TSD ชี้แจงเพิ่มเติมเกี่ยวกับเหตุการณ์การเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้บริการในระบบงาน TSD Investor Portal โดยไม่ได้รับอนุญาต

ตามที่บริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด (TSD) ตรวจพบการเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้บริการในระบบงาน TSD Investor Portal บางส่วนโดยไม่ได้รับอนุญาตเมื่อวันที่ 25 กรกฎาคม 2569 นั้น ภายหลังจากการประสานการทำงานร่วมกับกองบังคับการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (บก.สอท.) ในวันที่ 27 กรกฎาคม 2569 เพื่อเร่งติดตามเอาตัวผู้กระทำความผิดมาลงโทษ TSD จึงทราบว่า มีข้อมูลส่วนบุคคลที่ได้รับผลกระทบเพิ่มเติม ซึ่งข้อมูลที่ได้รับผลกระทบจากเหตุการณ์ดังกล่าว มีดังนี้

• ชื่อ-นามสกุล, วันเดือนปีเกิด, เลขบัตรประจำตัวประชาชน และที่อยู่

• หมายเลขโทรศัพท์ และอีเมล

• ชื่อบริษัทหลักทรัพย์ และเลขบัญชีซื้อขายหลักทรัพย์

• ชื่อธนาคาร และเลขที่บัญชีธนาคาร    

ทาง TSD ขอเรียนยืนยันว่า ขณะนี้ ยังไม่พบข้อมูลการถือครองหลักทรัพย์ และข้อมูลธุรกรรมการซื้อขายหลักทรัพย์ ที่ได้รับผลกระทบจากเหตุการณ์ดังกล่าว

ด้านนางสาวพิชยา ชมชัยยา กรรมการผู้จัดการ บริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด หรือ TSD เปิดเผยว่า TSD ได้ส่งอีเมลและ sms ไปให้ผู้ที่ได้รับผลกระทบแล้ว โดยTSD พบจำนวนผู้ที่ได้รับผลกระทบจากข้อมูลรั่วไหลประมาณ 200,000 บัญชี จากจำนวนทั้งหมด 5,000,000 บัญชี โดย เป็นลูกค้า อยู่ในหลายโบรกเกอร์และธนาคารพาณิชย์ คัสโตเดียน ซึ่งแต่ละแห่งได้มีการส่งข้อความแจ้งข้อความเตือนไปยังลูกค้าเพื่อให้ระมัดระวังการทำธุรกรรมแล้ว 

ทั้งนี้ ขณะนี้ยังไม่ได้พบความเสียหายใดใดเกิดขึ้น อย่างไรก็ตาม TSD จะมีมาตรการเยียวยาหากมีผู้ได้รับผลกระทบเหตุการณ์นี้  โดยจะพิจารณาข้อเท็จจริงและดูแลที่ได้รับความเสียหายอย่างเหมาะสม

นางสาวพิชยา  เล่าถึงเหตุการณ์ TSD ถูกแฮกข้อมูลที่เกิดขึ้น ว่า เนื่องจากหน่วยงานด้านเทคโนโลยีสารสนเทศของ TSD ตรวจพบการเข้าถึงระบบอย่างไม่ถูกต้องตั้งแต่ช่วงเย็นวันที่ 25 กรกฎาคมที่ผ่านมา ซึ่งมีการเข้าถึงระบบผ่าน User ID ของผู้ใช้บริการรายหนึ่ง ที่มีความพยายามเปลี่ยนแปลงยูสเซอร์หลายครั้งต่อเนื่องไปจนถึงวันที่ 26 กรกฎาคม ดังนั้น TSD จึงเร่งปิดกั้นการเข้าถึงระบบทุกช่องทาง พร้อมกับประสานงานกับกองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี หรือตำรวจไซเบอร์ และรีบทำการแจ้งเตือนนักลงทุนที่ได้รับผลกระทบจากเหตุการณ์นี้ในวันที่ 26 กรกฎาคม 2569

นายถิรพันธุ์ สรรพกิจ รองผู้จัดการ หัวหน้าสายงานเทคโนโลยีสารสนเทศตลาดหลักทรัพย์แห่งประเทศไทย (SET) และในฐานะ IT ที่ดูแลระบบ TSD กล่าวว่า ขณะนี้ขั้นตอนการหยุดแฮกข้อมูลได้ทำสำเร็จแล้ว พร้อมทั้งได้ดำเนินการแก้ไขโค้ดที่เป็นต้นเหตุของปัญหาและนำ AI มาช่วยตรวจสอบและสแกนโค้ดของระบบทั้งหมดในกลุ่มตลาดหลักทรัพย์แห่งประเทศไทยเพื่อค้นหาช่องโหว่และป้องกันไม่ให้เกิดเหตุการณ์ในลักษณะเดียวกันอีก

หลังจากนี้จะทำการพัฒนาไปอยู่บนแอปวิเศษ (wiset)ของตลาดหลักทรัพย์ ที่เพิ่งเปิดให้บริการเมื่อต้นปีนี้ เนื่องจากเป็นระบบที่ใข้เทคโนโลยีใหม่สุดและมีความปลอดภัยขั้นสูง

พ.ต.ท.พากฤต กฤตยพงษ์  สารวัตรกลุ่มงานรักษาความมั่นคงปลอดภัยทางไซเบอร์ กองบังคับการตรวจสอบและวิเคราะห์อาชญากรรมทางเทคโนโลยี (บก. ตอท.) กล่าวว่า ขณะนี้ดำเนินการตรวจสอบและสอบสวนโจรกรรมที่แฮกข้อมูลว่าเป็นกลุ่มมิจฉาชีพคนไทยหรือต่างชาติ ซึ่งยังไม่สามารถให้ข้อมูลได้ สำหรับโทษผู้กระทำผิด เป็นไปตาม พ.ร.บ. คอมพิวเตอร์ ที่มีหลายมาตราที่เกี่ยวข้อง

ทั้งนี้ Statement จาก TSD ขอเน้นย้ำให้ผู้ที่ได้รับผลกระทบอย่าตื่นตระหนก เนื่องจากข้อมูลที่ถูกเข้าถึงยังไม่สามารถนำไปแก้ไขเปลี่ยนแปลงข้อมูลการถือครองหลักทรัพย์ในระบบหรือนำไปใช้ทำธุรกรรมซื้อขายหลักทรัพย์ได้ 

อย่างไรก็ตาม TSD ขอให้เพิ่มความระมัดระวัง และมีสติในการทำธุรกรรมต่าง ๆ โดยขอเตือนให้

• ระมัดระวังอีเมล ข้อความ SMS หรือการติดต่อทางโทรศัพท์ที่แอบอ้างเป็นหน่วยงานต่าง ๆ เพื่อหลอกขอข้อมูลส่วนบุคคล รหัสผ่าน หรือรหัสยืนยัน (OTP)

• ไม่คลิกลิงก์ ดาวน์โหลดไฟล์ หรือเปิดเอกสารจากผู้ส่งหรือแหล่งที่มาที่ไม่สามารถยืนยันได้

• ไม่เปิดเผยรหัสผ่าน รหัส OTP หรือข้อมูลส่วนบุคคลแก่บุคคลที่ติดต่อมาโดยไม่ทราบแหล่งที่มาหรือไม่สามารถยืนยันตัวตนได้

• เปลี่ยนรหัสผ่านของบัญชีออนไลน์เป็นประจำ และหลีกเลี่ยงการใช้รหัสเดียวกันกับหลายบริการ เพื่อช่วยลดความเสี่ยงจากการถูกนำข้อมูลไปใช้โดยมิชอบ

• ตรวจสอบความผิดปกติของบัญชีและธุรกรรมที่เกี่ยวข้องอย่างสม่ำเสมอ

• หากได้รับอีเมลจาก TSD ขอให้ตรวจสอบให้มั่นใจว่า เป็นอีเมลที่มาจาก SETContactCenter@set.or.th เท่านั้น และต้องไม่มีลิงก์ใด ๆ แนบไปด้วย

ทั้งนี้ TSD ขออภัยเป็นอย่างยิ่งต่อเหตุการณ์ที่เกิดขึ้นและขอยืนยันว่า จะเร่งดำเนินการปรับปรุงมาตรการรักษาความมั่นคงปลอดภัยของระบบ เพื่อสร้างความเชื่อมั่นและคุ้มครองข้อมูลส่วนบุคคลของผู้ใช้บริการอย่างสูงสุด