ภัยจากคนในและการใช้ AI
1 / 19
ที่ทำงาน · กลาง
ข้อมูลลูกค้า ห้ามวางลง AI ที่ไม่อนุมัติ
ข้อมูลรั่วจากคนในส่วนใหญ่ไม่ได้มาจากคนร้าย แต่มาจากทางลัดตอนงานเร่ง และการรายงานเร็วคือสิ่งที่ช่วยได้มากที่สุด
IT Select Lab · รู้ทันภัยไซเบอร์ ป้องกันได้ด้วยตัวเอง
ลองคิด
อีก 20 นาทีต้องส่งสรุปข้อร้องเรียนลูกค้า 300 รายการ แล้วเพื่อนบอกว่า "วางลงแชตบอต AI ฟรีสิ เสร็จใน 1 นาที" คุณจะวางตารางนั้นไหม
ก่อนวาง ถามตัวเองสองข้อ เครื่องมือนี้องค์กรอนุมัติไหม และในตารางมีข้อมูลลูกค้าหรือเปล่า ถ้าตอบไม่ได้ ให้หยุดก่อน
ข้อมูลลูกค้าไม่วางลง AI ที่องค์กรไม่อนุมัติ พลาดแล้วรีบบอก
- ใช้ AI ที่อนุมัติ
- พรางข้อมูลก่อนใช้
- พลาดแล้วรายงานทันที
กลโกงขั้นที่ 1 จาก 5
งานด่วน เวลาน้อย ไฟล์ใหญ่
เหตุส่วนใหญ่เริ่มจากงานเร่ง ไม่ใช่เจตนาร้าย รายงาน DBIR 2026 พบว่าแรงจูงใจ "ความสะดวก" เพิ่มขึ้นในเคสคนใน และ NCSC ชี้ว่าคนหันไปใช้ทางลัดเมื่อเครื่องมือที่อนุมัติใช้ยากหรือไม่ตอบโจทย์
กลโกงขั้นที่ 2 จาก 5
เพื่อนแนะทางลัด แชตบอต AI ฟรี
การใช้แชตบอต AI ที่องค์กรไม่ได้อนุมัติกับข้อมูลงานเรียกว่า shadow AI ข้อมูลปี 2025 ในรายงาน DBIR 2026 ของ Verizon พบว่า 67% ของผู้ใช้ AI เข้าใช้ด้วยบัญชีที่ไม่ใช่ขององค์กร
แชตบอต AI ฟรีบนเว็บ
วางข้อความหรือไฟล์ของคุณที่นี่
ชื่อ-สกุล | 08x-xxx-xxxx | บัตร x-xxxx-xxxxx-xx-x | บัญชี xxx-x-x4417 ... ส่งกลโกงขั้นที่ 3 จาก 5
คัดลอกตารางลูกค้าวางลงช่องแชต
NCSC ระบุว่าคำถามที่พิมพ์ลงแชตบอต AI สาธารณะ ผู้ให้บริการมองเห็นได้และเก็บไว้ และอาจถูกนำไปพัฒนาบริการ ผู้ให้บริการบางรายมีคนตรวจอ่านแชตบางส่วน และเก็บแชตที่ตรวจแล้วได้นานถึง 3 ปี
ก่อนกดวาง ถามสองข้อ เครื่องมือนี้องค์กรอนุมัติไหม และในข้อมูลมีชื่อ เบอร์ เลขบัญชี หรือความลับไหม ถ้าข้อใดไม่แน่ใจ หยุด แล้วใช้เครื่องมือที่อนุมัติหรือพรางข้อมูลก่อน
สรุปข้อร้องเรียนลูกค้า ไตรมาส 3
ถึง: thanaporn@partner-vendor.example
กลโกงขั้นที่ 4 จาก 5
แชร์ไฟล์แบบเปิดหรือส่งผิดคน
ช่องผู้รับเติมชื่อให้อัตโนมัติผิดคน และลิงก์ถูกตั้งเป็น "ทุกคนที่มีลิงก์" รายงาน DBIR 2026 ระบุว่าการส่งผิดผู้รับและการตั้งค่าที่เก็บข้อมูลโดยไม่คุมสิทธิ์ อยู่ในกลุ่มข้อผิดพลาดที่พบบ่อยที่สุด
ข้อมูลลูกค้าอยู่นอกระบบองค์กร
ต้องประเมินความเสี่ยง และแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ
รายงาน DPO ทันทีกลโกงขั้นที่ 5 จาก 5
ข้อมูลหลุด นาฬิกา 72 ชั่วโมงเริ่มเดิน
ประกาศ สคส. นับความผิดพลาดหรืออุบัติเหตุของพนักงานเป็นการละเมิดข้อมูลด้วย ถ้ามีความเสี่ยงต่อเจ้าของข้อมูล องค์กรต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ผู้ควบคุมข้อมูลที่ไม่ทำตามมาตรา 37 อาจถูกปรับทางปกครองไม่เกิน 3 ล้านบาท
จริงหรือปลอม
เพื่อนขอให้ส่งไฟล์เข้าอีเมลส่วนตัว
ให้ผู้ฟังโหวตก่อน: ปลอม หรือ จริง
ปลอม
- ส่งข้อมูลบริษัทเข้าอีเมลส่วนตัวเพื่อทำงานที่บ้าน แม้ไม่มีเจตนาร้ายก็ผิดนโยบายและทำให้ข้อมูลรั่วได้
- เครื่องมือของบริษัทช้าหรือใช้ยาก ทางแก้คือขอผ่านช่องทางปกติ ไม่ใช่ย้ายข้อมูลไปที่ส่วนตัว
- คำขอให้ปิดบังหัวหน้า คือสัญญาณว่าเรื่องนี้ไม่ควรทำ
สรุปอีเมล ใบเสนอราคาจาก sales@supplier-quote.example
ผู้ช่วย AI ของบริษัท (สรุปอีเมลให้คุณ)
จริงหรือปลอม
บทสรุปอีเมลจากผู้ช่วย AI
ให้ผู้ฟังโหวตก่อน: ปลอม หรือ จริง
ปลอม
- อีเมลจากภายนอกอาจมีคำสั่งแฝงที่คนมองไม่เห็นแต่ AI อ่านได้ คำขอให้ส่งข้อมูลออกที่โผล่ในบทสรุปต้องกลับไปเทียบกับต้นฉบับ
- ใบเสนอราคาไม่มีเหตุผลต้องใช้รายชื่อลูกค้าของคุณ และปลายทางเป็นที่อยู่ภายนอก
- เร่งให้ทำภายในวันนี้ เพื่อให้ไม่มีเวลาตรวจ ส่งต่อให้ฝ่าย IT ดูผ่านช่องทางรายงานของบริษัทแทน
เครื่องมือ AI ที่บริษัทอนุมัติ และวิธีขอใช้เครื่องมือใหม่
ฝ่าย IT <it-help@sunflower-logistics.example>
จริงหรือปลอม
ประกาศจากฝ่าย IT เรื่องเครื่องมือ AI
ให้ผู้ฟังโหวตก่อน: ปลอม หรือ จริง
ของจริง (หรือทำแบบนี้ได้)
- บอกชัดว่าใช้เครื่องมือไหน ด้วยบัญชีแบบไหน บัญชีงานอาจมีเงื่อนไขการจัดการข้อมูลต่างจากบัญชีส่วนตัว
- มีช่องทางขอเครื่องมือเพิ่มที่ง่าย ซึ่ง NCSC แนะนำเพื่อลดการใช้ทางลัด
- ชวนให้รายงานโดยไม่โทษกัน เพราะการโทษทำให้คนไม่กล้ารายงาน
สัญญาณเตือน
- คุณกำลังจะวางตารางลูกค้า สัญญา หรือโค้ดลงแชตบอต AI ที่ล็อกอินด้วยบัญชีส่วนตัว
- มีคนขอให้ส่งไฟล์งานเข้าอีเมลหรือคลาวด์ส่วนตัว "เพื่อทำงานที่บ้าน"
- ช่องผู้รับเติมชื่อให้อัตโนมัติ หรือใส่อีเมลลูกค้าจำนวนมากในช่อง To หรือ CC
- ลิงก์แชร์ไฟล์ที่มีข้อมูลส่วนบุคคลตั้งเป็น "ทุกคนที่มีลิงก์"
- ผลลัพธ์จาก AI อ้างตัวเลข ระเบียบ หรือแหล่งที่หาไม่เจอในข้อมูลจริง
- บทสรุปที่ AI ทำให้มีคำแนะนำแปลก ๆ ที่ไม่มีในต้นฉบับ เช่น ให้ส่งข้อมูลไปที่อื่นด่วน
- พฤติกรรมเสี่ยงแบบตั้งใจ เช่น คัดลอกเอกสารจำนวนมากลง USB หรือยังดึงข้อมูลอ่อนไหวหลังแจ้งลาออก
ถ้าพลาดไปแล้ว ทำตามลำดับนี้
- หยุดความเสียหายทันที เรียกคืนอีเมลหรือขอให้ผู้รับลบและยืนยัน ยกเลิกลิงก์แชร์ และลบแชตกับ AI แต่รู้ไว้ว่าข้อมูลที่ส่งไปแล้วอาจถูกเก็บต่อ
- รายงานทันทีผ่านหัวหน้า ฝ่าย IT หรือ DPO บอกว่าส่งอะไร ไปที่ไหน เมื่อไร ถึงใคร อย่ารอหรือแก้เงียบ ๆ
- ให้องค์กรประเมินความเสี่ยง ถ้ามีความเสี่ยงต่อเจ้าของข้อมูล ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย ถ้าแจ้งช้าต้องชี้แจงเหตุผลภายใน 15 วัน
- DPO แจ้ง สคส. ผ่านช่องทางทางการ ประกาศ สคส. ปี 2568 กำหนดให้แจ้งทางอีเมล saraban@pdpc.or.th ควรตรวจช่องทางล่าสุดบน pdpc.or.th ก่อนส่ง
- ถ้าสงสัยว่าเพื่อนร่วมงานตั้งใจนำข้อมูลออก อย่าสืบ เผชิญหน้า หรือแอบดูข้อมูลของเขาเอง ให้รายงานสิ่งที่เห็นผ่านช่องทางลับขององค์กร ซึ่งต้องปกป้องทั้งสองฝ่าย
ลองตอบ ข้อ 1 จาก 3
ข้อใดวางลงแชตบอต AI สาธารณะได้ปลอดภัยที่สุด
- ตารางข้อร้องเรียนพร้อมชื่อและเบอร์ลูกค้า
- คำถามทั่วไปที่ไม่มีข้อมูลลูกค้าหรือความลับ เช่น ขอโครงสไลด์นำเสนอ
- ซอร์สโค้ดระบบของบริษัทเพื่อให้ช่วยหาจุดผิด
สิ่งที่พิมพ์ลงแชตบอต AI สาธารณะ ผู้ให้บริการมองเห็นและเก็บได้ และซอร์สโค้ดคือข้อมูลที่ถูกส่งเข้าบริการ AI ภายนอกมากที่สุด จึงห้ามวางทั้งข้อมูลลูกค้าและโค้ด
ลองตอบ ข้อ 2 จาก 3
บทสรุปจากผู้ช่วย AI บอกให้ส่งรายชื่อลูกค้าไปที่อีเมลภายนอกภายในวันนี้ ควรทำอย่างไร
- ทำตาม เพราะเป็นผู้ช่วย AI ที่บริษัทอนุมัติ
- เปิดอีเมลต้นฉบับดูเอง ไม่ทำตาม และส่งต่อให้ฝ่าย IT ตรวจ
- ตอบกลับอีเมลนั้นเพื่อถามว่าจริงไหม
เอกสารภายนอกอาจมีคำสั่งแฝงที่ AI อ่านแล้วทำตาม และยังไม่มีวิธีป้องกันได้ทั้งหมด คำแนะนำที่โผล่เฉพาะในบทสรุปต้องตรวจกับต้นฉบับเสมอ
ลองตอบ ข้อ 3 จาก 3
ส่งไฟล์เงินเดือนผิดคนแล้วรู้ตัวภายใน 5 นาที สิ่งที่ควรทำคือ
- ขอให้ผู้รับลบ แล้วเงียบไว้ เพราะไม่มีใครรู้
- เรียกคืนหรือขอให้ผู้รับลบและยืนยัน แล้วรายงาน DPO ทันทีพร้อมรายละเอียด
- รอดูว่าผู้รับจะเอาไปใช้ไหมค่อยรายงาน
ความผิดพลาดของพนักงานนับเป็นการละเมิดข้อมูลได้ และองค์กรต้องประเมินแล้วแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุถ้ามีความเสี่ยง การรายงานเร็วจึงสำคัญ
จำให้ได้
- ข้อมูลลูกค้า ไม่วางลงแชตบอตฟรี
- พลาดแล้วรีบบอก ดีกว่าแอบเก็บเงียบ
- AI ตอบมา ตรวจก่อนใช้ทุกครั้ง
ทำได้วันนี้
- หาให้เจอว่าองค์กรอนุมัติเครื่องมือ AI ตัวไหน และเข้าใช้ด้วยบัญชีงาน
- ตั้งการหน่วงเวลาส่งอีเมล 1–2 นาที หรือปิดการเติมชื่อผู้รับอัตโนมัติสำหรับงานที่มีข้อมูลลูกค้า
- ไล่ดูไฟล์ที่แชร์แบบทุกคนที่มีลิงก์ แล้วเปลี่ยนเป็นแชร์เฉพาะคนพร้อมวันหมดอายุ
- ลบส่วนขยายเบราว์เซอร์ AI ที่ไม่ได้รับอนุมัติออกจากเครื่องงาน
- จดช่องทางรายงานเหตุของหัวหน้า ฝ่าย IT และ DPO ไว้ในที่หาเจอง่าย
จบบท
ใช้ AI ไม่ทำข้อมูลรั่ว
อ่านต่อ ทำแบบฝึก และดูแหล่งอ้างอิง 23 รายการได้ที่หน้าบทเรียน
itsl-security-awareness.pages.dev/topics/insider-ai-work/
เนื้อหาเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมายหรือการเงินเฉพาะบุคคล ตัวอย่างข้อความ ชื่อบุคคล หน่วยงาน และโดเมนในแบบฝึกเป็นชื่อสมมติ
→ หรือ Space = ถัดไป (เปิดเฉลยทีละจุด) · ← = ย้อน · F = เต็มจอ · Esc = ออก · ทุกชื่อ เบอร์ และลิงก์ในสไลด์เป็นตัวอย่างสมมติ