กรณีระบบ TSD Investor Portal ถูกเข้าถึงโดยไม่ได้รับอนุญาต อาจไม่ได้เป็นเพียงเหตุการณ์ข้อมูลส่วนบุคคลรั่วไหลจากเว็บไซต์แห่งหนึ่งเท่านั้น
เพราะเป้าหมายที่ผู้ก่อเหตุเลือก คือบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด หรือ TSD หน่วยงานที่อยู่ตรงกลางระหว่างนักลงทุน โบรกเกอร์ ธนาคารคัสโตเดียน บริษัทจดทะเบียน และระบบหลังการซื้อขายของตลาดทุนไทย
TSD นอกจากบทบาทศูนย์รับฝากหลักทรัพย์แล้ว ยังเป็นนายทะเบียนหลักทรัพย์รายสำคัญ เป็นจุดที่ข้อมูลสำคัญของนักลงทุนหลายชั้นมารวมกัน ทั้งข้อมูลตัวตน บัญชีซื้อขาย การถือหลักทรัพย์ บัญชีรับเงิน และสิทธิประโยชน์ต่าง ๆ
นี่คือเหตุผลที่ TSD อาจเป็น “ขุมทรัพย์ข้อมูล” ของผู้ก่อเหตุ แม้ข้อมูลเพียงอย่างเดียวจะยังใช้ถอนเงินหรือขโมยหุ้นไม่ได้ทันที แต่สามารถนำไปสวมรอย หลอกลวง หรือวางแผนโจมตีที่เจาะจงและน่าเชื่อถือมากขึ้นได้
วันนี้ผู้ก่อเหตุอาจเข้าถึงได้เพียงข้อมูลพื้นฐาน แต่ในอนาคตหากแฮกเกอร์มีปฏิบัติการที่วางแผนเฉพาะเจาะจงมากกว่านี้ และสามารถลงลึกไปถึงระดับ“แก้ไขข้อมูล”ได้ ความเสียหาย ต้องทวีความรุนแรงขึ้นแน่นอน และอาจตามมาด้วยการข่มขู่ เรียกค่าไถ่จำนวนมหาศาลตามมาด้วย
ข้อมูลสิทธิถูกแก้
สะเทือนตลาดทุน ป่วนทั้งระบบ
จริงอยู่ที่วันนี้มิจฉาชีพอาจได้เพียงข้อมูลพื้นฐาน
ส่วนตัว บัญชีซื้อขาย และบัญชีธนาคาร แม้ยังใช้ถอนเงินหรือโอนหุ้นไม่ได้โดยตรง แต่เพียงพอสำหรับฟิชชิงและการหลอกแบบเจาะจงบุคคล
TSD มีบริการที่เกี่ยวข้องกับรายงานการถือหลักทรัพย์ หนังสือเชิญประชุม หนังสือรับรองภาษี และหนังสือแจ้งการโอนเงินผ่าน e-Dividend
หากผู้ก่อเหตุเข้าถึงข้อมูลเหล่านี้ และสามารถแก้ไขได้ ความเสียหายจะเปลี่ยนจากเรื่องความเป็นส่วนตัว ไปสู่ความถูกต้องของระบบสิทธิทันที
ตัวอย่างเช่น หากเปลี่ยนข้อมูล e-Dividend ได้ เงินปันผลหรือดอกเบี้ยอาจถูกส่งไปผิดบัญชี แม้กระบวนการตามปกติจะมีการยืนยันตัวตนและใช้เอกสารประกอบก็ตาม
และหากสามารถแตะข้อมูลที่ใช้คำนวณหรือระบุผู้มีสิทธิได้ ผลกระทบอาจขยายไปถึงการจัดสรรเงินปันผล สิทธิจองซื้อหุ้นเพิ่มทุน สิทธิออกเสียงในการประชุมผู้ถือหุ้น ตลอดจนเอกสารภาษีและหนังสือรับรองต่าง ๆ
ฉนั้นความเสียหายต่อระบบตลาดทุนไม่จำเป็นต้องเริ่มจากหุ้นถูกขโมยเสมอไป เพียงแค่ข้อมูลถูกแก้ไขจนไม่มีใครมั่นใจว่า ข้อมูลชุดใดเป็นข้อมูลจริง ก็อาจทำให้ระบบต้องหยุดชะงักเพื่อทำการตรวจสอบ
แม้สุดท้ายหุ้นของนักลงทุนจะยังอยู่ครบ แต่ความวุ่นวายอาจเกิดขึ้นได้ตั้งแต่ผู้ลงทุนไม่ได้รับสิทธิ บริษัทต้องทำรายการใหม่ ไปจนถึงความเชื่อมั่นต่อข้อมูลกลางของตลาดทุนถูกตั้งคำถาม
และถ้าผู้ก่อเหตุสามารถแก้ไขหรือลบข้อมูลจำนวนมาก จน TSD ไม่สามารถยืนยันความถูกต้องของข้อมูลได้ทันที
เมื่อถึงจุดนั้น ปัญหาจะไม่ใช่เพียงว่า นักลงทุนคนใดถูกแก้ข้อมูล แต่เป็นปัญหาว่า ทั้งระบบไม่รู้ว่าควรเชื่อข้อมูลชุดใด
หากเกิดขึ้นในช่วงใกล้วันจ่ายเงินปันผล วันประชุมผู้ถือหุ้น หรือช่วงใช้สิทธิจองซื้อหลักทรัพย์ ความเสียหายอาจยิ่งซับซ้อน เพราะมีทั้งเงิน เอกสาร กำหนดเวลา และสิทธิทางกฎหมายเข้ามาเกี่ยวข้อง
หน่วยงานอาจต้องปิดบริการบางส่วน ตรวจสอบประวัติการแก้ไขข้อมูล ย้อนกลับฐานข้อมูล กระทบยอดกับสมาชิก ออกเอกสารใหม่ หรือแม้แต่พิจารณาดำเนินกระบวนการบางอย่างซ้ำ
ความเสียหายจึงอาจมีขนาดใหญ่ แม้ยอดหุ้นในระบบศูนย์รับฝากจะยังอยู่ครบทุกหุ้น
เพราะตลาดทุนไม่ได้ทำงานได้เพียงเพราะทรัพย์สินยังอยู่ แต่ทำงานได้เพราะทุกฝ่ายเชื่อว่า ข้อมูลตัวตน ความเป็นเจ้าของ และสิทธิที่ปรากฏในระบบมีความถูกต้อง
วันนี้ผู้ก่อเหตุอาจเลือกหยิบหรือเข้าถึงได้เพียงข้อมูลพื้นฐาน
แต่หากวันหนึ่งมีปฏิบัติการที่ศึกษาเป้าหมายมาอย่างละเอียด และสามารถก้าวจากการอ่านข้อมูลไปสู่การแก้ไขข้อมูล ผลกระทบอาจมีขนาดใหญ่กว่าการขโมยข้อมูลส่วนบุคคลหลายเท่า