ข้อมูลรั่ว 37 สถาบันการเงิน คือเหตุที่ FSC หน่วยงานกำกับการเงินของเกาหลีใต้แถลงเมื่อ 5 พฤศจิกายน 2569 (ค.ศ. 2026) ว่าตั้งแต่ 30 กันยายน 2569 เกิดเหตุไซเบอร์ 40 เหตุใน 37 บริษัทการเงิน ข้อมูลรั่วราว 473,000 รายการ และจะเอาผิดผู้บริหารถึง CEO บทความนี้เขียนให้คนไทยทั่วไปที่ใช้แอปธนาคาร ว่าหลังข่าวแบบนี้ 24 ชั่วโมงแรกมักเจออะไร และกฎหมายไทยให้สิทธิอะไร
ลองนึกภาพพี่หน่อย เจ้าของร้านข้าวแกงที่รับเงินผ่านพร้อมเพย์ทั้งวัน (ตัวอย่างสมมติ) ตอนเช้ามีคนส่งข่าว “แบงก์เกาหลีข้อมูลรั่ว” เข้ากลุ่ม LINE ครอบครัว พี่หน่อยอ่านผ่าน ๆ แล้วไปตักแกงต่อ อีกไม่กี่ชั่วโมงมี SMS เด้งมาว่า “ธนาคารแจ้ง ข้อมูลบัญชีของท่านอาจรั่วไหล กรุณายืนยันตัวตน” พร้อมลิงก์ พี่หน่อยควรทำอย่างไร คำตอบอยู่ในไทม์ไลน์ด้านล่าง
สรุปสั้น: ข้อมูลรั่ว 37 สถาบันการเงินเกิดในเกาหลีใต้ ไม่ใช่ธนาคารไทย และ FSC ระบุว่าข้อมูลที่รั่วไม่มีชื่อ เลขประจำตัวประชาชน หรือเลขบัญชี ความเสี่ยงที่ใกล้ตัวคนไทยกว่าคือมิจฉาชีพที่หยิบข่าวข้อมูลรั่วไปทำ SMS และสายหลอก วิธีป้องกันง่ายที่สุดคือไม่กดลิงก์ในข้อความ และโทรกลับธนาคารจากเบอร์หลังบัตรเท่านั้น
ข้อมูลรั่ว 37 สถาบันการเงินเกาหลี คืออะไร เกิดอะไรขึ้น
ข้อมูลรั่ว 37 สถาบันการเงินคือการรวมเหตุไซเบอร์ 40 เหตุที่ FSC นับตั้งแต่ 30 กันยายน 2569 ในธนาคารพาณิชย์ 4 แห่ง บริษัทลงทุน 5 แห่ง ประกัน 3 แห่ง และธนาคารออมทรัพย์ 5 แห่ง รวมกับบริษัทการเงินกลุ่มอื่น ข้อมูลรั่วราว 473,000 รายการ บริษัทการเงินขนาดเล็กบางรายถูกขโมยเงินของบริษัทเองราว 1 พันล้านวอน แต่ FSC ยืนยันว่าเงินของลูกค้ายังครบ
บทความนี้เป็นการอัปเดตจาก เกาหลีใต้สั่งสอบแฮกแบงก์ 6 แห่ง Shinhan รั่ว 25,000 ราย เหตุ credential stuffing ธนาคารและฟินเทคไทยต้องปิดช่องโหว่ระบบตัวแทนอย่างไร จากเหตุไม่กี่แห่งเมื่อต้นตุลาคม 2569 ภาพขยายเป็นหลายสิบบริษัท และรัฐบาลเกาหลีเปลี่ยนจากสั่งสอบรายแห่งเป็นการตรวจทั้งภาค
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ใครแถลง | FSC (Financial Services Commission) เกาหลีใต้ แถลง 5 พ.ย. 2569 |
| จำนวนเหตุ | 40 เหตุ ใน 37 บริษัทการเงิน นับตั้งแต่ 30 ก.ย. 2569 |
| ข้อมูลที่รั่ว | ราว 473,000 รายการ ไม่มีชื่อ เลขประจำตัวประชาชน หรือเลขบัญชี ตามที่ FSC ระบุ |
| เงินที่หาย | เงินของบริษัทบางรายราว 1 พันล้านวอน เงินลูกค้ายังครบ |
| มาตรการต่อไป | ตรวจราว 580 บริษัท รวม API ที่เปิดออกภายนอก เจอช่องโหว่ร้ายแรงต้องหยุดบริการทันที |
| ความรับผิด | ประธาน FSC ประกาศเอาผิดผู้บริหารถึง CEO ถ้าบกพร่องร้ายแรง |
กำหนดเสร็จของการตรวจ 580 บริษัทยังรายงานไม่ตรงกัน The Asia Business Daily รายงานว่าภายในสิ้นปี 2569 ส่วน The Korea Times รายงานว่าภายในสิ้นเดือนพฤศจิกายน 2569 บริษัทใหญ่ต้องประเมินช่องโหว่ปีละ 2 ครั้ง
ข้อมูลรั่วแบบนี้ กระทบคนไทยทั่วไปอย่างไร ไล่ดู 24 ชั่วโมงแรก
ข้อมูลรั่ว 37 สถาบันการเงินไม่ได้ทำให้บัญชีธนาคารไทยของคุณรั่ว แต่กระทบคนไทยผ่าน “ข่าว” เพราะมิจฉาชีพชอบเกาะกระแสข่าวข้อมูลรั่วมาทำบทพูดให้คนตกใจ ไทม์ไลน์ด้านล่างเป็นตัวอย่างสมมติของพี่หน่อย เพื่อให้เห็นว่าแต่ละช่วงเวลามักเจออะไร และควรตอบสนองอย่างไร
ชั่วโมงที่ 1: ข่าวมาถึงกลุ่ม LINE จะเชื่ออะไรดี
ชั่วโมงแรกควรเช็กว่าข่าวพูดถึงใคร ข่าวนี้คือบริษัทการเงินในเกาหลีใต้ ไม่มีรายงานว่าธนาคารไทยรั่ว ถ้ามีคนแชร์ข้อความว่า “แบงก์ไทยก็โดนด้วย” โดยไม่มีแหล่งข่าว ให้ถือว่ายังไม่จริง และอย่าส่งต่อ เพราะข่าวลือคือสิ่งที่ทำให้ SMS หลอกได้ผล
ชั่วโมงที่ 6: SMS หรือสายที่อ้างว่าเป็นธนาคาร ควรทำอย่างไร
ข้อความที่บอกว่า “ข้อมูลคุณรั่ว กดลิงก์เพื่อยืนยันตัวตน” ให้ลบทิ้งโดยไม่กด ถ้ามีสายอ้างว่าเป็นธนาคารหรือตำรวจ ให้วางสายแล้วโทรกลับเองจากเบอร์หลังบัตร ธนาคารจริงไม่ต้องให้คุณกดลิงก์จาก SMS เพื่อ “กู้บัญชี”
ชั่วโมงที่ 24: ข้อความ “เงินชดเชยผู้เสียหาย” จริงไหม
ข้อความที่ชวนให้กรอกข้อมูลเพื่อรับเงินชดเชยจากเหตุข้อมูลรั่วมักเป็นกับดักรอบสอง ในข่าวเกาหลีไม่มีการประกาศจ่ายเงินชดเชยให้ใคร ถ้าบริษัทที่คุณใช้บริการเกิดเหตุจริง บริษัทควรแจ้งผ่านช่องทางทางการของบริษัทเอง และไม่ขอรหัสผ่านหรือ OTP จากคุณ
ถ้าคุณทำงานหรือเคยเปิดบัญชีในเกาหลี
คนไทยที่ทำงานในเกาหลีหรือเคยเปิดบัญชีที่นั่นควรติดตามประกาศจากธนาคารที่ใช้ ข้อมูลที่ FSC บอกว่ารั่วไม่มีเลขบัญชี แต่ข้อมูลประกอบบางอย่างก็พอให้คนร้ายแต่งเรื่องให้ดูน่าเชื่อได้
ถ้าคุณทำงานในแบงก์ ประกัน หรือฟินเทคไทย
คนทำงานในภาคการเงินไทยควรมองข่าวนี้เป็นสัญญาณว่าคำถามแรกหลังเกิดเหตุจะไปถึงผู้บริหาร ไม่หยุดแค่ฝ่ายไอที สถิติของ สคส. ก็ชี้ว่าภาคการเงินเป็นภาคที่แจ้งเหตุมากที่สุดใน สคส. เปิดสถิติ PDPA ร้องเรียน 4,210 เรื่อง ข้อมูลรั่ว 1,650 เหตุ เกินครึ่งไม่ใช่แฮกเกอร์ ภาคการเงินนำ 723 เหตุ ธุรกิจไทยต้องปิดช่องไหนก่อน
เทียบกับกฎหมายไทย: ถ้าข้อมูลคุณรั่ว กฎหมายไทยให้สิทธิอะไร
ข้อมูลรั่ว 37 สถาบันการเงินเกิดภายใต้กฎหมายเกาหลี แต่ถ้าเหตุคล้ายกันเกิดกับบริษัทในไทย PDPA ให้สิทธิคุณหลายอย่าง และบังคับบริษัทให้แจ้งเหตุภายในเวลาที่กำหนด ตารางนี้เทียบสิ่งที่เกาหลีทำกับสิ่งที่คนไทยเรียกร้องได้
| ประเด็น | เกาหลีใต้ตามข่าว | กฎหมายไทย |
|---|---|---|
| บริษัทต้องดูแลข้อมูลแค่ไหน | ตรวจ 580 บริษัท ช่องโหว่ร้ายแรงต้องหยุดบริการ | ต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม PDPA ม.37(1) |
| ต้องแจ้งเหตุเมื่อไร | FSC แถลงภาพรวมต่อสาธารณะ | แจ้ง สคส. ภายใน 72 ชั่วโมง และแจ้งเจ้าของข้อมูลเมื่อเสี่ยงสูง PDPA ม.37(4) |
| ใครรับผิด | เอาผิดผู้บริหารถึง CEO | บริษัทในฐานะผู้ควบคุมข้อมูลรับผิดทั้งทางปกครองและทางแพ่งตาม PDPA |
| คนร้ายที่เจาะระบบ | ไม่ได้ระบุในข่าว | อาจผิด พ.ร.บ.คอมพิวเตอร์ ม.5 เข้าถึงระบบ และ ม.7 เข้าถึงข้อมูลโดยมิชอบ |
| สิทธิของคุณ | ไม่ได้ระบุในข่าว | ขอดูว่าบริษัทเก็บอะไรไว้ ขอลบ ร้องเรียน สคส. และเรียกค่าเสียหาย |
ช่องว่างที่สำคัญสำหรับคนไทยคือ ค่าปรับทางปกครองที่บริษัทจ่ายเข้ารัฐ ไม่ได้กลายเป็นเงินชดเชยให้ผู้เสียหายโดยอัตโนมัติ ถ้าเสียหายจริงต้องเรียกค่าเสียหายเอง ส่วน SMS หรือสายหลอกที่ตามมา ให้แจ้งความกับตำรวจ ซึ่งเป็นคนละช่องทางกับการร้องเรียน สคส. ประเด็นว่าค่ายมือถือและธนาคารต้องร่วมรับผิดเมื่อลูกค้าโดนแก๊งคอลเซ็นเตอร์หรือไม่ สรุปไว้ใน พ.ร.ก. อาชญากรรมเทคโนโลยีฉบับใหม่: ถูกแก๊งคอลเซ็นเตอร์หลอก ใครต้องรับผิดแทนคุณ
ถ้าอยากรู้ว่าบริษัทเก็บข้อมูลอะไรของคุณไว้บ้าง สิทธิขอดูข้อมูลและขั้นตอนที่บริษัทต้องตอบอยู่ใน คู่มือ: ตอบคำขอใช้สิทธิของเจ้าของข้อมูล (DSR) ให้ทันใน 30 วัน ทำอย่างไร
ถ้าไม่ทำอะไรเลยหลังเห็นข่าวข้อมูลรั่ว จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย ความเสี่ยงหลักไม่ใช่ไฟล์ที่รั่วในเกาหลี แต่คือการเผลอกดลิงก์หรือให้ OTP กับคนที่อ้างข่าวนี้
- เสี่ยงเงินหาย กดลิงก์ปลอมแล้วกรอกรหัสหรือ OTP เท่ากับยื่นกุญแจบัญชีให้คนร้าย
- เสี่ยงเรียกร้องสิทธิไม่ได้ ไม่เก็บ SMS ภาพหน้าจอ หรือรายการเดินบัญชี จะพิสูจน์ความเสียหายยาก
- เสี่ยงเป็นคนส่งต่อข่าวลือ แชร์ข่าวว่าแบงก์ไทยรั่วโดยไม่มีแหล่งที่มา อาจทำให้ญาติผู้ใหญ่ตกใจและหลงเชื่อ SMS หลอกง่ายขึ้น
คนทั่วไปควรทำอะไรภายใน 24 ชั่วโมงหลังเห็นข่าวข้อมูลรั่ว
ทั้ง 5 ข้อทำได้เองด้วยมือถือ และใช้ได้ทุกครั้งที่มีข่าวข้อมูลรั่ว
- 1. ภายในชั่วโมงแรก เช็กว่าข่าวพูดถึงใคร อ่านจากสำนักข่าวที่ระบุแหล่งที่มา ข่าวนี้คือบริษัทการเงินในเกาหลีใต้ ข่าวที่ไม่มีแหล่งที่มาอย่าส่งต่อ
- 2. ไม่กดลิงก์ใน SMS หรือ LINE ที่อ้างว่าบัญชีมีปัญหา ธนาคารจริงไม่ให้กู้บัญชีผ่านลิงก์ในข้อความ ลบทิ้งได้เลย
- 3. โทรกลับธนาคารจากเบอร์หลังบัตรเท่านั้น ถ้ามีสายอ้างว่าเป็นธนาคาร ตำรวจ หรือหน่วยงานรัฐ ให้วางสายก่อน แล้วโทรกลับเองจากเบอร์ที่คุณหาได้จากบัตรหรือแอป
- 4. เปิดแจ้งเตือนทุกรายการในแอปธนาคาร และเปลี่ยนรหัสถ้าใช้ซ้ำหลายที่ ถ้ารหัสแอปธนาคารเหมือนรหัสอีเมลหรือแอปช้อปปิ้ง ให้เปลี่ยนเป็นรหัสที่ไม่ซ้ำ
- 5. เก็บหลักฐานทุกอย่างไว้ก่อน แคปหน้าจอ SMS เบอร์ที่โทรเข้า และวันเวลา ถ้าเงินหายให้แจ้งธนาคารทันทีแล้วแจ้งความ ใครอยากได้แนวทางใช้แอปและเทคโนโลยีให้ปลอดภัยเพิ่ม อ่าน คู่มือใช้เทคโนโลยีอย่างปลอดภัยและปกป้องข้อมูล
มุมมองผู้เชี่ยวชาญ
สิ่งที่น่าสนใจในข่าวเกาหลีคือรัฐไม่ถามแค่ว่าไฟร์วอลล์ดีไหม แต่ถามว่า CEO รู้หรือไม่ว่าประตูหลังบ้านเปิดอยู่กี่บาน สำหรับคนทั่วไป ข้อมูลที่รั่วอาจไม่ใช่สิ่งที่ทำร้ายคุณที่สุด สิ่งที่ทำร้ายคุณที่สุดหลังข่าวข้อมูลรั่ว คือข้อความที่อ้างข่าวนั้นมาขอ OTP จุดที่บริษัทมักพลาดคือแจ้งลูกค้าว่าเกิดอะไรขึ้น แต่ไม่บอกว่าบริษัทจะไม่ติดต่อผ่านช่องทางไหน ประโยคเดียวนั้นช่วยลูกค้าได้มากกว่าคำขอโทษยาว ๆ
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับข้อมูลรั่ว 37 สถาบันการเงิน
ข้อมูลรั่ว 37 สถาบันการเงินเกาหลี เกี่ยวกับแบงก์ไทยไหม
ไม่มีรายงานว่าธนาคารไทยเกี่ยวข้อง เหตุทั้ง 40 เหตุเกิดกับบริษัทการเงินในเกาหลีใต้ตามที่ FSC แถลงเมื่อ 5 พฤศจิกายน 2569 ความเสี่ยงต่อคนไทยคือมิจฉาชีพที่เอาข่าวนี้ไปแต่งเป็นข้อความหลอก
ได้ SMS บอกว่าข้อมูลบัญชีรั่ว ควรทำอย่างไร
อย่ากดลิงก์และอย่าโทรกลับเบอร์ในข้อความ ให้เปิดแอปธนาคารเองหรือโทรเบอร์หลังบัตรเพื่อถาม ถ้าเผลอกรอกข้อมูลไปแล้ว ให้แจ้งธนาคารทันทีและเก็บหลักฐานไว้แจ้งความ
ข้อมูลรั่วเรียกค่าเสียหายได้ไหม
เรียกได้ ถ้าเหตุเกิดกับบริษัทที่อยู่ภายใต้ PDPA และคุณพิสูจน์ความเสียหายได้ ค่าปรับที่บริษัทจ่ายให้รัฐไม่ใช่เงินชดเชยของผู้เสียหาย คุณต้องเรียกร้องเอง
ทำไมเกาหลีเอาผิดถึง CEO
ประธาน FSC ระบุว่าผู้บริหารที่บกพร่องร้ายแรงจะถูกเอาผิด ข้อมูลรั่ว 37 สถาบันการเงินจึงเป็นสัญญาณว่าผู้กำกับดูแลเริ่มถามหาความรับผิดของผู้บริหารโดยตรง
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- จดหมายแจ้งเจ้าของข้อมูลเมื่อข้อมูลรั่ว ต้องมีอะไรบ้าง — บอกว่าจดหมายแจ้งเหตุที่บริษัทในไทยต้องส่งถึงคุณต้องมีเรื่องอะไรบ้าง ใช้แยกของจริงกับข้อความหลอกได้ (aipdpa.com)
แหล่งอ้างอิง
- The Asia Business Daily — The Asia Business Daily (อ่านต้นฉบับ)
- The Korea Times — Over 470,000 pieces of personal data leaked from 37 financial firms: FSC
- ข่าวและบทวิเคราะห์ PDPA อื่น ๆ: หมวด PDPA & Privacy
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
