้องเช็กสัญญา DPA และแจ้งเหตุ
ถ้าไม่ทำอะไรเลย Amadeus ข้อมูลรั่วจะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลยหลังเหตุ Amadeus ข้อมูลรั่ว ธุรกิจไทยที่ใช้ระบบอาจพลาดกรอบแจ้งเหตุโดยไม่รู้ตัว
- เสี่ยงแจ้งเหตุช้า ไม่รู้ว่าข้อมูลตัวเองอยู่ในขอบเขตหรือไม่ จึงไม่ได้ประเมินว่าต้องแจ้ง สคส. หรือเปล่า
- เสี่ยงลูกค้าโดนหลอก ข้อมูลการจองจริงทำให้ข้อความหลอกลวงดูน่าเชื่อ
- เสี่ยงไม่มีสิทธิ์ตามสัญญา ถ้า DPA ไม่ให้สิทธิ์ขอข้อมูล การเรียกร้องจากผู้ให้บริการจะยากขึ้น
สายการบินและเอเจนซีไทยควรทำอะไรภายในสัปดาห์แรกหลังทราบเหตุ
สายการบินและเอเจนซีไทยที่ใช้ Amadeus ควรทำ 5 ข้อนี้ทันทีที่ทราบเหตุ Amadeus ข้อมูลรั่ว โดยแบ่งตามคนทำและเวลา
- 1. ฝ่ายไอทีหรือ DPO ส่งคำถามเป็นหนังสือถึง Amadeus ภายใน 24 ชั่วโมง ถามว่าข้อมูลการจองของบริษัทอยู่ในขอบเขตเหตุหรือไม่ ช่วงเวลาใด และข้อมูลประเภทไหน
- 2. DPO จดวันเวลาที่ทราบเหตุ ใช้เป็นจุดเริ่มนับกรอบ 72 ชั่วโมงตามมาตรา 37(4) และบันทึกผลประเมินว่าต้องแจ้ง สคส. หรือไม่
- 3. ฝ่ายไอทีเปลี่ยนรหัสและตรวจบัญชีผู้ใช้ระบบจองทั้งหมดภายใน 3 วัน ปิดบัญชีที่ไม่ใช้แล้ว และเปิดการยืนยันตัวตนหลายชั้นถ้าระบบรองรับ
- 4. ฝ่ายบุคคลแจ้งเตือนพนักงานภายใน 3 วัน ให้ระวังอีเมลหรือข้อความที่อ้างเลขการจองจริงกับสายการบินที่ได้รับผลกระทบช่วง 2566–2569
- 5. ฝ่ายกฎหมายทบทวน DPA กับผู้ให้บริการระบบจองภายใน 30 วัน เพิ่มเวลาแจ้งเหตุเป็นชั่วโมงและสิทธิ์ขอดู log องค์กรที่ต้องการวางระบบ PDPA ทั้งชุด ดู บริการ AI Governance และ PDPA ของ Kooru (แพ็กเกจ)
มุมมองผู้เชี่ยวชาญ
เหตุนี้เกิดที่ผู้ให้บริการ แต่คนที่ต้องตอบลูกค้าและหน่วยงานรัฐคือสายการบิน นี่คือความจริงของห่วงโซ่ข้อมูล คุณจ้างคนอื่นเก็บข้อมูลได้ แต่จ้างคนอื่นรับผิดแทนไม่ได้ จุดที่องค์กรมักพลาดคือเซ็น DPA ที่ไม่มีตัวเลขชั่วโมงและไม่มีสิทธิ์ดู log พอเกิดเหตุจริงก็พิสูจน์ไม่ได้ว่ารู้เมื่อไร ควรเช็กสัญญากับผู้ให้บริการทุกรายที่แตะข้อมูลลูกค้า ไม่เฉพาะระบบจอง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับ Amadeus ข้อมูลรั่ว
Amadeus ข้อมูลรั่ว มีข้อมูลบัตรเครดิตหลุดไหม
Amadeus ระบุว่าข้อมูลบัญชีธนาคารและบัตรเครดิตไม่ได้รั่ว สิ่งที่หลุดคือข้อมูลการจอง และบางสายการบินแจ้งว่ามีข้อมูลเอกสารเดินทางหรือพาสปอร์ตบางส่วน เช่น ANA ระบุ 1,700 รายมีพาสปอร์ตและสัญชาติ
สายการบินไทยได้รับผลกระทบจาก Amadeus ข้อมูลรั่วหรือไม่
ยังไม่มีรายงานว่าสายการบินไทยได้รับผลกระทบ ข้อมูลนี้ยังไม่ยืนยัน สายการบินที่ยืนยันแล้วคือ SIA, Cathay, JAL, ANA, Malaysia Airlines, Korean Air และ Condor ส่วน Qantas กำลังตรวจสอบ
ผู้ให้บริการทำข้อมูลรั่ว ใครต้องแจ้ง สคส.
ตาม PDPA ผู้ควบคุมข้อมูล เช่น สายการบินหรือเอเจนซี มีหน้าที่แจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตามมาตรา 37(4) ส่วนผู้ประมวลผลข้อมูลมีหน้าที่แจ้งเหตุต่อผู้ควบคุมข้อมูลตามมาตรา 40
ผู้เดินทางควรทำอะไรถ้าเคยจองกับสายการบินที่ได้รับผลกระทบ
ระวังอีเมลหรือข้อความที่อ้างเลขการจองจริงแล้วขอเงินหรือข้อมูลพาสปอร์ต ติดต่อสายการบินผ่านเว็บหรือแอปทางการเท่านั้น และไม่กดลิงก์จากข้อความที่ไม่ได้คาดไว้
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- ทำสัญญาแล้วมีข้อมูลส่วนบุคคลเกี่ยวข้อง ต้องทำข้อตกลงประมวลผลข้อมูล (DPA) เมื่อไร — ใช้แยกว่าผู้ให้บริการระบบจองใช้ข้อมูลตามคำสั่งของเราหรือไม่ ซึ่งชี้ว่าต้องมี DPA และควรเขียนข้อแจ้งเหตุอย่างไร (ok.aipdpa.com)
แหล่งอ้างอิง
- VnExpress International — VnExpress International (อ่านต้นฉบับ)
- Open Jaw — Open Jaw (อ่านต้นฉบับ)
- The Tribune (Reuters) และ PYOK — รายงานเรื่องเดียวกัน (อ้างตามสรุปข่าว)
- ข่าวและบทวิเคราะห์ PDPA อื่น ๆ: หมวด PDPA & Privacy
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
[…] ระบบจอง Amadeus ข้อมูลรั่วนานกว่า 3 ปี กระ… […]