“ไชยชนก” เรียกทุกกระทรวง–300 กว่ากรม ทำคลีนซิ่งระบบ หลังพบล็อกอินที่เกี่ยวข้องกับไทยรั่วไหลกว่า 221 ล้านรายการ ย้ำต้องเร่งเปลี่ยนรหัสผ่านเพื่อซื้อเวลา สกมช. พร้อมชง ครม. 11 ส.ค. บังคับใช้ MFA ให้มีผลทันที
KEY POINTS
- กระทรวงดีอีเปิดเผยข้อมูลล็อกอินที่เกี่ยวข้องกับประเทศไทยรั่วไหลกว่า 221 ล้านบัญชี ซึ่งกระทบทั้งภาครัฐและเอกชน
- สั่งการเร่งด่วนให้มีการ "รีเซ็ต" ข้อมูลล็อกอินที่ได้รับผลกระทบทั่วประเทศ เพื่อเป็นมาตรการระยะสั้นในการซื้อเวลาและสกัดความเสียหาย
- เตรียมเสนอมาตรการยกระดับความปลอดภัยเข้าสู่ที่ประชุมคณะรัฐมนตรี (ครม.) ในวันที่ 11 ส.ค. เพื่อแก้ปัญหาในระยะยาว
- มาตรการสำคัญคือการผลักดันให้หน่วยงานรัฐเปลี่ยนจากการใช้รหัสผ่านชั้นเดียว มาเป็นการยืนยันตัวตนหลายปัจจัย (Multi-Factor Authentication - MFA)
นายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) เปิดเผยภายหลังเป็นประธานการประชุมหารือและแถลงข่าวเรื่อง “การยกระดับมาตรการหน่วยงานรัฐ เพื่อคุ้มครองข้อมูลประชาชน” ว่า รัฐบาลเดินหน้าจัดการปัญหาข้อมูลรั่วไหลแบบเร่งด่วน โดยเตรียมนำมาตรการระยะสั้นเสนอต่อ คณะรัฐมนตรี (ครม.) วันที่ 11 ส.ค. 2569 ควบคู่กับการวางแผนแก้ปัญหาระยะยาวทั้งระบบ
นายไชยชนก กล่าวว่า ก่อนหน้านี้กระทรวงดีอีได้รวบรวมข้อมูลเพื่อประเมินสถานการณ์การรั่วไหลของข้อมูล ทั้งในเชิงโครงสร้าง แหล่งที่มา และช่องโหว่ของระบบ ทำให้ปัจจุบันมีฐานข้อมูลที่สามารถใช้ประเมินภาพรวมได้ชัดเจนขึ้น โดยพบว่า ทั่วโลกมีข้อมูลล็อกอินที่รั่วไหลประมาณ 56,000 ล้านรายการ ขณะที่ข้อมูลที่เกี่ยวข้องกับประเทศไทยอยู่ที่ประมาณ 221 ล้านรายการ
สำหรับฝั่งภาครัฐ พบว่ามีระบบประมาณ 30,000 รายการ ที่เกี่ยวข้องกับล็อกอินซึ่งมีการรั่วไหล ขณะที่ภาคเอกชนพบระบบที่เกี่ยวข้องกับข้อมูลรั่วไหลมากกว่า 35,000 รายการ สะท้อนว่าปัญหานี้ไม่ได้จำกัดอยู่เฉพาะหน่วยงานรัฐ แต่เป็นปัญหาที่ต้องอาศัยความร่วมมือจากทุกภาคส่วน
เร่ง “รีเซ็ต” ล็อกอินทั่วประเทศ ซื้อเวลาสกัดความเสียหาย
รมว.ดีอี กล่าวว่า มาตรการที่ต้องทำทันทีคือการ รีเซ็ตหรือเปลี่ยนข้อมูลล็อกอิน ที่อาจได้รับผลกระทบ เพื่อทำให้ข้อมูลที่รั่วไหลไปแล้วไม่สามารถนำกลับมาใช้งานได้อีก โดยมองว่าเป็นมาตรการระยะสั้นที่ช่วย “ซื้อเวลา” ระหว่างที่ภาครัฐเร่งจัดการปัญหาเชิงระบบ
นอกจากนี้ ที่ต้องทำคลีนซิ่งระบบทั้งหมด เพราะการรีเซ็ตล็อกอินไม่ใช่คำตอบระยะยาว แต่เป็นมาตรการเร่งด่วนเพื่อจำกัดความเสียหาย ขณะที่หน่วยงานที่มีระบบและข้อมูลสำคัญต้องเร่งยกระดับความปลอดภัยไปพร้อมกัน
จากนั้นจะเรียกหน่วยงานรัฐทุกกระทรวงและกรมที่เกี่ยวข้องเข้ามาหารือร่วมกัน โดยให้หน่วยงานที่มีหน้าที่รับผิดชอบระบบและผู้เชี่ยวชาญด้านเทคนิคเข้ามาประเมินระบบทั้งหมด จัดทำแผน และกำหนดแนวทางแก้ไขในระยะยาว
เรื่องนี้ต้องขับเคลื่อนกันทั้งประเทศ เพราะข้อมูลที่หลุดไม่ได้มีเฉพาะภาครัฐ ภาคเอกชนก็หลุดจำนวนมาก ดังนั้นสิ่งที่ต้องรณรงค์ร่วมกันคือให้ทุกคนรีเซ็ตก่อน เพื่อซื้อเวลา และทุกหน่วยงานที่มีระบบหรือข้อมูลสำคัญต้องเร่งอัปเกรดไปพร้อมกัน
ชง ครม. บังคับใช้ MFA แทนรหัสผ่านชั้นเดียว
ทั้งนี้ หนึ่งในมาตรการสำคัญที่จะเสนอ ครม. คือการยกระดับระบบยืนยันตัวตนของหน่วยงานรัฐ โดยเฉพาะระบบสำคัญ ให้เปลี่ยนจากการใช้เพียง Username + Password ไปสู่การยืนยันตัวตนหลายปัจจัย หรือ Multi-Factor Authentication (MFA)
พล.อ.ต.อมร ชมเชย เลขาธิการสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) กล่าวว่า การใช้รหัสผ่านเพียงชั้นเดียวไม่เพียงพออีกต่อไป โดยเฉพาะในสถานการณ์ที่ข้อมูลบัญชีผู้ใช้รั่วไหลจำนวนมาก ประกอบกับผู้โจมตีสามารถใช้ระบบอัตโนมัติและ AI ช่วยเพิ่มประสิทธิภาพการโจมตี
เขา เสริมว่า มาตรการที่จะเสนอ ครม. วันที่ 11 ส.ค. คือให้ระบบสำคัญของภาครัฐใช้การยืนยันตัวตนอย่างน้อย 2 ชั้น เช่น การใช้ THAID หรือ OTP ร่วมกับรหัสผ่าน เพื่อเพิ่มด่านป้องกันไม่ให้แฮกเกอร์นำข้อมูลล็อกอินที่หลุดไปแล้วมาเข้าสู่ระบบได้โดยตรง
จาก “แก้ล็อกอิน” สู่แผนใหญ่ ปิดช่องข้อมูลรั่วทั้งระบบ
นายไชยชนก กล่าวว่า การประชุมครั้งนี้ยังได้รับข้อมูลและข้อเสนอเพิ่มเติมจากภาคประชาชน ทั้งแหล่งข้อมูล ช่องทางการรั่วไหล กระบวนการที่ผู้ไม่หวังดีอาจนำข้อมูลไปใช้ ตลอดจนแนวทางความร่วมมือที่ภาครัฐต้องเพิ่มเติม
อย่างไรก็ตาม รายละเอียดบางส่วนไม่สามารถเปิดเผยได้ เนื่องจากเกี่ยวข้องกับแนวทางการสืบสวนและการรักษาความปลอดภัยของระบบ
สำหรับขั้นตอนต่อไป หน่วยงานที่เกี่ยวข้องจะนำข้อเสนอทั้งหมดไปทำการบ้านเพิ่มเติม โดยเฉพาะมาตรการระยะสั้นที่สามารถนำเสนอ ครม. ได้ในวันที่ 11 ส.ค. ก่อนเดินหน้าสู่การประชุมร่วมของหน่วยงานรัฐ เพื่อจัดทำแผนยกระดับความปลอดภัยในระยะยาวต่อไป
