“อนุดิษฐ์” ชี้ ข้อมูลประชาชนรั่ว คือภัยความมั่นคงระดับชาติ

“อนุดิษฐ์” ชี้ ข้อมูลประชาชนรั่วคือภัยความมั่นคงระดับชาติ เรียกร้องรัฐบาลเร่งปิดช่องโหว่ คุ้มครองผู้แจ้งเบาะแส และรื้อระบบใช้งบไซเบอร์ทั้งประเทศ

นาวาอากาศเอก อนุดิษฐ์ นาครทรรพ รองหัวหน้าพรรคกล้าธรรม และอดีตรัฐมนตรีว่าการกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร กล่าวถึงกรณีข้อมูลส่วนบุคคลของนายกรัฐมนตรี รัฐมนตรี ข้าราชการระดับสูง ตลอดจนประชาชน ถูกนำไปเผยแพร่และอ้างว่าสามารถเข้าถึงหรือซื้อขายได้ผ่านช่องทางผิดกฎหมายว่า เหตุการณ์นี้ไม่ใช่เพียงเรื่องข้อมูลส่วนตัวของบุคคลสำคัญ แต่เป็นสัญญาณเตือนว่าข้อมูลของประชาชนทุกคนกำลังตกอยู่ในความเสี่ยง

น.อ.อนุดิษฐ์ กล่าวว่า แม้รัฐบาลจะชี้แจงเบื้องต้นว่าเหตุล่าสุดอาจไม่ใช่การ “แฮ็ก” โดยตรง แต่เป็นการเข้าถึงผ่านบัญชีผู้ใช้และหมายเลข IP เดียวกัน แต่ก็ไม่ได้ทำให้ปัญหาเบาลง เพราะในทางความมั่นคงไซเบอร์ การขโมยสิทธิ การใช้บัญชีที่มีอำนาจโดยมิชอบ หรือการนำสิทธิของบุคคลภายในไปใช้ เป็นเหตุละเมิดข้อมูลที่อันตรายไม่ต่างจากการเจาะระบบ และบางครั้งตรวจจับได้ยากยิ่งกว่า

“คำถามสำคัญจึงไม่ใช่เพียงว่าแฮ็กหรือไม่แฮ็ก แต่คือใครสามารถเข้าถึงข้อมูลอะไรได้บ้าง เหตุใดจึงดึงข้อมูลออกไปได้ ระบบตรวจพบเมื่อใด และข้อมูลถูกนำออกไปแล้วจำนวนเท่าใด”

ปัญหานี้เชื่อมโยงโดยตรงกับความเสียหายจากแก๊งคอลเซ็นเตอร์และอาชญากรรมออนไลน์ ข้อมูลของสำนักงานตำรวจแห่งชาติระบุว่า ตั้งแต่เดือนมีนาคม 2565 ถึงสิ้นปี 2567 มีการรับแจ้งคดีออนไลน์ 773,118 เรื่อง ความเสียหายประมาณ 79,569 ล้านบาท และตั้งแต่วันที่ 1 มกราคม 2568 ถึง 12 เมษายน 2569 มีอีก 412,938 เรื่อง ความเสียหายประมาณ 30,647 ล้านบาท

เมื่อนำช่วงเวลาที่ไม่ซ้ำกันมารวมกัน เท่ากับประเทศไทยมีความเสียหายจากคดีออนไลน์ที่รับแจ้งแล้วไม่น้อยกว่า 1.1 แสนล้านบาทภายในเวลาประมาณ 4 ปี และยังไม่รวมผู้เสียหายที่ไม่ได้แจ้งความ ความเสียหายทางธุรกิจ ต้นทุนการติดตามเงิน และผลกระทบทางจิตใจของประชาชน

เฉพาะ 4 เดือนแรกของปี 2569 มีคดีออนไลน์ถึง 121,921 คดี ความเสียหาย 7,480 ล้านบาท หรือเฉลี่ยประมาณวันละ 62 ล้านบาท ตัวเลขเหล่านี้แสดงให้เห็นว่า การเตือนประชาชนให้ “อย่าหลงเชื่อ” เพียงอย่างเดียวไม่เพียงพอ หากรัฐยังปล่อยให้ข้อมูลจริงของประชาชนไหลไปเป็นวัตถุดิบให้อาชญากร

สาเหตุที่มิจฉาชีพยังหลอกประชาชนได้ทุกวัน ทั้งที่มีการประชาสัมพันธ์เตือนภัยอย่างกว้างขวาง เป็นเพราะการหลอกลวงในปัจจุบันไม่ใช่การสุ่มโทรโดยไม่มีข้อมูลอีกต่อไป แต่อาชญากรสามารถระบุชื่อ ที่อยู่ รถยนต์ที่ครอบครอง หน่วยงานที่ติดต่อ รวมถึงข้อมูลของบุคคลในครอบครัว แล้วนำมาเชื่อมโยงกับเทคนิคการพูดที่ผ่านการฝึกฝน ทำให้เรื่องที่แต่งขึ้นดูน่าเชื่อถือและตรงกับชีวิตจริงของเหยื่อ

อย่างไรก็ตาม ยังไม่ควรสรุปว่าข้อมูลทุกชุดมาจากฐานข้อมูลของรัฐหรือจากดาร์กเว็บเพียงช่องทางเดียว เพราะอาจมาจากหลายหน่วยงาน ผู้รับจ้างเอกชน บัญชีเจ้าหน้าที่ API ที่เชื่อมต่อกัน หรือข้อมูลเก่าหลายชุดที่ถูกนำมาประกอบกัน สิ่งที่รัฐบาลต้องทำคือพิสูจน์ต้นทางด้วย Digital Forensics และเปิดเผยข้อเท็จจริง ไม่ใช่ปฏิเสธความรับผิดชอบก่อนการตรวจสอบเสร็จสิ้น

ปฏิบัติการ “Cut Down Scam 2” ของ สคส. และ CIB เมื่อเดือนมิถุนายนที่ผ่านมา เป็นหลักฐานว่าตลาดซื้อขายข้อมูลเชื่อมโยงกับอาชญากรรมจริง เจ้าหน้าที่จับกุมผู้ต้องหา 9 คน ตรวจค้น 22 จุด พบข้อมูลส่วนบุคคลกว่า 9 ล้านรายชื่อ และพบความเชื่อมโยงกับคดีออนไลน์ 13,677 กรณี มูลค่าความเสียหายกว่า 2,008 ล้านบาท ข้อมูลส่วนบุคคลจึงไม่ใช่สิ่งที่ “นำไปทำอะไรไม่ได้” แต่เป็นวัตถุดิบสำคัญของอุตสาหกรรมสแกมเมอร์ น.อ.อนุดิษฐ์เสนอให้รัฐบาลดำเนินการเร่งด่วน 3 ระยะ ดังนี้

ระยะเร่งด่วน ต้องแยกระบบที่มีความเสี่ยงออกจากเครือข่าย เก็บรักษาหลักฐานและ Log ทั้งหมด เพิกถอนบัญชี รหัสผ่าน Token และ API Key ที่อาจถูกนำไปใช้ บังคับใช้ MFA ตรวจสอบจำนวนและประเภทข้อมูลที่ได้รับผลกระทบ พร้อมแจ้ง สคส.ภายในกรอบ 72 ชั่วโมงตามกฎหมาย และแจ้งเจ้าของข้อมูลโดยไม่ชักช้าเมื่อมีความเสี่ยงสูง รวมทั้งจัดช่องทางให้ประชาชนตรวจสอบว่าตนได้รับผลกระทบหรือไม่และควรป้องกันตัวอย่างไร

ระยะกลาง รัฐต้องตรวจสอบทุกฐานข้อมูล ทุก API ทุกบัญชีผู้ใช้ และทุกหน่วยงานที่เชื่อมต่อกัน รวมถึงผู้รับจ้างและผู้รับจ้างช่วง บังคับใช้หลัก Least Privilege จำกัดสิทธิเท่าที่จำเป็น กำหนด Rate Limit และระบบแจ้งเตือนเมื่อมีการเรียกข้อมูลผิดปกติ พร้อมเชื่อม Log เข้าสู่ SOC หรือระบบ MDR ที่สามารถมองเห็นเหตุการณ์ร่วมกัน และให้ผู้เชี่ยวชาญอิสระตรวจสอบทางนิติวิทยาศาสตร์ก่อนเปิดเผยรายงานสรุปต่อประชาชน

ระยะยาว ต้องปรับสถาปัตยกรรมระบบราชการไปสู่ Zero Trust ลดการเก็บข้อมูลที่ไม่จำเป็น ทบทวนอายุการจัดเก็บข้อมูล ทดสอบระบบด้วย Red Team และการเจาะระบบโดยผู้เชี่ยวชาญอิสระ ตลอดจนจัดทำนโยบาย Coordinated Vulnerability Disclosure ให้มีช่องทางรับแจ้งช่องโหว่ที่ชัดเจน และมีหลักประกันสำหรับผู้แจ้งโดยสุจริตซึ่งไม่แสวงหาประโยชน์และไม่เปิดเผยข้อมูลเกินความจำเป็น

สำหรับกรณีนายธนารัตน์ กัววัฒนาพันธ์ ซึ่งกรมการปกครองเข้าแจ้งความเมื่อเดือนเมษายน 2569 ภายหลังการเปิดเผยข้อกล่าวอ้างเรื่องข้อมูลผู้มีสิทธิเลือกตั้งประมาณ 53 ล้านรายชื่อ น.อ.อนุดิษฐ์เห็นว่า กระบวนการยุติธรรมต้องพิจารณาข้อเท็จจริงอย่างรอบด้านและเป็นธรรม โดยต้องแยกให้ชัดระหว่างผู้เจาะระบบ ผู้ขโมย ผู้ขาย ผู้ซื้อ และผู้นำข้อมูลไปก่ออาชญากรรม กับผู้ตรวจพบความเสี่ยงและแจ้งเตือนโดยสุจริต

“ผมไม่ได้หมายความว่าผู้ใดจะสามารถนำข้อมูลส่วนบุคคลมาเปิดเผยได้โดยไม่มีขอบเขต หากมีการเผยแพร่เกินความจำเป็นก็ต้องตรวจสอบตามกฎหมาย แต่รัฐต้องไม่ใช้การดำเนินคดีเป็นปฏิกิริยาแรกต่อผู้ที่เข้ามาสะท้อนความบกพร่อง เพราะหากผู้พบช่องโหว่ต้องเสี่ยงถูกฟ้อง ต่อไปใครจะกล้าช่วยรัฐเตือนภัย”

น.อ.อนุดิษฐ์กล่าวเพิ่มเติมว่า ทุกกระทรวงได้รับงบประมาณเพื่อจัดหาระบบรักษาความมั่นคงไซเบอร์เป็นจำนวนมากในแต่ละปี แต่ประเทศไทยยังไม่มีภาพรวมที่เปิดเผยต่อประชาชนอย่างชัดเจนว่าใช้งบทั้งหมดเท่าใด ซื้อระบบซ้ำซ้อนกันเพียงใด ระบบใดเชื่อมต่อหรือแลกเปลี่ยนข้อมูลกัน และผลลัพธ์ด้านความปลอดภัยดีขึ้นจริงหรือไม่

รัฐบาลจึงควรรวบรวมและเปิดเผยงบประมาณไซเบอร์ย้อนหลังอย่างน้อย 3 ปี ตรวจสอบโครงการที่ซ้ำซ้อน ผู้รับจ้าง ขอบเขตงาน และผลการทดสอบจริง พร้อมเปลี่ยนตัวชี้วัดจากจำนวนอุปกรณ์หรือซอฟต์แวร์ที่ซื้อ ไปเป็นระยะเวลาที่ใช้ตรวจพบเหตุ ระยะเวลาควบคุมเหตุ ความสามารถในการกู้คืน และความเสียหายที่ลดลง

“หากรัฐใช้งบประมาณสูงทุกปี แต่ข้อมูลประชาชนยังรั่วซ้ำ ระบบยังไม่สามารถตรวจพบความผิดปกติได้เอง และต้องรอให้บุคคลภายนอกนำหลักฐานมาเปิดเผย ประชาชนย่อมมีสิทธิตั้งคำถามว่า งบเหล่านั้นถูกใช้เพื่อสร้างความปลอดภัยจริง หรือเป็นเพียงการแยกซื้อโครงการเพื่อเอื้อประโยชน์ให้ผู้ขายบางราย แล้วปล่อยให้ประชาชนเป็นผู้รับความเสี่ยง”

น.อ.อนุดิษฐ์เรียกร้องให้นายกรัฐมนตรีกำหนดให้เหตุการณ์ครั้งนี้เป็นเหตุความมั่นคงไซเบอร์ระดับชาติ ตั้งคณะตรวจสอบที่มีผู้เชี่ยวชาญอิสระร่วมด้วย เปิดเผยรายงานข้อเท็จจริงเบื้องต้นภายใน 30 วัน และแผนแก้ไขพร้อมตัวชี้วัดภายใน 90 วัน โดยต้องตรวจสอบทั้งหน่วยงานเจ้าของข้อมูล หน่วยงานที่เชื่อมต่อ ผู้รับจ้าง และผู้ที่นำข้อมูลไปซื้อขายอย่างเท่าเทียมกัน

“ความมั่นคงไซเบอร์ไม่ได้เกิดจากการปิดข่าว ปิดเว็บไซต์ หรือทำให้ผู้เตือนภัยเงียบเสียง แต่เกิดจากการยอมรับความจริง รักษาหลักฐาน เปิดเผยอย่างรับผิดชอบ แก้ไขอย่างเป็นระบบ และทำให้ผู้ที่มีหน้าที่ต้องรับผิดชอบต่อประชาชน”

ติดตามเนื้อหาดีๆแบบนี้ได้ที่