กลายเป็นประเด็นร้อนสะเทือนวงการไอทีและสร้างความหวาดวิตกให้กับคนไทยทั้งประเทศอีกครั้ง หลังมีกระแสข่าวฐานข้อมูลภาครัฐหลุด รั่วไหล โดยมีข้อมูลส่วนบุคคลของคนระดับประเทศ หลุดว่อนบนโซเชียล จนเกิดคำถามตามมาว่า “ระบบความปลอดภัยไซเบอร์ของหน่วยงานภาครัฐ… หละหลวมมีช่องโหว่แค่ไหนกันแน่?”
เพื่อคลี่คลายข้อสงสัยและเจาะลึกถึงต้นตอของปัญหา พล.อ.ต.อมร ชมเชย เลขาธิการสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ให้สัมภาษณ์กับ “เดลินิวส์” ถึงเบื้องหลังเหตุการณ์ และทิศทางในการแก้ปัญหาที่ต้องเร่ง “ผ่าตัดใหญ่” ระบบไอทีภาครัฐทั้งระบบ
เลขาธิการ สกมช. บอกว่า หลังรับทราบปัญหาที่เกิดขึ้น ทาง นายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) ในฐานะประธานคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ (กกม.) ได้สั่งการให้ทาง สกมช.มอบหมายทีมศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ลงพื้นที่ปฏิบัติงานร่วมกับ กรมการขนส่งทางบก เพื่อตรวจสอบข้อเท็จจริง และแก้ไขปัญหาทันที โดยปัจจุบันสามารถควบคุมระบบแก้ไขช่องโหว่ได้หมดแล้ว
สืบเจอพาสเวิร์ดรั่วจากระบบเก่าปี 60
เลขาธิการ สกมช. ฉายภาพให้เห็นถึงต้นตอของปัญหาว่า ระบบของกรมการขนส่งทางบก ที่เกิดเป็นปัญหา เป็นระบบที่เปิดไว้ให้หน่วยงานต่าง ๆ กว่า 60 หน่วยงานเข้ามาใช้ประโยชน์ ตั้งแต่การตรวจสอบรถถูกขโมยในพื้นที่ภาคใต้เพื่อป้องกันเหตุความมั่นคง, การเช็กข้อมูลผู้ใช้บริการ M-Flow, ตรอ. ตรวจสภาพรถ ไปจนถึงตำรวจจราจรและเทศกิจใช้ในการออกใบสั่ง
“มันเป็นระบบเก่าที่เปิดใช้มาตั้งแต่ปี 2560 ซึ่งภัยคุกคามในยุคนั้นยังไม่เหมือนปัจจุบัน เคสนี้ไม่ได้เกิดจากการแฮกระบบแบบซับซ้อน แต่เป็นการ ‘เข้าถึงระบบโดยไม่ได้รับอนุญาต‘ โดยใช้ Username และ Password ที่หลุดรั่ว”
พล.อ.ต.อมร บอกต่อว่า พาสเวิร์ดดังกล่าวหลุดไปรวมอยู่ในกลุ่มฐานข้อมูล Username/Password กว่า 200 ล้านรายการ (จากทั่วโลกที่มีรั่วไหลกว่า 50,000 ล้านรายการ) เมื่อกลุ่มผู้ไม่หวังดีได้พาสเวิร์ดไปสุ่มล็อกอินเข้าใช้งานระบบจนสำเร็จ จึงได้นำ Session Key ไปเขียนโปรแกรม API แล้วเปิดหน้าเว็บให้บริการดึงข้อมูลแลกกับค่าบริการ
จากการสืบสวนและประสานงานร่วมกับตำรวจไซเบอร์อย่างใกล้ชิด ขณะนี้เจ้าหน้าที่ตำรวจได้พยานหลักฐานและ Log การใช้งานที่ชัดเจน และอยู่ระหว่างสืบสวนขยายผลเพื่อนำตัวผู้กระทำความผิดเพื่อนำตัวมาดำเนินคดีตาม พ.ร.บ.คอมพิวเตอร์ แล้ว
สยบข่าวลือข้อมูลรั่ว 67 ล้านรายทั้งประเทศ
ส่วนกระแสข่าวที่อ้างว่าฐานข้อมูลคนไทยหลุดไปถึง 67 ล้านรายการนั้น เลขาธิการ สกมช. ยืนยันหนักแน่นว่าจากการตรวจสอบยังไม่มีหลักฐานบ่งชี้ว่ามีการดึงข้อมูลออกไปได้มากมายขนาดนั้น
“ทาง ลอจิก มันเป็นไปไม่ได้เลย เพราะระบบนี้เป็นฐานข้อมูลเฉพาะผู้ครอบครองรถยนต์ ไม่ใช่คนไทยทุกคนจะมีรถ และระบบเป็นการทยอยเรียกดูทีละรายการ การเป็นข่าวใหญ่เพราะเป็นการไปค้นรูปภาพหรือข้อมูลของคนดัง คณะรัฐมนตรี ฯลฯ
นอกจากนี้ การตัดสินใจปิดระบบดังกล่าวก็เป็นเรื่องที่ตัดสินใจยาก เพราะเป็นระบบที่เจ้าหน้าที่ตำรวจและอาสาสมัครในพื้นที่ภาคใต้ต้องใช้ตรวจสอบรถต้องสงสัย หรือเกี่ยวกับความมั่นคง หากปิดยาวนานเกินไปจะกระทบต่อประโยชน์สาธารณะและความมั่นคงได้ เบื้องต้นจึงต้องปรับปรุงระบบ บังคับเปลี่ยนพาสเวิร์ด ก่อนยกระดับระบบความปลอดภัยเพื่อกลับมาเปิดใช้งานอีกครั้ง
300 กรมเลิกใช้แค่พาสเวิร์ดลุยดัน MFA-ThaID
สำหรับแนวทางแก้ไขที่ยั่งยืน สกมช. เตรียมเข้าแก้ปัญหาที่ Root Cause หรือต้นตอแท้จริง โดยเตรียมสั่งการภายใน 30 วัน ให้มีการสำรวจระบบไอทีของหน่วยงานภาครัฐทั้ง 300 กรม ซึ่งแต่ละกรมมีระบบย่อยอยู่นับร้อยระบบ โดยมีมาตรการ ดังนี้
- สำรวจและปิดระบบร้าง: ระบบเก่าที่ไม่ได้ใช้งานแล้วแต่ถูกลืมทิ้งไว้ ต้องสั่งยกเลิกและปิดช่องโหว่ทันที
- เลิกใช้ Password ชั้นเดียว: เตรียมเสนอ ครม. บังคับให้ทุกหน่วยงานรัฐยกเลิกการใช้พาสเวิร์ดเพียงอย่างเดียวในการเข้าถึงระบบ
- ยกระดับเป็น MFA (Multi-Factor Authentication): ปรับไปใช้การยืนยันตัวตนหลายปัจจัย เช่น การสแกนผ่านแอปพลิเคชัน ThaID, Google Authenticator หรือ Microsoft Authenticator เพื่อให้มีเงื่อนไขว่าผู้เข้าใช้งานต้องมีอุปกรณ์ยืนยันตัวตนอยู่กับตัวจริงๆ
- ตรวจจับพฤติกรรมผิดปกติ: ระบบต้องบันทึกและบอกได้ชัดเจนว่า ใครเข้าถึงข้อมูล ของใคร เมื่อไหร่ หากมีการดึงข้อมูลมากผิดปกติ ระบบต้องแจ้งเตือนทันที
เตือน “เบอร์แปลกอย่ารับ-อย่าแอดไลน์” เกราะคุ้มกันชั้นดี
พล.อ.ต.อมร ยังฝากเตือนประชาชนทิ้งท้ายถึงการรับมือภัยไซเบอร์ในชีวิตประจำวันว่า ไม่ว่าข้อมูลจะรั่วไหลจากเหตุการณ์นี้หรือเหตุการณ์ใดก็ตาม สิ่งสำคัญที่สุดคือการตั้งสติ
“เบอร์แปลกเราไม่ควรคุยด้วยเลยตั้งแต่แรก เพราะช่องทางที่แก๊งคอลเซ็นเตอร์จะหลอกเราได้ ก็ต่อเมื่อเรายอมคุยกับมัน ถ้ารับสายแล้วอ้างว่าส่งของผิดกฎหมาย มีหมายศาล หรือคืนเงินสินค้าออนไลน์ ถ้าเราไม่คุย ไม่แอดไลน์ มันก็ส่งเอกสารปลอมมาหลอกให้เราโอนเงินไม่ได้ การตัดบทไม่คุยกับเบอร์แปลก คือเกราะป้องกันที่ดีที่สุดในการลดความเสี่ยงจากการถูกหลอกลวง” พล.อ.ต.อมร ระบุ
จิราวัฒน์ จารุพันธ์
