ข้อมูลรั่ว SBI คือเหตุที่ State Bank of India ธนาคารใหญ่ที่สุดของอินเดีย แจ้งตลาดหลักทรัพย์เมื่อ 21 ตุลาคม 2569 ว่าพบข้อมูลส่วนบุคคลของลูกค้าสินเชื่อ 3,897 รายอยู่บนดาร์กเว็บ อินเดียยังไม่มีหน้าที่แจ้งเหตุตามกฎหมาย DPDP จนถึง 13 พฤษภาคม 2570 บทความนี้เหมาะกับธนาคาร นอนแบงก์ และลีสซิ่งไทย อ่านแล้วจะรู้ว่าถ้าเหตุแบบนี้เกิดในไทย ต้องแจ้งใคร ภายในกี่ชั่วโมง
ตัวอย่างสมมติ: บริษัทลีสซิ่งรถมือสองแห่งหนึ่งในขอนแก่นจ้างตัวแทนขาย 40 คน ทุกคนเข้าระบบ lead ผ่านบัญชีกลางบัญชีเดียว วันหนึ่งลูกค้าที่เพิ่งยื่นขอสินเชื่อเริ่มได้รับโทรศัพท์เสนอ “เงินกู้ด่วน” จากเบอร์แปลก ๆ ที่รู้ชื่อ วันเกิด และยอดที่ขอกู้ บริษัทจะตอบไม่ได้เลยว่าข้อมูลหลุดจากใคร นี่คือภาพที่เหตุของ SBI ทำให้เห็น
สรุปสั้น: SBI พบข้อมูลลูกค้าสินเชื่อ 3,897 รายบนดาร์กเว็บหลังได้รับแจ้งเตือนเมื่อ 16 ตุลาคม 2569 แต่ยังไม่บอกว่ารั่วทางไหน ลูกค้าอินเดียยังใช้สิทธิตามกฎหมาย DPDP ไม่ได้จนถึง 13 พฤษภาคม 2570 ส่วนธนาคารไทยอยู่ใต้ PDPA เต็มตัว ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) และต้องคุมตัวแทนสินเชื่อผ่านสัญญา
ข้อมูลรั่ว SBI คืออะไร เกิดอะไรขึ้น
ข้อมูลรั่ว SBI เป็นเหตุที่ธนาคารยอมรับเองผ่านการแจ้งตลาดหลักทรัพย์ BSE และ NSE ว่าได้รับแจ้งเตือนจากผู้ให้บริการข่าวกรองภัยคุกคาม หน่วยไซเบอร์กลาโหม และ CERT-In ว่ามีข้อมูลลูกค้าอยู่บนดาร์กเว็บ ข่าวนี้มาจาก The Probe เป็นแหล่งหลักแหล่งเดียว
จากการตรวจเบื้องต้นราว 375,000 แถว SBI พบข้อมูลที่ระบุตัวลูกค้าได้ 3,897 ราย ประกอบด้วยชื่อ เบอร์มือถือ วันเกิด อีเมล ที่อยู่ เลข CIF และรหัส lead ของรายการสินเชื่อ ตามรายงานของ The Probe ธนาคารติดต่อลูกค้าที่ได้รับผลกระทบทางอีเมลและ WhatsApp เมื่อ 23 ตุลาคม 2569 และยืนยันว่าเงินในบัญชีปลอดภัย
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ใคร | State Bank of India (SBI) ธนาคารใหญ่ที่สุดของอินเดีย |
| ข้อมูลที่ยืนยัน | ลูกค้า 3,897 ราย จากการตรวจราว 375,000 แถว |
| ประเภทข้อมูล | ชื่อ เบอร์มือถือ วันเกิด อีเมล ที่อยู่ เลข CIF รหัส lead สินเชื่อ |
| ข้ออ้างที่ยังไม่ยืนยัน | กลุ่ม “Siriusim” อ้างว่าปล่อยไฟล์ PDF 2,722 ไฟล์ เช่น ใบสมัครสินเชื่อ |
| ช่องทางรั่ว | SBI ยังไม่ระบุ ไม่ได้บอกว่าผ่านตัวแทนสินเชื่อหรือคนใน |
ไฟล์ PDF 2,722 ไฟล์เป็นข้ออ้างของกลุ่มที่อ้างตัวว่าปล่อยข้อมูล SBI ไม่ได้พูดถึงไฟล์ชุดนี้ในการแจ้งตลาดหลักทรัพย์ จึงยังเป็นข้อมูลที่ไม่ได้รับการยืนยัน
ไทม์ไลน์ข้อมูลรั่ว SBI และเส้นตายที่ต้องจำ
- 16 ต.ค. 2569 — SBI ได้รับแจ้งเตือนว่าข้อมูลลูกค้าอยู่บนดาร์กเว็บ
- 21 ต.ค. 2569 — SBI แจ้งตลาดหลักทรัพย์ BSE และ NSE
- 23 ต.ค. 2569 — SBI ติดต่อลูกค้าที่ได้รับผลกระทบ (ตามรายงานของ The Probe)
- 13 พ.ค. 2570 — หน้าที่แจ้งเหตุและโทษปรับสูงสุด 250 crore รูปีของกฎหมาย DPDP เริ่มมีผล
- เทียบไทย — นับ 72 ชั่วโมงนับแต่ทราบเหตุ ตาม PDPA มาตรา 37(4)
ข้อมูลรั่ว SBI กระทบธุรกิจไทยอย่างไร
ข้อมูลรั่ว SBI กระทบธุรกิจไทยในฐานะบทเรียน ไม่ใช่ในฐานะผู้เสียหายโดยตรง เพราะข่าวไม่ได้ระบุว่ามีลูกค้าไทย แต่โครงสร้างที่ทำให้ข้อมูล lead สินเชื่อหลุด มีอยู่ในธุรกิจการเงินไทยเกือบทุกราย ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
ธนาคาร นอนแบงก์ และลีสซิ่งไทยต้องระวังอะไร
ธนาคาร นอนแบงก์ และลีสซิ่งไทยต้องระวังจุดที่ข้อมูลไหลออกนอก core banking โดยเฉพาะระบบ lead ภายนอก ระบบ CRM ของตัวแทนขาย และไฟล์ใบสมัครที่ส่งต่อกันทางอีเมลหรือแชต จุดเหล่านี้มักคุมสิทธิ์หลวมกว่าระบบหลัก
ตัวแทนหรือนายหน้าสินเชื่อที่เก็บและใช้ข้อมูลผู้ขอกู้แทนธนาคาร มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ธนาคารจึงต้องกำหนดหน้าที่ของตัวแทนผ่านสัญญาตาม PDPA มาตรา 40 รวมถึงกำหนดว่าตัวแทนต้องแจ้งเหตุกลับมาที่ธนาคารภายในกี่ชั่วโมง ถ้าสัญญาเงียบ ธนาคารอาจรู้เรื่องช้าจนนับ 72 ชั่วโมงไม่ทัน ประเด็นนี้เคยวิเคราะห์ไว้ใน ญี่ปุ่นข้อมูลรั่วต่อเนื่อง skyticket 14.6 ล้าน คาราโอเกะ 8.7 ล้าน Lawson 2.16 ล้าน รัฐเรียกประชุมฉุกเฉิน สัญญา DPA ของธุรกิจไทยต้องมีข้อไหน
ลูกค้าทั่วไปเสี่ยงอะไรเมื่อข้อมูลสินเชื่อหลุด
ลูกค้าเสี่ยงถูกหลอกแบบเจาะจงมากกว่าถูกขโมยเงินในบัญชีทันที ข้อมูล lead บอกว่าใครกำลังต้องการเงิน มิจฉาชีพจึงโทรเสนอเงินกู้ปลอม เรียกค่าธรรมเนียมล่วงหน้า หรือแอบอ้างเป็นเจ้าหน้าที่ธนาคารได้แนบเนียน เพราะรู้ชื่อ วันเกิด และสาขาที่ลูกค้าใช้ เรื่องความรับผิดเมื่อถูกแก๊งหลอกในไทยดูได้ใน พ.ร.ก. อาชญากรรมเทคโนโลยีฉบับใหม่: ถูกแก๊งคอลเซ็นเตอร์หลอก ใครต้องรับผิดแทนคุณ
ทีม IT และ DPO ของสถาบันการเงินควรมองเหตุนี้อย่างไร
ทีม IT และ DPO ควรสังเกตว่า SBI รู้เรื่องจากแหล่งภายนอกก่อน ทั้งผู้ให้บริการข่าวกรองภัยคุกคามและหน่วยงานรัฐ ไม่ใช่จากระบบเฝ้าระวังของตัวเอง สถาบันการเงินไทยจึงควรกำหนดให้ชัดว่า “วินาทีที่ทราบเหตุ” เริ่มเมื่อไร และใครมีหน้าที่ตัดสินใจแจ้ง สคส. เพราะ 72 ชั่วโมงหมดเร็วมากถ้าต้องรอประชุมหลายชั้น ขั้นตอนทีละข้อสรุปไว้ใน คู่มือ: แจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง ต้องทำอย่างไร
เทียบกับกฎหมายไทย: ข้อมูลรั่ว SBI ต่างจาก PDPA อย่างไร
ข้อมูลรั่ว SBI เกิดในช่วงที่กฎหมายอินเดียยังมีช่องว่าง แต่ไทยไม่มีช่องว่างนั้น เพราะ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลเต็มตั้งแต่ 1 มิถุนายน 2565 ตารางนี้เทียบประเด็นหลัก
| ประเด็น | อินเดีย (ตามรายงาน) | ไทย |
|---|---|---|
| หน้าที่แจ้งเหตุ | กฎหมาย DPDP ยังไม่มีผลจนถึง 13 พ.ค. 2570 | แจ้ง สคส. ภายใน 72 ชม. (PDPA ม.37(4)) |
| มาตรการความปลอดภัย | ลูกค้าพึ่ง IT Act ม.43A ต้องพิสูจน์ความประมาทเอง | หน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัย (PDPA ม.37(1)) |
| คุมตัวแทนที่ประมวลผลแทน | ยังไม่มีหน้าที่ตามกฎหมาย DPDP ที่บังคับใช้ได้ | หน้าที่ผู้ประมวลผลข้อมูลและสัญญาควบคุม (PDPA ม.40) |
| โทษ | ปรับสูงสุด 250 crore รูปี เมื่อกฎหมายมีผล | โทษปรับทางปกครองและความรับผิดทางแพ่งตาม PDPA |
| กำกับเฉพาะภาคการเงิน | หน่วยงานกำกับแบงก์ของอินเดีย | เกณฑ์ความเสี่ยงด้านไอทีของ ธปท. อีกชั้น |
ช่องว่างของไทยไม่ได้อยู่ที่ตัวกฎหมาย แต่อยู่ที่การปฏิบัติ ธนาคารไทยหลายแห่งมีแผนรับมือเหตุสำหรับ core banking แต่สัญญากับตัวแทนขายหรือผู้ให้บริการ lead ภายนอกมักไม่มีกรอบเวลาแจ้งเหตุ เหตุที่สถาบันการเงินไทยถูกเตือนให้เตรียมแจ้งเหตุภายใน 72 ชั่วโมงมีให้อ่านใน แฮกเกอร์ใช้ ARTEX และ Claude Code เจาะแบงก์เกาหลีใต้ ThaiCERT เตือนสถาบันการเงินไทย ต้องแจ้งเหตุ PDPA ภายใน 72 ชั่วโมงอย่างไร
ถ้าสถาบันการเงินไทยไม่ทำอะไรเลย จะเสี่ยงอะไร
สถาบันการเงินที่ไม่เตรียมตัวเสี่ยง 4 เรื่องพร้อมกัน เมื่อเกิดเหตุแบบข้อมูลรั่ว SBI ขึ้นจริงในไทย
- แจ้ง สคส. ไม่ทัน 72 ชั่วโมง เพราะตัวแทนแจ้งช้าหรือไม่มีใครมีอำนาจตัดสินใจ
- ถูกเรียกค่าเสียหาย จากลูกค้าที่ถูกหลอกต่อด้วยข้อมูลที่หลุด
- ถูกตั้งคำถามจาก ธปท. เรื่องการคุมความเสี่ยงไอทีและผู้ให้บริการภายนอก
- เสียความเชื่อมั่น ข่าวว่า “ข้อมูลผู้ขอกู้หลุด” ทำให้ลูกค้าย้ายไปที่อื่นได้ทันที
ธนาคาร นอนแบงก์ และลีสซิ่งไทยควรทำอะไรตอนนี้
ธนาคาร นอนแบงก์ และลีสซิ่งไทยควรเริ่มจากจุดที่ข้อมูล lead สินเชื่อออกนอกระบบหลัก ไม่ต้องรอให้เกิดข้อมูลรั่วแบบ SBI ก่อน
- 1. ทำรายชื่อทุกคนที่เข้าถึงข้อมูล lead และใบสมัครสินเชื่อ ทีม IT ร่วมกับฝ่ายขาย ภายใน 2 สัปดาห์ ยกเลิกบัญชีที่ใช้ร่วมกันและบัญชีของตัวแทนที่ออกไปแล้ว
- 2. ตรวจสัญญาตัวแทนและนายหน้าสินเชื่อ ฝ่ายกฎหมายเช็กว่ามีข้อบังคับแจ้งเหตุกลับมาที่บริษัทภายในกี่ชั่วโมง ถ้าไม่มี ให้แก้สัญญาให้แจ้งเร็วพอที่บริษัทยังนับ 72 ชั่วโมงทัน
- 3. กำหนดว่า “ทราบเหตุ” เริ่มเมื่อไร DPO เขียนลงแผนรับมือว่า การแจ้งเตือนจากภายนอก เช่น ผู้ให้บริการข่าวกรองภัยคุกคามหรือหน่วยงานรัฐ นับเป็นจุดเริ่มนับเวลา
- 4. ซ้อมแจ้งเหตุ 1 รอบใน 72 ชั่วโมง ผู้บริหาร DPO และฝ่ายสื่อสารซ้อมตั้งแต่รับแจ้งเตือนจนร่างหนังสือถึง สคส. และข้อความเตือนลูกค้า
- 5. เตรียมข้อความเตือนลูกค้าเรื่องเงินกู้ปลอม ฝ่ายสื่อสารร่างไว้ล่วงหน้า บอกว่าธนาคารจะไม่ขอ OTP รหัสผ่าน หรือค่าธรรมเนียมล่วงหน้า แบบฟอร์มที่ต้องใช้มีรวมไว้ใน ชุดเอกสารรับมือข้อมูลรั่ว 12 แบบฟอร์ม
มุมมองผู้เชี่ยวชาญ
“ข้อมูลรั่ว SBI ไม่ได้น่ากลัวที่ตัวเลข 3,897 ราย แต่น่ากลัวที่ประเภทข้อมูล รายชื่อคนที่กำลังยื่นขอสินเชื่อคือแผนที่ที่บอกมิจฉาชีพว่าใครกำลังร้อนเงินที่สุด ในไทย จุดที่ข้อมูลแบบนี้หลุดได้ง่ายมักไม่ใช่ระบบหลักของธนาคาร แต่เป็นระบบของตัวแทนขายที่อยู่นอกรั้ว จุดที่องค์กรมักพลาดคือคิดว่าจ้างตัวแทนแล้วความเสี่ยงย้ายไปด้วย ซึ่งตาม PDPA ไม่เป็นอย่างนั้น ควรเช็กสัญญาตัวแทนทุกฉบับก่อนจะต้องนับ 72 ชั่วโมงจริง”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับข้อมูลรั่ว SBI
ข้อมูลรั่ว SBI มีข้อมูลอะไรหลุดออกไปบ้าง
ตามที่ SBI แจ้งตลาดหลักทรัพย์ ข้อมูลที่ยืนยันคือข้อมูลลูกค้า 3,897 ราย ได้แก่ ชื่อ เบอร์มือถือ วันเกิด อีเมล ที่อยู่ เลข CIF และรหัส lead สินเชื่อ ส่วนไฟล์ PDF 2,722 ไฟล์เป็นข้ออ้างของกลุ่มที่อ้างตัวว่าปล่อยข้อมูล ยังไม่ได้รับการยืนยัน
ถ้าธนาคารไทยข้อมูลรั่ว ต้องแจ้งใครภายในกี่ชั่วโมง
ธนาคารไทยต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตาม PDPA มาตรา 37(4) และถ้าเหตุมีความเสี่ยงสูงต่อสิทธิของลูกค้า ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย สถาบันการเงินยังต้องดูเกณฑ์ความเสี่ยงด้านไอทีของ ธปท. ประกอบ
ตัวแทนสินเชื่อทำข้อมูลลูกค้ารั่ว ใครต้องรับผิด
ธนาคารหรือบริษัทที่จ้างตัวแทนยังเป็นผู้ควบคุมข้อมูลและต้องแจ้งเหตุเอง ส่วนตัวแทนมีหน้าที่ในฐานะผู้ประมวลผลข้อมูลตาม PDPA มาตรา 40 ความรับผิดระหว่างกันจะชัดหรือไม่ขึ้นกับสัญญาที่ทำไว้
ลูกค้า SBI ในอินเดียเรียกค่าเสียหายได้ไหม
ตามรายงานของ The Probe ลูกค้ายังใช้กฎหมาย DPDP ไม่ได้ เพราะหน้าที่หลักมีผล 13 พฤษภาคม 2570 ลูกค้าต้องพึ่ง IT Act มาตรา 43A หรือกฎหมายคุ้มครองผู้บริโภค ซึ่งต้องพิสูจน์ความประมาทของธนาคารเอง
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- เข้ารหัสแล้วยังต้องแจ้งเหตุไหม? ดู 10 ตัวอย่างที่ สคส. ตอบไว้ — รวมกรณีตัวอย่างที่ช่วยตัดสินว่าเหตุแบบไหนต้องแจ้ง สคส. และเหตุแบบไหนไม่ต้อง (aipdpa.com)
แหล่งอ้างอิง
- The Probe — SBI Data Breach: State Bank of India Customers Have No DPDP Act Remedy — อ่านข่าวที่ The Probe
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
