Canva ข้อมูลรั่ว คือเหตุที่ Canva ยืนยันว่าข้อมูลลูกค้าองค์กรบางส่วนถูกเข้าถึง หลังผู้บุกรุกเข้าเครื่องมือภายนอกชื่อ Canny แล้วเข้าถึงข้อมูลผ่านการเชื่อมต่อกับ Salesforce ตัวแพลตฟอร์ม Canva เองไม่ถูกเจาะ บทความนี้เหมาะกับ DPO ฝ่ายไอที และฝ่ายจัดซื้อขององค์กรไทยที่ใช้ Canva for Enterprise อ่านแล้วจะรู้ว่าต้องถามอะไรและแจ้งใคร
ลองนึกภาพบริษัทไทย 200 คนที่ซื้อ Canva แบบองค์กรให้ทีมการตลาด บริษัทเซ็นสัญญากับ Canva แต่ไม่เคยรู้ว่า Canva ใช้ Canny เก็บความเห็นลูกค้า และ Canny เชื่อมกับ Salesforce อีกทอดหนึ่ง วันที่ข้อมูลรั่ว ช่องโหว่อยู่ในบริษัทที่ลูกค้าไม่เคยได้ยินชื่อ
สรุปสั้น: Canva ยอมรับว่าข้อมูลลูกค้าองค์กรบางส่วนรั่ว หลังผู้บุกรุกเข้า Canny แล้วเข้าถึงข้อมูลผ่านการเชื่อม Salesforce โดยแพลตฟอร์ม รหัสผ่าน และงานออกแบบไม่ถูกเจาะ องค์กรไทยที่ใช้ Canva ควรสอบถามผู้ให้บริการ ประเมินการแจ้ง สคส. ภายใน 72 ชั่วโมง และแก้สัญญา DPA ให้คุมผู้ประมวลผลช่วง
Canva ข้อมูลรั่ว เกิดอะไรขึ้น ใครถูกกระทบ
Canva ข้อมูลรั่วครั้งนี้เริ่มจากกลุ่มที่เรียกตัวเองว่า Seven Deadly Sins ประกาศชื่อ Canva บนเว็บปล่อยข้อมูลเมื่อ 16 ตุลาคม 2569 (ค.ศ. 2026) ต่อมา Canva ยอมรับกับ CyberDaily ว่าข้อมูลลูกค้าองค์กรบางส่วนรั่ว ผ่านเส้นทาง Canny ไปสู่ Salesforce
ข้อมูลที่รั่วคือข้อมูลติดต่อและเอกสารธุรกิจ แฮกเกอร์อ้างว่ามี 2 ล้านระเบียนและขายไปแล้ว ตัวเลขและการขายนี้เป็นคำอ้างของแฮกเกอร์ ยังไม่มีการยืนยัน Canva ระบุว่าแพลตฟอร์มหลัก รหัสผ่าน และงานออกแบบไม่ถูกเจาะ และตัดสิทธิ์ Canny แล้ว
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ประกาศบนเว็บปล่อยข้อมูล | 16 ตุลาคม 2569 โดยกลุ่ม Seven Deadly Sins |
| เส้นทางที่ถูกเข้าถึง | เครื่องมือ Canny ที่เชื่อมกับ Salesforce |
| ข้อมูลที่รั่ว | ข้อมูลติดต่อและเอกสารธุรกิจของลูกค้าองค์กรบางส่วน |
| คำอ้างของแฮกเกอร์ | 2 ล้านระเบียนและขายแล้ว (ยังไม่ยืนยัน) |
| สิ่งที่ไม่ถูกเจาะ | แพลตฟอร์ม รหัสผ่าน และงานออกแบบ |
Canva ข้อมูลรั่ว กระทบองค์กรไทยอย่างไร
Canva ข้อมูลรั่ว กระทบองค์กรไทยที่ใช้ Canva แบบองค์กรโดยตรง เพราะข้อมูลติดต่อของพนักงานหรือลูกค้าที่องค์กรส่งให้ Canva อาจอยู่ในชุดที่รั่ว ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
องค์กรไทยที่ใช้ Canva for Enterprise ต้องแจ้ง สคส. หรือไม่
ขึ้นกับว่าข้อมูลขององค์กรถูกกระทบหรือไม่ และมีความเสี่ยงต่อเจ้าของข้อมูลแค่ไหน องค์กรในฐานะผู้ควบคุมข้อมูลต้องประเมินเองและแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตาม PDPA มาตรา 37(4) ถ้ามีความเสี่ยง ขั้นแรกจึงต้องถาม Canva ให้ได้คำตอบเป็นลายลักษณ์อักษรว่าบัญชีองค์กรเราอยู่ในกลุ่มที่ถูกกระทบหรือไม่
ลำดับว่าใครต้องแจ้งใครเมื่อผู้รับจ้างเป็นต้นเหตุ สรุปไว้ใน ผู้รับจ้างทำข้อมูลรั่ว ใครต้องแจ้งใคร ภายในกี่ชั่วโมง
ทำไมเหตุรั่วผ่าน Canny จึงเป็นปัญหาของสัญญา ไม่ใช่แค่ปัญหาไอที
เพราะลูกค้าไม่ได้เซ็นสัญญากับ Canny และอาจไม่รู้ด้วยซ้ำว่า Canny มีอยู่ เหตุนี้คือกรณี “ผู้ให้บริการของผู้ให้บริการ” ถ้าสัญญา DPA ไม่บังคับให้ผู้ให้บริการแจ้งรายชื่อผู้ประมวลผลช่วงและเวลาแจ้งเหตุ องค์กรจะรู้เรื่องจากข่าวก่อนรู้จากคู่สัญญา
ภาพเดียวกันเคยเกิดกับระบบ CRM ใน SalesBleed ช่องโหว่ Salesforce Agentforce ที่ทำให้ข้อมูลลูกค้าใน CRM รั่วได้โดยไม่ต้องคลิก บริษัทไทยต้องทำอะไร และกับผู้รับจ้างในญี่ปุ่นใน ญี่ปุ่นข้อมูลรั่วต่อเนื่อง skyticket 14.6 ล้าน คาราโอเกะ 8.7 ล้าน Lawson 2.16 ล้าน รัฐเรียกประชุมฉุกเฉิน สัญญา DPA ของธุรกิจไทยต้องมีข้อไหน
ฝ่ายบัญชีและพนักงานต้องระวังอะไร
ฝ่ายบัญชีต้องระวังใบแจ้งหนี้ปลอม เพราะข้อมูลติดต่อและเอกสารธุรกิจเป็นวัตถุดิบชั้นดีของการหลอกโอนเงิน ผู้ไม่หวังดีรู้ชื่อคู่ค้า รู้ชื่อผู้ติดต่อ และทำเอกสารให้ดูจริงได้ ควรยืนยันการเปลี่ยนเลขบัญชีผ่านช่องทางอื่นทุกครั้ง
ผู้ให้บริการ SaaS สัญชาติไทยได้บทเรียนอะไร
ผู้ให้บริการ SaaS ไทยที่ใช้เครื่องมือรับความเห็นลูกค้าหรือ CRM ภายนอก ต้องรู้ว่าตัวเองคือผู้ประมวลผลที่มีผู้ประมวลผลช่วงอยู่ด้านหลัง ลูกค้าองค์กรจะเริ่มถามรายชื่อผู้ประมวลผลช่วงและสิทธิ์ที่แต่ละรายเข้าถึง ควรเตรียมรายการนี้ให้พร้อม
เทียบกับกฎหมายไทย: Canva ข้อมูลรั่ว ต่างจาก PDPA อย่างไร
ถ้าเหตุแบบ Canva เกิดในไทย PDPA กำหนดหน้าที่ไว้ทั้งฝั่งผู้ควบคุมข้อมูลและผู้ประมวลผล ตารางนี้เทียบสิ่งที่เกิดในข่าวกับหน้าที่ตามกฎหมายไทย
| ประเด็น | กรณี Canva | กฎหมายไทย |
|---|---|---|
| ความปลอดภัย | สิทธิ์ของเครื่องมือภายนอกเข้าถึงข้อมูลได้ | PDPA มาตรา 37(1) มาตรการรักษาความมั่นคงปลอดภัย |
| แจ้งเหตุ | Canva ยืนยันหลังถูกประกาศบนเว็บปล่อยข้อมูล | PDPA มาตรา 37(4) แจ้ง สคส. ภายใน 72 ชม. |
| หน้าที่ผู้ประมวลผล | Canva และ Canny ประมวลผลแทนลูกค้า | PDPA มาตรา 40 หน้าที่ผู้ประมวลผลข้อมูล |
| การใช้ผู้ประมวลผลช่วง | ลูกค้าอาจไม่รู้ว่ามี Canny | ต้องกำหนดในข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผล |
ช่องว่างของไทยอยู่ที่สัญญา ไม่ใช่ตัวบท PDPA วางหน้าที่ไว้แล้ว แต่ข้อตกลง DPA หลายฉบับไม่ได้กำหนดว่าต้องแจ้งรายชื่อผู้ประมวลผลช่วง หรือต้องแจ้งเหตุภายในกี่ชั่วโมง ทำให้ผู้ควบคุมข้อมูลนับ 72 ชั่วโมงไม่ทัน
ถ้าไม่ทำอะไรเลย องค์กรไทยเสี่ยงอะไร
ถ้าไม่ทำอะไร องค์กรเสี่ยงแจ้ง สคส. ไม่ทัน 72 ชั่วโมง เพราะไม่รู้ว่าข้อมูลของตัวเองถูกกระทบ และเมื่อ สคส. ถามว่ากำกับผู้ประมวลผลอย่างไร องค์กรจะไม่มีหลักฐานให้ดู
ความเสี่ยงที่เป็นเงินเร็วที่สุดคือการหลอกโอนเงินด้วยใบแจ้งหนี้ปลอม ข้อมูลติดต่อทางธุรกิจที่รั่วพร้อมเอกสารทำให้อีเมลปลอมน่าเชื่อขึ้นมาก
องค์กรที่ใช้ Canva ควรทำอะไรตอนนี้
องค์กรที่ใช้ Canva แบบองค์กรควรทำ 5 เรื่องต่อไปนี้ เพื่อปิดทั้งความเสี่ยงจากเหตุ Canva ข้อมูลรั่ว และความเสี่ยงแบบเดียวกันกับผู้ให้บริการรายอื่น
- 1. สอบถาม Canva เป็นลายลักษณ์อักษร ขอคำยืนยันว่าบัญชีองค์กรเราถูกกระทบหรือไม่ และข้อมูลประเภทใด
- 2. ประเมินการแจ้ง สคส. บันทึกเวลาที่ทราบเหตุ ประเมินความเสี่ยง และตัดสินใจภายใน 72 ชั่วโมง
- 3. เตือนฝ่ายบัญชีและพนักงาน ยืนยันการเปลี่ยนเลขบัญชีผ่านช่องทางอื่น ระวังใบแจ้งหนี้ปลอม
- 4. ขอรายชื่อผู้ประมวลผลช่วง ขอจากผู้ให้บริการ SaaS ทุกรายที่ถือข้อมูลส่วนบุคคลขององค์กร
- 5. แก้ template DPA เพิ่มข้อบังคับแจ้งผู้ประมวลผลช่วงล่วงหน้าและกำหนดเวลาแจ้งเหตุเป็นชั่วโมง
ถ้าต้องการต้นแบบสัญญา ดู ชุดสัญญาประมวลผล/แบ่งปันข้อมูล (DPA/DSA) แล้วปรับเงื่อนไขผู้ประมวลผลช่วงให้เข้ากับผู้ให้บริการที่ใช้จริง
มุมมองผู้เชี่ยวชาญ
เหตุของ Canva สอนว่าความปลอดภัยของข้อมูลเราไม่ได้จบที่บริษัทที่เราเซ็นสัญญาด้วย ข้อมูลรั่วจากบริษัทที่เราไม่เคยรู้จักชื่อ แต่ความรับผิดยังกลับมาที่เรา จุดที่องค์กรมักพลาดคือเซ็น DPA ฉบับมาตรฐานของผู้ให้บริการโดยไม่ขอรายชื่อผู้ประมวลผลช่วง ควรเช็กว่าสัญญากำหนดเวลาแจ้งเหตุเป็นชั่วโมง ไม่ใช่คำว่า “โดยเร็ว”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับ Canva ข้อมูลรั่ว
Canva ถูกแฮกหรือไม่ รหัสผ่านและงานออกแบบปลอดภัยไหม
Canva ระบุว่าแพลตฟอร์ม รหัสผ่าน และงานออกแบบไม่ถูกเจาะ ผู้บุกรุกเข้าเครื่องมือ Canny แล้วเข้าถึงข้อมูลลูกค้าองค์กรบางส่วนผ่านการเชื่อม Salesforce
ข้อมูลที่รั่วจาก Canva มีอะไรบ้าง
ข้อมูลที่รั่วคือข้อมูลติดต่อและเอกสารธุรกิจของลูกค้าองค์กรบางส่วน แฮกเกอร์อ้างว่ามี 2 ล้านระเบียนและขายแล้ว แต่ยังไม่มีการยืนยัน
ใช้ Canva ฟรีหรือแบบรายบุคคลต้องกังวลไหม
ตามรายงาน เหตุนี้กระทบข้อมูลลูกค้าองค์กรบางส่วน ผู้ใช้ทั่วไปควรระวังอีเมลหลอกที่อ้างชื่อ Canva และไม่กดลิงก์ที่ขอรหัสผ่าน
สัญญา DPA ควรเพิ่มข้ออะไรหลังเหตุ Canva ข้อมูลรั่ว
ควรเพิ่มข้อบังคับให้ผู้ให้บริการแจ้งรายชื่อผู้ประมวลผลช่วงก่อนใช้งาน ให้สิทธิ์คัดค้าน และกำหนดเวลาแจ้งเหตุเป็นชั่วโมงเพื่อให้องค์กรแจ้ง สคส. ทัน 72 ชั่วโมง
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- ทำสัญญาแล้วมีข้อมูลส่วนบุคคลเกี่ยวข้อง ต้องทำข้อตกลงประมวลผลข้อมูล (DPA) เมื่อไร — ช่วยแยกว่าผู้ให้บริการแต่ละรายเป็นผู้ประมวลผลที่ต้องมี DPA หรือไม่ (ok.aipdpa.com)
แหล่งอ้างอิง
- CyberDaily — (อ่านต้นฉบับ) — อ่านข่าวที่ CyberDaily
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
