PDPA องค์กรศาสนา คือหน้าที่ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่วัด มูลนิธิ โบสถ์ และมัสยิดต้องทำ เมื่อเก็บทะเบียนสมาชิกหรือรายชื่อผู้บริจาค เพราะข้อมูลแบบนี้บอกความเชื่อทางศาสนาของคนในรายชื่อ ซึ่งกฎหมายจัดเป็นข้อมูลอ่อนไหวตามมาตรา 26 บทความนี้ใช้เหตุที่โบสถ์ใหญ่ 2 แห่งในเกาหลีใต้สอบเรื่องถูกโจมตีทางไซเบอร์เป็นกรณีศึกษา เหมาะกับผู้ดูแลศาสนสถานและกรรมการมูลนิธิ
ลองนึกภาพวัดหรือมูลนิธิที่เก็บชื่อผู้ร่วมทำบุญไว้ในไฟล์ Excel เดียวกับยอดเงินบริจาค ถ้าคนร้ายเข้าระบบมาได้ รายชื่อและยอดเงินจะหลุดไปพร้อมกันทั้งชุด ตามรายงานข่าวระหว่าง 6–8 ตุลาคม 2569 โบสถ์ Yoido Full Gospel และ SaRang ในกรุงโซลแจ้งว่ากำลังสอบเหตุแบบนี้
สรุปสั้น: โบสถ์ Yoido Full Gospel และ SaRang ในกรุงโซลสอบเหตุถูกโจมตีทางไซเบอร์ หลัง Oasis Security พบข้อมูลที่เกี่ยวข้องบนเซิร์ฟเวอร์ของผู้โจมตีในต่างประเทศ รายงานภาษาเกาหลีระบุว่าข้อมูลสมาชิกอาจรั่วราว 1 ล้านรายการ แต่โบสถ์ยังไม่ยืนยัน สำหรับไทย PDPA องค์กรศาสนาครอบคลุมทะเบียนสมาชิกและรายชื่อผู้บริจาค วัดและมูลนิธิจึงควรเปิด MFA ปิดบัญชีที่ไม่ใช้ และตรวจหา web shell
โบสถ์เกาหลีใต้สอบเหตุถูกแฮก เกิดอะไรขึ้นและข้อมูลอะไรอาจรั่ว
โบสถ์ Yoido Full Gospel และ SaRang ในกรุงโซลสอบเหตุถูกโจมตีทางไซเบอร์ หลัง Oasis Security วิเคราะห์ข้อมูลจากเซิร์ฟเวอร์ของผู้โจมตีในต่างประเทศ และพบข้อมูลที่สันนิษฐานว่าเกี่ยวข้องกับโบสถ์ทั้งสอง
ตัวเลขในรายงานภาษาเกาหลีของ Yonhap ซึ่งอ้างจาก Oasis Security คือบันทึกการถวายเงินราว 330,000 รายการ ข้อมูลสมาชิกที่อัปเดตในรอบ 2 ปีล่าสุดราว 960,000 รายการ เอกสารอนุมัติอิเล็กทรอนิกส์ราว 68,000 ฉบับ และแชตภายในกว่า 14,000 รายการ รวมประมาณ 47.3 GB พาดหัวรายงานนั้นสรุปว่าข้อมูลสมาชิกอาจรั่วราว 1 ล้านรายการ แต่ตัวเลขชุดนี้ยังเป็นความเป็นไปได้ที่โบสถ์ยังไม่ยืนยัน
The Record รายงานว่า Yoido ระบุว่าพบชุดข้อมูลส่วนบุคคลชุดหนึ่งที่เกี่ยวข้องกับสมาชิกราว 850,000 คน ส่วน SaRang ยังไม่เปิดเผยจำนวนผู้ที่อาจได้รับผลกระทบ
Oasis Security อธิบายวิธีเจาะไว้ 2 แบบ คือฝัง web shell ในเซิร์ฟเวอร์ระบบ ERP จนได้สิทธิ์ผู้ดูแลฐานข้อมูล และใช้รหัสผ่านที่เคยรั่วเข้าระบบ groupware แล้วใช้ช่องโหว่รีเซ็ตรหัสผ่านของผู้ใช้อื่น The Record รายงานเพิ่มว่า Oasis พบหลักฐานว่าผู้โจมตีใช้ AI ช่วยวิเคราะห์ช่องโหว่ เคลื่อนที่ในเครือข่าย และดึงข้อมูล Oasis ประเมินว่าเหตุน่าจะเกิดในเดือนสิงหาคม 2569 (ค.ศ. 2026) ข้อค้นพบเรื่อง AI มาจากบริษัทความปลอดภัยรายเดียว
| ประเด็น | สิ่งที่รายงาน |
|---|---|
| ผู้พบข้อมูล | Oasis Security พบบนเซิร์ฟเวอร์ผู้โจมตีในต่างประเทศ เป็นข้อมูลที่สันนิษฐานว่าเกี่ยวข้องกับ Yoido Full Gospel และ SaRang (Yonhap 6 ต.ค. 2569, The Record 8 ต.ค. 2569) |
| ข้อมูลที่อ้างว่าพบ | ประมาณ 47.3 GB รวมบันทึกถวายเงิน ข้อมูลสมาชิก เอกสารอนุมัติ และแชตภายใน (Yonhap ผ่าน supple.kr) |
| วิธีเจาะ | web shell บนเซิร์ฟเวอร์ ERP และรหัสผ่านที่เคยรั่วในระบบ groupware (Oasis Security) |
| สถานะ | โบสถ์สอบเหตุ ตัวเลขของ Oasis Security ยังไม่ได้รับการยืนยัน |
PDPA องค์กรศาสนา: เหตุนี้กระทบวัด มูลนิธิ และองค์กรไทยอย่างไร
PDPA องค์กรศาสนา กระทบวัด มูลนิธิ โบสถ์ และมัสยิดในไทยโดยตรง เพราะทะเบียนสมาชิกและรายชื่อผู้บริจาคบอกความเชื่อทางศาสนาของคนในรายชื่อ องค์กรเหล่านี้จึงต้องมีมาตรการรักษาความปลอดภัยเทียบเท่าธุรกิจ แม้ไม่ได้แสวงหากำไร ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
ทะเบียนสมาชิกและรายชื่อผู้บริจาคเป็นข้อมูลอ่อนไหวตามมาตรา 26 ไหม
ทะเบียนสมาชิกและรายชื่อผู้บริจาคเป็นข้อมูลอ่อนไหวได้ เพราะชื่อคนที่คู่กับชื่อศาสนสถานบอกความเชื่อทางศาสนาของคนนั้น ซึ่งมาตรา 26 จัดเป็นข้อมูลที่ต้องระวังกว่าข้อมูลทั่วไปและมีโทษหนักกว่า กฎหมายดูว่าใครถือข้อมูลของคนอื่นไว้ ไม่ได้ดูว่าองค์กรมีกำไรหรือไม่ องค์กรไม่แสวงหากำไรจึงอ้างว่าไม่เกี่ยวไม่ได้
ตัวอย่างสมมติ: มูลนิธิแห่งหนึ่งเก็บชื่อ เบอร์โทร และยอดบริจาคของผู้ร่วมบุญ 2,000 คนไว้ในไฟล์เดียว แล้วแชร์ลิงก์ในกลุ่ม LINE อาสาสมัคร 15 คน ถ้าอาสาสมัครคนหนึ่งใช้รหัสผ่านซ้ำกับเว็บอื่นที่เคยรั่ว คนร้ายอาจเข้าไฟล์นี้ได้โดยไม่ต้องเจาะระบบเลย
องค์กรศาสนาต้องรักษาความปลอดภัยและแจ้งเหตุรั่วอย่างไร
ตาม PDPA องค์กรศาสนาที่เก็บข้อมูลต้องจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37(1) และเมื่อเกิดเหตุละเมิดต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ ตามมาตรา 37(4) เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ถ้าความเสี่ยงสูง กฎหมายให้แจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย
จุดอ่อนที่ข่าวระบุเป็นเรื่องพื้นฐานที่องค์กรไทยตรวจเองได้ คือเซิร์ฟเวอร์ที่ถูกฝัง web shell รหัสผ่านที่เคยรั่ว และขั้นตอนรีเซ็ตรหัสผ่านที่มีช่องโหว่ วิธีตรวจหา web shell และประเมินการแจ้ง สคส. สรุปไว้ใน ThaiCERT เตือนช่องโหว่ Zimbra CVE-2026-73570 ถูกใช้ฝัง Web Shell และดูดอีเมล องค์กรไทยต้องอัปเดตและประเมินการแจ้ง สคส. อย่างไร
ถ้าวัดและมูลนิธิไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าวัดและมูลนิธิไม่ทำอะไรเลย ความเสี่ยงหลักคือรายชื่อและยอดบริจาคหลุดโดยไม่มีใครรู้ตัว แล้วผู้ร่วมบุญและองค์กรต้องรับผลที่ตามมา
- ผู้ร่วมบุญอาจถูกโทรหรือส่งข้อความหลอก โดยอ้างยอดบริจาคจริงให้เชื่อ (เป็นความเสี่ยงที่เป็นไปได้ ไม่ใช่เหตุจริง)
- ผู้ร่วมบุญอาจเลิกบริจาค เพราะไม่มั่นใจว่าองค์กรดูแลชื่อและความเชื่อของตนได้
- องค์กรอาจถูกตรวจสอบตาม PDPA โดยไม่มีหลักฐานว่าเคยป้องกันตามสมควร
วัด มูลนิธิ และองค์กรศาสนาควรทำอะไรเป็นอย่างแรก
วัด มูลนิธิ และองค์กรศาสนาควรเริ่มจาก 4 เรื่องที่ทำได้โดยไม่ต้องมีทีมไอทีใหญ่ เรื่อง PDPA องค์กรศาสนาไม่ต้องเริ่มจากเครื่องมือราคาแพง แต่เริ่มจากรู้ว่าเก็บข้อมูลอะไรไว้ที่ไหน
- 1. ทำบัญชีข้อมูลและคู่มือ PDPA ฉบับย่อ ระบุว่าเก็บทะเบียนสมาชิกและรายชื่อผู้บริจาคไว้ที่ไหน ใครเข้าถึงได้ เก็บนานแค่ไหน
- 2. เปิด MFA และปิดบัญชีที่ไม่ใช้ เริ่มจากบัญชีผู้ดูแลระบบและอีเมลองค์กร ปิดบัญชีคนที่ออกไปแล้ว ไม่ใช้รหัสผ่านซ้ำ ดูแนวทางใน MFA และ PDPA สัญญาณเตือนองค์กรไทย จากข้อมูลรั่วถึงแฟ้มกระดาษ
- 3. ตรวจหา web shell และอุดช่องโหว่ ให้ผู้ดูแลระบบตรวจไฟล์แปลกปลอมบนเซิร์ฟเวอร์ที่เปิดออกอินเทอร์เน็ต อัปเดต ERP และ groupware และทดสอบขั้นตอนรีเซ็ตรหัสผ่าน
- 4. เตรียมแผนรับมือและแจ้งเหตุ กำหนดว่าใครตัดสินใจ ใครแจ้ง สคส. ภายใน 72 ชั่วโมง และร่างข้อความถึงผู้ร่วมบุญไว้ก่อน
ถ้าต้องการคนช่วยวางคู่มือและแผนรับมือ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru ส่วนเรื่องข้อมูลส่วนบุคคลอื่น ๆ ติดตามได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
องค์กรศาสนามักคิดว่า PDPA เป็นเรื่องของบริษัทที่ขายของ แต่กฎหมายไม่ได้ดูว่าองค์กรมีกำไรหรือไม่ ดูแค่ว่าเราถือข้อมูลของใครไว้ รายชื่อคนทำบุญคือรายชื่อคนที่เชื่อในสิ่งเดียวกัน และความเชื่อเป็นข้อมูลที่หลุดไปแล้วเรียกคืนไม่ได้ จุดที่องค์กรขนาดเล็กมักพลาดคือเก็บทุกอย่างไว้ในไฟล์เดียวที่หลายคนเปิดได้ โดยไม่มีใครรู้ว่าใครเข้าถึงอะไร ผมมองว่าเรื่อง PDPA องค์กรศาสนาควรเริ่มจากรู้ก่อนว่ามีข้อมูลอะไรอยู่
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ PDPA องค์กรศาสนา
วัดและมูลนิธิในไทยต้องทำตาม PDPA ไหม
โดยหลักแล้วต้องทำ ถ้าเก็บ ใช้ หรือเปิดเผยข้อมูลของบุคคล เช่น ทะเบียนสมาชิกและรายชื่อผู้บริจาค เพราะ PDPA องค์กรศาสนาไม่ได้แบ่งตามว่าองค์กรแสวงหากำไรหรือไม่ ข้อยกเว้นมีเฉพาะที่กฎหมายกำหนด ควรตรวจเป็นรายกรณี
ถ้าข้อมูลสมาชิกรั่ว องค์กรต้องแจ้งใครภายในกี่ชั่วโมง
ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ ตามมาตรา 37(4) เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ถ้าความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย
ผู้โจมตีโบสถ์เกาหลีใต้ใช้ AI จริงหรือไม่
ยังเป็นข้อกล่าวอ้างของบริษัทเดียว The Record รายงานว่า Oasis Security พบหลักฐานว่าผู้โจมตีใช้ AI ช่วยวิเคราะห์ช่องโหว่และดึงข้อมูล แต่ในแหล่งข่าวที่ใช้ยังไม่พบการยืนยันจากโบสถ์หรือหน่วยงานรัฐ
แหล่งอ้างอิง
- The Record — (อ่านต้นฉบับ) — อ่านข่าวที่ The Record
- Yonhap ผ่าน supple.kr — (อ่านต้นฉบับ) — อ่านรายงานภาษาเกาหลีที่ supple.kr
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
