ข้อมูลหลุดเกิดจากอะไร ? ฟ้องได้หรือไม่ ใครรับผิดชอบ !

ในโลกยุคดิจิทัล ทุกอย่างสามารถทำได้บนโลกออนไลน์ ข้อมูลส่วนบุคคล ข้อมูลการทำธุรกรรม ถูกบันทึกไว้ในรูปแบบอิเล็กทรอนิกส์ เราต่างไว้วางใจว่าหน่วยงานรัฐ เอกชน องค์กรใหญ่ จะปกป้องความเป็นส่วนตัวของเราได้เป็นอย่างดี แต่เหตุการณ์ข้อมูลหลุดที่ผ่านมาหลายครั้งก็ได้ทำลายความไว้วางใจเหล่านั้นลงไปแล้ว

เช่น กรณีศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) หรือ TSD ที่มีข้อมูลบัญชีหลักทรัพย์หลุดออกไปกว่า 200,000 ราย หรือฐานข้อมูลกรมการขนส่งทางบกที่มีภาพถ่าย ใบขับขี่ และข้อมูลบัตรประชาชนหลุดออกมา ไม่เว้นแม้แต่ระดับผู้นำประเทศอย่างนายกรัฐมนตรีก็ยังหลุดออกไปด้วยเช่นเดียวกัน

เหตุการณ์เหล่านี้คือตัวอย่างวิกฤตความมั่นคงส่วนบุคคลที่กำลังส่งผลกระทบเป็นวงกว้างมากขึ้น ซึ่งถ้าหน่วยงานต่าง ๆ ยังหาทางแก้ไขไม่ได้ ป้องกันระบบให้ปลอดภัยไม่ได้ ประชาชนอย่างเรา ๆ ก็คงต้องหาทางรับมือข้อมูลหลุดกันเองล่วงหน้า ลดปัญหาที่อาจตามมาในระยะยาว

ข้อมูลหลุดคือวิกฤตความมั่นคงที่กำลังส่งผลกระทบในวงกว้าง

ข้อมูลหลุดออกไปได้อย่างไร?

ที่ผ่านมาข้อมูลที่หลุดออกไปล้วนแล้วแต่ส่งผลกระทบต่อประชาชนอย่างเรา ๆ โดยตรง ไม่ว่าจะเป็น ข้อมูลพื้นฐานอย่างชื่อ-นามสกุล, เลขประจำตัวประชาชน 13 หลัก, ที่อยู่ตามทะเบียนบ้าน, วันเดือนปีเกิด, หมายเลขโทรศัพท์ ไปจนถึงประวัติการขับขี่ ภาพถ่ายใบขับขี่ ข้อมูลสุขภาพจากโรงพยาบาล ซึ่งล้วนแล้วแต่เป็นข้อมูลที่มีความอ่อนไหวสูงแทบทั้งสิ้น โดยสาเหตุหลักของการรั่วไหลก็แตกต่างกันออก

ช่องโหว่ของระบบเปิดทางให้เกิดการโจรกรรมข้อมูล

ช่องโหว่ของระบบ API (Application Programming Interface) การเชื่อมโยงฐานข้อมูลกับหน่วยงานอื่น ๆ จำเป็นที่จะต้องใช้ API เป็นสะพานเชื่อมเข้าหากัน หากออกแบบไม่รัดกุม หรือเปิดให้บุคคลภายนอกโดยไม่ควบคุมการเข้าถึง มิจฉาชีพจะใช้ช่องทางนี้ดึงข้อมูลออกไปทันที
มาตรฐานความปลอดภัยของ Outsource รัฐไม่ได้พัฒนาแอปพลิเคชันหรือระบบฐานข้อมูลเอง แต่จัดซื้อจัดจ้างเอกชน และเอกชนอาจจ้างต่อเป็นทอด ๆ ทำให้ควบคุมมาตรฐานความปลอดภัยทางไซเบอร์ได้ยาก ขาดการตรวจสอบจริงจัง
ความประมาทเลินเล่อของผู้ดูแลระบบ ผู้เชี่ยวชาญได้ให้ข้อมูลตรงกันว่า หลายครั้งเกิดจากความประมาทของผู้ดูแลระบบ เช่น ใช้รหัสผ่านที่คาดเดาง่าย จนรหัสผ่านหลุดไปสู่บุคคลภายนอก ถูกนำไปใช้ในการเข้าถึงข้อมูลในส่วนอื่น ๆ

อันตรายจากข้อมูลหลุด

เมื่อข้อมูลหลุดออกไปจากต้นทาง มักจะถูกนำไปซื้อขายใน Dark Web ระบบในตลาดมืดมีความซับซ้อนสูง ใช้การสวมรอย IP Address วนไปหลายประเทศทั่วโลก และทำธุรกรรมผ่านช่องทางที่ตามรอยได้ยาก แม้เจ้าหน้าที่รัฐจะสั่งบล็อก IP ในประเทศ แต่แฮกเกอร์และผู้ซื้อก็สามารถใช้ระบบ VPN หลบเลี่ยงเพื่อเข้าถึงข้อมูลได้อยู่ดี

มิจฉาชีพจะใช้ข้อมูลหลุดมาเป็นสารตั้งต้นในการหลอกลวง

เมื่อข้อมูลส่วนตัวของเราถูกซื้อไปโดยมิจฉาชีพแล้ว มิจฉาชีพจะใช้ข้อมูลของเรามาเป็นสารตั้งต้นในการโทรศัพท์มาหาเรา พูดจาหว่านล้อมพร้อมข้อมูลที่ถูกต้องแม่นยำ ไม่ว่าจะเป็น ชื่อ-นามสกุล เลขบัตรประชาชน หรือประวัติการทำธุรกรรม จนเราหลงเชื่อว่าสายที่โทรมาคือเจ้าหน้าที่จากหน่วยงานรัฐจริง ๆ หลังจากนั้นมิจฉาชีพจะใช้วิธีกดดัน ข่มขู่ หรือสร้างเรื่องราวให้เราตื่นตระหนก เพื่อให้เรายอมโอนเงิน ยอมเปิดเผยรหัสผ่าน หรือยอมดาวน์โหลดแอปพลิเคชันเพื่อดูดเงิน

ข้อมูลหลุด และมาตรฐานความปลอดภัยไซเบอร์ของภาครัฐ

สำหรับหน่วยงานรัฐ ข้อมูลส่วนบุคคลมักถูกมองข้ามคุณค่า เช่น ในสมัยก่อนการเก็บข้อมูลในรูปแบบเอกสารมักถูกกองรวมกันทิ้งไว้ หรือเก็บไว้ในตู้ที่อาจไม่ได้มีระบบรักษาความปลอดภัยแน่นหนา เฉกเช่นเดียวกันกับในปัจจุบัน เรายังคงขาดความตระหนักรู้และไม่ได้จัดสรรทรัพยากรหรือบุคลากรเชี่ยวชาญมาดูแลอย่างจริงจัง

มาตรฐานการดูแลข้อมูลส่วนบุคคลยังคงมีปัญหา

ทั้งที่ในความเป็นจริง ประเทศไทยมีมาตรฐานการดูแลข้อมูลส่วนบุคคลจาก สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) และสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) อยู่แล้ว ปัญหาจึงอยู่ที่การไม่ได้นำไปปฏิบัติจริงอย่างเข้มงวด ไม่ได้มีการบังคับใช้อย่างเป็นทางการเสียมากกว่า

เฉกเช่นเดียวกันกับ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือที่เรารู้จักในชื่อ PDPA ที่หลายคนหวังว่ากฎหมายนี้จะหยุดยั้งปัญหาได้ แต่กฎหมายเป็นเพียงส่วนหนึ่ง ประสิทธิภาพขึ้นอยู่กับการบังคับใช้ เพราะใน พ.ร.บ. ก็มีการระบุไว้อย่างชัดเจนว่า หากหน่วยงานละเลยไม่มีมาตรการรักษาความปลอดภัยที่ดีจนข้อมูลรั่วไหล กฎหมายมีบทลงโทษถึงขั้นจำคุกกรรมการหรือผู้มีอำนาจสูงสุดขององค์กร

ข้อมูลหลุด ต้องทำอย่างไร ?

เมื่อไม่อาจไว้วางระบบความปลอดภัยทางไซเบอร์ที่เรามี ข้อมูลที่หลุดไปอาจตกอยู่ในมือผู้ไม่หวังดี สิ่งสำคัญที่สุดคือการสร้างภูมิคุ้มกันตนเอง จะได้หาทางป้องกันภัยจากมิจฉาชีพที่อาจตามมาได้ทุกเมื่อ โดยเฉพาะผู้สูงอายุหรือคนที่อยู่บ้านคนเดียวจะตกเป็นเหยื่อได้ง่ายที่สุด

เปลี่ยนวิธีคิดเมื่อมีสายแปลกโทรเข้ามา ขอให้เราตระหนักไว้ก่อนว่า ชื่อ ที่อยู่ เลขบัตรประชาชน และเบอร์โทรอาจอยู่ในมือมิจฉาชีพ ข้อมูลได้หลุดไปแล้ว เราและคนรอบข้างอาจตกเป็นเหยื่อได้เสมอ หากมีใครโทรมาและพูดข้อมูลถูกต้อง ห้ามปักใจเชื่อว่าเป็นเจ้าหน้าที่รัฐตัวจริงโดยเด็ดขาด เจ้าหน้าที่รัฐจะไม่ติดต่อให้ทำธุรกรรมทางการเงินหรือขอข้อมูลส่วนตัวทางโทรศัพท์ใด ๆ ทั้งสิ้น การติดต่อของเจ้าหน้าที่รัฐจะใช้หนังสือราชการในการนัดหมาย เราสามารถขอเอกสารอย่างเป็นทางการเพื่อยืนยันตัวตน หรือแจ้งว่าจะเดินทางไปติดต่อที่หน่วยงานด้วยตัวเองแบบเจอหน้าเท่านั้น

การเปลี่ยนรหัสผ่านเป็นประจำช่วยแก้ปัญหาข้อมูลหลุด

เปลี่ยนรหัสผ่าน สิ่งที่ทำได้ทันทีและเป็นการป้องกันตัวที่ดีคือการเปลี่ยนรหัสผ่านเป็นประจำ แนะนำว่าห้ามใช้เลขท้ายบัตรประจำตัวประชาชน วันเดือนปีเกิด หรือเบอร์โทรศัพท์ ตั้งเป็นรหัสผ่านโดยเด็ดขาด เพราะตัวเลขเหล่านี้เป็นสิ่งแรกที่มิจฉาชีพจะนำไปสุ่ม ขอให้ตั้งรหัสผ่านที่เดายาก ซับซ้อน และหลีกเลี่ยงการใช้รหัสผ่านเดียวกันในทุกบัญชี
ตรวจสอบระบบยืนยันตัวตนกับสถาบันการเงิน ธนาคารมีมาตรการยืนยันตัวตนเชิงลึกกว่าข้อมูลหน้าบัตร เช่น OTP, สแกนใบหน้า หรือคำถามส่วนตัว อย่างไรก็ตามเพื่อความปลอดภัยที่มากขึ้น ควรเปิดใช้งานระบบยืนยันตัวตนสองชั้น (Two-Factor Authentication: 2FA) ในทุกแอปพลิเคชันที่ทำได้
คัดกรองและจำกัดข้อมูล เพิ่มความรอบคอบในการลงทะเบียนให้มากขึ้นกว่าเดิม เลือกกรอกเฉพาะข้อมูลที่จำเป็นต้องใช้จริง ๆ ในการลงทะเบียน หากต้องกรอกข้อมูลให้เว็บไซต์หรือบริการทั่วไปที่ไม่มั่นใจเรื่องความปลอดภัย ให้ใช้เบอร์หรืออีเมลสำรองที่ไม่เกี่ยวกับบัญชีการเงินหลัก

ข้อมูลหลุด ฟ้องได้หรือไม่ ? ใครรับผิดชอบ ?

เมื่อความเสียหายเกิดขึ้น ย่อมเกิดความกังวลตามมาว่าใครคือผู้รับผิดชอบ เพราะตัวเราเองก็ไม่ได้เป็นคนทำข้อมูลหลุด ในจุดนี้ประชาชนสามารถเรียกร้องความยุติธรรม ฟ้องร้องได้ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการยื่นเรื่องร้องเรียนรายบุคคล ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หลังจากนั้นจะมีการสืบสวนและดำเนินคดีทางปกครองกับองค์กรที่ทำข้อมูลรั่วไหลให้เป็นผู้รับผิดชอบ ซึ่งอาจนำไปสู่โทษปรับในท้ายที่สุด

นอกจากนี้ยังมีการฟ้องร้องแบบกลุ่ม เป็นการรวมตัวกันของผู้เสียหายเพื่อฟ้องคดีแพ่งในลักษณะ "คดีผู้บริโภคแบบกลุ่ม" เพื่อเรียกค่าเสียหายจริงและค่าเสียหายเชิงลงโทษ หากพบว่าองค์กรประมาทเลินเล่ออย่างร้ายแรง และยังมีการฟ้องคดีอาญาและคดีแพ่งสามัญ เป็นการฟ้องดำเนินคดีต่อผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูล และกรรมการผู้มีอำนาจ หากพิสูจน์ได้ว่าละเลยไม่ปฏิบัติตามกฎหมายจนเกิดความเสียหายอย่างเป็นรูปธรรม แต่ถึงอย่างไรก็ตามแม้ว่าจะฟ้องเรียกร้องค่าเสียหายได้ แต่เชื่อว่าคงไม่มีใครอยากให้ความเสียหายเกิดขึ้นเสียมากว่า

แม้จะฟ้องร้องได้ แต่ไม่มีใครอยากให้ความเสียหายเกิดขึ้น

เหตุการณ์ข้อมูลหลุดที่เกิดขึ้นได้บอกกับเราว่าในโลกดิจิทัลไม่มีระบบใดปลอดภัย 100 % ความประมาทกลายเป็นการติดอาวุธให้กับภัยสแกมเมอร์ ประชาชนต้องกลายเป็นด่านแรกในการปกป้องตนเอง หวังว่าเหตุการณ์นี้ในครั้งนี้ ที่แม้แต่ข้อมูลของผู้นำประเทศก็หลุดออกมา จะเป็นสัญญาณเตือนภัยครั้งสำคัญให้ภาครัฐและผู้มีส่วนเกี่ยวข้องตระหนักว่าการปกป้องข้อมูลไม่ใช่แค่ทำเอกสารตาม PDPA เพื่อเลี่ยงความผิด แต่ต้องตรวจสอบและอัปเดตระบบความปลอดภัยไซเบอร์ให้ได้มาตรฐานสากลอย่างต่อเนื่อง

อ่านเนื้อหาที่เกี่ยวข้องเพิ่มเติม

อ้างอิงข้อมูล

ข้อมูลหลุด ตั้งตัวรับมืออย่างไร ถึงจะปลอดภัยจากมิจฉาชีพ | พ.ต.ท.วสุเทพ ใจอินทร์ รองผู้กำกับการสายตรวจ กองบังคับการสายตรวจและปฏิบัติการพิเศษ
ล่ามือปล่อยข้อมูล "นายกฯ" จับตา "อุดช่องโหว่" ปกป้องประชาชน | ตอบโจทย์
ถอดบทเรียนข้อมูลประชาชนรั่วไหล ใครรับผิดชอบ? | รู้ทันกันได้