เช้าวันที่สำนักข่าวตื่นมาเจอข้อความของแฮกเกอร์

เช้าวันพฤหัสบดีที่ 29 ตุลาคม 2569 ผู้อ่านบางกอกโพสต์ หนังสือพิมพ์ภาษาอังกฤษที่รู้จักกันดีที่สุดของไทย เปิดเว็บไซต์แล้วไม่ได้เจอแค่ข่าว ภาพประกอบในหลายบทความถูกเปลี่ยนเป็นภาพพื้นดำพร้อมข้อความ "Stop The War" ลงชื่อ "d001" และพาดหัวอย่างน้อยหนึ่งบทความถูกแทนที่ด้วยข้อความถึงตัวหนังสือพิมพ์เองว่า "hello bangkokpost, you've been compromised" ตามด้วยคำอ้างว่ามี "สมาชิก 136,615 รายอยู่ในมือ" ตามภาพหน้าจอที่สำนักข่าวภาษาฝรั่งเศส Toute la Thaïlande บันทึกไว้

ข้อความที่ผู้โจมตีแทรกเข้ามายังอ้างต่อว่าเข้าถึงฐานข้อมูล แอปพลิเคชันเซิร์ฟเวอร์ และเว็บเซิร์ฟเวอร์ของหนังสือพิมพ์ได้ พร้อมไล่ตัวเลขสมาชิกเว็บไซต์ สมาชิกแบบเสียเงิน ผู้ใช้เว็บบอร์ด และบัญชีในระบบจัดการเนื้อหา (CMS) รวมถึงหมวดที่ผู้โจมตีระบุว่าเป็นผู้ใช้เว็บบอร์ด "เก่า" และบัญชี CMS "เก่า" ตามที่ Thai Hyper รายงานในวันเดียวกัน

ช่วงบ่ายวันเดียวกัน บางกอกโพสต์ออกแถลงการณ์ว่าเว็บไซต์เกิดขัดข้องทางเทคนิคช่วงสั้น ๆ หลังมีเนื้อหาที่ไม่ได้รับอนุญาตปรากฏบนหน้าแรกและหน้าอื่น ๆ ทีมเทคนิคเข้าดูแลความปลอดภัยของเว็บไซต์และกู้คืนการทำงานตามปกติอย่างรวดเร็ว และหลังตรวจสอบความปลอดภัยอย่างละเอียดแล้ว ยืนยันว่าไม่มีข้อมูลผู้อ่านหรือข้อมูลส่วนบุคคลใดถูกเข้าถึงหรือได้รับความเสียหาย พร้อมขออภัยผู้อ่านและแจ้งว่าจะให้ข้อมูลเพิ่มเติมต่อไป

เรื่องเดียวกัน สองส่วน แต่ยืนยันแล้วเพียงส่วนเดียว

ควรแยกเหตุการณ์นี้ออกเป็นสองส่วนให้ชัด การที่หน้าเว็บถูกแก้ไขเป็นข้อเท็จจริงที่บางกอกโพสต์ยอมรับเอง แต่คำอ้างเรื่องข้อมูลสมาชิกยังไม่ได้รับการยืนยัน มาจากฝั่งผู้โจมตีเพียงฝ่ายเดียว ยังไม่มีรายงานหลักฐานสาธารณะใดสนับสนุน และหนังสือพิมพ์ยืนยันว่าข้อมูลส่วนบุคคลไม่ถูกแตะต้อง ผู้อ่านบางกอกโพสต์จึงไม่จำเป็นต้องตื่นตระหนก และบทความนี้ไม่ได้มีเจตนาจะบอกว่าข้อมูลของพวกเขาถูกขโมยไป

ถึงอย่างนั้น รูปแบบของคำอ้างก็น่าศึกษา เพราะผู้โจมตีเขียนข้อความแบบนี้เพื่อสร้างความกลัวให้ได้มากที่สุด พวกเขาไม่ได้หยุดแค่ "เราเจาะเข้ามาได้" แต่ไล่รายการให้เห็นทั้งสมาชิก ลูกค้าที่จ่ายเงิน ผู้ใช้เว็บบอร์ด และบัญชีจากระบบที่บริษัทเลิกใช้ไปหลายปีแล้ว รายการแบบนี้ใช้ข่มขู่ได้ผล ก็เพราะแทบทุกองค์กรที่ออนไลน์มานานสิบปีขึ้นไปล้วนเก็บข้อมูลลักษณะนี้ไว้ และมักเก็บไว้นานเกินกว่าที่ใครจะยังต้องใช้

เรื่องนี้หมายความว่าอย่างไรกับบริษัทของคุณ

• แค่คำอ้างก็มีต้นทุนแล้ว ต่อให้ไม่มีข้อมูลหลุดออกไปเลย บริษัทก็ต้องเสียเวลาเป็นวันหรือมากกว่านั้นไปกับการตรวจสอบ การออกแถลงการณ์ และการตอบลูกค้าที่กังวล ยิ่งคุณบอกได้เร็วว่าองค์กรเก็บข้อมูลส่วนบุคคลอะไรไว้ที่ไหนบ้าง ก็ยิ่งตอบได้อย่างมั่นใจเร็วขึ้น
• ข้อมูลเก่าคือสิ่งที่ถูกใช้ขู่ได้ง่ายที่สุด บัญชีจากเว็บบอร์ดที่ปิดไปแล้ว ผู้ใช้จากแพลตฟอร์มเว็บไซต์รุ่นก่อน รายชื่อจดหมายข่าวจากแคมเปญที่จบไปหลายปี หรือสำเนาฐานข้อมูลสมาชิกที่ใช้ทดสอบ ข้อมูลที่ไม่ได้ใช้แล้วก็ยังถูกขโมย หรือถูกอ้างว่าขโมยไปได้เหมือนเดิม
• PDPA กำหนดให้ลบอยู่แล้ว มาตรา 37 ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลกำหนดให้ผู้ควบคุมข้อมูลจัดให้มีระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือเมื่อข้อมูลไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ที่เก็บมา อ่านเพิ่มเติมได้ที่ข้อกำหนด PDPAเรื่องการทำลายข้อมูลในอุปกรณ์ที่เลิกใช้
• การย้ายระบบคือจุดที่ข้อมูลเก่ามักถูกทิ้งไว้ เมื่อบริษัทย้ายไปใช้แพลตฟอร์มใหม่ เซิร์ฟเวอร์ฐานข้อมูลเดิมและดิสก์สำรองข้อมูลมักถูกถอดปลั๊กเก็บไว้ "เผื่อได้ใช้" แต่การปิดเครื่องไม่ได้ลบข้อมูลออกจากดิสก์แม้แต่รายการเดียว

เก็บกวาดข้อมูลเก่าแบบทำได้จริง

1. ทำแผนที่ทุกจุดที่มีข้อมูลลูกค้าและสมาชิก ทั้งฐานข้อมูลที่ใช้งานอยู่ แพลตฟอร์มเดิม เว็บบอร์ดเก่า เครื่องมือส่งจดหมายข่าว ระบบทดสอบ ดิสก์สำรองข้อมูลและ NAS รวมถึงโน้ตบุ๊กที่พนักงานเคยส่งออกรายชื่อไว้
2. ตัดสินใจทีละจุดว่ายังจำเป็นต้องใช้ ต้องเก็บไว้ตามกฎหมายเท่านั้น หรือไม่จำเป็นแล้ว และกำหนดระยะเวลาเก็บรักษาเป็นลายลักษณ์อักษร
3. ลบบัญชีและชุดข้อมูลที่ไม่ต้องใช้แล้ว ปิดบัญชีผู้ดูแลระบบและบรรณาธิการที่ไม่มีใครใช้ และปลดระวางระบบที่เคยเก็บข้อมูลเหล่านั้น แทนที่จะปล่อยให้รันต่อหรือปิดเครื่องทิ้งไว้ในตู้แร็ก
4. เมื่อฮาร์ดแวร์เหล่านั้นเลิกใช้งาน ต้องจัดการสื่อบันทึกข้อมูลให้ถูกต้อง ใช้บริการทำลายข้อมูลเซิร์ฟเวอร์สำหรับเซิร์ฟเวอร์ฐานข้อมูลและแอปพลิเคชันที่ปลดระวาง ส่งดิสก์ที่ถอดออกมาและดิสก์สำรองข้อมูลเก่าไปทำลายฮาร์ดดิสก์และ SSD และรวมทั้งหมดไว้ในโครงการกำจัดสินทรัพย์ไอทีครั้งเดียว พร้อมหนังสือรับรองทุกเครื่อง

สำหรับงานเคลียร์อุปกรณ์จำนวนมาก ช่างของเราเข้าไปที่สำนักงานของคุณในกรุงเทพฯ ได้ ถอดเซิร์ฟเวอร์และอุปกรณ์เครือข่ายออกจากแร็ก ขนย้ายคอมพิวเตอร์ตั้งโต๊ะและโน้ตบุ๊กเก่า และจัดทำบัญชีรายการทุกชิ้นที่นำออกไป อุปกรณ์ทุกเครื่องที่มีสื่อบันทึกข้อมูลจะผ่านการลบข้อมูลแบบมีใบรับรองก่อน และมีบริการทำลายทางกายภาพเมื่อดิสก์ไม่สามารถยืนยันได้ว่าสะอาดหรือนโยบายของคุณกำหนดไว้ พร้อมหลักฐานภาพถ่ายและวิดีโอ ทุกเครื่องได้รับหนังสือรับรองการทำลายข้อมูลหรือการลบข้อมูล ระบุหมายเลขซีเรียล วิธีการ และวันที่ เรารับจัดการเฉพาะอุปกรณ์อิเล็กทรอนิกส์เท่านั้น ไม่รับทำลายเอกสารกระดาษ

คำตอบที่ดีที่สุดต่อคำขู่ว่า "ข้อมูลสมาชิกของคุณอยู่ในมือเรา" คือการแสดงให้เห็นได้ว่าข้อมูลเก่าเหล่านั้นไม่มีอยู่แล้ว ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เราจะลบหรือทำลายข้อมูลในดิสก์ของระบบที่ปลดระวางให้หมดไปอย่างถาวร เพื่อให้บริษัทของคุณไม่ต้องกังวลว่าผู้โจมตีจะเจออะไรในนั้น

ที่มา: Bangkok Post, "Bangkok Post secures website following brief disruption" (29 ต.ค. 2569); Toute la Thaïlande, "Bangkok Post piraté en Thaïlande : le journal dément la fuite de 136 615 comptes" (29 ต.ค. 2569); Thai Hyper (Thailand Hyperlinks), รายงานเหตุการณ์เว็บไซต์บางกอกโพสต์ (29 ต.ค. 2569)

A Newsroom Wakes Up to a Hacker's Message

On the morning of Thursday 29 October 2026, readers of the Bangkok Post, Thailand's best-known English-language daily, found something other than the news on its website. Photos on several articles had been swapped for a black image reading "Stop The War" and signed "d001", and at least one headline had been replaced with a message addressed to the paper itself: "hello bangkokpost, you've been compromised", followed by a claim of "136,615 members in hand", as documented in screenshots by the French-language news site Toute la Thaïlande.

The text the attacker inserted went further. It claimed access to the paper's database, application servers and web server, and listed counts of website members, paying subscribers, forum users and content-management accounts, including categories it labelled as "old" forum users and "old" CMS accounts, as reported the same day by Thai Hyper.

By the early afternoon, the Post had issued a statement. It said its website suffered a brief technical disruption after unauthorised content appeared on the homepage and other pages, that its technical team moved quickly to secure the site and restore normal operations, and that a thorough security review confirmed no reader information or personal data had been accessed or compromised. The paper apologised to readers and promised further updates.

Two Stories, and Only One of Them Is Confirmed

It matters to keep the two halves of this incident apart. The defacement is confirmed; the Bangkok Post acknowledged it. The data claim is not. It comes only from the attacker, no public evidence has been reported that backs it up, and the newspaper says no personal data was touched. Nothing here suggests the Post's readers should panic, and nothing in this article should be read as saying their data was taken.

Still, the shape of the claim is worth studying, because attackers write these messages to cause the most fear possible. They rarely stop at "we got in". They itemise the members, the paying customers, the forum users and the accounts from systems a company stopped using years ago. That kind of list works as a threat precisely because almost every organisation that has been online for a decade or more holds data just like it, often long after anyone has a reason to keep it.

What This Means for Your Company

• A claim alone has a cost. Even when no data leaves the building, the company loses a day or more to investigation, public statements and anxious customer messages. The faster you can show exactly what personal data you hold and where it sits, the faster you can answer with confidence.
• Old data is the easiest thing to threaten you with. Accounts from a forum you closed, users from a previous website platform, a newsletter list from a campaign that ended years ago, a test copy of the member database: data you no longer use is still data someone can steal, or claim to have stolen.
• The PDPA already expects you to let it go. Section 37 of the Personal Data Protection Act requires data controllers to have a system for erasing or destroying personal data once its retention period ends or it is no longer needed for the purpose it was collected for. Our guide to PDPA data destruction requirements explains what that means for retired hardware.
• Migrations are where old data gets left behind. When a company moves to a new platform, the old database server and its backup drives are often unplugged and kept "just in case". Switching a machine off does not remove a single record from its disks.

A Practical Old-Data Clean-Up

1. Map every place customer and member data lives: the live database, previous platforms, old forums, newsletter tools, staging and test copies, backup drives and NAS units, and laptops where staff once exported lists.
2. For each one, decide whether it is still needed, needed only for a legal retention period, or not needed at all, and write the retention period down.
3. Delete the accounts and datasets you no longer need, close dormant administrator and editor logins, and decommission the systems that held them instead of leaving them running, or switched off in a rack.
4. When that hardware leaves service, make sure its storage is properly dealt with: server data destruction for retired database and application servers, hard drive and SSD destruction for loose disks and old backup drives, all handled as a single IT asset disposal project with a certificate for every device.

For larger clear-outs, our technician can come to your Bangkok office to unrack servers and networking equipment, remove old desktops and laptops, and record a full inventory of every item taken away. Every device with storage is securely erased and certified first, with physical destruction available when a drive cannot be verified clean or your policy requires it, backed by photo and video evidence. Each device gets a Certificate of Data Destruction or Certified Erasure showing its serial number, the method and the date. We handle devices only; we do not shred paper.

The strongest answer to "we have your members" is being able to show that the old data no longer exists. Get an instant quote or call 082-797-3702, and we will make sure the drives behind your retired systems are wiped or destroyed for good, so your company never has to wonder what an attacker might find on them.

Sources: Bangkok Post, "Bangkok Post secures website following brief disruption" (29 Oct 2026); Toute la Thaïlande, "Bangkok Post piraté en Thaïlande : le journal dément la fuite de 136 615 comptes" (29 Oct 2026); Thai Hyper (Thailand Hyperlinks), report on the Bangkok Post website incident (29 Oct 2026).

แพลตฟอร์มฟรีแลนซ์ไทยแจ้งว่าเลขบัตรประชาชนผู้ใช้ถูกคัดลอกออกไป

บริษัท เช้นจ์ซี จำกัด ผู้ให้บริการแพลตฟอร์มจ้างงานฟรีแลนซ์ Fastwork แจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อผู้ใช้งาน หลังถูกโจมตีทางไซเบอร์เมื่อวันที่ 13 ตุลาคม 2569 ตามประกาศของบริษัทที่โพสต์จังนำมาเรียบเรียงเมื่อวันที่ 23 ตุลาคม ผู้โจมตีจากภายนอกใช้ IP หลายหมายเลขจากต่างประเทศ เริ่มส่งคำสั่งโจมตีฐานข้อมูลและดึงข้อมูลออกตั้งแต่เวลา 00.37 น. ทีมวิศวกรตรวจพบความผิดปกติเวลา 08.32 น. ปิดระบบเวลา 09.38 น. แก้ช่องโหว่เสร็จเวลา 13.13 น. และเปิดเว็บไซต์กับแอปอีกครั้งเวลา 14.58 น.

ณ วันที่ 22 ตุลาคม Fastwork ระบุว่าข้อมูลของผู้ใช้งานบางรายที่อาจได้รับผลกระทบ ได้แก่

• เลขประจำตัวประชาชน 13 หลัก
• ชื่อและนามสกุล
• หมายเลขโทรศัพท์
• อีเมล

บริษัทระบุว่าไม่พบการเข้าถึงไฟล์ภาพบัตรประชาชนของผู้ใช้งานโดยตรง ยังไม่พบการเรียกค่าไถ่หรือการเผยแพร่ข้อมูล ได้แจ้งเหตุต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) แล้วเมื่อวันที่ 15 ตุลาคม ปิดฟังก์ชันที่มีช่องโหว่ และให้ผู้เชี่ยวชาญภายนอกตรวจพิสูจน์หลักฐานอย่างอิสระ พร้อมเตือนว่าข้อมูลที่หลุดอาจถูกนำไปแอบอ้างสมัครใช้บริการ เปิดบัญชี ขอสินเชื่อ หรือลงทะเบียนเบอร์มือถือ รวมถึงใช้ทำให้การหลอกลวงทางโทรศัพท์ SMS และอีเมลดูน่าเชื่อถือขึ้น

เรื่องนี้หมายความว่าอย่างไรกับคุณ

ชื่อ เบอร์โทร และเลขบัตรประชาชนรวมกัน คือชุดข้อมูลที่แก๊งคอลเซ็นเตอร์อยากได้ที่สุด เพราะ "เจ้าหน้าที่ธนาคาร" "ตำรวจ" หรือ "พนักงาน Fastwork" ตัวปลอม สามารถอ่านข้อมูลของคุณให้คุณฟังได้ทันที จนฟังดูเป็นทางการทุกอย่าง และขั้นต่อไปมักเหมือนกันเสมอ คือขอให้ส่งรูปบัตรประชาชน ถ่ายเซลฟี่คู่บัตร ติดตั้งแอป หรือกดลิงก์เพื่อ "ยืนยันตัวตน"

• อย่าส่งรูปบัตรหรือเซลฟี่คู่บัตรให้ใครที่โทรมาหาคุณ Fastwork ยืนยันว่าจะไม่ขอรหัสผ่าน OTP หรือ PIN ไม่ว่ากรณีใด และจะติดต่อผู้ใช้ผ่านอีเมล dpo@fastwork.co และ SMS ที่แสดงชื่อผู้ส่ง Fastwork เท่านั้น
• ตรวจว่ามีอะไรผูกอยู่กับชื่อคุณบ้าง บริษัทแนะนำให้ตรวจข้อมูลเครดิตกับบริษัท ข้อมูลเครดิตแห่งชาติ ตรวจเบอร์มือถือที่ลงทะเบียนในชื่อตัวเอง และติดต่อค่ายมือถือทันทีถ้าซิมหยุดทำงานโดยไม่ทราบสาเหตุ
• เปิดการยืนยันตัวตนสองขั้นตอนให้อีเมล เพราะอีเมลของคุณก็อยู่ในรายการที่หลุดด้วย
• แจ้งความเมื่อพบการนำข้อมูลไปใช้ เก็บหลักฐานไว้ และติดต่อ DPO ของบริษัทหากได้รับความเสียหาย

สำเนาบัตรประชาชนที่ยังอยู่ในมือคุณ

เราดึงเลขบัตรประชาชนคืนจากแฮกเกอร์ไม่ได้ แต่สิ่งที่ยังควบคุมได้คือข้อมูลที่ทำให้เลข 13 หลักกลายเป็นตัวตนที่ใช้งานได้จริง เช่น รูปถ่ายบัตรประชาชน เซลฟี่คู่บัตรที่ถ่ายไว้ยืนยันบัญชี สำเนาทะเบียนบ้านที่เคยส่งทาง LINE รวมถึงสัญญาและใบเสร็จที่มีเลขบัตรของคุณ สำหรับฟรีแลนซ์ กองเอกสารนี้มักใหญ่กว่าคนทั่วไป เพราะทุกงานมีสัญญา ใบแจ้งหนี้ และหนังสือรับรองการหักภาษี ณ ที่จ่าย ซึ่งหลายฉบับยังอยู่ในโน้ตบุ๊กเครื่องเก่าหรือในอัลบั้มรูปมือถือ

เมื่อมือถือเครื่องเก่าถูกขาย ส่งต่อให้ญาติ หรือทิ้งไว้ที่ร้านซ่อม ไฟล์ทั้งหมดก็ติดไปด้วย ถ้าไม่ได้ล้างข้อมูลอย่างถูกวิธี และการรีเซ็ตแบบเร็วๆ ก็ลบได้ไม่แน่นอนเสมอไป อย่างที่เราอธิบายไว้ในบทความทำไมแค่รีเซ็ตเครื่องไม่พอ

1. ค้นอัลบั้มรูป โฟลเดอร์ดาวน์โหลด และแชต LINE หารูปบัตรประชาชนและเซลฟี่คู่บัตร แล้วลบรูปที่ไม่จำเป็นต้องเก็บ
2. เอกสารที่ต้องเก็บจริงๆ ให้รวมไว้ในที่เดียวที่มีการป้องกัน แทนที่จะกระจายอยู่ในอุปกรณ์เก่าหลายเครื่อง
3. ก่อนมือถือ แท็บเล็ต หรือโน้ตบุ๊กเก่าจะออกจากบ้าน ให้สำรองสิ่งที่ต้องเก็บ ออกจากระบบ LINE และแอปธนาคาร ลบเครื่องออกจากบัญชี Apple หรือ Google ถอดซิมออก แล้วล้างข้อมูลอย่างถูกวิธีหรือทำลายข้อมูลทิ้ง

บริการลบข้อมูลส่วนบุคคลของเราลบ LINE และแอปโซเชียล แอปธนาคาร รหัสผ่านที่บันทึกไว้ รูปภาพ และรูปบัตรประชาชน ออกจากมือถือ แท็บเล็ต โน้ตบุ๊ก และคอมพิวเตอร์ตั้งโต๊ะอย่างถาวร พร้อมหนังสือรับรองทุกเครื่อง เลือกได้ว่าจะล้างข้อมูลแล้วรับเครื่องคืน หรือให้ทำลายข้อมูลแล้วนำเครื่องไปบริจาคหรือรีไซเคิล โดยไม่นำไปขายต่อ ถ้ามีแค่เครื่องเดียว ดูรายละเอียดได้ที่บริการทำลายข้อมูลมือถือและบริการลบข้อมูลโน้ตบุ๊ก ส่งอุปกรณ์มาได้จากทุกจังหวัด หรือนัดให้ไปรับถึงบ้านในกรุงเทพฯ

ถ้าข่าว Fastwork ทำให้คุณนึกขึ้นได้ว่ายังมีสำเนาบัตรประชาชนค้างอยู่ในอุปกรณ์เก่าอีกกี่เครื่อง ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เพื่อให้มิจฉาชีพรายต่อไปที่รู้ชื่อคุณ ไม่มีอะไรเพิ่มให้ใช้

ที่มา: โพสต์จัง, "Fastwork แจ้งเหตุข้อมูลส่วนบุคคลรั่วไหล หลังถูกโจมตีไซเบอร์ 13 ต.ค." (23 ต.ค. 2569) เรียบเรียงจากประกาศแจ้งเหตุของบริษัท เช้นจ์ซี จำกัด ณ วันที่ 22 ต.ค. 2569

A Thai Freelance Platform Says User ID Numbers Were Copied

ChangeC Co., Ltd., the company behind the Thai freelance marketplace Fastwork, has notified users of a personal data breach after a cyberattack on 13 October 2026. According to the company's notice, as reported by Postjung on 23 October, an outside attacker using several foreign IP addresses began sending attack commands to its database and pulling data out from 00:37 that night. Engineers spotted the problem at 08:32, shut the system down at 09:38, fixed the vulnerability by 13:13 and brought the website and app back at 14:58.

As of 22 October, Fastwork said the data that may have been taken from some users' accounts is:

• 13-digit national ID numbers
• first names and surnames
• phone numbers
• email addresses

The company said it found no direct access to users' ID card image files, and had seen no ransom demand and no publication of the data. It reported the breach to the Personal Data Protection Committee office (PDPC) on 15 October, has hired outside security experts for an independent forensic review, and has closed the vulnerable function. It also warned that the stolen details could be used to impersonate users when applying for services, opening accounts, taking out loans or registering mobile numbers, and to make scam calls, texts and emails look convincing.

What This Means for You

A name, phone number and ID number together are exactly what a Thai scam caller wants. With them, a fake "bank officer", "police officer" or "Fastwork staff member" can read your own details back to you and sound completely official. The next step is almost always the same: send a photo of your ID card, take a selfie holding it, install an app, or click a link to "verify" yourself.

• Do not send ID photos or selfies to anyone who calls you. Fastwork says it will never ask for your password, OTP or PIN, and will only contact users from dpo@fastwork.co and by SMS showing the sender name Fastwork.
• Check what is registered in your name. The company suggests checking your credit report with the National Credit Bureau, checking which mobile numbers are registered to your ID, and calling your network straight away if your SIM suddenly stops working.
• Turn on two-step verification for your email, since your email address is on the list too.
• Report misuse. Keep evidence, file a police report, and contact the company's DPO if you suffer a loss.

The Copies of Your ID You Still Control

You cannot pull your ID number back from a hacker. What you can control is the much richer material that turns an ID number into a working identity: the photos of your ID card, the selfie-with-ID you took to verify an account, the house registration scan you sent over LINE, and the contracts and receipts that carry your ID number. For freelancers this pile is usually bigger than most people's, because jobs come with signed contracts, invoices and withholding tax certificates, many of them sitting on an old laptop or in a phone's camera roll.

When that old phone gets sold, handed to a relative or left with a repair shop, all of those files go with it unless the device is wiped properly. A quick reset does not always remove them, as we explain in why a factory reset is not enough.

1. Search your phone gallery, downloads and LINE chats for ID card photos and selfies-with-ID, and delete the ones you no longer need.
2. Keep the documents you must keep in one protected place, rather than scattered across old devices.
3. Before any old phone, tablet or laptop leaves your home, back up what matters, sign out of LINE and banking apps, remove it from your Apple or Google account, take out the SIM, then have it properly wiped or its data destroyed.

Our personal data wipe service permanently removes LINE and social apps, banking apps, saved passwords, photos and ID card scans from phones, tablets, laptops and desktops, with a certificate for each device. You can choose a wipe-and-return, or have the data destroyed and the hardware donated or recycled, never resold. For single devices, see our phone data destruction and laptop data wipe pages. Ship to us from anywhere in Thailand, or request a pickup in Bangkok.

If the Fastwork notice made you think about how many copies of your ID card are still sitting on old devices, get an instant quote or call 082-797-3702, and we will make sure the next scammer who knows your name finds nothing more to work with.

Sources: Postjung, "Fastwork notifies personal data breach after 13 Oct cyberattack" (23 Oct 2026), summarising ChangeC Co., Ltd.'s breach notice of 22 Oct 2026.

เตือนภัยทั้งประเทศ เพราะช่องโหว่ในภาษาที่อยู่เบื้องหลังเว็บไซต์ส่วนใหญ่

วันที่ 22 ตุลาคม 2569 หน่วยงานไซเบอร์ของไทยเร่งรับมือช่องโหว่ร้ายแรง 2 รายการใน PHP ภาษาโปรแกรมที่ใช้สร้างเว็บไซต์จำนวนมหาศาลทั่วโลก ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ภายใต้ สกมช. ออกประกาศแจ้งเตือนว่าช่องโหว่ CVE-2026-109618 และ CVE-2026-109619 หรือที่เรียกกันว่า "PHP2Shell" เปิดทางให้ผู้โจมตีที่ไม่มีบัญชีผู้ใช้ส่งคำขอที่สร้างขึ้นเป็นพิเศษ เพื่อรันคำสั่งบนเว็บเซิร์ฟเวอร์และควบคุมระบบจากภายนอกได้ ทั้งสองรายการได้คะแนน CVSS v4.0 สูงถึง 9.2 และมีโค้ดสาธิตการโจมตี (PoC) เผยแพร่สู่สาธารณะแล้ว

ในวันเดียวกัน ศ.ดร.ยศชนัน วงศ์สวัสดิ์ รองนายกรัฐมนตรีและ รมว.อว. สั่งให้มหาวิทยาลัยและโรงพยาบาลโรงเรียนแพทย์ไล่ตรวจทุกระบบที่ใช้ PHP โดยเริ่มจากระบบข้อมูลผู้ป่วยและฐานข้อมูลนักศึกษา ขณะที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) แนะนำให้ผู้ดูแลเว็บไซต์อัปเดตระบบ ตรวจ log หาความผิดปกติ และเข้าสู่ขั้นตอนรับมือเหตุละเมิดข้อมูลทันทีหากสงสัยว่าข้อมูลรั่ว ตามรายงานของบางกอกโพสต์ ซึ่งระบุด้วยว่าทีมวิจัยของ OpenAI พบช่องโหว่นี้ตั้งแต่เดือนสิงหาคมและเก็บเป็นความลับจนกว่าแพตช์จะพร้อม และถ้อยแถลงของทางการเป็นมาตรการป้องกัน ยังไม่มีการยืนยันว่ามีข้อมูลในไทยรั่วไหลจาก PHP2Shell

เวอร์ชันที่แก้ไขแล้วคือ PHP 8.2.35, 8.3.36, 8.4.27 และ 8.5.12 ขึ้นไป ส่วน PHP 8.1 และเก่ากว่าหมดระยะการสนับสนุนแล้ว ไม่มีแพตช์จากโครงการ PHP โดยตรง ThaiCERT จึงแนะนำให้ย้ายไปใช้รุ่นที่ยังได้รับการสนับสนุน หรือใช้แพตช์จาก Linux Distribution หรือผู้ให้บริการ Extended Support และเมื่อวันที่ 23 ตุลาคม ThaiCERT ยังแจ้งเตือนช่องโหว่ใหม่ CVE-2026-115560 ในการจัดการ Session ของ PHP ที่ยังไม่มีแพตช์ พร้อมย้ำให้ปิด Session Upload Progress ไว้ชั่วคราว ตามที่ THAI DATA สรุปไว้

ข้อความในประกาศที่หลายบริษัทมักมองข้าม

ThaiCERT ขอให้องค์กรตรวจเวอร์ชัน PHP ในทุกระบบที่มี ทั้ง Web Server, Application Server, Container, Hosting Control Panel ผลิตภัณฑ์สำเร็จรูปที่มี PHP อยู่ข้างใน และระบบสำรอง ส่วนเครื่องที่ยังแพตช์ไม่ได้และใช้มาตรการชั่วคราวไม่ได้ ให้พิจารณาแยกออกจากอินเทอร์เน็ต หรือจำกัดให้เข้าได้เฉพาะ IP ที่อนุญาต

สำหรับเว็บไซต์หลักที่ฝ่ายการตลาดอัปเดตทุกสัปดาห์ เรื่องนี้ไม่ยาก แต่สำหรับระบบที่ไม่มีใครจำได้แล้วนั้นยากกว่ามาก ไม่ว่าจะเป็นไมโครไซต์แคมเปญปี 2562 ที่ยังรันอยู่บนเซิร์ฟเวอร์สำรอง อินทราเน็ตหรือพอร์ทัลฝ่ายบุคคลที่ยังใช้ PHP 7 เว็บร้านค้าเวอร์ชันทดสอบที่ใช้ฐานข้อมูลลูกค้าจริง หรือเครื่องสำรองข้อมูลที่ยังเปิดพอร์ต 80 อยู่ เครื่องเหล่านี้คือกลุ่มที่มักใช้ PHP รุ่นหมดอายุ และเป็นกลุ่มเดียวกับที่เก็บข้อมูลฟอร์ม บัญชีผู้ใช้ และข้อมูลลูกค้าสะสมมานานหลายปี

เรื่องนี้หมายความว่าอย่างไรกับบริษัทของคุณ

• เซิร์ฟเวอร์ที่ถูกลืมทุกเครื่องกลายเป็นคำถามที่ต้องตอบ ถ้าคุณบอกไม่ได้ว่าเครื่องไหนใช้ PHP รุ่นอะไร ใครเป็นเจ้าของ และเก็บข้อมูลอะไรไว้ คุณก็แพตช์ได้ไม่มั่นใจ และพิสูจน์ไม่ได้ว่าไม่มีใครเข้าไปแตะต้อง
• บางระบบควรปลดระวาง ไม่ใช่แพตช์ ถ้าเว็บหรือพอร์ทัลไหนไม่มีเจ้าของงานและไม่มีเหตุผลทางธุรกิจที่จะเปิดต่อ วิธีแก้ PHP2Shell ที่ประหยัดที่สุดคือปิดระบบไปเลย การย้ายแอป PHP 7 ที่ถูกทิ้งไว้ขึ้นรุ่นใหม่เพียงเพื่อให้มันอยู่ต่อแทบไม่คุ้ม
• ปิดเครื่องไม่เท่ากับลบข้อมูล เซิร์ฟเวอร์ที่ถอดปลั๊กไว้ในห้องเก็บของยังมีฐานข้อมูล โฟลเดอร์อัปโหลด และไฟล์สำรองอยู่ครบในดิสก์ ตามข้อกำหนด PDPA ข้อมูลส่วนบุคคลเหล่านั้นยังเป็นความรับผิดชอบของบริษัทจนกว่าจะมีหลักฐานว่าถูกทำลายแล้ว
• ผู้กำกับดูแลจับตาเหตุข้อมูลรั่วอย่างใกล้ชิด เมื่อวันที่ 21 ตุลาคม สคส. เปิดเผยกับสื่อว่าได้รับแจ้งเหตุละเมิดข้อมูลส่วนบุคคลรวม 1,650 เรื่อง ตั้งแต่ปี 2566 ถึง 31 พฤษภาคม 2569 โดยกลุ่มการเงิน การลงทุน และการประกันแจ้งเหตุมากที่สุด ตามรายงานของผู้จัดการออนไลน์

แผนเก็บกวาดหลัง PHP2Shell แบบทำได้จริง

1. ทำบัญชีทุกเครื่องและทุก Container ที่ให้บริการ PHP รวมถึงเว็บที่จ้างภายนอกทำ ระบบทดสอบ และเครื่องสำรอง บันทึกเวอร์ชัน ผู้รับผิดชอบ และข้อมูลส่วนบุคคลที่แต่ละเครื่องเก็บไว้
2. แพตช์ระบบที่ยังต้องใช้ เริ่มจากระบบที่เปิดออกอินเทอร์เน็ตและระบบที่เก็บข้อมูลลูกค้า ผู้ป่วย หรือนักศึกษา แล้ว Restart PHP Worker ตามคำแนะนำของ ThaiCERT
3. ระบบที่ไม่มีเจ้าของหรือไม่มีประโยชน์แล้ว ให้ส่งออกเฉพาะข้อมูลที่กฎหมายกำหนดให้เก็บ ปิดระบบออฟไลน์ และวางแผนปลดระวาง
4. เมื่อฮาร์ดแวร์เลิกใช้งาน ให้ใช้บริการทำลายข้อมูลเซิร์ฟเวอร์ เพื่อจัดการดิสก์ที่เก็บฐานข้อมูลเก่าเหล่านั้นอย่างถูกต้อง ส่งดิสก์ที่ถอดจากเว็บโฮสต์เก่าหรือ NAS ไปทำลายฮาร์ดดิสก์และ SSD และรวมการเปลี่ยนอุปกรณ์รอบใหญ่ไว้ในโครงการกำจัดสินทรัพย์ไอทีครั้งเดียว

สำหรับงานเซิร์ฟเวอร์ เรานัดรับเครื่องถึงสำนักงานของคุณในกรุงเทพฯ บันทึกหมายเลขซีเรียลตั้งแต่ตอนรับเครื่อง ดูแลห่วงโซ่การครอบครอง (chain of custody) ครบทุกขั้นตอนจนถึงการทำลาย และออกหนังสือรับรองการทำลายข้อมูลให้ทุกเครื่อง (ระบุหมายเลขซีเรียล วิธีการ และวันที่) พร้อมรายงานบัญชีอุปกรณ์ฉบับเต็ม มีหลักฐานภาพถ่ายและวิดีโอการทำลายทางกายภาพให้ด้วย เรารับจัดการเฉพาะอุปกรณ์อิเล็กทรอนิกส์เท่านั้น ไม่รับทำลายเอกสารกระดาษ

ถ้า PHP2Shell ทำให้ทีมของคุณเจอเซิร์ฟเวอร์ที่ลืมไปแล้ว ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เราจะทำลายข้อมูลในเครื่องที่ปลดระวางให้หมดไปอย่างถาวร พร้อมหนังสือรับรองไว้แสดงเมื่อถูกตรวจสอบ

ที่มา: ThaiCERT, "แจ้งเตือน พบช่องโหว่ PHP2Shell เสี่ยงถูกควบคุมเซิร์ฟเวอร์จากภายนอก" (22 ต.ค. 2569); Bangkok Post, "Thailand races to protect data after PHP alert" (22 ต.ค. 2569); รัฐบาลไทย, สกมช. รับมือช่องโหว่ PHP2Shell (22 ต.ค. 2569); THAI DATA, มาตรการรับมือ PHP2Shell ของไทย (22 ต.ค. ปรับปรุง 25 ต.ค. 2569); ผู้จัดการออนไลน์, "สคส. เคลียร์ใจสื่อ" (21 ต.ค. 2569)

A Nationwide Alert Over the Language Behind Most Websites

On 22 October 2026, Thailand's cyber agencies moved quickly on two critical flaws in PHP, the programming language that runs a large share of the world's websites. ThaiCERT, the response team under the National Cyber Security Agency (NCSA / สกมช.), warned that the bugs, tracked as CVE-2026-109618 and CVE-2026-109619 and nicknamed "PHP2Shell", can let an attacker with no account send crafted requests that run commands on a web server and take control of it from outside. Both carry a CVSS v4.0 score of 9.2, and ThaiCERT noted that proof-of-concept code is already public, according to its advisory.

The same day, Deputy Prime Minister and Higher Education Minister Yodchanan Wongsawat told universities and medical school hospitals to check every PHP system, starting with patient records and student databases, while the Personal Data Protection Committee office (PDPC) urged website administrators to patch, review their logs and follow breach procedures if anything looked wrong, as reported by the Bangkok Post. The Bangkok Post also noted that the flaws were found by OpenAI researchers in August and kept quiet until fixes were ready, and that the official statements were preventive: no confirmed Thai data breach had been linked to PHP2Shell at the time.

The fixed versions are PHP 8.2.35, 8.3.36, 8.4.27 and 8.5.12 or newer. PHP 8.1 and older are out of support and get no fix from the PHP project itself, so ThaiCERT advises moving them to a supported version or getting patches from a Linux distribution or extended-support provider. A day later, ThaiCERT flagged a further PHP session flaw, CVE-2026-115560, still without a patch, and repeated its advice to switch off session upload progress in the meantime, as summarised by Thai Data.

The Line in the Advisory Most Companies Will Skip

ThaiCERT asks organisations to check the PHP version on every system they own: web servers, application servers, containers, hosting control panels, packaged products with PHP inside, and backup systems. For machines that cannot be patched or protected with the temporary settings, it suggests cutting them off from the internet or restricting access to approved IP addresses.

That is easy for the website your marketing team updates every week. It is much harder for the systems nobody remembers: the 2019 campaign microsite still running on a spare server, the old intranet or HR portal on PHP 7, the staging copy of the e-commerce shop with a real customer database, the backup box that still answers on port 80. These are exactly the machines most likely to sit on an end-of-life PHP version, and exactly the ones that hold years of forms, logins and customer records.

What This Means for Your Company

• Every forgotten server is now an open question. If you cannot say which PHP version a machine runs, who owns it and what data it holds, you cannot patch it with confidence, and you cannot prove it was not touched.
• Some systems should be retired, not patched. If a site or portal has no business owner and no reason to exist, the cheapest fix for PHP2Shell is to decommission it. Migrating an abandoned PHP 7 application just to keep it alive rarely makes sense.
• Switching it off is not the same as deleting the data. A powered-down server in a storeroom still carries its databases, upload folders and backups on its drives. Under the PDPA data destruction requirements, that personal data remains your responsibility until its destruction is documented.
• The regulator is watching breaches closely. On 21 October the PDPC told journalists it had received 1,650 personal data breach notifications from 2023 to 31 May 2026, with the finance, investment and insurance sector reporting the most, according to MGR Online.

A Practical PHP2Shell Clean-Up Plan

1. Run an inventory of every machine and container that serves PHP, including outsourced sites, test copies and backup servers, and record the version, owner and the personal data each one holds.
2. Patch the systems you still need, starting with internet-facing ones and those holding customer, patient or student data, then restart PHP workers as ThaiCERT advises.
3. For systems with no owner or purpose, export what you are legally required to keep, take them offline and plan their retirement.
4. When the hardware leaves service, book server data destruction so the drives behind those old databases are dealt with properly, send loose disks from old web hosts and NAS boxes for hard drive and SSD destruction, and fold a wider refresh into one IT asset disposal project.

For server jobs we can collect from your Bangkok office, log serial numbers on collection, keep a full chain of custody through destruction, and issue a Certificate of Data Destruction for each server (serial number, method and date) with a full inventory report. Photo and video evidence of the physical destruction is available. We handle devices only; we do not shred paper.

If PHP2Shell has turned up servers your team had forgotten about, get an instant quote or call 082-797-3702, and we will make sure the data on those retired machines is destroyed for good, with the certificates to show for it.

Sources: ThaiCERT, PHP2Shell advisory (22 Oct 2026); Bangkok Post, "Thailand races to protect data after PHP alert" (22 Oct 2026); Royal Thai Government, NCSA response to PHP2Shell (22 Oct 2026); Thai Data, PHP2Shell measures in Thailand (22 Oct, updated 25 Oct 2026); MGR Online, PDPC media briefing (21 Oct 2026).

สคส. ชี้ชัด: ข้อมูลในระบบ AI ก็คือข้อมูลส่วนบุคคล

เมื่อวันที่ 7 ตุลาคม 2569 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เผยแพร่ "แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์" ฉบับ 1.0 ความยาว 80 หน้า จัดทำร่วมกับสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) และออกตามมาตรา 16 (3) ของ PDPA ตามรายงานของ THAI DATA และ ฐานเศรษฐกิจ (13 ต.ค.)

แนวทางนี้ครอบคลุม Analytic AI, Generative AI และ Agentic AI ตลอดวงจรชีวิตของระบบ ตั้งแต่วางแผน เตรียมข้อมูล ฝึกโมเดล ใช้งาน ไปจนถึงการยุติการใช้งานระบบ แม้เป็นคำแนะนำที่ไม่มีสภาพบังคับทางกฎหมาย แต่สะท้อนชัดว่าหน่วยงานกำกับมองการใช้ AI ภายใต้ PDPA อย่างไร

4 ประเด็นที่ฝ่ายไอทีต้องรู้

• Prompt, Log, Embedding และผลลัพธ์ อาจเป็นข้อมูลส่วนบุคคล หากยังระบุตัวบุคคลได้ทั้งทางตรงหรือทางอ้อม ไม่ใช่แค่ฐานข้อมูลลูกค้าต้นทาง
• โมเดลที่ฝึกด้วยข้อมูลส่วนบุคคลไม่ถือเป็นข้อมูลนิรนามโดยอัตโนมัติ เพราะข้อมูลอาจถูกสกัดออกจากค่าน้ำหนักของโมเดล หรือหลุดออกมาในผลลัพธ์ได้
• ข้อจำกัดทางเทคนิคไม่ได้ยกเว้นสิทธิขอลบข้อมูล ระบบ RAG ควรลบรายการออกจาก Vector Database ได้ และต้องคัดข้อมูลออกจาก Cache และชุดข้อมูล Fine-tuning ส่วนข้อมูลที่ฝังในโมเดลแล้ว หากทำ Machine Unlearning ไม่ได้ ให้ใช้มาตรการทดแทน เช่น Output Filtering
• ลบในฐานความรู้ ไม่เท่ากับลบออกจากโมเดล การซ่อนข้อมูลไม่ให้ระบบเรียกใช้ ไม่ได้แปลว่าข้อมูลหายไปจากตัวโมเดล

เรื่องนี้หมายถึงอะไรสำหรับองค์กรของคุณ

บริษัทไทยที่เริ่มทดลอง AI ตอนนี้มีข้อมูลกระจายอยู่ในที่ที่นโยบายการเก็บรักษาข้อมูลเดิมไม่เคยคิดถึง ทั้งเครื่อง GPU ที่ใช้ Fine-tune เซิร์ฟเวอร์ที่รัน Vector Database กล่อง NAS ที่เก็บบันทึกแชตและชุดข้อมูลฝึก และโน้ตบุ๊กของนักพัฒนาที่มีสำเนาข้อมูลลูกค้า "ไว้ทดสอบ" เมื่อโครงการจบหรือเปลี่ยนฮาร์ดแวร์ ข้อมูลทั้งหมดนี้ก็ยังเป็นข้อมูลส่วนบุคคลที่อยู่บนดิสก์

• การปลดระวางระบบ AI คือเรื่อง PDPA แนวทางของ สคส. ครอบคลุมถึงการยุติระบบ เมื่อปลดระวางเซิร์ฟเวอร์โมเดล ไดรฟ์ที่เก็บชุดข้อมูลฝึก Embedding, Prompt Log และ Checkpoint ต้องมีจุดจบที่มีหลักฐาน
• "ลบโฟลเดอร์แล้ว" ไม่ใช่หลักฐาน แม้จะลบข้อมูลออกจากโมเดลไม่ได้ทั้งหมด แต่อย่างน้อยองค์กรทำให้สำเนาข้อมูลบนอุปกรณ์จริงถูกทำลายก่อนฮาร์ดแวร์ออกจากมือได้
• เครื่อง GPU เก่ามักถูกขายต่อ ขายการ์ดจอได้ แต่ SSD และ NVMe ที่เคยเก็บชุดข้อมูลควรถูกทำลาย ไม่ใช่ส่งต่อไปพร้อมเครื่อง

เช็กลิสต์ปลดระวางฮาร์ดแวร์ AI

1. ทำรายการทุกเครื่องที่เคยเก็บข้อมูลฝึก AI, Embedding, Prompt Log หรือ Checkpoint รวมเครื่องทดสอบและโน้ตบุ๊กพนักงาน
2. บันทึกว่าแต่ละเครื่องเก็บชุดข้อมูลหรือโมเดลใด เพื่อเทียบกับ ROPA และคำขอลบข้อมูลตามข้อกำหนด PDPA
3. เมื่อปลดระวางเซิร์ฟเวอร์โมเดลหรือเครื่องที่รัน Vector Database ให้ใช้บริการทำลายข้อมูลเซิร์ฟเวอร์ พร้อมบันทึกหมายเลขซีเรียล
4. ถอด SSD, NVMe และดิสก์สำรองส่งทำลายฮาร์ดดิสก์และ SSD และรวมการเปลี่ยนอุปกรณ์ทั้งชุดเป็นโครงการการกำจัดสินทรัพย์ไอที เดียว พร้อมเก็บใบรับรองไว้กับเอกสาร PDPA

สำหรับงานเซิร์ฟเวอร์ เราเข้ารับอุปกรณ์ถึงสำนักงานในกรุงเทพฯ บันทึกหมายเลขซีเรียลตั้งแต่รับเครื่อง ควบคุมห่วงโซ่การดูแลอุปกรณ์จนถึงการทำลายทางกายภาพ และออกใบรับรองการทำลายข้อมูลรายเครื่อง (หมายเลขซีเรียล วิธีการ และวันที่) พร้อมรายงานสรุปรายการ มีหลักฐานภาพถ่ายและวิดีโอ เราให้บริการเฉพาะอุปกรณ์อิเล็กทรอนิกส์ ไม่รับทำลายเอกสารกระดาษ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เพื่อทำลายเซิร์ฟเวอร์และไดรฟ์ที่ยังเก็บข้อมูลฝึกเก่า Prompt Log และ Checkpoint ของโมเดล ก่อนที่โครงการ AI จะอยู่นานเกินฐานทางกฎหมายตาม PDPA

แหล่งข่าว: THAI DATA, "สคส. ออกแนวทาง PDPA สำหรับการพัฒนาและใช้งาน AI" (8 ต.ค. 2569); ฐานเศรษฐกิจ, "เปิดคู่มือ AI–PDPA ชี้ 5 เรื่ององค์กรต้องรู้ก่อนใช้ข้อมูล" (13 ต.ค. 2569); สคส., แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ ฉบับ 1.0 (7 ต.ค. 2569)

Thailand's Regulator Just Said Your AI Data Is Personal Data

On 7 October 2026, Thailand's Personal Data Protection Committee office (PDPC / สคส.) published version 1.0 of its guidelines on personal data protection for developing and using artificial intelligence. The 80-page document was prepared with the Electronic Transactions Development Agency (ETDA) and issued under Section 16(3) of the PDPA, as reported by Thai Data and, on 13 October, Thansettakij.

The guidelines cover analytic AI, generative AI and agentic AI across the whole system life cycle: planning, data preparation, training, deployment and, importantly for us, the end of a system's use. They are advisory, not a new binding rule, but they show clearly how the regulator reads the existing PDPA.

Four Points Every IT Team Should Notice

• Prompts, logs, embeddings and outputs can be personal data. If a person can still be identified directly or indirectly, the PDPA applies, not only to the customer database you started with.
• A trained model is not automatically anonymous. The guidelines say a model trained on personal data is not anonymous by default, because data can sometimes be extracted from model weights or leak in outputs.
• Technical limits do not cancel the right to erasure. For RAG systems, records should be removable from the vector database, and data should be removed from caches and fine-tuning datasets. Where data is baked into model weights and "machine unlearning" is not possible, the guidelines suggest interim measures such as output filtering.
• Deleting from a knowledge base is not the same as deleting from the model. Thansettakij highlights that hiding a record from retrieval does not mean it is gone from the model itself.

What This Means for Your Company

Most Thai companies experimenting with AI now have data in places their old retention policy never imagined: GPU workstations used for fine-tuning, on-prem servers running vector databases, NAS boxes holding exported chat logs and training sets, and developer laptops with local copies of "sample" customer data. When the pilot ends or the hardware is upgraded, all of that is still personal data on a disk.

• Retiring an AI system is a PDPA event. The guidelines explicitly run through to the end of a system's life. When you decommission a model server, the drives holding training sets, embeddings, prompt logs and model checkpoints need a documented end.
• "We deleted the folder" is not evidence. If you cannot fully unlearn data from a model, you can at least make sure the physical copies of datasets, checkpoints and logs are destroyed when the hardware leaves your control.
• Old GPU boxes get resold. High-value AI hardware is tempting to sell on. Sell the GPU if you like; the SSDs and NVMe drives that held your datasets should be destroyed, not handed over.

A Simple AI Hardware Exit Checklist

1. List every machine that ever stored AI training data, embeddings, prompt logs or model checkpoints, including test rigs and staff laptops.
2. Record which datasets and models each one held, so you can match it against your ROPA and any erasure requests under the PDPA data destruction requirements.
3. When a model server or vector-database host is retired, book server data destruction with serial numbers logged.
4. Pull loose SSDs, NVMe cards and backup disks for hard drive and SSD destruction, and fold a wider refresh into one IT asset disposal project with certificates filed against your PDPA records.

For server jobs we collect from your Bangkok office, log serial numbers on collection, keep a full chain of custody through physical destruction, and issue a Certificate of Data Destruction for each unit (serial number, method and date) plus an inventory report. Photo and video evidence is available. We handle devices only; we do not shred paper.

Get an instant quote or call 082-797-3702 to destroy the servers and drives that still hold your old training data, prompt logs and model checkpoints, so your AI pilot does not outlive its PDPA basis.

Sources: Thai Data, "PDPC issues PDPA guidelines for AI development and use, version 1.0" (8 Oct 2026); Thansettakij, "AI–PDPA guide: 5 things organisations must know before using data" (13 Oct 2026); PDPC, guidelines on personal data protection for developing and using AI, version 1.0 (7 Oct 2026).

An Open Directory, a MeshCentral Backdoor and RADIUS Databases

On 14 September 2026, threat-intelligence firm Hunt.io published a technical report on an active intrusion tied to Thai broadband infrastructure. Researchers had captured an attacker-controlled server left open on the internet on 3 June 2026. Inside were about 298 files: exploit scripts, password-spray tools, a MeshCentral agent configuration, and a device inventory of machines already under the attacker's control. The Hacker News summarised the same findings the same day.

According to Hunt.io, MeshCentral — a legitimate remote-management tool that IT teams use every day — had been installed as a hidden backdoor. Agents reported to a server the attacker ran at www.ayuthayatech.com, under a device group named TH-3BB. Several enrolled machines were connected with root privileges when the inventory was exported. A cleanup script was written to wipe logs and delete other tools while deliberately leaving the MeshCentral agent in place.

The scripts also targeted RADIUS databases named radius_corp, radiusinfo and job_radius — the kind of systems that store the login credentials broadband customers use to get online. Hunt.io is clear on one point that matters for every compliance team: the evidence shows those databases were targeted, not that any subscriber data was confirmed stolen.

What 3BB Said Two Days Later

On 16 September 2026, 3BB issued a public clarification, reported by Telecomlover and other Thai tech outlets. The company said its internal checks found no unauthorised access to 3BB customer data. It said the incident involved an attempted breach of an enterprise client's own system — systems the client manages, not systems operated by 3BB — that it had notified that client to inspect and harden its security, and that it had briefed the National Cyber Security Agency (NCSA / สกมช.) and relevant regulators.

So the public record, as it stands, is this: researchers described MeshCentral root access and RADIUS-dump tooling inside infrastructure they tied to 3BB branding and internal domains; 3BB attributes the hit to a corporate customer's self-managed environment and says no 3BB customer data was accessed. Either way, the lesson for Thai companies is the same.

What This Means for Your Company

• Corporate-managed servers are the soft target. If 3BB's account is right, the attacker was after an enterprise client's own stack. Colo racks, on-prem RADIUS or AAA servers, VPN gateways, and "temporary" Linux boxes that never left the storeroom all look like that. They hold staff SSH keys, database passwords and customer logins long after the project that justified them is over.
• Legitimate admin tools become invisible backdoors. MeshCentral, remote-support agents and similar software blend into normal IT traffic. Once an agent is running as root, rotating a firewall password is not enough. You also have to find and remove the agent, and then decide what to do with the machine that hosted it.
• Credential databases outlive the business case. RADIUS, LDAP and local MySQL copies of user tables are exactly the kind of data PDPA expects you to erase when retention ends. A server that still holds them is a breach waiting for the next open directory.
• Entry method may stay unconfirmed; the cleanup cannot. Hunt.io recovered a full toolkit for FortiGate CVE-2024-21762 against a 3BB-branded SSL-VPN, but does not prove that exploit was the way in. Waiting for a perfect root-cause report is a bad reason to leave old disks and spare servers sitting in a cupboard.

A Practical Clean-Up After Any Intrusion Scare

1. Inventory every server, NAS and colo box your company actually owns or manages — including ones hosted at an ISP or data centre under your own admin rights.
2. Hunt for unexpected remote-management agents, hidden SUID binaries, web shells and SSH keys you did not install. Rotate RADIUS, database, VPN and application credentials that may have been copied.
3. When a machine is replaced or no longer trusted, do not wipe-and-store it "just in case". Book documented server data destruction with serial numbers logged and a certificate for each unit.
4. Send loose and spare disks for hard drive and SSD destruction, treat staff laptops that held VPN configs or exported credential files through laptop data destruction, and fold a full refresh into one IT asset disposal project with certificates filed against your PDPA records.

For server jobs we collect from your Bangkok office, log serial numbers on collection, keep a full chain of custody through physical destruction, and issue a Certificate of Data Destruction for each server (serial number, method and date) plus an inventory report. Photo and video evidence is available. We handle devices only; we do not shred paper.

Get an instant quote or call 082-797-3702 to destroy the servers and drives that still hold RADIUS dumps, SSH keys and old customer logins, so the next MeshCentral-style backdoor has nothing useful left to find.

Sources: Hunt.io, "Thai Broadband Provider Targeted via FortiGate SSL-VPN and MeshCentral Persistence" (14 Sep 2026); The Hacker News, "3BB Attacker Used MeshCentral Backdoor for Root Access, Targeted Subscriber Credentials" (14 Sep 2026); Telecomlover, "3BB Confirms No Customer Data Accessed, Clarifies Incident Involved Enterprise Client System" (16 Sep 2026); Monster Connect summary of the AIS/3BB clarification (Sep 2026).

ไดเรกทอรีเปิดโล่ง แบ็คดอร์ MeshCentral และฐานข้อมูล RADIUS

เมื่อวันที่ 14 กันยายน 2569 บริษัทข่าวกรองภัยคุกคาม Hunt.io เผยแพร่รายงานเทคนิคเกี่ยวกับการบุกรุกที่ยังดำเนินอยู่ซึ่งเชื่อมโยงกับโครงสร้างบรอดแบนด์ไทย นักวิจัยเก็บภาพเซิร์ฟเวอร์ที่ผู้โจมตีเปิดทิ้งไว้บนอินเทอร์เน็ตเมื่อวันที่ 3 มิถุนายน 2569 ภายในมีไฟล์ประมาณ 298 ไฟล์ ได้แก่ สคริปต์เจาะระบบ เครื่องมือพ่นรหัสผ่าน คอนฟิกเอเจนต์ MeshCentral และรายการเครื่องที่อยู่ภายใต้การควบคุมแล้ว The Hacker News สรุปข้อค้นพบชุดเดียวกันในวันเดียวกัน

ตามรายงานของ Hunt.io ผู้โจมตีติดตั้ง MeshCentral ซึ่งเป็นเครื่องมือจัดการระยะไกลที่ฝ่ายไอทีใช้กันปกติ ให้ทำหน้าที่เป็นแบ็คดอร์แฝง เอเจนต์รายงานกลับไปยังเซิร์ฟเวอร์ที่ผู้โจมตีรันที่ www.ayuthayatech.com ภายใต้กลุ่มอุปกรณ์ชื่อ TH-3BB เครื่องหลายเครื่องในรายการเชื่อมต่ออยู่ด้วยสิทธิ์รูทตอนที่ส่งออกข้อมูล และมีสคริปต์ทำความสะอาดที่เขียนไว้ลบบันทึกและเครื่องมืออื่น แต่จงใจเหลือเอเจนต์ MeshCentral ไว้

สคริปต์ยังเล็งฐานข้อมูล RADIUS ชื่อ radius_corp, radiusinfo และ job_radius ซึ่งเป็นระบบที่เก็บข้อมูลล็อกอินที่ลูกค้าบรอดแบนด์ใช้เข้าเน็ต Hunt.io ระบุจุดหนึ่งที่ทีมกำกับดูแลต้องจำไว้ชัดเจน คือหลักฐานแสดงว่าฐานข้อมูลเหล่านั้นถูก เล็งเป้า ไม่ได้ยืนยันว่าข้อมูลผู้ใช้ถูกขโมยไปแล้ว

สองวันถัดมา 3BB ชี้แจงอย่างไร

วันที่ 16 กันยายน 2569 3BB ออกแถลงชี้แจงตามที่ Telecomlover และสื่อเทคโนโลยีไทยรายงาน บริษัทระบุว่าจากการตรวจสอบภายในไม่พบการเข้าถึงข้อมูลลูกค้าของ 3BB แต่อย่างใด และเหตุการณ์เป็นความพยายามเข้าถึงระบบของลูกค้าองค์กรรายหนึ่ง ซึ่งเป็นระบบที่ลูกค้าดูแลเอง ไม่ใช่ระบบของ 3BB บริษัทได้แจ้งลูกค้ารายนั้นให้ตรวจสอบและเสริมความปลอดภัยแล้ว พร้อมชี้แจงต่อสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) และหน่วยงานกำกับดูแลที่เกี่ยวข้อง

สรุปข้อเท็จจริงสาธารณะขณะนี้จึงเป็นดังนี้ นักวิจัยอธิบายถึงสิทธิ์รูทผ่าน MeshCentral และเครื่องมือดึง RADIUS ในโครงสร้างที่เชื่อมกับแบรนด์และโดเมนภายในของ 3BB ส่วน 3BB ระบุว่าเป้าหมายคือระบบของลูกค้าองค์กรที่ดูแลเอง และไม่พบการเข้าถึงข้อมูลลูกค้า 3BB ไม่ว่าจะมองมุมไหน บทเรียนสำหรับบริษัทไทยก็เหมือนกัน

เรื่องนี้หมายความว่าอย่างไรกับบริษัทของคุณ

• เซิร์ฟเวอร์ที่องค์กรดูแลเองคือเป้าอ่อน ถ้าคำชี้แจงของ 3BB ถูกต้อง ผู้โจมตีเล็งสแตกของลูกค้าองค์กร แร็คโคโล เซิร์ฟเวอร์ RADIUS หรือ AAA ในออฟฟิศ เกตเวย์ VPN และเครื่องลินุกซ์ "ชั่วคราว" ที่ลืมเก็บในห้องเก็บของ ล้วนอยู่ในกลุ่มนี้ เครื่องพวกนี้มักเก็บคีย์ SSH ของพนักงาน รหัสผ่านฐานข้อมูล และล็อกอินลูกค้าต่ออีกนานหลังโปรเจกต์จบไปแล้ว
• เครื่องมือแอดมินที่ถูกกฎหมายกลายเป็นแบ็คดอร์ที่มองแทบไม่เห็น MeshCentral เอเจนต์ซัพพอร์ตระยะไกล และซอฟต์แวร์คล้ายกันปนไปกับทราฟฟิกไอทีปกติ พอเอเจนต์รันด้วยสิทธิ์รูทแล้ว การเปลี่ยนรหัสไฟร์วอลล์อย่างเดียวไม่พอ ต้องหาและถอดเอเจนต์ออก แล้วตัดสินใจว่าจะทำอย่างไรกับเครื่องที่เคยโฮสต์มัน
• ฐานข้อมูลรหัสผ่านมีอายุยาวกว่าเหตุผลทางธุรกิจ สำเนา RADIUS, LDAP และตารางผู้ใช้ใน MySQL คือข้อมูลที่ PDPA คาดให้ลบเมื่อพ้นระยะเก็บรักษา เซิร์ฟเวอร์ที่ยังเก็บสิ่งเหล่านี้ไว้คือเหตุรั่วที่รอไดเรกทอรีเปิดโล่งครั้งถัดไป
• ช่องทางเข้าอาจยังไม่ยืนยัน แต่การเคลียร์เครื่องยืนยันไม่ได้ Hunt.io พบชุดเครื่องมือเต็มรูปแบบสำหรับช่องโหว่ FortiGate CVE-2024-21762 กับ SSL-VPN ที่ผูกกับแบรนด์ 3BB แต่ไม่ได้พิสูจน์ว่าช่องโหว่นั้นคือทางเข้าจริง การรอรายงานสาเหตุที่สมบูรณ์แบบไม่ใช่เหตุผลดีพอที่จะปล่อยดิสก์เก่าและเซิร์ฟเวอร์สำรองนอนในตู้

แผนเคลียร์หลังมีสัญญาณบุกรุก

1. ทำรายการเซิร์ฟเวอร์ NAS และเครื่องโคโลที่บริษัทเป็นเจ้าของหรือดูแลจริง รวมถึงเครื่องที่โฮสต์อยู่กับ ISP หรือศูนย์ข้อมูลแต่แอดมินโดยทีมของคุณเอง
2. ไล่หาเอเจนต์จัดการระยะไกลที่ไม่ได้ติดตั้งเอง ไฟล์ SUID แอบแฝง เว็บเชลล์ และคีย์ SSH ที่ไม่รู้จัก หมุนเวียนรหัส RADIUS ฐานข้อมูล VPN และแอปพลิเคชันที่อาจถูกคัดลอก
3. เมื่อเปลี่ยนเครื่องหรือไม่ไว้ใจเครื่องนั้นแล้ว อย่ารีเซ็ตแล้วเก็บไว้ "เผื่อใช้" ให้ใช้บริการทำลายข้อมูลเซิร์ฟเวอร์ที่บันทึกหมายเลขซีเรียลและออกใบรับรองให้ทุกเครื่อง
4. ดิสก์ที่ถอดออกมาหรือดิสก์สำรองให้ส่งเข้าบริการทำลายฮาร์ดดิสก์และ SSD โน้ตบุ๊กพนักงานที่เคยเก็บคอนฟิก VPN หรือไฟล์รหัสผ่านที่ส่งออกมาให้ผ่านบริการทำลายข้อมูลโน้ตบุ๊ก และถ้าเปลี่ยนเครื่องทั้งออฟฟิศ ให้ทำเป็นงานการกำจัดสินทรัพย์ไอทีครั้งเดียว แล้วเก็บใบรับรองไว้กับเอกสาร PDPA

สำหรับงานเซิร์ฟเวอร์ เราไปรับเครื่องที่สำนักงานของคุณในกรุงเทพฯ บันทึกหมายเลขซีเรียลตอนรับ ควบคุมการส่งต่อครบทุกขั้นจนถึงการทำลายทางกายภาพ และออกใบรับรองการทำลายข้อมูลทุกเซิร์ฟเวอร์ (หมายเลขซีเรียล วิธีการ และวันที่) พร้อมรายงานรายการอุปกรณ์ มีหลักฐานภาพถ่ายและวิดีโอให้หากต้องการ เราทำเฉพาะอุปกรณ์ ไม่รับย่อยเอกสารกระดาษ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เพื่อทำลายเซิร์ฟเวอร์และดิสก์ที่ยังเก็บสำเนา RADIUS คีย์ SSH และล็อกอินลูกค้าเก่า อย่าปล่อยให้แบ็คดอร์สไตล์ MeshCentral ครั้งถัดไปยังเจอของมีค่าอยู่

ที่มา: Hunt.io, "Thai Broadband Provider Targeted via FortiGate SSL-VPN and MeshCentral Persistence" (14 ก.ย. 2569); The Hacker News, "3BB Attacker Used MeshCentral Backdoor for Root Access, Targeted Subscriber Credentials" (14 ก.ย. 2569); Telecomlover, "3BB ยืนยันไม่พบการเข้าถึงข้อมูลลูกค้า ย้ำมาตรการความปลอดภัย พร้อมชี้แจงหน่วยงานกำกับดูแลแล้ว" (16 ก.ย. 2569); Monster Connect สรุปคำชี้แจง AIS/3BB (ก.ย. 2569)

สัญญาณเตือนจากไฟล์เซิร์ฟเวอร์ในประเทศไทย

เมื่อวันที่ 7 ตุลาคม 2569 บริษัท เอช.ไอ.เอส. (H.I.S. Co.) บริษัทท่องเที่ยวรายใหญ่ของญี่ปุ่น ประกาศว่าไฟล์เซิร์ฟเวอร์ของบริษัทลูกในประเทศไทย คือ H.I.S. Tours Co., Ltd. ถูกบุคคลภายนอกเข้าถึงโดยไม่ได้รับอนุญาต และข้อมูลพาสปอร์ตของลูกค้าสูงสุด 627 คนอาจรั่วไหลออกไป สำนักข่าว Kyodo News และเว็บไซต์ข่าวธุรกิจท่องเที่ยวของญี่ปุ่น Travel Vision รายงานข่าวนี้ในวันเดียวกัน

ตามประกาศของบริษัท ซอฟต์แวร์ตรวจจับการบุกรุกที่ติดตั้งอยู่บนเซิร์ฟเวอร์ส่งสัญญาณเตือนเมื่อวันที่ 11 ธันวาคม 2568 ทีมงานจึงตัดเซิร์ฟเวอร์ออกจากเครือข่ายและจำกัดการเข้าถึงจากภายนอก จากนั้นการตรวจสอบร่วมกับผู้เชี่ยวชาญภายนอกพบว่าข้อมูลบางส่วนในเซิร์ฟเวอร์อาจถูกดึงออกไป

ในเซิร์ฟเวอร์มีข้อมูลอะไรบ้าง

ข้อมูลที่อาจรั่วไหลเป็นของลูกค้าที่เดินทางมาไทยกับ H.I.S. ในปี 2560, ปี 2562 ถึง 2563 และปี 2567 ถึง 2568 ได้แก่ ชื่อภาษาอังกฤษ ชื่อในช่องลายมือชื่อ เพศ วันเกิด หมายเลขพาสปอร์ตและวันหมดอายุ รวมถึงข้อมูลอาการแพ้ ในคืนวันเดียวกันบริษัทประกาศเพิ่มเติมว่าผู้ได้รับผลกระทบคือลูกค้าทัวร์กรุ๊ปในช่วงปีดังกล่าว และลูกค้าเที่ยวอิสระที่ออกเดินทางจากญี่ปุ่นในเดือนพฤศจิกายน 2567 พักโรงแรมพูลแมนในกรุงเทพฯ และไปร่วมเทศกาลปล่อยโคมลอยที่เชียงใหม่ H.I.S. ระบุว่าข้อมูลที่หลุดไม่มีเบอร์โทรศัพท์ ที่อยู่ อีเมล หรือข้อมูลบัตรเครดิต และกำลังทยอยติดต่อลูกค้าที่ระบุตัวได้

ทำไมต้องใช้เวลาเกือบ 10 เดือน

สำหรับธุรกิจทั่วไป ส่วนที่มีประโยชน์ที่สุดในประกาศนี้คือลำดับเหตุการณ์ วันที่ 29 ธันวาคม 2568 บริษัทยืนยันว่าในเซิร์ฟเวอร์มีข้อมูลส่วนบุคคลที่เก็บมาจากญี่ปุ่น และรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นและ JIPDEC ซึ่งเป็นองค์กรด้านความเป็นส่วนตัวของญี่ปุ่น ต่อมาวันที่ 24 กุมภาพันธ์ 2569 ผู้เชี่ยวชาญภายนอกพบข้อมูลพาสปอร์ตของคนสูงสุด 627 คน บริษัทจึงตัดสินใจตรวจทุกไฟล์ในเซิร์ฟเวอร์

การตรวจครั้งนี้เองที่ลากยาวมาจนถึงเดือนตุลาคม H.I.S. อธิบายว่าในเซิร์ฟเวอร์มีข้อมูลที่ไม่เกี่ยวกับข้อมูลส่วนบุคคลปะปนอยู่จำนวนมาก เช่น บันทึกทางบัญชี และไฟล์ก็มีหลายรูปแบบ หลายสภาพ จึงค้นหาด้วยระบบอัตโนมัติไม่ได้ ต้องเปิดตรวจและเทียบทีละไฟล์ บางส่วนต้องทำด้วยมือ บริษัทระบุว่าจะยกระดับความปลอดภัยของสาขาในต่างประเทศ และให้สำนักงานใหญ่เฝ้าติดตามระบบเข้มงวดขึ้น

เรื่องนี้หมายความว่าอย่างไรกับบริษัทของคุณ

H.I.S. ตรวจพบการบุกรุกและตัดเซิร์ฟเวอร์ออกได้เร็ว แต่ปัญหาใหญ่ตามมาทีหลัง คือไม่มีใครตอบได้ทันทีว่าในเครื่องมีอะไรบ้าง เพราะข้อมูลพาสปอร์ตหลายปีปนอยู่กับไฟล์บัญชี บริษัทไทยจำนวนมากก็มีไดรฟ์กลางแบบเดียวกัน บริษัททัวร์ โรงแรม ฝ่ายบุคคล คลินิก โรงเรียน และบริษัทอสังหาฯ เก็บสำเนาพาสปอร์ตและสำเนาบัตรประชาชนเป็นเรื่องปกติ และไฟล์เหล่านี้มักค้างอยู่ในเครื่องอีกนานหลังจบทริป จบการจอง หรือหมดสัญญาไปแล้ว

• ข้อมูลเก่าก็รั่วได้เหมือนข้อมูลใหม่ ข้อมูลการเดินทางปี 2560 แทบไม่มีประโยชน์อะไรแล้วเมื่อถึงปลายปี 2568 แต่ก็ยังอยู่ให้ถูกขโมย ข้อมูลที่ทำลายไปแล้วไม่มีทางรั่ว และไม่ต้องมานั่งไล่หาหลังเกิดเหตุ
• PDPA ต้องการระบบลบข้อมูล ไม่ใช่แค่รหัสผ่าน มาตรา 37 ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล กำหนดให้ผู้ควบคุมข้อมูลต้องจัดให้มีระบบลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นระยะเวลาการเก็บรักษา หรือเมื่อไม่จำเป็นตามวัตถุประสงค์แล้ว และต้องแจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า ภายใน 72 ชั่วโมงเท่าที่ทำได้ เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิของบุคคล ถ้าไม่รู้ว่าในเซิร์ฟเวอร์มีอะไร กำหนดเวลานี้แทบเป็นไปไม่ได้ อ่านเพิ่มเติมเรื่องข้อกำหนด PDPA ด้านการทำลายข้อมูล
• ฮาร์ดแวร์ที่ปลดระวางพกประวัติทั้งหมดไปด้วย เวลาเปลี่ยนไฟล์เซิร์ฟเวอร์ ข้อมูลมักถูกย้ายไปเครื่องใหม่ ขณะที่ดิสก์ในเครื่องเก่ายังเก็บสำเนาครบทุกโฟลเดอร์ ถ้าดิสก์เหล่านั้นถูกเก็บไว้ในห้องเก็บของ ขายต่อ หรือส่งให้ร้านรับซื้อที่ไม่รู้ที่มา ความเสี่ยงก็แค่ย้ายที่
• สาขาและบริษัทลูกมักหลุดจากสายตา แนวทางแก้ของ H.I.S. เองก็ชี้ไปที่ความปลอดภัยของสาขาต่างประเทศและการเฝ้าติดตามจากสำนักงานใหญ่ ในองค์กรที่มีหลายสาขา ไฟล์เซิร์ฟเวอร์ประจำสาขาและดิสก์สำรองคือทรัพย์สินที่หลุดจากทะเบียนกลางได้ง่ายที่สุด

แผนเคลียร์ข้อมูลแบบง่าย

1. ทำรายการไฟล์เซิร์ฟเวอร์ NAS และไดรฟ์กลางทุกเครื่อง รวมถึงเครื่องที่สาขาและในห้องเก็บของ แล้วกำหนดผู้รับผิดชอบแต่ละเครื่อง
2. หาโฟลเดอร์สแกนพาสปอร์ต สำเนาบัตรประชาชน และรายชื่อลูกค้า กำหนดระยะเวลาเก็บของข้อมูลแต่ละประเภท แล้วลบส่วนที่เกินกำหนด
3. เมื่อย้ายไปเครื่องใหม่หรือขึ้นคลาวด์ อย่าเก็บเครื่องเก่าไว้ "เผื่อใช้" ให้ใช้บริการทำลายข้อมูลเซิร์ฟเวอร์ที่บันทึกหมายเลขซีเรียลและออกใบรับรองให้ทุกเครื่อง
4. ดิสก์ที่ถอดออกมาหรือดิสก์สำรองให้ส่งเข้าบริการทำลายฮาร์ดดิสก์และ SSD และถ้าเปลี่ยนเครื่องทั้งออฟฟิศ ให้ทำเป็นงานการกำจัดสินทรัพย์ไอทีครั้งเดียว แล้วเก็บใบรับรองไว้กับเอกสาร PDPA

สำหรับงานเซิร์ฟเวอร์ เราไปรับเครื่องที่สำนักงานของคุณในกรุงเทพฯ บันทึกหมายเลขซีเรียลตอนรับ ควบคุมการส่งต่อครบทุกขั้นจนถึงการทำลายทางกายภาพ และออกใบรับรองการทำลายข้อมูลทุกเซิร์ฟเวอร์ (หมายเลขซีเรียล วิธีการ และวันที่) พร้อมรายงานรายการอุปกรณ์ มีหลักฐานภาพถ่ายและวิดีโอให้หากต้องการ เราทำเฉพาะอุปกรณ์ ไม่รับย่อยเอกสารกระดาษ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เพื่อทำลายเซิร์ฟเวอร์และดิสก์เก่าที่บริษัทไม่ใช้แล้ว อย่าปล่อยให้สำเนาพาสปอร์ตและบัตรประชาชนของลูกค้าหลายปีนอนรอผู้บุกรุกรายต่อไป

ที่มา: H.I.S. Co., Ltd. ประกาศถึงลูกค้าเรื่องการเข้าถึงไฟล์เซิร์ฟเวอร์ของบริษัทลูกโดยไม่ได้รับอนุญาต (ภาษาญี่ปุ่น, 7 ต.ค. 2569 ปรับปรุงเวลา 19:30 น. ตามเวลาญี่ปุ่นในวันเดียวกัน); Kyodo News, "Japanese travel agency H.I.S. reports possible passport data leak" (7 ต.ค. 2569); Travel Vision (7 ต.ค. 2569); พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37

An Alarm on a File Server in Thailand

On 7 October 2026, Japanese travel company H.I.S. Co. announced that a file server at its Thai subsidiary, H.I.S. Tours Co., Ltd., had been accessed by an outside party, and that passport details for up to 627 customers may have been taken. Kyodo News and the Japanese travel trade site Travel Vision reported the announcement the same day.

According to the company's own notice, intrusion-detection software on the server raised an alert on 11 December 2025. Staff disconnected the server from the network and restricted outside access. An investigation with outside experts then found that some of the data on it may have been pulled out.

What Was on the Server

The records at risk belong to customers who travelled to Thailand with H.I.S. in 2017, in 2019 to 2020 and in 2024 to 2025. They include names in Roman letters, the name in the signature field, gender, date of birth, passport number and expiry date, plus allergy information. In an update the same evening, the company said the people affected are group-tour customers from those years and individual travellers who left Japan in November 2024, stayed at the Pullman hotel in Bangkok and joined the Chiang Mai lantern festival. H.I.S. says phone numbers, addresses, email addresses and credit card details were not included, and it is contacting the customers it can identify.

Why It Took Almost Ten Months

For any business, the most useful part of the notice is the timeline. On 29 December 2025 the company confirmed that the server held personal data collected in Japan and reported it to Japan's Personal Information Protection Commission and to JIPDEC, a Japanese privacy body. On 24 February 2026, outside experts found passport data for up to 627 people, and H.I.S. decided to check every file on the server.

That check is what took until October. H.I.S. explains that the server held a large amount of data unrelated to personal information, such as accounting records, in many different file formats and conditions. Automated searching did not work, so files had to be examined and cross-checked one by one, partly by hand. The company says it will strengthen security at its overseas operations and tighten head-office monitoring of systems.

What This Means for Your Company

H.I.S. spotted the intrusion and cut the server off quickly. The hard part came afterwards: nobody could say quickly what was on the server, because years of passport data sat mixed in with accounting files. Plenty of Thai companies have the same kind of shared drive. Travel agents, hotels, HR teams, clinics, schools and property firms routinely collect passport copies and Thai ID card copies, and those files tend to stay put long after the trip, the booking or the contract is over.

• Old data is still breach data. Travel records from 2017 had little use left by late 2025, but they were still there to be taken. Data you have already destroyed cannot leak, and you do not have to hunt for it after an incident.
• The PDPA expects a deletion system, not just a password. Section 37 of Thailand's Personal Data Protection Act requires data controllers to have a system for erasing or destroying personal data once its retention period ends or it is no longer needed for its purpose. It also requires them to notify the PDPC Office of a breach without delay, and within 72 hours where feasible, unless the breach is unlikely to put people at risk. That deadline is very hard to meet when you do not know what a server holds. Our guide covers the PDPA data destruction requirements.
• Retired hardware carries the whole history. When a file server is replaced, the data is usually copied across to the new system and the old disks keep their own complete copy. If those disks are stored, resold or handed to an unknown recycler, the risk has simply moved.
• Branches and subsidiaries drift. H.I.S.'s own fix points at overseas security and head-office monitoring. In any group with branches, local file servers and spare drives are the assets most likely to fall outside central records.

A Simple Clean-Up Plan

1. List every file server, NAS and shared drive, including ones at branches and in storerooms, and name an owner for each.
2. Find the folders of passport scans, ID card copies and customer lists, set a retention period for each type, and delete what has passed it.
3. When you move to new hardware or to the cloud, do not keep the old machine "just in case". Book documented server data destruction with serial numbers logged and a certificate for each unit.
4. Send loose and spare disks for hard drive and SSD destruction, and treat a full office refresh as one IT asset disposal project, filing the certificates with your PDPA records.

For server jobs we collect from your Bangkok office, log serial numbers on collection, keep a full chain of custody through physical destruction, and issue a Certificate of Data Destruction for each server (serial number, method and date) plus an inventory report. Photo and video evidence is available. We handle devices only; we do not shred paper.

Get an instant quote or call 082-797-3702 to destroy the old servers and drives your company no longer needs, so years of customer passports and ID copies are not left sitting there for the next intruder.

Sources: H.I.S. Co., Ltd., customer notice on unauthorised access to a subsidiary's file server (Japanese, 7 Oct 2026, updated 19:30 JST the same day); Kyodo News, "Japanese travel agency H.I.S. reports possible passport data leak" (7 Oct 2026); Travel Vision (7 Oct 2026); Thailand's Personal Data Protection Act B.E. 2562 (2019), Section 37.

บ้านหรู นาฬิกา Richard Mille และนักศึกษาที่ตกเป็นเหยื่อ 7 คน

เมื่อวันที่ 6 ตุลาคม 2569 ตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (บช.สอท.) ร่วมกับสำนักงานป้องกันและปราบปรามการฟอกเงิน (ปปง.) เข้าตรวจค้นบ้านหลังหนึ่งในหมู่บ้านหรู เขตสะพานสูง กรุงเทพฯ ต้นเรื่องมาจากนักศึกษาชายวัย 19 ปีที่เข้าแจ้งความ ตามรายงานของข่าวสดและไทยพีบีเอส เขาถูกคนร้ายโทรมาอ้างเป็นเจ้าหน้าที่ค่ายมือถือ ก่อนโอนสายให้ "ตำรวจ" คุยต่อ บอกว่าเบอร์ของเขาพัวพันกับคดีฟอกเงิน เพื่อ "พิสูจน์ความบริสุทธิ์" เขาจึงโอนเงินและถอนเงินสดไปส่งให้ที่ลานจอดรถห้างแห่งหนึ่งย่านศาลายา จ.นครปฐม รวมความเสียหาย 662,989.90 บาท

ตำรวจตามเส้นทางเงินพบว่าถูกโอนต่อผ่านหลายบัญชี บางส่วนนำไปซื้อทองคำ และมีการส่งต่อเงินสดเป็นทอดๆ จนชายชาวจีนคนหนึ่งนำเงินไปส่งที่บ้านหลังดังกล่าว เจ้าหน้าที่จับกุมผู้ต้องหา 3 คน คือชายชาวจีน 1 คน และแม่บ้านชาวเมียนมา 2 คนที่ทำหน้าที่รับส่งเงินสด พร้อมยึดของกลางกว่า 40 รายการ เช่น นาฬิกา Richard Mille, Patek Philippe, Rolex เงินสด โทรศัพท์มือถือ แท็บเล็ต หนังสือเดินทาง และสมุดบัญชี มูลค่ารวมไม่ต่ำกว่า 100 ล้านบาท การสืบสวนยังพบนักศึกษาที่ตกเป็นเหยื่อเครือข่ายเดียวกันอีก 6 คน ความเสียหายรวมกว่า 200 ล้านบาท

บทเดียวกัน เมื่อ 3 วันก่อนหน้า

วันที่ 3 ตุลาคม นักศึกษาวัย 19 ปีอีกคนหนึ่งเดินเข้าธนาคารออมสินสาขาฟิวเจอร์พาร์ค รังสิต จ.ปทุมธานี ตามรายงานของบางกอกโพสต์และThaiger เขาถอนเงิน 1.2 ล้านบาทจากบัญชีสลากออมสิน แล้วนำไปให้ชายคนหนึ่งที่รออยู่ที่ลานจอดรถ เมื่อกลับมาในวันเดียวกันเพื่อถอนอีก 1.3 ล้านบาท พนักงานสังเกตว่าเขาวิดีโอคอลกับใครบางคนตลอดเวลาและดูกังวล จึงแจ้งตำรวจและระงับการถอนครั้งที่สองไว้ได้

บทพูดคุ้นหูมาก คนร้ายอ้างเป็นพนักงาน AIS บอกว่ามีคนใช้ชื่อเขาจดทะเบียนเบอร์โทรที่เกี่ยวข้องกับการกระทำผิด จากนั้นให้แอด LINE และวิดีโอคอล โดยมี "ตำรวจ" นั่งอยู่หน้าฉากที่ทำให้ดูเหมือนโรงพัก ตำรวจจับชายไทยวัย 25 ปีที่มารับเงินพร้อมเงินสด 1.2 ล้านบาท แล้วขยายผลจับชายสัญชาติมาเก๊าวัย 40 ปีที่จุดนัดส่งเงินย่านห้วยขวาง ทั้งคู่ถูกแจ้งข้อหาร่วมกันฉ้อโกงประชาชนโดยแสดงตนเป็นบุคคลอื่น

ขั้นต่อไป: ยึดเบอร์ แล้วปลอมหน้า

การจับกุมที่พัทยาเมื่อต้นเดือนกันยายนชี้ให้เห็นว่ากลโกงกำลังไปทางไหน ตำรวจ ตม.3 ควบคุมตัวชายชาวจีนวัย 30 ปีในข้อหาอยู่เกินกำหนด ก่อนพบว่าเป็นบุคคลตามหมายจับของทางการมณฑลกวางตุ้ง ทางการจีนระบุว่าเขาเป็นผู้พัฒนาซอฟต์แวร์ AI สลับใบหน้า และร่วมกับพวกอีกอย่างน้อย 3 คน ลักลอบเอาข้อมูลบัญชีแพลตฟอร์มคริปโตและเบอร์โทรศัพท์ของผู้เสียหาย จากนั้นใช้ซอฟต์แวร์สลับใบหน้าร่วมกับโปรแกรมกล้องที่เขียนขึ้นเอง สวมหน้าเป็นผู้เสียหายเพื่อแจ้งซิมหายและขอออกซิมใหม่ เมื่อได้เบอร์มาก็รับรหัส OTP ทาง SMS เข้าควบคุมบัญชี และโอนเหรียญ USDT ราว 4.7 ล้านเหรียญ (ประมาณ 162 ล้านบาท) ออกไปในไม่กี่วินาที (The Bangkok Times, Thairath English) ผู้เสียหายรายนี้อยู่ในจีน ไม่ใช่ในไทย แต่วิธีการนี้ต้องการแค่สามอย่าง คือเบอร์โทรของคุณ ข้อมูลบัญชีบางส่วน และภาพใบหน้าของคุณที่ชัดพอจะใช้ได้

เรื่องนี้หมายความว่าอย่างไรกับคุณและครอบครัว

• กลโกงเริ่มจากชื่อและเบอร์ของคุณ ประโยคเปิดอย่าง "มีคนใช้ชื่อคุณจดทะเบียนเบอร์" ได้ผลเพราะคนร้ายรู้อยู่แล้วว่าคุณเป็นใคร และข้อมูลแบบนี้ราคาถูกมาก เมื่อเดือนมิถุนายน ตำรวจเปิดเผยว่าเครือข่ายค้าข้อมูลที่ถูกทลายขายเบอร์โทรให้แก๊งมิจฉาชีพราวเบอร์ละ 10 บาท (Thairath English)
• เบอร์โทรคือกุญแจดอกหลัก OTP ของธนาคารและวอลเล็ตส่งมาทาง SMS ใครคุมซิมได้ ก็มักรีเซ็ตบัญชีอื่นๆ ได้ตามมา
• ใบหน้าและเสียงของคุณก็เป็นข้อมูลแล้ว เซลฟี่ วิดีโอยืนยันตัวตน วิดีโอคอลที่ถูกบันทึก และข้อความเสียงใน LINE คือวัตถุดิบที่เครื่องมือสลับหน้าและโคลนเสียงต้องการ บทวิเคราะห์ใน Chiang Rai Times ระบุว่าข้อมูลที่ขโมยจากอุปกรณ์มือถือเป็นแหล่งหนึ่งของตัวอย่างเหล่านี้ นอกเหนือจากโซเชียลมีเดีย
• ตอนนี้เป้าหมายคือคนหนุ่มสาว นักศึกษา 7 คนในเครือข่ายเดียว และอีกหนึ่งรายที่รังสิต เป็นข่าวในสัปดาห์เดียวกัน นักศึกษาหลายคนมีเงินเก็บจากครอบครัว ไม่ค่อยมีประสบการณ์ติดต่อตำรวจหรือธนาคาร และกลัวจริงๆ เมื่อถูกขู่ว่า "มีคดี"

คุยกับลูกหลานที่เป็นนักศึกษาในบ้าน

1. ไม่มีค่ายมือถือหรือโรงพักจริงที่ไหนวิดีโอคอลทาง LINE แล้วสั่งให้โอนเงินเพื่อพิสูจน์ความบริสุทธิ์ ชุดเครื่องแบบหรือฉากโรงพักบนจอพิสูจน์อะไรไม่ได้
2. วางสาย แล้วโทรกลับไปที่เบอร์ทางการของบริษัทนั้นเอง หรือโทรสายด่วน AOC 1441 เพื่อตรวจสอบ
3. ถ้ามีใครสั่งห้ามบอกครอบครัวหรือพนักงานธนาคาร นั่นคือสัญญาณอันตรายชัดที่สุด คดีที่รังสิตหยุดได้เพราะพนักงานธนาคารถามต่อ
4. เบอร์ที่ไม่ใช้แล้วให้ติดต่อผู้ให้บริการยกเลิก และอย่าขายหรือยกมือถือให้คนอื่นทั้งที่ซิมยังอยู่ในเครื่อง

มือถือเครื่องเก่าในลิ้นชัก

ทั้งนักศึกษาและพ่อแม่เปลี่ยนมือถือกันบ่อย เครื่องเก่ามักไปจบที่ร้านรับซื้อมือสอง น้องคนเล็ก หรือในลิ้นชัก แต่ในเครื่องยังมีแชต LINE แอปธนาคาร SMS รหัส OTP เซลฟี่และวิดีโอยืนยันใบหน้า รูปบัตรประชาชน และข้อความเสียง ครบทุกอย่างที่มิจฉาชีพต้องใช้เพื่อทำให้ตัวเองน่าเชื่อ หรือสวมรอยเป็นคุณ การรีเซ็ตเครื่องแบบรวดเร็วลบสิ่งเหล่านี้ได้ไม่แน่นอน อย่างที่เราอธิบายไว้ในบทความทำไมแค่รีเซ็ตเครื่องไม่พอ

ก่อนมือถือหรือแท็บเล็ตจะออกจากบ้าน ให้สำรองสิ่งที่ต้องเก็บ ออกจากระบบ LINE และแอปธนาคาร ลบเครื่องออกจากบัญชี Apple หรือ Google ถอดซิมออก แล้วล้างข้อมูลอย่างถูกวิธีหรือทำลายทิ้ง บริการทำลายข้อมูลมือถือของเราลบ LINE แอปธนาคาร รูปภาพ และรูปบัตรประชาชนได้ถาวร เลือกได้ว่าจะล้างข้อมูลแล้วส่งเครื่องคืน หรือทำลายเครื่อง พร้อมหนังสือรับรองทุกเครื่อง โน้ตบุ๊กเก่าที่เก็บไฟล์สำรองมือถือและคลังรูปไว้ก็ต้องดูแลแบบเดียวกันด้วยบริการทำลายข้อมูลโน้ตบุ๊ก และถ้าอยากจัดการทั้งบ้านในครั้งเดียว บริการลบข้อมูลส่วนบุคคลของเรารับทั้งมือถือ แท็บเล็ต โน้ตบุ๊ก และฮาร์ดดิสก์ ส่งอุปกรณ์มาได้จากทุกจังหวัด หรือนัดให้ไปรับถึงบ้านในกรุงเทพฯ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เพื่อล้างหรือทำลายข้อมูลในมือถือและโน้ตบุ๊กเก่าของคนในครอบครัว ให้คนร้ายรายต่อไปที่ "รู้ชื่อคุณ" ไม่มีอะไรเพิ่มให้ใช้

ที่มา: ข่าวสด, "ตร.ไซเบอร์เปิดปฏิบัติการ บุกค้นบ้านหรู ล็อกตัวแก๊งคอลฯ ยึดนาฬิกาหรู-ทรัพย์สินมูลค่า 100 ล้าน" (6 ต.ค. 2569); ไทยพีบีเอส, "บุกจับ 3 ผู้ต้องหาแก๊งคอลเซนเตอร์ หลอก นศ. พบเสียหายรวม 200 ล้าน" (6 ต.ค. 2569); Bangkok Post, "Bank staff alert leads police to nab two scam suspects" (6 ต.ค. 2569); Thaiger (5 ต.ค. 2569); The Bangkok Times และ Thairath English ข่าวจับกุมผู้ต้องหาสลับใบหน้าด้วย AI ขอซิมใหม่ที่พัทยา (9 ก.ย. 2569); Thairath English ข่าวปฏิบัติการ Cut Down Scam 2 (23 มิ.ย. 2569); Chiang Rai Times, "AI Fuels New Wave of Identity Fraud in Thailand" (29 ก.ค. 2569)

A Luxury House, Richard Mille Watches and Seven Student Victims

On 6 October 2026, Thailand's Cyber Crime Investigation Bureau (CCIB), working with the Anti-Money Laundering Office, searched a house in an upmarket village in Bangkok's Saphan Sung district. The raid followed a complaint from a 19-year-old university student. According to Khaosod and Thai PBS, callers claiming to be from a mobile phone company, and then from the police, told him his number was linked to a money-laundering case. To "prove his innocence" he transferred money and withdrew cash, which he handed over in the car park of a shopping mall in Salaya, Nakhon Pathom. His total loss was ฿662,989.90.

Police traced the money through several bank accounts, gold purchases and a chain of cash hand-offs that ended with a Chinese man delivering cash to the Saphan Sung house. They arrested three people: the Chinese man and two Myanmar housemaids who allegedly carried the cash. More than 40 items were seized, including Richard Mille, Patek Philippe and Rolex watches, cash, phones, tablets, passports and bank books, worth at least ฿100 million in total. Investigators then found six more student victims of the same network, bringing the losses to more than ฿200 million.

The Same Script, Three Days Earlier

On 3 October, a different 19-year-old student walked into a Government Savings Bank branch at Future Park Rangsit in Pathum Thani. As reported by the Bangkok Post and Thaiger, he withdrew ฿1.2 million from a savings-lottery account and handed it to a man waiting in the car park. When he came back the same day to withdraw another ฿1.3 million, staff noticed he had been on a video call the whole time and looked anxious. They called the police and stopped the second withdrawal.

The script was familiar. People posing as AIS staff told him his name had been used to register a phone number involved in crime. They moved him onto LINE and a video call, where "officers" sat in front of a background made to look like a police station. Police arrested the 25-year-old Thai man who collected the cash, with the ฿1.2 million, and then a 40-year-old Macau national at a hand-over point in Huai Khwang. Both were charged with fraud by impersonating another person.

Next Step: Steal the Number, Fake the Face

A September arrest in Pattaya shows where this is heading. Immigration Police Division 3 detained a 30-year-old Chinese man on an overstay charge, then found he was wanted in Guangdong. Chinese authorities say he developed AI face-swap software and, with at least three accomplices, obtained a victim's crypto-exchange account details and phone number. Using the face-swap software and a camera program he wrote himself, he allegedly appeared as the victim, reported the SIM card lost and got a replacement. With the victim's number in hand, he could receive the SMS one-time passwords, take over the account and move about 4.7 million USDT (around ฿162 million) out within seconds (Thairath English, The Bangkok Times). That victim was in China, not Thailand, but the method needs only three things: your phone number, some account details, and a usable image of your face.

What This Means for You and Your Family

• The scam starts with your name and number. The opening line, "your name was used to register a number", only works because the caller already knows who you are. That information is cheap. In June, police said a data-trading ring they broke up had sold phone numbers to scam gangs for about ฿10 each (Thairath English).
• Your phone number is a master key. Bank and wallet OTPs go to it by SMS. Whoever controls the SIM can often reset everything else.
• Your face and voice are now data too. Selfies, face-verification videos, recorded video calls and LINE voice notes are the raw material that face-swap and voice-clone tools need. An analysis in the Chiang Rai Times lists stolen mobile-device data alongside social media as a source of these samples.
• Young adults are the target right now. Seven student victims in one network, and a separate student case in Rangsit, all came to light in the same week. Students often have savings from family, little experience with police or banks, and a real fear of "a case against them".

Talk to the Students in Your House

1. No real phone company or police station will put you on a LINE video call and ask you to move money to prove you are innocent. A uniform and a police-station background on screen prove nothing.
2. Hang up. Call the company on its official number, or the AOC anti-scam hotline 1441, and check for yourself.
3. If anyone tells you to keep the call secret from your family or the bank, that alone is the red flag. The Rangsit case was stopped because bank staff asked questions.
4. Close phone numbers you no longer use with your provider, and do not sell or give away a phone with the SIM still inside.

The Old Phone in the Drawer

Students and parents upgrade phones often. The old one usually goes to a second-hand shop, a younger sibling or a drawer. It still holds LINE chats, banking apps, OTP text messages, selfies and face-verification videos, ID card photos and voice notes: everything a scammer needs to sound convincing or to pass as you. A quick reset does not reliably remove it, as we explain in why a factory reset is not enough.

Before a phone or tablet leaves your family, back up what you need, sign out of LINE and banking apps, remove it from your Apple or Google account, take out the SIM, and then have it wiped properly or destroyed. Our phone data destruction service permanently removes LINE, banking apps, photos and ID scans, and you choose wipe-and-return or destruction, with a certificate for every device. Old laptops that hold phone backups and photo libraries need the same care through laptop data destruction. For everything at home at once, our personal data wipe service covers phones, tablets, laptops and loose drives. Ship devices to us from anywhere in Thailand, or request a pickup in Bangkok.

Get an instant quote or call 082-797-3702 to wipe or destroy your family's old phones and laptops, so the next caller who "knows your name" has nothing more to work with.

Sources: Khaosod, CCIB raid on a Saphan Sung house (6 Oct 2026); Thai PBS, "บุกจับ 3 ผู้ต้องหาแก๊งคอลเซนเตอร์ หลอก นศ. พบเสียหายรวม 200 ล้าน" (6 Oct 2026); Bangkok Post, "Bank staff alert leads police to nab two scam suspects" (6 Oct 2026); Thaiger (5 Oct 2026); Thairath English and The Bangkok Times on the Pattaya face-swap SIM-swap arrest (9 Sep 2026); Thairath English on the Cut Down Scam 2 data-trading ring (23 Jun 2026); Chiang Rai Times, "AI Fuels New Wave of Identity Fraud in Thailand" (29 Jul 2026).

แผนที่ความเสี่ยงไซเบอร์ไทยฉบับใหม่ AI ขึ้นอันดับ 1

สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) เผยแพร่ "รายงานการประเมินความเสี่ยงจากภัยคุกคามทางไซเบอร์ของประเทศไทย พ.ศ. 2569" ซึ่งสรุปภาพความเสี่ยงที่ประเทศไทยต้องจับตาในอีก 2 ปีข้างหน้า โดยบางกอกโพสต์รายงานผลการประเมินเมื่อวันที่ 6 ตุลาคม 2569

สกมช. เก็บข้อมูลจากผู้ตอบ 235 คน ใน 134 หน่วยงาน ซึ่งคัดเลือกรายการความเสี่ยงที่เห็นว่าสำคัญมาประเมินเชิงลึก 1,156 รายการ ครอบคลุม 20 สถานการณ์ ตั้งแต่แรนซัมแวร์และฟิชชิง ไปจนถึงการโจมตีห่วงโซ่อุปทาน ระบบควบคุมในโรงงานและสาธารณูปโภค AI และควอนตัม ผลคือ 9 จาก 20 สถานการณ์มีค่าเฉลี่ยอยู่ในระดับความเสี่ยงสูง 10 สถานการณ์อยู่ระดับปานกลาง และ 1 สถานการณ์อยู่ระดับต่ำ ส่วนรายการที่ถูกประเมินเชิงลึก 576 รายการ หรือ 49.8% อยู่ในระดับสูง ซึ่ง สกมช. ย้ำว่าตัวเลขนี้ไม่ได้แปลว่าความเสี่ยงไซเบอร์ครึ่งหนึ่งของประเทศอยู่ในระดับสูง แต่เป็นสัดส่วนของรายการที่ผู้ตอบเห็นว่าสำคัญพอจะนำมาประเมินต่อ

ประเด็นที่โดดเด่นที่สุดคือสถานการณ์ R19 การใช้ AI สนับสนุนการโจมตี และการโจมตีระบบ AI ผู้ตอบ 160 คน (68.1%) เลือกเป็นความเสี่ยงที่น่ากังวล ในจำนวนนี้ 94 คน หรือ 40% ของผู้ตอบทั้งหมด จัดให้เป็นความเสี่ยงอันดับ 1 และ 70% ของผู้ที่ประเมินเรื่องนี้ให้อยู่ในระดับสูง ความเสี่ยงนี้ยังเด่นชัดในทั้ง 7 ภาคส่วนที่ประเมิน ตั้งแต่การเงิน โทรคมนาคม ไปจนถึงขนส่ง พลังงาน และสาธารณสุข สาระสำคัญคือ AI ช่วยฝ่ายป้องกันได้ก็จริง แต่ก็ช่วยให้คนร้ายโจมตีได้เร็วขึ้น กว้างขึ้น และแนบเนียนขึ้นด้วย

ภัยแบบเดิมก็ยังไม่ไปไหน

นอกจาก AI แล้ว รายงานระบุว่าภัยที่องค์กรคุ้นเคยยังเป็นฐานความเสี่ยงสำคัญ ทั้งการเจาะระบบผ่านช่องโหว่ซอฟต์แวร์ แรนซัมแวร์ การเข้าถึงระบบโดยไม่ได้รับอนุญาต การยึดบัญชี การขโมยข้อมูล ฟิชชิง และการหลอกลวงฉ้อโกงออนไลน์ อีกเรื่องที่ สกมช. เตือนคือผลกระทบต่อเนื่องข้ามภาคส่วน เมื่อเหตุที่ผู้ให้บริการรายเดียวลุกลามไปกระทบหลายองค์กรพร้อมกัน

ข้อแนะนำสำหรับองค์กรในรายงานมีหลายข้อ เช่น

• เก็บข้อมูลสำรองแยกขาดจากระบบหลัก ทดสอบการกู้คืนข้อมูลสม่ำเสมอ และแบ่งส่วนเครือข่ายเพื่อรับมือแรนซัมแวร์
• ทำแผนผังการพึ่งพาระบบและผู้ให้บริการ พร้อมกำหนดข้อกำหนดด้านความปลอดภัยให้ผู้ให้บริการภายนอก
• จัดทำบัญชีระบบ AI ที่ใช้งาน ระบุผู้รับผิดชอบให้ชัด และจำกัดสิทธิ์ของ AI เท่าที่จำเป็น
• สำรวจการเข้ารหัสที่ใช้อยู่และข้อมูลที่ต้องรักษาความลับระยะยาว เพื่อวางแผนรับมือภัยจากควอนตัม

ก่อนหน้านั้นหนึ่งสัปดาห์ วันที่ 30 กันยายน ไทยเซิร์ต (ThaiCERT) เผยแพร่ผลศึกษาของ SOCRadar (เป็นข้อมูลระดับโลก ไม่ใช่เฉพาะไทย) ที่วิเคราะห์ "stealer log" หรือข้อมูลที่มัลแวร์ขโมยจากเครื่องคอมพิวเตอร์ที่ติดเชื้อ ช่วง 90 วันพบ 482 องค์กรที่บัญชีหรือรหัสเข้าใช้บริการ AI หลุดออกไป ข้อมูลที่ถูกขโมยมีทั้งคุกกี้เซสชันและ API key ซึ่งอาจทำให้คนร้ายยังล็อกอินค้างอยู่ได้แม้เปลี่ยนรหัสผ่านแล้ว และประวัติแชต AI อาจมีซอร์สโค้ด ข้อมูลลูกค้า หรือสัญญาที่พนักงานเคยวางไว้

เรื่องนี้หมายความว่าอย่างไรกับบริษัทของคุณ

รายงานนี้ไม่ได้พูดถึงฮาร์ดแวร์เก่าโดยตรง แต่ข้อแนะนำทุกข้อย้อนกลับมาที่คำถามเดียวที่หลายบริษัทในไทยยังตอบได้ไม่ทันที คือ สำเนาข้อมูลของเราอยู่ที่ไหนบ้าง และชุดไหนที่ยังจำเป็นต้องเก็บ

• ข้อมูลสำรองทุกชุดคือสำเนา รวมถึงชุดเก่า การแยกข้อมูลสำรองเป็นคำแนะนำที่ดี แต่ดิสก์สำรองที่เปลี่ยนออกไปแล้ว NAS ที่วางอยู่ในห้องเก็บของ หรือดิสก์ที่ถอดออกจากเซิร์ฟเวอร์ตอนอัปเกรด ก็คือสำเนาเช่นกัน แก๊งแรนซัมแวร์จำนวนมากคัดลอกข้อมูลออกไปก่อนเข้ารหัส แล้วขู่จะปล่อยข้อมูล ข้อมูลที่คุณไม่ได้เก็บไว้แล้ว ย่อมไม่มีใครขโมยไปขู่ได้
• "เข้ารหัสแล้ว" อาจไม่ได้ปลอดภัยตลอดไป สกมช. ขอให้องค์กรระบุข้อมูลที่ต้องเป็นความลับไปอีกหลายปี เพราะการเข้ารหัสวันนี้อาจต้านพลังประมวลผลในอนาคตไม่ได้ หากไดรฟ์ที่เก็บความลับระยะยาวต้องออกจากมือคุณ การทำลายทางกายภาพคือคำตอบที่ไม่ต้องลุ้น
• โน้ตบุ๊กจำการล็อกอินไว้ stealer log แสดงให้เห็นว่าคอมพิวเตอร์ทำงานธรรมดาเครื่องหนึ่งเก็บอะไรไว้บ้าง ทั้งรหัสผ่านที่บันทึกไว้ เซสชันที่ยังใช้งานได้ และ API key โน้ตบุ๊กที่ปลดระวางแล้วส่งต่อหรือขาย "ตามสภาพ" อาจยังมีสิ่งเหล่านี้อยู่ครบ
• ผู้รับกำจัดอุปกรณ์ก็อยู่ในห่วงโซ่อุปทานของคุณ ถ้า สกมช. แนะให้กำหนดข้อกำหนดด้านความปลอดภัยกับผู้ให้บริการภายนอก ก็ควรรวมถึงคนที่มารับเซิร์ฟเวอร์และไดรฟ์เก่าของคุณด้วย ขอดูการควบคุมการส่งมอบ (chain of custody) การบันทึกหมายเลขซีเรียล และหนังสือรับรองแยกรายเครื่อง

เช็กลิสต์สั้นๆ ก่อนเปลี่ยนเครื่องรอบหน้า

1. ใส่สื่อเก็บข้อมูลที่ปลดระวางหรือสำรองไว้ลงในบัญชีทรัพย์สินด้วย ทั้งดิสก์สำรองเก่า NAS ดิสก์สำรองของ RAID เซิร์ฟเวอร์ที่เลิกใช้ และโน้ตบุ๊กที่รออยู่ในตู้
2. กำหนดวันหมดอายุให้ข้อมูลสำรองทุกชุด และเมื่อถึงกำหนดให้ทำลายสื่อนั้นจริงๆ ไม่เก็บไว้ "เผื่อใช้"
3. ก่อนโน้ตบุ๊กออกจากบริษัท ให้ยกเลิกเซสชันและคีย์ทั้งหมด แล้วลบข้อมูลอย่างถูกวิธีหรือทำลายสื่อเก็บข้อมูล บริการทำลายข้อมูลโน้ตบุ๊กของเราทำได้ทั้งสองแบบ พร้อมหนังสือรับรอง
4. ดิสก์ที่ถอดออกมาแล้วส่งเข้าบริการทำลายฮาร์ดดิสก์และ SSD ส่วนอุปกรณ์ในแร็กให้ผ่านบริการทำลายข้อมูลเซิร์ฟเวอร์ที่มีรายงานรายการอุปกรณ์
5. ถ้าเปลี่ยนเครื่องทั้งออฟฟิศหรือย้ายสำนักงาน ให้ทำเป็นงานการกำจัดสินทรัพย์ไอทีครั้งเดียว แล้วเก็บหนังสือรับรองไว้กับเอกสาร PDPA

เราทำลายฮาร์ดดิสก์และ SSD ทางกายภาพ (HDD, SSD, M.2 และ NVMe) พร้อมออกหนังสือรับรองการทำลายทุกไดรฟ์ ระบุหมายเลขซีเรียล วิธีการ และวันที่ เราทำเฉพาะอุปกรณ์ ไม่รับย่อยเอกสารกระดาษ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เพื่อทำลายไดรฟ์ เซิร์ฟเวอร์ และโน้ตบุ๊กเก่าที่บริษัทไม่ใช้แล้ว ให้ข้อมูลในนั้นไม่มีวันกลายเป็นวัตถุดิบของการโจมตีครั้งต่อไป

ที่มา: Bangkok Post, "AI-enabled attacks rank as top cyber risk" (6 ต.ค. 2569) รายงานผล "รายงานการประเมินความเสี่ยงจากภัยคุกคามทางไซเบอร์ของประเทศไทย พ.ศ. 2569" ของ สกมช.; สรุปข่าวรายงานฉบับภาษาไทยของ สกมช. ที่เผยแพร่ในสื่อไทย (5 ต.ค. 2569); ThaiCERT, "Infostealers Target Enterprise AI Accounts, Exposing Sessions, API Keys, and Sensitive Data" (30 ก.ย. 2569) สรุปผลศึกษาระดับโลกของ SOCRadar

Thailand's New Cyber Risk Map Puts AI at the Top

The National Cyber Security Agency (NCSA) has published the Thailand National Cyber Risk Assessment Report 2026, its outlook on the cyber risks the country should watch over the next two years. Bangkok Post reported the findings on 6 October 2026.

The NCSA gathered answers from 235 people at 134 organisations, who picked out 1,156 risk items for closer study across 20 scenarios. These run from ransomware and phishing to supply-chain attacks, factory and utility control systems, AI and quantum computing. Nine of the 20 scenarios came out at a high average risk level, ten at medium and one at low. Of the 1,156 items studied in depth, 576 (49.8%) were rated high. The agency is careful to point out that this does not mean half of all cyber risk in Thailand is high. It means half of the items respondents considered important enough to examine.

The standout result is scenario R19: AI-enabled attacks and attacks against AI systems. 160 respondents (68.1%) chose it as a risk of concern, 94 of them (40% of everyone surveyed) ranked it their number one risk, and 70% of those who assessed it rated it high. It also stood out as a prominent concern in all seven sectors covered, from finance and telecoms to transport, energy and public health. The report's point is simple: AI helps defenders, but it also helps attackers work faster, at greater scale and with more polish.

The Old Threats Have Not Gone Anywhere

Alongside AI, the report says familiar threats still form the base of Thailand's risk picture: exploited software vulnerabilities, ransomware, unauthorised access, account takeover, data theft, phishing and online fraud. It also warns about a cascade effect, where one incident at a shared service provider spreads to many organisations at once.

Its recommendations for organisations include:

• Keeping backups isolated from main systems, testing data recovery regularly and segmenting networks against ransomware.
• Mapping dependencies and setting security requirements for service providers.
• Keeping an inventory of AI systems with clear owners, and limiting what AI tools are allowed to do.
• Reviewing current encryption and keys to prepare for quantum threats. NCSA's Thai-language summary adds that organisations should identify data that must stay confidential for the long term.

A week earlier, on 30 September, ThaiCERT shared a SOCRadar study (global, not Thailand-only) of malware "stealer logs" taken from infected computers. Over 90 days it found 482 organisations with exposed AI accounts or credentials. The stolen data included session cookies and API keys, which can let an attacker stay logged in even after a password change. The researchers also warned that AI chat histories can hold source code, customer data and contracts that employees have pasted in.

What This Means for Your Company

None of this is a report about old hardware. But every recommendation above comes back to one question that most Thai companies cannot answer quickly: where are all the copies of our data, and which ones do we still need?

• Every backup is a copy, including the old ones. Isolated backups are good advice. But the backup drives you replaced, the NAS in the storeroom and the disks pulled from a server during an upgrade are copies too. Ransomware groups often copy data before they encrypt it and then threaten to publish it. Data you no longer keep cannot be stolen that way.
• "Encrypted" may not mean "safe forever". The NCSA is asking organisations to identify data that must stay secret for years, because today's encryption may not hold against future computing power. For a drive holding long-life secrets that is leaving your control, physical destruction settles the question.
• Laptops remember logins. Stealer logs show how much sits on an ordinary work computer: saved passwords, live sessions, API keys. A retired laptop handed on or sold "as is" can still carry all of it.
• Your disposal vendor is part of your supply chain. If the NCSA wants security requirements for service providers, that should include whoever takes away your old servers and drives. Ask for chain of custody, serial-number logging and a certificate for each device.

A Short Checklist Before Your Next Hardware Refresh

1. Add retired and spare storage to your asset inventory: old backup disks, NAS units, RAID spares, decommissioned servers and laptops waiting in a cupboard.
2. Set an end-of-life date for every backup set, and destroy the media when that date comes instead of keeping it "just in case".
3. Before a laptop leaves the company, revoke its sessions and keys, then wipe it properly or destroy the storage. Our laptop data destruction service does either, with a certificate.
4. Send loose disks for hard drive and SSD destruction, and handle rack equipment through documented server data destruction with an inventory report.
5. For a full office refresh or move, treat it as one IT asset disposal project and file the certificates with your PDPA records.

We physically destroy hard drives and SSDs (HDD, SSD, M.2 and NVMe) and issue a Certificate of Destruction for every drive, showing serial number, method and date. We handle devices only; we do not shred paper.

Get an instant quote or call 082-797-3702 to destroy the old drives, servers and laptops your company no longer needs, so the data on them can never feed the next attack.

Sources: Bangkok Post, "AI-enabled attacks rank as top cyber risk" (6 Oct 2026), reporting the NCSA's Thailand National Cyber Risk Assessment Report 2026; NCSA's Thai-language summary of the report as carried by Thai media (5 Oct 2026); ThaiCERT, "Infostealers Target Enterprise AI Accounts, Exposing Sessions, API Keys, and Sensitive Data" (30 Sep 2026), summarising a global SOCRadar study.

รัฐเปิดตู้คอนเทนเนอร์ ไล่ล่าขยะอิเล็กทรอนิกส์เถื่อน

วันที่ 14 กันยายน 2569 นายสุชาติ ชมกลิ่น รัฐมนตรีว่าการกระทรวงทรัพยากรธรรมชาติและสิ่งแวดล้อม เป็นประธานการตรวจตู้สินค้าต้องสงสัยที่ท่าเรือแหลมฉบัง จ.ชลบุรี ตามข้อมูลของกรมสอบสวนคดีพิเศษ (DSI) มี 18 หน่วยงานและองค์กรร่วมตรวจ ทั้งกรมศุลกากร กรมควบคุมมลพิษ กรมโรงงานอุตสาหกรรม และ UNODC จาก 9 ตู้ที่เปิดตรวจ 3 ตู้จากโปแลนด์ อังกฤษ และนิวซีแลนด์ สำแดงถูกต้อง ส่วนอีก 6 ตู้จากสหรัฐอเมริกาที่สำแดงเป็นเศษอะลูมิเนียม กลับพบขยะอิเล็กทรอนิกส์ปะปนอยู่

DSI ระบุว่าที่ผ่านมาตรวจพบความผิดแล้ว 151 ตู้ และกำลังขยายผลจากบัญชีเบื้องต้นราว 825 ตู้ที่คาดว่าเคยนำเข้าประเทศไทย เชื่อมโยงผู้ส่งออกในสหรัฐฯ 7 บริษัท และผู้นำเข้าในไทย 16 บริษัท โดยรัฐบาลย้ำว่าตู้หรือบริษัทที่อยู่ในบัญชีตรวจสอบยังไม่ได้แปลว่ากระทำผิด ขณะที่กรมศุลกากรยึดขยะอิเล็กทรอนิกส์ได้ราว 2.7 ล้านกิโลกรัมในช่วง 11 เดือนแรกของปีงบประมาณ 2569

ในแผ่นดิน: โกดังเดียว เกือบ 100 ตัน

ก่อนหน้านั้น 4 วัน คือวันที่ 10 กันยายน เจ้าหน้าที่จังหวัดชลบุรีเข้าตรวจโกดัง 3 หลังใน อ.พานทอง หลังชาวบ้านร้องเรียน ข่าวสด รายงานว่าพบวัสดุกำลังคัดแยกรวมเกือบ 100 ตัน ทั้งขยะอิเล็กทรอนิกส์ แผงวงจร แบตเตอรี่ลิเทียม พลาสติก และอะลูมิเนียม บางส่วนเป็นเศษแผงวงจรที่ถูกผสมปูนแล้วบรรจุกระสอบ คาดว่าเตรียมนำไปทิ้ง ในโกดังพบแรงงานเมียนมา 15 คน และมีข้อมูลว่ากิจการอาจเกี่ยวข้องกับนายทุนจีนที่ใช้ชื่อคนไทยเช่าพื้นที่

วันที่ 18 กันยายน ฐานเศรษฐกิจ รายงานว่ากระทรวงฯ ตั้งชุดปฏิบัติการเฉพาะกิจในภาคตะวันออก ใช้การสืบสวนย้อนกลับ (Traceback) จากจุดทิ้งไปถึงโรงงานต้นทาง เดินหน้าคดีทั้งแพ่ง อาญา และปกครอง ตามหลัก "ผู้ก่อมลพิษเป็นผู้จ่าย" เพื่อไม่ให้คดีจบแค่คนขับรถขนของเสีย

เรื่องนี้หมายความว่าอย่างไรกับบริษัทของคุณ

การปราบปรามครั้งนี้เป็นเรื่องขยะนำเข้าและมลพิษ ไม่ใช่การขโมยข้อมูล และยังไม่มีรายงานว่าข้อมูลรั่วจากจุดเหล่านี้ แต่สะท้อนความจริงที่ผู้จัดการไอทีและฝ่ายอาคารของทุกบริษัทควรใส่ใจ: เมื่ออุปกรณ์อิเล็กทรอนิกส์ออกจากบริษัทผ่านช่องทางไม่เป็นทางการ คุณไม่มีทางรู้เลยว่ามันไปจบที่ไหน

• โรงคัดแยกทุบเครื่องเพื่อเอาโลหะ ไม่ได้ทุบเพื่อปกป้องข้อมูล โรงที่แกะแผงวงจรเพื่อเอาทองแดงและทองไม่มีเหตุผลที่ต้องลบข้อมูลในฮาร์ดดิสก์หรือ SSD ไดรฟ์ที่รอดจากสายคัดแยกอาจถูกขายต่อ และข้อมูลยังอ่านได้
• ผู้ประกอบการแบบนอมินีตามตัวรับผิดชอบได้ยาก เมื่อสถานที่เช่าในชื่อคนหนึ่งแต่คนอื่นเป็นผู้ดำเนินการ คำสัญญาว่า "เดี๋ยวทำลายให้" แทบไม่มีความหมาย
• การสืบย้อนกลับใช้ได้ทั้งสองทาง ทางการประกาศแล้วว่าจะตามของเสียกลับไปถึงต้นทาง หากป้ายทรัพย์สินของบริษัทคุณไปโผล่ที่จุดทิ้งผิดกฎหมาย คำถามจะย้อนกลับมาที่คุณ และตาม PDPA คุณยังต้องรับผิดชอบข้อมูลส่วนบุคคลในอุปกรณ์ที่ส่งออกจากบริษัท

หลักง่ายๆ ในการกำจัดอุปกรณ์สำหรับธุรกิจไทย

1. แยกข้อมูลออกจากขยะ ถอดและทำลายสื่อเก็บข้อมูลก่อนเสมอ ด้วยบริการทำลายฮาร์ดไดรฟ์และ SSD สำหรับโน้ตบุ๊ก คอมพิวเตอร์ตั้งโต๊ะ และเซิร์ฟเวอร์ ส่วนมือถือต้องลบหรือทำลายข้อมูลอย่างถูกวิธี
2. ส่วนที่เหลือรีไซเคิลผ่านช่องทางที่ตรวจสอบได้ สายไฟ จอ เครื่องพิมพ์ และอุปกรณ์เครือข่าย ควรส่งให้บริการกำจัดขยะอิเล็กทรอนิกส์ที่มีเอกสารชัดเจน ไม่ใช่คนรับซื้อของเก่าที่ให้ราคาสูงสุด
3. เก็บเอกสารให้ครบ บันทึกหมายเลขซีเรียล วันที่รับของ และหนังสือรับรองการทำลายข้อมูล ไว้ร่วมกับเอกสารตามข้อกำหนด PDPA
4. เมื่อเคลียร์ออฟฟิศ ย้ายสำนักงาน หรือเปลี่ยนเครื่องทั้งรอบ ให้ทำเป็นงานการกำจัดสินทรัพย์ไอทีครั้งเดียวที่มีเอกสารครบ ไม่ให้มีเครื่องค้างในห้องเก็บของหรือถูกขาย "ตามสภาพ"

เรารับอุปกรณ์อิเล็กทรอนิกส์เก่าจากธุรกิจในกรุงเทพฯ ทำลายข้อมูลในอุปกรณ์ที่มีข้อมูลพร้อมหนังสือรับรองการทำลายข้อมูลทุกเครื่อง และส่งส่วนที่เหลือเข้าช่องทางกำจัดอีเวสต์ที่ได้รับการรับรอง ไม่ฝังกลบ เราทำเฉพาะอุปกรณ์ ไม่รับย่อยเอกสารกระดาษ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เพื่อเคลียร์อุปกรณ์ไอทีเก่าอย่างมีหลักฐาน ก่อนที่มันจะไปโผล่ในที่ที่คุณไม่เคยตั้งใจส่งไป

ที่มา: DSI, การตรวจตู้สินค้าต้องสงสัยตามอนุสัญญาบาเซล ร่วมกับ 18 หน่วยงาน (15 ก.ย. 2569); Bangkok Post, "Thailand moves to end 'world waste bin' image" (15 ก.ย. 2569); ข่าวสด (10 ก.ย. 2569); ฐานเศรษฐกิจ (18 ก.ย. 2569); ไทยโพสต์ แถลงของรองโฆษกประจำสำนักนายกรัฐมนตรีเรื่องบัญชีตรวจสอบ 825 ตู้ (18 ก.ย. 2569) ตู้และบริษัทในบัญชีตรวจสอบอยู่ระหว่างการสอบสวน ยังไม่ใช่ข้อสรุปว่ากระทำผิด

Thailand Opens the Containers

On 14 September 2026, Natural Resources and Environment Minister Suchart Chomklin led a joint inspection of suspect shipping containers at Laem Chabang Port in Chon Buri. According to the Department of Special Investigation (DSI), 18 agencies and organisations took part, including Customs, the Pollution Control Department, the Department of Industrial Works and UNODC. Of nine containers opened, three from Poland, the UK and New Zealand matched their paperwork. The other six, shipped from the United States and declared as aluminium scrap, were found to contain mixed electronic waste.

The DSI says it has already confirmed violations in 151 containers and is working through a watchlist of about 825 containers believed to have entered Thailand, linked to seven US exporters and 16 Thai importing companies. Officials stress that a container or company on the watchlist has not been proven guilty. Bangkok Post reported that the minister wants to end Thailand's image as "the world's waste bin". Customs figures cited by The Pattaya News show about 2.7 million kg of e-waste seized in the first 11 months of fiscal 2026.

Meanwhile, Inland: 100 Tonnes in a Warehouse

Four days earlier, on 10 September, Chon Buri officials raided three warehouses in Phan Thong district after complaints from local residents. Khaosod reported nearly 100 tonnes of material being sorted: electronic waste, circuit boards, lithium batteries, plastic and aluminium. Some broken circuit boards had been mixed with cement and bagged, apparently ready to be dumped. Fifteen Myanmar workers were on site, and reporters were told the business may have been backed by Chinese investors renting the site in a Thai person's name.

On 18 September, Thansettakij reported that the ministry has set up a task force covering the eastern provinces. It plans to trace dumped waste back to the factories it came from, push civil as well as criminal cases, and apply the "polluter pays" principle so responsibility does not stop with the truck driver.

What This Means for Your Company

This crackdown is about imported waste and pollution, not data theft, and no data loss has been reported from these sites. But it shows something every Thai IT and facilities manager should take seriously: once electronics leave your building through an informal channel, you have no idea where they end up.

• Scrap yards break hardware for metal, not for privacy. A yard that strips circuit boards for copper and gold has no reason to wipe a hard drive or SSD. Drives that survive the sorting line can be resold, and their data can be read.
• Nominee operators are hard to hold to account. When a site is rented in one person's name and run by someone else, a promise that "we will destroy it" means nothing.
• Traceback works both ways. Authorities now say they will trace waste back to its source. If your asset tags turn up at an illegal site, the questions come to you. Under the PDPA, you also remain responsible for personal data on devices you send out the door.

A Simple Disposal Rule for Thai Businesses

1. Separate the data from the waste. Remove and destroy storage media first: hard drive and SSD destruction for laptops, desktops and servers, and proper wiping or destruction for phones.
2. Recycle the rest through a known channel. Cables, monitors, printers and network gear should go to a documented e-waste disposal service, not to the cheapest scrap buyer.
3. Keep the paperwork. Record serial numbers, collection dates and certificates of destruction with your PDPA data destruction records.
4. For office cleanouts, relocations or refresh cycles, handle everything as one documented IT asset disposal job, so nothing gets left in a storeroom or sold "as is".

We collect old electronics from Bangkok businesses, destroy the data-bearing devices with a Certificate of Data Destruction for each one, and send the rest through certified e-waste channels, never landfill. We handle devices only; we do not shred paper.

Get an instant quote or call 082-797-3702 to clear your old IT equipment the documented way, before it turns up somewhere you would never send it.

Sources: DSI, "DSI Joins Forces with 18 Agencies to Inspect Containers Suspected of Basel Convention Violations and Illegal E-Waste Smuggling" (15 Sep 2026); Bangkok Post, "Thailand moves to end 'world waste bin' image" (15 Sep 2026); The Pattaya News (14 Sep 2026); Khaosod (10 Sep 2026); Thansettakij (18 Sep 2026); Thai Post, government briefing on the 825-container watchlist (18 Sep 2026). Watchlisted containers and companies are under investigation, not proven violations.

ถูกไล่จากกัมพูชา — แต่ยังไม่ถูกทำลาย

เมื่อวันที่ 2 กันยายน 2569 Bangkok Post (อ้าง South China Morning Post) รายงานว่าเครือข่ายไซเบอร์สแกมที่ถูกผลักออกจากคอมปาวด์ในกัมพูชากำลังตั้งฐานใหม่ในเมียนมา ลาว และมาเลเซีย ฝ่ายกัมพูชาระบุว่าปิดศูนย์สแกมไปหลายร้อยแห่งและเนรเทศชาวต่างชาติหลายหมื่นคน แต่กลุ่มภาคประชาสังคมบอกว่าผู้ดำเนินการจำนวนมากแค่ย้ายฐาน โดยมีเครือข่ายหนึ่งอ้างรายงานว่าชาวต่างชาติราว 10,000–20,000 คนถูกย้ายจากกัมพูชาไปทางเมียนมาหลังการปราบปราม

ประมาณการของ UNODC ที่ถูกอ้างในรายงานเดียวกันระบุว่าความเสียหายจากสแกมในเอเชีย-แปซิฟิกปี 2568 อยู่ที่ราว 88,000–114,000 ล้านดอลลาร์สหรัฐ — ไม่ใช่แค่ปัญหาครัวเรือน แต่เป็นอาชญากรรมระดับอุตสาหกรรมที่ขับเคลื่อนด้วยมือถือ ซิม โน้ตบุ๊ก และโครงสร้างบัญชีม้า

ไทยกำลังเลื่อนจุดตัดวงจรขึ้นไปด้านหน้า

วันที่ 2 ตุลาคม 2569 Bangkok Post รายงานว่าศูนย์ต่อต้านการฉ้อโกงออนไลน์ (ACSC) กำลังขยายความร่วมมือกับออสเตรเลีย สหรัฐฯ และประเทศเพื่อนบ้าน และเปลี่ยนจากการเตือนเหยื่อหลังเกิดเหตุ ไปสู่การตรวจจับและตัดวงจรตั้งแต่ต้น พล.ต.ท.จิรบถ ภูริเดช ผอ.ศูนย์ ระบุว่าเป้าหมายไม่ใช่แค่จับคนโทรหลอก แต่ต้องตัดฐานปฏิบัติการ เครือข่ายบุคคล เส้นทางเงิน และทรัพย์สินไปพร้อมกัน

ตัวเลข ACSC ช่วง 13–19 ก.ย. 2569 มีคดีรายงานผ่านระบบออนไลน์ของตำรวจ 5,415 คดี ความเสียหายราว 236 ล้านบาท — ยังหนักแม้จะลดลงจากสัปดาห์ก่อน และสแกมสินค้า/บริการยังเป็นประเภทที่พบบ่อยที่สุด

เรื่องนี้หมายความว่าอย่างไรกับบริษัทไทย

แก๊งข้ามพรมแดนไม่ได้เล็งแค่ผู้บริโภค บริษัทจดทะเบียนในไทย ผู้ประกอบการทัวร์ และเส้นทางโลจิสติกส์ปรากฏในคดีทั้งในฐานะตัวกลางและในฐานะเหยื่อของการโกง B2B ก้อนใหญ่ เมื่อคอมปาวด์ย้ายฐาน ชุดเครื่องมือที่ย้ายตามคือฮาร์ดแวร์ดิจิทัล

• มือถือและซิมคือสต็อกของอาชญากรรม ชุดรับสมัครและระบบ VoIP พึ่งพามือถือจำนวนมากกับซิมเติมเงิน ธุรกิจใดที่ซื้อ เก็บ กระจาย หรือกำจัดมือถือปริมาณมาก ต้องมีหลักฐานการทำลายข้อมูล
• อุปกรณ์พนักงานและผู้รับจ้างถือกุญแจ แอปธนาคาร แชทไลน์/เทเลแกรม รายชื่อลูกค้า และคอนฟิก VPN อยู่ในมือถือและโน้ตบุ๊ก หากขายเครื่อง "ตามสภาพ" หลังจบโปรเจกต์ คุณอาจส่งข้อมูลรับรองตัวตนให้ผู้ซื้อรายต่อไป
• ป้องกันถูกกว่าแก้หลังเกิดเหตุ การผลักดันของ ACSC จะได้ผลก็ต่อเมื่อบริษัทหยุดปล่อยข้อมูลและอุปกรณ์ที่แก๊งเอาไปใช้ซ้ำ

ทำลายฮาร์ดแวร์ที่เครือข่ายสแกมเอาไปใช้ต่อ

เมื่อบริษัทปลดระวางมือถือที่ใช้งานขาย โลจิสติกส์ ภาคสนาม หรือบริการลูกค้า อย่าส่งให้ร้านรีไซเคิลไม่เป็นทางการ ให้ใช้บริการทำลายข้อมูลโทรศัพท์และแท็บเล็ตที่ได้รับการรับรอง สำหรับรอบเปลี่ยนเครื่องในออฟฟิศ ให้คู่กับการกำจัดสินทรัพย์ไอที และเมื่อสื่อเก็บข้อมูลถูกถอดออกจากเครื่อง ให้ทำลายทางกายภาพด้วยบริการทำลายฮาร์ดไดรฟ์และ SSD

เราออกหนังสือรับรองการทำลายข้อมูลทุกรายการ — หมายเลขซีเรียล วิธีทำลาย และวันที่ — เพื่อให้คุณมีหลักฐานหากหน่วยงานกำกับหรือคู่ค้าถามว่าข้อมูลไปไหน เราทำเฉพาะอุปกรณ์ ไม่รับย่อยเอกสารกระดาษ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เพื่อลบหรือทำลายข้อมูลบนมือถือและคอมพิวเตอร์ของบริษัท เพื่อไม่ให้เครือข่ายสแกมที่ย้ายฐานนำสิ่งที่คุณทิ้งไว้ไปใช้ต่อ

ที่มา: Bangkok Post / SCMP, "Southeast Asia's scam gangs regroup after Cambodia's purge" (2 ก.ย. 2569); Bangkok Post, "Cops widen cross-border scam fight" (2 ต.ค. 2569) ตัวเลขการย้ายชาวต่างชาติและประมาณการความเสียหายของ UNODC ตามที่สื่อรายงาน จำนวนผู้ถูกกักในคอมปาวด์จากเอ็นจีโอควรถือเป็นประมาณการ

Dislodged from Cambodia — Not Destroyed

On 2 September 2026, Bangkok Post (via South China Morning Post) reported that cyberscam cartels pushed out of Cambodian compounds are regrouping in Myanmar, Laos and Malaysia. Cambodia says it closed hundreds of scam sites and deported tens of thousands of foreign nationals. Civil-society groups say many operators simply moved: one network quoted reports of roughly 10,000–20,000 foreigners transferred from Cambodia toward Myanmar after the crackdown.

A UNODC estimate cited in the same reporting put Asia-Pacific scam-related losses in 2025 at between US$88 billion and US$114 billion. That is not a household nuisance figure — it is industrial crime that runs on phones, SIMs, laptops and money-mule infrastructure.

Thailand's Response Is Shifting Upstream

On 2 October 2026, Bangkok Post reported that Thailand's Anti-Cyber Scam Centre (ACSC) is widening cooperation with Australia, the United States and neighbouring countries, and moving from after-the-fact victim warnings toward earlier detection and disruption. Pol Lt Gen Jirabhop Bhuridej, ACSC director, said the goal is not only to arrest callers but to cut operational bases, personnel networks, financial routes and assets at the same time.

ACSC figures for 13–19 September 2026 showed 5,415 cases and about ฿236 million in losses reported through the Thai Police Online system — still heavy even after a week-on-week dip. Goods-and-services scams remained the most common type.

What This Means for Thai Companies

Cross-border gangs do not only target consumers. Thai-registered companies, tour operators and logistics routes have repeatedly appeared in investigations as facilitators or as victims of large B2B fraud. When compounds relocate, the kit that moves with them is digital hardware.

• Phones and SIMs are inventory for crime. Recruitment kits and VoIP setups depend on bulk handsets and prepaid SIMs. Any business that buys, stores, redistributes or disposes of phones at volume needs a destruction trail.
• Staff and contractor devices hold the keys. Banking apps, Line/Telegram chats, customer lists and VPN configs live on phones and laptops. If a device is sold "as is" after a project ends, you may be handing credentials to the next buyer.
• Prevention is cheaper than cleanup. ACSC's push for early disruption only works if companies stop leaking the data and devices that gangs reuse.

Destroy the Hardware Gang Networks Reuse

When your company retires phones used for sales, logistics, field work or customer support, do not send them to informal recyclers. Use certified phone and tablet data destruction. For office refresh cycles, pair that with IT asset disposal and, where storage media leave the chassis, physical hard drive and SSD destruction.

We issue a Certificate of Data Destruction for every device — serial number, method and date — so you have evidence if regulators or partners ask what happened to the data. We handle devices only; we do not shred paper.

Get an instant quote or call 082-797-3702 to erase or destroy company phones and computers so relocating scam networks cannot recycle what you leave behind.

Sources: Bangkok Post / SCMP, "Southeast Asia's scam gangs regroup after Cambodia's purge" (2 Sep 2026); Bangkok Post, "Cops widen cross-border scam fight" (2 Oct 2026). Figures on foreign transfers and UNODC loss estimates are as reported by those outlets; compound population counts from NGOs should be treated as estimates.

การจับกุม: ไม่ใช่บัญชีส่วนตัว แต่เป็นห้างหุ้นส่วนปลอม

เมื่อวันที่ 2 กันยายน 2569 กองบัญชาการตำรวจสอบสวนคดีอาชญากรรมทางเทคโนโลยี (บช.สอท. / CCIB) จับกุมหญิงไทยอายุ 31 ปี ในเขตภาษีเจริญ กรุงเทพฯ ตามหมายจับที่เกี่ยวข้องกับเครือข่ายบัญชีม้าองค์กร ตำรวจระบุว่าบัญชีที่เธอจัดหาให้เชื่อมโยงกับคดีฉ้อโกงแล้วกว่า 27 คดีทั่วประเทศ

ตามรายงานของ Bangkok Post และ ไทยรัฐ ผู้ต้องหาจดทะเบียนห้างหุ้นส่วนจำกัดโดยไม่มีกิจการจริง เปิดบัญชีธนาคารในนามห้างนั้น แล้วขายต่อผ่านกลุ่มเฟซบุ๊ก นายทุนจีนที่ใช้ชื่อ "อาเหยา" (Ah Yao) ถูกกล่าวหาว่าจ่ายค่าตอบแทนบัญชีองค์กรพร้อมใช้ประมาณ 80,000–150,000 บาทต่อบัญชี และส่งมอบโทรศัพท์มือถือกับซิมจากการตลาดมืดให้ใช้สมัครแอปธนาคาร

ธุรกิจจริงโดนหลอกอย่างไร

คดีที่นำไปสู่การจับกุมเริ่มในเดือนสิงหาคม 2569 เจ้าของธุรกิจโซลาร์เซลล์ในจันทบุรีถูกติดต่อผ่านไลน์ของร้านเรื่องออเดอร์จำนวนมาก จากนั้น "ลูกค้า" ชักจูงให้ช่วยซื้อลวดหนามมูลค่าประมาณ 700,000 บาท อ้างว่าจะส่งเข้าค่ายทหารในชลบุรี และให้โอนเงินเข้าบัญชีห้างหุ้นส่วนที่ดูเหมือนถูกต้องตามกฎหมาย พอโอนแล้วติดต่อไม่ได้

รูปแบบนี้สำคัญกับทุกบริษัทที่ขายแบบ B2B: ชื่อบัญชีที่ดูเป็นนิติบุคคลไม่ได้แปลว่าเป็นบริษัทจริง แก๊งซื้อห้างหุ้นส่วนเปล่าเพราะแผนกบัญชีมักไว้ใจมากกว่าบัญชีส่วนตัว

เรื่องนี้หมายความว่าอย่างไรกับองค์กรของคุณ

หากบริษัทคุณโอนเงินให้ซัพพลายเออร์ ตรวจคู่ค้า หรือแจกมือถือให้พนักงานเปิดแอปธนาคาร/วอลเล็ต นี่คือประเด็นด้านการปฏิบัติตามกฎหมาย ไม่ใช่แค่เรื่องหลอกลวงผู้บริโภค

• การจ่ายเงินให้คู่ค้า: ถือว่าบัญชีห้างหุ้นส่วนที่เพิ่งใช้ครั้งแรกเป็นความเสี่ยงสูง ตรวจสอบการจดทะเบียน กรรมการ และบัญชีปลายทางด้วยช่องทางที่คุณควบคุมเอง ไม่ใช่แค่แชทไลน์
• มือถือพนักงานและแอปธนาคาร: มือถือที่ใช้สมัครแอปธนาคารองค์กรหรือห้างหุ้นส่วนเก็บข้อมูลรับรองตัวตน OTP และประวัติแชท เมื่อเครื่องถูกเปลี่ยน ขาย หรือหาย การรีเซ็ตโรงงานอย่างเดียวไม่พอ
• ซากห้างหุ้นส่วนปลอม: ห้างที่ถูกทิ้งมักเหลือมือถือ ซิม และโน้ตบุ๊ก หากอุปกรณ์เหล่านี้เข้าตลาดมือสองพร้อมข้อมูลที่กู้คืนได้ องค์กรคุณหรือคู่ค้ายังเสี่ยงอยู่

มุมอุปกรณ์ที่ตำรวจพูดถึงซ้ำๆ

พนักงานสอบสวนระบุว่านายทุนจีนจัดหาโทรศัพท์และซิมตลาดมืดเป็นชุดรับสมัคร — รูปแบบเดียวกับเศรษฐกิจคอลเซ็นเตอร์ในภูมิภาคนี้: มือถือราคาถูก ซิมเติมเงิน และแอป ไม่ใช่สมุดบัญชีกระดาษ เมื่อตำรวจยึดอุปกรณ์เหล่านี้ถือเป็นของกลาง แต่เมื่อบริษัทปกติปลดระวางอุปกรณ์ประเภทเดียวกัน ความเสี่ยงด้านข้อมูลไม่ได้หายไป แค่ย้ายไปที่ร้านรับซื้อของเก่าหรือผู้ซื้อบนมาร์เก็ตเพลส

นั่นคือเหตุผลที่บริการทำลายข้อมูลโทรศัพท์และแท็บเล็ตควรอยู่ในแผนเดียวกับการอายัดบัญชีม้า เช่นเดียวกับการกำจัดสินทรัพย์ไอทีสำหรับโน้ตบุ๊กหรือเดสก์ท็อปที่ใช้ดูแลบัญชีบริษัท เงินเดือน หรือไฟล์ซัพพลายเออร์ หากสื่อเก็บข้อมูลต้องออกจากบริษัท ให้ใช้บริการทำลายฮาร์ดไดรฟ์และ SSDที่ได้รับการรับรอง แทนร้านรับซื้อคอมเก่าแบบไม่เป็นทางการ

เช็กลิสต์สั้นๆ สำหรับบริษัทไทย

1. ต้องมีการยืนยันสองชั้นก่อนโอนเงินก้อนใหญ่เข้าบัญชีห้างหุ้นส่วนหรือบริษัทใหม่
2. จดหมายเลขซีเรียลของมือถือและโน้ตบุ๊กที่ออกให้ฝ่ายบัญชี การเงิน หรือฝ่ายขาย
3. เมื่อพนักงานลาออกหรือเปลี่ยนเครื่อง ให้ลบหรือทำลายข้อมูลตามขั้นตอนเป็นลายลักษณ์อักษร — อย่าส่งต่อให้ร้านรับซื้อไม่เป็นทางการ
4. ขอหนังสือรับรองการทำลายที่ระบุหมายเลขซีเรียล วิธีทำลาย และวันที่ แล้วเก็บไว้กับเอกสาร PDPA
5. จำไว้ว่าตาม PDPA การไม่คุ้มครองข้อมูลส่วนบุคคลบนอุปกรณ์ที่คุณควบคุมยังอาจเป็นปัญหาของคุณได้ แม้ฮาร์ดแวร์จะออกจากออฟฟิศแล้ว อ่านภาพรวมข้อกำหนด PDPA เรื่องการทำลายข้อมูลของเรา

เรารับทำลายข้อมูลบนมือถือ แท็บเล็ต โน้ตบุ๊ก เดสก์ท็อป ไดรฟ์ และเซิร์ฟเวอร์สำหรับธุรกิจในกรุงเทพฯ พร้อมออกหนังสือรับรองการทำลายข้อมูลทุกรายการ เราทำเฉพาะอุปกรณ์ — ไม่รับย่อยเอกสารกระดาษ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702 หากบริษัทคุณต้องการลบหรือทำลายข้อมูลบนอุปกรณ์ เพื่อไม่ให้เครือข่ายบัญชีม้าและมิจฉาชีพนำข้อมูลที่เหลือไปใช้ต่อ

ที่มา: Bangkok Post, "Accused agent for corporate 'mule accounts' arrested" (2 ก.ย. 2569); ไทยรัฐฉบับภาษาอังกฤษ, "Cyber Police Arrest Female Horse Stable Owner Supplying Corporate Bank Accounts to Chinese Scam Gang" (2 ก.ย. 2569) รายงานระบุชื่อผู้ต้องหาว่า รันวรัช / "พิม" และนายทุนจีนในชื่อ "อาเหยา"

The Arrest: Shell Companies, Not Personal Bank Accounts

On 2 September 2026, Thailand's Cyber Crime Investigation Bureau (CCIB) arrested a 31-year-old Thai woman in Phasi Charoen, Bangkok, on warrants linked to a corporate mule-account network. Police said accounts she supplied had already been tied to more than 27 fraud cases nationwide.

According to Bangkok Post and Thairath, the suspect registered limited partnerships with no real business, opened bank accounts in those names, and sold them through Facebook groups. A Chinese financier known as "Ah Yao" allegedly paid her ฿80,000–150,000 per ready-to-use corporate account and supplied mobile phones and SIM cards from the black market so recruits could install banking apps.

How a Real Business Got Hit

The case that triggered the arrest began in August 2026. A solar-panel business owner in Chanthaburi was contacted on the shop's Line account about a large order. The "customer" then persuaded him to help buy concertina razor wire worth about ฿700,000 for a supposed military camp in Chon Buri — and to transfer the money to a limited-partnership bank account that looked legitimate. After the transfer, the contact disappeared.

That pattern matters for every Thai company that sells B2B: a corporate-looking account name is not proof of a real company. Scammers buy empty limited partnerships precisely because finance teams are more willing to trust them than a personal account.

What This Means for You

If your firm wires money, verifies suppliers, or issues phones for staff who open bank or e-wallet apps, this case is a compliance problem — not only a retail-scam story.

• Vendor payments: Treat first-time limited-partnership accounts as high risk. Verify company registration, directors and the destination account through channels you control, not through Line chat alone.
• Staff phones and banking apps: Phones used to register corporate or partnership banking apps hold credentials, OTPs and chat logs. When those devices are replaced, sold or lost, a factory reset is not enough.
• Shell-company leftovers: Abandoned limited partnerships leave behind phones, SIMs and laptops. If those devices re-enter the second-hand market with recoverable data, your organisation — or your partners — can still be exposed.

The Device Angle Police Keep Highlighting

Investigators said the Chinese financier provided black-market phones and SIMs as part of the recruitment kit. That is the same pattern seen across Southeast Asia's call-centre economy: cheap handsets, prepaid SIMs and apps, not paper ledgers. When police seize those devices, they treat them as evidence. When a normal company retires the same class of equipment, the data risk does not disappear — it just moves to a recycler or a Facebook Marketplace buyer.

That is why phone and tablet data destruction belongs in the same playbook as freezing mule accounts. So does documented IT asset disposal for any laptop or desktop used to manage company banking, payroll or supplier files. If storage media leave the building, use certified hard drive and SSD destruction rather than informal "we buy old computers" shops.

A Short Checklist for Thai Companies

1. Require dual verification before large transfers to any new limited partnership or company account.
2. Keep a serial-number inventory of phones and laptops issued for banking, finance or sales roles.
3. When staff leave or devices are refreshed, wipe or destroy them under a written process — do not hand them to informal buyers.
4. Ask for a certificate of destruction showing serial number, method and date, and keep it with your PDPA records.
5. Remember: under Thailand's PDPA, failing to secure personal data on devices you control can still be your problem even after the hardware leaves the office. See our overview of PDPA data destruction requirements.

We destroy data on phones, tablets, laptops, desktops, drives and servers for Bangkok businesses and issue a Certificate of Data Destruction for every device. We handle devices only — not paper shredding.

Get an instant quote or call 082-797-3702 if your company needs to erase or destroy devices so mule-account and scam networks cannot reuse what is left on them.

Sources: Bangkok Post, "Accused agent for corporate 'mule accounts' arrested" (2 Sep 2026); Thairath English, "Cyber Police Arrest Female Horse Stable Owner Supplying Corporate Bank Accounts to Chinese Scam Gang" (2 Sep 2026). Suspect identified in reports as Ranwarat / "Pim"; Chinese financier referred to as "Ah Yao".

สองคำเตือนจากตำรวจในสัปดาห์เดียว

วันที่ 27 กันยายน 2569 สำนักงานตำรวจแห่งชาติเตือนว่ามิจฉาชีพฉวยโอกาสจากสถานการณ์น้ำท่วมใน 2 รูปแบบ แบบแรกสร้างเพจหรือบัญชีปลอมแอบอ้างเป็นหน่วยงานรัฐ มูลนิธิ หรือบุคคลที่น่าเชื่อถือ ใช้ภาพน้ำท่วมเก่าหรือภาพที่สร้างด้วย AI เพื่อเปิดรับบริจาคเข้าบัญชีของตัวเอง แบบที่สองส่ง SMS หรือสร้างเพจปลอมอ้างเป็นหน่วยงานรัฐ เปิดให้ผู้ประสบภัยลงทะเบียนรับเงินเยียวยา หลอกให้กดลิงก์หรือเพิ่มเพื่อนใน LINE แล้วกรอกเลขบัตรประชาชนและข้อมูลส่วนตัว สแกนใบหน้า หรือสแกน QR Code บางรายยังถูกเรียกเก็บ "ค่าลงทะเบียน" หรือ "ค่าดำเนินการ" อีกด้วย

สัปดาห์ก่อนหน้านั้น วันที่ 20 กันยายน ตำรวจเตือนเรื่องเพจปลอมแอบอ้างหน่วยงานราชการ ที่เสนอตัวว่าจะช่วยผู้เสียหายตามเงินคืนจากมิจฉาชีพ โดยให้ลงทะเบียนหรือส่งเอกสารทางออนไลน์ ตำรวจยืนยันว่าหน่วยงานราชการไม่มีนโยบายเปิดระบบลงทะเบียนรับเงินคืนผ่านเพจเฟซบุ๊ก และไม่ให้ประชาชนส่งเอกสารผ่านเฟซบุ๊กหรือไลน์ เพจเหล่านี้มีไว้หลอกให้โอนเงินหรือเก็บข้อมูลส่วนบุคคล และอาจทำให้ผู้เสียหายถูกหลอกซ้ำอีกครั้ง

ถูกหลอกซ้ำร้ายแรงแค่ไหน

วันที่ 30 สิงหาคม 2569 ตำรวจกองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับเศรษฐกิจ (บก.ปอศ.) จับกุมหญิงวัย 41 ปีที่สถานีกลางกรุงเทพอภิวัฒน์ ในคดีที่สะท้อนกลโกงนี้ชัดเจน เมื่อเดือนพฤษภาคม 2568 ผู้เสียหายสั่งซื้อมือถือผ่านเฟซบุ๊กแต่ไม่ได้รับของ จากนั้นมีคนแอด LINE มาเสนอช่วยตามเงินคืน แล้วหลอกให้จ่าย "ค่าดำเนินการ" หลายขั้นตอน จนโอนเงินไปทั้งหมด 64 ครั้ง เสียหายกว่า 8 ล้านบาท ตำรวจระบุว่าผู้ต้องหาเป็นบัญชีม้า โดยผู้ต้องหาให้การว่าเคยให้เพื่อนยืมสมุดบัญชี บัตร ATM และรหัส PIN

ทำไมบัตรประชาชนคือของที่มิจฉาชีพต้องการ

เลขบัตรประชาชน รูปบัตรที่ชัด และภาพสแกนใบหน้า คือสิ่งที่มิจฉาชีพใช้เปิดบัญชีธนาคาร ลงทะเบียนซิม หรือผ่านการยืนยันตัวตนในชื่อของคุณ นี่คือเหตุผลที่แบบฟอร์มปลอมเหล่านี้ขอข้อมูลเหล่านี้ และเมื่อหลุดออกไปแล้ว คุณเปลี่ยนไม่ได้เหมือนเปลี่ยนรหัสผ่าน

ป้องกันตัวเอง

• ยึดหลัก "ก่อนช่วย ก่อนเชื่อ ก่อนโอน เช็กให้ชัวร์" ไม่กดลิงก์แปลกๆ และไม่กรอกข้อมูลส่วนตัวหรือข้อมูลการเงินเพียงเพราะถูกเร่ง
• การช่วยเหลือจริงและการแจ้งความจริงไม่ต้องจ่ายค่าธรรมเนียม ไม่ต้องสแกนใบหน้าผ่านแชท LINE และไม่ต้องส่งเอกสารผ่านเฟซบุ๊ก
• ตรวจสอบเพจ หน่วยงาน และชื่อบัญชีผู้รับเงินจากช่องทางทางการก่อนทุกครั้ง
• แจ้งความออนไลน์ได้ที่ thaipoliceonline.go.th หรือโทรสายด่วน AOC 1441 ถ้ามีคนติดต่อมาบอกว่าจะช่วยตามเงินคืน ให้สงสัยไว้ก่อน

สำเนาบัตรที่คุณมีอยู่แล้ว

เกือบทุกคนเคยถ่ายรูปบัตรประชาชนมาแล้วหลายครั้ง ทั้งเปิดบัญชีธนาคาร ลงทะเบียนซิม เช่าห้อง หรือสมัครแอปต่างๆ รูปเหล่านั้นยังอยู่ในอัลบั้มรูป ในแชท LINE และในไฟล์สำรองบนมือถือเก่าที่เก็บไว้ในลิ้นชัก มือถือที่ขายหรือยกให้คนอื่นหลังรีเซ็ตแบบผ่านๆ อาจส่งข้อมูลทั้งหมดนี้ต่อให้เจ้าของคนใหม่ อ่านเพิ่มเติมได้ที่มือถือเก่ากับภัยมิจฉาชีพในไทย

ก่อนมือถือหรือแท็บเล็ตเครื่องเก่าจะออกจากมือคุณ ให้ลบรูปบัตรประชาชนและเอกสาร ออกจากระบบ LINE และแอปธนาคาร ลบเครื่องออกจากบัญชี Google หรือ Apple แล้วค่อยล้างข้อมูลอย่างถูกวิธี บริการทำลายข้อมูลมือถือของเราลบ LINE แอปธนาคาร รูปภาพ และสำเนาบัตรอย่างถาวร พร้อมหนังสือรับรองทุกเครื่อง หากต้องการจัดการทั้งบ้าน รวมถึงโน้ตบุ๊กและฮาร์ดดิสก์เก่า ดูบริการลบข้อมูลส่วนบุคคล ส่งอุปกรณ์มาหาเราได้จากทั่วประเทศ หรือนัดรับถึงที่ในกรุงเทพฯ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702

ที่มา: ประกาศเตือนของสำนักงานตำรวจแห่งชาติ 27 กันยายน 2569 และ 20 กันยายน 2569 รายงานโดยสยามนิวส์; MGR Online 30 สิงหาคม 2569

Two Police Warnings in One Week

On 27 September 2026, the Royal Thai Police warned that scammers are using the floods to target people in two ways. Some set up fake pages pretending to be government agencies, foundations or trusted people, using old or AI-made flood images to collect donations into accounts they control. Others send SMSs or create fake government pages inviting flood victims to register for relief money. Victims are asked to click a link or add a LINE account, then enter their ID card number and personal details, scan their face or scan a QR code. Some are then asked to pay a "registration" or "processing" fee.

A week earlier, on 20 September, police warned about fake pages pretending to be government offices that offer to help scam victims get their money back, asking them to register or send documents online. Police were clear: government agencies do not run money-recovery registration on Facebook and do not ask people to send documents through Facebook or LINE. These pages exist to take more money or collect personal data, and victims can be scammed a second time.

How Bad a Second Scam Can Get

On 30 August 2026, Economic Crime Suppression Division officers arrested a 41-year-old woman at Krung Thep Aphiwat Central Station in Bangkok in a case that shows exactly this pattern. In May 2025 the victim paid for a phone on Facebook that never arrived. Someone then added her on LINE and offered to help recover the money. Through a series of so-called fees, she was persuaded to transfer money 64 times, losing more than ฿8 million. Police said the arrested woman acted as a money mule. She told police she had lent her bank book, ATM card and PIN to a friend.

Why Your ID Card Is the Prize

An ID number, a clear ID card photo and a face scan are what scammers need to open bank accounts, register SIM cards or pass identity checks in your name. That is why these fake forms ask for them. Once copies are out, you cannot change them the way you can change a password.

Protect Yourself

• Before you help, believe or transfer, check. Do not click unknown links, and do not enter personal or financial details because a message rushes you.
• Real relief schemes and real police reports do not need a fee, a face scan through a LINE chat, or your documents sent by Facebook.
• Check pages, agencies and recipient account names through official channels before doing anything.
• Report online fraud at thaipoliceonline.go.th or call the AOC hotline 1441. Anyone who contacts you afterwards offering to recover the money is a red flag.

The Copies You Already Have

Most of us have photographed our ID card many times: for a bank, a SIM card, a rental or a delivery app. Those photos are still in the camera roll, in LINE chats and in backups on old phones in a drawer. A phone sold or given away after a quick reset can hand all of that to the next owner. We explain the risk in how old phones feed scams in Thailand.

Before an old phone or tablet leaves your hands, delete ID photos and documents, sign out of LINE and banking apps, remove it from your Google or Apple account, and then have it wiped properly. Our phone data destruction service permanently removes LINE, banking apps, photos and ID scans, with a certificate for each device. For a whole household, including laptops and old hard drives, see our personal data wipe service. You can ship devices to us from anywhere in Thailand or book a pickup in Bangkok.

Get an instant quote or call 082-797-3702.

Sources: Royal Thai Police warnings of 27 September 2026 and 20 September 2026, as reported by Siam News; MGR Online, 30 August 2026.

สองคำเตือนในเวลาห้าสัปดาห์

วันที่ 9 สิงหาคม 2569 นายชัยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เปิดเผยว่าในรอบหนึ่งปีที่ผ่านมา มีข้อมูลบัญชีผู้ใช้และรหัสผ่านที่เชื่อมโยงกับไทยถูกนำไปสะสมในตลาดดาร์กเว็บเพิ่มขึ้นราว 60 ล้านรายการ และจำนวนรวมทั้งหมดตอนนี้มากกว่าจำนวนประชากรไทยแล้ว ตัวเลขนี้เป็นจำนวนรายการ ไม่ใช่จำนวนคน เพราะมีทั้งบัญชีเก่า บัญชีซ้ำ และหลายบัญชีของคนคนเดียว แต่ก็หมายความว่าแทบทุกบ้านน่าจะมีรหัสผ่านอย่างน้อยหนึ่งรหัสอยู่ในรายการเหล่านั้น

คำชี้แจงนี้เกิดขึ้นหลังมีการเผยแพร่ข้อมูลส่วนตัวของนายกรัฐมนตรีและรัฐมนตรีหลายคนทางออนไลน์ รวมถึงภาพจากบัตรประชาชน ผลตรวจสอบเบื้องต้นพบว่าระบบไม่ได้ถูกเจาะโดยตรง แต่มีผู้ซื้อชื่อผู้ใช้และรหัสผ่านที่ถูกขโมยมา แล้วล็อกอินเข้าไปตามปกติ คำแนะนำสำหรับประชาชนจึงง่ายมาก คือเปลี่ยนรหัสผ่านอีเมลและบัญชีอื่นๆ ทันที

ต่อมาวันที่ 13 กันยายน 2569 น.ส.พลอยทะเล ลักษมีแสงจันทร์ รองโฆษกประจำสำนักนายกรัฐมนตรี เตือนผู้ใช้รถว่ามี SMS ปลอมแอบอ้างเป็นสำนักงานตำรวจแห่งชาติ แจ้งว่ามีใบสั่งจราจรค้างชำระ เมื่อกดลิงก์จะเข้าสู่เว็บไซต์ปลอมที่ทำหน้าตาคล้ายระบบใบสั่ง แสดงเลขที่ใบสั่ง ทะเบียนรถ ข้อหา และจำนวนเงินค่าปรับให้ดูน่าเชื่อ ก่อนหลอกให้กรอกข้อมูลส่วนตัวและข้อมูลบัตรเครดิตหรือบัตรเดบิต

ตำรวจย้ำอะไรบ้าง

• สำนักงานตำรวจแห่งชาติไม่มีนโยบายเรียกเก็บค่าปรับผ่าน SMS ที่แนบลิงก์หรือ QR Code
• อย่ากดลิงก์ อย่าสแกน QR Code และอย่ากรอกข้อมูลส่วนตัวหรือข้อมูลบัตร โดยเฉพาะข้อความที่เร่งให้จ่ายหรือขู่ว่าจะมีผลทางกฎหมาย
• ตรวจสอบและชำระค่าปรับผ่านช่องทางทางการเท่านั้น ได้แก่ แอปทางรัฐ แอป Police Care หรือเว็บไซต์ ptm.police.go.th/eTicket โดยพิมพ์เข้าเว็บเอง
• หากสงสัยหรือคิดว่าถูกหลอก โทรสายด่วน AOC 1441

เช็กลิสต์ 15 นาทีสำหรับทุกบ้าน

1. เปลี่ยนรหัสผ่านอีเมลก่อน เพราะอีเมลใช้รีเซ็ตบัญชีอื่นได้ทั้งหมด จึงเป็นรหัสผ่านที่สำคัญที่สุด
2. เลิกใช้รหัสผ่านซ้ำ ถ้ารหัสที่หลุดใช้กับแอปธนาคาร LINE หรือร้านค้าออนไลน์ด้วย ให้เปลี่ยนทั้งหมด โปรแกรมจัดการรหัสผ่านช่วยได้มาก
3. เปิดการยืนยันตัวตนสองขั้นตอน สำหรับอีเมล LINE Facebook และทุกบัญชีที่ผูกกับเงิน
4. ถือว่า SMS ที่เร่งให้ "จ่ายตอนนี้" เป็นของปลอมไว้ก่อน จนกว่าจะตรวจในแอปทางการด้วยตัวเอง และบอกพ่อแม่หรือผู้สูงอายุในบ้าน เพราะมักเป็นเป้าหมาย
5. จัดการมือถือและโน้ตบุ๊กเก่าที่เก็บไว้ในลิ้นชัก ดูหัวข้อถัดไป

ทำไมมือถือและโน้ตบุ๊กเครื่องเก่าจึงเกี่ยวข้อง

รหัสผ่านที่หลุดจำนวนมากถูกเก็บโดยมัลแวร์ขโมยรหัสผ่านบนคอมพิวเตอร์ที่บ้านและที่ทำงานทั่วไป แล้วนำไปขายต่อ รหัสผ่านที่บันทึกไว้ เซสชันเบราว์เซอร์ และข้อมูลบัตรที่ตั้งให้กรอกอัตโนมัติก็ยังอยู่ในมือถือหรือโน้ตบุ๊กเครื่องเก่าที่คุณเลิกใช้แล้วเช่นกัน ถ้าขาย ยกให้คนอื่น หรือทิ้งไปโดยไม่ล้างข้อมูลให้ถูกวิธี ข้อมูลทั้งหมดก็ติดไปกับเครื่องด้วย และแค่รีเซ็ตเครื่องไม่พอที่จะรับประกันว่าข้อมูลจะกู้คืนไม่ได้

ก่อนให้เครื่องเก่าออกจากบ้าน ให้ออกจากระบบทุกบัญชี ลบเครื่องออกจากบัญชี Google หรือ Apple แล้วค่อยล้างข้อมูลอย่างถูกวิธี เรารับลบข้อมูลโทรศัพท์และแท็บเล็ตและลบข้อมูลโน้ตบุ๊กแบบมีใบรับรอง จะให้ส่งเครื่องคืนในสภาพสะอาดหรือทำลายทิ้งก็ได้ พร้อมหนังสือรับรองทุกเครื่อง

บริการสำหรับครอบครัว

บริการลบข้อมูลส่วนบุคคลของเราครอบคลุมมือถือ แท็บเล็ต โน้ตบุ๊ก คอมพิวเตอร์ตั้งโต๊ะ และฮาร์ดดิสก์ ส่งอุปกรณ์มาหาเราได้จากทั่วประเทศ หรือนัดรับถึงที่ในกรุงเทพฯ ถ้าไม่ต้องการเครื่องที่ยังใช้งานได้คืน เราจะนำไปมอบให้ผู้ที่ต้องการฟรี

ขอใบเสนอราคาทันที หรือโทร 082-797-3702

ที่มา: Nation Thailand 9 สิงหาคม 2569; ข่าวสด 13 กันยายน 2569; Bangkok Post 13 กันยายน 2569

Two Warnings in Five Weeks

On 9 August 2026, Digital Economy and Society Minister Chaichanok Chidchob said about 60 million more Thai-linked login records had piled up on dark-web markets over the past year. He also said the total number of Thai-linked login records on those markets is now larger than Thailand's population. These are records, not 60 million separate people. Many are old, repeated, or belong to the same person. Even so, it is very likely that at least one password used in your home is on one of those lists.

The minister was speaking after personal records of the Prime Minister and several Cabinet ministers, including ID card photos, circulated online. Early findings said the systems were not hacked directly. Instead, people bought stolen usernames and passwords and simply logged in. His advice to the public was simple: change the passwords for your email and other accounts now.

Then on 13 September 2026, deputy government spokeswoman Ploythalay Laksameesaengjan warned drivers about fake SMS messages that claim to be from the Royal Thai Police and say you have an unpaid traffic fine. The short link opens a fake site made to look like the e-ticket system. It may show a ticket number, a registration number, an offence and an amount so it looks real, and then asks for your personal details and card number.

What the Police Actually Say

• The Royal Thai Police do not ask you to pay traffic fines through SMS links or QR codes.
• Do not click the link, scan the code, or type in personal or card details, especially when the message rushes you or threatens legal action.
• Check and pay fines only through official channels: the Thang Rath app, the Police Care app, or ptm.police.go.th/eTicket, which you type in yourself.
• If you are unsure about a message, or think you have been scammed, call the AOC hotline 1441.

A 15-Minute Household Checklist

1. Change your email password first. Your email can reset every other account, so it is the most valuable password you have.
2. Stop reusing passwords. If one leaked password also opens your banking, LINE or shopping accounts, change those too. A password manager makes this easy.
3. Turn on two-step verification for email, LINE, Facebook and anything linked to money.
4. Treat every "pay now" SMS as fake until you have checked it in the official app yourself. Show this to older family members, who are often targeted.
5. Deal with the old devices in the drawer. See below.

Why Old Phones and Laptops Matter Here

A large share of leaked logins are collected by password-stealing malware on ordinary home and office computers, then sold on. The same saved passwords, browser sessions and autofill card details also sit on the old phone or laptop you no longer use. When that device is sold, passed on or thrown away without a proper wipe, everything on it can go with it. A factory reset is not enough to guarantee the data cannot be recovered.

Before an old device leaves your home, sign out of your accounts, remove it from your Google or Apple account, and then have it wiped properly. We do a certified phone and tablet data wipe and laptop data wipe, either returning the device clean or destroying it, with a certificate for each one.

How We Help Households

Our personal data wipe service covers phones, tablets, laptops, desktops and loose hard drives. Ship your devices to us from anywhere in Thailand, or book a pickup in Bangkok. If you do not want a working device back, we can give it free to someone who needs one.

Get an instant quote or call 082-797-3702.

Sources: Nation Thailand, 9 August 2026; Bangkok Post, 13 September 2026.

เกิดอะไรขึ้นในเดือนสิงหาคม 2569

ต้นเดือนสิงหาคม 2569 มีการเผยแพร่ภาพและข้อมูลส่วนบุคคลของคนไทยทางออนไลน์ รวมถึงภาพติดบัตรประชาชนของนายกรัฐมนตรีและรัฐมนตรีหลายคน นายกฯ สั่งทุกหน่วยงานที่เกี่ยวข้องเร่งตรวจสอบ และเรื่องนี้ก็ขยายวงอย่างรวดเร็ว

• ไม่ได้เจาะฐานข้อมูลโดยตรง แต่ใช้บัญชีเจ้าหน้าที่ที่ถูกขโมย ตำรวจไซเบอร์ระบุว่าคนร้ายแฮ็กบัญชีผู้ใช้ที่มีสิทธิ์เข้าถึงระบบ แล้วใช้บัญชีนั้นดึงข้อมูลออกไปขายผ่านดาร์กเว็บ Telegram และ Discord
• ข้อมูลทะเบียนรถถูกดึงผ่านระบบเชื่อมโยงข้อมูล กรมการขนส่งทางบกชี้แจงว่าข้อมูลถูกเข้าถึงผ่านระบบที่ให้หน่วยงานรัฐเรียกดูข้อมูล โดยมีบัญชีหนึ่งที่เชื่อมกับสำนักงานเขตค้นหาข้อมูลไปกว่า 7,000 ครั้ง และได้สั่งคุมเข้มการเข้าถึงใน 63 หน่วยงาน
• รหัสผ่านรั่วไหลจำนวนมหาศาล ไทยเซิร์ต (ThaiCERT) พบไฟล์ข้อมูลบัญชีและรหัสผ่านที่ถูกขโมยกว่า 16,520 ไฟล์ ขนาดราว 5 เทราไบต์ เผยแพร่อยู่บน Telegram และเมื่อตรวจโดเมนของไทยพบข้อมูลถึง 221,947,958 รายการ ครอบคลุมทั้งหน่วยงานรัฐ บริษัท สถานศึกษา องค์กรไม่แสวงกำไร และหน่วยงานทหาร

รัฐบาลรับมืออย่างไร

วันที่ 11 สิงหาคม 2569 คณะรัฐมนตรีอนุมัติ 3 มาตรการตามข้อเสนอของคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ

1. บังคับเปลี่ยนรหัสผ่าน สำหรับเจ้าหน้าที่ในกว่า 300 กรม
2. ตรวจและล้างระบบ ตรวจสอบระบบสารสนเทศกว่า 30,000 ระบบภายใน 15 วัน ระบบเก่าหรือระบบที่เลิกใช้แล้วต้องปิดการเข้าถึงหลังบ้านอย่างถาวร เพราะบางหน่วยงานปิดเว็บไซต์หน้าบ้านไปแล้ว แต่ระบบหลังบ้านยังเข้าถึงได้อยู่
3. ยืนยันตัวตนหลายปัจจัย (MFA) สำหรับระบบภาครัฐ รวมถึงผ่านแอป ThaID

3 บทเรียนสำหรับทุกองค์กร

1. ระบบที่เลิกใช้แล้ว ยังเป็นความเสี่ยงอยู่ การปิดเว็บไซต์หรือถอดปลั๊กเซิร์ฟเวอร์ไม่ได้ทำให้ข้อมูลหายไป ตราบใดที่ฮาร์ดดิสก์ยังไม่ถูกลบอย่างถูกวิธีหรือผ่านการทำลายฮาร์ดดิสก์ ข้อมูลก็ยังอยู่ตรงนั้นสำหรับใครก็ตามที่เข้าถึงได้

2. เก็บข้อมูลนานเกินไป ยิ่งรั่วก็ยิ่งเสียหายมาก ผู้เชี่ยวชาญที่ออกมาเปิดเผยเรื่องนี้ระบุว่าข้อมูลบางส่วนที่รั่วถูกเก็บไว้นานกว่า 5 ปี ข้อมูลที่ไม่จำเป็นแล้วควรถูกทำลายตามกำหนด ไม่ใช่เก็บไว้ไม่มีกำหนด และ PDPA ก็กำหนดให้ลบหรือทำลายข้อมูลส่วนบุคคลเมื่อหมดความจำเป็น

3. รหัสผ่านถูกขโมยจากคอมพิวเตอร์ธรรมดาๆ เจ้าหน้าที่ระบุว่ารหัสผ่านจำนวนมากถูกขโมยโดยมัลแวร์บนเครื่องของพนักงาน คอมพิวเตอร์และโน้ตบุ๊กเก่าของออฟฟิศมักยังเก็บรหัสผ่าน เซสชันเบราว์เซอร์ และไฟล์แคชไว้ เมื่อจะปลดระวาง ขาย หรือบริจาค แค่รีเซ็ตเครื่องจึงไม่พอ

สิ่งที่ควรทำ

1. ทำรายการเซิร์ฟเวอร์ คอมพิวเตอร์ โน้ตบุ๊ก และฮาร์ดดิสก์ทุกเครื่องที่เลิกใช้แล้วหรือกำลังจะเลิกใช้
2. ปิดการเข้าถึงระยะไกลและระบบหลังบ้านของทุกระบบที่ไม่ได้ใช้แล้ว
3. ลบข้อมูลหรือทำลายอุปกรณ์จัดเก็บข้อมูลก่อนที่ฮาร์ดแวร์จะออกจากความดูแลของคุณ
4. ขอหนังสือรับรองแยกรายเครื่อง ระบุหมายเลขซีเรียล วิธีการ และวันที่ แล้วเก็บไว้กับเอกสาร PDPA ขององค์กร

เราช่วยได้

เราให้บริการทำลายข้อมูลเซิร์ฟเวอร์และการกำจัดสินทรัพย์ไอทีครบวงจรในกรุงเทพฯ ครอบคลุมเซิร์ฟเวอร์ ฮาร์ดดิสก์ คอมพิวเตอร์ตั้งโต๊ะ โน้ตบุ๊ก และมือถือ พร้อมหนังสือรับรองการทำลายข้อมูลทุกเครื่อง มีบริการรับถึงที่ หรือส่งอุปกรณ์มาหาเราได้จากทั่วประเทศ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702

ที่มา: ไทยโพสต์ 7 สิงหาคม 2569; Bangkok Post 8 สิงหาคม 2569; Bangkok Post 13 สิงหาคม 2569

What Happened in August 2026

In early August 2026, photos and personal data of Thai citizens, including ID card photos of the Prime Minister and cabinet ministers, were posted online. The government ordered every agency involved to investigate, and the story quickly grew.

• Stolen staff logins, not database hacks. Police said attackers did not break into databases directly. They used hijacked accounts of users who had legitimate access, pulled the data out, and sold it on the dark web, Telegram and Discord.
• Vehicle records pulled through a data-sharing link. The Department of Land Transport said its data was accessed through the system that lets government agencies look up records. One account linked to a district office ran more than 7,000 searches. Access was tightened across 63 agencies.
• Huge volumes of stolen logins. ThaiCERT found more than 16,520 files, about 5 terabytes, of stolen logins circulating on Telegram. A review of Thai domains found 221,947,958 records covering government, companies, schools, non-profits and the military.

The Government's Response

On 11 August 2026 the cabinet approved three measures proposed by the National Cyber Security Committee:

1. Force password reset for staff in more than 300 departments.
2. System cleansing: inspect more than 30,000 information systems within 15 days. Old or abandoned systems must have their back-end access permanently shut off, because some agencies had taken websites offline but left the systems behind them reachable.
3. Multi-factor authentication for government systems, including the ThaID app.

Three Lessons for Any Organisation

1. A system you stopped using is still a risk. Turning off a website or unplugging a server does not remove the data. Until the drives are properly wiped or go through hard drive destruction, the data is still there for anyone who gets access.

2. Keeping data too long makes the leak bigger. The security researcher who raised the alarm said some of the leaked data had been kept for more than five years. Data you no longer need should be destroyed on schedule, not stored indefinitely. The PDPA requires personal data to be deleted or destroyed once it is no longer needed.

3. Logins are stolen from ordinary computers. Officials said many logins were stolen by malware on staff computers. Old office PCs and laptops often still hold saved passwords, browser sessions and cached files. When these machines are retired, sold or donated, a factory reset is not enough.

Practical Steps

1. List every server, PC, laptop and drive you have retired or plan to retire.
2. Shut off remote and back-end access to any system you no longer use.
3. Wipe or physically destroy the storage before the hardware leaves your control.
4. Get a certificate for each device, showing serial number, method and date, and keep it with your PDPA records.

We Can Help

We provide server data destruction and full IT asset disposal in Bangkok, covering servers, drives, desktops, laptops and phones, with a Certificate of Data Destruction for every device. Pickup is available, or you can ship to us from anywhere in Thailand.

Get an instant quote or call 082-797-3702.

Sources: Thai Post, 7 August 2026; Bangkok Post, 8 August 2026; Bangkok Post, 13 August 2026.

เกิดอะไรขึ้น: เวชระเบียนผู้ป่วยกลายเป็นถุงขนมโตเกียว

เมื่อวันที่ 1 สิงหาคม 2568 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) แถลงผลการลงโทษปรับทางปกครองตาม PDPA รวม 5 กรณี และมีกรณีหนึ่งที่ทุกองค์กรซึ่งต้องทิ้งหรือทำลายข้อมูลควรศึกษาไว้

โรงพยาบาลเอกชนขนาดใหญ่แห่งหนึ่งว่าจ้างกิจการขนาดเล็กที่เป็นธุรกิจครอบครัวให้ทำลายเวชระเบียนผู้ป่วย แต่ผู้รับจ้างไม่ได้ทำตามขั้นตอนที่ตกลงกันไว้ กลับนำเอกสารไปพักไว้ที่บ้านของตัวเอง สุดท้ายเวชระเบียนหลุดออกไปกว่า 1,000 ฉบับ บางส่วนถูกนำไปพับเป็นถุงใส่ขนมโตเกียว จนภาพถูกแชร์ต่อกันบนโซเชียลมีเดีย

ใครโดนปรับ และเพราะอะไร

• โรงพยาบาล: 1,210,000 บาท เพราะไม่ได้ติดตาม ควบคุม หรือตรวจสอบกระบวนการทำลายเอกสาร และไม่ได้ลบหรือทำลายข้อมูลให้ถูกต้องตามระยะเวลาที่กฎหมายกำหนด ทั้งนี้ข้อมูลสุขภาพถือเป็นข้อมูลส่วนบุคคลประเภทอ่อนไหวตามมาตรา 26 ของ PDPA
• ผู้รับจ้าง: 16,940 บาท เพราะไม่ทำตามขั้นตอนที่ตกลงไว้ และไม่แจ้งเหตุข้อมูลรั่วไหลให้โรงพยาบาลทราบ ซึ่งถือว่าไม่ปฏิบัติตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล

รวมค่าปรับทั้งสิ้น 1,226,940 บาท ยังไม่นับความเสียหายต่อชื่อเสียงของโรงพยาบาล

บทเรียน: จ้างคนอื่นทำ แต่ความรับผิดชอบยังเป็นของคุณ

การจ้างผู้อื่นทำลายข้อมูลไม่ได้ทำให้ความรับผิดชอบหลุดไปจากองค์กรของคุณ โรงพยาบาลโดนปรับหนักกว่าผู้รับจ้างหลายเท่า เพราะไม่ได้กำกับดูแลผู้ให้บริการของตัวเอง และ สคส. ก็พร้อมปรับผู้ประมวลผลข้อมูลโดยตรงเช่นกัน ในอีกกรณีที่แถลงวันเดียวกัน ร้านขายของเล่นสะสมโดนปรับ 500,000 บาท ขณะที่บริษัทผู้ประมวลผลข้อมูลของร้านโดนปรับถึง 3 ล้านบาท

ในการแถลงครั้งนั้น สคส. ระบุว่านับตั้งแต่ PDPA มีผลบังคับใช้ ยอดค่าปรับทางปกครองรวมเกิน 21.5 ล้านบาทแล้ว และยังมีอีกหลายเรื่องที่อยู่ระหว่างการพิจารณา

ความเสี่ยงแบบเดียวกันเกิดกับอุปกรณ์ได้เช่นกัน

กรณีนี้เป็นเอกสารกระดาษ แต่รูปแบบเดียวกันเกิดขึ้นได้กับโน้ตบุ๊ก มือถือ ฮาร์ดดิสก์ และเซิร์ฟเวอร์ อุปกรณ์ที่ส่งให้ร้านรับซื้อของเก่าหรือร้าน "รับซื้อคอมเก่า" อาจออกจากออฟฟิศไปพร้อมไฟล์ทุกไฟล์ที่ยังกู้คืนได้ และถ้าวันหนึ่งข้อมูลหลุด คุณจะไม่มีหลักฐานเลยว่าอุปกรณ์นั้นไปจบที่ไหน ดังนั้นการกำจัดสินทรัพย์ไอทีจึงต้องมีหลักฐานตรวจสอบได้ เหมือนงานด้านการปฏิบัติตามกฎหมายอื่นๆ

เช็กลิสต์เลือกผู้ให้บริการทำลายข้อมูล

1. ทำข้อตกลงเป็นลายลักษณ์อักษร ระบุวิธีทำลาย ระยะเวลา และหน้าที่ในการแจ้งเหตุ
2. จดหมายเลขซีเรียลของอุปกรณ์หรือกล่องเอกสารทุกชิ้นที่ส่งมอบ
3. รู้ว่าใครมารับ ของถูกนำไปที่ไหน และทำลายเมื่อไร
4. ขอหนังสือรับรองการทำลายข้อมูลแยกรายอุปกรณ์ ระบุหมายเลขซีเรียล วิธีทำลาย และวันที่
5. กำหนดให้ผู้ให้บริการแจ้งคุณทันทีหากเกิดปัญหา เพราะตาม PDPA ผู้ควบคุมข้อมูลโดยทั่วไปต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับจากทราบเหตุ
6. เก็บหนังสือรับรองไว้กับเอกสารด้านการปฏิบัติตามกฎหมายขององค์กร

วิธีทำงานของเรา

เรารับทำลายข้อมูลโน้ตบุ๊ก ทำลายฮาร์ดดิสก์และ SSD และทำลายข้อมูลเซิร์ฟเวอร์ รวมถึงคอมพิวเตอร์ตั้งโต๊ะและมือถือ ทั้งแบบลบข้อมูลที่ได้รับการรับรองและทำลายทางกายภาพ พร้อมออกหนังสือรับรองการทำลายข้อมูลให้ทุกเครื่อง ระบุหมายเลขซีเรียล วิธีการ และวันที่ เราไม่ได้รับทำลายเอกสารกระดาษ หากคุณใช้บริการบริษัทย่อยเอกสาร ก็ควรใช้เช็กลิสต์เดียวกันนี้ตรวจสอบเขาด้วย

ขอใบเสนอราคาทันที หรือโทร 082-797-3702

ที่มา: การแถลงของ สคส. วันที่ 1 สิงหาคม 2568 รายงานโดย ไทยโพสต์ และสรุปโดย Rajah & Tann Thailand ทั้งนี้ไม่มีการเปิดเผยชื่อโรงพยาบาลและผู้รับจ้าง

The Case: Medical Records Turned into Snack Bags

On 1 August 2025, Thailand's Office of the Personal Data Protection Committee (PDPC) announced administrative fines in five PDPA cases. One of them matters to every organisation that throws away data.

A large private hospital hired a small, family-run business to destroy patient medical records. The contractor did not follow the agreed process. Instead, it took the records back to a private home. More than 1,000 medical records leaked, and some were reused as paper bags for kanom Tokyo, a Thai street snack. Photos of the bags spread on social media.

Who Was Fined, and Why

• The hospital: ฿1,210,000. The PDPC found it did not monitor, control or check the destruction process, and did not properly destroy the data within the required period. Health records are sensitive personal data under Section 26 of the PDPA.
• The contractor: ฿16,940. It did not follow the agreed procedure and did not tell the hospital about the leak, which breached its duties as a data processor.

In total, the case cost ฿1,226,940 in fines, before counting the damage to the hospital's reputation.

The Lesson: You Cannot Outsource Liability

Hiring someone to destroy your data does not move the responsibility to them. The hospital paid by far the larger fine because it did not supervise its vendor. The PDPC is also willing to fine processors directly. In another case announced the same day, a collectible toy retailer was fined ฿500,000 while its data processor was fined ฿3 million.

The PDPC said at the time that total administrative fines since PDPA enforcement began had passed ฿21.5 million, and that many more cases were under review.

The Same Risk Applies to Devices

This case involved paper, but the pattern is identical for laptops, phones, hard drives and servers. A device handed to an informal recycler or a "we buy old computers" shop can leave your office with every file still recoverable. If something leaks later, you will have no record of what happened to it. That is why IT asset disposal needs the same paper trail as any other compliance process.

Checklist: Choosing a Disposal Vendor

1. Put the job in a written agreement that defines the destruction method, timeline and duty to report incidents.
2. Keep a serial-number inventory of every device or box of records you hand over.
3. Know who collects the items, where they go and when they are destroyed.
4. Require a certificate of destruction for each device, showing serial number, method and date.
5. Make sure the vendor must tell you immediately if anything goes wrong. Under the PDPA, you as the data controller generally have 72 hours to notify the PDPC of a breach.
6. Keep the certificates with your compliance records.

How We Work

We handle laptop data destruction, hard drive and SSD destruction and server data destruction, as well as desktops and phones, and issue a Certificate of Data Destruction for every device with its serial number, method and date. We do not handle paper documents. If you use a shredding company for paper, hold them to the same checklist above.

Get an instant quote or call 082-797-3702.

Sources: PDPC announcement of 1 August 2025, as reported by Thai Post and summarised by Rajah & Tann Thailand. The hospital and contractor were not named.

Passing on old laptops and computers is a great way to extend the life of working hardware. But giving away a device without properly wiping it first creates a real data risk for you and a potential security issue for the recipient.

Before You Donate: The Safe Way

1. Back up anything you need. Once wiped, the data is gone permanently.
2. Have the device professionally wiped. A certified wipe removes all data and installs a fresh operating system.
3. Get a Certificate of Data Destruction. This confirms your data has been permanently removed.
4. Check the device is functional. People need devices that work, not e-waste.

What Happens to Donated Devices

At Data Destruction Thailand, every donated device goes through a standardised process:

• Logged and inventoried
• Graded for condition (A through D)
• All data permanently wiped
• Fresh OS installed (Windows 11 or Linux)
• Listed as a free device for anyone who needs one

Grade D Devices

Not every device is usable. Grade D devices (non-functional or missing critical components) are broken down for parts or sent through certified e-waste recycling channels. Nothing goes to landfill.

Ready to donate? Get in touch or request a quote for data destruction.

Thailand consistently ranks among the highest in Southeast Asia for online fraud. While phishing and social engineering get most of the attention, a significant source of personal data is much simpler: old phones and laptops that were thrown away or sold without being properly wiped.

What a Discarded Phone Contains

A typical phone sold or discarded without a certified wipe still contains:

• LINE conversations and contacts
• Banking app sessions and saved credentials
• PromptPay registration details
• Photos of ID cards, passports, and documents
• Email access and social media logins
• WiFi passwords and network history

How This Data Gets Used

Recovered data is used for identity theft, unauthorised bank transfers, SIM swap attacks, social media impersonation, and targeted scam calls. A single phone can provide enough information to open accounts, apply for loans, or impersonate someone convincingly.

How to Protect Yourself

1. Never sell or donate a device without a certified data wipe
2. Factory reset alone is not sufficient (it leaves data recoverable)
3. Request a Certificate of Data Destruction as proof
4. Consider physical destruction for devices containing highly sensitive data

If you have old phones or laptops sitting in a drawer, they are not safe just because they are out of sight. Data remains accessible until it is properly destroyed.

Learn about personal data destruction services.

Most Thai businesses understand that PDPA governs how they collect and store personal data. Fewer realise that it also covers what happens when that data reaches end of life. If your organisation disposes of hardware without documenting data destruction, you are exposed to PDPA liability.

The Key Requirements

• Personal data must be destroyed or anonymised when no longer needed
• Destruction must be documented with an auditable trail
• The organisation remains liable until destruction is confirmed
• Penalties: up to ฿5 million administrative fine

Practical Checklist for IT Managers

1. Inventory all devices being decommissioned (serial numbers, types, locations)
2. Classify which devices stored personal data
3. Choose a destruction method: certified wipe or physical destruction
4. Obtain a Certificate of Data Destruction per device
5. Retain certificates for your compliance records
6. Document the process in your data protection policy

Common Mistakes

Formatting drives and calling it done. Formatting does not overwrite data and does not meet PDPA standards.

Donating old equipment without wiping. Good intentions, but your liability follows the data on the device.

No documentation. Without a certificate, you have no proof that data was destroyed.

Learn more about corporate IT asset disposal.

When you perform a factory reset on your phone, tablet, or laptop, the device marks the storage space as available. It does not overwrite the data. The files, photos, messages, and passwords remain on the drive until new data happens to be written over them.

This means anyone with basic data recovery software (much of it free and publicly available) can retrieve your files after a standard reset.

What Remains After a Factory Reset

• Photos and videos
• Saved passwords and login tokens
• LINE and WhatsApp message history
• Banking app data and payment credentials
• ID card scans and personal documents
• Browser history and autofill data

What Does Remove Data Permanently?

A certified data wipe uses industry-standard methods to overwrite every sector of the storage device, making recovery impossible. Physical destruction goes further by rendering the storage media physically unusable.

Both methods result in a Certificate of Data Destruction that documents the process, the method used, and the date.

What You Should Do Before Selling or Donating a Device

If you plan to sell, donate, or throw away any device, have it professionally wiped or destroyed first. The risk of identity theft from recovered data is real, especially in regions with high rates of online fraud.

Get a quote for certified data destruction.

Not everything has data on it, but that doesn't mean it should go to landfill. Cables, monitors, keyboards, printers, and mixed electronics all need responsible disposal.

Working components are donated or recycled. Non-working items are processed through certified e-waste channels. Nothing goes to landfill.

What We Accept

• Cables and chargers
• Desktop computers and towers
• Monitors and displays
• Keyboards and mice
• Printers and scanners
• Mixed electronics and peripherals
• Network equipment (routers, switches)

Computer still has a hard drive with data on it? Combine this with our desktop data destruction service for a certificate.

For Businesses

One job clears everything. Combine your data destruction order with e-waste disposal and handle the entire office cleanout in a single pickup. Ideal for companies upgrading equipment or relocating.

Pricing

E-waste disposal is priced on application. Request a quote with details about the type and volume of e-waste.

Note: this covers hard drives and SSDs, not paper documents. Looking for document shredding? Get in touch and we can point you to a trusted partner.

If you have already removed the drive from your device, send the drive on its own. Physical destruction is the only method that guarantees data cannot be recovered by any means.

Hard drives and SSDs store data even after formatting. Software-based recovery can pull files, photos, and passwords from a formatted drive in minutes. Physical destruction eliminates this risk entirely.

What You Get

• Physical destruction of every drive
• Certificate of Destruction (serial number, method, date)
• PDPA-compliant documentation

Pricing

฿200 per drive for physical destruction with certificate.

Most drives are destroyed within 2-3 business days of arrival, with your certificate issued the same day.

Accepted Drives

• 2.5" and 3.5" hard drives (HDD)
• Solid state drives (SSD)
• M.2 and NVMe drives
• External hard drives (removed from enclosure)

Your phone holds more sensitive data than your laptop: banking apps, LINE history, PromptPay, photos, ID scans, saved passwords. Factory reset alone does not remove all of this. Data remains recoverable with standard tools.

Thailand has one of the highest rates of online scams in Southeast Asia. Many start with personal data recovered from old devices. When you sell or throw away a phone without a certified wipe, every app, message, and photo on it becomes accessible.

What Gets Permanently Deleted

• LINE, WhatsApp, Facebook and all social apps
• Banking and payment apps (PromptPay, mobile banking)
• Saved passwords and autofill data
• Photos and videos
• ID card scans and personal documents
• Everything else, unrecoverably and permanently

Common Questions

Is factory reset enough? No. Factory reset leaves data recoverable with free software. Only a certified wipe or physical destruction removes it permanently.

Should I wipe or destroy my phone? Wipe and donate if you want the device reused responsibly. Destroy it if the phone is damaged or you want maximum certainty. Destruction costs more because it ends the device’s life for good.

Do you handle tablets too? Yes, the same process and pricing applies to tablets.

Pricing

Servers hold your most sensitive data: customer records, financial data, employee files. Server decommission is a compliance event, not just a hardware task. Your organisation remains liable for the data on every server until destruction is documented.

What You Get with Every Server Job

• Certificate of Data Destruction per server (serial number, method, date)
• Full inventory report
• Physical destruction with photo and video evidence available
• PDPA-compliant process from collection to certificate
• Office collection available for bulk jobs

How It Works

1. Pickup scheduled at your Bangkok office
2. Serial numbers logged on collection
3. Full chain of custody maintained through destruction
4. Certificate of Data Destruction and inventory report issued

Pricing

Server disposal starts from ฿1,500 per unit. Contact for an exact quote based on server type, quantity, and requirements.

PDPA Compliance

Thailand's PDPA requires secure, documented destruction of personal data at end of device life. Your certificates provide the paper trail your legal and compliance teams need. Read the full PDPA guide.

Old desktop PCs are often passed on within families or offices with years of personal files, passwords, and photos still on the hard drive. A desktop from 2018 can still have full banking history, passwords, and ID scans accessible to anyone who plugs it in.

Note: this covers desktop computers and electronic devices, not paper documents. Looking for document shredding? Get in touch and we can point you to a trusted partner.

Your desktop's hard drive stores everything: documents, photos, browser history, saved passwords, banking sessions. Formatting does not remove this data. Only a certified wipe or physical destruction guarantees it is gone.

What You Get

• Certified, permanent data wipe or physical destruction
• Certificate of Data Destruction (serial number, method, date)
• PDPA-compliant process
• Option to wipe and return with a fresh OS

How It Works

1. Serial number logged for every device
2. Hard drive removed, then wiped or physically destroyed
3. Certificate of Data Destruction issued
4. Device donated, recycled, or returned to you

Pricing

Deleting files or formatting your hard drive is not enough. Deleted data is recoverable with free software available to anyone. Only a certified wipe or physical destruction removes data permanently.

Note: this covers laptops and electronic devices, not paper documents. Looking for document shredding? Get in touch and we can point you to a trusted partner.

Your laptop holds years of personal and professional data: passwords, banking details, photos, ID scans, company files. When you sell, donate, or throw away a laptop without properly wiping it, that data remains accessible to anyone with basic recovery tools.

What You Get

• Certified, permanent data wipe or physical destruction
• Certificate of Data Destruction (serial number, method, date)
• PDPA-compliant process from pickup to certificate
• Option to wipe and return with a fresh OS (Windows 11 or Linux)

Sending just the drive, not the whole laptop? See our dedicated hard drive and SSD destruction service instead.

Pricing