“สิริพงศ์”แจงข้อมูลขนส่งรั่ว ระบบไม่ถูกแฮก ให้ 63 หน่วย รีเซทรหัสผ่าน ลุยฟ้องทั้งผู้พบแล้วไม่แจ้ง-นำข้อมูลไปใช้เอง

“สิริพงศ์”ยันฐานข้อมูลขนส่งไม่ถูกแฮก แต่รั่วจากการเข้าถึงผ่านบัญชีผู้ใช้งานของหน่วยงานที่เชื่อมต่อ API สั่งทั้ง 63 หน่วยงานรีเซทรหัสใหม่ คัดกรองผู้มีสิทธ์ใช้งานยกระดับยืนยันตัวตน ลุยฟ้องดำเนินคดี ทั้งผู้พบแล้วไม่แจ้ง-นำข้อมูลไปใช้เอง ย้ำข้อมูลที่รั่วไหลเป็นข้อมูลพื้นฐาน ไม่สามารถนำไปทำธุรกรรมหรือแก้ไขฐานข้อมูลได้

นายสิริพงศ์ อังคสกุลเกียรติ รัฐมนตรีช่วยว่าการกระทรวงคมนาคม กล่าวว่า หลังมีประชาชนพบเว็บไซต์ ที่สามารถค้นหาข้อมูลจากกรมการขนส่งทางบก (ขบ.) จึงได้ประสานสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ หรือ สกมช. และตำรวจไซเบอร์ เข้าตรวจสอบทันที ผลการตรวจสอบยืนยันว่า ไม่ได้เกิดจากการแฮกระบบฐานข้อมูลของกรมการขนส่งทางบก แต่เป็นการเข้าถึงข้อมูลผ่าน API ที่ขบ.เปิดให้หน่วยงานภาครัฐประมาณ 63 แห่ง เชื่อมโยงข้อมูล เพื่ออำนวยความสะดวกในการให้บริการประชาชน

จากการตรวจสอบพบการใช้งาน API ผิดปกติจาก 3 หน่วยงาน ได้แก่ เทศกิจเขตบางกอกน้อย ค่ายสุรสีห์ และการทางพิเศษแห่งประเทศไทย จึงสั่งระงับการเชื่อมต่อในจุดที่มีความเสี่ยง พร้อมให้ทุกหน่วยงานตรวจสอบสิทธิ์ผู้ใช้งาน ยืนยันหมายเลข IP ที่ได้รับอนุญาต รีเซ็ตรหัสผ่านทั้งหมด และเพิ่มมาตรการป้องกันการดึงข้อมูลผิดปกติ

พบชื่อ user name ที่มีการสืบค้นข้อมูลผิดปกติแล้ว แต่ยังไม่สามารถยืนยันว่าเป็นผู้กระทำข้อมูลรั่ว โดยนำชื่อและรหัสไปใช้เองหรือไม่ ตอนนี้ให้ตำรวจไซเบอร์ดสอบสวน โดยตรวจเจอค้นหาผ่านระบบเทศกิจบางกอกน้อยมากสุด มีการค้นหาข้อมูลสูงกว่า 7,000 ครั้ง ซึ่งพบว่าข้อมูลที่มีการค้นหาเป็นรายแรกๆ คือข้อมูลของนายกรัฐมนตรี

ขณะนี้ตำรวจไซเบอร์และ สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ หรือ สกมช. (NCSA) ดำเนินการปิดกั้นเว็บที่นำข้อมูลไปเปิดเผยแล้ว ทำให้ IP ในไทยเข้าไม่ได้ แต่ยังมีผู้ใช้งานบางกลุ่มเลี่ยงไปใช้ VPN หรือซื้อขายข้อมูลผ่าน Dark Web/Discord

@เตือนหน่วยงาน 63 หน่วยที่ทำ MOU เชื่อมข้อมูล ยกระดับการเข้าระบบ

นายสิริพงศ์ ระบุทาง ขบ. ได้เพิ่มระบบตรวจสอบ ที่สามารถตรวจสอบผู้เข้าใช้เป็นผู้มีอำนาจหน้าที่จริง โดยให้แจ้งไปยัง 63 หน่วยงาน ให้ตรวจเช็คและรีเซทชื่อ และรหัส การเข้าระบบ และตรวจสอบพนักงาน ที่เข้าถึงเฉพาะคนที่มีหน้าที่และเพิ่มมาตรการ รีเซท password บ่อยๆ เป็นการยกระดับ

@ฟ้องดำเนินคดี ทั้งผู้พบแล้วไม่แจ้ง -นำข้อมูลไปใช้เอง

พร้อมกันนี้ ให้กรมขนส่งแจ้ง สอท. กมช. เพื่อดำเนินคดีกับผู้ที่เกี่ยวข้องกับการนำข้อมูลไปใช้และเผยแพร่ตามกฎหมาย โดยฟ้องทั้งมาตรา 6 กรณีพบข้อมูลดังกล่าวแล้วไม่แจ้งและยังนำไปใช้ และมาตรา 7 การเผยแพร่ข้อมูลดังกล่าว

นายสิริพงศ์ อธิบายถึง API ว่า เปรียบเสมือน "ท่อส่งข้อมูล" ที่ช่วยให้หน่วยงานภาครัฐแลกเปลี่ยนข้อมูลกันได้ โดยไม่ต้องให้ประชาชนนำเอกสารไปยื่นหลายแห่ง เช่น การตรวจสอบประวัติอาชญากรรมเพื่อขอใบอนุญาตขับรถสาธารณะ ซึ่งเดิมอาจใช้เวลาหลายสิบวัน แต่เมื่อเชื่อมต่อ API แล้ว กรมการขนส่งทางบก สามารถตรวจสอบข้อมูลกับสำนักงานตำรวจแห่งชาติและให้บริการได้ภายในวันเดียว จึงเป็นระบบที่ช่วยเพิ่มประสิทธิภาพการให้บริการภาครัฐ

นายสิริพงศ์ ย้ำว่า แม้ข้อมูลบางส่วนจะถูกนำออกไปเผยแพร่ แต่เป็นเพียง ข้อมูลพื้นฐาน ไม่ใช่ข้อมูลที่สามารถใช้ทำธุรกรรมได้ เพราะการทำธุรกรรมยังต้องผ่านขั้นตอนยืนยันตัวตนหลายชั้น ขณะที่ระบบ API ของกรมการขนส่งทางบกเป็นแบบ Read Only หรือเปิดให้อ่านข้อมูลได้เพียงอย่างเดียว ไม่สามารถแก้ไข เปลี่ยนแปลง หรือทำลายฐานข้อมูลของหน่วยงานได้ จึงขอให้ประชาชนมั่นใจว่าฐานข้อมูลของกรมการขนส่งทางบกยังมีความสมบูรณ์และไม่ได้รับความเสียหาย

พร้อมกันนี้ ยังเตือนประชาชนให้ระมัดระวังมิจฉาชีพที่อาจอาศัยกระแสข่าวส่ง SMS หรือแนบลิงก์ปลอมแอบอ้างให้ชำระค่าปรับ โดยยืนยันว่าหน่วยงานภาครัฐไม่มีนโยบายส่งลิงก์เรียกเก็บเงินผ่านข้อความ พร้อมประกาศยกระดับมาตรการด้าน Cybersecurity ควบคู่กับการสร้างความปลอดภัยไซเบอร์ ให้เป็นทักษะพื้นฐานของทั้งเจ้าหน้าที่และประชาชน เพื่อลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ในระยะยาว