แฉ 4 ข้อปมข้อมูลรั่ว รัฐบาลเล่นลิ้น พลิกบทจากผู้ควบคุมที่บกพร่อง เป็นผู้เสียหายขู่ฟ้องคนเอาความจริงมาพูด
อัปเดตเมื่อ: 6 สิงหาคม 2569 เวลา 08:45อ่าน 3 นาที
6 สิงหาคม 2569 - นายณัฐ เหลืองนฤมิตชัย ผู้ช่วยผู้จัดการ หัวหน้ากลุ่มงานพัฒนาระบบงานเทคโนโลยีสารสนเทศ ตลาดหลักทรัพย์แห่งประเทศไทย (SET) และหนึ่งในทีมที่ปรึกษาของ นางศุภจี
ประเด็นสำคัญ
สุธรรมพันธุ์ รองนายกรัฐมนตรี และรัฐมนตรีว่าการกระทรวงพาณิชย์ โพสต์ข้อความผ่านเฟซบุ๊ก Nat Luengnaruemitchai แสดงความคิดเห็นต่อกรณีข้อมูลส่วนบุคคลรั่วไหลว่า
เคยมีผู้ใหญ่ท่านหนึ่งเล่าให้ฟังเมื่อ 6-7 ปีก่อนว่า เคยมีการสำรวจคร่าวๆ พบว่ามีเจ้าหน้าที่ของทางราชการมี access เข้าถึงระบบข้อมูลทะเบียนราษฎร์มากถึงกว่า 100,000 คน ตอนแรกผมฟัง
รายละเอียดเพิ่มเติม
ผมนึกว่า มีคนหนึ่งคนเข้าถึงได้ 100,000 คน ผมทักถามซ้ำ ท่านบอกไม่ใช่ มีข้าราชการกว่า 100,000 คนที่เข้าถึงข้อมูลคนไทยได้ทั้งประเทศครับ ผมก็แอบคิดว่าไม่จริงมั้ง แต่ในที่สุด
พอได้เจอกับตา ก็คิดว่าไม่เกินเลย อาจจะน้อยไปเสียด้วยซ้ำ มีหน่วยงานที่เข้าถึงข้อมูลส่วนบุคคลได้เยอะมากจริงๆ และแทบไม่มีมาตรฐานความปลอดภัยเลย ผมเพิ่งได้มีเกียรติได้รู้จักคุณเอิร์ธ
ธนารัตน์ กัววัฒนาพันธ์ เมื่อไม่นานมานี้ จากเคสที่มีข้อมูลของระบบประกันสังคมหลุด แล้วผมก็มีชีวิตเหมือนติดลูปตั้งแต่นั้นเป็นต้นมา เพราะเจอเหตุการซ้ำแล้วซ้ำเล่า
สถานการณ์ล่าสุด
และวิธีการทำงานของรัฐก็เหมือนเดิม ลูปที่ว่านี้มีแพตเทิร์นที่นักการเมืองและข้าราชการน่าจะท่องจำได้ขึ้นใจ ขั้นตอนที่ 1: การค้นพบและแจ้งเตือน เมื่อมีภาคเอกชน นักวิจัย หรือ
Whistleblower เจอปัญหา ไม่ว่าจะไปเจอ Credentials ของข้าราชการหลุดอยู่ใน Dark Web นับแสนรายการ หรือเจอ API หน้าบ้านที่ไม่มีการจำกัดสิทธิ์ (Access Control)
พยายามสะกิดบอกด้วยความหวังดีว่า "ระบบคุณมีช่องโหว่นะ รหัสผ่านหลุด หรือไม่มี MFA" ขั้นตอนที่ 2: ปฏิเสธไว้ก่อน แล้วเล่นคำ แทนที่รัฐจะรีบ Containment หรือจำกัดวงความเสียหาย
มุมมองและผลกระทบ
สิ่งแรกที่หน่วยงานรัฐจะทำคือการออกแถลงการณ์ด้วยภาษาทางกฎหมายที่ลักไก่สุดๆ ว่า "ฐานข้อมูลหลัก (Core Database) ไม่ได้โดนแฮ็ก" เพื่อให้ประชาชนที่ไม่เข้าใจเทคนิคสบายใจ
ทั้งที่ในความเป็นจริง การที่บุคคลภายนอกเอา Credentials ที่หลุดไปไขเข้า "ระบบลูก" หรือ "API เชื่อมต่อ" แล้วดึงภาพบัตรประชาชนและข้อมูลอัตลักษณ์ออกไปได้ ผลลัพธ์มันเท่ากับ Data
Exfiltration 100% ไม่ต่างจากการโดนเจาะระบบเลยสักนิด ขั้นตอนที่ 3: Shooting the Messenger เมื่อโต้แย้งทางเทคนิคไม่ได้ รัฐจะเปลี่ยนบทบาทจาก "ผู้ควบคุมข้อมูลที่บกพร่อง" ไปเป็น
ข้อมูลจากแหล่งข่าว
"ผู้เสียหาย" ทันที แล้วชู พ.ร.บ. คอมพิวเตอร์ฯ มาตรา 14 ขึ้นมาขู่ฟ้องคนที่เอาความจริงมาพูด ข้อหาทำลายความมั่นคง นำเข้าข้อมูลเท็จ หรือทำให้ประชาชนตื่นตระหนก เพื่อสร้าง Chilling
Effect ปิดปากไม่ให้ใครกล้าออกมาพูดอีก ขั้นตอนที่ 4: แถลงการณ์ที่มัดตัวเอง สุดท้าย พอเรื่องดังจนโฆษกหรือผู้ใหญ่ต้องออกมาตั้งโต๊ะแถลง ก็มักจะหลุดพูดเองว่า "ไม่ได้โดนแฮ็ก
แต่รหัสผ่านหลุด" ซึ่งในมุมของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) มาตรา 37 นี่คือการประจานความบกพร่องของตัวเองกลางอ่าวว่า ระบบของคุณไม่มี Multi-F…
อ่านรายละเอียดต้นทางได้ที่ ไทยโพสต์
