Astrana Health voice spoofing คือข่าวที่ทำให้คำว่า “แก๊งคอลเซ็นเตอร์” ขยับจากเรื่องของชาวบ้านมาเป็นเรื่องของฝ่าย IT ในบริษัท ลองนึกภาพพนักงาน help desk รับสายที่หน้าจอโชว์เบอร์กลางของบริษัทเอง ปลายสายบอกว่าเป็นพนักงานที่ลืมรหัสผ่าน แล้วขอให้รีเซ็ตให้ด่วน บริษัทในสหรัฐฯ รายหนึ่งเพิ่งเสียการควบคุมเซิร์ฟเวอร์ด้วยสายแบบนี้ และต้องแจ้งหน่วยงานกำกับตลาดทุน
สรุปสั้น: Astrana Health แจ้งคณะกรรมการกำกับหลักทรัพย์สหรัฐฯ (SEC) ว่าถูกเจาะ โดยแฮ็กเกอร์ปลอมตัวเป็นพนักงานผ่านการใช้เบอร์โทรหลักของบริษัท (voice spoofing) จนได้สิทธิ์เข้าเซิร์ฟเวอร์ บริษัทนี้มีรายได้ไตรมาสละ $972.5M แต่ถูกเจาะด้วยสายโทรศัพท์เพียงสาย องค์กรไทยควรเลิกเชื่อเบอร์ที่โชว์บนหน้าจอเป็นหลักฐานตัวตน และวางขั้นตอนยืนยันตัวตนที่ help desk ใหม่
Astrana Health voice spoofing คืออะไร เกิดอะไรขึ้น
Astrana Health voice spoofing คือเหตุที่ผู้โจมตีทำให้สายโทรศัพท์ดูเหมือนโทรมาจากเบอร์หลักของ Astrana Health แล้วปลอมตัวเป็นพนักงาน จนได้สิทธิ์เข้าถึงเซิร์ฟเวอร์ของบริษัท The Record รายงานเรื่องนี้เมื่อวันที่ 24 กันยายน 2026 จากข้อมูลที่บริษัทแจ้งต่อ SEC
จุดที่ทำให้ข่าวนี้น่าสนใจคือขนาดของบริษัท Astrana Health มีรายได้ไตรมาสละ $972.5M ซึ่งหมายความว่ามีงบด้านความปลอดภัยไม่น้อย แต่ช่องทางที่ถูกใช้ไม่ใช่ช่องโหว่ซอฟต์แวร์ซับซ้อน กลับเป็นโทรศัพท์และความเชื่อใจของคน
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| บริษัท | Astrana Health (สหรัฐฯ) |
| วิธีโจมตี | ปลอมตัวเป็นพนักงาน โดยใช้เบอร์หลักของบริษัท (voice spoofing) |
| ผลลัพธ์ | ผู้โจมตีได้สิทธิ์เข้าถึงเซิร์ฟเวอร์ |
| การเปิดเผย | แจ้งต่อ SEC |
| ขนาดบริษัท | รายได้ไตรมาสละ $972.5M |
| แหล่งข่าว | The Record (24 ก.ย. 2026) |
Astrana Health voice spoofing กระทบธุรกิจไทยอย่างไร
Astrana Health voice spoofing กระทบธุรกิจไทยเพราะวิธีโจมตีนี้ไม่ต้องใช้เทคโนโลยีแพง และคนไทยคุ้นกับการปลอมเบอร์โทรจากแก๊งคอลเซ็นเตอร์อยู่แล้ว ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว
ฝ่าย IT help desk ขององค์กรไทย
ฝ่าย IT help desk ขององค์กรไทยคือจุดที่เสี่ยงที่สุด เพราะหลายแห่งยังรีเซ็ตรหัสผ่านทางโทรศัพท์โดยเช็กแค่ชื่อ รหัสพนักงาน และเบอร์ที่โทรเข้ามา ข้อมูลเหล่านี้หาได้ไม่ยากจาก LinkedIn หรือเอกสารที่เคยรั่ว และเบอร์ที่โชว์บนหน้าจอก็ปลอมได้
ตัวอย่างสมมติ: บริษัท 300 คนในกรุงเทพฯ มี IT สองคน เย็นวันศุกร์มีสายเข้าจากเบอร์กลางของบริษัท อ้างว่าเป็นผู้จัดการฝ่ายขายที่อยู่ต่างจังหวัด เข้าอีเมลไม่ได้และต้องส่งใบเสนอราคาด่วน IT ที่อยากช่วยก็รีเซ็ตให้ทันที นั่นคือจังหวะเดียวที่แฮ็กเกอร์ต้องการ
ทำไมเบอร์บริษัทถึงหลอกได้ผลกว่าเบอร์แปลก
เบอร์บริษัทหลอกได้ผลกว่าเพราะคนรับสายลดการระวังลงทันทีที่เห็นเบอร์ที่คุ้นเคย พูดง่าย ๆ คือ caller ID ถูกใช้เป็นหลักฐานตัวตน ทั้งที่มันไม่เคยถูกออกแบบมาเพื่อยืนยันตัวตนเลย กรณี Astrana Health voice spoofing แสดงว่าแม้องค์กรใหญ่ก็ตกหลุมนี้ได้
มิติกฎหมาย: PDPA และ พ.ร.บ.คอมพิวเตอร์
ในมิติกฎหมายไทย ผู้ที่ใช้วิธีหลอกเพื่อเข้าถึงระบบคอมพิวเตอร์ของผู้อื่นโดยไม่มีสิทธิ์ อาจมีความผิดฐานเข้าถึงระบบโดยมิชอบตาม พ.ร.บ.คอมพิวเตอร์ มาตรา 5 และถ้าเข้าถึงข้อมูลด้วยก็อาจเข้ามาตรา 7 แต่ฝั่งองค์กรเองก็มีหน้าที่ตาม PDPA มาตรา 37(1) ที่ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
คำถามที่ สคส. หรือศาลอาจถามหลังเกิดเหตุคือ ขั้นตอนยืนยันตัวตนของ help desk เหมาะสมกับความเสี่ยงหรือไม่ ถ้าคำตอบคือ “เชื่อเบอร์ที่โชว์บนหน้าจอ” องค์กรจะอธิบายได้ยาก และถ้ามีข้อมูลส่วนบุคคลรั่ว ก็ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4)
บริษัทจดทะเบียนและบริษัทที่มีนักลงทุน
บริษัทจดทะเบียนและบริษัทที่มีนักลงทุนควรสังเกตว่า Astrana Health ต้องแจ้งเหตุนี้ต่อ SEC ในระดับเหตุการณ์ที่มีนัยสำคัญ แปลว่าช่องทางโทรศัพท์ไม่ใช่แค่เรื่องของฝ่าย IT อีกต่อไป แต่เป็นความเสี่ยงที่คณะกรรมการบริษัทต้องรู้ บอร์ดของบริษัทไทยควรถามฝ่ายบริหารตรง ๆ ว่า ถ้ามีคนโทรมาขอรีเซ็ตรหัสของผู้บริหาร เราเช็กอะไรบ้าง
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย องค์กรเสี่ยงให้กุญแจระบบกับคนแปลกหน้าผ่านสายโทรศัพท์เพียงสาย ผลที่ตามมาอาจเป็นข้อมูลลูกค้ารั่ว ระบบถูกล็อก หรือเงินถูกโอนออกผ่านอีเมลปลอมจากบัญชีจริง และหลังเกิดเหตุ องค์กรจะต้องอธิบายต่อ สคส. ว่ามาตรการความปลอดภัยเหมาะสมแล้วหรือไม่
องค์กรไทยควรทำอะไรตอนนี้
องค์กรไทยควรเริ่มจากการเขียนขั้นตอนยืนยันตัวตนที่ help desk ใหม่ ให้ไม่พึ่ง caller ID เลย บทเรียนจาก Astrana Health voice spoofing คือ มาตรการที่ได้ผลส่วนใหญ่ราคาถูก แต่ต้องทำให้เป็นกติกา ไม่ใช่ดุลพินิจของคนรับสาย
- 1. เลิกใช้เบอร์ที่โชว์บนหน้าจอเป็นหลักฐานตัวตน เขียนเป็นนโยบายชัดเจนว่า caller ID ไม่นับเป็นการยืนยันตัวตน ไม่ว่าจะเป็นเบอร์ของใคร
- 2. โทรกลับไปเบอร์ที่ลงทะเบียนไว้ทุกครั้ง ก่อนรีเซ็ตรหัสผ่านหรือเปลี่ยนอุปกรณ์ยืนยันตัวตน ให้วางสายแล้วโทรกลับไปเบอร์ในระบบ HR
- 3. ให้หัวหน้าหรือคนที่สองอนุมัติการขอสิทธิ์สูง โดยเฉพาะบัญชีผู้บริหาร บัญชีผู้ดูแลระบบ และบัญชีที่เข้าถึงข้อมูลลูกค้าจำนวนมาก
- 4. บันทึกและแจ้งเตือนทุกการรีเซ็ตรหัสผ่านจาก help desk ส่งแจ้งเตือนไปยังเจ้าของบัญชีทางช่องทางอื่นทันที เพื่อให้เจ้าตัวรู้ถ้าไม่ได้ขอเอง
- 5. ซ้อมให้ help desk รับมือสายหลอก ใช้สถานการณ์จริงแบบ “ผู้บริหารโทรมาเร่งด่วนวันศุกร์เย็น” และให้คำชมกับคนที่กล้าปฏิเสธตามขั้นตอน
ถ้าองค์กรต้องการคนช่วยทบทวนมาตรการรักษาความปลอดภัยตาม PDPA และขั้นตอนรับมือเหตุละเมิด ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านเรื่องความเป็นส่วนตัวเพิ่มเติมได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
คนไทยถูกสอนมาหลายปีว่าอย่าเชื่อสายที่อ้างว่าโทรจากธนาคารหรือตำรวจ แต่ในบริษัท เรากลับสอนพนักงาน help desk ให้ช่วยทุกคนที่โทรมาจากเบอร์ภายในให้เร็วที่สุด เบอร์บนหน้าจอบอกได้แค่ว่าสายมาจากไหน ไม่เคยบอกว่าคนพูดคือใคร เหตุของ Astrana Health ไม่ใช่ความล้มเหลวของเทคโนโลยี แต่เป็นความล้มเหลวของขั้นตอน และขั้นตอนคือสิ่งที่องค์กรไทยแก้ได้ภายในสัปดาห์เดียว
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Astrana Health voice spoofing
Astrana Health voice spoofing เกิดขึ้นอย่างไร
ตามรายงานของ The Record แฮ็กเกอร์ปลอมตัวเป็นพนักงานโดยใช้เบอร์หลักของบริษัท จนได้สิทธิ์เข้าถึงเซิร์ฟเวอร์ Astrana Health แจ้งเหตุนี้ต่อ SEC
Voice spoofing คืออะไร
Voice spoofing หรือการปลอมเบอร์โทร คือการทำให้หน้าจอผู้รับสายโชว์เบอร์ที่ผู้โทรไม่ได้เป็นเจ้าของ เช่น เบอร์ของบริษัทหรือธนาคาร เพื่อให้ผู้รับสายเชื่อใจและทำตามที่ขอ
ทำไม Astrana Health ต้องแจ้ง SEC
บริษัทจดทะเบียนในสหรัฐฯ ต้องเปิดเผยเหตุไซเบอร์ที่มีนัยสำคัญต่อ SEC การที่ Astrana Health แจ้งเหตุนี้แสดงว่าเหตุที่เริ่มจากสายโทรศัพท์สามารถกลายเป็นความเสี่ยงระดับที่นักลงทุนต้องรู้ได้
องค์กรไทยป้องกัน voice spoofing ที่ help desk อย่างไร
วิธีหลักคือเลิกใช้เบอร์ที่โชว์เป็นหลักฐานตัวตน โทรกลับไปเบอร์ที่ลงทะเบียนไว้ ให้คนที่สองอนุมัติการขอสิทธิ์สูง และแจ้งเตือนเจ้าของบัญชีทุกครั้งที่มีการรีเซ็ตรหัสผ่าน
แหล่งอ้างอิง
- The Record — (อ่านต้นฉบับ) — อ่านที่ The Record
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ และติดตามเรื่องธุรกิจดิจิทัลเพิ่มเติมได้ที่ หมวด Digital Business
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
