เมื่อวันที่ 26 กรกฎาคม 2569 บริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด หรือ TSD เปิดเผยว่า ตรวจพบการเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้บริการระบบ TSD Investor Portal โดยไม่ได้รับอนุญาต ส่งผลให้ข้อมูลบางส่วนรั่วไหล ก่อนเร่งปิดกั้นการเข้าถึง หยุดการรั่วไหล ยกระดับมาตรการรักษาความปลอดภัย และแจ้งหน่วยงานกำกับดูแลรวมถึงผู้ได้รับผลกระทบ
ทั้งนี้TSD ยืนยันว่า เหตุการณ์นี้ไม่กระทบต่อการซื้อขายหลักทรัพย์ ข้อมูลทางการเงิน หรือทรัพย์สินของผู้ลงทุน
ล่าสุด นายเอนก อยู่ยืน รองเลขาธิการและโฆษกสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ หรือ ก.ล.ต. เปิดเผยว่า ก.ล.ต. ได้รับรายงานเหตุเบื้องต้นจาก TSD เมื่อวันที่ 26 กรกฎาคม 2569 และได้ประสานให้ TSD เร่งตรวจสอบข้อเท็จจริง หาสาเหตุ และควบคุมไม่ให้เกิดผลกระทบเพิ่มเติม
แม้คำยืนยันดังกล่าวจะช่วยลดความกังวลในเบื้องต้นว่า ระบบซื้อขายหรือทรัพย์สินของนักลงทุนไม่ได้รับผลกระทบ แต่เหตุการณ์นี้ยังทิ้งคำถามสำคัญไว้ว่า
เหตุใดระบบนี้จึงสำคัญ และหากผู้ไม่หวังดีเข้าถึงข้อมูลหรือบัญชีผู้ใช้งานได้ ความเสียหายอาจเกิดขึ้นในรูปแบบใดบ้าง
1. TSD คืออะไร ทำไมจึงสำคัญต่อตลาดทุนไทย
TSD ย่อมาจาก Thailand Securities Depository หรือบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด เป็นบริษัทในกลุ่มตลาดหลักทรัพย์แห่งประเทศไทย
TSD ทำหน้าที่เป็นศูนย์รับฝากหลักทรัพย์ในระบบไร้ใบหลักทรัพย์ หรือ Scripless และเป็นนายทะเบียนหลักทรัพย์ ครอบคลุมหุ้นที่จดทะเบียนในตลาดหลักทรัพย์แห่งประเทศไทยและตลาดหลักทรัพย์ mai รวมถึงหลักทรัพย์บางประเภทที่ไม่ได้จดทะเบียน เช่น ตราสารหนี้และพันธบัตรรัฐบาล
หน้าที่ของ TSD ยังรวมถึงการดูแลข้อมูลหลักทรัพย์ จัดทำทะเบียนผู้ถือหลักทรัพย์ จ่ายเงินปันผลและสิทธิประโยชน์ รวมถึงควบคุมสัดส่วนการถือครองหลักทรัพย์ของนักลงทุนต่างชาติให้เป็นไปตามกฎเกณฑ์
TSD จึงไม่ใช่เพียงเว็บไซต์ดูพอร์ตหุ้น แต่เป็นส่วนหนึ่งของโครงสร้างพื้นฐานที่อยู่เบื้องหลังระบบทะเบียนและสิทธิของผู้ถือหลักทรัพย์ในประเทศไทย
ดังนั้น แม้เหตุการณ์ครั้งนี้จะเกิดกับระบบ Investor Portal ซึ่งเป็นบริการออนไลน์สำหรับนักลงทุน ไม่ใช่ระบบซื้อขายหลักทรัพย์โดยตรง แต่การที่ระบบขององค์กรระดับโครงสร้างพื้นฐานถูกเข้าถึงโดยไม่ได้รับอนุญาต ย่อมมีนัยต่อความเชื่อมั่นของตลาดทุน
2. Investor Portal มีข้อมูลและทำอะไรได้บ้าง
Investor Portal เป็นบริการออนไลน์ที่เปิดให้ผู้ถือหลักทรัพย์ตรวจสอบข้อมูลการถือครองและจัดการธุรกรรมบางประเภทได้ด้วยตนเองตลอด 24 ชั่วโมง
บริการภายในระบบครอบคลุมตั้งแต่การตรวจสอบข้อมูลการถือครองหลักทรัพย์ ดาวน์โหลดเอกสารภาษีเงินปันผล รับเอกสารสิทธิประโยชน์ทางอีเมล มอบฉันทะประชุมผู้ถือหุ้นออนไลน์ ไปจนถึงการแก้ไขข้อมูลผู้ถือหลักทรัพย์และสมัครหรือเปลี่ยนแปลงข้อมูลรับเงินปันผลผ่าน e-Dividend
ที่สำคัญ ข้อมูลจากตลาดหลักทรัพย์ระบุว่า Investor Portal ยังมีบริการ โอนหุ้นออนไลน์จากบัญชีบริษัทผู้ออกหลักทรัพย์เข้าสู่บัญชีซื้อขายหลักทรัพย์ของผู้ลงทุนที่เปิดไว้กับบริษัทหลักทรัพย์ โดยไม่ต้องยื่นเอกสารหรือเดินทางไปติดต่อด้วยตนเอง
นั่นหมายความว่า Investor Portal ไม่ได้มีเพียงข้อมูลสำหรับอ่านอย่างเดียว แต่รองรับการทำรายการบางประเภทด้วย โดยมีขั้นตอนยืนยันตัวตนและการใช้รหัส OTP ประกอบ
อย่างไรก็ตาม การที่ระบบรองรับธุรกรรม ไม่ได้หมายความว่า ผู้ที่เข้าถึงข้อมูลโดยไม่ได้รับอนุญาตในเหตุการณ์ครั้งนี้สามารถทำธุรกรรมดังกล่าวได้สำเร็จ เพราะยังต้องพิจารณาว่าผู้บุกรุกเข้าถึงระบบในระดับใด ได้รับสิทธิประเภทใด และผ่านขั้นตอนยืนยันตัวตนหรือไม่
3. ข้อมูลรั่ว เท่ากับหุ้นถูกขโมยหรือไม่
ขณะนี้ยังไม่มีรายงานว่ามีการโอนหุ้น เปลี่ยนกรรมสิทธิ์ หรือทำให้ทรัพย์สินของผู้ลงทุนสูญหาย โดย TSD ยืนยันว่าเหตุการณ์ไม่กระทบต่อการซื้อขาย ข้อมูลทางการเงิน และทรัพย์สินที่อยู่ภายใต้การดูแล
อย่างไรก็ตาม ข้อมูลรั่วยังไม่เท่ากับหุ้นถูกขโมย ประเด็นที่ต้องติดตามต่อคือ ผู้บุกรุกเข้าถึงเพียงข้อมูลส่วนบุคคล หรือสามารถเข้าถึงสิทธิแก้ไขข้อมูลและทำรายการบางประเภทในระบบได้หรือไม่
4. แม้หุ้นไม่หาย ความเสียหายเกิดขึ้นได้อย่างไร
ความเสียหายที่มีโอกาสเกิดขึ้นคือการนำข้อมูลที่รั่วไหลไปใช้สร้างการหลอกลวงที่มีความน่าเชื่อถือสูง
หากมิจฉาชีพทราบชื่อ เบอร์โทรศัพท์ อีเมล หรือรู้ว่าบุคคลใดเป็นผู้ถือหลักทรัพย์ ก็อาจติดต่อโดยอ้างว่าเป็นเจ้าหน้าที่ TSD ตลาดหลักทรัพย์ หรือบริษัทหลักทรัพย์ และสร้างเรื่องหลอกที่สอดคล้องกับสถานะของเหยื่อ เช่น
“พบบัญชีหลักทรัพย์ของคุณมีความผิดปกติ กรุณากดลิงก์เพื่อยืนยันตัวตน”
“คุณมีเงินปันผลตกค้าง กรุณาแจ้งเลขบัญชีและรหัส OTP”
หรือ “มีคำสั่งโอนหุ้นจากบัญชีของคุณ กรุณาติดตั้งแอปเพื่อยกเลิกรายการ”
เมื่อผู้ติดต่อรู้ข้อมูลจริงบางส่วนของเหยื่อ การหลอกลวงจะดูน่าเชื่อถือกว่าการสุ่มโทรศัพท์ทั่วไป และอาจนำไปสู่การขโมยรหัสผ่าน OTP การติดตั้งแอปควบคุมโทรศัพท์ หรือการหลอกให้โอนเงินในขั้นต่อไป
นี่จึงเป็นเหตุผลที่ทั้ง TSD และ ก.ล.ต. เน้นเตือนผู้ลงทุนให้ระวังอีเมล SMS โทรศัพท์ และลิงก์ที่ส่งมาจากแหล่งที่ไม่ชัดเจน
นอกจากนี้ หากข้อมูลที่ได้รับผลกระทบเกี่ยวข้องกับเอกสารภาษี รายละเอียดเงินปันผล หรือรายการถือครองหลักทรัพย์ ก็อาจถูกนำไปใช้ประเมินฐานะทางการเงินหรือคัดเลือกเป้าหมายสำหรับการหลอกลงทุนได้อีกด้วย
5. คำถามที่ TSD ต้องชี้แจง
แม้ TSD ยืนยันว่าสินทรัพย์ไม่เสียหาย แต่ยังต้องชี้แจงว่า ผู้บุกรุกเข้าระบบได้อย่างไร กระทบผู้ใช้กี่ราย ข้อมูลใดรั่วไหล และมีการแก้ไขข้อมูลหรือทำรายการผิดปกติหรือไม่ เพื่อประเมินขอบเขตความเสี่ยงและเรียกคืนความเชื่อมั่นของนักลงทุนกลับมา
ซึ่งต่อจากนี้สิ่งที่ตลาดต้องการจึงไม่ใช่เพียงคำยืนยันว่า “หุ้นยังอยู่” แต่คือรายละเอียดที่ตรวจสอบได้ว่า ข้อมูลใดรั่วไหล ผู้บุกรุกมีสิทธิในระบบระดับใด มีรายการใดถูกแก้ไขหรือไม่ และมาตรการป้องกันเหตุซ้ำจะเพียงพอสำหรับรักษาความเชื่อมั่นของนักลงทุนได้มากน้อยเพียงใดมากกว่า