วิกฤติ ‘ภัยไซเบอร์’ ป่วนไทย ‘ดีอี’ ผนึกทุกหน่วยล่าต้นตอ-ยกระดับคุ้มครองประชาชน

ข้อมูลส่วนบุคคลของประชาชน รวมถึง นายกรัฐมนตรี รัฐมนตรี และผู้บริหารระดับสูง ปรากฏบนโลกออนไลน์อีกครั้ง การรั่วไหลของข้อมูลจากกรมขนส่งทางบกครั้งล่าสุด จุดชนวนคำถามสำคัญว่า ระบบคุ้มครองข้อมูลของภาครัฐไทยแข็งแกร่งเพียงพอหรือไม่ ยังไม่นับรวมก่อนหน้านี้ ที่มีข้อมูลของนักลงทุน 200,000 รายรั่วไหล จากบัญชีผู้ถือหุ้นทั้งหมด กว่า 5 ล้านรายของศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด หรือ TSD  

สคส.ชี้ไม่ใช่ “ข้อมูลหลุดทั่วไป”

พ.ต.อ.สุรพงศ์ เปล่งขำ เลขาธิการสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) กล่าวกรณีข้อมูลของกรมขนส่งทางบกที่รั่วไหลล่าสุดว่า หลังได้รับรายงาน สคส.ได้ประสานหน่วยงานที่เกี่ยวข้องตรวจสอบข้อเท็จจริงโดยทันที

ผลตรวจสอบเบื้องต้น พบว่า เป็นการนำข้อมูลหรือช่องทางเข้าถึงฐานข้อมูลที่ถูกสร้างขึ้นโดยผิดกฎหมายจากเครือข่ายมิจฉาชีพมาเผยแพร่ เข้าข่ายเป็นการเข้าถึงข้อมูลคอมพิวเตอร์ที่มีมาตรการป้องกันโดยมิชอบ ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ มาตรา 7 มากกว่าจะเป็นกรณีฐานข้อมูลรั่วไหลตามความเข้าใจทั่วไป

อย่างไรก็ตาม สคส.ยอมรับว่า จำเป็นต้องเร่งดำเนินการปกป้องข้อมูลประชาชนในทุกมิติ ทั้งการสืบหาต้นตอของข้อมูล วิธีการเข้าถึงระบบ และเครือข่ายที่เกี่ยวข้องกับการซื้อขายข้อมูลผิดกฎหมาย

แบ่งแผนรับมือตั้งแต่ต้นน้ำ

ทั้งนี้ สคส.กำหนดแนวทางรับมือออกเป็น 3 ส่วน ได้แก่

ปลายน้ำ คือ ผู้ที่นำข้อมูลหรือลิงก์เข้าถึงฐานข้อมูลไปโพสต์หรือเผยแพร่ หากไม่ได้รับอนุญาตจะเข้าข่ายความผิดตามพ.ร.บ.คอมพิวเตอร์ โดย สคส.ประสานกระทรวงดิจิทัลเพื่อเศรษฐกิจ และสังคม รวมถึงหน่วยงานที่เกี่ยวข้องเพื่อดำเนินคดีตามกฎหมาย

พร้อมเตือนประชาชน ผู้ดูแลเพจ และผู้ใช้งานสื่อสังคมออนไลน์ ไม่ให้นำข้อมูลดังกล่าวไปทดลองค้นหา ดาวน์โหลด ส่งต่อ หรือเผยแพร่ซ้ำ เพราะอาจมีความผิดตามกฎหมาย

ต้นน้ำ คือ หน่วยงานเจ้าของข้อมูล ได้แก่ กรมการขนส่งทางบก และกรมการปกครอง ซึ่งถูกกำชับให้เร่งตรวจสอบข้อเท็จจริง ระงับเหตุ รายงานเหตุละเมิดข้อมูลต่อ สคส. พร้อมยกระดับมาตรการรักษาความมั่นคงปลอดภัยระบบ ทั้งบูรณาการทำงานร่วม สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) เร่งอุดช่องโหว่ และกำหนดมาตรฐานความปลอดภัยขั้นพื้นฐานให้ภาครัฐ

กลางน้ำ คือ เครือข่ายซื้อขายข้อมูลส่วนบุคคล และช่องทางเข้าถึงระบบโดยมิชอบ ซึ่งเป็นกลุ่มที่สร้างตลาดมืดของข้อมูลภาครัฐ โดยประสานกระทรวงดีอี กองบัญชาการตำรวจสอบสวนกลาง (CIB) เร่งสืบสวน จับกุม และปิดช่องทางซื้อขายข้อมูลผิดกฎหมาย

ดีอีย้ำไม่ใช่การแฮ็ก พบใช้ IP จุดเดียว

นายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม หรือ ดีอี กล่าวว่า กรณีกรมขนส่งทางบก ผลตรวจสอบมีความคืบหน้า เบื้องต้นไม่พบหลักฐานว่า เป็นการแฮกระบบโดยตรง แต่พบการเข้าถึงข้อมูลเกิดจาก IP เพียงจุดเดียว ใช้บัญชีผู้ใช้ล็อกอินเพียง 2 ครั้ง ก่อนนำข้อมูลออกมาเผยแพร่

ตอนนี้ยังอยู่ระหว่างตรวจสอบเชิงลึกเพื่อป้องกันความคลาดเคลื่อน จึงยังไม่เปิดเผยตำแหน่งของ IP หรือรายละเอียดทางเทคนิคเพิ่มเติมช่องทางดังกล่าวถูกปิดเรียบร้อยแล้ว ไม่ต้องกังวลว่าจะมีข้อมูลรั่วไหลเพิ่มเติมจาก

 

นายไชยชนก เสริมว่า ในฐานะประธานคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ นายไชยชนก ยังสั่งการให้ สกมช.ส่งทีม ThaiCERT ลงพื้นที่ร่วมกรมขนส่งทางบก เพื่อตรวจสอบกรณีนี้ โดยอยู่ระหว่างรวบรวมหลักฐาน วิเคราะห์ข้อมูลเชิงเทคนิค ตรวจสอบแหล่งที่มาข้อมูล และประเมินผลกระทบโดยอาศัยหลักนิติวิทยาศาสตร์ดิจิทัล (Digital Forensics)

น.ส.แนน บุณย์ธิดา สมชัย รัฐมนตรีช่วยว่าการกระทรวงดีอี เปิดเผยว่า การเผยแพร่ข้อมูลส่วนบุคคลบนสื่อสังคมออนไลน์ ถือเป็นช่องทางสำคัญที่ทำให้สแกมเมอร์นำข้อมูลไปใช้ก่ออาชญากรรมออนไลน์ ดีอีจึงมอบหมายให้ สคส.ร่วมกับ สกมช.ตรวจสอบข้อเท็จจริง พร้อมพิจารณาแจ้งความต่อกองบังคับการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (บก.สอท.) เพื่อดำเนินคดีตาม พ.ร.บ.คอมพิวเตอร์

พร้อมเตือนประชาชนว่า การเผยแพร่ข้อมูลผิดกฎหมายบนสื่อออนไลน์อาจเข้าข่ายความผิดตามมาตรา 14 ของ พ.ร.บ.คอมพิวเตอร์ ซึ่งมีโทษจำคุกไม่เกิน 5 ปี หรือปรับไม่เกิน 100,000 บาท หรือทั้งจำทั้งปรับ

เร่งสอบข้อมูลกรมขนส่งทางบกรั่ว

ขณะที่ นายสิริพงศ์ อังคสกุลเกียรติ รัฐมนตรีช่วยว่าการกระทรวงคมนาคม กล่าวว่า ทีม ThaiCERT มาประจำการที่กรมการขนส่งทางบก เพื่อร่วมรวบรวมข้อมูล และพิสูจน์หลักฐานทางเทคนิคผ่านกระบวนการนิติวิทยาศาสตร์ดิจิทัล และแกะรอยระบบ API ร่วมกับหน่วยงานที่เชื่อมโยงข้อมูล

รวมถึงกรมการขนส่งทางบก ออกมายืนยันว่า ข้อมูลที่ถูกเผยแพร่ออกมาเป็นข้อมูลจริง แต่เป็นข้อมูลพื้นฐานที่นำไปใช้ทำธุรกรรมอื่นไม่ได้ ขอเตือนว่าผู้ที่นำข้อมูลดังกล่าวไปเผยแพร่ต่อจะมีความผิดตามกฎหมาย และต้องถูกดำเนินคดี

ตลาดซื้อขายข้อมูลมีมานานแล้ว

นายธนารัตน์ กัววัฒนาพันธ์ ประธานเจ้าหน้าที่บริหาร DomeCloud เปิดเผยว่า ตลาดซื้อขายข้อมูลส่วนบุคคลไม่ได้เพิ่งเกิดขึ้น แต่ปัญหามีมาอย่างจริงจังตั้งแต่ช่วงเลือกตั้ง หลังพบการซื้อขายรายชื่อผู้มีสิทธิเลือกตั้ง และต่อมาพบฐานข้อมูลทะเบียนรถถูกนำมาจำหน่ายอย่างชัดเจนในช่วงประมาณ 3 เดือนที่ผ่านมา

บุคคลระดับ VIP มักถูกนำมาใช้เป็นตัวอย่างเพื่อพิสูจน์ว่าฐานข้อมูลมีข้อมูลจริง ก่อนนำไปเสนอขายให้ลูกค้า จากฐานข้อมูลสู่ธุรกิจผิดกฎหมาย หลังได้ข้อมูล ผู้ให้บริการผิดกฎหมายพัฒนาระบบเป็นบอตบน Discord ให้ลูกค้าชำระเงินก่อนค้นหาข้อมูล

ค่าบริการอยู่ที่ประมาณ 350 บาทต่อวัน หรือ 2,500 บาทต่อเดือน สามารถค้นหาข้อมูลได้ไม่จำกัด ทำให้ต้นทุนในการเข้าถึงข้อมูลส่วนบุคคลต่ำมาก และเปิดโอกาสให้อาชญากรจำนวนมากเข้าถึงข้อมูลได้

นายธนารัตน์ มองว่า นี่คือ การเปลี่ยนข้อมูลภาครัฐให้กลายเป็น “บริการเชิงพาณิชย์” ในตลาดมืด สร้างความเสียหายต่อประชาชน ส่วนข้อมูลทะเบียนรถที่ตรวจพบหลุดออกมาจากระบบของกรมการขนส่งทางบกโดยตรง ไม่ได้รั่วจากหน่วยงานหรือเอกชนที่เชื่อมต่อเพื่อนำข้อมูลไปใช้งาน เช่นเดียวกับข้อมูลที่เกี่ยวข้องกับกรมการปกครองก็ตรวจพบว่ามาจากเว็บไซต์ของกรมการปกครองเองเช่นกัน

เขาอธิบายว่า ปัญหาสำคัญไม่ได้อยู่ที่หน่วยงานรัฐไม่มีระบบรักษาความปลอดภัย แต่ระดับการป้องกันยังไม่สอดคล้องกับความสำคัญของข้อมูล หลายระบบยังอาศัยเพียงชื่อผู้ใช้ และรหัสผ่าน เมื่อคอมพิวเตอร์ของเจ้าหน้าที่ติดไวรัสหรือรหัสผ่านถูกขโมย ผู้โจมตีก็อาจเข้าสู่ระบบ และเข้าถึงข้อมูลประชาชนจำนวนมากได้ทันที

รหัสผ่าน 90% เป็นข้อมูลเก่า

ข้อมูลดังกล่าวสอดคล้องกับผลสำรวจที่ นายธนารัตน์ เผยแพร่เมื่อวันที่ 10 มิ.ย.2569 หลังทดลองนำโดเมนของกระทรวง และหน่วยงานเทียบเท่าไปตรวจสอบกับเครื่องมือค้นหาข้อมูลบัญชีรั่วไหล

โดยพบข้อมูลที่เชื่อมโยงกับโดเมนกระทรวงมหาดไทย และกระทรวงศึกษาธิการแห่งละ 500,000 รายการ ตามเพดานสูงสุดที่เครื่องมือแสดงผล 

ขณะที่กระทรวงแรงงานพบ 359,535 รายการ กระทรวงสาธารณสุข 212,460 รายการ สำนักนายกรัฐมนตรี 198,984 รายการ กระทรวงกลาโหม 170,667 รายการ กระทรวงยุติธรรม 151,626 รายการ และกระทรวงการคลัง 107,456 รายการ

โดยรหัสผ่านมากกว่า 90% เป็นข้อมูลเก่าที่ไม่สามารถใช้กับระบบปัจจุบันได้แล้ว ขณะที่บางหน่วยงานได้ย้ายไปใช้ ThaID หรือระบบยืนยันตัวตนรูปแบบใหม่ 

นายธนารัตน์ เสนอให้หน่วยงานรัฐนำแอปพลิเคชัน ThaID มาใช้กลไกยืนยันตัวตนเพิ่มเติม เนื่องจากสามารถดำเนินการได้โดยไม่ต้องใช้งบประมาณจัดซื้อระบบใหม่หรือจัดทำโครงการเพิ่มเติม

สำหรับกรณีข้อมูลที่มีภาพใบหน้าบุคคลระดับสูงเผยแพร่ออกมา นายธนารัตน์ ระบุว่า ยังไม่ใช่ข้อมูลประชาชนทั้งประเทศ โดยอยู่ระหว่างประเมินจำนวนผู้ได้รับผลกระทบที่แน่นอน เบื้องต้นพบว่าเป็นฐานข้อมูลสำหรับลงทะเบียนเข้าร่วมกิจกรรมจิตอาสา ผู้ที่อาจได้รับผลกระทบส่วนใหญ่เป็นข้าราชการ นักเรียนบางส่วนที่เคยลงทะเบียนเข้าร่วมกิจกรรม 

เสนอรัฐรีบย้ายไปใช้ ThaID

สำหรับมาตรการเร่งด่วนที่รัฐบาล และหน่วยงานรัฐควรดำเนินการ เขาเสนอให้ตรวจสอบระบบทั้งหมดว่า มีระบบใดไม่ได้รับการอัปเกรดหรือไม่ได้ใช้งานภายในช่วง 5 ปีที่ผ่านมา หากไม่มีความจำเป็นควรปิดระบบ เพื่อลดช่องทางโจมตีจากซอฟต์แวร์หรือโครงสร้างพื้นฐานที่เก่าเกินกว่าจะติดตามดูแลได้อย่างมีประสิทธิภาพ ส่วนอันไหนที่ยังใช้งานอยู่ในปัจจุบัน เร่งรีบย้ายไปใช้ ThaID เป็นการเร่งด่วน อย่าใช้เพียงชื่อผู้ใช้บวกกับรหัสผ่าน มันไม่เพียงพอ

เขาประเมินว่า การเพิ่ม ThaID เป็นเครื่องมือยืนยันตัวตนอาจช่วยลดปัญหาการโจมตีระบบได้ประมาณ 90% เนื่องจากบริการซื้อขายข้อมูลที่ตรวจพบในปัจจุบันส่วนใหญ่เกิดจากช่องโหว่เดียวกันคือ รหัสผ่านของผู้ใช้งานรั่วไหล และถูกนำไปเข้าสู่ระบบโดยไม่ได้รับอนุญาต

ขณะเดียวกัน ในระยะยาว ภาครัฐจำเป็นต้องปรับปรุงโครงสร้างพื้นฐานสำหรับการพิสูจน์ และยืนยันตัวบุคคลให้สามารถรองรับการใช้งานพร้อมกันในระดับประเทศ เนื่องจากระบบที่มีอยู่ยังเผชิญปัญหาเมื่อประชาชนจำนวนมากเข้าใช้งานในเวลาเดียวกัน รวมถึงแอป ThaID ที่ยังอาจเกิดเหตุขัดข้องหรือระบบล่มได้ จึงต้องเพิ่มขีดความสามารถของระบบให้รองรับการใช้งานทั่วประเทศอย่างมีเสถียรภาพควบคู่ไปกับการยกระดับความปลอดภัยของฐานข้อมูลภาครัฐ

 

 

 

พิสูจน์อักษร....สุรีย์  ศิลาวงษ์