InvestorPortal

ผู้สื่อข่าวรายงานว่า บริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด หรือ TSD แถลงชี้แจงกรณีเหตุด้านความมั่นคงปลอดภัยทางสารสนเทศของระบบ TSD Investor Portal ภายหลังตรวจพบการเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้บริการโดยไม่ได้รับอนุญาต พร้อมยืนยันว่าเหตุการณ์ดังกล่าวเกิดขึ้นเฉพาะระบบให้บริการข้อมูลผ่านเว็บไซต์สำหรับผู้ลงทุน ไม่ได้กระทบระบบรับฝากหลักทรัพย์ ระบบซื้อขาย หรือระบบจัดเก็บข้อมูลหลังบ้าน และไม่พบข้อมูลการถือครองหลักทรัพย์ มูลค่าพอร์ตลงทุน หรือข้อมูลการทำธุรกรรมรั่วไหลออกไป นางสาวพิชยา ชมชัยยา กรรมการผู้จัดการ TSD เปิดเผยว่า เหตุการณ์เริ่มต้นขึ้นในช่วงเย็นวันที่ 25 กรกฎาคม 2569 เมื่อฝ่ายเทคโนโลยีสารสนเทศของ TSD ตรวจพบความผิดปกติจากความพยายามเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต ก่อนเร่งตรวจสอบเชิงลึกต่อเนื่องจนถึงเช้าวันที่ 26 กรกฎาคม 2569 และยืนยันว่ามีข้อมูลส่วนบุคคลบางส่วนของผู้ใช้บริการถูกเข้าถึงจริง ภายหลังตรวจพบเหตุ TSD ได้แจ้งหน่วยงานกำกับดูแลและหน่วยงานที่เกี่ยวข้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) พร้อมแจ้งบริษัทหลักทรัพย์ ผู้รับฝากทรัพย์สิน (Custodian) และธนาคาร เพื่อร่วมกันเฝ้าระวังความเสี่ยง รวมทั้งส่งอีเมลและข้อความ SMS แจ้งผู้ได้รับผลกระทบโดยตรง เพื่อให้เพิ่มความระมัดระวังต่อการถูกมิจฉาชีพแอบอ้าง ต่อมาเมื่อวันที่ 27 กรกฎาคม 2569 TSD เข้าแจ้งความต่อกองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี หรือตำรวจไซเบอร์ เพื่อดำเนินการสืบสวนหาตัวผู้กระทำผิด โดยระหว่างการตรวจสอบเชิงลึกเพิ่มเติมพบว่า ขอบเขตของข้อมูลที่ถูกเข้าถึงมีมากกว่าที่ประเมินไว้ในเบื้องต้น จึงได้ส่งอีเมลและ SMS แจ้งผู้ได้รับผลกระทบเพิ่มเติมอีกครั้ง สำหรับข้อมูลที่ถูกเข้าถึงประกอบด้วย ชื่อ-นามสกุล วันเดือนปีเกิด เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ชื่อบริษัทหลักทรัพย์ เลขที่บัญชีซื้อขายหลักทรัพย์ ชื่อธนาคาร และเลขที่บัญชีธนาคารของผู้ใช้บริการบางส่วน อย่างไรก็ตาม TSD ยืนยันว่า ไม่พบข้อมูลจำนวนหุ้น มูลค่าพอร์ตลงทุน ข้อมูลการถือครองหลักทรัพย์ หรือข้อมูลการทำธุรกรรมรั่วไหลออกไป นางสาวพิชยา กล่าวเพิ่มเติมว่า จากการตรวจสอบล่าสุด มีผู้ได้รับผลกระทบประมาณ 200,000 ราย จากผู้ถือหุ้นทั้งหมดราว 5 ล้านราย โดยบริษัทได้ส่งอีเมลและ SMS แจ้งผู้ได้รับผลกระทบทั้งหมดแล้ว พร้อมประสานบริษัทหลักทรัพย์ ธนาคารผู้รับฝากทรัพย์สิน และหน่วยงานกำกับดูแล เพื่อร่วมกันเฝ้าระวังธุรกรรมที่อาจผิดปกติ “ขณะนี้ยังไม่พบความเสียหายจากธุรกรรมการลงทุนหรือบัญชีของผู้ได้รับผลกระทบ และหากพบข้อเท็จจริงเพิ่มเติม บริษัทจะแจ้งผู้เกี่ยวข้องทันที” นางสาวพิชยา กล่าว ขณะที่ TSD ย้ำว่า อีเมลและ SMS ที่บริษัทส่งถึงผู้ได้รับผลกระทบจะไม่มีลิงก์แนบมาโดยเด็ดขาด หากได้รับข้อความที่อ้างว่าเป็น TSD พร้อมแนบลิงก์ให้กด ให้สันนิษฐานไว้ก่อนว่าเป็นมิจฉาชีพ และสามารถตรวจสอบข้อมูลผ่าน SET Contact Center หรืออีเมลของ TSD ซึ่งเปิดให้บริการแม้ในช่วงวันหยุด สำหรับมาตรการเยียวยา หากภายหลังพบว่ามีผู้ได้รับผลกระทบและเกิดความเสียหายจากเหตุการณ์ดังกล่าว บริษัทจะพิจารณาข้อเท็จจริงเป็นรายกรณี และดำเนินการดูแลอย่างเหมาะสม ส่วนกระแสที่ตั้งข้อสังเกตว่าเหตุการณ์ดังกล่าวอาจเกี่ยวข้องกับแอปพลิเคชัน WiseSET นั้น TSD ยืนยันว่าเป็นคนละระบบ และไม่ได้เกี่ยวข้องกับเหตุการณ์ครั้งนี้ ด้าน นายถิรพันธุ์ สรรพกิจ รองผู้จัดการ หัวหน้าสายงานเทคโนโลยีสารสนเทศ ตลาดหลักทรัพย์แห่งประเทศไทย ในฐานะผู้ดูแลระบบไอทีของ TSD อธิบายว่า เหตุการณ์เกิดขึ้นเฉพาะระบบ TSD Investor Portal ซึ่งเป็นระบบให้บริการผ่านเว็บไซต์ (Web-based) โดยผู้ใช้งานรายหนึ่งเข้าสู่ระบบด้วยสิทธิของตนเองตามปกติ ก่อนแก้ไขค่ารหัสประจำตัว (User ID) ในส่วน User Profile ทำให้สามารถเรียกดูข้อมูลของผู้ใช้งานรายอื่นได้ เนื่องจากมีช่องโหว่ของโค้ดบางส่วนที่ยังต้องได้รับการปรับปรุง ทันทีที่ตรวจพบเหตุ บริษัทได้ปิดช่องทางการเข้าถึง ระงับบัญชีผู้ใช้งานที่เกี่ยวข้อง แก้ไขโค้ดที่เป็นสาเหตุของช่องโหว่ และเร่งตรวจสอบจำนวนรวมถึงประเภทข้อมูลที่ได้รับผลกระทบ เพื่อแจ้งผู้ใช้บริการที่เกี่ยวข้องโดยเร็วที่สุด “ช่องโหว่ดังกล่าวเกิดขึ้นเฉพาะในส่วน User Profile ไม่ใช่ระบบแสดงข้อมูลการลงทุน และไม่เกี่ยวข้องกับระบบจัดเก็บข้อมูลหลักทรัพย์จริง ซึ่งแยกเก็บอยู่ในระบบหลังบ้านที่ไม่ได้เชื่อมต่อกับอินเทอร์เน็ต จึงไม่สามารถเข้าถึงข้อมูลการถือครองหลักทรัพย์หรือแก้ไขข้อมูลการซื้อขายได้” นายถิรพันธุ์ กล่าว นายถิรพันธุ์ อธิบายเพิ่มเติมว่า ระบบหลักของตลาดทุนไทยได้รับการออกแบบให้แยกส่วนระหว่างระบบที่ให้บริการผ่านอินเทอร์เน็ตกับระบบซื้อขายและระบบรับฝากหลักทรัพย์อย่างชัดเจน โดยระบบหลังบ้านซึ่งจัดเก็บข้อมูลสำคัญไม่ได้เปิดเชื่อมต่อกับเครือข่ายสาธารณะ ขณะที่ระบบหน้าบ้านมีหน้าที่เพียงแสดงข้อมูล ไม่สามารถเข้าถึงหรือแก้ไขข้อมูลสำคัญในระบบหลักได้ สำหรับมาตรการป้องกัน บริษัทได้แก้ไขช่องโหว่ของโค้ดทันที พร้อมนำเทคโนโลยีปัญญาประดิษฐ์ (AI) มาสแกนโค้ดของทุกระบบในเครือตลาดหลักทรัพย์ เพื่อค้นหาช่องโหว่ลักษณะเดียวกัน รวมถึงยกระดับระบบยืนยันตัวตน และเพิ่มความเข้มงวดของการทดสอบเจาะระบบ (Penetration Test) โดยผู้เชี่ยวชาญภายนอก นอกจากนี้ TSD ยังมีแผนทยอยย้ายบริการจากระบบ Investor Portal ซึ่งเปิดใช้งานมานานกว่า 5 ปี ไปยังแอปพลิเคชัน WiseSET ซึ่งพัฒนาด้วยเทคโนโลยีใหม่และมีมาตรฐานด้านความมั่นคงปลอดภัยที่สูงกว่า ด้าน พ.ต.ท.พากฤต กฤตยพงษ์ สารวัตรกลุ่มงานรักษาความมั่นคงปลอดภัยทางไซเบอร์ กองบังคับการตรวจสอบและวิเคราะห์อาชญากรรมทางเทคโนโลยี กล่าวว่า หลังได้รับแจ้งเหตุ ตำรวจไซเบอร์ได้เข้าตรวจสอบและรวบรวมพยานหลักฐานดิจิทัล รวมถึงตรวจสอบ IP Address และข้อมูล Log ต่าง ๆ เพื่อสืบหาตัวผู้กระทำผิด โดยขณะนี้ยังไม่สามารถยืนยันได้ว่าเป็นบุคคลหรือขบวนการในประเทศหรือต่างประเทศ เนื่องจากยังอยู่ระหว่างการสืบสวนสอบสวน ทั้งนี้ สิ่งที่น่ากังวลที่สุดหลังเกิดเหตุข้อมูลรั่วไหล คือการที่มิจฉาชีพจะนำข้อมูลจริงของผู้เสียหายไปใช้สร้างความน่าเชื่อถือในการหลอกลวง ไม่ว่าจะเป็นการส่ง SMS อีเมล หรือโทรศัพท์แอบอ้างเป็นเจ้าหน้าที่ของ TSD บริษัทหลักทรัพย์ หรือธนาคาร เพื่อหลอกให้กดลิงก์ เปิดเผยข้อมูลสำคัญ หรือทำธุรกรรมทางการเงิน เจ้าหน้าที่ตำรวจแนะนำว่า ผู้ที่ได้รับอีเมลหรือ SMS แจ้งเตือนจาก TSD ยังไม่จำเป็นต้องตื่นตระหนกหรือรีบแจ้งความ หากยังไม่พบความผิดปกติของบัญชี แต่ควรติดตามข้อมูลจากช่องทางทางการเท่านั้น ไม่กดลิงก์จากข้อความหรืออีเมลที่ไม่น่าเชื่อถือ และไม่เปิดเผยข้อมูลสำคัญแก่บุคคลที่ติดต่อเข้ามา หากพบความผิดปกติ เช่น มีการพยายามเข้าสู่ระบบบัญชีธนาคารหรือบัญชีซื้อขายหลักทรัพย์โดยไม่ได้รับอนุญาต พบการนำข้อมูลส่วนบุคคลไปเผยแพร่ หรือถูกนำไปใช้ทำธุรกรรม ควรรีบติดต่อสถาบันการเงินเพื่อระงับเหตุ แจ้งความต่อพนักงานสอบสวน และสามารถขอความช่วยเหลือผ่านสายด่วน AOC หมายเลข 1441 ได้ตลอด 24 ชั่วโมง นอกจากนี้ ยังแนะนำให้ประชาชนตรวจสอบชื่อโดเมนของเว็บไซต์ทุกครั้งก่อนกดลิงก์ โดยหลีกเลี่ยงเว็บไซต์ที่ใช้โดเมนผิดปกติหรือโดเมนฟรี ซึ่งมักถูกนำมาใช้ในการทำเว็บไซต์ปลอม (Domain Spoofing) นายอัสสเดช คงสิริ กรรมการและผู้จัดการ ตลาดหลักทรัพย์แห่งประเทศไทย กล่าวขออภัยผู้ที่ได้รับผลกระทบ พร้อมยอมรับว่าเข้าใจถึงความกังวลของเจ้าของข้อมูลทุกคน แต่ขอให้ประชาชนอย่าตื่นตระหนก เนื่องจากข้อมูลที่ถูกเข้าถึงยังไม่สามารถนำไปใช้ทำธุรกรรมทางการเงินได้โดยตรง ทั้งนี้ ตลาดหลักทรัพย์ฯ บริษัทหลักทรัพย์ และธนาคาร ไม่มีนโยบายส่งลิงก์ให้ลูกค้ากดผ่าน SMS หรืออีเมล ดังนั้น หากได้รับข้อความในลักษณะดังกล่าว ขออย่ากดลิงก์ และให้ติดต่อสอบถามกับหน่วยงานโดยตรงก่อนทุกครั้ง พร้อมกันนี้ ตลาดหลักทรัพย์ฯ ได้แจ้งรายชื่อผู้ได้รับผลกระทบให้บริษัทหลักทรัพย์และธนาคารที่เกี่ยวข้องรับทราบ เพื่อร่วมกันเฝ้าระวังความผิดปกติของธุรกรรม พร้อมยืนยันว่าโครงสร้างพื้นฐานด้านตลาดทุนไทยมีระบบป้องกันหลายชั้น ทำให้ข้อมูลที่ถูกเข้าถึงไม่สามารถนำไปใช้ทำธุรกรรมได้ทันที “จนถึงขณะนี้ยังไม่พบการนำข้อมูลที่รั่วไหลไปใช้ก่อความเสียหาย แต่ตลาดหลักทรัพย์จะเดินหน้ายกระดับมาตรการรักษาความมั่นคงปลอดภัยทางไซเบอร์อย่างต่อเนื่อง เพื่อรองรับรูปแบบการโจมตีที่มีความซับซ้อนมากขึ้นในอนาคต” นายอัสสเดช กล่าว อ่านข่าวที่เกี่ยวข้อง : ก.ล.ต. จับตา TSD ปมข้อมูลส่วนบุคคล หลังพบเข้าถึงระบบ Investor Portal โดยไม่ได้รับอนุญาต