Rohto Pharmaceutical เปิดเผยเมื่อ 6 พฤศจิกายน 2569 ว่าการบุกรุกระบบที่ใช้ดูแลลูกค้าธุรกิจขายตรงทางไปรษณีย์และโทรศัพท์ในญี่ปุ่นเกี่ยวข้องกับข้อมูลลูกค้า 2,797,545 คน และยังพบเสียงสนทนาที่มีเลขบัตรเครดิตกับวันหมดอายุของลูกค้า 9,715 คน ตัวเลขทั้งสองมีขอบเขตต่างกัน จึงไม่ควรนำมาบวกเป็นยอดผู้เสียหายรวม

สิ่งที่ Rohto ยืนยัน

บริษัทได้รับรายงานการเข้าถึงผิดปกติจากผู้ให้บริการระบบโทรศัพท์เมื่อ 10 กันยายน และได้สอบสวนร่วมกับผู้เชี่ยวชาญ ข้อมูลจากระบบจัดการลูกค้าที่ถูกดึงออกประกอบด้วยชื่อ ที่อยู่ และหมายเลขโทรศัพท์ โดยแต่ละคนอาจมีข้อมูลเพียงบางรายการ

ผู้บุกรุกนำข้อมูลบัญชีของระบบโทรศัพท์ไปใช้ และเข้าถึงข้อมูลในระบบจัดการลูกค้าผ่านระบบดังกล่าว ไฟล์เสียงที่เกี่ยวข้องมาจากบางช่วงระหว่าง 10 กันยายน 2568 ถึง 5 กันยายน 2569 ข้อมูลบัตรที่พบในเสียงสนทนาครอบคลุม 9,715 คน บริษัทระบุว่าไม่ได้เก็บรหัสความปลอดภัยของบัตรหรือรหัสผ่าน จึงไม่อยู่ในข้อมูลที่ถูกดึงออกครั้งนี้

Rohto แจ้งผู้เกี่ยวข้องเป็นรายบุคคล ประสานบริษัทบัตรเพื่อติดตามธุรกรรม และขอให้ผู้ได้รับผลกระทบไม่ต้องรับภาระค่าธรรมเนียมออกบัตรใหม่ บริษัทเปลี่ยนรหัสผ่านบัญชีที่เกี่ยวข้องและหยุดรับเลขบัตรผ่านโทรศัพท์แล้ว ณ ประกาศ 6 พฤศจิกายน บริษัทยังไม่พบความเสียหายต่อเนื่องที่เชื่อมโยงกับเหตุนี้ตามข้อมูลที่รับทราบ

เกี่ยวข้องกับผู้อ่านไทยอย่างไร

Rohto มีบริษัทในเครือ ROHTO-Mentholatum (Thailand) ตามรายชื่อบริษัทต่างประเทศของกลุ่ม แต่ประกาศเหตุนี้กล่าวถึงระบบลูกค้าธุรกิจขายตรงของบริษัทญี่ปุ่น ยังไม่มีหลักฐานยืนยันว่าลูกค้าหรือระบบในประเทศไทยได้รับผลกระทบ การมีบริษัทในไทยไม่ใช่หลักฐานว่าข้อมูลไทยรั่วไหล

ผู้เกี่ยวข้องควรทำอะไร

  • ผู้ได้รับแจ้งเรื่องข้อมูลบัตรควรตรวจรายการใช้จ่ายตั้งแต่กันยายน 2569 และติดต่อบริษัทบัตรผ่านช่องทางทางการหากพบรายการที่ไม่รู้จัก รวมถึงสอบถามเรื่องออกบัตรใหม่ตามคำแนะนำเฉพาะบุคคล
  • ระวังโทรศัพท์ อีเมล และ SMS สวมรอย Rohto อย่าให้รหัสผ่าน PIN หรือ OTP และตรวจประกาศจากเว็บไซต์บริษัทโดยตรง

บทเรียนสำหรับองค์กรไทย

ข้อเสนอจาก ALPHASEC: องค์กรควรนับไฟล์บันทึกเสียงเป็นส่วนหนึ่งของบัญชีข้อมูลสำคัญ ตรวจว่ามีข้อมูลการชำระเงินหลุดเข้าไปหรือไม่ จำกัดสิทธิ์และระยะเวลาเก็บ ลดข้อมูลที่ไม่จำเป็น และทบทวนบัญชีผู้รับจ้างกับเส้นทางเชื่อมระบบ เหตุนี้ชี้ให้เห็นว่าการประเมินผลกระทบต้องครอบคลุมทั้งฐานข้อมูลและเนื้อหาในเสียงสนทนา

แหล่งอ้างอิง

เรียบเรียงจาก ประกาศ Rohto วันที่ 6 พฤศจิกายน 2569, รายชื่อบริษัทต่างประเทศของ Rohto และ รายงาน ITmedia NEWS วันที่ 6 พฤศจิกายน 2569 ข้อแนะนำองค์กรเป็นการวิเคราะห์ของ ALPHASEC