ความปลอดภัยของข้อมูลบนเว็บหวยออนไลน์

PDPA และผลบังคับใช้

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มีผลบังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 ครอบคลุมการเก็บ ใช้ และเปิดเผยข้อมูลของบุคคลในประเทศไทย ผู้ควบคุมข้อมูล (Data Controller) มีหน้าที่ต้องขอความยินยอมจากเจ้าของข้อมูล จัดเก็บข้อมูลอย่างปลอดภัย และแจ้งเจ้าของข้อมูลเมื่อเกิดเหตุการณ์ข้อมูลรั่วไหล

ตามหลัก Extra-territorial Application ของ PDPA แม้เว็บจะจดทะเบียนในต่างประเทศ หากให้บริการแก่ผู้ใช้ในไทย ก็ยังอยู่ภายใต้กฎหมายนี้ อย่างไรก็ตาม การบังคับใช้ในทางปฏิบัติกับเว็บที่ตั้งเซิร์ฟเวอร์นอกประเทศยังคงเป็นความท้าทายในเชิงเทคนิคและอำนาจศาล

การเข้ารหัสการเชื่อมต่อ

เว็บที่มีมาตรฐานความปลอดภัยขั้นพื้นฐานควรใช้ HTTPS ทุกหน้า ใช้ใบรับรอง SSL/TLS ที่ออกโดย Certificate Authority ที่น่าเชื่อถือ และใช้โปรโตคอลเวอร์ชันปัจจุบัน (TLS 1.2 หรือ 1.3 ณ ปี 2569) การใช้ TLS เวอร์ชันเก่าเช่น TLS 1.0 หรือ SSL 3.0 ถือว่าเป็นความเสี่ยงด้านความปลอดภัย

ผู้ใช้สามารถตรวจสอบเบื้องต้นได้จากไอคอนแม่กุญแจในเบราว์เซอร์ และคลิกเพื่อดูรายละเอียดใบรับรอง ควรตรวจสอบว่าใบรับรองยังไม่หมดอายุ ออกให้กับโดเมนที่ถูกต้อง และออกโดย CA ที่มีชื่อเสียง

การยืนยันตัวตนสองขั้นตอน (2FA)

2FA เป็นชั้นความปลอดภัยเสริมที่บังคับให้ผู้ใช้ยืนยันตัวตนด้วยสองปัจจัย เช่น รหัสผ่านและรหัส OTP จากแอปพลิเคชัน หรือรหัสผ่านและ SMS ระบบนี้ช่วยลดความเสี่ยงในกรณีที่รหัสผ่านถูกขโมย เพราะผู้โจมตียังต้องมีอุปกรณ์หรือสิทธิ์การเข้าถึงอีกช่องทาง

เว็บที่มีมาตรฐานควรเปิดให้ผู้ใช้ตั้ง 2FA ได้ทั้งสำหรับการล็อกอินและการถอนเงิน ควรรองรับแอป Authenticator (เช่น Google Authenticator, Authy) และไม่ควรพึ่งพา SMS เพียงอย่างเดียว เพราะ SMS มีความเสี่ยงจาก SIM swapping

การจัดเก็บและใช้ข้อมูล

เว็บที่ปฏิบัติตาม PDPA ควรมีนโยบายความเป็นส่วนตัวที่ชัดเจน ระบุว่าเก็บข้อมูลใดบ้าง เพื่อวัตถุประสงค์อะไร เก็บนานเท่าไร และเปิดเผยให้บุคคลภายนอกในกรณีใดบ้าง เจ้าของข้อมูลมีสิทธิในการเข้าถึง แก้ไข ลบ และถอนความยินยอมได้

ประเด็นที่ควรระวังเป็นพิเศษคือ เว็บที่เก็บภาพบัตรประชาชนหรือภาพเซลฟี่พร้อมบัตร ควรมีมาตรการเข้ารหัสข้อมูลที่จัดเก็บ (encryption at rest) และควบคุมสิทธิ์การเข้าถึงของพนักงานอย่างเคร่งครัด ในกรณีที่เกิดข้อมูลรั่ว ข้อมูลเหล่านี้อาจถูกนำไปใช้ในการหลอกลวงหรือทำธุรกรรมปลอมได้

สัญญาณเตือนด้านความปลอดภัย

• เว็บใช้ HTTP แทน HTTPS ในบางหน้า
• ใบรับรอง SSL หมดอายุหรือออกให้กับโดเมนอื่น
• ระบบล็อกอินไม่มีข้อจำกัดการพยายามล็อกอินซ้ำ ๆ
• รหัสผ่านที่ตั้งเก็บในรูปแบบ plain text (ตรวจสอบได้จากการกู้รหัสผ่านที่ส่งรหัสเดิมกลับ)
• ไม่มีตัวเลือก 2FA เลย
• นโยบายความเป็นส่วนตัวไม่มี หรือมีเพียงเป็นข้อความสั้น ๆ ที่ไม่ชัดเจน
• ระบบให้ผู้ใช้อัปโหลดภาพบัตรผ่านการแชทหรืออีเมล แทนที่จะเป็นระบบภายในที่เข้ารหัส

วิธีป้องกันตัวเองในฐานะผู้ใช้

แม้ว่าเว็บจะมีมาตรฐานความปลอดภัยดีเพียงใด ผู้ใช้ก็ต้องมีบทบาทในการปกป้องตัวเอง เริ่มจากการใช้รหัสผ่านที่แข็งแรง แตกต่างจากบริการอื่น และใช้ตัวจัดการรหัสผ่าน (password manager) เพื่อจดจำและเปลี่ยนรหัสผ่านเป็นประจำ

ประเด็นเพิ่มเติมได้แก่ การไม่กดลิงก์ที่มาจาก SMS หรืออีเมลที่ไม่คุ้นเคย ไม่ล็อกอินผ่าน Wi-Fi สาธารณะที่ไม่ได้เข้ารหัส และหมั่นตรวจสอบประวัติการล็อกอินและธุรกรรมของบัญชีอย่างสม่ำเสมอ หากพบธุรกรรมที่ไม่ได้ทำเอง ควรติดต่อผู้ให้บริการทันที

ผู้ใช้ควรระมัดระวังเรื่อง phishing โดยเฉพาะข้อความที่อ้างว่ามาจากเว็บและขอให้กรอกข้อมูลผ่านลิงก์ที่ให้มา วิธีที่ปลอดภัยที่สุดคือ พิมพ์ที่อยู่เว็บด้วยตัวเองในเบราว์เซอร์ หรือใช้ bookmark ที่บันทึกไว้เท่านั้น

การรายงานปัญหาและสิทธิของเจ้าของข้อมูล

ตาม PDPA เจ้าของข้อมูลมีสิทธิยื่นเรื่องร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หากเชื่อว่าผู้ควบคุมข้อมูลไม่ปฏิบัติตามกฎหมาย ในทางปฏิบัติ ผู้ใช้ควรเก็บหลักฐานการติดต่อกับเว็บ บันทึกภาพหน้าจอ และเอกสารต่าง ๆ เพื่อประกอบการร้องเรียน

สำหรับผู้ที่มีปัญหาการเล่นเกินขอบเขต สามารถอ่านต่อได้ที่หน้าการเล่นอย่างรับผิดชอบหรือติดต่อสายด่วนสุขภาพจิต 1323