Apple เตือนหัวหน้าพรรคฝ่ายค้าน 2 คนว่ามือถือถูกสปายแวร์เล็ง ดีอีชง สมช. องค์กรไทยต้องมีแผนรับมือมือถือผู้บริหารใน 72 ชั่วโมง

Apple เตือนสปายแวร์ คือกรณีที่หัวหน้าพรรคฝ่ายค้าน 2 คนของไทยได้รับแจ้งเตือนภัยคุกคามจาก Apple เมื่อต้นเดือนพฤศจิกายน 2569 (ค.ศ. 2026) ว่า iPhone ตกเป็นเป้าสปายแวร์ และ รมว.ดีอี ระบุว่า Apple เตือนผู้ใช้ใน 99 ประเทศ บทความนี้เหมาะกับผู้บริหาร ฝ่ายไอที และ DPO อ่านแล้วจะรู้ว่าถ้ามือถือผู้บริหารได้คำเตือนแบบนี้ องค์กรต้องทำอะไรใน 72 ชั่วโมงแรก

ลองนึกภาพสำนักงานบัญชีขนาด 40 คนในกรุงเทพฯ (ตัวอย่างสมมติ) หุ้นส่วนใหญ่เปิดมือถือตอนเช้าแล้วเจอข้อความจาก Apple ว่าเครื่องอาจถูกสปายแวร์เล็ง ในเครื่องมีอีเมลลูกค้า งบการเงินที่ยังไม่เปิดเผย และกลุ่ม LINE ของทีม คำถามแรกที่ไม่มีใครตอบได้คือ “ใครต้องทำอะไรก่อน และต้องแจ้งใครภายในเมื่อไร”

สรุปสั้น: Apple ส่งคำเตือนภัยคุกคามถึงหัวหน้าพรรคประชาธิปัตย์และหัวหน้าพรรคประชาชน ส่วนกระทรวงดีอีนำเรื่องเข้าที่ประชุม สมช. 4 พฤศจิกายน 2569 แต่ยังไม่ยืนยันว่าเป็นสปายแวร์ตระกูลเพกาซัสหรือเจาะสำเร็จ บทเรียนสำหรับองค์กรไทยคือ มือถือผู้บริหารเป็นจุดเก็บข้อมูลลูกค้า จึงต้องมีขั้นตอนรับคำเตือนที่ผูกกับหน้าที่แจ้งเหตุ 72 ชั่วโมงตาม PDPA

Apple เตือนสปายแวร์ คืออะไร เกิดอะไรขึ้นในไทย

Apple เตือนสปายแวร์ ในข่าวนี้หมายถึงการแจ้งเตือนภัยคุกคาม (threat notification) ที่ Apple ส่งถึงผู้ใช้ที่บริษัทเชื่อว่าตกเป็นเป้าการโจมตีแบบเจาะจง หัวหน้าพรรคประชาธิปัตย์เปิดเผยเมื่อ 2 พฤศจิกายน 2569 ว่าได้รับคำเตือนนี้ ตามรายงานของ THE STANDARD และหัวหน้าพรรคประชาชนได้รับคำเตือนลักษณะเดียวกัน

หัวหน้าพรรคประชาธิปัตย์ระบุว่าคำเตือนเกี่ยวกับสปายแวร์ตระกูลเพกาซัส (Pegasus) ผลตรวจเบื้องต้นไม่พบร่องรอยว่าเจาะสำเร็จ แต่ยังไม่ได้ตรวจเชิงลึก ขณะที่ รมว.ดีอี ระบุเมื่อ 3 พฤศจิกายน 2569 ว่า Apple ยังไม่ได้ระบุชื่อซอฟต์แวร์ ชื่อเพกาซัสจึงยังไม่ได้รับการยืนยัน

ข่าวไม่ได้ระบุว่าใครอยู่เบื้องหลัง บทความนี้จึงไม่สรุปว่าหน่วยงานใดเป็นผู้ใช้สปายแวร์

Apple เตือนสปายแวร์ กระทบธุรกิจไทยอย่างไร

Apple เตือนสปายแวร์ กระทบธุรกิจไทยตรงที่ทำให้เห็นว่ามือถือผู้บริหารเป็นจุดรั่วของข้อมูลลูกค้าที่นโยบาย PDPA ขององค์กรส่วนใหญ่ยังไม่ได้เขียนถึง ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนโดยอิงข้อเท็จจริงในข่าว แยกตาม 3 กลุ่มที่เสี่ยงชัดที่สุด

สำนักงานกฎหมาย สื่อ และ NGO เสี่ยงแค่ไหน

กลุ่มนี้เสี่ยงสูงสุด เพราะถือข้อมูลที่คนอยากรู้ เช่น แหล่งข่าว เอกสารคดี และรายชื่อผู้ให้ข้อมูล สปายแวร์ระดับนี้มักเล็งคนเป็นรายตัว ไม่ได้หว่านแห ถ้าผู้บริหารหรือนักข่าวคนหนึ่งได้คำเตือน ข้อมูลของคนที่ติดต่อกับเขาก็อยู่ในความเสี่ยงไปด้วย

จุดที่องค์กรมักพลาดคือคิดว่าเป็นเรื่องส่วนตัวของผู้รับคำเตือน ทั้งที่ในเครื่องมีข้อมูลส่วนบุคคลของลูกความหรือแหล่งข่าว ซึ่งองค์กรเป็นผู้ควบคุมข้อมูล ภาระตาม PDPA จึงตกที่องค์กร ไม่ใช่ที่ตัวบุคคล

บริษัทจดทะเบียนและองค์กรที่ถือข้อมูลอ่อนไหว

บริษัทจดทะเบียน โรงพยาบาลเอกชน และธุรกิจการเงินมีข้อมูลที่มีมูลค่าสูงบนมือถือผู้บริหาร เช่น ข้อมูลดีลที่ยังไม่ประกาศ หรือข้อมูลสุขภาพของลูกค้ารายใหญ่ ถ้าเป็นข้อมูลสุขภาพ ก็เป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 ความเสียหายถ้ารั่วจึงหนักกว่าข้อมูลทั่วไป

สิ่งที่หน่วยงานกำกับดูคือมาตรการก่อนเกิดเหตุและการตัดสินใจหลังรู้เหตุ ขั้นตอนตัดสินใจแจ้งเหตุอยู่ใน คู่มือ: แจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง ต้องทำอย่างไร

SME และคนทั่วไปต้องกังวลไหม

SME ส่วนใหญ่ไม่ใช่เป้าของสปายแวร์ระดับนี้ แต่ควรระวังข้อความปลอมที่ทำทีเป็นคำเตือนความปลอดภัยแล้วหลอกให้กดลิงก์ ภัยประเภทโฆษณาที่แฝงสปายแวร์เคยมีกรณีศึกษาใน Citizen Lab เปิดโปงสปายแวร์ AdFection ส่งผ่านโฆษณาออนไลน์แบบ zero-click ธุรกิจไทยที่ซื้อและขายโฆษณาโปรแกรมเมติกต้องตรวจพาร์ตเนอร์อย่างไรตาม PDPA

เทียบกับกฎหมายไทย: Apple เตือนสปายแวร์ แล้ว PDPA ครอบคลุมแค่ไหน

PDPA ครอบคลุมฝั่งองค์กรเอกชนที่ถือข้อมูลบนมือถือผู้บริหาร แต่ไม่ครอบคลุมกิจการด้านความมั่นคงของรัฐ เพราะ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 4 ยกเว้นไว้ จึงเกิดคำถามว่าถ้าการสอดแนมมาจากฝั่งรัฐ หน่วยงานใดตรวจสอบได้

ช่องว่างที่เห็นชัดคือ PDPA บอกว่าต้องแจ้งเหตุเมื่อ “รู้” แต่ไม่ได้บอกว่าคำเตือนจากผู้ผลิตมือถือที่ยังไม่ยืนยันว่าเจาะสำเร็จ นับเป็นการรู้เหตุแล้วหรือยัง ในมุมของผู้เขียน องค์กรควรถือว่าคำเตือนคือจุดเริ่มประเมิน และบันทึกเหตุผลของการตัดสินใจทุกขั้น เพราะถ้าภายหลังพบว่าเจาะสำเร็จ บันทึกนี้คือหลักฐานว่าองค์กรไม่ได้นิ่งเฉย

ถ้าองค์กรไม่ทำอะไรเลยหลังคำเตือนสปายแวร์ จะเสี่ยงอะไร

ถ้าไม่ทำอะไร องค์กรเสี่ยง 3 เรื่อง คือแจ้ง สคส. ไม่ทัน 72 ชั่วโมงหากภายหลังพบว่าข้อมูลรั่ว พิสูจน์ไม่ได้ว่ามีมาตรการรักษาความปลอดภัยตามมาตรา 37(1) และเสียความไว้วางใจจากลูกค้าที่ข้อมูลอยู่ในเครื่องนั้น

ความเสี่ยงที่มักมองข้ามคือการลบหลักฐานเอง ผู้บริหารที่ตกใจแล้วล้างเครื่องหรือเปลี่ยนเครื่องทันที จะทำให้ตรวจเชิงลึกไม่ได้ องค์กรจะตอบไม่ได้เลยว่าข้อมูลรั่วหรือไม่ และรั่วไปมากแค่ไหน

ไทม์ไลน์ 72 ชั่วโมง: ผู้บริหารได้คำเตือนสปายแวร์แล้วต้องทำอะไรเมื่อไร

ไทม์ไลน์นี้เป็นข้อเสนอของผู้เขียน ปรับจากหน้าที่ตาม PDPA มาตรา 37(4) ที่ให้แจ้ง สคส. ภายใน 72 ชั่วโมงนับจากรู้เหตุ ไม่ใช่ขั้นตอนที่กฎหมายกำหนดเป๊ะ

• ชั่วโมงที่ 0–1: ผู้รับคำเตือนแจ้งหัวหน้าไอทีและ DPO ทันที ห้ามลบข้อความ ห้ามล้างเครื่อง
• ชั่วโมงที่ 1–4: ตรวจว่าคำเตือนมาจาก Apple จริงผ่านช่องทางทางการ แล้วแยกเครื่องออกจากบัญชีงาน
• ชั่วโมงที่ 4–24: ส่งตรวจเชิงลึก (forensic) และทำรายการข้อมูลส่วนบุคคลที่อยู่ในเครื่อง
• ชั่วโมงที่ 24–72: DPO และฝ่ายกฎหมายตัดสินว่าต้องแจ้ง สคส. หรือไม่ พร้อมบันทึกเหตุผลเป็นลายลักษณ์อักษร

ผู้บริหารและ DPO ควรทำอะไรตอนนี้

ผู้บริหารและ DPO ควรเขียนขั้นตอนรับคำเตือนสปายแวร์ไว้ก่อนเกิดเหตุ ไม่ใช่คิดเมื่อคำเตือนมาถึง เช็กลิสต์นี้ทำได้เสร็จภายใน 30 วัน

• 1. DPO เพิ่มหัวข้อ “คำเตือนสปายแวร์ระดับรัฐ” ในแผนรับมือเหตุละเมิดข้อมูล ภายใน 30 วัน ระบุว่าใครรับเรื่อง ใครตัดสินแจ้ง สคส. และใช้ไทม์ไลน์ 72 ชั่วโมงด้านบน
• 2. ฝ่ายไอทีทำรายชื่อผู้บริหารที่เสี่ยงสูงภายใน 14 วัน เช่น CEO หุ้นส่วน ผู้ดูแลดีลหรือคดีใหญ่ แล้วเปิด Lockdown Mode ให้กลุ่มนี้
• 3. ฝ่ายไอทีหาผู้ให้บริการตรวจเชิงลึกมือถือไว้ล่วงหน้า ทำข้อตกลงรักษาความลับไว้ก่อน เพื่อส่งเครื่องตรวจได้ภายในวันเดียวกับที่ได้คำเตือน
• 4. ฝ่ายบุคคลแจ้งผู้บริหารทุกคนภายในเดือนแรก ว่าถ้าได้คำเตือน ห้ามลบข้อความ ห้ามล้างเครื่อง และห้ามกดลิงก์ในข้อความที่อ้างว่าเป็นคำเตือน ให้แจ้ง DPO ก่อน
• 5. DPO แยกข้อมูลลูกค้าออกจากมือถือส่วนตัวของผู้บริหาร ให้เข้าถึงผ่านแอปที่องค์กรควบคุมได้และสั่งล็อกระยะไกลได้ ตามแนวใน คู่มือใช้เทคโนโลยีอย่างปลอดภัยและปกป้องข้อมูล

ถ้าอยากเห็นภาพความเสี่ยงไซเบอร์ที่องค์กรไทยรายงานในภาพรวม อ่านประกอบได้ที่ สกมช. เผยรายงานความเสี่ยงไซเบอร์ไทย 2569 ชี้การโจมตีด้วย AI ขึ้นอันดับ 1 ผู้ตอบ 68.1% องค์กรไทยควรปรับทะเบียนความเสี่ยงและสัญญาผู้ให้บริการ AI อย่างไร

มุมมองผู้เชี่ยวชาญ

“คำเตือนจาก Apple ยังไม่ใช่หลักฐานว่าถูกเจาะ แต่มันคือนาฬิกาที่เริ่มเดินแล้วสำหรับองค์กรที่ข้อมูลลูกค้าอยู่ในเครื่องนั้น นโยบาย PDPA ของบริษัทไทยส่วนใหญ่เขียนถึงเซิร์ฟเวอร์และคลาวด์ แต่แทบไม่มีใครเขียนถึงมือถือของ CEO ทั้งที่เป็นเครื่องที่ถือความลับมากที่สุดในองค์กร มือถือผู้บริหารคือห้องเก็บเอกสารที่ไม่มีกุญแจ และเดินออกจากออฟฟิศทุกเย็น จุดที่องค์กรมักพลาดคือไม่มีใครเป็นเจ้าของชั่วโมงแรก ควรเช็กว่าแผนรับมือเหตุของคุณตอบได้ไหมว่าใครรับเรื่องเมื่อคำเตือนมาถึงตอนตีสอง”

— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law

ประวัติผู้เขียน · นโยบายบรรณาธิการ

คำถามที่พบบ่อยเกี่ยวกับ Apple เตือนสปายแวร์

Apple เตือนสปายแวร์ แปลว่ามือถือถูกเจาะแล้วใช่ไหม

ไม่จำเป็น คำเตือนจาก Apple หมายความว่าบริษัทเชื่อว่าผู้ใช้ตกเป็นเป้า ไม่ได้ยืนยันว่าเจาะสำเร็จ ในกรณีของไทย ผลตรวจเบื้องต้นไม่พบร่องรอยการเจาะสำเร็จ แต่ยังไม่ได้ตรวจเชิงลึก

ถ้าผู้บริหารได้คำเตือนสปายแวร์ ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงไหม

ขึ้นกับผลประเมิน PDPA มาตรา 37(4) ให้แจ้ง สคส. ภายใน 72 ชั่วโมงนับจากรู้เหตุละเมิด เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล องค์กรจึงควรเริ่มประเมินทันทีที่ได้คำเตือน และบันทึกเหตุผลถ้าตัดสินว่าไม่ต้องแจ้ง

PDPA คุ้มครองกรณีถูกสอดแนมโดยรัฐหรือไม่

PDPA มาตรา 4 ยกเว้นกิจการด้านความมั่นคงของรัฐ จึงยังมีคำถามว่าหน่วยงานใดตรวจสอบได้ ส่วนองค์กรเอกชนที่ถือข้อมูลลูกค้ายังมีหน้าที่ตามมาตรา 37(1) ให้จัดมาตรการรักษาความปลอดภัยเหมือนเดิม

อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้

• เข้ารหัสแล้วยังต้องแจ้งเหตุไหม? ดู 10 ตัวอย่างที่ สคส. ตอบไว้ — ช่วยตัดสินว่ามือถือที่เข้ารหัสไว้แต่อาจถูกสปายแวร์เล็ง เข้าข่ายต้องแจ้ง สคส. หรือไม่ (aipdpa.com)

แหล่งอ้างอิง

• THE STANDARD — ดีอีชง สมช. กรณี Apple แจ้งเตือนการแฮ็ก (อ่านต้นฉบับ)
• THE STANDARD — หัวหน้าพรรคประชาธิปัตย์ได้รับคำเตือนสปายแวร์จาก Apple (อ่านต้นฉบับ)
• The Reporters — รายงานข่าวเรื่องเดียวกัน (อ่านต้นฉบับ)

บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ

Related Posts

แอปทางรัฐแจ้งเตือนเยียวยาน้ำท่วมซ้ำเพราะคิวค้าง DGA ยืนยันไม่ถูกแฮก แล้วองค์กรต้องประเมินเหตุตาม PDPA อย่างไร

DGA แจงแอปทางรัฐส่งแจ้งเต…

ตรงเรื่อง 66.8%

ข้อมูลลูกค้าสินเชื่อ SBI แบงก์ใหญ่สุดอินเดีย 3,897 รายโผล่ดาร์กเว็บ ถ้าเกิดกับแบงก์ไทย ต้องแจ้ง สคส. ภายใน 72 ชั่วโมง

State Bank of India แจ้งต…

ตรงเรื่อง 66.6%