ข้อมูลรั่วไหลกว่าครึ่งในประเทศไทยไม่ได้เกิดจากการแฮก: สถิติ 1,650 เคสของ สคส. บอกอะไรเกี่ยวกับอุปกรณ์เก่าของคุณ

อ่านภาษาไทย

ตัวเลขจากหน่วยงานกำกับดูแลบอกเล่าเรื่องราวที่ต่างออกไป

เมื่อผู้คนในประเทศไทยได้ยินคำว่า "ข้อมูลรั่วไหล" ส่วนใหญ่มักนึกถึงแฮกเกอร์ จดหมายเรียกค่าไถ่ หรือฐานข้อมูลที่วางขายบนดาร์กเว็บ หน่วยงานคุ้มครองข้อมูลของประเทศระบุว่าภาพเหล่านั้นถูกต้องเพียงครึ่งเดียว

At a media briefing on 21 October 2026, the Office of the Personal Data Protection Committee (PDPC) said it had received 1,650 personal data breach notifications between 2023 and 31 May 2026. Of those, 849 cases, or 51.45%, were classed as non-cyber incidents, while 747 cases, or 45.27%, were cyber incidents and 54 had other causes. Within the cyber group, 567 were cyber threats and 180 were linked to social media. The non-cyber group, the office said, mostly involved human error, as reported by MGR Online and Naewna .

เลขาธิการ สคส. พล.ต.ต. สุรพงษ์ เพ็งคำ อธิบายไว้อย่างชัดเจนว่า ตัวเลข 1,650 แสดงให้เห็นว่าการรั่วไหลของข้อมูลไม่ใช่แค่เรื่องของการถูกแฮกองค์กรหรือไม่ เนื่องจากกว่าครึ่งหนึ่งของเคสอยู่ในกลุ่มที่ไม่ใช่ไซเบอร์และเกิดจากความผิดพลาดของมนุษย์ การป้องกันนั้นต้องครอบคลุมทั้งระบบ ตั้งแต่เทคโนโลยีและบุคลากร ไปจนถึงกระบวนการทำงานและวัฒนธรรมการคุ้มครองข้อมูลภายในองค์กร

ภาคส่วนใดแจ้งเหตุมากที่สุด

ภาคการเงิน การลงทุน และการประกันภัย ยื่นแจ้งเหตุมากที่สุดถึง 723 เคส ตามด้วยหน่วยงานรัฐและรัฐวิสาหกิจ 206 เคส ธุรกิจค้าปลีก ค้าส่ง และอีคอมเมิร์ซ 204 เคส พลังงาน สาธารณูปโภค และการผลิต 105 เคส และสาธารณสุข 87 เคส จากเหตุการณ์ทั้งหมด 1,650 ครั้ง มี 569 ครั้งที่ยังอยู่ระหว่างดำเนินการ 1,071 ครั้งอยู่ระหว่างการติดตาม และ 9 ครั้งถูกส่งไปยังคณะผู้เชี่ยวชาญของ สคส. ซึ่งเป็นหน่วยงานที่มีอำนาจสั่งปรับทางปกครอง

การแถลงข่าวครั้งเดียวกันยังเปิดเผยถึงเรื่องร้องเรียนและคำขอรับคำปรึกษา 4,210 ครั้ง โดย 3,889 ครั้งเกี่ยวข้องกับองค์กรภาคเอกชน ปัญหาที่พบบ่อยที่สุดคือการเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม ด้วยจำนวน 1,025 เรื่องร้องเรียน

หน้าตาของ "ความผิดพลาดของมนุษย์" ในสำนักงานมักเป็นอย่างไร

สคส. ไม่ได้เผยแพร่รายละเอียดเชิงลึกของเคสที่ไม่ใช่ไซเบอร์ นอกเหนือจากระบุว่าส่วนใหญ่เกี่ยวข้องกับความผิดพลาดของมนุษย์ แต่ใครก็ตามที่เคยทำงานในสำนักงานไทยย่อมรู้ดีถึงวิธีที่ข้อมูลรั่วไหลออกไปได้โดยไม่ต้องมีแฮกเกอร์เข้ามาเกี่ยวข้อง เช่น สเปรดชีตที่ส่งอีเมลผิดคน โฟลเดอร์แชร์ที่เปิดสาธารณะให้ใครก็ตามที่มีลิงก์เข้าถึงได้ แล็ปท็อปที่ติดตัวพนักงานที่ลาออกไปและไม่เคยถูกล้างข้อมูล โทรศัพท์ที่ส่งซ่อมโดยที่ยังล็อกอินกลุ่ม LINE ของบริษัทค้างไว้ หรือกล่องใส่ฮาร์ดดิสก์เก่าที่วางอยู่ในห้องเก็บของจนกว่าจะมีคนนำไปขายเป็นเศษเหล็ก

ตัวหลัง ๆ เหล่านี้มักเป็นสิ่งที่ถูกลืม เพราะไม่มีอะăรผิดปกติให้เห็นในวันนั้น อุปกรณ์ที่ปลดระวางแล้วไม่ได้ส่งเสียงเตือน แต่มันยังคงเก็บข้อมูลไว้จนกว่าจะมีใครสักคนในที่ใดที่หนึ่งนำมันมาเสียบใช้งาน

สิ่งนี้หมายความว่าอย่างไรสำหรับบริษัทของคุณ

• Your firewall does not cover the storeroom. If more than half of reported breaches are non-cyber, then security spending that stops at the network leaves a large gap. Old laptops, desktops, phones and backup drives are part of your data footprint until their storage is wiped or destroyed.
• Every hand-off is a risk point. Staff resignations, office moves, hardware refreshes, repairs and lease returns are exactly the moments when devices change hands and steps get skipped. Deleting files or formatting a drive does not remove data; free recovery tools can bring it back.
• The PDPA expects a system, not good intentions. Data controllers must keep appropriate security measures and have a system for erasing or destroying personal data that is no longer needed. Our guide to PDPA data destruction requirements explains how this applies to retired hardware.
• Regulated sectors carry the heaviest load. Banks, insurers, brokers, hospitals and retailers hold the most sensitive customer data, and the regulator's figures show they are the ones notifying breaches most often. A documented disposal trail is one of the simplest ways to show you took the risk seriously.

เช็กลิสต์อุปกรณ์ง่าย ๆ เพื่อลดความผิดพลาดของมนุษย์

1. จัดทำทะเบียนแบบเรียลไทม์สำหรับอุปกรณ์ทุกชิ้นที่จัดเก็บข้อมูล รวมถึงแล็ปท็อป เดสก์ท็อป โทรศัพท์ แท็บเล็ต เซิร์ฟเวอร์ หน่วย NAS และไดรฟ์พกพา พร้อมระบุว่าใครเป็นผู้ถือครองแต่ละชิ้น
2. Make device return and data removal a fixed step in staff offboarding, signed off by IT, not left to the departing employee. Our laptop data destruction service covers machines coming back from leavers.
3. ห้ามส่งอุปกรณ์ไปซ่อม ขายต่อ บริจาค หรือขายเป็นเศษเหล็กโดยยังมีสื่อบันทึกข้อมูลที่อ่านได้อยู่ภายใน ให้ถอดและจัดการกับไดรฟ์ก่อน หรือล้างข้อมูลและออกใบรับรองให้กับอุปกรณ์ทั้งเครื่อง
4. Clear the storeroom on a schedule. Old disks and backup drives can go for hard drive and SSD destruction , and retired company handsets for secure phone data destruction.
5. เก็บเอกสารหลักฐาน ใบรับรองสำหรับอุปกรณ์แต่ละชิ้นที่ระบุหมายเลขซีเรียล วิธีการที่ใช้ และวันที่ คือสิ่งที่จะช่วยให้คุณพิสูจน์ได้ว่าข้อมูลถูกทำลายไปแล้ว

Our IT asset disposal service is built to take the human error out of that last step. Every device with storage is securely erased first, with physical destruction available when a drive cannot be verified clean or your policy requires it, backed by photo and video evidence. Each device gets a Certificate of Data Destruction or Certified Erasure, and you receive a full inventory report. For bulk jobs, a technician can come to your Bangkok office to remove desktops, laptops, servers and networking equipment and record every item taken away. We handle electronic devices only; we do not shred paper.

Hackers will always make the headlines, but the regulator's own numbers show that ordinary mistakes cause just as many leaks. Get an instant quote or call 082-797-3702, and we will make sure the laptops, drives and phones your company no longer uses are wiped or destroyed for good, so a forgotten device never becomes your next breach notification.

Sources: MGR Online, "สคส. เคลียร์ใจสื่อ" PDPC media briefing report (21 Oct 2026) ; Naewna, PDPC reveals 4,210 complaints and 1,650 breach notifications (21 Oct 2026) ; Siam Rath, PDPC complaint and breach statistics (Oct 2026) .