Doctor Anywhere ข้อมูลรั่ว คือเหตุที่แอปหมอออนไลน์ซึ่งมีผู้ใช้กว่า 3 ล้านคนในเอเชียตะวันออกเฉียงใต้ แถลงเมื่อ 6 พฤศจิกายน 2569 (ค.ศ. 2026) ว่าบุคคลภายนอกเข้าถึงระบบโดยไม่ได้รับอนุญาต บริษัทยืนยันว่าเวชระเบียนไม่ได้รับผลกระทบ และยังไม่ยืนยันว่าผู้ใช้ไทยโดน บทความนี้เหมาะกับคนที่ใช้แอปนี้ โดยเฉพาะพนักงานที่ได้สิทธิ์ผ่านสวัสดิการบริษัท
ลองนึกภาพ “พี่นุ่น” พนักงานบัญชีบริษัทแห่งหนึ่งในกรุงเทพฯ (ตัวอย่างสมมติ) บริษัทให้สิทธิ์หาหมอออนไลน์เป็นสวัสดิการ พี่นุ่นเคยกรอกเลขบัตร วันเกิด และเบอร์ผู้ติดต่อฉุกเฉินไว้ในแอป พอเห็นข่าวในกลุ่ม LINE ครอบครัว คำถามแรกคือ “ฉันโดนไหม แล้วต้องทำอะไร” ส่วนด้านล่างเล่าเป็นไทม์ไลน์ 24 ชั่วโมงให้ทำตามได้ทันที
สรุปสั้น: Doctor Anywhere ข้อมูลรั่วจากการเข้าถึงระบบโดยไม่ได้รับอนุญาต บริษัทแถลงเมื่อ 6 พฤศจิกายน 2569 ว่าเวชระเบียนไม่โดน แต่ประเภทข้อมูลที่รั่วยังรายงานไม่ตรงกัน และยังไม่ยืนยันว่าผู้ใช้ไทยได้รับผลกระทบ สิ่งที่ผู้ใช้ทำได้คือระวังสายที่อ้างเป็นคลินิกหรือประกัน ถามฝ่าย HR และเปลี่ยนรหัสผ่าน
Doctor Anywhere ข้อมูลรั่ว เกิดอะไรขึ้น
Doctor Anywhere ข้อมูลรั่วเพราะบุคคลภายนอกเข้าถึงระบบโดยไม่ได้รับอนุญาต ตามที่บริษัทแถลงและ AsiaOne กับ MustShareNews รายงาน ลูกค้าของ Adept Health ซึ่งเป็นบริษัทลูกด้านสวัสดิการพนักงาน ก็ได้รับผลกระทบด้วย บริษัทยังไม่เปิดเผยจำนวนผู้เสียหาย
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ใคร | Doctor Anywhere ผู้ใช้กว่า 3 ล้านคนในอาเซียน และลูกค้า Adept Health |
| พบเหตุ / แถลง | MustShareNews ระบุว่าพบเหตุ 29 ต.ค. 2569 · บริษัทแถลง 6 พ.ย. 2569 |
| ปิดช่องโหว่ | Ensign InfoSecurity ยืนยันว่าปิดแล้วเมื่อ 30 ต.ค. 2569 |
| ข้อมูลที่รั่ว | MustShareNews: ชื่อ อีเมล เลขบัตรหรือพาสปอร์ต วันเกิด ผู้ติดต่อฉุกเฉิน บัญชีธนาคาร · AsiaOne: บริษัทไม่ได้แจกแจง (ยังไม่ยืนยัน) |
| สิ่งที่ไม่โดน | บริษัทยืนยันว่าเวชระเบียนไม่ได้รับผลกระทบ |
| การแจ้ง | แจ้ง PDPC สิงคโปร์และแจ้งความกับตำรวจแล้ว |
ข้อมูลรั่วแบบ Doctor Anywhere ฉันเสี่ยงอะไร: ไทม์ไลน์ 24 ชั่วโมง
ความเสี่ยงหลักของ Doctor Anywhere ข้อมูลรั่ว ไม่ใช่ว่าเงินจะหายทันที แต่คือมิจฉาชีพอาจรู้ชื่อ เบอร์ และรู้ว่าคุณใช้บริการหาหมอออนไลน์ แล้วโทรมาอ้างเป็นคลินิก หมอ หรือบริษัทประกันให้ดูน่าเชื่อ ไทม์ไลน์ด้านล่างเป็นตัวอย่างสมมติของพี่นุ่น ไม่ใช่เหตุการณ์จริง
ชั่วโมงที่ 1: เห็นข่าวแล้วควรทำอะไรก่อน
ชั่วโมงแรกให้ตั้งสติและจำกฎข้อเดียว: ใครโทรมาก็ตาม ห้ามให้ OTP รหัสผ่าน หรือเลขบัญชีเพิ่ม จากนั้นเปลี่ยนรหัสผ่านแอป Doctor Anywhere และอีเมลที่ใช้สมัคร ถ้าเคยใช้รหัสเดียวกันกับแอปอื่น ให้เปลี่ยนทุกที่ แล้วเปิดการยืนยันสองขั้น (2FA) ในบัญชีที่เปิดได้
ชั่วโมงที่ 6: สายแปลกเข้ามา อ้างว่าเป็นคลินิกหรือประกัน
ตัวอย่างสมมติ: มีสายเข้ามาบอกว่า “จากคลินิกของ Doctor Anywhere ระบบมีปัญหา ขอยืนยันเลขบัญชีเพื่อคืนเงินค่าปรึกษา” สายแบบนี้ให้วางทันที แล้วติดต่อกลับเองผ่านช่องทางในแอปหรือเว็บทางการ ถ้าเป็นเรื่องธนาคาร ให้โทรหาธนาคารจากเบอร์หลังบัตร ไม่ใช่เบอร์ที่ปลายสายให้มา
การโทรหลอกโดยอ้างข้อมูลจริงของเรา เป็นรูปแบบที่กฎหมายไทยเรื่องอาชญากรรมเทคโนโลยีพยายามรับมือ ดู พ.ร.ก. อาชญากรรมเทคโนโลยีฉบับใหม่: ถูกแก๊งคอลเซ็นเตอร์หลอก ใครต้องรับผิดแทนคุณ
ชั่วโมงที่ 24: ถามบริษัทและเก็บหลักฐาน
ภายใน 24 ชั่วโมงแรก ให้ส่งข้อความถามฝ่าย HR ว่าพนักงานในไทยได้รับผลกระทบหรือไม่ และบริษัทได้รับแจ้งจากผู้ให้บริการแล้วหรือยัง เก็บภาพหน้าจออีเมลหรือข้อความแจ้งเตือนที่ได้รับไว้ทั้งหมด ถ้าเงินหายหรือถูกหลอกจริง ให้แจ้งธนาคารทันทีและแจ้งความ หลักฐานเหล่านี้ใช้ทั้งตอนร้องเรียน สคส. และตอนเรียกค่าเสียหาย
ถ้าคุณเป็นพ่อแม่ที่สมัครให้ลูกหรือพ่อแม่สูงอายุใช้
ข้อมูลผู้ติดต่อฉุกเฉินอาจเป็นเบอร์ของคนในครอบครัว MustShareNews รายงานว่าข้อมูลประเภทนี้อยู่ในรายการที่รั่ว แต่ยังไม่ยืนยัน จึงควรเตือนพ่อแม่สูงอายุในกลุ่ม LINE ครอบครัวว่า ถ้ามีคนโทรมาอ้างว่าลูกป่วยหรือต้องโอนค่ารักษาด่วน ให้โทรหาลูกโดยตรงก่อน
ถ้าคุณเป็นฝ่าย HR ที่ซื้อสวัสดิการนี้ให้พนักงาน
ฝ่าย HR ควรถามผู้ให้บริการเป็นลายลักษณ์อักษรว่าพนักงานในไทยได้รับผลกระทบหรือไม่ และจะแจ้งกลับภายในกี่ชั่วโมง
ข้อตกลงที่ควรมีตั้งแต่ต้นคือ สัญญาประมวลผลข้อมูลส่วนบุคคล (ผู้ควบคุม–ผู้ประมวลผล) ต้องมีอะไรบ้าง ซึ่งควรกำหนดเวลาแจ้งเหตุกลับมาให้ชัด
เทียบกับกฎหมายไทย: ข้อมูลรั่วจากแอปหมอออนไลน์ คนไทยมีสิทธิ์อะไรบ้างตาม PDPA
ถ้ามีผู้ใช้ไทยได้รับผลกระทบจาก Doctor Anywhere ข้อมูลรั่ว PDPA ให้สิทธิ์เจ้าของข้อมูลถามว่าข้อมูลอะไรของเราถูกเก็บไว้ ร้องเรียน สคส. และเรียกค่าเสียหายได้ ส่วนผู้ควบคุมข้อมูลมีหน้าที่แจ้ง สคส. ภายใน 72 ชั่วโมง ทั้งหมดนี้ใช้เมื่อยืนยันได้ว่าคนไทยโดน ซึ่งยังไม่ยืนยัน
| ประเด็น | ตามข่าว (สิงคโปร์) | กฎหมายไทย |
|---|---|---|
| การแจ้งหน่วยงาน | แจ้ง PDPC สิงคโปร์และตำรวจแล้ว | ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชม. ตาม PDPA ม.37(4) |
| ข้อมูลสุขภาพ | บริษัทยืนยันเวชระเบียนไม่โดน | ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหว ม.26 มีเงื่อนไขเข้มกว่า |
| ความปลอดภัยของระบบ | ปิดช่องโหว่ 30 ต.ค. 2569 | ผู้ควบคุมต้องมีมาตรการรักษาความปลอดภัยที่เหมาะสม ม.37(1) |
| คนที่เจาะระบบ | แจ้งความกับตำรวจแล้ว | พ.ร.บ.คอมพิวเตอร์ ม.5 และ ม.7 เข้าถึงระบบและข้อมูลโดยมิชอบ |
ช่องว่างที่คนทั่วไปควรรู้คือ ผู้ใช้ที่ได้สิทธิ์ผ่านบริษัทมักไม่รู้ว่าใครเป็นคนต้องแจ้งเรา ระหว่างแพลตฟอร์มกับนายจ้าง ถ้าไม่ได้รับการแจ้ง ให้ถามทั้งสองทางเป็นลายลักษณ์อักษร บทเรียนเรื่องการแจ้งเหตุในสิงคโปร์มีให้เทียบใน Simba Telecom สิงคโปร์ข้อมูลลูกค้ารั่ว 23,549 ราย บทเรียนเรื่องแจ้งเหตุที่ธุรกิจไทยต้องรู้
ถ้าไม่ทำอะไรเลยหลัง Doctor Anywhere ข้อมูลรั่ว จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย ความเสี่ยงไม่ได้หายไปเอง เพราะข้อมูลที่ถูกเข้าถึงแล้วอาจถูกนำไปใช้หลอกภายหลังได้นาน
- เสี่ยงถูกหลอกโอนเงิน มิจฉาชีพที่รู้ชื่อและรู้ว่าคุณใช้แอปหมอออนไลน์ จะเล่าเรื่องได้น่าเชื่อกว่าปกติ
- เสี่ยงบัญชีอื่นโดนตาม ถ้าใช้รหัสผ่านเดียวกันหลายแอป
- เสี่ยงเสียสิทธิ์เรียกร้อง ถ้าไม่เก็บหลักฐานไว้ตั้งแต่ต้น
ผู้ใช้ Doctor Anywhere ควรทำ 5 ข้ออะไรบ้าง
5 ข้อด้านล่างทำเองได้ด้วยมือถือ เรียงตามเวลาจากเร็วที่สุด
- 1. ภายในชั่วโมงแรก เปลี่ยนรหัสผ่าน ทั้งแอป Doctor Anywhere และอีเมลที่ใช้สมัคร ถ้าใช้รหัสเดียวกับแอปอื่นให้เปลี่ยนทุกที่ และเปิด 2FA ในบัญชีที่เปิดได้
- 2. ตั้งกฎกับตัวเองและครอบครัว ไม่ให้ OTP รหัส หรือเลขบัญชีกับใครที่โทรมาอ้างเป็นหมอ คลินิก หรือประกัน วางสายแล้วติดต่อกลับเองจากช่องทางทางการ
- 3. ภายใน 24 ชั่วโมง ถามฝ่าย HR ว่าพนักงานในไทยได้รับผลกระทบหรือไม่ และบริษัทได้รับแจ้งจากผู้ให้บริการแล้วหรือยัง
- 4. เช็กบัญชีธนาคารที่เคยผูกไว้ ดูรายการเคลื่อนไหวในแอปธนาคาร ถ้าเห็นรายการแปลก โทรหาธนาคารจากเบอร์หลังบัตรทันที
- 5. เก็บหลักฐานทุกอย่าง ภาพหน้าจออีเมลแจ้งเตือน เบอร์ที่โทรมา และข้อความที่ได้รับ ถ้าเสียหายจริงใช้ร้องเรียน สคส. หรือแจ้งความได้ อ่านวิธีใช้แอปให้ปลอดภัยเพิ่มได้ที่ คู่มือใช้เทคโนโลยีอย่างปลอดภัยและปกป้องข้อมูล
มุมมองผู้เชี่ยวชาญ
ข่าวข้อมูลรั่วทำให้คนตกใจเรื่องแฮกเกอร์ แต่คนที่ต้องระวังจริงคือคนที่จะโทรมาหาเราในอีกหลายเดือนข้างหน้า ข้อมูลที่รั่วไม่ได้ทำร้ายเราในวันที่รั่ว แต่ทำร้ายในวันที่มีคนเอามาเล่าเรื่องให้เราเชื่อ จุดที่พนักงานมักพลาดคือคิดว่าสวัสดิการบริษัทแปลว่าบริษัทจะดูแลให้ทุกอย่าง ทั้งที่การแจ้งเหตุอาจตกหล่นระหว่างแพลตฟอร์มกับนายจ้าง ควรเช็กกับ HR เองอย่ารอ
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับ Doctor Anywhere ข้อมูลรั่ว
Doctor Anywhere คืออะไร
Doctor Anywhere คือแอปหมอออนไลน์ที่มีผู้ใช้กว่า 3 ล้านคนในเอเชียตะวันออกเฉียงใต้ และมีบริการในไทย บริษัทมีบริษัทลูกชื่อ Adept Health ที่ให้บริการสวัสดิการสุขภาพแก่พนักงานของบริษัทต่าง ๆ
Doctor Anywhere ข้อมูลรั่ว คนไทยโดนไหม
ยังไม่ยืนยัน Doctor Anywhere ให้บริการในไทย แต่บริษัทยังไม่เปิดเผยจำนวนผู้เสียหายหรือประเทศที่ได้รับผลกระทบ ผู้ใช้ไทยจึงควรเตรียมตัวไว้ก่อนและถามผู้ให้บริการหรือฝ่าย HR โดยตรง
ข้อมูลอะไรของ Doctor Anywhere ที่รั่ว
ยังรายงานไม่ตรงกัน MustShareNews ระบุว่ามีชื่อ อีเมล เลขบัตรหรือพาสปอร์ต วันเกิด ผู้ติดต่อฉุกเฉิน และบัญชีธนาคาร ส่วน AsiaOne ระบุว่าบริษัทไม่ได้แจกแจงประเภทข้อมูล บริษัทยืนยันว่าเวชระเบียนไม่ได้รับผลกระทบ
ข้อมูลรั่วเรียกค่าเสียหายได้ไหม
ตาม PDPA เจ้าของข้อมูลมีสิทธิ์ร้องเรียน สคส. และเรียกค่าเสียหายได้เมื่อเกิดความเสียหายจริงจากการที่ผู้ควบคุมข้อมูลไม่ทำตามกฎหมาย แต่ต้องดูข้อเท็จจริงรายกรณี จึงควรเก็บหลักฐานตั้งแต่ต้น
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- คู่มือ: จัดการข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ประวัติอาชญากรรม ตามมาตรา 26 อย่างไร — อธิบายว่าทำไมข้อมูลสุขภาพในแอปหมอออนไลน์ต้องได้รับการดูแลเข้มกว่าข้อมูลทั่วไป (aipdpa.com)
แหล่งอ้างอิง
- AsiaOne — AsiaOne (อ่านต้นฉบับ)
- MustShareNews — รายงานเรื่องเดียวกัน (อ้างตามสรุปข่าว)
- บทความที่เกี่ยวข้อง: Medyc เวชระเบียนรั่ว โปแลนด์เตรียมบังคับรับรองมาตรฐานผู้ประมวลผลข้อมูลสุขภาพ โรงพยาบาลไทยที่ใช้ HIS ภายนอกต้องระวังอะไร
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
