Times Car ข้อมูลรั่วครั้งนี้เป็นเรื่องที่คนไทยที่เคยเช่ารถผ่านแอปควรหยุดอ่าน ลองนึกภาพตอนสมัครแอปคาร์แชร์ แล้วถูกขอให้ถ่ายรูปใบขับขี่หน้า–หลังพร้อมเซลฟี่ ข้อมูลชุดนั้นของลูกค้า 6.6 ล้านบัญชีในญี่ปุ่นเพิ่งหลุดออกไป และธุรกิจแบบเดียวกันในไทยก็เก็บเอกสารชุดเดียวกันอยู่ทุกวัน
สรุปสั้น: Times Car ผู้ให้บริการเช่ารถและคาร์แชร์ของญี่ปุ่น ยืนยันว่าข้อมูลผู้ใช้ 6.6 ล้านบัญชีรั่ว รวมชื่อ ที่อยู่ วันเกิด ใบขับขี่ และเอกสารยืนยันตัวตน (KYC) โดยถูกเข้าถึงตั้งแต่ต้นเดือนกันยายนและบล็อกได้วันที่ 26 ก.ย. 2026 แอปเช่ารถ คาร์แชร์ และไรด์แชร์ในไทยที่เก็บสำเนาใบขับขี่มีความเสี่ยงแบบเดียวกัน และควรทบทวนระยะเวลาเก็บเอกสาร การแยกเก็บ และแผนแจ้งเหตุตาม PDPA ตั้งแต่ตอนนี้
Times Car ข้อมูลรั่ว คืออะไร เกิดอะไรขึ้น
Times Car ข้อมูลรั่วคือเหตุที่ผู้ให้บริการเช่ารถและคาร์แชร์รายใหญ่ของญี่ปุ่นยืนยันว่าบัญชีผู้ใช้ 6.6 ล้านบัญชีถูกเข้าถึงโดยไม่ได้รับอนุญาต BleepingComputer รายงานเรื่องนี้เมื่อวันที่ 28 กันยายน 2026
ข้อมูลที่หลุดไม่ได้มีแค่ชื่อกับอีเมล แต่รวมชื่อ ที่อยู่ วันเกิด ข้อมูลใบขับขี่ และเอกสารยืนยันตัวตน (KYC) ซึ่งเป็นชุดข้อมูลที่ใช้พิสูจน์ว่า “คนนี้คือใคร”
จุดที่น่าคิดคือระยะเวลา ตามข่าว ผู้โจมตีเข้าถึงระบบตั้งแต่ต้นเดือนกันยายน และบริษัทบล็อกได้ในวันที่ 26 กันยายน พูดง่าย ๆ คือ ผู้บุกรุกมีเวลาอยู่ในระบบหลายสัปดาห์ก่อนถูกตัดออก
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| บริษัท | Times Car (ญี่ปุ่น) ผู้ให้บริการเช่ารถและคาร์แชร์ |
| จำนวนบัญชีที่ได้รับผลกระทบ | 6.6 ล้านบัญชี |
| ข้อมูลที่รั่ว | ชื่อ ที่อยู่ วันเกิด ใบขับขี่ เอกสาร KYC |
| ช่วงที่ถูกเข้าถึง | ตั้งแต่ต้นเดือนกันยายน 2026 |
| วันที่บล็อกได้ | 26 กันยายน 2026 |
| แหล่งข่าว | BleepingComputer (28 ก.ย. 2026) |
Times Car ข้อมูลรั่ว กระทบธุรกิจไทยอย่างไร
Times Car ข้อมูลรั่วกระทบธุรกิจไทยในฐานะ “กระจกสะท้อน” เพราะโมเดลธุรกิจเช่ารถออนไลน์ คาร์แชร์ และไรด์แชร์ในไทยต้องเก็บสำเนาใบขับขี่และเอกสารยืนยันตัวตนเหมือนกัน ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว ไม่ได้หมายความว่าธุรกิจไทยรายใดเกิดเหตุแล้ว
แอปเช่ารถ คาร์แชร์ และไรด์แชร์ไทยเสี่ยงตรงไหน
แอปเช่ารถ คาร์แชร์ และไรด์แชร์ไทยเสี่ยงตรงที่เก็บ “ชุดเอกสารครบเซ็ต” ไว้ในที่เดียว ทั้งรูปใบขับขี่ รูปบัตรประชาชน เซลฟี่ถือบัตร และที่อยู่ ชุดนี้ถ้าหลุดออกไปพร้อมกัน ใช้สวมรอยเปิดบัญชีหรือกู้เงินออนไลน์ได้ง่ายกว่าข้อมูลที่กระจายอยู่หลายที่
ตัวอย่างสมมติ: บริษัทเช่ารถขนาด 20 คันในเชียงใหม่ ให้ลูกค้าส่งรูปใบขับขี่ทาง LINE แล้วพนักงานเซฟไว้ใน Google Drive ส่วนตัว ถ้าบัญชีนั้นถูกเจาะ บริษัทอาจไม่รู้ด้วยซ้ำว่ามีเอกสารของลูกค้าอยู่กี่ร้อยคน และไม่มีข้อมูลพอจะแจ้งเหตุได้ครบ
PDPA มองเรื่องนี้อย่างไร
PDPA มองว่าธุรกิจที่เก็บเอกสารยืนยันตัวตนต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37(1) และเมื่อเกิดเหตุละเมิดต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตามมาตรา 37(4) ถ้าเหตุนั้นมีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล
ประเด็นที่ธุรกิจมักพลาดคือ “เก็บไว้เผื่อ” ใบขับขี่ใช้ตรวจตอนเปิดบัญชีครั้งเดียว แต่หลายระบบเก็บรูปไว้ตลอดอายุบัญชี หรือแม้ลูกค้าเลิกใช้แล้วก็ยังไม่ลบ ยิ่งเก็บนาน ความเสียหายเมื่อรั่วก็ยิ่งใหญ่ เหตุ Times Car ข้อมูลรั่ว 6.6 ล้านบัญชีคือภาพของผลลัพธ์นั้น
ช่วงเวลาหลายสัปดาห์ก่อนบล็อกได้ บอกอะไร
ช่วงเวลาตั้งแต่ต้นกันยายนถึง 26 กันยายนบอกว่า การตรวจจับสำคัญพอ ๆ กับการป้องกัน ธุรกิจไทยจำนวนมากไม่มีระบบแจ้งเตือนเมื่อมีการดาวน์โหลดไฟล์เอกสารจำนวนมากผิดปกติ จึงรู้ตัวช้า และพอรู้ช้า การนับ 72 ชั่วโมงตาม PDPA ก็เริ่มตอนที่ข้อมูลหลุดไปนานแล้ว
ผู้ใช้ทั่วไปควรคิดอย่างไร
ผู้ใช้ทั่วไปควรคิดว่ารูปใบขับขี่ที่ส่งให้แอปใดก็ตาม อาจอยู่ในระบบนั้นนานกว่าที่คิด คนที่เคยเช่ารถหรือใช้คาร์แชร์ควรระวังข้อความหรือสายโทรที่อ้างว่ามาจากบริษัทเช่ารถแล้วขอข้อมูลเพิ่ม เพราะมิจฉาชีพมักใช้ข้อมูลที่รั่วมาทำให้เรื่องเล่าดูน่าเชื่อ
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย ธุรกิจที่เก็บสำเนาใบขับขี่เสี่ยงสามเรื่อง เรื่องแรกคือโทษทางปกครองและความรับผิดทางแพ่งตาม PDPA หากมาตรการรักษาความปลอดภัยไม่เหมาะสม เรื่องที่สองคือแจ้งเหตุไม่ทัน 72 ชั่วโมงเพราะไม่รู้ว่าข้อมูลอะไรอยู่ที่ไหน เรื่องที่สามคือความเชื่อมั่นของลูกค้า ซึ่งในธุรกิจเช่ารถที่ลูกค้าเปลี่ยนแอปได้ในไม่กี่นาที เสียแล้วเรียกคืนยาก
แอปเช่ารถและคาร์แชร์ไทยควรทำอะไรตอนนี้
แอปเช่ารถและคาร์แชร์ไทยควรเริ่มจากการลดปริมาณเอกสารที่เก็บ แล้วค่อยเพิ่มการป้องกันสิ่งที่ยังจำเป็นต้องเก็บ บทเรียนจาก Times Car ข้อมูลรั่วคือ ข้อมูลที่ไม่มีอยู่ในระบบ รั่วไม่ได้
- 1. ทำรายการว่าเก็บเอกสารยืนยันตัวตนอะไรบ้าง ที่ไหน ไล่ทั้งระบบหลัก อีเมล LINE ไดรฟ์ของพนักงาน และที่สำรองข้อมูล ระบุจำนวนลูกค้าคร่าว ๆ
- 2. กำหนดระยะเวลาเก็บสำเนาใบขับขี่ให้ชัด ถ้าตรวจเสร็จแล้วเก็บแค่ผลการตรวจได้ ให้ลบรูปต้นฉบับ และลบบัญชีที่ไม่ใช้งานตามรอบ
- 3. แยกไฟล์เอกสาร KYC ออกจากระบบหลักและเข้ารหัส จำกัดสิทธิ์ให้เฉพาะพนักงานที่ต้องใช้จริง และบันทึกทุกครั้งที่มีการเปิดดูหรือดาวน์โหลด
- 4. ตั้งการแจ้งเตือนเมื่อมีการดึงข้อมูลจำนวนมากผิดปกติ เพื่อไม่ให้ผู้บุกรุกอยู่ในระบบได้หลายสัปดาห์โดยไม่มีใครรู้
- 5. ซ้อมแผนแจ้งเหตุต่อ สคส. ภายใน 72 ชั่วโมง เตรียมแบบฟอร์ม ผู้รับผิดชอบ และข้อความแจ้งลูกค้าไว้ล่วงหน้า
ถ้าองค์กรต้องการคนช่วยทบทวนการเก็บเอกสารยืนยันตัวตนและแผนรับมือเหตุละเมิด ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านเรื่องความเป็นส่วนตัวเพิ่มเติมได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
เวลาเห็นข่าวข้อมูลรั่ว คนมักถามว่าระบบป้องกันแข็งแรงพอไหม แต่คำถามที่ผมอยากให้ธุรกิจเช่ารถไทยถามก่อนคือ ทำไมเรายังเก็บรูปใบขับขี่ของลูกค้าที่เลิกใช้บริการไปแล้ว ข้อมูลที่คุณลบทิ้งแล้ว คือข้อมูลเดียวที่แฮ็กเกอร์เอาไปไม่ได้ เหตุของ Times Car ไม่ได้บอกว่าญี่ปุ่นอ่อนเรื่องความปลอดภัย แต่บอกว่าใครก็ตามที่สะสมเอกสารยืนยันตัวตนไว้หลายล้านชุด คือเป้าหมายที่คุ้มค่าเสมอ
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Times Car ข้อมูลรั่ว
Times Car ข้อมูลรั่วกี่บัญชี และข้อมูลอะไรหลุดบ้าง
Times Car ข้อมูลรั่ว 6.6 ล้านบัญชีตามที่ BleepingComputer รายงาน ข้อมูลที่หลุดรวมชื่อ ที่อยู่ วันเกิด ใบขับขี่ และเอกสารยืนยันตัวตน (KYC)
ข้อมูลของ Times Car ถูกเข้าถึงนานแค่ไหน
ตามข่าว ระบบถูกเข้าถึงตั้งแต่ต้นเดือนกันยายน 2026 และบริษัทบล็อกการเข้าถึงได้ในวันที่ 26 กันยายน 2026 ผู้บุกรุกจึงมีเวลาอยู่ในระบบหลายสัปดาห์
แอปเช่ารถในไทยต้องแจ้งเหตุข้อมูลรั่วภายในกี่ชั่วโมง
ตาม PDPA มาตรา 37(4) ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล ถ้าความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วย
ธุรกิจเช่ารถควรเก็บสำเนาใบขับขี่ไว้นานแค่ไหน
PDPA ไม่ได้กำหนดจำนวนวันตายตัว แต่ให้เก็บเท่าที่จำเป็นตามวัตถุประสงค์ที่แจ้งไว้ ธุรกิจควรกำหนดระยะเวลาเก็บเองให้ชัด และลบเมื่อหมดความจำเป็น เช่น หลังปิดบัญชีหรือหลังพ้นระยะที่ต้องใช้เป็นหลักฐาน
แหล่งอ้างอิง
- BleepingComputer — (อ่านต้นฉบับ) — อ่านที่ BleepingComputer
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ และรู้จักผู้เขียนได้ที่ เกี่ยวกับ TechLawNow
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
