5 ข้อที่เราได้รู้จากการ ‘เป่านกหวีด’ เปิดโปงครั้งใหญ่สนั่นวงการเทคฯ จากอดีตผู้บริหาร Twitter

Whistleblower คือคำที่มาจากคำว่า Whistle (นกหวีด) + Blower (ผู้เป่า) ที่รวมกันมีความหมายว่า ‘ผู้เป่านกหวีด’ ที่ออกมาแจ้งให้บริษัทได้รับรู้หรือเปิดเผย/ให้ข้อมูลอันเกี่ยวกับแนวทางปฏิบัติงานและการกระทำอันไม่ถูกไม่ควรของบริษัท องค์กร หรือประเทศ ในที่สาธารณะ

เหมือนกับการเป่านกหวีดให้เกิดเสียงดังจนทุกคนให้ความสนใจ เช่น กรณีของ Edward Snowden ที่แฉความลับของรัฐบาลสหรัฐฯ หรือ Frances Haugen ที่เคยออกมาพูดถึง Facebook

ข่าวที่เกี่ยวข้อง

ล่าสุดชายชื่อ Peiter Zatko ฉายา ‘Mudge’ ซึ่งเป็นอดีตแฮกเกอร์ฝีมือดีจากกลุ่มแฮกเกอร์ที่โด่งดังในยุค 1996-2000 อย่าง L0Pht ที่เคยเจาะระบบรักษาความปลอดภัยและปิดการใช้งานอินเทอร์เน็ตของสหรัฐอเมริกาเป็นเวลา 30 นาที เพื่อแสดงให้เห็นว่าข้อมูลบนโลกอินเทอร์เน็ตสามารถถูกเจาะ ขโมย และปิดกั้นได้ง่ายแค่ไหน

ก่อนที่ในปี 1998 Mudge กับเพื่อนอีก 6 คนได้ให้การต่อหน้าสภาคองเกรส และภายหลังเขาได้มีโอกาสทำงานให้กับกระทรวงกลาโหมแห่งรัฐบาลสหรัฐฯ ในฐานะหัวหน้าทีมดูความปลอดภัยโลกไซเบอร์ในปี 2010 ได้ทำงานให้กับ Google ในปี 2013 และถูกชักชวนไปทำงานในตำแหน่งผู้บริหาร และหัวหน้าแผนกดูแลระบบรักษาความปลอดภัยให้กับหนึ่งในบริษัทโซเชียลมีเดียยักษ์ใหญ่ที่สุดที่โลกเคยมีมาอย่าง Twitter ในปี 2020

ตั้งแต่นั้นเป็นต้นมา Mudge ทำหน้าที่นี้ จนกระทั่งเมื่อต้นปีที่ผ่านมาในเดือนมกราคม เขาถูกไล่ออกด้วยข้อหา ‘การเป็นผู้นำที่ไม่มีประสิทธิภาพและการบริหารงานที่ล้มเหลว’

และเมื่อเร็วๆ นี้ มีการเป่านกหวีดเปิดโปงครั้งใหญ่จากอดีตหัวหน้าทีมรักษาความปลอดภัยคนนี้เกี่ยวกับแนวทางปฏิบัติงานของ Twitter ที่เขากล่าวอ้างว่าเป็นภัยต่อระบบรักษาความปลอดภัยต่อสหรัฐอเมริกา และยังก่อให้เกิดความเข้าใจผิดต่อผู้ลงทุนและหน่วยงานที่กำกับดูแลอีกด้วย ด้วยเอกสารเกือบ 200 หน้าด้วยกัน

ข้อกล่าวหาของ Mudge คือ Twitter เต็มไปด้วยข้อบกพร่องในระบบรักษาความปลอดภัยอย่างร้ายแรง จากการที่อาจไม่ลบผู้มูลผู้ใช้แม้จะเลิกใช้งานแอ็กเคานต์ไปแล้วอย่างที่พึงจะทำ, ก่อให้เกิดความเข้าใจผิดต่อสาธารณชนในปัญหาเรื่องแอ็กเคานต์ที่เป็นสแปม, ความเป็นไปได้ในการการว่าจ้างหน่วยข่าวกรองต่างประเทศ และการไม่ทำตามข้อตกลงกับกฎข้อบังคับของคณะกรรมาธิการว่าด้วยการค้าแห่งสหพันธรัฐ หรือ Federal Trade Commission (FTC) ที่อาจนำไปสู่การกระทำอื่นๆ ที่ไม่ชอบมาพากลอีกมากมาย

Peiter Zatko ชายผู้เปิดโปง Twitter

ภาพ: Matt McClain/The Washington Post via Getty Images

และนี่คือ 5 ข้อที่เราได้รู้จากการเปิดโปงครั้งนี้ ผ่านเอกสารของ Mudge และข้อโต้แย้งจากตัวแทนของ Twitter

1. ความเปราะบางในระบบรักษาความปลอดภัย

ข้อกล่าวหาของ Mudge ที่ใหญ่ที่สุดคือ บริษัทเจ้าของสื่อโซเชียลมีเดียระดับนี้ขาดความปลอดภัยทางด้านข้อมูล ไม่ว่าจะเป็นจากการที่พนักงานนับพันสามารถเข้าถึงและมีส่วนรับผิดชอบในปริมาณงานและข้อมูลเกือบครึ่งของบริษัท หรือวิศวกรที่ทำงานและข้องเกี่ยวโดยตรงกับข้อมูลผู้ใช้ของจริงแบบไลฟ์

ทำให้ Twitter มีมาตรฐานการทำงานที่ต่างจากบริษัท Google และ Meta ที่นักพัฒนาจะใช้ Dummy Data หรือข้อมูลที่สร้างมาเพื่อใช้ปรับคีย์โค้ดและทดสอบโดยไม่ยุ่งเกี่ยวกับข้อมูลหลักที่ผู้บริโภคใช้อยู่

ความหละหลวมตรงนี้เปิดช่องให้พนักงานบางคนสามารถฉกฉวยข้อมูลจากผู้ใช้ได้ และการโค้ดดิ้งเพื่ออัปเดตอาจทำให้ระบบล่มจนแพลตฟอร์มใช้งานไม่ได้เลย นอกจากนี้ยังนำไปสู่ปัญหาคนนอกสามารถเจาะเข้าระบบของบริษัท Twitter ได้ในแบบที่ไม่ควรและจะไม่เกิดขึ้นกับบริษัทไหน

นอกจากนี้ในหลายๆ ครั้งมีการตรวจพบว่าพนักงานบริษัทติดตั้งสปายแวร์ในคอมพิวเตอร์ของพวกเขาจากคำร้องขอขององค์กรบุคคลที่ 3 ซึ่งไม่ระบุแน่ชัดในรายงานว่ามีพนักงานกี่คนที่เกี่ยวข้องกับการใช้สปายแวร์

การเข้าถึงได้ทั้งจากภายนอกและภายในเช่นนี้ จึงไม่แปลกใจเท่าไรนักที่ในปี 2020 จะมีแฮกเกอร์สามารถยึดแอ็กเคานต์ Twitter ของบุคคลสำคัญๆ ได้ เช่น Joe Biden, Barack Obama, Elon Musk และอีกมากมาย

ในข้อกล่าวหายังระบุอีกว่า ปัญหาน่าปวดหัวนี้แทบจะเกิดขึ้นอย่างน้อย 1 ครั้งในแต่ละสัปดาห์ แต่สาธารณชนไม่ทราบถึงสิ่งนี้ ซึ่งอันที่จริงเป็นกฎข้อบังคับขั้นเด็ดขาดที่บริษัทต้องพึงแจ้งให้ทราบต่อ FTC

และยังมีการบ่งชี้ด้วยว่า Twitter มีแนวโน้มที่จะไม่ลบข้อมูลข้อผู้ใช้หลังจากพวกเขาปิดบัญชีไปแล้ว เพราะในหลายๆ เคส บริษัทเองก็ไม่สามารถนับและติดตามจำนวนที่แน่นอนของข้อมูลได้ ซึ่งนำไปสู่การทำให้หน่วยงานควบคุมดูแลเกิดความเข้าใจผิดว่าตกลงแล้วข้อมูลที่ควรถูกลบได้ถูกลบอย่างที่พึงกระทำหรือไม่

ทางตัวแทนจาก Twitter ออกมาโต้แย้งข้อกล่าวหาว่า ทีมโปรดักต์กับทีมวิศวกรจะเข้าถึงแพลตฟอร์มได้เมื่อมีหน้าที่ที่ได้รับมอบหมายอย่างเฉพาะเจาะจงเท่านั้น แต่พนักงานแผนกอื่นอย่างแผนกการเงิน แผนกกฎหมาย แผนกเซล แผนกสนับสนุน และแผนกทรัพยากรบุคคล ไม่สามารถเข้าถึงแพลตฟอร์มได้

นอกจากนี้ยังได้กล่าวว่าบริษัทใช้ระบบตรวจสอบอัตโนมัติ เพื่อที่จะมั่นใจว่าซอฟต์แวร์ที่ไม่ได้รับการอัปเดตจะไม่สามารถเข้าถึงแพลตฟอร์มได้ และการเปลี่ยนแปลงของข้อมูลแบบไลฟ์จะเกิดขึ้นได้ก็ต่อเมื่อโค้ดนิ่งและมีการตรวจสอบแล้วว่าผ่านความต้องการพื้นฐาน

ในส่วนของความปลอดภัยแอ็กเคานต์และข้อมูล ทาง Twitter ชี้แจงว่า หลังจากที่ผู้ใช้ต้องการลบแอ็กเคานต์ ทาง Twitter จะ Deactivate และเริ่มขั้นตอนการลบทิ้ง แต่ปฏิเสธที่จะพูดกับทาง CNN ว่ากระบวนการลบเสร็จสิ้นในปลายทางหรือไม่

2. Twitter มีระบบที่สามารถคำนวณปริมาณแอ็กเคานต์ที่เป็นสแปมได้ง่ายๆ แต่ตัดสินใจไม่ใช้มัน

เรื่องนี้เกี่ยวข้องกับปัญหาเรื่องการใช้บอต และการหลีกเลี่ยงการเปิดเผยเรื่องนี้ที่นำไปสู่การถอนดีลเข้าซื้อมูลค่า 4.4 หมื่นล้านดอลลาร์สหรัฐของ Elon Musk

เป็นเวลาหลายปีที่ Twitter บอกกับผู้ลงทุนว่าแอ็กเคานต์ปลอมและสแปมแอ็กเคานต์มีจำนวนไม่ถึง 5% ของผู้ใช้ Twitter ที่กำลังแอ็กทีฟอยู่ แต่การเปิดเผยจาก Mudge ผ่านเอกสารบ่งชี้ว่า สถิตินี้ไม่ได้พูดถึงภาพรวมของตัวเลขแอ็กเคานต์ที่เป็นสแปมเมื่อเทียบกับตัวเลขแอ็กเคานต์ทั้งหมด แต่แค่เป็นซับเซ็ตของของแอ็กเคานต์ที่ถูกคัดเลือกมาแล้วว่ามีผลลัพธ์ทางการค้า เพื่อนำมาใช้ในการคำนวณตัวเลขโดยเฉพาะ

ยังมีการเปิดเผยข้อมูลอีกด้วยว่าในปี 2021 หัวหน้าแผนกคนหนึ่งบอกกับเขาว่า บริษัทไม่รู้ด้วยซ้ำว่ามีบอตมากมายขนาดไหนบน Twitter เท่านั้นยังไม่พอ ผู้บริหารยังไม่มีความกระตือรือร้นในการค้นหามัน เพราะพวกเขากังวลว่าการวัดปริมาณที่แม่นยำและเที่ยงตรงนี้ เมื่อนำไปเปิดเผยต่อสาธารณะจะทำลายภาพลักษณ์และก่อให้เกิดความเสียหายต่อมูลค่าของบริษัท

Mudge ยังกล่าวหาว่า ที่ Parag Agrawal ซีอีโอของ Twitter เคยทวีตในเดือนพฤษภาคมว่า บริษัทเต็มไปด้วยความกระตือรือร้นที่จะตรวจสอบและลบแอ็กเคานต์สแปมมากที่สุดเท่าที่เป็นไปได้ เป็น ‘คำโกหก’

Parag Agrawal ซีอีโอของ Twitter

ภาพ: Kevin Dietsch / Getty Images

ในข้อนี้ทาง Twitter ได้โต้กลับว่า คำกล่าวหาของ Mudge เป็นคำกล่าวหาที่ขาดบริบทรอบข้าง และไม่ใช่บอตทั้งหมดที่เป็นบอตไม่ดี กับเสริมด้วยว่าการจะนับตัวเลขปริมาณบอตใน Twitter อาจเป็นการนับจำนวนบอตที่มีการตรวจพบและกำจัดแล้ว

และทางบริษัทยังไม่เชื่อว่าจะเป็นไปได้ในการกำจัดทุกๆ แอ็กเคานต์ที่เป็นสแปมบน Twitter ซึ่งนั่นคือสาเหตุที่ทำไมมันถึงน้อยกว่า 5% แต่ไม่ได้มีการโต้กลับต่อข้อกล่าวหาว่าความตั้งใจของซีอีโอ Parag Agrawal เป็นคำโกหก

3. Twitter สามารถถูกบังคับให้ปิดระบบและถูกชัตดาวน์ถาวรได้

ปัญหานี้ต่อเนื่องจากปัญหาความปลอดภัยไซเบอร์ Mudge ระบุว่า มีความเสี่ยงสูงที่ Twitter จะถูกชัตดาวน์ เนื่องจาก 500,000 เซิร์ฟเวอร์ของ Twitter ใช้ซอฟต์แวร์ที่ไม่ได้รับการอัปเดต และระบบรักษาความปลอดภัยของบริษัทไม่ได้มาตรฐาน

เช่น การเข้ารหัสข้อมูลที่ถูกจัดเก็บ ในขณะที่เซิร์ฟเวอร์อื่นๆ ไม่ได้รับการซัพพอร์ต เพราะซอฟต์แวร์ที่ใช้นั้นเก่าไป ทำให้หากข้อมูลในระบบศูนย์กลางล้มเหลวพร้อมกันขึ้นมา การที่ Twitter ขาดขั้นตอนการกู้คืนที่ครอบคลุมจะทำให้พวกเขาเผชิญกับหายนะครั้งใหญ่ นำไปสู่การชัตดาวน์ที่อาจกินระยะเวลาเป็นแรมเดือน หรือแย่สุดคืออย่างถาวร

ในรายการการเปิดเผยของ Mudge ยังระบุอีกว่า Twitter ไม่ได้จ่ายเงินให้กับทรัพย์สินทางปัญญาที่ใช้เป็น Dataset ในการเทรน AI ซึ่งนั่นทำให้ฟีเจอร์สำคัญๆ ของ Twitter ที่เราเห็นๆ กันอยู่ทุกวันนี้ เช่น ระบบอัลกอริทึมที่ตัดสินใจว่าจะแนะนำข้อมูลข่าวสารประเภทไหน จากที่ไหน แหล่งไหน บนหน้าฟีด Twitter เป็นการดำเนินการที่ไม่ถูกต้องตามกฎหมาย

และถ้าหากบริษัทที่ให้ข้อมูลเหล่านั้นฟ้องและบังคับใช้กฎหมายขึ้นมา มันอาจนำไปสู่ความสูญเสียทางการเงินครั้งใหญ่ของ Twitter ได้ และที่แย่ไม่แพ้กันคืออาจต้องล้มเลิกการใช้ฟีเจอร์ที่เกิดขึ้นมาได้จากการใช้เซ็ตข้อมูลเหล่านี้ในการช่วยสร้าง

ในข้อกล่าวหานี้ ทาง Twitter ไม่มีการโต้ตอบแต่อย่างใด

4. Twitter มีระบบที่อ่อนแอขนาดที่ประเทศอื่นสามารถใช้ประโยชน์จากการเข้าถึงระบบที่หละหลวมได้ และซ้ำร้ายอาจมีพนักงานภายในที่รับเงินค่าจ้างในการทำหน้าที่เป็นสปายให้กับต่างชาติ

ในรายงานการเปิดเผยของ Mudge ยังได้พูดถึงความน่ากลัวของระบบที่อ่อนแอของ Twitter ที่เกี่ยวข้องกับภัยคุกคามระดับชาติ ด้วยการพูดถึงรัฐบาลต่างประเทศที่สามารถเข้าถึงข้อมูลในบริษัท Twitter ได้ หรือสามารถสร้างกำลังงัดได้จากการเข้าถึงข้อมูลเหล่านั้น ซึ่งส่งผลเสียอย่างยิ่งยวดต่อผลประโยชน์ของรัฐบาลสหรัฐฯ และความมั่นคงของชาติ

นี่ไม่ใช่แค่คำกล่าวอ้างลอยๆ เพราะในรายการบอกด้วยว่า หลังจากที่ Mudge ถูกไล่ออกจาก Twitter ต้นปีที่ผ่านมา รัฐบาลสหรัฐฯ แจ้งทาง Twitter ว่ามีพนักงาน 1 คนหรือมากกว่านั้นทำงานให้กับหน่วยข่าวกรองต่างประเทศ หรือเป็นสปายให้ต่างชาติ ซึ่งยังไม่ชัดเจนเท่าไรนักว่า Twitter ได้รับรู้เรื่องนี้หรือไม่ หรือบริษัทมีทีท่าอย่างไรต่อข้อมูลนี้ แต่สิ่งที่ต้องโฟกัสคือนี่ไม่ใช่ครั้งแรก เพราะในปี 2019 คณะลูกขุนตัดสินคดีอดีตพนักงาน Twitter เป็นสปายให้กับซาอุดีอาระเบียมาก่อนหน้านี้แล้ว

การเปิดเผยยังสาวไปถึง Parag Agrawal ซีอีโอของ Twitter ขณะที่เป็นหัวหน้าฝ่ายเทคโนโลยี และก่อนหน้าที่รัสเซียจะบุกยูเครนว่า ตัวเขาได้เจรจากับทางรัสเซีย ด้วยข้อเสนอจะมอบข้อผ่อนปรนทางด้านการเซ็นเซอร์และการสอดส่องดูแลแพลตฟอร์ม เพื่อแลกกับการที่บริษัทจะเติบโตขึ้นในประเทศนี้

โดย Mudge ระบุอย่างตรงไปตรงมาว่า ซีอีโอ Twitter ไปข้องเกี่ยวกับ Vladimir Putin ก็เพราะความกังวลในเรื่องที่ Twitter เป็นภัยต่อความมั่นคงของสหรัฐฯ

ทั้งยังกล่าวด้วยว่า Twitter รับเงินจากจีนและมีการแชร์ข้อมูลกันเกิดขึ้น แลกกับการที่ช่วยระบุตัวผู้ใช้ชาวจีนที่ลักลอบผ่านระบบเซ็นเซอร์ของทางการจีนเข้ามาใช้แอ็กเคานต์ Twitter ซึ่งทางผู้บริหารรู้ดีถึงความเสี่ยง แต่ก็เชื่อว่าบริษัทจำเป็นต้องพึ่งพาเม็ดเงินเกินกว่าจะที่เลิกทำแบบนี้ได้

Mudge ยังกล่าวต่อไปว่า ไม่เพียงรัสเซียและจีน แต่อินเดียก็มีส่วนเกี่ยวข้องด้วยเช่นกัน ในการบังคับให้ Twitter จ้างเจ้าหน้าที่รัฐบาลที่สามารถเข้าถึงระบบภายในของ Twitter ได้ และยังขาดการเปิดเผยความจริงที่โปร่งใสเที่ยงตรงในรายงานอีกด้วย ซึ่งผู้เชี่ยวชาญด้านสิทธิพลเมืองได้ออกมาพูดว่า อินเดียได้เพิ่มปริมาณเจ้าหน้าที่ด้านดิจิทัลในช่วงการระบาดของโควิดที่ผ่านมา

ข้อกล่าวหานี้ Twitter ก็ไม่ออกมาตอบโต้อีกเช่นกัน

5. Twitter ละเมิดข้อตกลงหลายข้อกับทาง FTC

Mudge ระบุในรายงานการเปิดเผยว่า การละเมิดกฎหมายรัฐบาลกลางนี้ทั้ง ‘ต่อเนื่อง ซ้ำแล้วซ้ำอีก และเป็นการกระทำที่ไม่หยุดไม่หย่อน’ เขากล่าวว่าทาง Twitter จงใจสร้างความเข้าใจผิดต่อหน่วยงายควบคุมดูแลเกี่ยวกับการจัดการข้อมูลผู้ใช้ และในเรื่องที่บริษัทไม่ทำตามข้อตกลงบังคับใช้ปี 2011 กับทาง FTC ในการปกป้องข้อมูลส่วนตัวของผู้ใช้

และเมื่อถูกถามถึงการลบข้อมูลและแอ็กเคานต์ของผู้ยกเลิกการใช้งานบัญชี พวกเขาบอกกับทาง FTC ว่าได้ Deactivate แอ็กเคานต์แล้ว แต่ไม่ได้ชี้แจงว่าข้อมูลยังไม่ได้ถูกลบเนื่องมาจากการไม่สามารถติดตามข้อมูลและจำนวนข้อมูลเหล่านั้นได้ รวมไปถึงการก่อให้เกิดความเข้าใจผิดเรื่องที่บริษัทละเมิดทรัพย์สินทางปัญญาด้วยเช่นกัน

รายงานของ Mudge ยังเผยอีกด้วยว่า ทั้งอีเมลและเบอร์โทรศัพท์ถูกนำไปใช้อย่างไม่ถูกต้องเพื่อจุดประสงค์ในการโฆษณา แม้ว่าก่อนหน้านี้ในปี 2020 ทาง Twitter กับ FTC เคยตกลงเจรจาข้อตกลงเพื่อแก้ไขปัญหาการนำข้อมูลเหล่านั้นอย่างไม่ถูกไม่ควรเกิดขึ้นแล้วก็ตาม และอันที่จริงในช่วงที่ Mudge เข้ามาทำงานกับทาง Twitter ผู้ใต้บังคับบัญชาของเขาบอกกับเขาว่า Twitter ไม่เคยยอมทำตามข้อตกลงกับทาง FTC ที่สร้างขึ้นในปี 2011 เลย

ในข้อนี้ตัวแทของ Twitter ที่ตำแหน่งคล้ายคลึงกับตำแหน่งในอดีตของ Mudge แย้งว่า ในรายงานการปฏิบัติตามของ Twitter กับ FTC มีความชัดเจนในตัวมันเอง ด้วยการว่าจ้างบุคคลที่สามมาตรวจสอบบัญชี ภายใต้การยอมรับของข้อตกลงปี 2011 ที่ตัวของ Mudge ไม่ได้มีส่วนเกี่ยวข้องด้วย และยันยืนยันว่า บางบริษัทปฏิบัติตามกฎข้อบังคับเกี่ยวกับความเป็นส่วนตัวและความโปร่งใสต่อหน่วยงานบังคับดูแลในการกำจัดปัญหาในระบบ

และยังกล่าวด้วยว่า Mudge ล้มเหลวในการเข้าใจระบบและขั้นตอนการทำงานของ Twitter และความเข้าใจผิดทำให้เขาตัดสินใจมากล่าวอ้างลอยๆ อย่างไม่ถูกต้องเช่นนี้

“ผมรู้จัก Mudge ตั้งแต่วันของเขาที่ Cult of the Dead Cow (กลุ่มแฮกเกอร์ที่ Mudge เคยเป็นตัวตั้งตัวตี) ตอนที่ผมทำงานที่ Microsoft เขาและทีม Stake ช่วยกันพัฒนาระบบและกลยุทธ์รักษาความปลอดภัย รวมไปถึงการทำงานของเขากับกระทรวงกลาโหมเองก็ยังเป็นไปอย่างโปร่งใสเที่ยงตรงสูงสุด และยึดมั่นอยู่กับมาตรฐานทางเทคนิคในการพัฒนาระบบเสมอ ถ้า Mudge บอกว่า Twitter มีปัญหาด้านความมั่นคงไซเบอร์ Twitter ก็กำลังมีปัญหาใหญ่แล้วล่ะ” Aaron Turner เพื่อนของ Mudge ที่เป็นผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์กล่าว

อ้างอิง: