แฉ 4 ข้อปมข้อมูลรั่ว รัฐบาลเล่นลิ้น พลิกบทจากผู้ควบคุมที่บกพร่อง เป็นผู้เสียหายขู่ฟ้องคนเอาความจริงมาพูด

6 สิงหาคม 2569 - นายณัฐ เหลืองนฤมิตชัย ผู้ช่วยผู้จัดการ หัวหน้ากลุ่มงานพัฒนาระบบงานเทคโนโลยีสารสนเทศ ตลาดหลักทรัพย์แห่งประเทศไทย (SET) และหนึ่งในทีมที่ปรึกษาของ นางศุภจี สุธรรมพันธุ์ รองนายกรัฐมนตรี และรัฐมนตรีว่าการกระทรวงพาณิชย์ โพสต์ข้อความผ่านเฟซบุ๊ก Nat Luengnaruemitchai แสดงความคิดเห็นต่อกรณีข้อมูลส่วนบุคคลรั่วไหลว่า เคยมีผู้ใหญ่ท่านหนึ่งเล่าให้ฟังเมื่อ 6-7 ปีก่อนว่า เคยมีการสำรวจคร่าวๆ พบว่ามีเจ้าหน้าที่ของทางราชการมี access เข้าถึงระบบข้อมูลทะเบียนราษฎร์มากถึงกว่า 100,000 คน ตอนแรกผมฟัง ผมนึกว่า มีคนหนึ่งคนเข้าถึงได้ 100,000 คน ผมทักถามซ้ำ ท่านบอกไม่ใช่ มีข้าราชการกว่า 100,000 คนที่เข้าถึงข้อมูลคนไทยได้ทั้งประเทศครับ

ผมก็แอบคิดว่าไม่จริงมั้ง แต่ในที่สุด พอได้เจอกับตา ก็คิดว่าไม่เกินเลย อาจจะน้อยไปเสียด้วยซ้ำ มีหน่วยงานที่เข้าถึงข้อมูลส่วนบุคคลได้เยอะมากจริงๆ และแทบไม่มีมาตรฐานความปลอดภัยเลย

ผมเพิ่งได้มีเกียรติได้รู้จักคุณเอิร์ธ ธนารัตน์ กัววัฒนาพันธ์ เมื่อไม่นานมานี้ จากเคสที่มีข้อมูลของระบบประกันสังคมหลุด แล้วผมก็มีชีวิตเหมือนติดลูปตั้งแต่นั้นเป็นต้นมา เพราะเจอเหตุการซ้ำแล้วซ้ำเล่า และวิธีการทำงานของรัฐก็เหมือนเดิม ลูปที่ว่านี้มีแพตเทิร์นที่นักการเมืองและข้าราชการน่าจะท่องจำได้ขึ้นใจ

ขั้นตอนที่ 1: การค้นพบและแจ้งเตือน

เมื่อมีภาคเอกชน นักวิจัย หรือ Whistleblower เจอปัญหา ไม่ว่าจะไปเจอ Credentials ของข้าราชการหลุดอยู่ใน Dark Web นับแสนรายการ หรือเจอ API หน้าบ้านที่ไม่มีการจำกัดสิทธิ์ (Access Control) พยายามสะกิดบอกด้วยความหวังดีว่า "ระบบคุณมีช่องโหว่นะ รหัสผ่านหลุด หรือไม่มี MFA"

ขั้นตอนที่ 2: ปฏิเสธไว้ก่อน แล้วเล่นคำ

แทนที่รัฐจะรีบ Containment หรือจำกัดวงความเสียหาย สิ่งแรกที่หน่วยงานรัฐจะทำคือการออกแถลงการณ์ด้วยภาษาทางกฎหมายที่ลักไก่สุดๆ ว่า "ฐานข้อมูลหลัก (Core Database) ไม่ได้โดนแฮ็ก" เพื่อให้ประชาชนที่ไม่เข้าใจเทคนิคสบายใจ ทั้งที่ในความเป็นจริง การที่บุคคลภายนอกเอา Credentials ที่หลุดไปไขเข้า "ระบบลูก" หรือ "API เชื่อมต่อ" แล้วดึงภาพบัตรประชาชนและข้อมูลอัตลักษณ์ออกไปได้ ผลลัพธ์มันเท่ากับ Data Exfiltration 100% ไม่ต่างจากการโดนเจาะระบบเลยสักนิด

ขั้นตอนที่ 3: Shooting the Messenger

เมื่อโต้แย้งทางเทคนิคไม่ได้ รัฐจะเปลี่ยนบทบาทจาก "ผู้ควบคุมข้อมูลที่บกพร่อง" ไปเป็น "ผู้เสียหาย" ทันที แล้วชู พ.ร.บ. คอมพิวเตอร์ฯ มาตรา 14 ขึ้นมาขู่ฟ้องคนที่เอาความจริงมาพูด ข้อหาทำลายความมั่นคง นำเข้าข้อมูลเท็จ หรือทำให้ประชาชนตื่นตระหนก เพื่อสร้าง Chilling Effect ปิดปากไม่ให้ใครกล้าออกมาพูดอีก

ขั้นตอนที่ 4: แถลงการณ์ที่มัดตัวเอง

สุดท้าย พอเรื่องดังจนโฆษกหรือผู้ใหญ่ต้องออกมาตั้งโต๊ะแถลง ก็มักจะหลุดพูดเองว่า "ไม่ได้โดนแฮ็ก แต่รหัสผ่านหลุด" ซึ่งในมุมของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) มาตรา 37 นี่คือการประจานความบกพร่องของตัวเองกลางอ่าวว่า ระบบของคุณไม่มี Multi-Factor Authentication (MFA), ไม่มี Rate Limit, ไม่มี Anomaly Detection และไม่มีแม้กระทั่งการทำ Data Minimization ปล่อยให้คนถือรหัสผ่านตัวเดียวเดินเข้าไปตักข้อมูลประชาชนออกไปเท่าไหร่ก็ได้

สิ่งที่น่าเศร้าคือ กฎหมายอย่าง PDPA ของเราเขียนไว้ชัดเจนว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" ต้องรับผิดชอบหากไม่มีมาตรการรักษาความปลอดภัยที่เหมาะสม ไม่ต้องรอให้ประชาชนโดนโกงเงินจนหมดตัวก่อนถึงจะถือว่ามีความผิด และในต่างประเทศอย่างสหภาพยุโรป

คดีแบบนี้เคสอย่าง British Airways หรือ 23andMe แค่รหัสผ่านหลุดแล้วไม่มี MFA ป้องกัน หน่วยงานกำกับดูแล (ICO) สั่งปรับเงินเป็นร้อยเป็นพันล้านบาททันที โดยไม่ต้องรอให้มีผู้เสียหายฟ้องแม้แต่คนเดียว

แต่สำหรับประเทศไทย... ลูปนี้ก็ยังคงหมุนต่อไป ข้อมูลประชาชนหลุด ข้าราชการบอกระบบหลักปลอดภัย รัฐขู่ฟ้องคนแจ้ง แล้วเรื่องก็เงียบหายไป โดยไม่มีผู้บริหารระดับสูงคนไหนต้องรับผิดชอบจริงจังแม้แต่คนเดียว

ตราบใดที่เรายังคงใช้กฎหมายเพื่อปกป้องภาพลักษณ์ขององค์กร มากกว่าจะใช้ปกป้องสิทธิและข้อมูลของประชาชน เราก็คงต้องจมอยู่ในลูปข้อมูลรั่วแบบนี้ต่อไป... ไม่มีวันจบสิ้น

รอบนี้คุณเอิร์ธพยายามต่อสู้โดยการพยายามตื่นจากการติดลูปเหมือนในหนัง Ground Hog Day แทนที่จะทำตัวเหมือนเดิม แจ้งเรื่องให้หน่วยงานทราบ แล้วเงียบหาย ไม่ก็ปฏิเสธว่าไม่โดนแฮก รอบนี้เขาทำตัวเป็นผู้ร้าย ในเมื่อข้อมูลคนธรรมดาหลุดแล้วไม่มีคนสนใจ เอาข้อมูลคนที่มีอำนาจในการ “ทำอะไร” กับเรื่องนี้มา “หลุด” ให้ดูกันจะๆ ลองดูซิว่า จะเปลี่ยนแปลงอะไรได้ไหม

แต่ลูปก็ยังมาซ้ำ หน่วยงานราชการ และรัฐมนตรีหลายคนออกมาบอกว่า พบ IP แล้วพบผู้กระทำผิดแล้ว เตรียมดำเนินคดี ผมเดาว่า ที่พบก็คือ พบนายเอิร์ธนั่นแหล่ะ เพราะเขาเข้าไปตรงๆ แบบไม่ปิดหน้า หวังว่าจะทำให้เกิดแรงกระเพื่อม

หวังว่าสักวันแรงกระเพื่อมนี้จะใหญ่พอที่ทำให้เกิดการเปลี่ยนแปลงมาตรฐานความปลอดภัยในการเก็บรักษา และใช้ข้อมูลครับ

ถ้าเราอยากให้รัฐเลิกติดลูป เลิกหลงเชื่อลูปของรัฐกันครับ ถ้าอยากแก้ปัญหา เราต้องยอมรับ “ปัญหา” ก่อนครับ มันถึงนำไปสู่การแก้ได้

ไว้เดี๋ยวผมมาเล่ารายละเอียดเรื่องนี้เพิ่มเติมครับ