ทำไมมิจฉาชีพรู้ข้อมูลเรา คำตอบส่วนใหญ่คือข้อมูลถูกขายต่อเป็นทอดจากองค์กรที่เราเคยให้ไว้ ไม่ใช่เพราะมิจฉาชีพเจาะมือถือเรา กรณีที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เปิดเผยเมื่อ 9 พฤศจิกายน 2569 ยืนยันภาพนี้ชัด แต่มีเส้นทางหนึ่งที่คนส่วนใหญ่ไม่เคยนึกถึง คือกระดาษที่องค์กรสั่งทำลายแล้ว
สรุปสั้น: ตำรวจพบข้อมูลคนไทยกว่า 29,000 รายการในคอมพิวเตอร์ของแก๊งสแกมเมอร์ที่ชลบุรี ความเสียหายกว่า 48 ล้านบาท ส่วนที่ภูเก็ต ข้อมูลผู้รับพัสดุกว่า 1 ล้านคนถูกขายรายละ 1 บาท องค์กรที่ปล่อยข้อมูลรั่วต้องรับผิดตาม PDPA ทั้งโทษปรับทางปกครองและค่าสินไหมทดแทนต่อเจ้าของข้อมูล
ทำไมมิจฉาชีพรู้ชื่อ เบอร์โทร เลขบัตรประชาชน และที่อยู่ของเรา
มิจฉาชีพรู้ชื่อ เบอร์โทร เลขบัตรประชาชน และที่อยู่ของเรา เพราะซื้อหรือได้ข้อมูลมาจากองค์กรที่เก็บข้อมูลเราไว้ ทั้งบริษัทขนส่ง ร้านค้า โรงพยาบาล และผู้รับจ้างขององค์กรเหล่านั้น ข้อมูลที่ตำรวจพบในคดีชลบุรีมีครบทั้งชื่อ เบอร์โทร เลขบัตรประชาชน ที่อยู่ และเลขบัญชีธนาคาร
ลองนึกถึงสำเนาบัตรประชาชนที่เราเซ็นรับรองแล้วยื่นให้ร้านหรือหน่วยงานมาตลอดชีวิต แต่ละใบอยู่ในแฟ้มของคนอื่น ทำไมมิจฉาชีพรู้ข้อมูลเรา ก็เพราะแฟ้มเหล่านั้นมีทางรั่วได้หลายทาง
สาเหตุที่มิจฉาชีพได้ข้อมูลเรามีอะไรบ้าง
สาเหตุที่มิจฉาชีพได้ข้อมูลเราตามคดีที่ สคส. เปิดเผย แยกได้ 3 เส้นทาง เรียงตามขนาดความเสียหายที่รายงาน
| เส้นทาง | กรณีที่ สคส. เปิดเผย | ตัวเลขที่รายงาน |
|---|---|---|
| ข้อมูลรวมในมือแก๊ง | แก๊งสแกมเมอร์ จ.ชลบุรี | ข้อมูลกว่า 29,000 รายการ เสียหายกว่า 48 ล้านบาท |
| ขายข้อมูลลูกค้าจากต้นทาง | ข้อมูลผู้รับพัสดุจากบริษัทขนส่ง (ภูเก็ต กระบี่ พังงา) | รายละ 1 บาท กว่า 1 ล้านคน |
| ผู้รับจ้างทำลายเอกสารนำไปขาย | เวชระเบียนของหน่วยงานสาธารณสุขแห่งหนึ่ง | ปรับรวม 1.2 ล้านบาท |
สาเหตุที่ 1: ข้อมูลลูกค้าถูกขายจากต้นทาง
ข้อมูลผู้รับพัสดุในภูเก็ต กระบี่ และพังงา กว่า 1 ล้านคน ถูกขายให้สแกมเมอร์ในราคารายละ 1 บาท ตามที่ สคส. เปิดเผย ชื่อบริษัทขนส่งที่เกี่ยวข้องยังไม่ยืนยัน สแกมเมอร์นำข้อมูลไปส่งของที่ไม่ได้สั่งแบบเก็บเงินปลายทางชิ้นละ 200 บาท มากกว่า 10,000 ชิ้นต่อวัน ตัวเลข 1 บาทนี้คือเหตุผลที่ทำไมมิจฉาชีพรู้ข้อมูลเราได้ง่ายขนาดนี้
สาเหตุที่ 2: ผู้รับจ้างขององค์กรทำข้อมูลหลุด
หน่วยงานสาธารณสุขแห่งหนึ่งจ้างบริษัทภายนอกทำลายเอกสารผู้ป่วย แต่บริษัทนำไปขายเป็นเศษกระดาษ หน่วยงานถูกปรับ 1 ล้านบาท และเจ้าหน้าที่ผู้รับผิดชอบถูกปรับ 200,000 บาท นี่คือคำตอบของปมในบทนำ: ข้อมูลไม่ได้รั่วแค่จากคอมพิวเตอร์ แต่รั่วจากกระดาษที่ทุกคนคิดว่าทำลายแล้ว เรื่องผู้รับจ้างทำข้อมูลหลุดในต่างประเทศมีตัวอย่างใน 44 รัฐสหรัฐฯ ปรับ Labcorp $2.3M เพราะ vendor ทำข้อมูลรั่ว บทเรียน Vendor Governance ที่ธุรกิจไทยใช้ได้ทันที
สาเหตุที่ 3: ข้อมูลจากหลายแหล่งถูกรวมเป็นก้อนเดียว
คอมพิวเตอร์เครื่องเดียวของแก๊งที่ชลบุรีมีข้อมูลกว่า 29,000 รายการ แสดงว่าข้อมูลจากหลายแหล่งถูกรวมไว้ใช้หลอก เมื่อมิจฉาชีพรู้ทั้งชื่อ เลขบัตร และเลขบัญชี คำพูดทางโทรศัพท์จึงฟังน่าเชื่อ สถิติภาพรวมที่ สคส. เคยเปิดว่าเหตุข้อมูลรั่วเกินครึ่งไม่ได้มาจากแฮกเกอร์ อยู่ใน สคส. เปิดสถิติ PDPA ร้องเรียน 4,210 เรื่อง ข้อมูลรั่ว 1,650 เหตุ เกินครึ่งไม่ใช่แฮกเกอร์ ภาคการเงินนำ 723 เหตุ ธุรกิจไทยต้องปิดช่องไหนก่อน
ทำไมคนถามว่ามิจฉาชีพรู้ข้อมูลเราได้อย่างไรตอนนี้
คนถามว่าทำไมมิจฉาชีพรู้ข้อมูลเรามากขึ้นเพราะเมื่อ 9 พฤศจิกายน 2569 ผู้บริหาร สคส. เปิดเผยคดีทั้ง 3 กรณีในงานที่ จ.ระยอง ตามรายงานของ สยามรัฐ และ กรุงเทพธุรกิจ ขณะเดียวกันข่าวมิจฉาชีพบน Google News ไทยช่วง 4 วันมีถึง 38 ข่าวจาก 24 สำนัก และ Google แนะนำคำค้น “ทําไมมิจฉาชีพรู้ข้อมูลเรา” ขึ้นมาเอง แปลว่าคนจำนวนมากกำลังพิมพ์ถามคำถามเดียวกัน
เรื่องที่คนเข้าใจผิดบ่อยเรื่องมิจฉาชีพรู้ข้อมูลเรา
เรื่องที่คนเข้าใจผิดบ่อยที่สุดเมื่อถามว่าทำไมมิจฉาชีพรู้ข้อมูลเรา คือเชื่อว่ามือถือเราโดนแฮก ความจริงจากคดีที่ สคส. เปิดเผยคือข้อมูลส่วนใหญ่มาจากองค์กรที่เราเคยให้ข้อมูลเอง การเปลี่ยนมือถือหรือรหัสผ่านอย่างเดียวจึงไม่ช่วยถ้าต้นทางยังรั่ว
ความเข้าใจผิดข้อที่สองคือเชื่อว่า “จ้างคนนอกทำแล้ว ความรับผิดก็ไปอยู่ที่คนนอก” ความจริงคือหน่วยงานที่จ้างบริษัททำลายเอกสารยังถูกปรับ 1 ล้านบาท เพราะ สคส. ย้ำว่าองค์กรต้องมีมาตรการรักษาความมั่นคงปลอดภัยทุกขั้นตอน ตั้งแต่เก็บ ใช้ เปิดเผย จนถึงทำลาย
เทียบกับกฎหมายไทย: องค์กรที่ทำข้อมูลรั่วต้องรับผิดอะไรตาม PDPA
องค์กรที่ทำข้อมูลรั่วต้องรับผิดตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) เพราะผู้ควบคุมข้อมูลมีหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37(1) และยังต้องรับผิดแม้จ้างคนนอกทำแทน ตารางนี้เทียบสิ่งที่เกิดในคดีกับหน้าที่ตามกฎหมาย
| ประเด็น | สิ่งที่เกิดในคดี | กฎหมายไทย |
|---|---|---|
| ความปลอดภัยของข้อมูล | ข้อมูลผู้รับพัสดุถูกขายรายละ 1 บาท | PDPA ม.37(1) มาตรการรักษาความมั่นคงปลอดภัย |
| แจ้งเหตุละเมิด | ข้อมูลรั่วออกนอกองค์กร | PDPA ม.37(4) แจ้ง สคส. ภายใน 72 ชั่วโมง |
| ค่าเสียหายของเจ้าของข้อมูล | ผู้เสียหายจากการหลอกรวมกว่า 48 ล้านบาท | PDPA ม.77 ค่าสินไหมทดแทน |
| โทษปรับทางปกครอง | ปรับจริงรวม 1.2 ล้านบาท (กรณีเวชระเบียน) | โทษปรับทางปกครองระดับล้านบาท |
อ่านแบบนักกฎหมาย: ถ้าข้อมูลเรารั่วจากบริษัทใด ให้เปิดดูนโยบายความเป็นส่วนตัว (Privacy Notice) ของบริษัทนั้นก่อน ดูคำว่า “เปิดเผยข้อมูลแก่บุคคลภายนอก” และ “ผู้ให้บริการ” เพื่อรู้ว่าบริษัทส่งข้อมูลเราให้ใครบ้าง หลักฐานนี้ใช้ประกอบเรื่องร้องเรียนได้ทันที
ช่องว่างที่ยังมีคือ แม้รู้แล้วว่าทำไมมิจฉาชีพรู้ข้อมูลเรา คนทั่วไปก็ยังพิสูจน์ได้ยากว่าข้อมูลรั่วจากองค์กรไหน เพราะเราให้ข้อมูลเดียวกันกับหลายที่ คดีที่ตำรวจตามถึงต้นทางได้อย่างภูเก็ตจึงสำคัญ ภาพรวมโทษทั้งทางปกครอง อาญา และค่าสินไหมทดแทน สรุปไว้ใน คู่มือ: โทษตาม PDPA มีอะไรบ้าง: ค่าปรับทางปกครอง โทษอาญา และค่าสินไหมทดแทน
มิจฉาชีพรู้ข้อมูลเราแล้ว แปลว่าอะไรและควรทำอะไร
มิจฉาชีพรู้ข้อมูลเราแล้ว แปลว่าข้อมูลพื้นฐานอย่างชื่อและที่อยู่ไม่ใช่ความลับอีกต่อไป เราจึงไม่ควรเชื่อใครเพียงเพราะเขารู้ข้อมูลเรา ทำตามทีละขั้นนี้
- 1. ไม่เชื่อสายที่รู้ข้อมูลเรา วางสายแล้วโทรกลับเบอร์ทางการของหน่วยงานนั้นเอง
- 2. ไม่จ่ายพัสดุเก็บเงินปลายทางที่จำไม่ได้ว่าสั่ง เช็กประวัติคำสั่งซื้อในแอปก่อนจ่ายทุกครั้ง
- 3. ขีดฆ่าชื่อ ที่อยู่ และเบอร์บนกล่องพัสดุก่อนทิ้ง และเขียนกำกับบนสำเนาบัตรประชาชนว่าใช้เพื่ออะไร
- 4. ร้องเรียน สคส. เมื่อรู้ว่าข้อมูลรั่วจากองค์กรใด เก็บหลักฐานข้อความ สลิป และวันที่ไว้ให้ครบ
- 5. ทบทวนว่าให้ข้อมูลกับใครไว้บ้าง แนวทางปกป้องข้อมูลตัวเองเพิ่มเติมดูได้ใน คู่มือใช้เทคโนโลยีอย่างปลอดภัยและปกป้องข้อมูล
ถ้าถูกหลอกโอนเงินไปแล้ว เรื่องความรับผิดของธนาคารและผู้ให้บริการเครือข่ายอยู่ใน พ.ร.ก. อาชญากรรมเทคโนโลยีฉบับใหม่: ถูกแก๊งคอลเซ็นเตอร์หลอก ใครต้องรับผิดแทนคุณ
มุมมองผู้เชี่ยวชาญ
คำถามว่าทำไมมิจฉาชีพรู้ข้อมูลเรา จริง ๆ แล้วควรถามกลับไปที่องค์กรที่เก็บข้อมูลเรามากกว่าถามตัวเอง ข้อมูลของคนไทยหนึ่งคนถูกตีราคาแค่ 1 บาท แต่ค่าปรับของหน่วยงานที่ปล่อยให้รั่วคือหนึ่งล้านบาท ส่วนต่างนี้คือเหตุผลที่องค์กรต้องดูแลข้อมูลจนถึงวันทำลาย ไม่ใช่แค่วันเก็บ จุดที่องค์กรมักพลาดคือคิดว่าจ้างบริษัทภายนอกแล้วหมดหน้าที่ ทั้งที่กฎหมายยังมองว่าเป็นความรับผิดของผู้จ้าง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับทำไมมิจฉาชีพรู้ข้อมูลเรา
มีพัสดุเก็บเงินปลายทางที่ไม่ได้สั่ง ต้องจ่ายไหม ปฏิเสธได้ไหม
ปฏิเสธรับได้ เราไม่มีหน้าที่จ่ายเงินให้ของที่ไม่ได้สั่ง วิธีที่ปลอดภัยคือแจ้งพนักงานส่งว่าไม่ได้สั่งและไม่รับของ ถ้าเผลอจ่ายไปแล้ว ให้เก็บหลักฐานใบเสร็จและเลขพัสดุไว้ติดต่อบริษัทขนส่ง
ข้อมูลหลุดแล้วฟ้องบริษัทที่ทำหลุดได้ไหม ได้เงินเท่าไร
เจ้าของข้อมูลเรียกค่าสินไหมทดแทนจากผู้ควบคุมข้อมูลได้ตาม PDPA มาตรา 77 จำนวนเงินขึ้นกับความเสียหายที่พิสูจน์ได้ในแต่ละกรณี ไม่มีอัตราตายตัว จุดยากคือต้องแสดงให้ได้ว่าข้อมูลรั่วจากบริษัทนั้นจริง
ร้องเรียน สคส. อย่างไร ต้องฟ้องศาลก่อนไหม
ร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญผ่าน สคส. ได้โดยไม่ต้องฟ้องศาลก่อน ควรเตรียมชื่อองค์กรที่สงสัย ข้อความหรือสายที่ได้รับ และวันเวลาที่เกิดเหตุ
ลบชื่อและที่อยู่บนกล่องพัสดุช่วยได้แค่ไหน
การขีดฆ่าชื่อและที่อยู่บนกล่องช่วยปิดทางรั่วจากขยะบ้านเรา แต่ไม่ช่วยกรณีข้อมูลถูกขายจากระบบของบริษัทขนส่งโดยตรงแบบคดีภูเก็ต ทั้งสองทางต้องปิดคู่กัน
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- สคส. ตอบอีก 8 ข้อหารือ PDPA ที่องค์กรควรรู้ — ตัวอย่างความเห็นของ สคส. ต่อคำถามจริงขององค์กร ช่วยให้เห็นว่าหน่วยงานกำกับมองหน้าที่ขององค์กรอย่างไร (aipdpa.com)
แหล่งอ้างอิง
- สยามรัฐ — (อ่านต้นฉบับ) — siamrath.co.th
- กรุงเทพธุรกิจ — (อ่านต้นฉบับ) — bangkokbiznews.com
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
