NTT DATA ข้อมูล Vitality รั่ว จากระบบที่รับสร้างและดูแลให้ Sumitomo Life ในญี่ปุ่น ตามประกาศทั้งสองบริษัทวันที่ 9 พฤศจิกายน 2569 ยืนยันขอบเขตผู้ใช้ราว 80,000 คน และพักขั้นตอนบริการบางส่วน ข้อมูลนี้ไม่ใช่การยืนยันว่าลูกค้า NTT DATA ทุกประเทศหรือระบบไทยได้รับผลกระทบ

ผู้ใช้และข้อมูลประเภทใดอยู่ในขอบเขต

ผู้ที่อยู่ในขอบเขตคือผู้ใช้ปัจจุบันหรืออดีตของ Vitality แบบใช้โปรแกรมสุขภาพแยกต่างหาก ได้แก่ รุ่นทดลอง/องค์กร และ Vitality Smart รวมแบบสวัสดิการ ข้อมูลที่รั่วอาจเป็นชื่อ ที่อยู่ โทรศัพท์ วันเกิด อีเมล หรือหมายเลขบัตรเครดิตที่ปิดบังบางส่วน โดยกลุ่มที่มีข้อมูลบัตรลักษณะนี้อยู่ราว 1,000 คน ไม่ใช่ผู้ใช้ทั้ง 80,000 คน

ประกาศระบุว่าไม่รวมข้อมูลสัญญาประกัน ข้อมูล Vitality ที่ผูกกับกรมธรรม์ และข้อมูลกิจกรรมอย่างจำนวนก้าว ในสถานะประกาศยังไม่พบการใช้ข้อมูลโดยมิชอบตามการตรวจของบริษัท จึงต้องแยกข้อมูลรั่วที่ยืนยันแล้วออกจากความเสียหายจากการฉ้อโกงที่ยังไม่ได้ยืนยัน

ลำดับเหตุและบริการที่หยุด

NTT DATA พบการเข้าถึงโดยไม่ได้รับอนุญาตวันที่ 2 พฤศจิกายน และตัดการเข้าถึงจากภายนอกพร้อมพักบริการวันที่ 3 พฤศจิกายน ก่อนประกาศผลวันที่ 9 พฤศจิกายน สาเหตุและรายละเอียดการเข้าถึงยังสอบสวนอยู่

Sumitomo Life ระบุว่าหยุดรับสมัครใหม่ของโปรแกรมที่เกี่ยวข้อง การยกเลิกหรือแก้ข้อมูลบัตรด้วยตนเองของ Vitality Smart และพอร์ทัลองค์กรบางส่วน แต่การใช้แอป Vitality และการสมัครหรือดำเนินการของ Vitality Insurance ไม่ได้รับผลตามประกาศ การกลับมาให้บริการต้องผ่านการยืนยันความปลอดภัย โดยยังไม่ระบุวันแน่นอนในฉบับที่ตรวจ

ความเกี่ยวข้องกับไทยและการจัดการผู้ให้บริการ

NTT DATA เป็นแบรนด์บริการ IT ที่มีบริษัทและสำนักงานในไทย ดังที่หน้า NTT DATA Business Solutions Thailand ระบุสำนักงานกรุงเทพฯ ความเกี่ยวข้องนี้ทำให้เหตุในระบบผู้ให้บริการเป็นบทเรียนสำหรับองค์กรไทยที่ใช้บริการภายนอก แต่สำนักงานไทยเป็นคนละขอบเขตกับระบบที่ประกาศในญี่ปุ่น ยังไม่มีหลักฐานในแหล่งที่ตรวจว่าข้อมูลลูกค้าไทยหรือระบบไทยได้รับผลกระทบ

ข้อเสนอ ALPHASEC

  • ผู้ใช้บริการที่อยู่ในขอบเขตญี่ปุ่นควรเข้าประกาศ Sumitomo Life โดยตรง ใช้ช่องทางสำรองที่บริษัทระบุ และระวังโทรศัพท์ อีเมลหรือจดหมายสวมรอยขอข้อมูลสำคัญ
  • องค์กรไทยควรตรวจแผนผังข้อมูลกับผู้ให้บริการภายนอก ระบุระบบและกลุ่มข้อมูลจริงก่อนประเมินผลกระทบ ไม่เหมารวมทุกระบบจากชื่อผู้ให้บริการเดียวกัน
  • ทบทวนกระบวนการแจ้งเหตุ การส่งหลักฐาน ขอบเขตผู้ติดต่อ และเกณฑ์ตรวจความปลอดภัยก่อนคืนบริการร่วมกับคู่ค้า

ข้อเสนอเป็นการวิเคราะห์ ALPHASEC ตรวจประกาศทั้งสองบริษัทและข่าว ITmedia ฉบับเต็มวันที่ 10 พฤศจิกายน 2569 ภาพปกเป็นภาพแนวคิด ไม่ใช่ระบบหรือข้อมูลผู้ใช้จริง

แหล่งข้อมูล