มิจฉาชีพรู้จักเราได้อย่างไร “ข้อมูลส่วนตัว” ของเราอยู่ที่ไหนบ้าง

เคยไหม อยู่ดีๆ มีคนโทรมาหาแล้วเรียกชื่อเราได้ถูกต้อง รู้ว่าใช้ธนาคารอะไร หรือรู้ว่าเพิ่งสั่งของบางอย่าง ทั้งที่เราไม่เคยรู้จักกันมาก่อน

ความรู้สึกแรกมักเป็น “ข้อมูลเราหลุดไปจากไหน?”

คำตอบอาจไม่ได้มีแหล่งเดียว และที่น่าคิดกว่านั้นคือ มิจฉาชีพอาจไม่จำเป็นต้องมีข้อมูลของเราทั้งหมดตั้งแต่แรก เพราะข้อมูลเล็กๆ จากหลายแหล่งสามารถถูกนำมาต่อกันจนกลายเป็นภาพของคนคนหนึ่งที่ละเอียดขึ้นเรื่อยๆ

ข้อมูลของเราอยู่ที่ไหนบ้าง?

จริงๆ แล้วตลอดหนึ่งวัน เราทิ้งข้อมูลไว้หลายจุดโดยแทบไม่รู้ตัว

ตั้งแต่การสมัครสมาชิก กรอกแบบฟอร์ม ซื้อของออนไลน์ ใช้แอป ติดต่อบริการต่างๆ ไปจนถึงการโพสต์เรื่องราวในโซเชียลมีเดีย

สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ หรือ ETDA อธิบายว่า ข้อมูลส่วนบุคคลอาจรวมถึงชื่อ นามสกุล เลขบัตรประชาชน หมายเลขโทรศัพท์ วันเกิด รหัสส่วนตัว รูปภาพ วิดีโอ และข้อมูลอื่นที่สามารถระบุตัวบุคคลได้ ทั้งทางตรงหรือทางอ้อม

1. แบบฟอร์มและบริการที่เราใช้

จุดแรกที่เห็นง่ายที่สุดคือ ข้อมูลที่เราเป็นคนกรอกเอง

สมัครสมาชิก สั่งสินค้า สมัครงาน ลงทะเบียนกิจกรรม ขอใช้บริการ หรือกรอกข้อมูลบนเว็บไซต์และแอป ล้วนเป็นช่องทางที่ข้อมูลส่วนบุคคลถูกเก็บรวบรวม

ข้อมูลอาจมีตั้งแต่ชื่อ เบอร์โทร อีเมล ไปจนถึงข้อมูลที่จำเป็นสำหรับการยืนยันตัวตน ทั้งนี้แต่ละองค์กรมีวัตถุประสงค์และฐานทางกฎหมายในการประมวลผลแตกต่างกัน

ประเด็นสำคัญจึงไม่ใช่ “ห้ามให้ข้อมูลกับใครเลย” เพราะการใช้บริการหลายอย่างจำเป็นต้องใช้ข้อมูล แต่ควรถามตัวเองว่า ข้อมูลนี้จำเป็นจริงหรือไม่ และเรากำลังให้กับใคร

2. ร้านค้าออนไลน์และประวัติการสั่งซื้อ

การซื้อของออนไลน์ทำให้เกิดข้อมูลอีกชุดหนึ่ง เช่น ชื่อผู้รับ เบอร์โทร ที่อยู่สำหรับจัดส่ง และประวัติการซื้อ

ข้อมูลเหล่านี้มีประโยชน์มากสำหรับการให้บริการลูกค้า แต่หากข้อมูลถูกเข้าถึงโดยไม่ได้รับอนุญาต ก็อาจกลายเป็นเบาะแสให้มิจฉาชีพนำไปใช้สร้างเรื่องหลอกลวงที่ดูสมจริงขึ้นได้

ETDA เตือนว่า เมื่อข้อมูลส่วนบุคคลรั่วไหล ผู้ไม่หวังดีอาจนำข้อมูลเหล่านั้นมาใช้สร้างความน่าเชื่อถือในการติดต่อกับเจ้าของข้อมูล เช่น แอบอ้างเป็นหน่วยงานหรือผู้ให้บริการที่เกี่ยวข้องกับเรา

3. โซเชียลมีเดียก็เป็นแหล่งข้อมูล

บางครั้งเราไม่ต้องถูกแฮกเลย ข้อมูลจำนวนหนึ่งอาจถูกเปิดเผยด้วยตัวเราเอง

รูปวันเกิด โพสต์สถานที่ทำงาน ภาพหน้าบ้าน รูปบัตรสมาชิก ภาพพัสดุ หรือแม้แต่การบอกว่า “กำลังเดินทางไปไหน” ล้วนเป็นชิ้นส่วนของข้อมูล

เมื่อข้อมูลเหล่านี้ถูกนำมาประกอบกัน คนที่ไม่รู้จักเราอาจเข้าใจชีวิตประจำวันของเราได้มากกว่าที่เราคิด

นี่ไม่ได้หมายความว่าทุกโพสต์จะทำให้เกิดอันตราย แต่ควรระวังข้อมูลที่เมื่อรวมกันแล้วสามารถระบุตัวตนหรือกิจวัตรของเราได้

แล้วถ้าข้อมูลไม่ได้มาจากเราโดยตรงล่ะ?

นี่คือส่วนที่หลายคนอาจนึกไม่ถึง

ข้อมูลส่วนบุคคลไม่ได้เกิดจากการที่เจ้าของข้อมูลเป็นคนกรอกเพียงอย่างเดียว หน่วยงานหรือบริการบางประเภทอาจได้รับข้อมูลจากบุคคลที่สาม หรือมีข้อมูลจากการใช้งานระบบ เช่น IP Address และเทคโนโลยีอย่างคุกกี้ ตามวัตถุประสงค์และเงื่อนไขที่เกี่ยวข้อง

ในต่างประเทศยังมีธุรกิจประเภท data broker ที่รวบรวมข้อมูลจากหลายแหล่งแล้วสร้างเป็นโปรไฟล์บุคคล โดย FTC ของสหรัฐฯ ระบุว่าแหล่งข้อมูลอาจรวมถึงข้อมูลจากนายหน้าข้อมูลรายอื่น โปรไฟล์โซเชียลที่เปิดเผยต่อสาธารณะ และข้อมูลจากบันทึกสาธารณะ

อย่างไรก็ตาม ไม่ควรเหมารวมว่าระบบลักษณะเดียวกันทำงานเหมือนกันในไทยทุกกรณี เพราะกฎหมายและรูปแบบการดำเนินงานแตกต่างกันตามประเทศ

ข้อมูลรั่วไหลอาจทำให้เรื่องเล็กกลายเป็นเรื่องใหญ่

สิ่งที่น่ากังวลไม่ใช่แค่ข้อมูลชิ้นเดียว แต่คือ การนำข้อมูลหลายชิ้นมาต่อกัน

ตัวอย่างง่ายๆ คือ

ชื่อ + เบอร์โทร → รู้ว่าเป็นใคร
ชื่อ + ที่อยู่ → รู้ว่าอยู่ที่ไหน
ชื่อ + ประวัติการสั่งซื้อ → รู้ว่าเราใช้บริการอะไร
ข้อมูลเหล่านี้ + เรื่องที่โพสต์ในโซเชียล → รู้ว่าเรื่องไหนอาจทำให้เราเชื่อหรือกังวล

จากนั้นมิจฉาชีพอาจสร้างเรื่องให้ตรงกับบริบทของเรา เช่น อ้างเป็นบริษัทขนส่ง ธนาคาร หรือหน่วยงานที่เรามีโอกาสติดต่อด้วย

ธนาคารแห่งประเทศไทยอธิบายว่า มิจฉาชีพอาจใช้ข้อมูลส่วนตัวที่ได้มาเพื่อแอบอ้างหรือสวมรอย รวมถึงใช้ข้อมูลในกระบวนการหลอกลวงทางการเงิน

งานวิจัยปี 2569 พบข้อมูลบัตรประชาชนถูกเปิดเผยบนเว็บจำนวนมาก

ประเด็นนี้ไม่ได้เป็นเพียงเรื่องที่พูดกันลอยๆ

งานวิจัยที่ตีพิมพ์ใน International Journal of Information Security ปี 2026 ศึกษาการเปิดเผยข้อมูลส่วนบุคคลของไทยที่สามารถค้นพบผ่านเสิร์ชเอนจิน โดยการเก็บข้อมูลในช่วงเดือนมีนาคม–พฤษภาคม 2024 พบหมายเลขบัตรประชาชนที่ไม่ซ้ำกันมากกว่า 1.2 ล้านหมายเลข จากเอกสารออนไลน์กว่า 6,000 รายการ

งานวิจัยดังกล่าวยังระบุข้อจำกัดสำคัญว่า ตัวเลขนี้เป็นเพียงข้อมูลที่ค้นพบจากเว็บที่เสิร์ชเอนจินเข้าถึงได้ จึง ไม่ใช่จำนวนข้อมูลรั่วไหลทั้งหมดของประเทศไทย

แต่สิ่งที่งานวิจัยนี้สะท้อนให้เห็นคือ ข้อมูลที่ไม่ควรปรากฏต่อสาธารณะอาจถูกค้นพบได้โดยไม่จำเป็นต้องเจาะระบบที่ซับซ้อนเสมอไป

เราป้องกันตัวเองอย่างไร?

วิธีป้องกันที่ดีที่สุดอาจไม่ใช่การพยายามทำให้ตัวเอง “ไม่มีข้อมูลอยู่บนโลกออนไลน์” ซึ่งแทบเป็นไปไม่ได้ แต่คือการลดข้อมูลที่ไม่จำเป็น และทำให้ข้อมูลสำคัญเข้าถึงได้ยากขึ้น

ธนาคารแห่งประเทศไทยแนะนำหลักจำง่ายๆ ว่า “ไม่เชื่อ ไม่กรอก ไม่บอก ไม่โพสต์ข้อมูลสำคัญ” โดยเฉพาะเลขบัตรประชาชน วันเกิด เลขบัญชี บัตรเครดิต และ OTP

อีกเรื่องที่สำคัญมากคือ อย่าเชื่อเพียงเพราะอีกฝ่ายรู้ข้อมูลของเรา

การที่คนโทรมารู้ชื่อ รู้เบอร์ หรือรู้ข้อมูลบางอย่าง ไม่ได้แปลว่าเขาเป็นเจ้าหน้าที่จริง

ETDA แนะนำว่า หากข้อมูลส่วนบุคคลรั่วไหล ผู้ไม่หวังดีอาจนำข้อมูลที่มีอยู่มาใช้สร้างความน่าเชื่อถือในการสนทนาได้ ดังนั้นเมื่อมีการติดต่อที่ผิดปกติ ควรหยุดก่อนให้ข้อมูลหรือโอนเงิน และตรวจสอบกับหน่วยงานตัวจริงผ่านช่องทางที่เราเป็นฝ่ายค้นหาเอง

เรามีสิทธิรู้ว่าข้อมูลของเราอยู่ที่ไหน

ภายใต้กรอบการคุ้มครองข้อมูลส่วนบุคคล เจ้าของข้อมูลมีสิทธิบางประการ เช่น ขอเข้าถึงข้อมูล ขอแก้ไข ขอคัดค้าน ขอเพิกถอนความยินยอม และขอลบข้อมูลในกรณีที่เข้าเงื่อนไขตามกฎหมาย

ETDA มีช่องทางสำหรับการใช้สิทธิเหล่านี้ และตัวอย่างนโยบายของหน่วยงานภาครัฐก็ระบุสิทธิของเจ้าของข้อมูลในเรื่องการเข้าถึง แก้ไข ลบ และการจัดการข้อมูลในกรณีต่างๆ

ดังนั้น ครั้งต่อไปที่มีคนโทรมาแล้วพูดข้อมูลของเราได้ถูกต้อง อย่าเพิ่งตกใจว่า “เขารู้จักเราขนาดนี้ได้อย่างไร”

คำถามที่สำคัญกว่าคือ ข้อมูลนั้นมาจากไหน และเรากำลังจะให้ข้อมูลชิ้นต่อไปกับเขาหรือไม่

เพราะในหลายกรณี มิจฉาชีพอาจไม่ได้รู้จักเราจริงๆ

เขาเพียงแค่มี “ชิ้นส่วนข้อมูล” มากพอที่จะทำให้เรารู้สึกว่า เขารู้จักเราดีกว่าที่ควรจะเป็น