ข้อมูลส่วนบุคคลภาครัฐรั่วไหล 3 ชุดใน 72 ชั่วโมง นักวิชาการชี้ 5 จุดอ่อนเชิงระบบ

ข่าวที่แพร่กระจาย

ในช่วงวันที่ 3-5 สิงหาคม 2569 มีการเปิดเผยสู่สาธารณะว่าระบบข้อมูลของหน่วยงานรัฐไทยมีช่องโหว่ร้ายแรงหลายจุด กรณีแรกคือพบเว็บไซต์ภายนอกที่ไม่ใช่ของหน่วยงานรัฐ เปิดให้สืบค้นข้อมูลส่วนบุคคลได้ด้วยเพียงหมายเลขทะเบียนรถหรือเบอร์โทรศัพท์ โดยข้อมูลรายละเอียดยานพาหนะอย่างยี่ห้อ สี และเลขตัวถังถูกเปิดเผยครบถ้วน กรณีที่สองคือมีการนำภาพถ่ายคล้ายหน้าบัตรประชาชนของนายกรัฐมนตรีและรัฐมนตรีหลายคนมาเผยแพร่บนโซเชียลมีเดีย โดยผู้เปิดเผยอ้างว่าข้อมูลหลุดมาจากระบบลงทะเบียนกิจกรรมจิตอาสาของกรมการปกครอง และยังพบว่ามีการนำข้อมูลดังกล่าวไปเสนอขายในราคาวันละ 350 บาทหรือรับชมผ่าน API เดือนละ 2,500 บาทบนแพลตฟอร์ม Discord กรณีที่สามคือฐานข้อมูลนักเรียนและศิษย์เก่าสำนักงานคณะกรรมการการอาชีวศึกษาจำนวน 2.5 ล้านคนรั่วไหลออกมาในช่วงเวลาเดียวกัน

ผลการตรวจสอบ

BBC Thai รายงานเหตุการณ์นี้โดยอ้างอิงโพสต์สาธารณะที่ตรวจสอบได้บนเฟซบุ๊กของผู้เกี่ยวข้องโดยตรง ทั้งที่ปรึกษาผู้นำฝ่ายค้านและ CEO บริษัทเอกชนด้านความปลอดภัยไซเบอร์ ซึ่งต่างเปิดหน้าตนเองโพสต์ข้อมูล ไม่ใช่แหล่งนิรนาม การที่กรมการปกครองดำเนินการปิดระบบลงทะเบียนจิตอาสาในเช้าวันที่ 5 ส.ค. ทันทีหลังจากเรื่องถูกเปิดเผย ถือเป็นการยืนยันโดยปริยายว่าช่องโหว่มีอยู่จริง นายกสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย (TPDPA) ให้สัมภาษณ์ยืนยัน 5 จุดอ่อนเชิงระบบที่เป็นรากเหง้าของปัญหา ได้แก่ การขาดมาตรฐาน access control, การเปิด API โดยไม่มีการตรวจสอบที่เพียงพอ, การขาดระบบ audit log, การใช้ระบบเก่าที่ไม่ได้รับการอัปเดต และการขาดนโยบาย data minimization กรณีเหล่านี้ไม่ใช่เหตุการณ์แรก แต่เป็นส่วนหนึ่งของรูปแบบที่เกิดซ้ำในระบบสารสนเทศภาครัฐไทย ซึ่งนักวิชาการชี้ว่าเกิดจากปัญหาโครงสร้างและการบังคับใช้ PDPA ที่ยังอ่อนแอ

สรุป

ประชาชนทั่วไปอาจตกเป็นเหยื่อของการหลอกลวง การแอบอ้างตัวตน หรือการนำข้อมูลไปใช้ในทางที่ผิดโดยไม่รู้ตัว เนื่องจากข้อมูลบัตรประชาชน ทะเบียนรถ และเบอร์โทรศัพท์ถูกนำไปขายต่อในราคาถูกบนแพลตฟอร์มออนไลน์ ผู้อ่านควรติดตามข่าวสารจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) หากพบว่าข้อมูลส่วนตัวถูกนำไปใช้โดยไม่ได้รับอนุญาต สามารถแจ้งเรื่องได้ที่หน่วยงานดังกล่าว และควรระวังการรับโทรศัพท์หรือข้อความจากคนแปลกหน้าที่อ้างรู้ข้อมูลส่วนตัวของเรา