บัญชีหุ้น-คริปโตถูกแฮก กับบัญชีธนาคารถูกแฮก ใครรับผิดต่างกัน

บัญชีหุ้นถูกแฮก หรือบัญชีคริปโตถูกแฮก หลักคือผู้ให้บริการต้องรับผิดเมื่อความเสียหายเกิดจากระบบหรือมาตรการความปลอดภัยของตนบกพร่อง เหมือนบัญชีธนาคาร แต่ผู้กำกับต่างกัน ธนาคารอยู่ใต้ธนาคารแห่งประเทศไทย (ธปท.) ส่วนโบรกเกอร์และศูนย์ซื้อขายคริปโตอยู่ใต้สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) คำตอบสั้นเป็นแบบนี้ แต่มีข้อยกเว้นหนึ่งข้อที่คนส่วนใหญ่ไม่รู้ อยู่ในสัญญาเปิดบัญชีที่เรากดยอมรับไปแล้ว

ลองนึกภาพพนักงานออฟฟิศคนหนึ่งเปิดแอปเทรดตอนเช้า (ตัวอย่างสมมติ) แล้วพบว่าหุ้นที่สะสมมาสามปีถูกขายเกลี้ยง เงินถูกโอนออกไปบัญชีที่ไม่รู้จัก คำถามแรกที่เขาพิมพ์ถาม Google คือ “โบรกเกอร์ต้องคืนเงินไหม” บทความนี้ตอบคำถามนั้นแบบเทียบกับบัญชีธนาคารให้เห็นทีละข้อ

สรุปสั้น: บัญชีหุ้นถูกแฮก บัญชีคริปโตถูกแฮก และบัญชีธนาคารถูกแฮก ใช้หลักเดียวกันว่าผู้ให้บริการที่ระบบบกพร่องต้องรับผิด แต่ธนาคารอยู่ใต้ ธปท. ส่วนโบรกเกอร์และศูนย์ซื้อขายคริปโตอยู่ใต้ ก.ล.ต. ซึ่งออกหนังสือเวียนลงวันที่ 3 พฤศจิกายน 2569 ให้ยกระดับป้องกันไซเบอร์และรายงานผลกลับ ถ้าลูกค้าประมาทเอง เช่น ให้รหัส OTP ไป ผลจะพิจารณาตามข้อเท็จจริงรายกรณี

บัญชีหุ้นถูกแฮก ใครต้องรับผิด ต่างจากบัญชีธนาคารถูกแฮกอย่างไร

บัญชีหุ้นถูกแฮกต่างจากบัญชีธนาคารถูกแฮกที่ “ผู้กำกับ” และ “ช่องทางร้องเรียน” ไม่ใช่หลักความรับผิด ทั้งสามแบบผู้ให้บริการต้องมีมาตรการรักษาความปลอดภัยที่เหมาะสม ถ้าความเสียหายมาจากระบบของผู้ให้บริการเอง ภาระตกที่ผู้ให้บริการ ตารางด้านล่างเทียบให้เห็นภาพ

อ่านแบบนักกฎหมาย: ถ้าต้องตรวจเรื่องบัญชีหุ้นถูกแฮก ให้เปิดสัญญาเปิดบัญชีหาข้อ “ข้อจำกัดความรับผิด” หรือ “การใช้รหัสผ่าน” ก่อน แล้วดูคำว่า “ไม่ว่ากรณีใด ๆ” ข้อสัญญาที่ยกเว้นความรับผิดทั้งหมดแม้ผู้ให้บริการบกพร่องเอง อาจใช้บังคับได้เพียงเท่าที่เป็นธรรมตาม พ.ร.บ.ว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540

ทำไมคนถามเรื่องบัญชีหุ้นถูกแฮกตอนนี้

คนถามเรื่องบัญชีหุ้นถูกแฮกเพราะ ก.ล.ต. ออกหนังสือเวียนลงวันที่ 3 พฤศจิกายน 2569 ถึงผู้ประกอบธุรกิจที่อยู่ใต้การกำกับ ทั้งตลาดทุนและสินทรัพย์ดิจิทัล รวมถึงตลาดหลักทรัพย์แห่งประเทศไทยและบริษัทในกลุ่ม ให้ยกระดับการเฝ้าระวังภัยคุกคามทางไซเบอร์จากเหตุในต่างประเทศ และให้รายงานผลการยกระดับมาตรการกลับมายัง ก.ล.ต. ตามที่ อินโฟเควสท์รายงานคำแถลงของ ก.ล.ต. เมื่อ 10 พฤศจิกายน 2569

รองเลขาธิการและโฆษก ก.ล.ต. ระบุว่า ก.ล.ต. จะประเมินความเสี่ยงต่อเนื่องและอาจพิจารณามาตรการเพิ่มเติมตามสถานการณ์ ส่วนตลาดหลักทรัพย์ฯ ระบุว่าลงทุนเสริมระบบป้องกันเพิ่มขึ้น 2 เท่า ตามที่มติชนรายงาน รายละเอียดมาตรการรายข้อในหนังสือเวียนยังไม่ได้เผยแพร่ในข่าว จึงยังไม่ยืนยัน

บัญชีหุ้นถูกแฮกและบัญชีธนาคารถูกแฮก ต่างกันจริงตรงไหน

บัญชีหุ้นถูกแฮกต่างจากบัญชีธนาคารจริงใน 3 จุด คือ ทรัพย์สินที่เสีย ผู้กำกับ และหลักฐานที่ต้องใช้ ส่วนหลัก “ใครบกพร่อง คนนั้นรับผิด” เหมือนกัน

ผู้กำกับต่างกันแปลว่าอะไรสำหรับนักลงทุน

ผู้กำกับต่างกันแปลว่าเมื่อเรื่องไม่จบที่ผู้ให้บริการ นักลงทุนต้องร้องเรียนต่อ ก.ล.ต. ไม่ใช่ ธปท. ข้อความสำคัญในหนังสือเวียนตามที่อินโฟเควสท์รายงานคือ ความเสี่ยงไซเบอร์ “มิใช่หน้าที่ของหน่วยงานที่รับผิดชอบด้านเทคโนโลยีสารสนเทศ เพียงฝ่ายเดียว” แต่คณะกรรมการและผู้บริหารต้องกำหนดทิศทาง จัดสรรทรัพยากร และติดตามประสิทธิผล ประโยคนี้มีน้ำหนักในข้อพิพาท เพราะชี้ว่ามาตรฐานที่ ก.ล.ต. คาดหวังอยู่ระดับคณะกรรมการ

ทรัพย์สินที่เสียต่างกันทำให้การคืนยากง่ายต่างกันอย่างไร

บัญชีหุ้นถูกแฮกมักจบที่การขายหุ้นแล้วโอนเงินออก ซึ่งตามรอยเงินได้ทางระบบธนาคาร ส่วนบัญชีคริปโตถูกแฮกมักจบที่การถอนเหรียญออกไปกระเป๋าภายนอก ซึ่งตามคืนยากกว่ามาก ตัวเลขที่ทำให้หยุดคิดคือ ข่าว Binance ถูกแฮกราว 6.3 พันล้านดอลลาร์ ที่ TechLawNow เคยอธิบายใน Binance กับ Binance TH ต่างกันอย่างไร ถูกแฮกแล้วใครคุ้มครองเงินเรา

ถ้าเราหลงกดลิงก์เอง ยังเรียกร้องได้ไหม

เรื่องที่คนเข้าใจผิดบ่อย: เชื่อว่าถ้าเรากดลิงก์ปลอมเอง หมดสิทธิ์เรียกร้องทันที ความจริงคือศาลและผู้กำกับดูทั้งสองฝั่ง ว่าผู้ให้บริการมีระบบตรวจจับธุรกรรมผิดปกติและยืนยันตัวตนที่เหมาะสมหรือไม่ ความประมาทของลูกค้าอาจทำให้ความรับผิดลดลงหรือแบ่งกัน ไม่จำเป็นต้องเป็นศูนย์เสมอไป เทียบได้กับการลืมล็อกบ้านเช่า เจ้าของบ้านที่กุญแจหลักชำรุดก็ยังมีส่วนต้องรับผิด

เทียบกับกฎหมายไทย: บัญชีหุ้นถูกแฮก ใช้กฎหมายไหนบ้าง

บัญชีหุ้นถูกแฮกเกี่ยวกับกฎหมายไทยอย่างน้อย 4 ฉบับ ตารางนี้เทียบสิ่งที่ข่าวพูดกับกฎหมายที่ใช้จริง

ช่องว่างที่เห็นคือ หนังสือเวียน ก.ล.ต. เป็นคำสั่งต่อผู้ประกอบธุรกิจ ไม่ได้สร้างสิทธิเรียกค่าเสียหายใหม่ให้นักลงทุนโดยตรง สิทธิของนักลงทุนยังอยู่ที่สัญญาและกฎหมายละเมิดทั่วไป แต่หนังสือเวียนช่วยวางมาตรฐานว่า “ระบบที่เหมาะสม” ควรเป็นแบบไหน ซึ่งใช้อ้างในข้อพิพาทได้

เลือกทำอะไรเมื่อไร ถ้าบัญชีหุ้นถูกแฮก

บัญชีหุ้นถูกแฮกต้องเลือกทางตามสถานการณ์ ถ้าเงินยังอยู่ในระบบ ให้แจ้งผู้ให้บริการระงับบัญชีก่อน ถ้าเงินถูกโอนออกไปแล้ว ให้แจ้งตำรวจเพื่อขอระงับธุรกรรมพร้อมกัน

• เห็นรายการแปลกแต่เงินยังไม่ออก: โทรสายด่วนโบรกเกอร์หรือศูนย์ซื้อขายเพื่อล็อกบัญชี
• เงินถูกโอนเข้าบัญชีธนาคารปลายทางแล้ว: แจ้งตำรวจไซเบอร์ทันที เพื่อให้ใช้กลไกระงับธุรกรรม แบบเดียวกับที่อธิบายใน ธนาคารถูกแฮก เงินในบัญชีหาย ใครต้องรับผิดชอบ ต้องถอนเงินสดไหม
• ผู้ให้บริการปฏิเสธความรับผิด: ร้องเรียนต่อ ก.ล.ต. พร้อมหลักฐาน และพิจารณาสิทธิตามสัญญา

กลไกระงับธุรกรรมเมื่อถูกหลอกโอนเงิน อธิบายไว้แล้วใน พ.ร.ก. อาชญากรรมเทคโนโลยีฉบับใหม่: ถูกแก๊งคอลเซ็นเตอร์หลอก ใครต้องรับผิดแทนคุณ

นักลงทุนหุ้นและคริปโตควรทำอะไรตอนนี้

นักลงทุนที่กลัวบัญชีหุ้นถูกแฮกควรทำ 5 ข้อนี้ เรียงจากง่ายไปยาก

• 1. เปิดยืนยันตัวตน 2 ชั้นทุกแอปเทรด ใช้แอปยืนยันตัวตนแทน SMS ถ้าผู้ให้บริการรองรับ
• 2. ตั้งแจ้งเตือนทุกธุรกรรม ให้รู้ภายในไม่กี่นาทีเมื่อมีการขายหรือถอน
• 3. ผูกบัญชีถอนเงินไว้บัญชีเดียว ลดโอกาสคนร้ายโอนไปบัญชีอื่น
• 4. อ่านข้อจำกัดความรับผิดในสัญญาเปิดบัญชี รู้ล่วงหน้าว่าผู้ให้บริการเขียนอะไรไว้
• 5. เตรียมแผนเก็บหลักฐาน แคปหน้าจอ เวลา เลขรายการ และเบอร์สายด่วนไว้ในที่หาเจอ ทบทวนนิสัยใช้เทคโนโลยีให้ปลอดภัยได้จาก คู่มือใช้เทคโนโลยีอย่างปลอดภัยและปกป้องข้อมูล

ฝั่งผู้ประกอบธุรกิจ เช็กลิสต์มาตรการขั้นต่ำที่ใช้ตอบทั้งหน้าที่ PDPA และแนวปฏิบัติไซเบอร์อยู่ใน เช็กลิสต์ความปลอดภัยฉบับเดียว ตอบทั้ง สคส. และ สกมช.

มุมมองผู้เชี่ยวชาญ

หนังสือเวียนฉบับนี้ไม่ได้ให้เงินคืนใคร แต่มันเปลี่ยนคำถามในข้อพิพาท จาก “ลูกค้าประมาทไหม” เป็น “คณะกรรมการบริษัทดูแลระบบพอไหม” เมื่อ ก.ล.ต. บอกว่าไซเบอร์เป็นเรื่องของบอร์ด ข้ออ้างว่าระบบพังเพราะฝ่าย IT ก็ใช้ไม่ได้อีกต่อไป จุดที่นักลงทุนมักพลาดคือไม่เคยอ่านสัญญาเปิดบัญชี ควรเช็กข้อจำกัดความรับผิดตั้งแต่ก่อนเกิดเหตุ ไม่ใช่วันที่เงินหายไปแล้ว
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law

ประวัติผู้เขียน · นโยบายบรรณาธิการ

คำถามที่พบบ่อยเกี่ยวกับบัญชีหุ้นถูกแฮก

โบรกเกอร์ต้องคืนหุ้นหรือเงินให้ไหม ถ้าระบบโบรกเกอร์ถูกเจาะเอง

โดยหลักต้องรับผิด เพราะความเสียหายมาจากระบบของผู้ให้บริการ จำนวนที่ได้คืนขึ้นกับการพิสูจน์มูลค่าความเสียหาย และข้อสัญญาที่ยกเว้นความรับผิดทั้งหมดอาจใช้บังคับไม่ได้เต็มที่

เงินในศูนย์ซื้อขายคริปโตไทยมีอะไรคุ้มครองบ้าง

ศูนย์ซื้อขายคริปโตที่ได้รับอนุญาตในไทยอยู่ใต้การกำกับของ ก.ล.ต. และอยู่ในกลุ่มที่ได้รับหนังสือเวียนไซเบอร์ 3 พฤศจิกายน 2569 แต่ไม่มีระบบประกันแบบเงินฝากธนาคาร การคุ้มครองจึงอยู่ที่มาตรฐานการดูแลทรัพย์สินและสิทธิตามสัญญา

ควรแจ้ง ก.ล.ต. หรือแจ้งตำรวจก่อน

ถ้าเงินถูกโอนออกแล้ว แจ้งตำรวจก่อนเพราะเวลาสำคัญต่อการระงับธุรกรรม ส่วน ก.ล.ต. เป็นช่องทางร้องเรียนเรื่องการให้บริการของโบรกเกอร์หรือศูนย์ซื้อขาย ทำตามหลังได้

แอปเทรดควรตั้งค่าความปลอดภัยอะไรบ้าง

ตั้งรหัสผ่านที่ไม่ซ้ำกับแอปอื่น เปิดยืนยันตัวตน 2 ชั้น เปิดแจ้งเตือนธุรกรรม และไม่ติดตั้งแอปจากลิงก์ที่ส่งมาทางแชต

อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้

• คู่มือ: แจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง ต้องทำอย่างไร — ขั้นตอนที่โบรกเกอร์หรือศูนย์ซื้อขายต้องทำเมื่อข้อมูลลูกค้ารั่วจากเหตุไซเบอร์ (aipdpa.com)

แหล่งอ้างอิง

• ก.ล.ต. — หนังสือเวียนเรื่องยกระดับการป้องกันภัยคุกคามทางไซเบอร์ ลงวันที่ 3 พฤศจิกายน 2569 (อ้างตามที่สื่อรายงานคำแถลงของ ก.ล.ต. · หน้าเว็บ sec.or.th ไม่เปิดให้ระบบตรวจ)
• อินโฟเควสท์ — ก.ล.ต. ติดตามภัยคุกคามไซเบอร์ใกล้ชิด ย้ำผู้ประกอบธุรกิจยกระดับเฝ้าระวังต่อเนื่อง (10 พ.ย. 2569)
• มติชน — มติชน (อ่านต้นฉบับ)
• ฐานเศรษฐกิจ — ฐานเศรษฐกิจ (อ่านต้นฉบับ)

บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมายหรือคำแนะนำการลงทุน หากต้องการคำปรึกษาเฉพาะกรณีของคุณ ควรปรึกษาผู้เชี่ยวชาญ