วันนี้ (6 สิงหาคม) น.อ. อนุดิษฐ์ นาครทรรพ รองหัวหน้าพรรคกล้าธรรม และอดีตรัฐมนตรีว่าการกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร (ไอซีที) ออกมาเตือนภัยกรณีข้อมูลส่วนบุคคลของผู้นำประเทศ ข้าราชการระดับสูง และประชาชนถูกนำไปสุ่มซื้อขายในช่องทางผิดกฎหมาย โดยย้ำว่าเหตุการณ์นี้ไม่ใช่เรื่องส่วนบุคคล แต่เป็นสัญญาณเตือนว่าข้อมูลของประชาชนทุกคนกำลังตกอยู่ในความเสี่ยง
น.อ. อนุดิษฐ์ ระบุว่า ถึงแม้รัฐบาลจะชี้แจงว่าไม่ใช่การเจาะระบบโดยตรง แต่เป็นการเข้าถึงผ่านบัญชีผู้ใช้และเลข IP เดียวกัน ทว่าในทางความมั่นคงไซเบอร์ การสวมรอยใช้สิทธิภายในถือเป็นเหตุละเมิดที่อันตรายและตรวจจับยากยิ่งกว่าการแฮ็ก คำถามสำคัญจึงไม่ใช่เพียงว่าแฮ็กหรือไม่แฮ็ก แต่คือใครสามารถเข้าถึงข้อมูลอะไรได้บ้าง เหตุใดจึงดึงข้อมูลออกไปได้ ระบบตรวจพบเมื่อใด และข้อมูลถูกนำออกไปแล้วจำนวนเท่าใด
ปัญหาข้อมูลรั่วไหลนี้เชื่อมโยงโดยตรงกับวิกฤตสแกมเมอร์ โดยข้อมูลจากตำรวจแห่งชาติระบุว่า ตั้งแต่ มีนาคม 2565 ถึง เมษายน 2569 ประเทศไทยมีความเสียหายจากคดีออนไลน์สะสมสูงถึง 1.1 แสนล้านบาท (รวมกว่า 1.18 ล้านเรื่อง) และเฉพาะ 4 เดือนแรกของปี 2569 มีคดีเกิดขึ้นเฉลี่ยสร้างความเสียหายถึงวันละ 62 ล้านบาท ซึ่งสะท้อนว่าลำพังการเตือนประชาชนอย่าหลงเชื่อนั้นไม่พออีกต่อไป
เพราะอาชญากรใช้ข้อมูลเชิงลึกจริงของเหยื่อและครอบครัวมาแนบเนียนในการหลอกลวง ทั้งนี้ ข้อมูลอาจหลุดได้จากหลายช่องทาง ทั้งรัฐ เอกชน บัญชีเจ้าหน้าที่ หรือ API รัฐจึงต้องเร่งพิสูจน์ต้นทางด้วย Digital Forensics แทนการปฏิเสธความรับผิดชอบ
เพื่อให้การแก้ไขปัญหาเกิดขึ้นจริง น.อ. อนุดิษฐ์ ได้เสนอข้อเสนอเร่งด่วน 3 ระยะแก่รัฐบาล
- ระยะเร่งด่วน: แยกระบบเสี่ยงออกจากเครือข่าย ตัดสิทธิ Token/API Key ที่เข้าข่าย บังคับใช้ MFA แจ้ง สคส. ภายใน 72 ชั่วโมงตามกฎหมาย พร้อมจัดช่องทางให้ประชาชนตรวจสอบสิทธิของตนเอง
- ระยะกลาง: สแกนทุกฐานข้อมูล ทุก API ทุกบัญชีผู้ใช้ และทุกหน่วยงานที่เชื่อมต่อกัน รวมถึงผู้รับจ้างและผู้รับจ้างช่วง บังคับใช้หลักสิทธิต่ำสุด (Least Privilege) เท่าที่จำเป็น กำหนด Rate Limit และระบบแจ้งเตือนเมื่อมีการเรียกข้อมูลผิดปกติ พร้อมเชื่อม Log เข้า SOC/MDR และให้ผู้เชี่ยวชาญอิสระตรวจสอบ
- ระยะยาว: ปรับสถาปัตยกรรมระบบราชการสู่ Zero Trust ลดการเก็บข้อมูลที่ไม่จำเป็น ทบทวนอายุการจัดเก็บข้อมูล ทดสอบระบบด้วย Red Team และทำนโยบาย Coordinated Vulnerability Disclosure ให้ช่องทางแจ้งช่องโหว่ที่ปลอดภัย
นอกจากนี้ น.อ. อนุดิษฐ์ ยังได้กล่าวถึงกรณีที่กรมการปกครองแจ้งความดำเนินคดีกับ ธนารัตน์ กัววัฒนาพันธ์ ผู้เปิดเผยข้อกล่าวอ้างเรื่องข้อมูลผู้มีสิทธิเลือกตั้ง 53 ล้านรายชื่อหลุด โดยเตือนว่ารัฐต้องแยกแยะระหว่างอาชญากรกับผู้แจ้งเตือนภัยโดยสุจริต
“ผมไม่ได้หมายความว่าผู้ใดจะสามารถนำข้อมูลส่วนบุคคลมาเปิดเผยได้โดยไม่มีขอบเขต หากมีการเผยแพร่เกินความจำเป็นก็ต้องตรวจสอบตามกฎหมาย แต่รัฐต้องไม่ใช้การดำเนินคดีเป็นปฏิกิริยาแรกต่อผู้ที่เข้ามาสะท้อนความบกพร่อง เพราะหากผู้พบช่องโหว่ต้องเสี่ยงถูกฟ้อง ต่อไปใครจะกล้าช่วยรัฐเตือนภัย”
พร้อมกันนี้ ได้ตั้งคำถามถึงการใช้งบประมาณด้านไซเบอร์ของทุกกระทรวงที่มีจำนวนมากในแต่ละปี แต่ผลลัพธ์กลับไม่ชัดเจน จึงขอเรียกร้องให้รัฐบาลเปิดเผยงบไซเบอร์ย้อนหลังอย่างน้อย 3 ปี ตรวจสอบโครงการซ้ำซ้อน และเปลี่ยนตัวชี้วัดไปที่ระยะเวลาในการตรวจพบและควบคุมเหตุ
“หากรัฐใช้งบประมาณสูงทุกปี แต่ข้อมูลประชาชนยังรั่วซ้ำ ระบบยังไม่สามารถตรวจพบความผิดปกติได้เอง และต้องรอให้บุคคลภายนอกนำหลักฐานมาเปิดเผย ประชาชนย่อมมีสิทธิตั้งคำถามว่า งบเหล่านั้นถูกใช้เพื่อสร้างความปลอดภัยจริง หรือเป็นเพียงการแยกซื้อโครงการเพื่อเอื้อประโยชน์ให้ผู้ขายบางราย แล้วปล่อยให้ประชาชนเป็นผู้รับความเสี่ยง”
น.อ. อนุดิษฐ์ ยังเรียกร้องให้นายกรัฐมนตรีประกาศให้เรื่องนี้เป็นเหตุความมั่นคงระดับชาติ ตั้งคณะทำงานอิสระ รายงานข้อเท็จจริงใน 30 วัน และทำแผนแก้ไขใน 90 วัน เพราะความมั่นคงไซเบอร์ไม่ได้เกิดจากการปิดข่าวหรือทำให้ผู้เตือนภัยเงียบเสียง แต่เกิดจากการยอมรับความจริงและแก้ไขอย่างเป็นระบบ
