ความกังวลบัตรประชาชนดิจิทัล เจ้าหน้าที่ไม่รู้เรื่อง-ช่องโหว่แอปฯ ปลอม

กิตตินันท์ นาคทอง Facebook.com/kittinanlive

บัตรประชาชนดิจิทัล (Digital ID Card) บนแอปพลิเคชัน D.DOPA แม้จะเป็นเรื่องใหม่ แต่ก็ทดลองใช้งานในวงจำกัดมานานแล้ว และเพิ่งจะประชาสัมพันธ์อย่างแพร่หลายเมื่อไม่นานมานี้ หลังมีกฎหมายรองรับ

พระราชบัญญัติ (พ.ร.บ.) การปฏิบัติราชการทางอิเล็กทรอนิกส์ พ.ศ. 2565 มาตรา 14 กำหนดไว้ว่า “ในกรณีที่กฎหมายบัญญัติให้พนักงานหรือพนักงานเจ้าหน้าที่มีอำนาจตรวจสอบใบอนุญาตหรือเอกสารหลักฐานอื่นใดที่หน่วยงานของรัฐออกให้ ผู้มีหน้าที่ต้องแสดงจะแสดงใบอนุญาตหรือเอกสารหลักฐานนั้นเป็นภาพทางอิเล็กทรอนิกส์หรือโดยวิธีการทางอิเล็กทรอนิกส์อื่นก็ได้ โดยให้ถือว่าการแสดงเช่นว่านั้นเป็นการชอบด้วยกฎหมายแล้ว”

กฎหมายฉบับนี้ตีพิมพ์ในราชกิจจานุเบกษาเมื่อวันที่ 12 ตุลาคม 2565 แต่ให้ใช้บังคับเมื่อวันที่ 10 มกราคม 2566 ที่ผ่านมา โดยให้ใช้บังคับแก่หน่วยงานของรัฐเป็นหลัก

ขณะที่ สำนักบริหารการทะเบียน กรมการปกครอง กระทรวงมหาดไทย ได้อัปเดตแอปพลิเคชัน D.DOPA เวอร์ชันล่าสุด เมื่อวันที่ 18 มกราคม 2566 ที่ผ่านมา ให้สามารถลงทะเบียนด้วยตัวเองเพิ่มอีกหนึ่งช่องทาง

โดยใช้วิธีถ่ายภาพบัตรประชาชนด้านหน้า ด้านหลัง สแกนใบหน้า เพื่อประมวลผลผ่านเทคโนโลยีชีวมิติ แล้วตั้งรหัสผ่าน 8 หลักเพื่อเข้าใช้งาน เป็นอันเสร็จสิ้น เหมือนกับการเปิดบัญชีธนาคารแบบ E-KYC ผ่านแอปพลิเคชัน

ส่วนวิธีการก่อนหน้านี้ คือ การลงทะเบียนผ่านเจ้าหน้าที่ ในการขอรับบริการการลงทะเบียนเพื่อยืนยันตัวตน ที่สำนักทะเบียน ได้แก่ สำนักงานเขตทุกเขตในกรุงเทพมหานคร และที่ว่าการอำเภอทุกจังหวัด


ที่ผ่านมา มีบางหน่วยงานได้เริ่มเปิดโอกาสให้ประชาชน ใช้บัตรประชาชนดิจิทัล ที่อยู่ในโทรศัพท์มือถือแสดงตนแทนบัตรประชาชนตัวจริงไปบ้างแล้ว

เช่น สำนักงานการบินพลเรือนแห่งประเทศไทย (CAAT) ได้ออกข้อกำหนดการใช้เอกสารอิเล็กทรอนิกส์เเสดงตัวตน สำหรับเที่ยวบินภายในประเทศ เมื่อวันที่ 6 มิถุนายน 2565 ที่ผ่านมา

โดยอนุญาตให้ใช้แอปพลิเคชันที่ออกโดยหน่วยงานของรัฐ ได้แก่ D.DOPA และ DLT QR LICENCE หรือใบขับขี่ดิจิทัล ของกรมการขนส่งทางบก เป็นเอกสารยืนยันตัวตนพร้อมบัตรโดยสารเพื่อไปขึ้นเครื่องได้

สอบถามเพื่อนที่เคยใช้แอปฯ DLT QR LICENCE ยืนยันตัวตนก่อนขึ้นเครื่องบิน ที่สนามบินสุวรรณภูมิ เริ่มจากจุดตรวจคัดกรองผู้โดยสาร เจ้าหน้าที่สนามบินถามว่าเปิดจากแอปฯ ใช่ไหม เมื่อตอบว่าใช่แล้วถึงให้ผ่าน

มาถึงจุดตรวจค้นผู้โดยสารขาออกภายในประเทศ ปรากฏว่าเจ้าหน้าที่สนามบินไม่รู้เรื่อง ต้องโทรศัพท์ไปถามเจ้าหน้าที่ด้านใน ก่อนจะให้ผ่าน และเมื่อถึงประตูขึ้นเครื่อง เจ้าหน้าที่สายการบินต้องถามเจ้าหน้าที่อีกคนถึงจะให้ผ่าน

โดยสรุปก็คือ ในตอนนั้นเพื่อนใช้แอปฯ ใบขับขี่ดิจิทัลได้ แต่จะเจอเจ้าหน้าที่งงใส่ไปบ้าง

อยากให้สำนักงานการบินพลเรือนแห่งประเทศไทย ประสานไปยัง บริษัท ท่าอากาศยานไทย จำกัด (มหาชน) หรือ AOT และ กรมการบินพลเรือน ที่ดูแลสนามบินภูมิภาค ให้ทำความเข้าใจบัตรประชาชนดิจิทัลกับเจ้าหน้าที่

โดยอาจจะจัดอบรมเจ้าหน้าที่สนามบิน และเจ้าหน้าที่สายการบิน ถึงวิธีการใช้งานและตรวจสอบบัตรประชาชนดิจิทัลที่มาจากแอปฯ D.DOPA เช่น อาจจะให้ผู้โดยสารเปิดแอปฯ ในขณะนั้น เพื่อป้องกันการสวมรอยใช้ภาพแคปหน้าจอ


สังเกตง่ายๆ การพลิกหน้า-พลิกหลัง บัตรประชาชนแบบเต็มจอ ถ้ามาจากแอปฯ D.DOPA ใช้วิธีเอามือแตะ 1 ครั้ง หน้าจอก็จะพลิก ซึ่งโดยระบบไม่อนุญาตให้บันทึกภาพหน้าจออยู่แล้ว

แต่ถ้าเป็นไฟล์ภาพที่จัดทำขึ้นมาเอง จะเป็นการเลื่อนซ้าย-ขวา ซึ่งโดยระเบียบไม่อนุญาตให้ใช้อยู่แล้ว เจ้าหน้าที่มีสิทธิจะร้องขอให้เข้าแอปพลิเคชันใหม่ หรือปฏิเสธการเข้าพื้นที่ได้

ตอนนี้ประชาชนเริ่มที่จะหันมาเช็กอินด้วยตัวเอง ใช้ E-Boarding Pass แล้ว ถ้าใช้บัตรประชาชนดิจิทัลแสดงเพื่อขึ้นเครื่องได้ จะได้ไม่ต้องแสดงเอกสารตัวจริงให้วุ่นวาย เสี่ยงต่อการสูญหายระหว่างทางด้วย

แต่ทราบมาว่า ขนาดสนามบินภูมิภาคบางแห่ง ยังให้ใช้บัตรโดยสารตัวจริง แทนที่จะใช้ E-Boarding Pass ซึ่งก็ต้องไปทำความเข้าใจว่า ถ้ามาจากแอปฯ สายการบิน, Apple Wallet หรือ Google Wallet ควรอนุญาตให้ขึ้นเครื่องได้

ส่วนการไม่อนุญาตให้ใช้บันทึกภาพหน้าจอ หรือแคปเจอร์ (Capture) บัตรประชาชน, Boarding Pass, E-Boarding Pass และภาพถ่ายไฟล์ PDF ต่างๆ เป็นที่เข้าใจได้โดยทั่วไปอยู่แล้ว

เพราะเจ้าหน้าที่ไม่สามารถตรวจสอบแหล่งที่มาของข้อมูลได้ จึงทำให้ไม่มีความน่าเชื่อถือเพียงพอ อีกทั้งยังง่ายต่อการปลอมแปลง และเป็นการป้องกันบุคคลที่ไม่ได้รับอนุญาตเข้าเขตหวงห้าม พื้นที่ควบคุม หรือเขตการบิน

เพราะฉะนั้น อยากให้มีการจัดอบรมวิธีการใช้งานแอปฯ D.DOPA และ DLT QR LICENCE แก่เจ้าหน้าที่สายการบิน และเจ้าหน้าที่สนามบินที่เกี่ยวข้องทั่วประเทศ จะได้ไม่เกิดปัญหากับผู้โดยสารภายหลัง


ส่วนหน่วยงานที่เกี่ยวข้องกับเจ้าพนักงานตรวจบัตร เช่น สำนักงานตำรวจแห่งชาติ กองอาสารักษาดินแดน กองอำนวยการรักษาความมั่นคงภายใน ฯลฯ ก็ควรฝึกอบรมการใช้งานแอปพลิเคชัน D.DOPA ด้วยเช่นกัน

ตอนนี้สถานบันเทิงบางแห่งประกาศว่าให้ใช้บัตรประชาชนดิจิทัลแสดงตนได้แล้ว เช่น บาร์แห่งหนึ่งในจังหวัดเชียงใหม่ ประกาศว่าเป็นร้านอาหารร้านแรกในจังหวัด ที่สามารถใช้บัตรประชาชนดิจิทัล แทนบัตรประชาชนตัวจริงได้

ซึ่งความจริงสถานบันเทิงอื่น ก็สามารถประกาศได้เช่นกัน แต่ปัญหาก็คือ เมื่อตำรวจหรือฝ่ายปกครองเข้าตรวจค้นร้าน จะยอมรับหลักฐานอย่างบัตรประชาชนดิจิทัลหรือเปล่า หรือสุดท้ายกลายเป็นว่าตั้งข้อหาไม่พกบัตรประชาชน

ตรงนี้อยากให้สำนักงานตำรวจแห่งชาติ และกระทรวงมหาดไทย ย้ำแนวทางปฏิบัติตรงนี้ให้ชัดเจน เพราะไม่อยากให้กลายเป็นช่องโหว่ของกฎหมาย ที่ผู้บังคับใช้กฎหมายนำไปกลั่นแกล้งผู้อื่น โดยเฉพาะผู้ประกอบการสถานบันเทิง

อีกประการหนึ่ง แม้แอปฯ D.DOPA จะสามารถลงทะเบียนด้วยตัวเองเพิ่มอีกหนึ่งช่องทาง แต่ก็กังวลว่าในภายภาคหน้าจะเจอ “แอปพลิเคชันปลอม” ของกลุ่มมิจฉาชีพเข้ามาปะปนกันด้วยหรือไม่?

ขนาดโครงการของรัฐอย่างคนละครึ่ง เราชนะ ม.33 เรารักกัน ฯลฯ ซึ่งทำธุรกรรมผ่านทางแอปฯ เป๋าตังแท้ๆ ก็ยังมีพวกพัฒนาแอปฯ แปลกปลอมเข้ามา โดยใช้ชื่อโครงการของรัฐเหล่านี้ จะแฝงการเข้าถึงเพื่อล้วงข้อมูลหรือเปล่าก็ไม่รู้

ไม่นับวิธีการลวงเหยื่อผ่าน SMS หรือข้อความไลน์แอบอ้างแล้วเข้าไปที่เว็บไซต์หรือแอปพลิเคชันแปลกปลอม ซึ่งต้องยอมรับว่าที่ผ่านมาอย่างแอปฯ หรือเว็บเพจธนาคาร ก็ยังมีคนกลุ่มนี้ทำของปลอมจนเนียนมาแล้ว

หนักกว่านั้นก็คือ ที่ผ่านมามีแอปฯ ที่พัฒนาโดย “แก๊งคอลเซ็นเตอร์” แอบอ้างเป็นกรมพัฒนาธุรกิจการค้า, กรมสรรพากร หรือหลายหน่วยงาน เข้ามาหลอกผู้เสียหายผ่านโทรศัพท์หรือแชตว่า จะทำธุรกรรมอย่างนั้นอย่างนี้

แท้ที่จริงแอปฯ ปลอมเหล่านี้กลายเป็น “แอปฯ ดูดเงิน” ที่อาศัยการเข้าถึงข้อมูลภายในเครื่องที่เรียกว่า Remote Access สวมรอยทำธุรกรรม โดยที่เจ้าของเครื่องตัวจริงพยายามปิดแอปฯ แล้วก็ปิดไม่ได้ สุดท้ายเงินในบัญชีหายเกลี้ยง!

ที่ผ่านมาเจ้าหน้าที่ผู้เกี่ยวข้องเตือนแล้วเตือนอีก แต่ประชาชนชะล่าใจ คิดว่าไม่เกิดกับตัวเอง ยิ่งแก๊งคอลเซ็นเตอร์มีวิธีการเข้าถึงเหยื่อรูปแบบใหม่ๆ ที่สลับซับซ้อนแทบจะตามไม่ทัน สุดท้ายก็ตกเป็นเหยื่อซ้ำแล้วซ้ำเล่า

แม้ตอนนี้ประชาชนจะสามารถลงทะเบียนแอปฯ D.DOPA ได้เองโดยไม่ต้องไปที่ว่าการอำเภอ แต่ถ้ากังวลเรื่องแอปฯ ปลอม ส่วนตัวคิดว่ายอมเสียเวลาลงทะเบียนที่อำเภอหรือสำนักงานเขตจะปลอดภัยกว่า

อย่างน้อยเจ้าหน้าที่ก็ดาวน์โหลดแอปฯ ของแท้ให้เพื่อความมั่นใจ แล้วดำเนินการลงทะเบียนให้ พร้อมกับร้องขอให้สอนวิธีการใช้งานไปในตัว ประชาชนจะได้อุ่นใจมากขึ้น ดีกว่าเสี่ยงดาวน์โหลดและลงทะเบียนด้วยตัวเอง

อีกส่วนหนึ่ง ก็ไม่ควรปิดกั้นการลงทะเบียนด้วยตัวเอง เพราะคนที่มีความรู้ความเข้าใจเรื่องเทคโนโลยียังมีอยู่ โดยเฉพาะกลุ่มคนรุ่นใหม่ พวกเขาทำธุรกรรมได้เอง รู้วิธี E-KYC มาก่อน ตรวจสอบได้เองว่าแอปฯ แท้หรือไม่แท้

ถ้าอาศัยการเชิญชวนอย่างเดียวคงไม่พอ ประชาชนก็จะกังวลว่าน่าเชื่อถือหรือไม่ การให้เจ้าหน้าที่แนะนำด้วยตัวเอง แม้จะดูเหมือนว่าเป็นการเพิ่มภาระงานที่มีอยู่ แต่ก็เป็นวิธีการที่ประชาชนจับต้องได้ ไว้วางใจที่สุดแล้ว