เมื่อวันที่ 11 พ.ย. 69 วงการความมั่นคงปลอดภัยไซเบอร์ไทยได้เฮ หลังนายธนพนธ์ บุตรศรีชา หรือ “น้องปอนด์” อายุ 25 ปี นักศึกษาชั้นปีที่ 1 หลักสูตรความมั่นคงปลอดภัยไซเบอร์ วิทยาลัยการคอมพิวเตอร์ มหาวิทยาลัยขอนแก่น (มข.) นำหนังสือขอบคุณอย่างเป็นทางการจาก องค์การบริหารการบินและอวกาศแห่งชาติสหรัฐอเมริกา (NASA) มาเปิดเผย ภายหลังโชว์ศักยภาพตรวจพบช่องโหว่ในระบบสารสนเทศขององค์กรระดับโลกได้สำเร็จ โดยไม่ซ้ำกับแฮกเกอร์รายใดจากทั่วโลก

นายธนพนธ์ ซึ่งใช้ชื่อแฝงในการรายงานว่า “nullbyt3z” เปิดเผยว่า ช่องโหว่ที่ตรวจพบคือประเภท Cross-Site Scripting หรือ XSS ซึ่งเป็นช่องโหว่ที่เปิดโอกาสให้ผู้ไม่หวังดีสามารถแทรกโค้ดสคริปต์ (เช่น JavaScript) ลงในหน้าเว็บเพจ เพื่อใช้โจมตีผู้ใช้งานผ่านเบราว์เซอร์ หากเหยื่อหลงคลิกลิงก์ก็อาจถูกขโมยข้อมูลสำคัญ เช่น คุกกี้ที่ใช้ในการเข้าสู่ระบบ โดยการค้นพบครั้งนี้เป็นการทดสอบจากระบบจริง ไม่ใช่เพียงการจำลองในห้องเรียน

สำหรับการรายงานช่องโหว่ดังกล่าว ตนได้ดำเนินการตามนโยบายการเปิดเผยช่องโหว่ (Vulnerability Disclosure Policy : VDP) ของ NASA ภายใต้หลักการ Responsible Disclosure ซึ่งผู้ค้นพบต้องดำเนินการในขอบเขตที่ได้รับอนุญาต แจ้งเจ้าของระบบโดยตรง และไม่นำข้อมูลไปใช้ในทางมิชอบ

“จุดเริ่มต้นมาจากอาจารย์แนะนำให้ลองหาช่องโหว่ดู หลังจากเห็นคนไทยเคยได้หนังสือขอบคุณจาก NASA ผมจึงนำความรู้มาทดลองทำ ใช้เวลาประมาณ 1 เดือน ส่งรายงานไปถึง 10 ครั้ง ช่วงแรกๆ มักจะซ้ำกับคนอื่น เพราะ NASA เป็นองค์กรระดับโลกที่มีคนแห่ทดสอบระบบจำนวนมาก กระทั่งรายงานฉบับที่ 8 หรือ 9 เป็นช่องโหว่ที่ไม่ซ้ำใครเลย เมื่อ NASA ตรวจสอบ แก้ไขระบบ และส่งหนังสือขอบคุณกลับมา ผมรู้สึกดีใจและภูมิใจมากที่ความทุ่มเทประสบความสำเร็จ” นายธนพนธ์ กล่าว

นายธนพนธ์ กล่าวเพิ่มเติมว่า ครอบครัวทราบข่าวและดีใจมาก การเรียนในหลักสูตรนี้ช่วยปูพื้นฐานตั้งแต่การเขียนโปรแกรมไปจนถึงกฎหมายที่เกี่ยวข้อง สิ่งที่อาจารย์เน้นย้ำเสมอคือจรรยาบรรณ การทดสอบทุกครั้งต้องอยู่ภายใต้ขอบเขตที่ได้รับอนุญาตเท่านั้น มิฉะนั้นจะถือเป็นการกระทำที่ผิดกฎหมาย

แม้ปัจจุบันจะมีโครงการ Bug Bounty ที่เปิดรับค้นหาช่องโหว่แลกกับเงินรางวัลจากหลายองค์กร แต่ NASA คือเป้าหมายแรกที่ตนได้ทดลอง หลังจากนี้ตั้งใจจะพัฒนาทักษะด้านความมั่นคงปลอดภัยไซเบอร์ของตนเองให้สูงยิ่งขึ้น เพื่อเตรียมพร้อมรับมือกับภัยคุกคามในยุคที่มิจฉาชีพนำเทคโนโลยี AI มาใช้ช่วยโจมตี

“ผมเชื่อว่าความรู้ด้านไซเบอร์เป็นสิ่งสำคัญมากในยุคปัจจุบัน หากรัฐบาล ท่านนายกรัฐมนตรี หรือกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) อยากให้ไปช่วยงานในอนาคต ผมก็ยินดีเป็นอย่างยิ่ง แต่ในตอนนี้ขอโฟกัสเรื่องการเรียนเป็นอันดับแรกก่อนครับ” นายธนพนธ์ กล่าวทิ้งท้าย