รหัส 123456 คือรหัสผ่านที่สื่อเดนมาร์กรายงานว่าบัญชีของบริษัทพาร์ตเนอร์รายเล็กใช้ จนข้อมูลชื่อ ที่อยู่ และเลข CPR ของคนราว 8.8 ล้านคนถูกดึงจากทะเบียนราษฎรเดนมาร์ก การเข้าถึงถูกตัดเมื่อ 2 ตุลาคม 2569 (ค.ศ. 2026) บทความนี้เหมาะกับธนาคาร ประกัน โทรคมนาคม call center และองค์กรที่ให้คู่ค้าเชื่อมฐานข้อมูล อ่านแล้วจะได้ 5 ข้อที่ต้องแก้
ลองนึกภาพ call center ของบริษัทประกันไทย (ตัวอย่างสมมติ) ที่ยืนยันตัวตนลูกค้าทางโทรศัพท์ด้วยเลขบัตรประชาชน 13 หลักกับวันเกิด ถ้าวันหนึ่งข้อมูลสองอย่างนี้ของคนทั้งประเทศหลุดออกไป ใครก็โทรมาอ้างเป็นลูกค้าได้ เดนมาร์กเพิ่งเจอสถานการณ์นี้จริง และทางการต้องประกาศว่าเลขประจำตัวใช้ยืนยันตัวตนไม่ได้แล้ว
สรุปสั้น: ข้อมูลของคนราว 8.8 ล้านคนถูกดึงจากทะเบียนบุคคลกลางของเดนมาร์ก ผ่านบัญชีของบริษัทไอที 2 คนที่ได้สิทธิเข้าระบบโดยชอบ สื่อรายงานว่าบัญชีอย่างน้อย 3 บัญชีใช้รหัส 123456 การเข้าถึงกินเวลา 21 วัน 17 ชั่วโมง และจับได้เพราะใบแจ้งหนี้ผิดปกติ ธุรกิจไทยควรเลิกใช้เลขบัตรประชาชนเป็นตัวยืนยันตัวตน และบังคับ MFA ให้พาร์ตเนอร์ที่เชื่อมระบบ
รหัส 123456 ทำทะเบียนราษฎรเดนมาร์กรั่วได้อย่างไร
รหัส 123456 เปิดทางให้ผู้ไม่หวังดีใช้บัญชีของ Pays ApS บริษัทไอทีในเมือง Odense ที่มีพนักงาน 2 คนแต่ได้สิทธิเข้าทะเบียนบุคคลกลาง (Central Person Register) โดยชอบ แล้วค้นข้อมูลราว 14 ล้านครั้ง ข้อมูลที่ถูกดึงรวมถึงคนที่เสียชีวิตแล้วและคนที่ย้ายออกนอกประเทศ
หนังสือพิมพ์ Politiken รายงานว่าบัญชีของ Pays อย่างน้อย 3 บัญชี รวมบัญชีผู้ดูแลระบบ ใช้รหัส 123456 แฮกเกอร์อ้างว่าได้รหัสจากอดีตพนักงานที่ข้อมูลเคยรั่วมาก่อน และอ้างว่าจะไม่ขายข้อมูล ข้ออ้างของแฮกเกอร์ทั้งสองข้อยังไม่ได้รับการยืนยัน
| ประเด็น | รายละเอียดตามรายงาน |
|---|---|
| ข้อมูลที่รั่ว | ชื่อ ที่อยู่ และเลข CPR ของคนราว 8.8 ล้านคน |
| ช่องทาง | บัญชีของ Pays ApS (พนักงาน 2 คน) ค้นข้อมูลราว 14 ล้านครั้ง |
| ระยะเวลา | เริ่มราว 10 ก.ย. ถูกตัด 2 ต.ค. 2569 รวม 21 วัน 17 ชั่วโมง |
| วิธีตรวจพบ | ใบแจ้งหนี้ค่าค้นข้อมูลสูงผิดปกติ ไม่ใช่ระบบเฝ้าระวัง |
| ผลที่ตามมา | คำเตือนเครดิตจากราว 250,000 (1 ต.ค.) เป็นราว 970,000 รายการ (7 ต.ค.) |
รัฐมนตรีดิจิทัล Christina Egelund ยอมรับว่ามาตรการความปลอดภัยไม่เพียงพอ และสั่งทบทวนความปลอดภัยของทะเบียน CPR ทั้งระบบ เหตุนี้รายงานต่อหน่วยงานคุ้มครองข้อมูล (Datatilsynet) แล้ว และหน่วยปราบอาชญากรรมพิเศษ (NSK) กำลังสอบสวน รัฐยังไม่ตัดสินว่าจะออกเลข CPR ใหม่ให้ประชาชนหรือไม่
ทำไมทางการเดนมาร์กบอกว่าเลข CPR ใช้ยืนยันตัวตนไม่ได้แล้ว
เพราะเลข CPR ของคนเกือบทั้งประเทศอาจอยู่ในมือคนอื่นแล้ว การรู้เลขจึงพิสูจน์ไม่ได้ว่าเป็นเจ้าของตัวจริง หน่วยงานความมั่นคงสาธารณะ (Samsik) ประกาศให้ใช้ MitID การยืนยันตัวตนสองชั้น (2FA) หรือรหัสใช้ครั้งเดียว (OTP) แทน
ผลกระทบเห็นได้เร็ว ร้านขายยาเข้มการตรวจบัตร และคำเตือนเครดิตในทะเบียนพุ่งจากราว 250,000 รายการเมื่อ 1 ตุลาคม 2569 เป็นราว 970,000 รายการเมื่อ 7 ตุลาคม 2569 แปลว่าคนจำนวนมากกังวลว่าจะถูกสวมรอยไปทำสัญญาหรือกู้เงิน
รหัส 123456 ของเดนมาร์กกระทบธุรกิจไทยอย่างไร
รหัส 123456 ของเดนมาร์กกระทบธุรกิจไทยเพราะไทยมีจุดอ่อนแบบเดียวกัน เลขประจำตัวประชาชน 13 หลักหลุดซ้ำหลายรอบ แต่ธุรกิจจำนวนมากยังใช้เลขบัตรกับวันเกิดเป็นคำถามยืนยันตัวตนทางโทรศัพท์ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
ธุรกิจที่ยืนยันตัวตนด้วยเลขบัตรประชาชนต้องเปลี่ยนอะไร
ควรเปลี่ยนไปใช้ OTP ข้อมูลชีวมิติ หรือการยืนยันผ่านแอป แทนการถามเลขบัตรกับวันเกิด กลุ่มที่ควรรีบทำคือธนาคาร ประกัน โทรคมนาคม และ call center เพราะการยืนยันผิดคนหนึ่งครั้งอาจหมายถึงเงินหรือซิมการ์ดที่ถูกโอนไปให้มิจฉาชีพ
ทิศทางของไทยเรื่อง OTP สรุปไว้ใน ธปท. เขย่าเกม Security: เลิก SMS OTP แล้วธุรกิจไทยต้องทำอะไรต่อ? ซึ่งแสดงว่าแม้ OTP ทาง SMS ก็กำลังถูกยกระดับ
PDPA กำหนดหน้าที่เรื่องพาร์ตเนอร์ที่เชื่อมฐานข้อมูลไว้อย่างไร
มาตรา 37(1) ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ซึ่งรวมถึงการคุมสิทธิของพาร์ตเนอร์ที่ได้สิทธิเชื่อมฐานข้อมูล เช่น API ตรวจสอบบัตรประชาชน ข้ออ้างว่า “ระบบเราไม่ได้ถูกเจาะ” ใช้ไม่ได้ถ้าข้อมูลรั่วผ่านคู่ค้าที่เราให้สิทธิ์เอง
ผู้เขียนวิเคราะห์ว่าจุดอ่อนในเคสนี้อยู่ที่ผู้ได้รับสิทธิรายเล็ก ไม่ใช่ระบบกลาง บทเรียนเรื่องคู่ค้าทำข้อมูลรั่วอีกกรณีอยู่ใน 44 รัฐสหรัฐฯ ปรับ Labcorp $2.3M เพราะ vendor ทำข้อมูลรั่ว บทเรียน Vendor Governance ที่ธุรกิจไทยใช้ได้ทันที
ถ้ายังยอมให้ใช้รหัสอ่อนอย่าง 123456 จะเสี่ยงอะไร
ถ้ายังยอมให้ใช้รหัสอ่อนอย่างรหัส 123456 องค์กรเสี่ยงข้อมูลรั่วทั้งฐานโดยไม่รู้ตัว เคสเดนมาร์กใช้เวลาเกือบ 22 วันกว่าจะจับได้ และจับได้เพราะบิล ไม่ใช่ระบบเตือน ถ้าเกิดในไทย องค์กรต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตามมาตรา 37(4) แต่จะไม่รู้ว่าเหตุเริ่มเมื่อไร
อีกความเสี่ยงคือลูกค้าถูกสวมรอย ถ้าธุรกิจยังยืนยันตัวตนด้วยข้อมูลที่หลุดไปแล้ว มิจฉาชีพก็ผ่านด่านได้ง่าย ความเสียหายจะย้อนกลับมาเป็นข้อร้องเรียนและคำถามว่าองค์กรมีมาตรการที่เหมาะสมหรือไม่ เรื่องรีเซ็ตรหัสผ่านในหน่วยงานไทยอยู่ใน รัฐสั่งรีเซ็ต Password 30,000 ระบบ: ธุรกิจไทยควรเช็กระบบเก่าเรื่องไหน
ธุรกิจไทยควรแก้อะไรก่อน
ธุรกิจไทยควรแก้ 5 ข้อ เริ่มจากเลิกใช้เลขบัตรประชาชนยืนยันตัวตน แล้วไล่คุมบัญชีของพาร์ตเนอร์ ทั้งหมดทำได้ภายใต้หน้าที่ตามมาตรา 37(1) ของ PDPA โดยไม่ต้องรอกฎใหม่
- 1. เลิกใช้เลขบัตรประชาชนกับวันเกิดเป็นตัวยืนยันตัวตน เปลี่ยนไปใช้ OTP การยืนยันผ่านแอป หรือข้อมูลชีวมิติ โดยเฉพาะช่องทางโทรศัพท์และแชต
- 2. บังคับ MFA ให้ทุกบัญชีของพาร์ตเนอร์ โดยเฉพาะบัญชีผู้ดูแลระบบ และห้ามใช้รหัสอ่อนอย่างรหัส 123456 ด้วยการตั้งกฎรหัสผ่านในระบบ
- 3. ตั้งเตือนเมื่อปริมาณการค้นข้อมูลผิดปกติ กำหนดเพดานการค้นต่อบัญชีต่อวัน และให้ระบบแจ้งทีมความปลอดภัยทันทีเมื่อเกิน
- 4. ทบทวนสิทธิของคู่ค้าทุกไตรมาส ปิดบัญชีที่ไม่ใช้ ถอนสิทธิ์อดีตพนักงานของคู่ค้า และเขียนหน้าที่ด้านความปลอดภัยลงสัญญา
- 5. ซ้อมแผนแจ้งเหตุ 72 ชั่วโมง กำหนดคนรับผิดชอบและข้อมูลที่ต้องรวบรวม เพื่อแจ้ง สคส. ได้ทันกรอบตามมาตรา 37(4)
ถ้าต้องการคนช่วยตรวจเรื่องเหล่านี้ ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ เคสนี้ไม่ได้พังเพราะระบบกลางอ่อน แต่พังเพราะประตูข้างที่เปิดให้คู่ค้ารายเล็กถือกุญแจ ระบบที่แข็งแรงที่สุดในประเทศ ก็ปลอดภัยได้เท่ากับรหัสผ่านที่อ่อนที่สุดของคนที่เราให้สิทธิ์เข้า จุดที่องค์กรมักพลาดคือให้สิทธิ์คู่ค้าแล้วไม่กลับไปดูอีก ควรเช็กทั้ง MFA ปริมาณการค้น และรายชื่อบัญชีของคู่ค้าเป็นรอบ
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับรหัส 123456 และทะเบียนราษฎรเดนมาร์กรั่ว
ทะเบียนราษฎรเดนมาร์กรั่วกี่คน และรั่วข้อมูลอะไร
ราว 8.8 ล้านคน ข้อมูลที่ถูกดึงคือชื่อ ที่อยู่ และเลข CPR รวมทั้งคนที่เสียชีวิตแล้วและคนที่ย้ายออกนอกประเทศ มีการค้นข้อมูลราว 14 ล้านครั้งผ่านบัญชีของ Pays ApS
รหัส 123456 เกี่ยวกับเหตุรั่วนี้อย่างไร
หนังสือพิมพ์ Politiken รายงานว่าบัญชีของ Pays อย่างน้อย 3 บัญชี รวมบัญชีผู้ดูแลระบบ ใช้รหัส 123456 ส่วนข้ออ้างของแฮกเกอร์ว่าได้รหัสจากอดีตพนักงานและจะไม่ขายข้อมูล ยังไม่ได้รับการยืนยัน
เดนมาร์กจะออกเลข CPR ใหม่ให้ประชาชนหรือไม่
ยังไม่ตัดสิน รัฐมนตรีดิจิทัลสั่งทบทวนความปลอดภัยของทะเบียน CPR ทั้งระบบ ส่วนหน่วยงานความมั่นคงสาธารณะประกาศให้ใช้ MitID 2FA หรือ OTP แทนการยืนยันด้วยเลข CPR
ธุรกิจไทยยังใช้เลขบัตรประชาชนยืนยันตัวตนได้ไหม
ไม่ควรใช้เป็นตัวยืนยันเพียงอย่างเดียว เพราะเลขบัตรประชาชนไทยก็หลุดมาแล้วหลายรอบ ควรใช้ OTP การยืนยันผ่านแอป หรือข้อมูลชีวมิติแทน เพื่อให้สอดคล้องกับหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37(1) ของ PDPA
แหล่งอ้างอิง
- The Copenhagen Post — (อ่านต้นฉบับ) — อ่านข่าวที่ The Copenhagen Post
- The Local Denmark — (อ่านต้นฉบับ) — อ่านข่าวที่ The Local Denmark
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
