ธนาคารถูกแฮกจนเงินในบัญชีหาย โดยที่ลูกค้าไม่ได้ทำรายการเอง ธนาคารต้องคืนเงินให้ครบจำนวน เพราะตามสัญญาฝากเงิน เงินที่ฝากตกเป็นของธนาคาร และธนาคารมีหนี้ต้องคืนเท่าที่ฝาก ณ 9 พฤศจิกายน 2569 ธนาคารแห่งประเทศไทย (ธปท.) ยืนยันว่ายังไม่พบผลกระทบต่อธนาคารในไทย แต่มีความเชื่อเรื่องเงิน 1 ล้านบาทที่คนส่วนใหญ่เข้าใจผิด
สรุปสั้น: ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 672 วางหลักว่าผู้รับฝากเงินไม่ต้องคืนเงินตราอันเดียวกัน แต่ต้องคืนให้ครบจำนวน เงินที่ถูกขโมยจากระบบของธนาคารจึงเป็นความเสียหายของธนาคาร ส่วนความคุ้มครองเงินฝาก 1 ล้านบาทต่อรายต่อสถาบัน ใช้เมื่อสถาบันการเงินถูกเพิกถอนใบอนุญาตเท่านั้น
เงินในบัญชีหายเพราะธนาคารถูกแฮก ธนาคารต้องรับผิดชอบไหม
ได้ ถ้าเงินหายเพราะระบบของธนาคารถูกเจาะ ธนาคารต้องรับผิดชอบคืนเงินเต็มจำนวน เงื่อนไขสำคัญคือรายการนั้นต้องไม่ได้เกิดจากลูกค้าเป็นคนทำรายการ ให้รหัส หรือกดยืนยันเอง
เหตุผลอยู่ที่ลักษณะของสัญญาฝากเงิน ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 672 ทำให้เงินที่เราฝากไม่ใช่ “ธนบัตรของเราที่ฝากไว้ในตู้” แต่เป็นหนี้ที่ธนาคารต้องคืนเราเท่าจำนวนที่ฝาก
ลองนึกภาพการฝากเงินไว้กับร้านทองที่ให้ใบรับฝาก ถ้าโจรงัดร้าน ร้านจะบอกว่า “เงินของคุณถูกขโมยไป” ไม่ได้ เพราะร้านมีหน้าที่คืนเงินตามใบรับฝาก ความเสียหายจากโจรเป็นของร้าน ธนาคารก็อยู่ในฐานะเดียวกัน
ธนาคารถูกแฮก กับถูกหลอกให้โอนเงินเอง ต่างกันอย่างไร
ธนาคารถูกแฮกกับลูกค้าถูกหลอกให้โอนเอง ใช้หลักความรับผิดต่างกันมาก กรณีแรกเงินหายจากระบบของธนาคาร กรณีที่สองลูกค้าเป็นคนกดโอนแม้จะถูกหลอก ซึ่งต้องไปดูอีกกฎหมายหนึ่ง
| ประเด็น | ระบบธนาคารถูกเจาะ | ลูกค้าถูกหลอกให้โอนเอง |
|---|---|---|
| ใครทำรายการ | คนร้ายผ่านระบบของธนาคาร | ลูกค้ากดโอนหรือให้รหัสเอง |
| หลักกฎหมายที่ใช้ | สัญญาฝากเงิน ปพพ. ม.672 ธนาคารต้องคืนครบจำนวน | หลักความรับผิดร่วมของธนาคารและผู้ให้บริการโทรคมนาคม ตาม พ.ร.ก.อาชญากรรมทางเทคโนโลยีฉบับแก้ไข |
| ภาระพิสูจน์ในทางปฏิบัติ | ธนาคารต้องอธิบายว่ารายการเกิดได้อย่างไร | ต้องดูว่าธนาคารทำตามมาตรการป้องกันที่กำหนดหรือไม่ |
| คุ้มครองเงินฝาก 1 ล้านบาท | ไม่ใช้ | ไม่ใช้ |
กรณีถูกหลอกโอนเงิน พ.ร.ก.มาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยีฉบับแก้ไขวางหลักให้ธนาคารและผู้ให้บริการโทรคมนาคมอาจต้องร่วมรับผิด ถ้าไม่ได้ทำตามมาตรการป้องกันที่กำหนด รายละเอียดอยู่ใน พ.ร.ก. อาชญากรรมเทคโนโลยีฉบับใหม่: ถูกแก๊งคอลเซ็นเตอร์หลอก ใครต้องรับผิดแทนคุณ
คุ้มครองเงินฝาก 1 ล้านบาท ใช้กับกรณีแบงก์ถูกแฮกไหม
ไม่ใช้ เรื่องที่คนเข้าใจผิดบ่อยคือ เชื่อว่าถ้าแบงก์ถูกแฮก จะได้เงินคืนแค่ 1 ล้านบาท ความจริงคือ พระราชบัญญัติสถาบันคุ้มครองเงินฝาก พ.ศ. 2551 คุ้มครอง 1 ล้านบาทต่อรายต่อสถาบัน เฉพาะเมื่อสถาบันการเงินถูกเพิกถอนใบอนุญาตเท่านั้น
ปมที่บอกไว้ตอนต้นคลายตรงนี้ เหตุแฮกไม่ได้ทำให้สิทธิของผู้ฝากถูกจำกัดที่ 1 ล้านบาท เพราะสิทธิของเรามาจากสัญญาฝากเงิน ธนาคารต้องคืนเงินเต็มจำนวนที่หายไปจากระบบ ไม่ใช่เพดาน 1 ล้านบาท ตัวเลข 1 ล้านบาทจะเข้ามาเกี่ยวก็ต่อเมื่อธนาคารล้มจนถูกเพิกถอนใบอนุญาต ซึ่งเป็นคนละเหตุการณ์
ทำไมคนถามเรื่องธนาคารถูกแฮกตอนนี้
คนถามเพราะเมื่อ 9 พฤศจิกายน 2569 ผู้ว่าการ ธปท. ประชุมด่วนกับผู้บริหารไอทีและความปลอดภัยไซเบอร์ของสถาบันการเงินทุกแห่ง ร่วมกับ TB-CERT และสมาคมธนาคารไทย และสั่งให้รายงานความพยายามโจมตีเป็นรายวัน ตามรายงานของ อินโฟเควสท์
ฉากหลังคือเหตุในต่างประเทศ Reuters รายงานเมื่อ 5 พฤศจิกายน 2569 ว่าธนาคารฝรั่งเศส Crédit Mutuel Arkéa แจ้งเงินหาย 100 ล้านยูโรหลังถูกโจมตีทางไซเบอร์ ส่วน ธปท. ไม่ได้ระบุชื่อธนาคารต่างประเทศในแถลง ยังไม่มีข่าวยืนยันว่าธนาคารไทยรายใดถูกเจาะสำเร็จ ตามรายงานของ กรุงเทพธุรกิจ
ต้องถอนเงินสดมาเก็บไว้ที่บ้านไหม
ไม่จำเป็น แม้ข่าวธนาคารถูกแฮกในต่างประเทศจะทำให้กังวล ผู้ว่าการ ธปท. ระบุว่าระบบการเงินไทยยังปลอดภัยและรับมือได้ ประชาชนไม่ต้องกังวลเรื่องการถอนเงินหรือการใช้แอปธนาคาร ประธานสมาคมธนาคารไทยก็ขอให้ประชาชนไม่ต้องเร่งถอนเงินสด
ในมุมกฎหมาย เงินในบัญชีมีสิทธิตามสัญญาฝากเงินคุ้มครองอยู่ ส่วนเงินสดที่บ้านถ้าหายหรือถูกขโมย ไม่มีใครต้องคืนให้ การแห่ถอนเงินจึงย้ายความเสี่ยงจากธนาคารมาไว้ที่ตัวเอง
เงื่อนไขแอปธนาคารเขียนเรื่องความรับผิดไว้อย่างไร
เงื่อนไขแอปธนาคารส่วนใหญ่มีข้อว่าด้วย “ความรับผิดของผู้ใช้” ซึ่งกำหนดหน้าที่ลูกค้าเก็บรักษารหัสและอุปกรณ์ ข้อนี้คือจุดที่ธนาคารจะยกขึ้นต่อสู้ถ้ามีข้อพิพาท
อ่านแบบนักกฎหมาย: เปิดเงื่อนไขการใช้บริการแอปของธนาคารที่ใช้อยู่ แล้วหาคำว่า “ความรับผิด” “รหัสผ่าน” และ “การแจ้งเหตุ” ดูว่าธนาคารกำหนดให้ลูกค้าแจ้งภายในกี่วันหลังพบรายการผิดปกติ และธนาคารรับผิดในกรณีใด ถ้าเงื่อนไขเขียนให้ลูกค้ารับผิดทุกกรณีแม้ระบบธนาคารบกพร่อง ข้อนั้นอาจถูกตรวจสอบตามกฎหมายว่าด้วยข้อสัญญาที่ไม่เป็นธรรม
ถ้าไม่ทำอะไรเลยเมื่อเงินหาย จะเสี่ยงอะไร
ถ้าสงสัยว่าธนาคารถูกแฮกหรือพบรายการผิดปกติแล้วไม่แจ้ง ความเสี่ยงคือพิสูจน์ได้ยากว่าเงินหายเพราะระบบธนาคาร ไม่ใช่เพราะเราทำเอง
- เลยกรอบแจ้งเหตุตามเงื่อนไขแอป ธนาคารอาจอ้างว่าลูกค้าแจ้งช้าเกินไป
- หลักฐานหาย ข้อความแจ้งเตือนและภาพหน้าจอเป็นหลักฐานสำคัญว่าเราไม่ได้ทำรายการ
- เงินถูกโอนต่อหลายทอด ยิ่งแจ้งช้า การระงับบัญชีปลายทางยิ่งยาก
ผู้ฝากเงินควรทำตามทีละขั้นอย่างไร
ขั้นตอนนี้ใช้ได้ทั้งกรณีสงสัยว่าระบบแบงก์มีปัญหาและกรณีพบรายการแปลก
- 1. เปิดแจ้งเตือนทุกรายการในแอปธนาคาร จะได้รู้ทันทีถ้ามีเงินออกที่เราไม่ได้ทำ
- 2. โทรสายด่วนธนาคารทันทีที่พบรายการผิดปกติ ใช้เบอร์หลังบัตรหรือในแอป ไม่ใช้เบอร์จากข้อความที่ส่งมา
- 3. เก็บหลักฐาน แคปหน้าจอรายการ ข้อความแจ้งเตือน และจดเวลาที่โทรแจ้งธนาคาร
- 4. ขอเลขรับเรื่องเป็นลายลักษณ์อักษร แล้วแจ้งความออนไลน์ประกอบ
- 5. ไม่ให้รหัสหรือ OTP กับใครที่โทรมาอ้างว่าแบงก์ถูกแฮก ช่วงที่ข่าวไซเบอร์ดัง มิจฉาชีพมักใช้ข่าวเป็นข้ออ้าง ดูวิธีป้องกันข้อมูลตัวเองเพิ่มเติมได้ที่ คู่มือใช้เทคโนโลยีอย่างปลอดภัยและปกป้องข้อมูล
มุมมองผู้เชี่ยวชาญ
คำถาม “แบงก์ถูกแฮกแล้วเงินเราหายไหม” มีคำตอบทางกฎหมายที่ชัดกว่าที่คนคิด เงินในบัญชีคือหนี้ที่ธนาคารต้องคืนเรา ไม่ใช่ธนบัตรที่ถูกขโมยไปจากมือเรา จุดที่ผู้ฝากมักพลาดคือสับสนระหว่างแบงก์ถูกเจาะกับการถูกหลอกให้โอนเอง และไม่เก็บหลักฐานตั้งแต่ต้น ควรเช็กเงื่อนไขแอปข้อการแจ้งเหตุไว้ก่อนเกิดเรื่อง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับธนาคารถูกแฮก
แอปธนาคารล่ม โอนเงินไม่ได้ เรียกค่าเสียหายได้ไหม
เรียกได้ยากถ้าเป็นการล่มชั่วคราว เพราะเงินยังอยู่ครบ ต้องพิสูจน์ความเสียหายที่เกิดจริงจากการโอนไม่ได้ เช่น ค่าปรับที่ต้องจ่ายเพราะชำระช้า และต้องดูเงื่อนไขแอปว่าธนาคารจำกัดความรับผิดเรื่องระบบขัดข้องไว้อย่างไร
ถ้าธนาคารต่างประเทศที่เราเปิดบัญชีถูกแฮก ใช้หลักเดียวกันไหม
ไม่แน่นอน บัญชีต่างประเทศอยู่ใต้กฎหมายของประเทศนั้นและเงื่อนไขของธนาคารนั้น หลักสัญญาฝากเงินของไทยใช้กับบัญชีที่เปิดกับธนาคารในไทย มุมยุโรปเรื่องการคืนเงินเหยื่อฟิชชิงดูได้ใน ศาลยุโรปสั่งแบงก์คืนเงินเหยื่อฟิชชิงทันที แม้ลูกค้าประมาทร้ายแรง (C-70/25) แบงก์และฟินเทคไทยต้องเทียบ พ.ร.ก. อาชญากรรมทางเทคโนโลยีอย่างไร
ธนาคารปฏิเสธคืนเงิน ร้องเรียนที่ไหนได้
ร้องเรียนได้ที่ศูนย์คุ้มครองผู้ใช้บริการทางการเงินของ ธปท. ก่อนฟ้องศาล ควรแนบเลขรับเรื่องจากธนาคาร ภาพหน้าจอรายการ และบันทึกเวลาที่แจ้ง
ข้อมูลบัญชีรั่วจากแบงก์ แต่เงินยังไม่หาย ต้องทำอะไร
ให้เปลี่ยนรหัสแอปและเฝ้าดูรายการ เพราะข้อมูลที่รั่วมักถูกใช้หลอกต่อ ธนาคารในฐานะผู้ควบคุมข้อมูลมีหน้าที่ตาม PDPA ต้องแจ้งเหตุ ภาคการเงินเป็นภาคที่มีเหตุข้อมูลรั่วสูงตามสถิติ สคส. ใน สคส. เปิดสถิติ PDPA ร้องเรียน 4,210 เรื่อง ข้อมูลรั่ว 1,650 เหตุ เกินครึ่งไม่ใช่แฮกเกอร์ ภาคการเงินนำ 723 เหตุ ธุรกิจไทยต้องปิดช่องไหนก่อน
แหล่งอ้างอิง
- อินโฟเควสท์ — อินโฟเควสท์ (อ่านต้นฉบับ)
- กรุงเทพธุรกิจ — กรุงเทพธุรกิจ (อ่านต้นฉบับ)
- ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 672 · พระราชบัญญัติสถาบันคุ้มครองเงินฝาก พ.ศ. 2551
- บทความที่เกี่ยวข้อง: ธปท. เขย่าเกม Security: เลิก SMS OTP แล้วธุรกิจไทยต้องทำอะไรต่อ?
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
