Fakturownia ถูกเจาะ คือเหตุที่แพลตฟอร์มออกใบแจ้งหนี้ออนไลน์ของโปแลนด์ ซึ่งมีผู้ใช้ธุรกิจกว่า 600,000 ราย ถูกโจมตีจนข้อมูลบัญชีธนาคาร โทเคนเชื่อมระบบ และข้อมูลลูกค้าของธุรกิจเหล่านั้นเสี่ยงรั่ว บทความนี้เหมาะกับ SME ที่ใช้โปรแกรมบัญชีคลาวด์ ผู้ให้บริการระบบ e-Tax Invoice และ DPO จะได้รู้ว่าใครรับผิดอะไร และต้องเขียนอะไรในสัญญา
ลองนึกภาพร้านขายส่งที่ใช้โปรแกรมบัญชีออนไลน์ออกใบกำกับภาษี เชื่อมกับบัญชีธนาคารเพื่อกระทบยอดอัตโนมัติ วันหนึ่งผู้ให้บริการแจ้งว่าถูกเจาะ คำถามแรกที่เจ้าของร้านต้องตอบคือ ข้อมูลลูกค้าของร้านหลุดไปด้วยไหม และโทเคนที่เชื่อมธนาคารยังใช้งานได้อยู่หรือเปล่า เหตุ Fakturownia ถูกเจาะคือภาพนี้ในชีวิตจริง
สรุปสั้น: Fakturownia แพลตฟอร์มออกใบแจ้งหนี้ของโปแลนด์ที่มีผู้ใช้ธุรกิจกว่า 600,000 ราย ตรวจพบการโจมตีเมื่อ 30 ก.ย. 2569 ข้อมูลที่อาจรั่วรวมถึงข้อมูลบัญชีธนาคารและโทเคนเชื่อมระบบ ระบบใบกำกับภาษีของรัฐโปแลนด์ไม่ถูกเจาะ SME ไทยที่ใช้โปรแกรมบัญชีคลาวด์ยังเป็นผู้ควบคุมข้อมูลตาม PDPA จึงต้องตรวจสัญญาเรื่องแจ้งเหตุ การเข้ารหัส และการเพิกถอนโทเคน
Fakturownia ถูกเจาะ คืออะไร ข้อมูลอะไรหลุด
Fakturownia ถูกเจาะคือเหตุโจมตีแพลตฟอร์มออกใบแจ้งหนี้ที่ตรวจพบเมื่อ 30 กันยายน 2569 The Record รายงานเมื่อ 1 ตุลาคม 2569 ว่าแพลตฟอร์มมีผู้ใช้ธุรกิจกว่า 600,000 ราย และยังไม่ทราบจำนวนลูกค้าที่ถูกเจาะแน่ชัด
ข้อมูลที่อาจรั่วมีทั้งข้อมูลบัญชีผู้ใช้และบริษัท รหัสผ่านที่แฮชแล้ว ข้อมูลบัญชีธนาคาร โทเคนยืนยันตัวตนและโทเคนเชื่อมระบบ (integration tokens) ข้อมูลลูกค้าและคู่ค้า และใบแจ้งหนี้ก่อนปี 2566
แพลตฟอร์มนี้เชื่อมกับระบบใบกำกับภาษีอิเล็กทรอนิกส์ของรัฐโปแลนด์ (KSeF) แต่กระทรวงการคลังโปแลนด์ยืนยันว่า KSeF ไม่ถูกเจาะ และใบรับรองดิจิทัลยังปลอดภัย ส่วนกลุ่มที่ใช้ชื่อ “Fingerprint” อ้างว่าขโมยใบแจ้งหนี้ได้ 6 TB ซึ่งยังไม่ได้รับการยืนยัน
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| แพลตฟอร์ม | Fakturownia (โปแลนด์) ผู้ใช้ธุรกิจกว่า 600,000 ราย |
| ตรวจพบ | 30 ก.ย. 2569 · ยังไม่ทราบจำนวนลูกค้าที่ถูกเจาะแน่ชัด |
| ข้อมูลที่อาจรั่ว | บัญชีผู้ใช้/บริษัท รหัสผ่านที่แฮช บัญชีธนาคาร โทเคน ข้อมูลลูกค้าและคู่ค้า ใบแจ้งหนี้ก่อนปี 2566 |
| ระบบภาษีของรัฐ | KSeF ไม่ถูกเจาะ ใบรับรองดิจิทัลปลอดภัย (กระทรวงการคลังโปแลนด์) |
| ผู้อ้างตัว | กลุ่ม “Fingerprint” อ้างขโมยได้ 6 TB (ยังไม่ยืนยัน) |
Fakturownia ถูกเจาะ กระทบธุรกิจไทยอย่างไร
Fakturownia ถูกเจาะกระทบธุรกิจไทยในฐานะบทเรียน เพราะไทยมีผู้ให้บริการระบบ e-Tax Invoice & e-Receipt และโปรแกรมบัญชีคลาวด์ที่ถือข้อมูลลูกค้าของธุรกิจจำนวนมากในลักษณะเดียวกัน ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
ถ้าโปรแกรมบัญชีคลาวด์ถูกเจาะ ใครรับผิดตาม PDPA
ผู้ให้บริการโปรแกรมบัญชีคลาวด์มีสถานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ส่วน SME ที่ใช้บริการยังเป็นผู้ควบคุมข้อมูล พูดง่าย ๆ คือ ลูกค้าของร้านไม่ได้ทำสัญญากับผู้ให้บริการ แต่ทำธุรกิจกับร้าน ร้านจึงยังต้องตอบคำถามเรื่องมาตรการรักษาความมั่นคงปลอดภัยตาม PDPA มาตรา 37(1) และหน้าที่แจ้งเหตุภายใน 72 ชั่วโมงตามมาตรา 37(4) ถ้าข้อมูลส่วนบุคคลรั่ว
ทำไมโทเคนเชื่อมระบบถึงอันตรายกว่าใบแจ้งหนี้
โทเคนเชื่อมระบบอันตรายกว่าใบแจ้งหนี้ เพราะใช้สวมสิทธิ์ทำงานต่อได้ ใบแจ้งหนี้ที่หลุดคือข้อมูลในอดีต แต่โทเคนที่เชื่อมไปยังธนาคารหรือระบบภาษีคือกุญแจที่ยังเปิดประตูได้วันนี้ ผู้เขียนมองว่านี่คือของที่มีค่าที่สุดที่หลุดออกไปในเหตุ Fakturownia ถูกเจาะ
ผู้ให้บริการ e-Tax และโปรแกรมบัญชีไทยต้องเตรียมอะไร
ผู้ให้บริการ e-Tax Invoice และโปรแกรมบัญชีไทยต้องเตรียมขั้นตอนเพิกถอนโทเคนของลูกค้าทั้งหมดได้ทันทีเมื่อเกิดเหตุ และแจ้งลูกค้าที่เป็นผู้ควบคุมข้อมูลได้เร็วพอให้ลูกค้าแจ้ง สคส. ทันกรอบ 72 ชั่วโมง ผู้ให้บริการที่ทำงานกับหน่วยงานรัฐควรดูมาตรฐานคลาวด์ของไทยประกอบด้วย ที่ มาตรฐานไซเบอร์ระบบคลาวด์ของ สกมช. พ้นระยะผ่อนผัน บังคับใช้แล้วตั้งแต่ 10 ก.ย. 2569 ผู้ขาย SaaS และ MSP ที่ทำงานกับหน่วยงานรัฐหรือ CII ต้องเตรียมอะไร
สัญญากับผู้ให้บริการควรมีข้อไหน
สัญญาประมวลผลข้อมูล (DPA) กับผู้ให้บริการโปรแกรมบัญชีควรมีข้อเรื่องการแจ้งเหตุภายในเวลาที่กำหนด การเข้ารหัสข้อมูล และหน้าที่หมุนเวียนและเพิกถอนโทเคนทันทีเมื่อเกิดเหตุ ตัวอย่างค่าปรับเมื่อ vendor ทำข้อมูลรั่วดูได้ที่ 44 รัฐสหรัฐฯ ปรับ Labcorp $2.3M เพราะ vendor ทำข้อมูลรั่ว บทเรียน Vendor Governance ที่ธุรกิจไทยใช้ได้ทันที
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้า SME ไม่ทำอะไรเลยหลังเหตุ Fakturownia ถูกเจาะ ความเสี่ยงแรกคือไม่รู้ว่าตัวเองให้โทเคนเชื่อมธนาคารไว้กับระบบไหนบ้าง วันที่ผู้ให้บริการถูกเจาะจะเพิกถอนไม่ทัน ความเสี่ยงที่สองคือสัญญาไม่บังคับให้ผู้ให้บริการแจ้งเหตุเร็ว ร้านจึงแจ้ง สคส. ไม่ทัน 72 ชั่วโมง ความเสี่ยงที่สามคือข้อมูลลูกค้าและคู่ค้าที่หลุดถูกนำไปใช้ส่งใบแจ้งหนี้ปลอมหลอกให้โอนเงิน
SME ที่ใช้โปรแกรมบัญชีคลาวด์ควรทำอะไรตอนนี้
SME ที่ใช้โปรแกรมบัญชีคลาวด์ควรใช้เหตุ Fakturownia ถูกเจาะเป็นจังหวะทำรายการโทเคนและตรวจสัญญา งานเหล่านี้ใช้เวลาไม่มาก แต่ช่วยได้มากในวันที่เกิดเหตุจริง
- 1. ทำรายการ API และ integration token ทั้งหมด จดว่าให้โปรแกรมบัญชีเชื่อมกับธนาคาร ระบบภาษี หรือระบบอื่นไว้กี่จุด
- 2. กำหนดวันหมดอายุและขั้นตอนเพิกถอนฉุกเฉิน รู้ล่วงหน้าว่าจะยกเลิกโทเคนแต่ละตัวได้อย่างไรภายในวันเดียว
- 3. ตรวจสัญญาเรื่องแจ้งเหตุ การเข้ารหัส และการเพิกถอนโทเคน ถ้ายังไม่มี ให้ขอเพิ่มในรอบต่อสัญญา
- 4. เตรียมแผนแจ้ง สคส. และลูกค้า กำหนดว่าใครตัดสินใจแจ้งภายใน 72 ชั่วโมงถ้าผู้ให้บริการแจ้งเหตุมา
- 5. เตือนลูกค้าและคู่ค้าเรื่องใบแจ้งหนี้ปลอม ให้ยืนยันทางโทรศัพท์ทุกครั้งที่มีการเปลี่ยนเลขบัญชีรับเงิน
ถ้าต้องการคนช่วยตรวจสัญญาประมวลผลข้อมูลกับผู้ให้บริการ ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านประเด็นธุรกิจดิจิทัลอื่นได้ที่ หมวด Digital Business
มุมมองผู้เชี่ยวชาญ
เวลาตรวจสัญญาให้ SME ผมแทบไม่เคยเห็นใครถามผู้ให้บริการโปรแกรมบัญชีว่า ถ้าระบบของคุณถูกเจาะ คุณจะแจ้งเราภายในกี่ชั่วโมง ทั้งที่ระบบนั้นถือทั้งข้อมูลลูกค้าและกุญแจเข้าบัญชีธนาคารของเรา เราย้ายบัญชีไปไว้บนคลาวด์ แต่ความรับผิดไม่ได้ย้ายตามไปด้วย ผมแนะนำให้ทุกธุรกิจรู้ว่าตัวเองแจกโทเคนไว้ที่ไหนบ้าง เหมือนที่รู้ว่าแจกกุญแจบ้านไว้กับใคร
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Fakturownia ถูกเจาะ
Fakturownia คืออะไร และถูกเจาะเมื่อไร
Fakturownia คือแพลตฟอร์มออกใบแจ้งหนี้ออนไลน์ของโปแลนด์ที่มีผู้ใช้ธุรกิจกว่า 600,000 ราย ตรวจพบการโจมตีเมื่อ 30 กันยายน 2569 และยังไม่ทราบจำนวนลูกค้าที่ถูกเจาะแน่ชัด
ระบบใบกำกับภาษีของรัฐโปแลนด์ถูกเจาะด้วยไหม
ไม่ถูกเจาะ กระทรวงการคลังโปแลนด์ยืนยันว่าระบบใบกำกับภาษีอิเล็กทรอนิกส์ของรัฐ (KSeF) ไม่ถูกเจาะ และใบรับรองดิจิทัลยังปลอดภัย
ใช้โปรแกรมบัญชีคลาวด์แล้วข้อมูลรั่ว SME ต้องรับผิดไหม
SME ยังเป็นผู้ควบคุมข้อมูลตาม PDPA แม้ผู้ให้บริการจะเป็นคนทำข้อมูลรั่ว จึงยังมีหน้าที่แจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) เมื่อข้อมูลส่วนบุคคลรั่ว ส่วนการไล่เบี้ยกับผู้ให้บริการขึ้นอยู่กับสัญญา
Integration token หลุดแล้วต้องทำอะไร
ให้เพิกถอนโทเคนที่เชื่อมไปยังธนาคารและระบบอื่นทันที แล้วออกโทเคนใหม่ พร้อมตรวจรายการธุรกรรมย้อนหลังว่ามีความเคลื่อนไหวผิดปกติหรือไม่
แหล่งอ้างอิง
- The Record — (อ่านต้นฉบับ) — อ่านรายงานเหตุ Fakturownia ที่ The Record
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
