แฮกเกอร์ลูบคมนายกฯ ฐานข้อมูลรัฐหลุดทั้งยวง จาก “ขุมทรัพย์ความมั่นคง” สู่ “ตลาดมืดคริปโต”

ปฏิบัติการสืบสวนพบข้อมูลส่วนบุคคลคนไทยระดับ “ออริจินัลความละเอียดสูง” รวมถึงภาพถ่ายใบหน้าของบุคคลระดับนายกรัฐมนตรี รัฐมนตรี และประชาชนอีกหลายล้านรายการ รั่วไหลและถูกนำไปตั้งขายในตลาดมืดออนไลน์ผ่านบิทคอยน์และคริปโทเคอร์เรนซีไร้ร่องรอย ราคาซื้อขายเฉลี่ยต่อหนึ่งรายการต่ำกว่าบาท สะท้อนมูลค่าความปลอดภัยของประชาชนที่ภาครัฐตีราคาแบบน่าอนาถ ขณะที่ระบบอาชีวศึกษาซึ่งเก็บข้อมูลนักเรียน 2.5 ล้านคน ถูกพบว่าปกป้องด้วยรหัสผ่านเพียง “123456” เกิดคำถามใหญ่ถึงความรับผิดชอบและงบประมาณไซเบอร์ที่อาจกลายเป็นเพียง “ผี” ในระบบราชการ

นี่ไม่ใช่ภัยคุกคามไซเบอร์ที่เกิดขึ้นครั้งคราว หากแต่เป็นวิกฤตการณ์เชิงโครงสร้างที่กัดเซาะความมั่นคงของชาติมาอย่างต่อเนื่องและยาวนาน ข้อมูลส่วนบุคคลของประชาชนไทยตั้งแต่ชื่อ-นามสกุล เลขบัตรประจำตัวประชาชน ข้อมูลเวชระเบียนสุขภาพ ข้อมูลผู้สูงอายุ ตลอดจนข้อมูลอัตลักษณ์ชีวภาพระดับเมกะพิกเซล ล้วนถูกแปรสภาพเป็นสินค้าในตลาดมืดออนไลน์ หรือที่รู้จักกันในชื่อ “ดาร์กเว็บ” โดยใช้คริปโทเคอร์เรนซีเป็นเส้นเลือดใหญ่ในการชำระเงินฟอกธุรกรรมให้พ้นจากการตรวจสอบของสถาบันการเงินและหน่วยงานกำกับดูแล

หากจะเปรียบเทียบให้เห็นภาพง่ายๆ มันคือการเปิดประตูหลังบ้านทิ้งไว้แล้วปล่อยให้โจรเดินเข้า-ออกอย่างอิสระ เพราะข้อมูลคนไทยทั้งระบบถูกซื้อขายกันในราคายกล็อตที่เฉลี่ยต่อรายการเพียง 0.003 ถึง 0.50 บาทเท่านั้น ราคาหนึ่งชามของก๋วยเตี๋ยวธรรมดายังสูงกว่ามูลค่าที่รัฐบาลไทยรักษาเกียรติภูมิและความปลอดภัยของประชาชนเอาไว้

ย้อนรอยประวัติศาสตร์ข้อมูลรั่วไหล วงจรอุบาทว์ที่ไม่เคยถูกทำลาย

เพื่อให้เห็นภาพของความล้มเหลวซ้ำซาก ทีมข่าวได้ตรวจสอบไทม์ไลน์การรั่วไหลของฐานข้อมูลภาครัฐครั้งสำคัญนับตั้งแต่ปี พ.ศ. 2566 เป็นต้นมา ในเดือนมีนาคม 2566 เกิดคดีสะเทือนวงการไซเบอร์ไทยครั้งแรก เมื่อกลุ่มแฮกเกอร์นาม “9Near” ประกาศขู่ปล่อยข้อมูลส่วนบุคคล 55 ล้านรายการที่รวมถึงประวัติวัคซีนและข้อมูลสุขภาพ โดยใช้เว็บไซต์ 9near.org เป็นหน้าร้าน ความร้ายแรงของคดีนำไปสู่การจับกุมผู้ต้องหาซึ่งเป็นทหารยศจ่าสิบเอกในเวลาต่อมา

อย่างไรก็ตาม การจับกุมเพียงรายบุคคลไม่ใช่วิธีตัดตอนวงจรนี้ เพราะในเดือนมกราคม 2567 บริษัทความมั่นคงไซเบอร์ชั้นนำระดับโลกอย่าง Resecurity ได้ออกแถลงการณ์เตือนภัยพบข้อมูลคนไทยรั่วไหลในตลาดมืดอีก 27 ล้านรายการ จากอย่างน้อย 7 หน่วยงานรัฐ โดยมีทั้งเงินเดือนและข้อมูลการเงินที่แก๊งมิจฉาชีพใช้ประเมินฐานะเหยื่อก่อนลงมือหลอกลวง

เพียงหนึ่งเดือนถัดมาในเดือนกุมภาพันธ์ 2567 ข้อมูลผู้สูงอายุจากกรมกิจการผู้สูงอายุอีก 19.7 ล้านรายการก็ถูกนำมาเปิดประมูล และที่น่าสะพรึงที่สุดคือเหตุการณ์ในเดือนมิถุนายน 2569 เมื่อข้อมูลระบบสุขภาพของประชาชนและผู้เสียชีวิตรวม 67.1 ล้านคนรั่วไหล จนภาคประชาชนต้องออกมาเคลื่อนไหวเรียกร้องให้ สคส. หรือสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล แสดงความรับผิดชอบ

และเมื่อทุกคนคิดว่าสถานการณ์น่าจะถึงจุดที่ “แย่ที่สุด” แล้ว ข้อมูลล่าสุดที่เรียกเสียงฮือฮาผ่านโซเชียลมีเดีย เมื่อวันที่ 4 สิงหาคม 2569 โดยนายธนารัตน์ กัววัฒนาพันธ์ ผู้บริหารระดับสูงของ DomeCloud ออกมาตอกย้ำว่า มาตรฐานความปลอดภัยไซเบอร์ของรัฐบาลไทยนั้นอาจเรียกได้ว่า “ไม่มีอยู่จริง” ก็ว่าได้

ศูนย์ข้อมูลรัฐ กลายเป็นตลาดนัดแฮ็กเกอร์ ภาพถ่าย HD มหาดไทยหลุด กับรหัสผ่าน “123456” แห่ง สอศ.

นายธนารัตน์เปิดเผยว่าภาพถ่ายใบหน้าออริจินัลความละเอียดสูงระดับเมกะพิกเซล ซึ่งไม่ใช่ภาพสแกนบัตรประชาชนความละเอียดต่ำ ได้หลุดออกจากระบบของกระทรวงมหาดไทย ภาพถ่ายเหล่านี้รวมถึงใบหน้าของนายกรัฐมนตรี คณะรัฐมนตรี และประชาชนที่ไม่รู้อีโหน่อีเหน่ ความร้ายแรงอยู่ที่ว่าภาพถ่ายความละเอียดสูงนี้เป็นสารตั้งต้นที่สมบูรณ์แบบที่สุดสำหรับการสร้าง Deepfake ด้วยระบบปัญญาประดิษฐ์ เพื่อใช้ในการยืนยันตัวตนปลอม หรือ e-KYC หลอกลวงสถาบันการเงินโดยไม่ต้องงัดแงะอะไรให้ยุ่งยาก

ในวันเดียวกันนั้น ยังถูกขุดพบอีกว่าระบบฐานข้อมูลของสำนักงานคณะกรรมการการอาชีวศึกษา หรือ สอศ. ซึ่งบรรจุข้อมูลส่วนตัวของนักเรียนนักศึกษากว่า 2.5 ล้านคน ได้ถูกตั้งรหัสผ่านสำหรับการเข้าถึงเอาไว้เป็นอักขระพื้นฐาน “123456” ซึ่งเป็นรหัสผ่านที่ถูกจัดอันดับให้เป็นรหัสผ่านที่อ่อนแอและคาดเดาง่ายที่สุดในโลก เหตุการณ์นี้สะท้อนให้เห็นถึงความไม่รับผิดชอบอย่างร้ายแรงในการออกแบบสถาปัตยกรรมด้านความปลอดภัยของหน่วยงานภาครัฐที่ใช้งบประมาณภาษี

ขณะที่ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์และนักวิชาการด้านกฎหมายให้ความเห็นไปในทิศทางเดียวกันว่า นี่คือความล้มเหลวโดยสิ้นเชิงของกลไกการกำกับดูแล เพราะ สคส. ภายใต้ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กลับเลือกใช้ดุลยพินิจที่ประนีประนอมต่อหน่วยงานรัฐอย่างผิดสังเกต แตกต่างจากกรณีภาคเอกชนที่มักจะถูกปรับหรือลงโทษอย่างเฉียบขาดเพื่อเป็นบรรทัดฐาน ปรากฏการณ์ที่ว่านี้เปรียบเสมือนดาบสองคมที่ทำให้ผู้คุมกฎกลายเป็นเสือกระดาษในสายตาของข้าราชการที่รับผิดชอบข้อมูล

เส้นทางฟอกเงินผ่านคริปโตใต้ดิน

งานสืบสวนของเราเจาะลึกลงไปในแบบแผนทางการเงินของเครือข่ายนี้พบว่า แฮกเกอร์เลือกใช้คริปโทเคอร์เรนซีที่มีคุณสมบัติปกปิดตัวตนสูงอย่าง Monero หรือส่งบิทคอยน์ผ่านกระบวนการผสมเหรียญที่เรียกว่า Crypto Mixer เพื่อฟอกเงินให้ขาดตอนจากบัญชีม้าหรือธนาคารทั่วไป นอกจากจะทำให้ยากต่อการสืบหาตัวตนที่แท้จริงแล้ว ยังเอื้อให้แฮกเกอร์ต่างชาติสามารถถอนเงินออกนอกประเทศผ่านกระดานเทรดที่ไม่ต้องพิสูจน์ตัวตนได้อย่างง่ายดาย

ด้วยกลวิธีนี้ ข้อมูลที่ขายได้เพียงหลักพันดอลลาร์สหรัฐ สามารถกลายเป็นตั๋วทองในการข้ามพรมแดนของทุนผิดกฎหมาย ขณะที่รัฐไทยยังคงวนเวียนอยู่กับการออกแถลงการณ์ปัดความรับผิดชอบ โดยไม่เคยมีผู้บริหารระดับสูงคนใดออกมาแสดงความรับผิดชอบด้วยการลาออก หรือถูกดำเนินคดีอาญาฐานละเลยต่อหน้าที่แต่อย่างใด

ผลกระทบด้านความมั่นคงระดับชาติที่มองข้ามไม่ได้

ผลกระทบของข้อมูลภาพถ่ายใบหน้าออริจินัลที่หลุดออกไปจะไม่จำกัดอยู่แค่การถูกแก๊งคอลเซ็นเตอร์โทรหลอกดูดเงินจากบัญชีอีกต่อไป แต่มันคือการถูกนำไปใช้ปลอมตัวตนทางชีวภาพเพื่อกู้เงิน ถอนเงิน หรือทำธุรกรรมทางอิเล็กทรอนิกส์ในนามของเหยื่อโดยที่เจ้าตัวไม่รู้เรื่อง ระบบ e-KYC ที่ธนาคารและบริษัทหลักทรัพย์ใช้กันอย่างกว้างขวางอาจกลายเป็นเครื่องมือของอาชญากรข้ามชาติอย่างสมบูรณ์แบบ

นอกจากนี้ ยังมีประเด็นข้อสงสัยที่รอการตรวจสอบเพิ่มเติมจากหน่วยงานตรวจเงินแผ่นดิน ว่าเหตุใดงบประมาณด้านความมั่นคงปลอดภัยไซเบอร์จำนวนมหาศาลในแต่ละปี ถึงไม่สามารถป้องกันรหัสผ่านอย่าง “123456” หรือการตั้งค่าเปิด API ทิ้งไว้โดยไม่มีการยืนยันตัวตนได้เลย ข้อสันนิษฐานเรื่อง “ระบบผี” หรือการจัดซื้ออุปกรณ์ที่ไม่มีการจ้างบุคลากรมาดูแล จึงเป็นสิ่งที่สังคมกำลังจับตาและรอคอยคำตอบ

ถึงเวลาแล้วหรือยังที่ใครสักคนต้องรับผิดชอบ

ขณะที่บทความนี้ถูกเผยแพร่ ภาพถ่ายใบหน้าของผู้นำประเทศและประชาชนยังคงถูกแลกเปลี่ยนอย่างเงียบๆบนฟอรัมมืดที่เข้าถึงได้จากทุกมุมโลก โดยมีคริปโทเคอร์เรนซีเป็นตัวกลางซื้อขาย มูลค่าข้อมูลของคนไทยถูกตีให้ต่ำเตี้ยเรี่ยดินด้วยน้ำมือของความหละหลวมเชิงระบบที่สั่งสมมานานเกินทศวรรษ

คำถามที่ดังขึ้นเรื่อย ๆ ไม่ใช่เพียงว่า “ใครเป็นแฮกเกอร์” แต่มันยกระดับไปสู่การตั้งคำถามว่า “ใครกันแน่ที่ทรยศต่อความไว้วางใจของประชาชนด้วยการเพิกเฉยไม่ปกป้องข้อมูลความมั่นคง ” และหาก พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ยังคงถูกใช้ลงโทษอย่างอ่อนข้อให้กับหน่วยงานรัฐเช่นนี้ ต่อไปการเป็นพลเมืองไทยในโลกดิจิทัล อาจหมายถึงการถูกละเมิดสิทธิโดยไม่มีการชดเชย และกลายเป็นตลาดนัดของอาชญากรไปตลอดกาล