ผู้เชี่ยวชาญซอฟต์แวร์ จวกรัฐบาลโฟกัสผิดจุด กรณีข้อมูลรั่วไหล จี้เอาผิดผู้ควบคุม-เจ้าของระบบตามกฎหมาย PDPA

6 สิงหาคม 2569 - นายธนารัตน์ กัววัฒนาพันธ์ CEO ของ DomeCloud ผู้เชี่ยวชาญด้านซอฟต์แวร์และเทคโนโลยี โพสต์ข้อความผ่านเฟซบุ๊กกรณีข้อมูลส่วนบุคคลรั่ว ว่า จากกรณีที่คุณภราดร ปริศนานันทกุล ออกมาแถลง โดยมีใจความว่า ไม่ได้ถูกแฮ็ก แต่รหัสผ่านหน่วยงานรัฐรั่วไหล ผมมีความเห็นในเชิงบวกนะครับ ขอบคุณที่ออกมายอมรับตรงๆ เลยว่า รหัสผ่านภาครัฐรั่วจริง

สิ่งที่น่ากลัวกว่า “ข้อมูลรั่ว” คือ “รหัสผ่านรั่ว” - สกมช. https://www.ncsa.or.th/news/ef52761b3134335a7900000b

ทีแรกผมก็กังวลอยู่เลยว่าต้องไปชี้แจงหากโดนฟ้อง ข้อหานำเข้าข้อมูลเท็จ อุตส่าห์เก็บหลักฐานไว้ซะละเอียด พยายามเก็บหลักฐานให้เห็น URL ชัดเจนว่าอยู่ภายใต้การครอบครองของสำนักทะเบียน กรมการปกครอง กระทรวงมหาดไทย เผื่อได้ใช้ยืนยันว่ารั่วจากเว็บภาครัฐจริง

ก็ไม่คิดว่าท่านภราดรจะเอื้อเฟื้อกันขนาดนี้ ถึงขั้นออกมาช่วยผมยืนยันว่ารั่วจริง โดยผมรวบรวมประเด็นจากแถลงว่ารัฐบาลรับข้อเท็จจริงเบื้องต้นแล้วว่า
1. รหัสผ่านของเจ้าหน้าที่รั่ว
2. บุคคลภายนอกนำรหัสนั้นเข้าใช้ระบบได้
3. ระบบยอมรับการล็อกอินโดยไม่มีปัจจัยยืนยันเพิ่มเติม
4. ระบบไม่สามารถหยุดหรือแจ้งเตือนพฤติกรรมการค้นจำนวนผิดปกติได้ทันที
5. ผู้ใช้สามารถเข้าถึงข้อมูลประชาชนเกินกว่าที่ควรจำเป็นต่อภารกิจ

โอ้โห เป็นการแถลงที่เป็นประโยชน์ต่อการดำเนินคดีกับผู้ควบคุมข้อมูลส่วนบุคคลเป็นอย่างมากเลยครับ

หลังจากนี้ผมว่าโฆษกมหาดไทยต้องรับลูกต่อ ออกมาชี้แจงคำถามเหล่านี้ครับ
1. เหตุใดไม่มี MFA
2. มีการตรวจสอบ credential leak หรือไม่
3. มีการบังคับเปลี่ยนรหัสและเพิกถอน session หรือไม่
4. มี rate limit และ anomaly detection หรือไม่
5. จำกัดสิทธิ์ตามหน่วยงานและวัตถุประสงค์หรือไม่
6. มี log ที่ระบุตัวผู้ค้นและรายการที่ถูกเปิดดูครบถ้วนหรือไม่
7. หลังพบเหตุได้แจ้ง PDPC ภายใน 72 ชั่วโมงหรือไม่

แต่สิ่งหนึ่งที่ผมอยากตำหนิคือ ท่าทีของรัฐบาลที่โฟกัสผิดจุด มาตรา 37(1) ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล กำหนดหน้าที่ให้ผู้ควบคุมข้อมูลต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการเข้าถึง ใช้ เปลี่ยนแปลง หรือเปิดเผยข้อมูลโดยไม่มีอำนาจ ตัวบทไม่ได้กำหนดว่าต้องรอให้บุคคลถูกโกง เสียเงิน หรือถูกสวมรอยก่อนจึงจะเป็นการฝ่าฝืน

เมื่อเกิดเหตุละเมิด ผู้ควบคุมข้อมูลยังต้องแจ้ง สคส. ภายใน 72 ชั่วโมง เว้นแต่เหตุไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ และถ้าเป็นความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า

การไม่ปฏิบัติตามมาตรา 37 มีโทษปรับทางปกครองไม่เกิน 3 ล้านบาท ตามมาตรา 83 ส่วนกรณีข้อมูลอ่อนไหวตามมาตรา 26 อาจเข้าโทษในบทอื่นที่มีเพดานสูงกว่า ทั้งนี้ต้องพิจารณาพฤติการณ์และฐานความผิดเป็นรายกรณี ไม่ใช่นำเพดานค่าปรับไปคูณจำนวนเจ้าของข้อมูลโดยอัตโนมัติ

กฎหมายเขียนชัดเจน ผู้ควบคุมข้อมูลส่วนบุคคล มีความผิด แต่แถลงตอนนี้เอาแต่พุ่งเป้าไปที่ผู้โจมตีอย่างเดียว หรือท่านลืมไปเสียสนิท ว่าต้องเอาผิดเจ้าของระบบด้วย?

สุดท้ายนี้ ผมอยากฝากกรณีศึกษาของการบังคับใช้กฎหมายฝั่งยุโรป ซึ่งเรียกว่า GDPR อันเป็นต้นแบบของกฎหมาย PDPA บ้านเรา

1. คดี Citrix Remote Access ของ British Airways ประเทศอังกฤษ
https://ico.org.uk/.../2618421/ba-penalty-20201016.pdf
ถูกสั่งปรับ 20 ล้านปอนด์ ก็ประมาณ 890 ล้านบาท

เคสนี้ผู้โจมตีใช้บัญชีและรหัสผ่านของบุคคลภายนอกที่ถูกขโมยเหมือนกรณีบ้านเราเลย เอามาเข้าระบบ Citrix Remote Access ของ British Airways โดยระบบนี้ไม่มีการยืนยันตัวแบบหลายปัจจัย (MFA)

สำนักงานคุ้มครองข้อมูลส่วนบุคคลของอังกฤษ เห็นว่า MFA, การจำกัด IP หรือ VPN ที่ผูกกับแหล่งเชื่อมต่อ เป็นเทคนิคพื้นฐาน ที่ใช้ป้องกันผู้โจมตีไม่ให้ใช้รหัสผ่านที่รั่วไหลเข้าระบบได้ แต่ British Airways กลับไม่ได้วางมาตรการเหล่านี้เอาไว้ จึงถือว่าบกพร่อง

เคสนี้ไม่มีรายงานด้วยซ้ำว่ามีผู้ร้องเรียนกี่ราย แต่ข้อมูลลูกค้าที่ได้รับผลกระทบคือ 429,612 ราย ก็เลยถูกลงโทษฐานไม่มีมาตรการรักษาความปลอดภัยที่เหมาะสม ไม่ได้ลงโทษเพราะการกระทำของอาชญากร และไม่รับข้อโต้แย้งว่าความเสียหายหรือความร้ายแรงมีน้อยเพราะผู้ได้รับผลกระทบมีเพียงหลักแสน ไม่ถึงหลักล้าน

2. คดี 23andMe ประเทศอังกฤษ
https://www.enforcementtracker.com/ETid-2656
ถูกสั่งปรับ 2.31 ล้านปอนด์ เป็นเงินไทยประมาณ 100 ล้านบาท
ผู้โจมตีใช้เทคนิค credential stuffing คือนำชื่อผู้ใช้และรหัสผ่านที่รั่วจากระบบอื่น มาลองล็อกอินกับ 23andMe ไม่ได้เริ่มจากการขโมยรหัสผ่าน 23andMe ด้วยซ้ำ

ปรากฎว่า มีผู้ร้องต่อหน่วยงานกำกับ เป็นจำนวนมหาศาล... 11 ราย (สิบเอ็ดรายถ้วน) จากผู้ถูกเข้าถึงข้อมูลกว่า 155,000 ราย เพราะแม้รหัสผ่านจะรั่วจากแหล่งอื่น ผู้ให้บริการก็ยังมีหน้าที่ป้องกันด้วย MFA การตรวจจับความผิดปกติ และมาตรการจำกัดการเข้าถึง ทั้งที่ระบบมีการยืนยันตัวแบบหลายปัจจัยแล้ว แต่ไม่ได้บังคับผู้ใช้ทุกคนเปิดใช้งาน (คิดเป็น 78.3% จากลูกค้าทั้งหมด 495,000 ราย) ทางรัฐบาลอังกฤษก็ถือว่าเป็นความบกพร่องอยู่ดี

3. คดี Advanced Computer Software ประเทศอังกฤษ
https://ico.org.uk/.../advanced-penalty-notice-20250327.pdf
ถูกสั่งปรับ 3 ล้านปอนด์ เป็นเงินไทยประมาณ 130 ล้านบาท

ระบบบริการสุขภาพติดไวรัส กระทบฐานข้อมูล 79,404 คน ไม่มีคำร้องเรียนจากเจ้าของข้อมูลเลยสักราย แต่ก็พิจารณาความเสียหายที่อาจเกิดขึ้น จากความอ่อนไหวของข้อมูล (มี 41,196 ราย ที่มีข้อมูลสุขภาพซึ่งนับเป็นข้อมูลอ่อนไหว) และผลรวมจากการทำให้คนจำนวนมากตกอยู่ในความเสี่ยง

เคสนี้ไม่มีคนร้องเรียนซักกะคน ตกอยู่ในความเสี่ยง 79,404 คน น้อยกว่ากรณีบ้านเรามาก แต่ก็ยังโดนปรับกว่า 3 ล้านปอนด์อยู่ดี

ส่วนประเทศไทย... สุดจะคาดเดา เอ้ะ หรือจริงๆ เราก็เดากันได้นะ อิอิ