เว็บโดนแฮก? เมื่อไรต้องแจ้งเหตุข้อมูลรั่วไหลภายใน 72 ชั่วโมง

ถ้าเว็บของคุณโดนแฮกและเว็บนั้นเก็บข้อมูลส่วนบุคคลไว้ (คำสั่งซื้อ บัญชีลูกค้า ข้อมูลจากฟอร์มติดต่อ รายชื่อผู้รับจดหมายข่าว) คุณอาจต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อหน่วยงานคุ้มครองข้อมูลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ถ้าเหตุนั้นไม่น่าจะก่อความเสี่ยงต่อเจ้าของข้อมูล ก็ไม่ต้องแจ้ง แต่ต้องบันทึกเหตุละเมิดไว้ทุกครั้ง ไม่ว่าจะแจ้งหรือไม่ก็ตาม และถ้าความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลเหล่านั้นด้วย เวลาเริ่มนับเมื่อคุณค่อนข้างแน่ใจแล้วว่าข้อมูลส่วนบุคคลได้รับผลกระทบ ไม่ใช่นับจากตอนที่ถูกโจมตี งานแรกจึงเป็นการหาให้เร็วที่สุดว่าผู้โจมตีเข้าถึงอะไรได้บ้าง บทความนี้อธิบายวิธีตัดสินใจ ข้อเท็จจริงที่ควรรวบรวมในชั่วโมงแรก ๆ และช่องทางแจ้งเหตุในสหภาพยุโรป สหราชอาณาจักร และไทย ผู้เขียนคือนักพัฒนาที่รับกู้เว็บโดนแฮก ไม่ใช่ทนายความ หากไม่แน่ใจ ให้ปรึกษาเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือทนายความของคุณภายในวันเดียวกัน

เว็บโดนแฮก ถือเป็นเหตุละเมิดข้อมูลส่วนบุคคลไหม?

ไม่เสมอไป ตาม GDPR เหตุละเมิดข้อมูลส่วนบุคคลคือเหตุด้านความปลอดภัยที่ทำให้ข้อมูลส่วนบุคคลถูกทำลาย สูญหาย ถูกแก้ไข ถูกเปิดเผย หรือถูกเข้าถึงโดยไม่ได้รับอนุญาต การแฮกเว็บที่ไม่มีข้อมูลส่วนบุคคล เช่น เว็บแนะนำบริษัทที่ไม่มีฟอร์มหรือบัญชีผู้ใช้ ถือเป็นเหตุด้านความปลอดภัย แต่ไม่ใช่เหตุละเมิดข้อมูลส่วนบุคคล ส่วนการแฮกร้านค้าออนไลน์ เว็บรับจอง หรือพอร์ทัลสมาชิก มักเข้าข่าย เพราะผู้โจมตีเข้าถึงข้อมูลลูกค้าได้ แม้คุณจะพิสูจน์ไม่ได้ว่าเขานำข้อมูลไปจริง

คณะกรรมการคุ้มครองข้อมูลแห่งยุโรป (EDPB) แบ่งเหตุละเมิดเป็นสามประเภท และการโดนแฮกครั้งเดียวอาจเข้าข่ายทั้งสามประเภทพร้อมกัน:

• ด้านความลับ: มีคนเห็นหรือคัดลอกข้อมูลที่ไม่ควรเข้าถึง เช่น ตารางลูกค้าที่ถูกดาวน์โหลดไป หรือไฟล์แบ็กอัปฐานข้อมูลที่ถูกทิ้งไว้ในโฟลเดอร์สาธารณะ
• ด้านความถูกต้อง: ข้อมูลถูกแก้ไข เช่น มีการฝังสคริปต์ในหน้าคำสั่งซื้อ หรือเลขบัญชีธนาคารในใบแจ้งหนี้ถูกเปลี่ยน
• ด้านความพร้อมใช้งาน: ข้อมูลสูญหายหรือถูกล็อก เช่น จากแรนซัมแวร์ หรือฐานข้อมูลถูกลบโดยไม่มีแบ็กอัปที่ใช้งานได้

เวลา 72 ชั่วโมงเริ่มนับเมื่อไร?

มาตรา 33 ของ GDPR กำหนดให้แจ้งเหตุละเมิดโดยไม่ชักช้าเกินสมควร และหากทำได้ ต้องไม่เกิน 72 ชั่วโมงนับแต่ทราบเหตุ แนวปฏิบัติเรื่องการแจ้งเหตุละเมิดของ EDPB อธิบายว่า คุณถือว่าทราบเหตุแล้วเมื่อมั่นใจในระดับที่สมเหตุสมผลว่าเหตุด้านความปลอดภัยนั้นทำให้ข้อมูลส่วนบุคคลได้รับผลกระทบ คุณใช้เวลาสั้น ๆ ตรวจสอบก่อนได้ว่าเป็นเช่นนั้นจริงหรือไม่ แต่ต้องเริ่มตรวจสอบทันที

ในทางปฏิบัติ ชั่วโมงที่เสียไปกับการลังเลว่าการ redirect แปลก ๆ ร้ายแรงหรือเปล่า ก็ถูกนับรวมในเวลานี้ด้วย ทันทีที่เห็นสัญญาณว่าเว็บที่มีข้อมูลลูกค้าโดนแฮก ให้เริ่มรวบรวมข้อเท็จจริง ถ้าทำไม่เสร็จภายใน 72 ชั่วโมง หน่วยงานกำกับดูแลในเบลเยียม เนเธอร์แลนด์ ฝรั่งเศส เยอรมนี และสหราชอาณาจักร ล้วนรับรายงานฉบับแรกภายในกำหนด แล้วให้ส่งข้อมูลเพิ่มเติมภายหลังได้ ถ้าแจ้งล่าช้า ต้องอธิบายเหตุผลของความล่าช้าด้วย

ถ้านักพัฒนาหรือบริษัทโฮสติ้งดูแลเว็บให้คุณ เขาคือผู้ประมวลผลข้อมูลของคุณ เมื่อพบเหตุละเมิด เขาต้องแจ้งคุณโดยไม่ชักช้า แต่หน้าที่แจ้งหน่วยงานยังเป็นของคุณ ในฐานะธุรกิจที่กำหนดว่าจะใช้ข้อมูลไปเพื่ออะไร

แจ้งหรือไม่แจ้ง: ตัดสินใจอย่างไร

สถานการณ์	ต้องแจ้งหน่วยงานไหม?	ต้องแจ้งผู้ได้รับผลกระทบไหม?
เว็บที่ไม่มีข้อมูลส่วนบุคคลโดนแฮก (ไม่มีฟอร์ม บัญชีผู้ใช้ หรือคำสั่งซื้อ)	ไม่ต้อง เพราะไม่ใช่เหตุละเมิดข้อมูลส่วนบุคคล	ไม่ต้อง
มีการฝังหน้าสแปมหรือ redirect แต่เข้าไม่ถึงฐานข้อมูลหรือข้อมูลจากฟอร์ม	ส่วนใหญ่ไม่ต้อง ถ้าแสดงได้ว่าเข้าถึงข้อมูลไม่ได้ และบันทึกเหตุผลไว้	ไม่ต้อง
ผู้โจมตีได้สิทธิ์แอดมินหรือเข้าถึงฐานข้อมูลที่มีชื่อและอีเมลลูกค้า	ส่วนใหญ่ต้องแจ้ง เพราะตัดความเสี่ยงออกไปไม่ได้	ขึ้นกับความเสี่ยง มักต้องแจ้งถ้ามีโอกาสถูกฟิชชิง
รหัสผ่าน เอกสารยืนยันตัวตน ข้อมูลการชำระเงิน หรือข้อมูลสุขภาพถูกเปิดเผย	ต้องแจ้ง	ส่วนใหญ่ต้องแจ้ง เพราะความเสี่ยงสูง
โดนแรนซัมแวร์หรือฐานข้อมูลถูกลบ และกู้คืนจากแบ็กอัปล่าสุดที่สะอาดแล้ว	ขึ้นกับว่าข้อมูลถูกคัดลอกไปด้วยหรือไม่ และใช้งานไม่ได้นานแค่ไหน	เฉพาะเมื่อความเสี่ยงสูง
ข้อมูลถูกเข้ารหัสด้วยคีย์ที่ผู้โจมตีไม่ได้ไป	หลายกรณียังต้องแจ้ง แต่ความเสี่ยงต่ำกว่า	ส่วนใหญ่ไม่ต้อง เพราะ GDPR ยกเว้นกรณีที่ผู้โจมตีอ่านข้อมูลไม่ออก

สิ่งที่ต้องพิจารณาคือความเสี่ยงต่อเจ้าของข้อมูลเสมอ ไม่ใช่ความเสียหายต่อธุรกิจของคุณ ให้ชั่งน้ำหนักว่าเป็นข้อมูลประเภทใด กระทบกี่คน ระบุตัวบุคคลได้หรือไม่ และคนที่ได้ข้อมูลไปจะนำไปทำอะไรได้ เช่น ฟิชชิง สวมรอยตัวตน ทำให้อับอาย หรือทำให้เสียเงิน ถ้ายังลังเล CNIL หน่วยงานกำกับดูแลของฝรั่งเศสแนะนำให้แจ้งไว้ก่อน แล้วหน่วยงานจะบอกได้ว่าคุณต้องแจ้งผู้ได้รับผลกระทบด้วยหรือไม่

สิ่งที่ต้องรวบรวมในชั่วโมงแรก ๆ

การแจ้งเหตุต้องใช้ข้อเท็จจริง ข้อเท็จจริงต่อไปนี้คือสิ่งที่นักพัฒนาช่วยคุณหาได้ และยังช่วยบอกแนวทางการล้างเว็บด้วย:

1. เกิดอะไรขึ้นและเมื่อไร: สัญญาณแรกที่คุณเห็น เห็นเมื่อไร และการโจมตีน่าจะเริ่มเมื่อไร ล็อกของเซิร์ฟเวอร์ วันที่ไฟล์ถูกแก้ไข และบัญชีแอดมินใหม่ มักบอกได้ว่าเริ่มเมื่อไร
2. ระบบใดถูกเข้าถึง: เฉพาะไฟล์ของเว็บ หรือรวมถึงฐานข้อมูล หน้าผู้ดูแลระบบ บัญชีอีเมล หรือระบบที่เชื่อมต่ออยู่ เช่น ระบบหลังบ้านของร้านค้า
3. มีข้อมูลส่วนบุคคลอะไรบ้าง: ลูกค้า คำสั่งซื้อ ข้อมูลจากฟอร์ม ผู้รับจดหมายข่าว พนักงาน ผู้ขาย หรือสมาชิก ระบุตารางหรือไฟล์ส่งออก และฟิลด์ที่อยู่ในนั้น
4. กระทบกี่คน: รายงานฉบับแรกใช้ตัวเลขประมาณได้ นับจากฐานข้อมูลก็ได้ตัวเลขภายในไม่กี่นาที
5. ข้อมูลถูกนำออกจากเซิร์ฟเวอร์หรือไม่: มองหาการดาวน์โหลดที่ผิดปกติ การตอบกลับขนาดใหญ่ใน access log หรือไฟล์ dump และไฟล์ส่งออกของฐานข้อมูลในโฟลเดอร์สาธารณะ ล็อกที่ดูปกติไม่ได้พิสูจน์ว่าไม่มีอะไรถูกนำไป
6. คุณทำอะไรไปแล้วบ้าง: รีเซ็ตรหัสผ่าน ปิดช่องโหว่ กู้เว็บ ตรวจแบ็กอัป แจ้งเตือนลูกค้า
7. ใครเป็นผู้ติดต่อ: หน่วยงานกำกับดูแลจะต้องการคนที่ตอบคำถามเพิ่มเติมได้

เก็บบันทึกเหล่านี้ไว้ แม้จะตัดสินใจไม่แจ้งก็ตาม มาตรา 33(5) ของ GDPR กำหนดให้บันทึกเหตุละเมิดทุกครั้ง ทั้งข้อเท็จจริง ผลกระทบ และสิ่งที่คุณทำเพื่อแก้ไข หน่วยงานกำกับดูแลของเนเธอร์แลนด์และฝรั่งเศสต่างก็ขอให้มีทะเบียนบันทึกเหตุละเมิดภายในแบบนี้

แจ้งเหตุที่ไหน

ประเทศ	หน่วยงาน	วิธีแจ้ง
เบลเยียม	หน่วยงานคุ้มครองข้อมูล (GBA/APD)	พอร์ทัลออนไลน์ โดยใช้บัญชีบริษัท เป็นภาษาดัตช์ ฝรั่งเศส หรือเยอรมัน รายงานทางอีเมลจะไม่ได้รับการดำเนินการ
เนเธอร์แลนด์	Autoriteit Persoonsgegevens	ผ่านช่องทางแจ้งเหตุข้อมูลรั่วไหลออนไลน์ (meldloket datalekken) ไม่รับทางโทรศัพท์ ไปรษณีย์ หรืออีเมล
ฝรั่งเศส	CNIL	บริการแจ้งเหตุออนไลน์ แจ้งฉบับแรกแล้วส่งข้อมูลเพิ่มเติมภายหลังได้
เยอรมนี	หน่วยงานคุ้มครองข้อมูลของรัฐ (Land) ที่ธุรกิจของคุณตั้งอยู่ ส่วนผู้ให้บริการโทรคมนาคมแจ้งต่อ BfDI	แต่ละรัฐมีแบบฟอร์มออนไลน์ของตัวเอง เช่น เบอร์ลินและบาเดิน-เวือร์ทเทมแบร์ก
สหราชอาณาจักร	Information Commissioner's Office (ICO)	รายงานเหตุละเมิดออนไลน์ภายใน 72 ชั่วโมง และแจ้งเป็นระยะได้
ไทย	สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)	แจ้งผ่านบริการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลออนไลน์ (e-service) บนเว็บไซต์ของ สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ (PDPA มาตรา 37(4))

ถ้าธุรกิจของคุณตั้งอยู่ในประเทศหนึ่งในสหภาพยุโรป แต่มีลูกค้าในหลายประเทศ โดยทั่วไปให้แจ้งต่อหน่วยงานของประเทศที่เป็นสถานประกอบการหลักของคุณ บางอุตสาหกรรม เช่น โทรคมนาคม มีกฎเพิ่มเติมเฉพาะของตัวเอง

กรณีจริง: พอร์ทัลผู้ขายบนเว็บที่ไม่มีใครดูแล

เมื่อเดือนกันยายน 2569 เครือร้านสินค้ามือสองในเบลเยียมแห่งหนึ่งกลับมาติดต่อเราอีกครั้ง หลังจากไม่ได้ติดต่อกันมาสี่ปี การโจมตีทางไซเบอร์ครั้งใหญ่ทำให้แทบทุกอย่างบนเว็บ WordPress ของพวกเขาพัง รวมถึงพอร์ทัลที่ผู้ขายล็อกอินเข้ามาติดตามสินค้าและยอดเงินที่จะได้รับ การซ่อมเว็บและปิดช่องโหว่ที่ผู้โจมตีใช้เข้ามา ใช้เวลาทำงาน 2 วัน

พอร์ทัลแบบนี้เก็บข้อมูลประเภทที่บทความนี้พูดถึงพอดี คือชื่อ ข้อมูลติดต่อ และข้อมูลการรับเงินของผู้ขาย คำถามทางเทคนิคข้างต้น (เข้าถึงอะไรได้บ้าง ตั้งแต่เมื่อไร และมีข้อมูลถูกนำออกจากเซิร์ฟเวอร์หรือไม่) จึงสำคัญพอ ๆ กับการทำให้เว็บกลับมาออนไลน์ การตัดสินใจว่าจะแจ้งหรือไม่ยังเป็นของธุรกิจ หน้าที่ของเราคือหาข้อเท็จจริงให้เร็วพอที่จะตัดสินใจได้ทันกำหนด

หลังแจ้งเหตุ: ปิดช่องโหว่

การแจ้งเหตุไม่ได้แก้ปัญหาอะไร ยังต้องทำขั้นตอนเดียวกับเว็บที่โดนแฮกทั่วไป: รีเซ็ตรหัสผ่านทุกจุด หาและปิดทางที่ผู้โจมตีใช้เข้ามา แทนที่ไฟล์ที่ติดมัลแวร์ อัปเดตทุกอย่าง และตรวจว่าแบ็กอัปสะอาด คู่มือทีละขั้นตอนของเรา เว็บโดนแฮก ทำอย่างไร? คู่มือกู้ WordPress ในชั่วโมงแรก อธิบายส่วนนี้ไว้แล้ว หน่วยงานกำกับดูแลยังดูด้วยว่าคุณทำอะไรเพื่อป้องกันไม่ให้เกิดซ้ำ จึงควรจดมาตรการที่ใช้ไว้ เช่น การล็อกอินแบบสองขั้นตอน การลบปลั๊กอินที่ไม่ใช้ การเฝ้าระวัง และการมีผู้รับผิดชอบเรื่องอัปเดต ถ้าเว็บไม่ได้รับการดูแลมาระยะหนึ่ง บทความ ดูแลเว็บไซต์รายเดือน ราคาเท่าไหร่ ปี 2026 (WordPress) จะช่วยให้คุณตัดสินใจได้ว่าจะดูแลให้ปลอดภัยต่อจากนี้อย่างไร

ค่าใช้จ่ายในการหาข้อเท็จจริง

ตัวเลือก	ราคา ไม่รวม VAT	ควรรู้
ทีมของคุณเองหรือบริษัทโฮสติ้ง	เวลาของคุณ หรือตามแพ็กเกจของโฮสต์	ใช้ได้ถ้าอ่านล็อกเซิร์ฟเวอร์และฐานข้อมูลเป็น โฮสต์หลายรายทำได้แค่กู้แบ็กอัป
WDDW ช่วยเหลือฉุกเฉิน	฿2,200 ต่อชั่วโมง ไม่มีขั้นต่ำ	นักพัฒนาอาวุโสเริ่มงานได้ในวันเดียวกัน: หาว่าผู้โจมตีเข้าถึงอะไรได้บ้าง รวบรวมข้อเท็จจริงสำหรับการแจ้งเหตุ และปิดช่องโหว่
WDDW ช่วยเหลือฉุกเฉินวันเสาร์-อาทิตย์	฿3,300 ต่อชั่วโมง	การโจมตีไม่รอถึงวันจันทร์ เวลา 72 ชั่วโมงก็ไม่รอเช่นกัน
บัตรชั่วโมง WDDW	฿25,900 สำหรับ 14 ชั่วโมง	ชั่วโมงแบบจ่ายล่วงหน้าสำหรับงานต่อเนื่อง: อัปเดต ล็อกอินแบบสองขั้นตอน เฝ้าระวัง

สำหรับเว็บธุรกิจขนาดเล็กทั่วไป การหาว่าเข้าถึงอะไรได้บ้างใช้เวลาไม่กี่ชั่วโมง ไม่ใช่หลายวัน แต่การกู้เว็บทั้งหมดจะใช้เวลานานกว่า ถ้าเว็บไม่มีใครดูแลมาหลายปีเหมือนกรณีข้างต้น ดูตัวเลือกทั้งหมดได้ที่หน้าราคาของเรา

โดนแฮกและเวลากำลังเดิน? เราเริ่มได้วันนี้

ขอความช่วยเหลือฉุกเฉิน แล้วนักพัฒนาอาวุโสจะเริ่มทำงานกับเว็บของคุณในวันเดียวกัน ราคา ฿2,200 ต่อชั่วโมง ไม่รวม VAT ไม่มีขั้นต่ำ ไม่ต้องนัดคุยก่อน เราเซ็น NDA ให้ได้ถ้าคุณต้องการ หาว่าผู้โจมตีเข้าถึงอะไรได้บ้าง จดข้อเท็จจริงสำหรับการแจ้งเหตุ และปิดช่องโหว่ เราไม่ให้คำแนะนำทางกฎหมาย และตัดสินใจแทนคุณไม่ได้ว่าควรแจ้งหรือไม่ แต่เราทำให้คุณมีข้อเท็จจริงทันเวลา อยากคุยก่อน? ติดต่อเราได้ทั้งภาษาไทย อังกฤษ ดัตช์ ฝรั่งเศส และเยอรมัน