ความน่าเชื่อถือของตลาดหลักทรัพย์ไทย เมื่อข้อมูลส่วนตัวนักลงทุนถูกแฮ็ก

*** เพียงไม่กี่วันหลังจากที่สำนักงาน ก.ล.ต. กล่าวโทษ บริษัท บิทคับ ออนไลน์ จำกัด (Bitkub) จากกรณีการถูกโจมตีทางไซเบอร์ เมื่อปี 2564 จนถูกสังคมตั้งคำถามว่า เป็นฝีมือแฮกเกอร์จากภายนอกจริงหรือไม่ 

ในวันที่ 26 กรกฎาคม 2569 ระบบ TSD Investor Portal ของบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด (TSD) บริษัทลูกของตลาดหลักทรัพย์แห่งประเทศไทย (SET) ก็ถูกแฮ็กตามมาติด ๆ จนข้อมูลส่วนบุคคลของผู้ลงทุนจำนวนมากหลุดออกไป เข้าข่าย “ความวัวยังไม่ทันหาย ความควายก็เข้ามาแทรก”

เจ๊เมาธ์บอกเลยว่า... เรื่องนี้ "ไม่ตลก"

เพราะข้อมูลที่หลุดออกไปไม่ใช่แค่ชื่อ-นามสกุล หรือ เบอร์โทรศัพท์ แต่รวมถึงเลขบัตรประชาชน เลขบัญชีหุ้น และ เลขบัญชีธนาคาร ซึ่งถือเป็นข้อมูลสำคัญที่มิจฉาชีพ สามารถนำไปต่อยอดก่ออาชญากรรมทางการเงินได้ในอนาคต 

แม้วันนี้จะยังไม่มีความเสียหายเกิดขึ้น แต่ใครจะกล้ารับประกันว่า อีกหลายเดือน หรือ อีกหลายปีข้างหน้า จะไม่มีใครนำข้อมูลเหล่านี้ไปใช้สวมรอย หลอกลวง หรือเปิดบัญชีในชื่อของผู้เสียหาย

อย่าลืมว่า... ในโลกการเงินดิจิทัล สิ่งที่มีมูลค่ามากกว่าเงิน ไม่ใช่อะไรอื่น แต่คือ "ความไว้วางใจ" (Trust) และ "ความมั่นคงปลอดภัย" (Cyber Security)

แต่สิ่งที่เกิดขึ้นกับทั้ง Bitkub และ TSD แม้จะเป็นคนละเหตุการณ์และมีรายละเอียดแตกต่างกัน กลับสะท้อนภาพเดียวกันอย่างน่ากังวลว่า ระบบป้องกันภัยไซเบอร์ขององค์กรที่ดูแลทรัพย์สิน และข้อมูลของนักลงทุนไทย ยังมีช่องโหว่ให้ตั้งคำถามไม่น้อย

เจ๊เมาธ์มองว่า... วันนี้โครงสร้างพื้นฐานทางการเงินของไทยกำลังถูกทดสอบอย่างหนัก และที่น่าห่วง คือ เริ่มมีภาพให้เห็นราวกับว่า ระบบสำคัญของประเทศ กำลังกลายเป็น "ตู้ ATM ส่วนตัว" ให้โจรไซเบอร์แวะเข้ามาล้วงข้อมูลได้ทุกครั้งที่มีโอกาส 

ประเด็นคือ ตลาดหลักทรัพย์แห่งประเทศไทย ทำกำไรสุทธิและมีรายได้ปีละหลายพันล้านบาท แต่เมื่อย้อนกลับไปดูรายงานประจำปี กลับไม่มีการเปิดเผยงบประมาณด้าน Cyber Security อย่างชัดเจน หรือ หากประเมินจากข้อมูลที่มีอยู่ ก็พบว่า มีการลงทุนด้านความมั่นคงปลอดภัยไซเบอร์ เพียงประมาณ 10–12% ของงบด้านเทคโนโลยีสารสนเทศ ขณะที่ตลาดหลักทรัพย์สิงคโปร์และฮ่องกง ลงทุนในระดับ 15–20%  

คำถามคือ เมื่อตลาดหลักทรัพย์ฯ  มีกำไรมหาศาลแล้วเอาไปทำอะไรกันหมด ทำไมระบบป้องกันข้อมูลของนักลงทุนถึงยังถูกเจาะได้ซ้ำแล้วซ้ำเล่า และอย่ามาอ้างว่า เพราะตลาดเล็กกว่าก็เลยมีงบลงทุนน้อยกว่า เพราะต้องไม่ลืมว่ายิ่งตัวเล็กเท่าไหร่ก็ยิ่งถูกรังแกได้ง่ายเช่นเดียวกัน!

ทุกวันนี้ ระบบซื้อขาย ระบบรับฝากหลักทรัพย์ และ ฐานข้อมูลผู้ลงทุน ไม่ใช่แค่ระบบสนับสนุนการทำงานอีกต่อไป แต่คือ "หัวใจของตลาดทุน" หากระบบเหล่านี้ถูกโจมตี หรือ หยุดชะงัก ความเสียหายไม่ได้เกิดกับองค์กรเพียงแห่งเดียว แต่กระทบต่อความเชื่อมั่นของนักลงทุนทั้งประเทศ

หลังเกิดเหตุ TSD ทำได้เพียงส่งอีเมล และ SMS แจ้งเตือนผู้ใช้งาน พร้อมข้อความคลาสสิกว่า "ขออภัยเป็นอย่างยิ่ง... ยังไม่พบข้อมูลการถือครองหลักทรัพย์ได้รับผลกระทบ" และขอให้เปลี่ยนรหัสผ่าน ระวัง SMS หรือคอลเซ็นเตอร์ปลอม รวมทั้งอย่าเปิดเผยรหัส OTP

คำถามต่อมาคือ เมื่อข้อมูลส่วนบุคคลหลุดออกไปแล้ว การเปลี่ยนรหัสผ่านเพียงอย่างเดียวสามารถแก้ปัญหาได้จริงหรือ!

หากอีกหลายเดือน หรือ อีกหลายปีข้างหน้า มีผู้ไม่หวังดีนำข้อมูลเหล่านี้ไปหลอกลวง สวมรอย หรือ สร้างความเสียหายทางการเงิน โดยอาศัยข้อมูลที่เคยรั่วไหลจากเหตุการณ์นี้ แม้จะไม่ได้อ้างชื่อ TSD โดยตรง ใครจะเป็นผู้รับผิดชอบ และใครจะพิสูจน์ความเชื่อมโยงได้ อย่าลืมว่า... ในโลกของการลงทุน “คำขอโทษไม่สามารถชดเชยความเสียหายใดได้”

การที่ข้อมูลสำคัญระดับ "สมุดบัญชีชีวิตทางการเงิน" ทั้งเลขบัญชีหุ้น เลขบัญชีธนาคาร และข้อมูลส่วนบุคคล หลุดไปอยู่ในมือโจรไซเบอร์ แม้วันนี้หุ้นจะยังไม่ถูกโอนออกจากพอร์ต แต่วันหนึ่งข้อมูลเหล่านี้อาจกลายเป็นจิ๊กซอว์ชิ้นสำคัญ ที่มิจฉาชีพใช้ทำ Social Engineering เพื่อค่อย ๆ หลอกล่อและเลาะกระดูกนักลงทุนกินทีละชั้น

สุดท้ายแล้ว หากผู้คุมกติกา (Regulators) ยังปล่อยให้ตลาดหุ้นและตลาดคริปโตไทยวางระบบแบบ "ผู้ด้อยพัฒนา" ที่ปล่อยให้แฮกเกอร์เข้ามาล้วงข้อมูลราวกับหยิบเงินในกระเป๋าตัวเอง ยังให้ความสำคัญกับ Cyber Security แบบ "พอมีไว้ให้ผ่านมาตรฐาน" มากกว่าจะมองว่าเป็นหัวใจขององค์กร เรื่องแบบนี้ก็คงจะเกิดขึ้นอีกซ้ำแล้วซ้ำเล่า... 

วันหนึ่งสิ่งที่สูญหายไป อาจไม่ใช่แค่ข้อมูลหรือเงินในบัญชี แต่จะเป็น "ความเชื่อมั่น" ของนักลงทุนทั้งระบบ และเมื่อความเชื่อมั่นหายไป... สิ่งที่เดินออกจากตลาดทุนไทย อาจไม่ใช่แค่เงินทุน แต่คือ "นักลงทุน" ที่ตัดสินใจไม่กลับมาอีกเลยเจ้าค่ะ