DICT ฟิลิปปินส์ กำลังสอบเหตุที่แฮกเกอร์อ้างว่าปล่อยไฟล์ราว 410 ไฟล์ของ 48 บริษัทที่อยู่ในโครงการรับรองด้านไซเบอร์ของรัฐ ลองนึกภาพบริษัทที่ตั้งใจทำตามมาตรฐาน ยื่นเอกสารครบทุกแผ่นเพื่อให้ได้ตรารับรอง แล้วเอกสารชุดนั้นเองกลับหลุดออกไป เรื่องนี้เกิดที่ฟิลิปปินส์ แต่คำถามเดียวกันกำลังรอธุรกิจไทยที่เตรียมยื่นขอตรารับรองด้านข้อมูลและไซเบอร์อยู่
สรุปสั้น: DICT ฟิลิปปินส์ยอมรับเมื่อ 25 ก.ย. 2569 ว่ามีการเปิดเผยข้อมูลจากโครงการรับรองที่เกี่ยวกับ 48 บริษัท ขณะที่ NCERT กำลังตรวจสอบ บทเรียนสำหรับธุรกิจไทยคือเอกสารที่ส่งให้หน่วยงานรับรองรวมกันอยู่ในที่เดียวและเป็นเป้าหมายได้ จึงควรยื่นเฉพาะเอกสารที่จำเป็น ปิดบังข้อมูลอ่อนไหวก่อนยื่น และถามหน่วยงานว่าเก็บเอกสารอย่างไร
เหตุข้อมูลรั่วของ DICT ฟิลิปปินส์ คืออะไร เกิดอะไรขึ้น
เหตุนี้คือกรณีที่แฮกเกอร์ใช้ชื่อ “core849” อ้างว่าได้ปล่อยไฟล์ประมาณ 410 ไฟล์ ขนาดราว 600 MB ของบริษัทที่ได้รับการรับรองในโครงการ DTAP ของกระทรวงเทคโนโลยีสารสนเทศและการสื่อสารของฟิลิปปินส์ ไฟล์ที่อ้างถึงมีทั้งเอกสารจดทะเบียนบริษัท ใบอนุญาต ข้อมูลรับรองด้านไซเบอร์ และเอกสารของพนักงาน
ตามรายงานของ GMA News และ Philstar DICT ยอมรับว่ามีการเปิดเผยข้อมูลจริง NCERT กำลังตรวจสอบ และถ้ายืนยันได้ จะแจ้งผู้เกี่ยวข้องตาม Data Privacy Act ของฟิลิปปินส์ ข้อสำคัญในเคส DICT ฟิลิปปินส์ คือการที่ชื่อบริษัทปรากฏในรายการ ยังไม่ได้แปลว่าระบบของบริษัทนั้นถูกเจาะ
| ประเด็น | ข้อเท็จจริงในข่าว |
|---|---|
| หน่วยงานที่สอบสวน | DICT และ NCERT ฟิลิปปินส์ |
| ผู้อ้างว่าปล่อยข้อมูล | แฮกเกอร์ชื่อ “core849” |
| จำนวนไฟล์ | ประมาณ 410 ไฟล์ (ราว 600 MB) |
| จำนวนบริษัท | 48 บริษัท |
| ประเภทเอกสาร | เอกสารจดทะเบียน ใบอนุญาต ข้อมูลรับรองไซเบอร์ เอกสารพนักงาน |
| DICT ยอมรับเหตุ | 25 ก.ย. 2569 |
| กฎหมายที่อ้างถึง | Data Privacy Act ของฟิลิปปินส์ |
| ข้อควรระวัง | ชื่อในรายการไม่ได้แปลว่าบริษัทนั้นถูกเจาะ |
เหตุ DICT ฟิลิปปินส์ กระทบธุรกิจไทยอย่างไร
เหตุ DICT ฟิลิปปินส์ กระทบธุรกิจไทยในแง่บทเรียน เพราะไทยมีโครงสร้างแบบเดียวกัน คือหน่วยงานรับรองต้องรับเอกสารจากบริษัทจำนวนมากมาเก็บไว้ในที่เดียว เช่น การขอตรารับรองด้านข้อมูลส่วนบุคคล (PDPC Certification Mark) และการรับรองที่เกี่ยวกับ สกมช. ยิ่งมีบริษัทยื่นมาก คลังเอกสารนั้นก็ยิ่งน่าสนใจสำหรับแฮกเกอร์
องค์กรไทยที่กำลังเตรียมยื่นขอตรารับรอง
องค์กรที่กำลังเตรียมยื่นขอตรารับรองคือกลุ่มที่ควรปรับวิธีทำงานก่อนใคร ปกติทีมที่เตรียมเอกสารมักคิดว่า “ส่งไปเยอะไว้ก่อน จะได้ผ่านง่าย” ผลคือส่งทั้งผังเครือข่าย รายชื่อพนักงานพร้อมเลขบัตรประชาชน สำเนาสัญญากับผู้ให้บริการ และรายงานผลทดสอบเจาะระบบไปในคราวเดียว
ตัวอย่างสมมติ: บริษัทซอฟต์แวร์ 30 คนในกรุงเทพฯ ยื่นรายงานผลทดสอบเจาะระบบฉบับเต็มเพื่อขอการรับรอง รายงานฉบับนั้นระบุช่องโหว่ที่ยังแก้ไม่เสร็จ ถ้าคลังเอกสารของหน่วยงานรั่ว คนร้ายจะได้แผนที่บอกว่าควรโจมตีบริษัทนี้ตรงไหน
เอกสารพนักงานคือข้อมูลส่วนบุคคล
เอกสารพนักงานที่แนบไปกับคำขอรับรองคือข้อมูลส่วนบุคคลตาม PDPA บริษัทในฐานะผู้ควบคุมข้อมูลต้องคิดก่อนส่งว่าหน่วยงานรับรองจำเป็นต้องเห็นข้อมูลระดับไหน ถ้าส่งเกินจำเป็น บริษัทอาจอธิบายได้ยากว่าทำตามหลักใช้ข้อมูลเท่าที่จำเป็นแล้ว
ผู้เขียนมองว่า หน้าที่ของบริษัทไม่ได้จบเมื่อกดส่งเอกสาร เพราะบริษัทเป็นผู้ตัดสินใจว่าจะส่งข้อมูลอะไรออกไป ข้อนี้เป็นการวิเคราะห์ ยังไม่มีแนวคำวินิจฉัยของไทยในเรื่องนี้โดยตรง
ชื่อบริษัทในรายการรั่ว = ความเสียหายต่อชื่อเสียง
ชื่อบริษัทที่ไปโผล่ในรายการข้อมูลรั่ว สร้างความเสียหายต่อชื่อเสียงได้ แม้ระบบของบริษัทจะไม่ได้ถูกเจาะเลย ข่าว DICT ฟิลิปปินส์ย้ำเรื่องนี้ชัด ธุรกิจไทยจึงควรเตรียมข้อความชี้แจงลูกค้าไว้ล่วงหน้า เผื่อวันที่หน่วยงานปลายทางเกิดเหตุ
ผู้ให้บริการที่ปรึกษาและหน่วยงานรับรอง
ที่ปรึกษาที่ช่วยลูกค้าเตรียมเอกสาร ควรใส่ข้อ “ลดข้อมูลในเอกสารที่ยื่น” ลงในเช็กลิสต์ความพร้อมขอการรับรอง ฝั่งหน่วยงานรับรองเองก็ควรกำหนดว่าเอกสารแบบไหนต้องส่งจริง แบบไหนขอดูที่หน้างานได้ อ่านประเด็นกฎหมายไซเบอร์ที่เกี่ยวข้องได้ในหมวด Tech Law & IP
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้ายื่นเอกสารแบบเดิมโดยไม่เรียนรู้จากเคส DICT ฟิลิปปินส์ ความเสี่ยงไม่ได้อยู่ที่ระบบของบริษัทอย่างเดียว แต่อยู่ในคลังเอกสารของคนอื่นที่บริษัทควบคุมไม่ได้
- แผนที่โจมตีหลุด: ผังเครือข่ายและรายงานช่องโหว่ที่หลุดออกไป ช่วยให้คนร้ายวางแผนโจมตีได้แม่นขึ้น
- ข้อมูลพนักงานรั่ว: เลขบัตรประชาชนและเอกสารส่วนตัวของพนักงานถูกเอาไปใช้สวมรอยได้ และพนักงานอาจถามบริษัทว่าส่งข้อมูลของเขาไปทำไม
- เสียชื่อแม้ไม่ได้ถูกเจาะ: ชื่อบริษัทในรายการรั่วทำให้ลูกค้าตั้งคำถามกับความน่าเชื่อถือ
- ตอบคำถามผู้กำกับไม่ได้: ถ้าไม่มีบันทึกว่าส่งอะไรไป ให้ใคร เมื่อไร บริษัทจะประเมินผลกระทบไม่ได้เมื่อหน่วยงานปลายทางแจ้งเหตุ
องค์กรที่จะยื่นขอตรารับรอง ควรทำอะไรตอนนี้
องค์กรที่จะยื่นขอตรารับรองด้านข้อมูลหรือไซเบอร์ ควรคัดเอกสารให้เหลือเท่าที่จำเป็น ปิดบังข้อมูลอ่อนไหว และถามหน่วยงานให้ชัดว่าจะเก็บเอกสารอย่างไร
- 1. ยื่นเฉพาะเอกสารที่เกณฑ์ขอจริง อ่านเกณฑ์แล้วทำตารางว่าเอกสารไหนบังคับ เอกสารไหนขอดูที่หน้างานได้
- 2. ปิดบังข้อมูลอ่อนไหวก่อนยื่น ตัดเลขบัตรประชาชน ที่อยู่ส่วนตัวของพนักงาน IP ภายใน และรายละเอียดช่องโหว่ที่ยังแก้ไม่เสร็จ
- 3. ถามหน่วยงานรับรองเรื่องการเก็บเอกสาร เก็บที่ไหน เข้ารหัสไหม ใครเข้าถึงได้ และลบเมื่อไร
- 4. ทำบันทึกการส่งเอกสาร ระบุว่าส่งอะไร ให้ใคร วันไหน เพื่อใช้ประเมินผลกระทบได้ทันทีถ้าปลายทางเกิดเหตุ
- 5. เตรียมข้อความชี้แจงล่วงหน้า ร่างข้อความสั้น ๆ สำหรับลูกค้าและพนักงาน กรณีชื่อบริษัทไปอยู่ในข่าวข้อมูลรั่ว ถ้าต้องการคนช่วยทำเช็กลิสต์ความพร้อมก่อนยื่น ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
“ผมเห็นหลายบริษัทเตรียมเอกสารขอการรับรองแบบ ‘ส่งให้ครบที่สุดจะได้ผ่านไว ๆ’ ซึ่งเข้าใจได้ แต่เคสฟิลิปปินส์บอกเราว่า ตรารับรองความปลอดภัยไม่ได้ทำให้เอกสารที่ใช้ขอตรานั้นปลอดภัยตามไปด้วย เอกสารทุกแผ่นที่ส่งออกไปคือข้อมูลที่เราต้องรับผิดชอบต่อ ผมจึงแนะนำให้คิดแบบทนายตอนเปิดเผยพยานหลักฐาน คือส่งเท่าที่ต้องพิสูจน์ ไม่ส่งมากกว่านั้น”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ DICT ฟิลิปปินส์ และข้อมูลรั่วในโครงการรับรอง
DICT ฟิลิปปินส์ข้อมูลรั่วเรื่องอะไร
แฮกเกอร์ชื่อ “core849” อ้างว่าปล่อยไฟล์ราว 410 ไฟล์ขนาดประมาณ 600 MB ของ 48 บริษัทในโครงการรับรองไซเบอร์ของรัฐฟิลิปปินส์ DICT ยอมรับเมื่อ 25 ก.ย. 2569 ว่ามีการเปิดเผยข้อมูล และ NCERT กำลังตรวจสอบ
บริษัทที่มีชื่อในรายการถูกแฮกหรือไม่
ยังสรุปไม่ได้ ข่าวระบุชัดว่าการที่ชื่อบริษัทปรากฏในรายการ ไม่ได้หมายความว่าระบบของบริษัทนั้นถูกเจาะ ข้อมูลอาจหลุดจากฝั่งเอกสารที่ยื่นไว้กับโครงการ
เรื่องนี้เกี่ยวกับธุรกิจไทยอย่างไร
ไทยมีโครงการรับรองที่เก็บเอกสารจากหลายบริษัทไว้ในที่เดียวเช่นกัน เช่น ตรารับรองด้านข้อมูลส่วนบุคคลและการรับรองที่เกี่ยวกับ สกมช. ธุรกิจไทยจึงควรยื่นเฉพาะเอกสารที่จำเป็นและปิดบังข้อมูลอ่อนไหวก่อนยื่น
ยื่นเอกสารพนักงานให้หน่วยงานรับรอง ผิด PDPA ไหม
ไม่ได้ผิดโดยอัตโนมัติ ถ้ามีเหตุผลและฐานทางกฎหมายรองรับ แต่บริษัทควรส่งเท่าที่จำเป็นต่อการพิจารณา และแจ้งพนักงานว่าข้อมูลของเขาจะถูกส่งไปที่ไหนเพื่ออะไร
แหล่งอ้างอิง
- GMA News — DICT probes possible data breach involving 48 firms in accreditation program — gmanetwork.com
- Philstar — DICT probing data breach of 48 firms — philstar.com
อ่านหลักการคัดและตรวจข่าวของเราได้ที่ นโยบายบรรณาธิการ และรู้จักผู้เขียนได้ที่ เกี่ยวกับเรา
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
