การบินไทยข้อมูลรั่ว 60,529 รายการ ยังไม่มีหน้าเว็บให้ผู้โดยสารเช็กเองว่าโดนหรือไม่ การบินไทยระบุว่าจะแจ้งผู้ได้รับผลกระทบเป็นรายบุคคล คนที่เคยจองตั๋วช่วง 10 สิงหาคม 2566 ถึง 23 กันยายน 2569 จึงควรรอหนังสือแจ้ง ใช้สิทธิขอข้อมูลตาม PDPA และระวังข้อความหลอกที่อ้างเลขการจองจริง แต่มีข้อมูลกลุ่มเล็กอีก 376 รายการที่ต้องระวังมากกว่าคนอื่น
สรุปสั้น: การบินไทยแจ้งเมื่อ 10 พฤศจิกายน 2569 ว่าระบบสำรองที่นั่งของ Amadeus ถูกเข้าถึงโดยไม่ได้รับอนุญาตนานกว่า 3 ปี ข้อมูลราว 60,529 รายการเป็นชื่อ PNR วันเดินทาง เส้นทางบิน และชั้นโดยสาร อีก 376 รายการอาจมีอีเมล เบอร์โทร หรือเลขหนังสือเดินทาง ส่วนข้อมูลบัตรเครดิตการบินไทยระบุว่าไม่ได้รับผลกระทบ
การบินไทยข้อมูลรั่ว เช็กอย่างไรว่าเราโดนไหม แล้วต้องทำอะไรต่อ
การบินไทยข้อมูลรั่วครั้งนี้เช็กด้วยตัวเองบนเว็บยังไม่ได้ ณ วันที่สายการบินแถลง ทางที่ได้ผลคือดูว่าเราเคยจองตั๋วการบินไทยในช่วงเวลาที่เกิดเหตุหรือไม่ แล้วรอการแจ้งรายบุคคล หรือยื่นคำขอใช้สิทธิเข้าถึงข้อมูลกับสายการบินโดยตรง
ต้องเตรียมอะไรก่อนเริ่ม
สิ่งที่ต้องเตรียมมีแค่ประวัติการจองของตัวเอง ได้แก่ อีเมลยืนยันการจอง เลขการจอง 6 หลัก และเลขสมาชิกสะสมไมล์ถ้ามี เปิดกล่องอีเมลแล้วค้นคำว่า Thai Airways หรือ Booking Reference ย้อนหลังถึงกลางปี 2566 เก็บรายการไว้ในไฟล์เดียว
ขั้นตอนเช็กและป้องกันตัวทีละขั้น
ขั้นตอนเรียงตามลำดับที่ควรทำ แต่ละขั้นทำเสร็จได้ในวันเดียว
- เทียบวันที่จอง ถ้าเคยจองหรือเดินทางกับการบินไทยระหว่าง 10 สิงหาคม 2566 ถึง 23 กันยายน 2569 ให้ถือว่าอยู่ในกลุ่มที่อาจได้รับผลกระทบ
- เฝ้าช่องทางที่สายการบินมีข้อมูลของเรา คืออีเมลและเบอร์ที่ใช้ตอนจอง การบินไทยระบุว่าจะแจ้งเป็นรายบุคคลเมื่อตรวจข้อมูลเสร็จ ส่วนช่องทางติดต่อเฉพาะกิจยังไม่ยืนยัน
- ยื่นคำขอเข้าถึงข้อมูล ถ้าอยากรู้แน่ชัดว่าข้อมูลของเราถูกเข้าถึงหรือไม่ ส่งคำขอเป็นลายลักษณ์อักษรถึงการบินไทย ระบุชื่อ เลขการจอง และขอให้ยืนยันว่าข้อมูลของเราอยู่ในชุดที่ถูกเข้าถึงหรือไม่
- เปลี่ยนรหัสบัญชีสะสมไมล์ ถ้าใช้รหัสเดียวกับอีเมลหรือแอปอื่น ให้เปลี่ยนและเปิดการยืนยันสองขั้น
- เก็บหลักฐานทุกข้อความที่น่าสงสัย แคปหน้าจอ อีเมล และเบอร์ที่โทรมา ใช้ประกอบการแจ้งความหรือเรียกค่าเสียหายภายหลัง
จุดที่คนพลาดบ่อยหลังข่าวข้อมูลรั่ว
เรื่องที่คนเข้าใจผิดบ่อยคือ เชื่อว่า “บัตรเครดิตไม่รั่ว ก็ไม่ต้องทำอะไร” ความจริงคือ ชื่อ + PNR + เส้นทางบิน เป็นวัตถุดิบชั้นดีของมิจฉาชีพ ข้อความที่บอกเลขการจองจริงของเราจะดูน่าเชื่อกว่าข้อความหลอกทั่วไปมาก
ลองนึกภาพใบเสร็จร้านอาหารที่มีชื่อเรา เวลาที่ไป และโต๊ะที่นั่ง ถ้ามีคนโทรมาอ้างรายละเอียดตรงทุกข้อแล้วขอให้โอนค่ามัดจำ คนส่วนใหญ่จะเชื่อ ข้อความแนว “เที่ยวบินของคุณถูกยกเลิก กดลิงก์เพื่อรับเงินคืน” จึงเป็นสิ่งที่ต้องระวังที่สุด สายการบินตัวจริงจะไม่ขอรหัส OTP หรือให้โอนเงินเพื่อรับเงินคืน
ทำเสร็จแล้วเช็กอย่างไรว่าปลอดภัย
เช็กง่าย ๆ 3 ข้อ: ได้รับคำตอบเป็นลายลักษณ์อักษรจากการบินไทยแล้วหรือยัง บัญชีสะสมไมล์ไม่มีรายการแลกไมล์ที่เราไม่ได้ทำ และไม่มีใครติดต่อมาอ้างเลขการจองเพื่อขอเงิน ถ้าครบ 3 ข้อ ความเสี่ยงเหลือน้อย
ข้อมูลที่รั่วจากระบบ Amadeus มีอะไรบ้าง
ข้อมูลที่รั่วแบ่งเป็น 2 กลุ่ม กลุ่มใหญ่ 60,529 รายการเป็นข้อมูลการจองพื้นฐาน กลุ่มเล็ก 376 รายการอาจมีข้อมูลที่ระบุตัวได้ลึกกว่า ตัวเลขทั้งหมดเป็นตามที่การบินไทยแถลง
| กลุ่ม | จำนวน (ตามที่การบินไทยแถลง) | ข้อมูลที่อาจถูกเข้าถึง |
|---|---|---|
| กลุ่มหลัก | ราว 60,529 รายการ | ชื่อ PNR วันเดินทาง เส้นทางบิน ชั้นโดยสาร |
| กลุ่มที่อาจได้รับผลกระทบเพิ่ม | 376 รายการ | อีเมล เบอร์โทร เลขหนังสือเดินทาง สัญชาติ เลขสมาชิกสะสมไมล์ เลขที่นั่ง |
| ข้อมูลบัตรเครดิต | — | การบินไทยระบุว่าไม่ได้รับผลกระทบ |
| ช่วงเวลาที่ถูกเข้าถึง | — | 10 ส.ค. 2566 ถึง 23 ก.ย. 2569 |
ปมที่บอกไว้ตอนต้นอยู่ตรงนี้ คนในกลุ่ม 376 รายการคือคนที่ควรระวังมากที่สุด เพราะมีช่องทางติดต่อโดยตรงและเลขหนังสือเดินทาง มิจฉาชีพจึงติดต่อได้ทันทีโดยไม่ต้องเดา ส่วนคนในกลุ่มหลักมีความเสี่ยงต่ำกว่า แต่ยังถูกนำชื่อและเส้นทางบินไปเล่าเรื่องหลอกได้
การบินไทยระบุว่าระบบของสายการบินเองไม่ถูกเจาะ เหตุเกิดที่ระบบของ Amadeus IT Group S.A. ผู้ให้บริการระบบสำรองที่นั่ง มุมฝั่งสายการบินและเอเจนต์ต่างประเทศที่ใช้ระบบเดียวกัน อ่านได้ใน ระบบจอง Amadeus ข้อมูลรั่วนานกว่า 3 ปี กระทบ 7 สายการบิน PDPC สิงคโปร์สอบ สายการบินและเอเจนซีไทยต้องนับ 72 ชั่วโมงจากวันไหน บทความนี้ตอบเฉพาะมุมผู้โดยสารการบินไทยว่าต้องทำอะไร
ทำไมคนถามเรื่องการบินไทยข้อมูลรั่วตอนนี้
คนถามเรื่องนี้เพราะการบินไทยออกมายืนยันตัวเลขเองเมื่อ 10 พฤศจิกายน 2569 หลังได้รับรายงานจาก Amadeus และสื่อไทยเกือบทุกสำนักลงข่าวในวันเดียวกัน ตามรายงานของ ผู้จัดการออนไลน์ ส่วน กรุงเทพธุรกิจ รายงานว่าสำนักงานการบินพลเรือนแห่งประเทศไทย (กพท.) กำชับให้การบินไทยชี้แจงและติดต่อเจ้าของข้อมูลรายบุคคล คำค้นที่ขึ้นใน Google คือ “การบินไทยข้อมูลรั่ว” และ “เช็คข้อมูลรั่วไหล”
กฎหมายไทยว่าอย่างไรเมื่อสายการบินทำข้อมูลผู้โดยสารรั่ว
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) วางหน้าที่หลักไว้ที่การบินไทยในฐานะผู้ควบคุมข้อมูล แม้เหตุจะเกิดที่ระบบของ Amadeus ซึ่งเป็นผู้ประมวลผลข้อมูล
ตามมาตรา 37(4) ผู้ควบคุมข้อมูลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และถ้าเหตุมีความเสี่ยงสูงต่อสิทธิของเจ้าของข้อมูล ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า จุดที่ต้องดูคือคำว่า “ทราบเหตุ” เพราะเหตุยืดยาวกว่า 3 ปี ส่วนวันที่ Amadeus แจ้งการบินไทยยังไม่ยืนยัน
อ่านแบบนักกฎหมาย: ถ้าได้รับหนังสือแจ้งจากการบินไทย ให้ดู 3 จุดก่อน คือ ข้อมูลประเภทใดของเราที่ถูกเข้าถึง วันที่สายการบินทราบเหตุ และสายการบินเสนอมาตรการเยียวยาอะไร ถ้าหนังสือไม่ระบุข้อมูลประเภทที่ถูกเข้าถึง ใช้สิทธิตามมาตรา 30 ขอเข้าถึงข้อมูลของตนเพื่อถามต่อได้ ซึ่งประกาศ สคส. กำหนดให้องค์กรตอบภายใน 30 วัน รายละเอียดอยู่ใน ประกาศ สคส. เรื่องสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลมีผลแล้ว องค์กรต้องตอบใน 30 วัน คิดค่าธรรมเนียมได้แค่ไหน ปฏิเสธได้เมื่อไร
เรื่องค่าเสียหาย มาตรา 77 ให้เจ้าของข้อมูลเรียกค่าสินไหมทดแทนทางแพ่งได้ และมาตรา 78 ให้ศาลสั่งค่าสินไหมเพื่อการลงโทษเพิ่มได้ไม่เกิน 2 เท่าของค่าเสียหายจริง แต่ผู้เสียหายต้องพิสูจน์ว่าเสียหายจริง การรั่วอย่างเดียวโดยยังไม่มีความเสียหายจึงเรียกได้ยาก นี่คือเหตุผลที่ขั้นที่ 5 ให้เก็บหลักฐานทุกข้อความ
ถ้าไม่ทำอะไรเลย การบินไทยข้อมูลรั่วจะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลยหลังข่าวการบินไทยข้อมูลรั่ว ความเสี่ยงหลักไม่ใช่เงินในบัตรเครดิต แต่เป็นการถูกหลอกด้วยข้อมูลการเดินทางจริงของเราเอง
- เสี่ยงถูกหลอกโอนเงิน ข้อความอ้างเลขการจองจริงเพื่อขอค่าธรรมเนียมเปลี่ยนเที่ยวบินหรือคืนเงิน
- เสี่ยงบัญชีสะสมไมล์ถูกใช้ โดยเฉพาะคนในกลุ่ม 376 รายการที่เลขสมาชิกอาจรั่ว
- เสียสิทธิเรียกค่าเสียหาย ถ้าไม่เก็บหลักฐาน จะพิสูจน์ความเสียหายตามมาตรา 77 ได้ยาก
ผู้โดยสารการบินไทยควรทำตามทีละขั้นอย่างไร
เช็กลิสต์นี้ย่อขั้นตอนด้านบนให้ทำตามได้ทันที
- 1. เปิดอีเมลค้นการจองการบินไทย ย้อนหลังถึงสิงหาคม 2566 จดเลขการจองไว้
- 2. ตั้งกฎกับตัวเองว่าไม่กดลิงก์ที่อ้างเลขการจอง ถ้าสงสัย ให้เข้าเว็บหรือแอปการบินไทยเองแล้วเช็กการจองจากตรงนั้น
- 3. เปลี่ยนรหัสบัญชีสะสมไมล์ และเปิดการยืนยันสองขั้นถ้าทำได้
- 4. ส่งคำขอเข้าถึงข้อมูลถึงการบินไทย ถ้าอยากรู้แน่ชัดว่าข้อมูลของเราอยู่ในชุดที่ถูกเข้าถึงหรือไม่
- 5. เก็บหลักฐานข้อความหลอกทุกชิ้น ใช้ประกอบการแจ้งความหรือเรียกค่าเสียหาย วิธีลดความเสี่ยงจากข้อมูลรั่วในชีวิตประจำวันดูเพิ่มได้ที่ คู่มือใช้เทคโนโลยีอย่างปลอดภัยและปกป้องข้อมูล
มุมมองผู้เชี่ยวชาญ
เหตุนี้สอนว่าผู้โดยสารไม่ได้เสี่ยงที่บัตรเครดิต แต่เสี่ยงที่ “เรื่องเล่าที่ดูจริง” ข้อมูลที่ดูธรรมดาอย่างเลขการจอง คือสิ่งที่ทำให้ข้อความหลอกน่าเชื่อที่สุด ในมุมกฎหมาย หน้าที่แจ้งเหตุอยู่ที่สายการบิน แต่การป้องกันตัวเริ่มที่ผู้โดยสารเองได้ทันที จุดที่ควรตามต่อคือวันที่การบินไทยทราบเหตุ เพราะเป็นจุดเริ่มนับ 72 ชั่วโมงตาม PDPA
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับการบินไทยข้อมูลรั่ว
เลขพาสปอร์ตรั่ว ต้องทำเล่มใหม่ไหม
ยังไม่มีหน่วยงานใดแนะนำให้ทำเล่มใหม่จากเหตุนี้ และกลุ่มที่อาจมีเลขหนังสือเดินทางมีเพียง 376 รายการ ถ้าได้รับแจ้งว่าอยู่ในกลุ่มนี้ ควรสอบถามกรมการกงสุลเรื่องความจำเป็นในการเปลี่ยนเล่ม และระวังการถูกนำเลขไปสวมรอยจองหรือยืนยันตัวตน
การบินไทยต้องแจ้งผู้โดยสารภายในกี่วัน
PDPA ไม่ได้กำหนดเป็นจำนวนวันสำหรับการแจ้งเจ้าของข้อมูล ใช้คำว่า “โดยไม่ชักช้า” เมื่อเหตุมีความเสี่ยงสูง ส่วนกรอบ 72 ชั่วโมงเป็นกรอบแจ้ง สคส. ผู้โดยสารที่รอนานแล้วยังไม่ได้รับแจ้ง ใช้สิทธิถามสายการบินเองได้
เรียกค่าเสียหายจาก Amadeus โดยตรงได้ไหม
ผู้โดยสารไม่มีสัญญากับ Amadeus โดยตรง ฝ่ายที่ต้องรับผิดชอบต่อผู้โดยสารตาม PDPA คือการบินไทยในฐานะผู้ควบคุมข้อมูล ส่วนการบินไทยจะไปไล่เบี้ยกับ Amadeus ได้แค่ไหนขึ้นกับสัญญาระหว่างกัน การฟ้องผู้ประมวลผลข้อมูลโดยตรงต้องดูข้อเท็จจริงรายกรณี
มิจฉาชีพเอา PNR ไปทำอะไรได้บ้าง
PNR ร่วมกับนามสกุลใช้เปิดดูการจองในเว็บสายการบินได้ ควรเข้าไปเช็กการจองที่ยังไม่ได้บินว่าไม่มีการเปลี่ยนแปลงที่เราไม่ได้ทำ
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- จดหมายแจ้งเจ้าของข้อมูลเมื่อข้อมูลรั่ว ต้องมีอะไรบ้าง — ใช้เทียบว่าหนังสือที่ได้จากสายการบินครบตามที่ PDPA กำหนดหรือไม่ (aipdpa.com)
แหล่งอ้างอิง
- ผู้จัดการออนไลน์ — ผู้จัดการออนไลน์ (อ่านต้นฉบับ)
- กรุงเทพธุรกิจ — กรุงเทพธุรกิจ (อ่านต้นฉบับ)
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 30, 37, 77, 78
- บทความที่เกี่ยวข้อง: สคส. เปิดสถิติ PDPA ร้องเรียน 4,210 เรื่อง ข้อมูลรั่ว 1,650 เหตุ เกินครึ่งไม่ใช่แฮกเกอร์ ภาคการเงินนำ 723 เหตุ ธุรกิจไทยต้องปิดช่องไหนก่อน
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
