ข้อมูลบัญชีรั่วไหลโยงไทยกว่า 221 ล้านรายการ 'ไชยชนก' สั่งรัฐเร่งเปลี่ยนรหัสผ่าน-ใช้ MFA หลัง 'สกมช.' พบข้อมูลรั่วทั่วโลก 5.6 หมื่นล้านรายการ เตือนเพิกเฉยเสี่ยงผิด PDPA
เมื่อวันที่ 6 ส.ค.69 นายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) ในฐานะประธานคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (กกม.) เปิดเผยว่า สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ตรวจพบข้อมูลชื่อผู้ใช้งานและรหัสผ่านที่รั่วไหลจากแหล่งต่างๆ ทั่วโลกมากกว่า 56,000 ล้านรายการบัญชี ในจำนวนนี้เป็นข้อมูลที่เกี่ยวข้องกับประเทศไทยมากกว่า 221 ล้านรายการบัญชี
อย่างไรก็ตาม ตัวเลขดังกล่าวเป็นจำนวนรายการข้อมูลที่รวบรวมจากหลายแหล่งและหลายช่วงเวลา จึงอาจมีข้อมูลซ้ำ หรือเป็นหลายบัญชีของบุคคลคนเดียวกัน ไม่สามารถนำไปสรุปว่าเป็นจำนวนประชาชนไทยที่ได้รับผลกระทบโดยตรงกว่า 221 ล้านคนได้
การเปิดเผยข้อมูลครั้งนี้เกิดขึ้นภายหลังมีรายงานว่า บุคคลภายนอกเข้าถึงและนำข้อมูลส่วนบุคคลของประชาชนไปเผยแพร่ผ่านช่องทางออนไลน์ โดย สกมช. และหน่วยงานเจ้าของระบบอยู่ระหว่างควบคุมเหตุ ตรวจสอบขอบเขตความเสียหาย ดูแลผู้ได้รับผลกระทบ และรวบรวมพยานหลักฐานเพื่อดำเนินการตามกฎหมาย
ผลการตรวจสอบทางเทคนิคเบื้องต้นพบว่า ผู้ก่อเหตุอาจนำชื่อผู้ใช้งานและรหัสผ่านที่รั่วไหลอยู่นอกระบบมาใช้เข้าสู่ระบบด้วยข้อมูลรับรองที่ถูกต้อง ก่อนสืบค้นหรือเข้าถึงข้อมูลส่วนบุคคลโดยมิชอบ หรือเกินกว่าสิทธิที่ได้รับอนุญาต แม้ไม่ใช่การเจาะระบบด้วยเทคนิคขั้นสูง แต่ถือเป็นเหตุด้านความมั่นคงปลอดภัยไซเบอร์และการละเมิดข้อมูลส่วนบุคคลที่สำคัญ
ข้อมูลที่ถูกเข้าถึงอาจประกอบด้วยชื่อ เลขทะเบียนรถ ข้อมูลบัตรประชาชน ที่อยู่ และรายละเอียดส่วนบุคคลบางส่วน ซึ่งมิจฉาชีพสามารถนำไปใช้สร้างความน่าเชื่อถือ เพื่อหลอกลวง สวมรอย ปลอมแปลงเอกสาร หรือกระทำความผิดในรูปแบบอื่น
กระทรวงดีอี จึงเตือนประชาชนว่า แม้ผู้ติดต่อจะบอกข้อมูลส่วนตัวได้ถูกต้อง ก็ไม่ควรเชื่อว่าเป็นเจ้าหน้าที่ของรัฐ ธนาคาร บริษัทขนส่ง บริษัทประกันภัย หรือหน่วยงานที่กล่าวอ้าง พร้อมย้ำว่าไม่ควรเปิดเผยรหัสผ่าน รหัส OTP เลขบัตรประชาชนเต็มฉบับ หรือข้อมูลบัญชีธนาคาร รวมถึงไม่โอนเงิน ติดตั้งแอปพลิเคชัน กดลิงก์ หรือเพิ่มเพื่อนตามคำแนะนำของบุคคลดังกล่าว
หากได้รับการติดต่อในลักษณะผิดปกติ ประชาชนควรยุติการสนทนาและตรวจสอบกับหน่วยงานที่ถูกกล่าวอ้างผ่านหมายเลขโทรศัพท์หรือช่องทางทางการที่ค้นหาด้วยตนเอง โดยไม่ใช้เบอร์โทรศัพท์ ลิงก์ หรือช่องทางที่ผู้ติดต่อส่งมาให้ ขณะเดียวกัน หากสงสัยว่าข้อมูลถูกนำไปใช้ ควรเก็บหมายเลขโทรศัพท์ ข้อความ ลิงก์ ชื่อบัญชี และหลักฐานการทำธุรกรรมไว้แจ้งหน่วยงานที่เกี่ยวข้องโดยเร็ว
ที่ผ่านมา สกมช. ได้แจ้งเตือนหน่วยงานภาครัฐและหน่วยงานที่เกี่ยวข้องให้ตรวจสอบบัญชีที่มีความเสี่ยง เปลี่ยนรหัสผ่าน ระงับบัญชีที่ไม่จำเป็น ทบทวนสิทธิการเข้าถึง และปรับปรุงมาตรการรักษาความมั่นคงปลอดภัย โดยเฉพาะระบบสำคัญและระบบที่จัดเก็บหรือเชื่อมโยงข้อมูลส่วนบุคคลจำนวนมาก
นายไชยชนก กล่าวว่า หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามมาตรา 37 (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันข้อมูลสูญหาย ถูกเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยโดยไม่มีอำนาจ พร้อมทบทวนมาตรการเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลง
หากหน่วยงานได้รับแจ้งว่าชื่อผู้ใช้งานหรือรหัสผ่านรั่วไหล แต่ยังไม่ตรวจสอบ ไม่ระงับหรือเปลี่ยนข้อมูลรับรอง ไม่ทบทวนสิทธิ และไม่เพิ่มมาตรการยืนยันตัวตนที่เหมาะสม อาจเข้าข่ายไม่ได้จัดให้มีมาตรการรักษาความปลอดภัยตามที่กฎหมายกำหนด และอาจต้องรับผิดตามกระบวนการของกฎหมายคุ้มครองข้อมูลส่วนบุคคล
ทั้งนี้ การไม่มีระบบยืนยันตัวตนแบบหลายปัจจัย หรือ Multi-Factor Authentication: MFA เพียงอย่างเดียว ไม่ควรถูกสรุปว่าเป็นการฝ่าฝืนกฎหมายโดยอัตโนมัติ แต่หากเป็นระบบที่มีความเสี่ยงสูง จัดเก็บข้อมูลประชาชนจำนวนมาก หรือมีบัญชีที่พบว่าข้อมูลรับรองรั่วไหล การไม่เพิ่มมาตรการควบคุมอาจสะท้อนถึงการจัดการความเสี่ยงที่ไม่เพียงพอ
"เหตุการณ์ครั้งนี้สะท้อนว่า ผู้ไม่หวังดีไม่จำเป็นต้องใช้เทคนิคขั้นสูง หากมี Username และ Password ที่รั่วไหลก็อาจเข้าสู่ระบบและเข้าถึงข้อมูลประชาชนได้ หน่วยงานจึงไม่สามารถพึ่งพารหัสผ่านเพียงชั้นเดียวได้อีกต่อไป หน่วยงานใดได้รับการแจ้งเตือนแล้วต้องเร่งตรวจสอบ เปลี่ยนรหัสผ่าน ทบทวนสิทธิ และใช้ MFA กับระบบที่มีความเสี่ยง โดยเฉพาะระบบที่จัดเก็บข้อมูลประชาชน" นายไชยชนก กล่าว
กกม. จึงกำชับให้หน่วยงานภาครัฐเพิ่ม MFA ในระบบสำคัญอย่างเร่งด่วน โดยเฉพาะบัญชีผู้ดูแลระบบ บัญชีที่มีสิทธิระดับสูง บัญชีที่เข้าถึงข้อมูลส่วนบุคคล และระบบที่เปิดให้เชื่อมต่อจากเครือข่ายภายนอก เนื่องจาก MFA จะช่วยลดความเสี่ยง แม้ชื่อผู้ใช้งานและรหัสผ่านจะถูกขโมยหรือรั่วไหล ผู้ไม่หวังดีก็ยังไม่สามารถเข้าสู่ระบบได้หากไม่มีปัจจัยยืนยันตัวตนเพิ่มเติม
ขณะนี้ ThaiCERT ภายใต้ สกมช. อยู่ระหว่างทำงานร่วมกับหน่วยงานเจ้าของระบบ เพื่อตรวจพิสูจน์หลักฐานดิจิทัล วิเคราะห์ขอบเขตความเสียหาย ตรวจสอบบัญชีและเส้นทางการเข้าถึง รวมถึงติดตามการนำข้อมูลไปเผยแพร่หรือใช้ประโยชน์โดยมิชอบ พร้อมแจ้งให้หน่วยงานที่พบบัญชีมีความเสี่ยงดำเนินการแก้ไขโดยเร่งด่วน