ข้อมูลรั่วซ้ำคือกรณีที่ข้อมูลส่วนบุคคลซึ่งเคยหลุดออกไปแล้ว ถูกนำกลับมาโพสต์ แชร์ หรือขายใหม่ เหมือนกรณีล่าสุดของรัฐมนตรีดิจิทัลอินโดนีเซีย ข้อมูลเก่าเหล่านี้ยังใช้หลอกลวงและสวมสิทธิ์เข้าระบบได้ บทความนี้เขียนให้ผู้บริหาร ฝ่ายไอที และ DPO ขององค์กรไทย ได้รู้ว่าทำไมข้อมูลรั่วซ้ำยังอันตราย และควรรับมือรหัสผ่านที่เคยรั่วอย่างไร
ลองนึกภาพเปิดคลิปในโซเชียลแล้วเห็นคนอ้างว่าได้รูปบัตรประชาชน ข้อมูลลูก และรหัสผ่านของรัฐมนตรีผู้ดูแลเรื่องดิจิทัลของประเทศ เหตุการณ์นี้เกิดขึ้นที่อินโดนีเซียเมื่อ 2 ตุลาคม 2569 ทางการรีบชี้แจงว่าเป็นข้อมูลเก่า คำถามที่องค์กรไทยควรถามต่อคือ ข้อมูลเก่าแล้วจบจริงหรือ
สรุปสั้น: บัญชี Instagram หนึ่งโพสต์คลิปอ้างว่าพบรูปบัตรประชาชน ข้อมูลครอบครัว และรหัสผ่านหลายชุดของ Meutya Hafid รัฐมนตรีกระทรวงสื่อสารและดิจิทัลอินโดนีเซีย Komdigi ยืนยันตามผลตรวจของ BSSN ว่าเป็นข้อมูลเก่าที่ถูกนำมาเผยแพร่ซ้ำ แล้วบล็อกเว็บขายข้อมูลและแจ้งตำรวจ บทเรียนคือข้อมูลรั่วซ้ำยังอันตราย เพราะรหัสผ่านเก่ายังถูกใช้สวมสิทธิ์ได้ องค์กรจึงต้องตรวจจับการล็อกอินด้วยรหัสผ่านที่เคยรั่ว ไม่ใช่หวังว่าข้อมูลจะไม่รั่ว
ข้อมูลรั่วซ้ำของรัฐมนตรีอินโดนีเซีย เกิดอะไรขึ้น
ข้อมูลรั่วซ้ำกรณีนี้เริ่มจากบัญชี Instagram @realmrbert โพสต์คลิปอ้างว่าพบข้อมูลของ Meutya Hafid รัฐมนตรีกระทรวงสื่อสารและดิจิทัล (Komdigi) ได้แก่ รูปบัตรประชาชน (KTP) ข้อมูลครอบครัวและบุตร และรหัสผ่านหลายชุด CNN Indonesia รายงานเรื่องนี้เมื่อ 2 ตุลาคม 2569
Alexander Sabar อธิบดีกำกับพื้นที่ดิจิทัลของ Komdigi ชี้แจงว่าข้อมูลที่เห็นเป็นข้อมูลเก่าที่ถูกนำมาเผยแพร่ซ้ำ โดยอ้างผลตรวจของ BSSN ซึ่งเป็นหน่วยงานไซเบอร์แห่งชาติ จากนั้น Komdigi ประสานตำรวจให้ตรวจสอบเว็บที่ขายข้อมูลส่วนบุคคล สั่งบล็อกเว็บไซต์ และเตือนประชาชนไม่ให้แชร์ข้อมูลส่วนตัวของผู้อื่นต่อ
Komdigi ยังอ้างกฎหมายคุ้มครองข้อมูลส่วนบุคคลของอินโดนีเซีย (กฎหมาย PDP ฉบับที่ 27/2022) ซึ่งกำหนดโทษการเผยแพร่ข้อมูลส่วนบุคคลโดยไม่มีสิทธิ์ เพื่อเตือนว่าการแชร์ต่อก็มีความผิดได้
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้ถูกกระทบ | Meutya Hafid รัฐมนตรีกระทรวงสื่อสารและดิจิทัล (Komdigi) |
| ข้อมูลที่อ้างว่าหลุด | รูปบัตรประชาชน ข้อมูลครอบครัวและบุตร รหัสผ่านหลายชุด |
| ผู้โพสต์ | บัญชี Instagram @realmrbert |
| คำชี้แจงของรัฐ | ข้อมูลเก่าที่ถูกเผยแพร่ซ้ำ ตามผลตรวจของ BSSN |
| มาตรการ | ประสานตำรวจ บล็อกเว็บขายข้อมูล เตือนห้ามแชร์ต่อ |
| กฎหมายที่อ้าง | กฎหมาย PDP ฉบับที่ 27/2022 |
ข้อมูลรั่วซ้ำกระทบธุรกิจไทยอย่างไร
ข้อมูลรั่วซ้ำกระทบธุรกิจไทยเพราะไทยเจอปัญหาเดียวกัน ข้อมูลเก่าที่เคยรั่วถูกวนกลับมาขายใหม่เป็นระยะ และรหัสผ่านในชุดข้อมูลเหล่านั้นยังใช้ได้กับบางระบบ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน แยกตามกลุ่มที่ต้องรับมือต่างกัน
ธุรกิจที่มีระบบล็อกอินของลูกค้า
ธุรกิจที่มีระบบล็อกอิน เช่น ร้านค้าออนไลน์ แอปสะสมแต้ม หรือพอร์ทัลลูกค้าของโรงพยาบาลเอกชน คือเป้าหมายหลักของ credential stuffing ถ้าลูกค้าใช้รหัสผ่านเดียวกับบัญชีที่เคยรั่วจากที่อื่น คนร้ายก็เข้าบัญชีในระบบของเราได้ ทั้งที่ระบบเราไม่เคยถูกเจาะเลย
ผลคือลูกค้าโทรมาโวยว่าแต้มหายหรือมีคนสั่งของในชื่อตัวเอง และธุรกิจต้องตอบคำถามว่ามีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม PDPA มาตรา 37(1) แล้วหรือยัง ผู้เขียนมองว่าการตรวจรหัสผ่านที่เคยรั่ว (breached password detection) กำลังกลายเป็นมาตรฐานขั้นต่ำที่คนตรวจจะถามถึง
องค์กรที่ดูแลบัญชีของพนักงาน
องค์กรที่มีพนักงานหลายร้อยคนเสี่ยงไม่ต่างกัน ถ้าพนักงานใช้รหัสผ่านอีเมลบริษัทซ้ำกับเว็บช้อปปิ้งที่เคยรั่ว คนร้ายอาจเข้าระบบภายในได้ กรณีรัฐมนตรีอินโดนีเซียแสดงให้เห็นว่าแม้คนที่ดูแลนโยบายดิจิทัลเองก็ยังมีรหัสผ่านอยู่ในชุดข้อมูลรั่ว
บริษัทไทยที่มีลูกค้าหรือพนักงานในอินโดนีเซีย
บริษัทไทยที่มีลูกค้าหรือพนักงานในอินโดนีเซียอยู่ภายใต้กฎหมาย PDP ของอินโดนีเซียด้วย และต้องแจ้งเหตุภายใน 3×24 ชั่วโมงตามกฎหมาย PDP กรอบเวลานี้ใกล้เคียงกับ 72 ชั่วโมงตาม PDPA มาตรา 37(4) ของไทย บริษัทที่ทำธุรกิจหลายประเทศในอาเซียนจึงควรมีแผนแจ้งเหตุชุดเดียวที่ใช้ได้ทุกประเทศ
คำถามทางกฎหมาย: ข้อมูลรั่วซ้ำยังเป็นเหตุละเมิดไหม
คำตอบตามการวิเคราะห์ของผู้เขียนคือ ต้องประเมินเป็นรายกรณี ถ้าข้อมูลที่วนกลับมามาจากระบบขององค์กรเราเอง องค์กรควรตรวจว่าเป็นเหตุเดิมที่เคยประเมินและแจ้งแล้ว หรือมีข้อมูลชุดใหม่ปนมา และบันทึกผลการประเมินไว้ทุกครั้ง การตอบว่า “ข้อมูลเก่า” แล้วจบ ไม่ได้ช่วยเจ้าของข้อมูลที่ยังใช้รหัสผ่านเดิมอยู่
ถ้าไม่ทำอะไรกับข้อมูลรั่วซ้ำ จะเสี่ยงอะไร
ถ้าองค์กรไม่ทำอะไรกับข้อมูลรั่วซ้ำ บัญชีลูกค้าและพนักงานจะถูกสวมสิทธิ์ด้วยรหัสผ่านที่หลุดมาจากที่อื่น เงินหรือแต้มของลูกค้าอาจหาย ระบบภายในอาจถูกเข้าถึง และองค์กรต้องอธิบายต่อหน่วยงานกำกับว่าทำไมไม่มีมาตรการพื้นฐานที่รู้กันทั่วไป ความเสียหายต่อชื่อเสียงมักหนักกว่าค่าปรับ เพราะลูกค้าจำได้ว่าบัญชีโดนเจาะที่ไหน
องค์กรไทยควรทำอะไรตอนนี้กับรหัสผ่านที่เคยรั่ว
องค์กรไทยควรเลิกถามว่า “ข้อมูลเราจะรั่วไหม” แล้วเปลี่ยนเป็น “ถ้ามีคนเอารหัสผ่านที่รั่วมาลองล็อกอิน ระบบเรารู้ทันไหม” สี่ข้อนี้ทำได้โดยไม่ต้องรอเกิดเหตุ
- 1. เปิดการตรวจรหัสผ่านที่เคยรั่วในระบบล็อกอิน ทั้งของลูกค้าและพนักงาน ให้ระบบเตือนหรือปฏิเสธเมื่อมีคนตั้งรหัสผ่านที่อยู่ในฐานข้อมูลรั่ว
- 2. บังคับเปลี่ยนรหัสผ่านที่พบในชุดข้อมูลรั่ว และเปิดการยืนยันตัวตนหลายขั้น (MFA) สำหรับบัญชีที่มีสิทธิ์สูง
- 3. เขียนขั้นตอนรับมือข้อมูลรั่วซ้ำไว้ในแผนแจ้งเหตุ ระบุว่าใครตรวจว่าเป็นข้อมูลเดิมหรือชุดใหม่ และบันทึกผลการประเมินอย่างไร
- 4. ทำตารางกรอบเวลาแจ้งเหตุของทุกประเทศที่มีลูกค้าหรือพนักงาน เช่น ไทย 72 ชั่วโมง และอินโดนีเซีย 3×24 ชั่วโมง ให้ทีมเปิดดูได้ทันที
ถ้าองค์กรต้องการคนช่วยวางแผนแจ้งเหตุที่ใช้ได้หลายประเทศ ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านกฎหมายข้อมูลส่วนบุคคลของเพื่อนบ้านได้ที่ เวียดนามออก Decree 330/2026 ตั้งโทษปรับข้อมูลส่วนบุคคลรายข้อ โอนข้อมูลข้ามแดนผิดปรับถึง 5% ของรายได้ บริษัทไทยที่มีลูกค้าหรือพนักงานเวียดนามต้องเช็กอะไร
มุมมองผู้เชี่ยวชาญ
เวลาทำ PDPA audit ผมเจอบ่อยว่าองค์กรลงทุนกับไฟร์วอลล์เต็มที่ แต่ระบบล็อกอินลูกค้ายังรับรหัสผ่าน 123456 ได้อยู่ ถ้ารัฐมนตรีผู้กำกับดิจิทัลยังกันข้อมูลตัวเองไม่ให้หลุดไม่ได้ องค์กรก็อย่าตั้งเป้าว่าข้อมูลจะไม่รั่ว แต่ต้องตั้งเป้าว่ารั่วแล้วเอามาใช้กับเราไม่ได้ คำว่า “ข้อมูลเก่า” ช่วยให้พาดหัวข่าวดูเบาลง แต่ไม่ได้ช่วยคนที่ยังใช้รหัสผ่านเดิม ผมคิดว่าการตรวจรหัสผ่านที่เคยรั่วควรเป็นของพื้นฐานเหมือนกุญแจประตู
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับข้อมูลรั่วซ้ำ
ข้อมูลรั่วซ้ำ คืออะไร
ข้อมูลรั่วซ้ำคือข้อมูลส่วนบุคคลที่เคยหลุดออกไปแล้ว ถูกนำกลับมาโพสต์ แชร์ หรือขายอีกครั้ง แม้เป็นข้อมูลเก่า รหัสผ่านและข้อมูลส่วนตัวในชุดนั้นยังใช้หลอกลวงหรือสวมสิทธิ์เข้าระบบได้
ข้อมูลเก่าที่รั่วซ้ำยังอันตรายไหม
ข้อมูลเก่าที่รั่วซ้ำยังอันตราย เพราะคนจำนวนมากใช้รหัสผ่านเดิมซ้ำกับหลายระบบ คนร้ายจึงนำไปทำ credential stuffing ลองล็อกอินเว็บอื่นได้ ส่วนรูปบัตรประชาชนและข้อมูลครอบครัวก็ใช้แอบอ้างตัวตนได้เหมือนเดิม
บริษัทไทยต้องทำตามกฎหมาย PDP อินโดนีเซียไหม
บริษัทไทยที่มีลูกค้าหรือพนักงานในอินโดนีเซียอยู่ภายใต้กฎหมาย PDP ของอินโดนีเซีย และต้องแจ้งเหตุละเมิดภายใน 3×24 ชั่วโมง ควรตรวจขอบเขตการบังคับใช้กับผู้เชี่ยวชาญในอินโดนีเซียเพิ่มเติม
Credential stuffing ป้องกันอย่างไร
Credential stuffing ป้องกันได้ด้วยการตรวจรหัสผ่านที่เคยรั่วตอนตั้งรหัสและตอนล็อกอิน บังคับเปลี่ยนรหัสที่พบในชุดข้อมูลรั่ว และเปิดการยืนยันตัวตนหลายขั้น (MFA) สำหรับบัญชีสำคัญ
แหล่งอ้างอิง
- CNN Indonesia — (อ่านต้นฉบับ) — อ่านข่าว Komdigi ชี้แจงกรณีข้อมูล Meutya Hafid ที่ CNN Indonesia
อ่านบทเรียนเหตุข้อมูลรั่วในภูมิภาคเพิ่มเติมได้ที่ DICT ฟิลิปปินส์สอบเหตุข้อมูล 48 บริษัทในโครงการรับรองไซเบอร์รั่ว บทเรียนก่อนธุรกิจไทยยื่นเอกสารขอตรารับรอง และประเด็นข้อมูลส่วนบุคคลอื่น ๆ ได้ที่ หมวด PDPA & Privacy
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
