TSD ยอมรับช่องโหว่ระบบ ทำข้อมูลนักลงทุนหลุด 2 แสนราย ยืนยันระบบเทรด-พอร์ตหุ้นยังปลอดภัย เตือนอย่ากดลิงก์แปลก ป้องกันถูกหลอกซ้ำ
แม้ตลาดหลักทรัพย์ฯ จะยืนยันว่าพอร์ตหุ้นและระบบซื้อขายจะไม่ได้รับผลกระทบ แต่ตำรวจไซเบอร์เตือนมิจฉาชีพอาจนำข้อมูลดังกล่าวไปใช้หลอกลวงผ่านการแอบอ้างเป็น TSD หรือสถาบันการเงิน จึงขอให้นักลงทุนเพิ่มความระมัดระวังและไม่กดลิงก์จากแหล่งที่ไม่เป็นทางการ
โดยนางสาวพิชยา ชมชัยยา กรรมการผู้จัดการ TSD เปิดเผยว่า TSD ได้ตรวจพบความไม่มั่นคงปลอดภัยในระบบ TSD Investor Portal เมื่อวันที่ 25 ก.ค. ที่ผ่านมา โดยภายหลังการสืบสวนเชิงลึกร่วมกับกองบังคับการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (บก.สอท.) พบว่ามีข้อมูลส่วนบุคคลได้รับผลกระทบประมาณ 200,000 บัญชี จากฐานข้อมูลทั้งหมด 5 ล้านบัญชี
ข้อมูลที่รั่วไหลออกไป ประกอบด้วย
- ชื่อ-นามสกุล, วันเดือนปีเกิด, เลขบัตรประจำตัวประชาชน และที่อยู่
- หมายเลขโทรศัพท์ และอีเมล
- ชื่อบริษัทหลักทรัพย์ และเลขบัญชีซื้อขายหลักทรัพย์
- ชื่อธนาคาร และเลขที่บัญชีเงินฝากธนาคาร (ซึ่งเป็นการตรวจพบเพิ่มเติมภายหลังจากการสืบสวนเชิงลึกร่วมกับตำรวจ)
ยันพอร์ตหุ้น-ธุรกรรมปลอดภัย แยกระบบหน้าบ้าน-หลังบ้าน
นายถิรพันธุ์ สรรพกิจ รองผู้จัดการ หัวหน้าสายงานเทคโนโลยีสารสนเทศ ตลาดหลักทรัพย์แห่งประเทศไทย ชี้แจงถึงสาเหตุว่าเกิดจากช่องโหว่ในส่วนโค้ดของหน้า User Profile บนเว็บไซต์ ซึ่งขณะนี้ทีมไอทีได้ปิดช่องทางการเข้าถึงและแก้ไขโค้ดดังกล่าวทันที พร้อมนำเทคโนโลยี AI มาใช้สแกนหาจุดอ่อนในทุกระบบของกลุ่มตลาดหลักทรัพย์ฯ
ทั้งนี้ TSD ขอยืนยันว่า "ไม่พบข้อมูลการถือครองหลักทรัพย์และธุรกรรมซื้อขายได้รับผลกระทบ" เนื่องจากระบบ Investor Portal เป็นเพียงระบบหน้าบ้านที่ใช้แสดงข้อมูลเท่าน้้น ส่วนระบบเก็บรักษาหลักทรัพย์และการจับคู่คำสั่งซื้อขายถูกแยกออกไปอยู่หลังบ้าน (Back-end) และไม่มีการเชื่อมต่อกับอินเทอร์เน็ตโดยตรง นักลงทุนจึงมั่นใจได้ว่าข้อมูลส่วนนี้ยังคงถูกต้องและปลอดภัย 100%
ตำรวจไซเบอร์เตือนระวัง “การหลอกซ้ำซ้อนจากวิกฤต”
ด้านพันตำรวจโท พากฤต กฤตยพงษ์ สารวัตรกลุ่มงานรักษาความมั่นคงปลอดภัยทางไซเบอร์ (บก. ตอท.) ระบุว่า ขณะนี้ตำรวจกำลังทำงานร่วมกับ TSD และพันธมิตรอย่าง ThaiCERT เพื่อแกะรอยการเข้าถึงข้อมูลข้ามพรมแดน แต่สิ่งที่น่ากังวลที่สุดคือคือการที่มิจฉาชีพจะนำข้อมูลจริงที่หลุดไป (เช่น ชื่อ หรือเลขบัญชีธนาคาร) มาใช้แอบอ้างเพื่อสร้างความน่าเชื่อถือในการหลอกลวงครั้งต่อไป หรือที่เรียกว่า Spear Phishing โดยคนร้ายอาจสมรอยเป็นเจ้าหน้าที่แนะนำการลงทุนหรือโบรกเกอร์ เพื่อหลอกขอรหัส OTP หรือให้กดลิงก์ดาวน์โหลดมัลแวร์
"หากมีใครโทรมาแล้วบอกข้อมูลส่วนตัวเราได้ถูกต้อง อย่าเพิ่งเชื่อใจเด็ดขาด ให้มีสติและรู้เท่าทันว่านี่คือจิตวิทยาแบบ Social Engineering เพื่อทำลายกำแพงความระแวง หากไม่มีนโยบายส่งลิงก์จากหน่วยงานออฟฟิเชียล ก็ห้ามกดโดยเด็ดขาด" พ.ต.ท. พากฤต กล่าว
มาตรการเยียวยาและแนวทางป้องกันในอนาคต
ขณะที่นายอัสเดช คงสิริ ในฐานะประธานกรรมการ TSD ได้กล่าวขออภัยนักลงทุนและผู้ที่ได้รับผลกระทบทุกคน พร้อมยืนยันว่า TSD ได้สั่งปิดช่องโหว่ดังกล่าวทันทีในทุกระบบของตลาดหลักทรัพย์ฯ นอกจากนี้ TSD จะทยอยย้ายบริการจากระบบหน้าบ้านที่เป็น Web-based ซึ่งใช้งานมานานกว่า 5 ปี ไปยังแอปพลิเคชัน Wiset ซึ่งเป็นเทคโนโลยีใหม่ที่มีมาตรฐานความปลอดภัยสูงกว่า ส่วนมาตรการเยียวยา TSD จะพิจารณาตามข้อเท็จจริงและความเสียหายที่เกิดขึ้นจริงอย่างเหมาะสม
ทั้งนี้ TSD ขอเน้นย้ำแนวทางปฏิบัติเพื่อความปลอดภัย ดังนี้
- อีเมลทางการ:หากได้รับอีเมลจาก TSD ต้องมาจากที่อยู่ [email protected] เท่านั้น
- ไม่มีนโยบายส่งลิงก์:TSD และตลาดหลักทรัพย์ฯ จะไม่มีการแนบลิงก์ใดๆ ไปใน SMS หรืออีเมลเด็ดขาด
- ความลับส่วนบุคคล:ห้ามเปิดเผยรหัสผ่าน หรือรหัส OTP แก่บุคคลที่ติดต่อมาโดยไม่สามารถยืนยันตัวตนได้
- ตรวจสอบสม่ำเสมอ:นักลงทุนควรตรวจสอบความผิดปกติของบัญชีและธุรกรรมเป็นประจำ รวมถึงเปลี่ยนรหัสผ่านบัญชีออนไลน์อย่างต่อเนื่อง
หากนักลงทุนมีข้อสงสัยหรือต้องการตรวจสอบข้อมูลเพิ่มเติม สามารถติดต่อได้ที่ SET Contact Center โทร 02-009-9999 ซึ่งเปิดให้บริการพิเศษแม้ในวันหยุด เพื่อสร้างความเชื่อมั่นและคุ้มครองข้อมูลส่วนบุคคลของผู้ใช้บริการอย่างสูงสุด
