เปิดปม ‘ข้อมูลส่วนบุคคลรั่ว’ สัญญาณเตือนให้รัฐรีบอุดช่องโหว่

‘เอิร์ธ’ ธนารัตน์ กัววัฒนาพันธ์ ประธานเจ้าหน้าที่บริหาร (CEO) ของ DomeCloud และผู้เชี่ยวชาญด้านซอฟต์แวร์ เทคโนโลยี และความปลอดภัยทางไซเบอร์ ให้สัมภาษณ์ในรายการ “สนามข่าว 96” ชี้แจงกรณีโพสต์ภาพข้อมูลบุคคลสำคัญของภาครัฐที่กำลังเป็นประเด็น โดยยอมรับว่าเป็นผู้เผยแพร่ข้อมูลดังกล่าวด้วยตนเอง พร้อมยืนยันว่าการกระทำทั้งหมดมีเป้าหมายเพื่อผลักดันให้ภาครัฐเร่งแก้ไขปัญหาข้อมูลรั่วไหลที่เกิดขึ้นมาอย่างต่อเนื่อง ไม่ใช่การเคลื่อนไหวทางการเมืองหรือมุ่งโจมตีรัฐบาล

ยืนยันไม่เกี่ยวการเมือง ยึดหลักการมากกว่าสีเสื้อ

ธนารัตน์กล่าวว่า ก่อนหน้านี้ตนเองยังเคยตอบรับเข้าร่วมเป็นวิทยากรในโครงการ TH-AI Passport ของภาครัฐ จนถูกวิพากษ์วิจารณ์ว่าเข้าข้างฝ่ายรัฐบาล ขณะที่เมื่อออกมาเปิดเผยปัญหาข้อมูลรั่วไหลกลับถูกตั้งข้อสงสัยว่าอยู่ฝ่ายตรงข้ามทางการเมือง

อย่างไรก็ตาม ยืนยันว่าไม่เคยยึดโยงกับสีเสื้อหรือฝ่ายการเมืองใด แต่ทำงานบนพื้นฐานของหลักการและความปลอดภัยของข้อมูลเป็นสำคัญ ส่วนเหตุผลที่นำภาพใบหน้าของบุคคลระดับสูงในรัฐบาลมาเผยแพร่ เป็นเพราะต้องการสะท้อนให้เห็นว่า แม้แต่ผู้บริหารระดับสูงก็ได้รับผลกระทบจากปัญหาข้อมูลรั่วไหลเช่นเดียวกับประชาชน และหวังให้ผู้มีอำนาจเร่งบังคับใช้กฎหมายและแก้ไขปัญหาอย่างจริงจัง

เคยแจ้งข้อมูลรั่วหลายครั้ง แต่ไม่มีความคืบหน้า

ธนารัตน์ระบุว่า ตลอดช่วงที่ผ่านมาได้แจ้งเหตุข้อมูลรั่วไหลให้หน่วยงานที่เกี่ยวข้อง ทั้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) แล้วอย่างน้อย 4 ครั้ง โดยแต่ละครั้งเป็นเหตุข้อมูลรั่วไหลขนาดใหญ่ บางกรณีมีข้อมูลประชาชนกว่า 50 ล้านรายการ

เขายังยกตัวอย่างกรณีที่สามารถเข้าถึงระบบหลังบ้านของผู้ให้บริการโทรศัพท์มือถือ ซึ่งเปิดโอกาสให้สามารถเปลี่ยนแพ็กเกจ เปลี่ยนซิม หรือแม้แต่โอนหมายเลขโทรศัพท์ของบุคคลสำคัญได้ หากตกอยู่ในมือของผู้ไม่หวังดี พร้อมมองว่าเป็นภัยคุกคามต่อความมั่นคงของประเทศ แต่กลับไม่มีการแจ้งเตือนหรือดำเนินการอย่างจริงจัง

ต่อมาในช่วงเดือนมิถุนายน ยังพบข้อมูลของสำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) รั่วไหลกว่า 600-700 ล้านรายการ ซึ่งรวมถึงข้อมูลของผู้เสียชีวิต ทำให้จำนวนข้อมูลมากกว่าประชากรของประเทศ

หลังเกิดเหตุ จึงทำหนังสือถึงคณะกรรมาธิการการเทคโนโลยีสารสนเทศ การสื่อสาร และการโทรคมนาคม สภาผู้แทนราษฎร ซึ่งมี นพ.ลองกต มุกดาสนิท เป็นประธาน เพื่อให้เชิญหน่วยงานที่เกี่ยวข้องเข้าชี้แจง โดยมีทั้ง สปสช. สคส. และ สกมช. เข้าร่วมประชุม แต่จนเวลาผ่านมากว่า 2 เดือน ก็ยังไม่เห็นมาตรการหรือการแจ้งเตือนที่เป็นรูปธรรมจากภาครัฐ

เหตุผลที่เปิดเผยข้อมูลบุคคลระดับสูง

ธนารัตน์กล่าวว่า เหตุข้อมูลรั่วล่าสุดเกี่ยวข้องกับฐานข้อมูลจากหลายหน่วยงาน เช่น กรมการปกครอง กรมการขนส่งทางบก และหน่วยงานด้านการศึกษา โดยสิ่งที่น่ากังวลที่สุดคือฐานข้อมูลของกรมการปกครอง ซึ่งมีข้อมูลภาพใบหน้าของประชาชน

ด้วยเหตุนี้ จึงเลือกนำภาพข้อมูลของบุคคลระดับสูงในกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม รวมถึงกระทรวงมหาดไทย มาเผยแพร่ เพื่อแสดงให้เห็นว่าผู้บริหารเองก็เป็นผู้เสียหายจากเหตุข้อมูลรั่วไหลเช่นกัน และต้องการเรียกร้องให้ผู้มีหน้าที่กำกับดูแลเร่งดำเนินการแก้ไขปัญหา

ภาครัฐสื่อสารไม่ตรงกัน ปมข้อมูลใช้ได้หรือไม่

ธนารัตน์มองว่า การชี้แจงของภาครัฐหลังเกิดเหตุยังมีความสับสน เนื่องจากบางฝ่ายระบุว่าการเผยแพร่ข้อมูลดังกล่าวเข้าข่ายความผิดตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ขณะที่อีกฝ่ายกลับยืนยันว่าข้อมูลดังกล่าวไม่สามารถนำไปใช้ประโยชน์ได้

เขาตั้งข้อสังเกตว่า หากข้อมูลไม่สามารถใช้งานได้จริง เหตุใดการเผยแพร่จึงถูกมองว่าเป็นความผิด พร้อมยืนยันว่าหากมีการดำเนินคดี ก็พร้อมเข้าสู่กระบวนการยุติธรรม เพราะเชื่อว่าการกระทำดังกล่าวเป็นไปเพื่อประโยชน์สาธารณะ และยิ่งหากตนถูกดำเนินคดี ก็ยิ่งสะท้อนให้เห็นถึงความรับผิดชอบของหน่วยงานเจ้าของข้อมูลที่ควรได้รับการตรวจสอบเช่นกัน

ยืนยันไม่ได้ซื้อข้อมูล แต่เข้าถึงช่องโหว่เพื่อแจ้งเตือน

ธนารัตน์ชี้แจงว่า ตนไม่ได้ซื้อข้อมูลจากตลาดมืด แต่สามารถเข้าถึงช่องโหว่เดียวกับที่กลุ่มมิจฉาชีพใช้ ก่อนนำข้อมูลมาแจ้งเตือนให้หน่วยงานเร่งแก้ไข

เขาเปรียบเทียบว่า เมื่อได้ "กุญแจ" หรือข้อมูลสำหรับเข้าถึงระบบแบบเดียวกับที่ผู้ไม่หวังดีใช้ จึงทดลองตรวจสอบเพื่อพิสูจน์ว่าระบบยังมีช่องโหว่ ก่อนแจ้งให้เจ้าของระบบรับทราบ เพื่อป้องกันไม่ให้เกิดความเสียหายต่อประชาชนในวงกว้าง

ยังมีตลาดซื้อขายข้อมูลผิดกฎหมาย

นอกจากข้อมูลที่เปิดเผยแล้ว ธนารัตน์ระบุว่ายังพบการประกาศรับตรวจสอบข้อมูลทะเบียนราษฎร ข้อมูลเจ้าของรถ หมายเลขโทรศัพท์ ข้อมูลอสังหาริมทรัพย์ หมายจับ ใบสั่ง และเครือญาติ ผ่านช่องทางต่าง ๆ ซึ่งสะท้อนว่ายังคงมีการซื้อขายข้อมูลส่วนบุคคลอย่างต่อเนื่อง

ขณะนี้อยู่ระหว่างติดตามว่าข้อมูลเหล่านี้ถูกนำออกมาจากระบบของหน่วยงานใด เพื่อแจ้งเตือนและผลักดันให้มีการแก้ไขต่อไป

ชี้ข้อมูลรั่วมานาน เพิ่งแก้หลังเป็นข่าว

ธนารัตน์กล่าวถึงคำชี้แจงของภาครัฐที่ระบุว่าเป็นข้อมูลเก่าและได้ปิดช่องโหว่แล้ว ว่า ยิ่งสะท้อนว่าปัญหาดังกล่าวเกิดขึ้นมาเป็นเวลานาน ก่อนจะมีการแก้ไขภายหลังจากกลายเป็นข่าว

จากการประเมินของตน ช่องโหว่บางจุดเปิดทิ้งไว้นานถึงประมาณ 5 ปี แต่เพิ่งได้รับการแก้ไขเมื่อไม่นานมานี้ ซึ่งสอดคล้องกับคำชี้แจงของหน่วยงานรัฐ และถือเป็นการยอมรับว่าระบบมีปัญหาจริง

เสนอใช้ ThaiD ยกระดับความปลอดภัยระบบภาครัฐ

ธนารัตน์เสนอว่า ภาครัฐไม่ควรมุ่งเน้นเพียงการติดตามจับกุมแฮกเกอร์ แต่ควรแก้ปัญหาที่ต้นเหตุด้วยการยกระดับความปลอดภัยของระบบ โดยเฉพาะการเลิกใช้การยืนยันตัวตนด้วยรหัสผ่านเพียงอย่างเดียว

เขาระบุว่า จากการตรวจสอบพบข้อมูลรหัสผ่านของหน่วยงานใน 19 กระทรวง รวมถึงสำนักนายกรัฐมนตรี รั่วไหลเป็นจำนวนมาก ทำให้การใช้รหัสผ่านเพียงอย่างเดียวไม่เพียงพออีกต่อไป

ทางออกคือการนำระบบ ThaiD มาใช้กับระบบภายในของหน่วยงานรัฐ เนื่องจากรองรับการยืนยันตัวตนหลายปัจจัย ทั้งรหัสผ่าน การยืนยันใบหน้า และการผูกกับอุปกรณ์ ซึ่งปัจจุบันยังไม่เคยมีรายงานว่าถูกเจาะระบบได้สำเร็จ อีกทั้งเป็นระบบที่กรมการปกครองพัฒนาขึ้นเอง จึงสามารถนำไปใช้ได้ทันทีโดยไม่ต้องใช้งบประมาณเพิ่มเติม

นอกจากนี้ เขายังชี้ว่าระบบที่ประชาชนใช้งานส่วนใหญ่เริ่มรองรับ ThaiD แล้ว แต่ระบบภายในที่เจ้าหน้าที่ใช้เข้าถึงข้อมูลประชาชนจำนวนมหาศาล ยังอาศัยเพียงรหัสผ่าน จึงเป็นจุดที่ควรเร่งปรับปรุงเป็นลำดับแรก

พร้อมให้ข้อมูลรัฐ หากเชิญเข้าชี้แจง

ธนารัตน์เปิดเผยว่า ขณะนี้ยังไม่ได้รับหมายเรียกหรือถูกดำเนินคดี แต่หากหน่วยงานรัฐเชิญไปให้ข้อมูล ก็พร้อมให้ความร่วมมือเต็มที่

เขามองว่าการแก้ปัญหาควรดำเนินการควบคู่กัน ทั้งการอุดช่องโหว่ของระบบต้นทาง และการสืบสวนเครือข่ายซื้อขายข้อมูลในตลาดมืด เพื่อให้สามารถวางมาตรการป้องกันได้อย่างมีประสิทธิภาพ

ธนารัตน์ย้ำว่า การเปิดเผยข้อมูลครั้งนี้ไม่มีแรงจูงใจทางการเมือง แต่เกิดจากความพยายามผลักดันให้หน่วยงานรัฐตระหนักถึงปัญหาข้อมูลรั่วไหล หลังจากใช้ช่องทางแจ้งเตือนตามปกติมาหลายครั้งแต่ไม่เกิดความคืบหน้า จึงตัดสินใจเปิดเผยข้อมูลต่อสาธารณะเพื่อให้เกิดการแก้ไขอย่างจริงจัง