เปิดปม 3 เหตุการณ์ “เขย่าความเชื่อมั่นตลาดหุ้นไทย.!”

ตลาดทุนไทยตลอดช่วงเดือนกรกฎาคม 2569 เผชิญแรงสั่นสะเทือนต่อเนื่องจาก 3 เหตุการณ์สำคัญที่สร้างความกังวลให้กับผู้ลงทุน ตั้งแต่กรณีการยื่นข้อมูลการถือหุ้นอันเป็นเท็จผ่านระบบของสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) การกล่าวโทษผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลรายใหญ่ ไปจนถึงเหตุการณ์ข้อมูลส่วนบุคคลของผู้ลงทุนรั่วไหลจากระบบ TSD Investor Portal

แม้ทั้ง 3 เหตุการณ์จะมีลักษณะแตกต่างกัน แต่สิ่งที่เหมือนกันคือ ล้วนกระทบต่อ “ความเชื่อมั่น” ซึ่งถือเป็นรากฐานสำคัญของตลาดทุน

อย่างไรก็ตาม หากพิจารณาตามข้อเท็จจริงที่ทยอยเปิดเผยออกมา จะพบว่าหลายประเด็นเริ่มมีคำอธิบายที่ชัดเจน และหลายเหตุการณ์ได้เข้าสู่กระบวนการบังคับใช้กฎหมายแล้ว

ปมแรก : “สุภาพร พิมพงษ์” จุดเริ่มต้นข่าวลวงที่สะเทือนตลาด

เหตุการณ์ที่สร้างความฮือฮามากที่สุด คือการปรากฏชื่อ “สุภาพร พิมพงษ์” ในฐานะผู้ถือหุ้นรายใหญ่ของบริษัทจดทะเบียนหลายแห่งผ่านแบบรายงาน 246-2 และแบบ 59 ที่ยื่นต่อ ก.ล.ต.

ข้อมูลดังกล่าวระบุการถือครองหุ้นของบริษัทจดทะเบียนถึง 6 แห่ง ได้แก่ TRUE, BBL, KBANK, MAJOR, AAV และ GJS โดยเฉพาะกรณีหุ้น TRUE ที่มีการรายงานว่าถือหุ้นรวมกว่า 7.09% หรือกว่า 2,100 ล้านหุ้น จนกลายเป็นผู้ถือหุ้นใหญ่อันดับ 6 ของบริษัท

ข้อมูลดังกล่าวสร้างความตื่นตัวอย่างมากในตลาด เพราะหากเป็นความจริง จะถือเป็นการเข้าซื้อหุ้นมูลค่ามหาศาลผ่าน UBS Group AG

แต่หลังจาก TRUE ตรวจสอบกับ UBS AG กลับยืนยันว่า “ไม่มีธุรกรรมดังกล่าวเกิดขึ้น”

จากนั้น ก.ล.ต. จึงเริ่มดำเนินการตรวจสอบทันที โดยทยอยเปลี่ยนสถานะข้อมูลเป็น “ข้อมูลเบื้องต้น” ต่อมาเป็น “อยู่ระหว่างตรวจสอบความถูกต้อง” ก่อนนำข้อมูลทั้งหมดออกจากระบบเมื่อได้รับการยืนยันจากผู้เกี่ยวข้อง

ผลการตรวจสอบพบว่า ผู้รายงานไม่ได้ถือหุ้น หรือมีธุรกรรมตามที่แจ้งไว้จริง

ล่าสุด ก.ล.ต. ได้กล่าวโทษนางสาวสุภาพรต่อกองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเศรษฐกิจ (บก.ปอศ.) ในข้อหานำส่งเอกสารอันเป็นเท็จต่อ ก.ล.ต. ซึ่งเป็นความผิดตามมาตรา 302/1 แห่งพระราชบัญญัติหลักทรัพย์และตลาดหลักทรัพย์

กรณีนี้สะท้อนให้เห็นว่า แม้ระบบเปิดให้ผู้มีหน้าที่ยื่นแบบสามารถรายงานข้อมูลด้วยตนเอง (Self-reporting) แต่หน่วยงานกำกับยังมีระบบตรวจสอบและสามารถระงับข้อมูลที่ผิดปกติได้เมื่อพบข้อพิรุธ พร้อมดำเนินคดีตามกฎหมายเมื่อมีพยานหลักฐานเพียงพอ

ปมที่สอง : Bitkub กับคดีรายงานข้อมูลไม่ตรงข้อเท็จจริง

อีกเหตุการณ์ที่ได้รับความสนใจ คือการที่ ก.ล.ต. กล่าวโทษบริษัท บิทคับ ออนไลน์ จำกัด (Bitkub) และอดีตกรรมการ 2 ราย ต่อ บก.ปอศ.

ต้นตอของเรื่องย้อนกลับไปเมื่อเดือนพฤษภาคม 2564 ซึ่ง Bitkub ถูกโจมตีทางไซเบอร์ ทำให้สินทรัพย์ดิจิทัลของลูกค้าบางส่วนถูกโจรกรรม คิดเป็นมูลค่าราว 1,700 ล้านบาท

แม้บริษัทจะจัดหาสินทรัพย์มาทดแทนได้ครบภายในเดือนตุลาคมปีเดียวกัน แต่ ก.ล.ต. ตรวจพบว่า ระหว่างช่วงเวลาดังกล่าว แบบรายงานเงินกองทุนสภาพคล่องสุทธิรายวัน (ดจ.1) ที่ส่งให้หน่วยงานกำกับ ไม่ได้สะท้อนผลกระทบจากเหตุการณ์ดังกล่าว

ก.ล.ต. จึงเห็นว่าเข้าข่ายการแจ้งข้อความอันเป็นเท็จต่อหน่วยงานกำกับ และกล่าวโทษทั้งบริษัทและอดีตกรรมการที่รับผิดชอบการนำส่งรายงาน

คดีนี้ไม่ได้เป็นการกล่าวโทษจากเหตุถูกแฮ็กโดยตรง แต่เป็นการดำเนินคดีเกี่ยวกับ “การเปิดเผยข้อมูลต่อหน่วยงานกำกับ” ซึ่งถือเป็นหัวใจสำคัญของการกำกับดูแลตลาดการเงิน เพราะข้อมูลที่ไม่ครบถ้วนหรือไม่ตรงข้อเท็จจริง อาจส่งผลต่อการประเมินฐานะทางการเงินและความมั่นคงของผู้ประกอบธุรกิจ

ปมที่สาม : TSD Investor Portal ข้อมูลรั่ว แต่ไม่กระทบระบบซื้อขาย

เหตุการณ์ที่สร้างความวิตกในวงกว้างที่สุดคือ กรณี TSD Investor Portal ถูกเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้งานโดยไม่ได้รับอนุญาต

เบื้องต้นมีผู้ได้รับผลกระทบราว 200,000 ราย จากผู้ถือหุ้นทั้งหมดประมาณ 5 ล้านราย

ข้อมูลที่ถูกเข้าถึงประกอบด้วย ชื่อ-นามสกุล เลขบัตรประชาชน วันเกิด ที่อยู่ หมายเลขโทรศัพท์ อีเมล เลขบัญชีซื้อขายหลักทรัพย์ และเลขบัญชีธนาคารบางส่วน

อย่างไรก็ตาม TSD และตลาดหลักทรัพย์แห่งประเทศไทยยืนยันตรงกันว่า

สิ่งที่ “ไม่รั่ว” ได้แก่ ข้อมูลจำนวนหุ้น, มูลค่าพอร์ตลงทุน, ข้อมูลการถือครองหลักทรัพย์, ประวัติการซื้อขาย, ระบบซื้อขายหลักทรัพย์ และ ระบบรับฝากหลักทรัพย์

สาเหตุเกิดจากช่องโหว่ของระบบ User Profile บนเว็บไซต์ ซึ่งผู้ใช้งานรายหนึ่งสามารถแก้ไขรหัสผู้ใช้งาน (User ID) และเรียกดูข้อมูลของบุคคลอื่นได้

หลังตรวจพบเหตุ บริษัทได้ปิดช่องโหว่ทันที ระงับบัญชีที่เกี่ยวข้อง แจ้งหน่วยงานกำกับ แจ้งตำรวจไซเบอร์ และแจ้งผู้ได้รับผลกระทบผ่าน SMS และอีเมล พร้อมยืนยันว่าไม่มีการส่งลิงก์ให้กดผ่านข้อความดังกล่าว

ตลาดหลักทรัพย์ยังประกาศยกระดับมาตรการด้าน Cybersecurity ทั้งการใช้ AI ตรวจสอบช่องโหว่ของระบบ เพิ่มการทดสอบเจาะระบบ (Penetration Test) และทยอยย้ายบริการไปยังแพลตฟอร์ม WiseSET ที่ใช้เทคโนโลยีใหม่

ที่สำคัญ จนถึงปัจจุบันยังไม่พบการนำข้อมูลดังกล่าวไปใช้ก่อให้เกิดความเสียหายทางการเงินหรือธุรกรรมการลงทุน

บทเรียนที่ตลาดทุนไทยต้องก้าวข้าม

แม้ทั้งสามเหตุการณ์จะมีรายละเอียดแตกต่างกัน แต่ล้วนสะท้อนโจทย์เดียวกัน คือ “ความน่าเชื่อถือของข้อมูล”

กรณีแรกเป็นบทเรียนเรื่องการตรวจสอบข้อมูลที่ผู้มีหน้าที่ยื่นรายงานส่งเข้าสู่ระบบ กรณีที่สองตอกย้ำความสำคัญของการเปิดเผยข้อมูลต่อหน่วยงานกำกับอย่างถูกต้อง ขณะที่กรณีสุดท้ายสะท้อนว่าความมั่นคงปลอดภัยทางไซเบอร์กลายเป็นความเสี่ยงใหม่ที่ทุกองค์กรในตลาดทุนต้องรับมือ

ในอีกด้านหนึ่ง เหตุการณ์ทั้งหมดยังสะท้อนการทำงานของหน่วยงานกำกับดูแลที่เร่งตรวจสอบข้อเท็จจริง แจ้งเตือนผู้ลงทุน ดำเนินคดีตามกฎหมาย และเร่งปิดช่องโหว่ของระบบเมื่อพบความผิดปกติ

สุดท้ายแล้ว “ความเชื่อมั่น” ไม่ได้เกิดจากการไม่มีปัญหา แต่เกิดจากการเปิดเผยข้อเท็จจริงอย่างโปร่งใส การดำเนินการที่รวดเร็ว และการบังคับใช้กฎหมายอย่างจริงจัง

เมื่อทั้งสามปมเริ่มคลี่คลาย สิ่งที่ตลาดทุนไทยต้องทำต่อจากนี้ คือการเปลี่ยนบทเรียนครั้งนี้ให้เป็นแรงผลักดันในการยกระดับมาตรฐานการกำกับดูแล การเปิดเผยข้อมูล และการรักษาความปลอดภัยทางไซเบอร์ เพื่อสร้างความเชื่อมั่นให้กับผู้ลงทุนในระยะยาวอีกครั้ง