2-3 ปีก่อนผมเคยนั่งคุยกับเพื่อนคนหนึ่งที่เล่าให้ฟังว่ามีตลาดมืดที่รับจ้างเช็กข้อมูลส่วนตัวของคนอื่นได้แทบทุกอย่าง เช่น อยากรู้ชื่อที่อยู่จากเลขบัตรประชาชนก็จ่ายราว 1,000 บาท อยากรู้ว่ารถทะเบียนนี้เป็นของใครจ่าย500 บาท อยากรู้เจ้าของเบอร์โทรศัพท์ก็มีราคาของมัน หรือมีข่าวลงในสื่อบอกว่า “ขายข้อมูลคนไทย 66 ล้านคน ราคา 1,650 บาท”
ตอนนั้นผมฟังแล้วไม่ได้แปลกใจมากนัก เพราะรู้สึกมานานแล้วว่าข้อมูลส่วนตัวของเราไม่ค่อยเป็นความลับ มักจะมีคอลเซ็นเตอร์โทรมาหาบ่อยครั้งโดยรู้ชื่อนามสกุลและข้อมูลส่วนตัวเราถูกต้อง และเรื่องนี้แทบไม่เกี่ยวกับว่าเราใช้บริการออนไลน์มากหรือน้อย เพราะข้อมูลที่รั่วส่วนใหญ่ไม่ได้หลุดจากมือถือของเรา แต่หลุดจากฐานข้อมูลระบบหลังบ้านที่องค์กรต่างๆ เก็บรักษาไว้
ข่าวล่าสุดเมื่อสัปดาห์นี้ยิ่งตอกย้ำความรู้สึกนี้ เมื่อภาพคล้ายบัตรประชาชนของนายกรัฐมนตรี รัฐมนตรีหลายท่าน และข้าราชการระดับสูงของกระทรวงมหาดไทย ถูกเผยแพร่บนสื่อสังคมออนไลน์ โดยผู้เชี่ยวชาญด้านซอฟต์แวร์ที่ออกมาเปิดโปงระบุว่าข้อมูลหลุดจากระบบที่เชื่อมโยงกับกรมการปกครอง และไม่ใช่แค่ชื่อกับเลขบัตร แต่รวมถึงรูปถ่ายหน้าตรงติดบัตร ที่อยู่ และเบอร์โทรศัพท์ ซึ่งเพียงพอที่มิจฉาชีพจะนำไปปลอมสำเนาบัตรประชาชนหรือเปิดบัญชีม้าได้ กรมการปกครองออกมาชี้แจงว่าข้อมูล "ไม่ได้รั่วไหลจากฐานข้อมูลหลักของระบบทะเบียนราษฎร" ส่วนรัฐมนตรีเองก็ยืนยันว่าไม่ใช่การแฮ็ก แต่เป็นการล็อกอินเข้าระบบด้วยบัญชีผู้ใช้งานจริง
ฟังดูเหมือนจะน่าสบายใจ แต่คำชี้แจงแบบนี้ยิ่งน่ากังวล เพราะการที่คนภายนอกเอา Credentials (รหัสผ่าน) ที่หลุดไปล็อกอินระบบแล้วดึงข้อมูลออกไปได้ ผลลัพธ์ไม่ต่างจากการถูกเจาะระบบ มันสะท้อนว่าไม่มีระบบการยืนยันตัวตนแบบหลายชั้น (Multi-Factor Authentication) ที่ต้องไปผ่านอุปกรณ์อื่น เช่น ส่งรหัส OTP ไปยังมือถือ ไม่มีการตรวจจับพฤติกรรมผิดปกติ และไม่มีการจำกัดสิทธิ์ว่าใครควรเห็นข้อมูลแค่ไหน
คำว่า "ฐานข้อมูลหลักปลอดภัย" อาจจริงในทางเทคนิค แต่ข้อมูลก็รั่วผ่านระบบลูกหรือระบบเชื่อมโยงอยู่ดี ที่แย่ไปกว่านั้นคือแทนที่จะเร่งเปิดเผยผลตรวจสอบ หน่วยงานรัฐกลับเลือกแจ้งความผู้เปิดโปง ซึ่งอาจทำให้คนที่พบช่องโหว่ไม่กล้าออกมาพูดอีก
และนี่ไม่ใช่ครั้งแรก หากย้อนดูสถิติสิบปีที่ผ่านมาจะเห็นภาพที่ชัดเจน ปี 2564 ฐานข้อมูลผู้เดินทางเข้าประเทศ 106 ล้านรายการ ถูกพบเปิดเผยบนอินเทอร์เน็ตโดยไม่มีรหัสผ่าน ปี 2565 ข้อมูลนักเรียนจากระบบ TCAS กว่า 23,000 ราย ถูกประกาศขาย ปี 2566 แฮ็กเกอร์ชื่อ 9Near ขู่เปิดเผยข้อมูลคนไทย 55 ล้านราย ซึ่งผู้ต้องหาที่ถูกจับเป็นนายทหารชั้นประทวน และจนถึงวันนี้ยังไม่มีการยืนยันว่าข้อมูลหลุดจากระบบใด
นอกจากนี้ยังมีกรณีในปี 2567 ข้อมูลจากกรมกิจการผู้สูงอายุกว่า 19.7 ล้านรายการ ถูกนำไปขายบนตลาดเว็บมืด (Dark Web) ส่วนปีนี้ปีเดียวก็มีทั้งเคสระบบประกันสังคม ข้อมูลสิทธิรักษาพยาบาลที่ถูกอ้างว่าค้นได้ถึง 67 ล้านคน ข้อมูลผู้ลงทุนของศูนย์รับฝากหลักทรัพย์ และข้อมูลสภาวิศวกรรวมกันราวครึ่งล้านราย
ส่วนคำถามว่าตลาดซื้อขายข้อมูลมีจริงไหม คำตอบตรงๆ คือมีจริงและมีหลักฐานชัดเจน เคยมีการจับกุมนายตำรวจระดับสารวัตรร่วมกับเจ้าหน้าที่กระทรวงหนึ่ง ที่ใช้รหัสผ่านของตัวเองเข้าระบบทะเบียนราษฎรแล้วดึงข้อมูลขายให้แก๊งคอลเซ็นเตอร์หลายรายการ สร้างรายได้ถึงเดือนละ600,000 บาท
ล่าสุดกลางปีนี้ปฏิบัติการของตำรวจสอบสวนกลางยังพบข้อมูลประชาชนกว่า 9.6 ล้านรายชื่อ อยู่ในมือมิจฉาชีพ นี่คือภัยจากคนในที่ถือกุญแจถูกต้องตามระบบ ซึ่งไฟร์วอลล์แพงแค่ไหนก็ป้องกันไม่ได้ถ้าไม่ตรวจสอบการใช้สิทธิ์ให้ดีพอ
บ้านเราก็มีกฎหมาย PDPA ที่เขียนไว้อย่างดี แต่ปัญหาอยู่ที่การบังคับใช้ นับตั้งแต่ PDPA มีผลเต็มรูปแบบเมื่อกลางปี 2565 มีคำสั่งปรับรวมกันเพียง 21.5 ล้านบาท และที่สะเทือนใจคือหน่วยงานรัฐถูกปรับเพียงกรณีเดียวด้วยเงินแค่ 153,120 บาท ทั้งที่ทำข้อมูลประชาชนกว่า 2 แสนรายหลุดไปขายบนตลาดเว็บมืด ขณะที่เอกชนโดนปรับสูงสุดถึง 7 ล้านบาท
เมื่อเทียบกับต่างประเทศอย่างสิงคโปร์ที่เจอกรณีข้อมูลผู้ป่วย 1.5 ล้านรายรั่ว รวมถึงข้อมูลของนายกรัฐมนตรีด้วย สิ่งที่เขาทำคือตั้งคณะกรรมการสอบสวนอิสระ เปิดเผยผลต่อสาธารณะ ปรับหน่วยงานไอทีภาครัฐและโรงพยาบาลรวมราวหนึ่งล้านดอลลาร์สิงคโปร์ พร้อมลงโทษผู้บริหารระดับสูง ฝั่งยุโรปหน่วยงานกำกับสั่งปรับได้เป็นหลักร้อยหลักพันล้านบาทโดยไม่ต้องรอให้มีผู้เสียหายฟ้อง เกาหลีใต้ถึงขั้นปฏิรูประบบเลขประจำตัวประชาชนหลังข้อมูลรั่วซ้ำซาก ส่วนเอสโตเนียให้ประชาชนตรวจสอบได้เองว่าเจ้าหน้าที่คนไหนเข้ามาดูข้อมูลของเราเมื่อไร
แต่ทิศทางของบ้านเรากลับสวนทาง ร่างแก้ไข PDPA ที่กำลังรับฟังความเห็นอยู่มีแนวโน้มจะขยายข้อยกเว้นให้หน่วยงานรัฐมากขึ้น ทั้งที่บทเรียนจากทุกกรณีชี้ว่าระบบไอทีของรัฐคือจุดอ่อนที่สุดของระบบ การเป็นทั้งผู้กำกับและผู้ถูกกำกับโดยแทบไม่มีใครต้องรับผิดชอบจริงจัง คือรากของปัญหาที่ทำให้เรื่องนี้วนซ้ำทุกครั้ง
ดังนั้นมาตรการที่ควรเร่งทำทันที เริ่มจากการเปิดเผยผลสอบสวนเหตุรั่วไหลต่อสาธารณะอย่างโปร่งใสแบบที่สิงคโปร์ทำ แทนการปฏิเสธแล้วขู่ฟ้องผู้เปิดโปง ต่อมาคือสร้างกลไกการเปิดเผยช่องโหว่อย่างรับผิดชอบ (Responsible Disclosure) ที่คุ้มครองความปลอดภัยของผู้เชี่ยวชาญที่แจ้งช่องโหว่โดยสุจริต
ด้านเทคนิคต้องเลิกให้ระบบที่เข้าถึงข้อมูลประชาชนใช้แค่ชื่อผู้ใช้กับรหัสผ่าน โดยบังคับให้ต้องมีระบบการยืนยันตัวตนแบบหลายชั้นและดิจิทัลไอดีอย่าง ThaID ต้องมีการจำกัดสิทธิ์การเข้าถึงตามความจำเป็นของงาน และติดตั้งระบบตรวจจับความผิดปกติเมื่อมีการดึงข้อมูลจำนวนมากเกินเหตุ ระยะยาวควรเลิกใช้เลขบัตร 13 หลักเป็นทั้งตัวระบุตัวตนและรหัสยืนยันในเวลาเดียวกัน ปรับงบไซเบอร์ให้เป็นงบต่อเนื่อง และที่สำคัญที่สุดคือแก้กฎหมายให้ลงโทษหน่วยงานรัฐได้จริงถึงระดับผู้บริหาร เพราะตราบใดที่ค่าปรับอยู่แค่หลักแสนบาทต่อข้อมูลหลายสิบล้านราย ก็ไม่มีแรงจูงใจให้ใครลงทุนป้องกัน
ผมเชื่อว่าเรายังแก้ปัญหานี้ได้ เครื่องมือทางเทคนิคมีพร้อม บทเรียนจากต่างประเทศก็ชัดเจน สิ่งที่ขาดคือการยอมรับความจริงว่าระบบของเรามีปัญหา เพราะถ้ายังใช้กฎหมายเพื่อปกป้องภาพลักษณ์ขององค์กรมากกว่าปกป้องข้อมูลของประชาชน เราก็จะติดอยู่ในวังวนเดิม ข้อมูลหลุด รัฐปฏิเสธ ขู่ฟ้องคนแจ้ง แล้วเรื่องก็เงียบหายไป จนกว่าจะถึงกรณีถัดไปที่อาจใหญ่กว่าเดิม ถ้าอยากแก้ปัญหา เราต้องกล้ายอมรับปัญหาก่อนครับ มันถึงจะนำไปสู่การแก้ไขได้จริง
