สรุปสั้น

คณะรัฐมนตรีมีมติเมื่อวันที่ 11 สิงหาคม 2569 อนุมัติมาตรการเร่งด่วนสามข้อเพื่อรับมือเหตุข้อมูลภาครัฐรั่วไหลที่ลุกลามมาตั้งแต่ต้นเดือน โดยข้อแรกคือให้หน่วยงานราชการกว่า 300 กรมสั่งเปลี่ยนรหัสผ่านของเจ้าหน้าที่ทั้งหมดทันที เพื่อตัดวงจรการนำรหัสผ่านที่หลุดออกไปแล้วกลับมาใช้ล็อกอินซ้ำ ข้อที่สองคือให้ทุกกระทรวงและกรมตรวจสอบระบบสารสนเทศในความดูแลรวมราว 30,000 ระบบ แล้วปิดช่องทางเข้าถึงหลังบ้านของระบบที่เลิกใช้งานหรือล้าสมัยอย่างถาวรภายใน 15 วัน เพราะที่ผ่านมาหลายหน่วยงานปิดเฉพาะหน้าเว็บไซต์แต่ปล่อยให้ระบบหลังบ้านยังเปิดรับการเชื่อมต่ออยู่ และข้อที่สามคือการบังคับใช้การยืนยันตัวตนหลายปัจจัย (Multi-Factor Authentication หรือ MFA) หรือระบบพิสูจน์ตัวตนดิจิทัล ThaID กับระบบของภาครัฐทุกระบบ

มติดังกล่าวเป็นผลต่อเนื่องจากการประชุมคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติเมื่อวันที่ 10 สิงหาคม 2569 และดำเนินการภายใต้พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 นางสาวรัชดา ธนาดิเรก โฆษกรัฐบาล ระบุว่ามาตรการชุดนี้มีเป้าหมายเพื่อยกระดับการคุ้มครองข้อมูลส่วนบุคคล ลดความเสี่ยงด้านไซเบอร์ของระบบภาครัฐอย่างเป็นระบบ สร้างความเชื่อมั่นให้ประชาชน และผลักดันมาตรฐานของไทยให้เทียบเคียงสากล

จุดที่ทำให้มาตรการชุดนี้ต่างจากการสั่งการรอบก่อน ๆ คือการกำหนดกรอบเวลาเป็นตัวเลขชัดเจนและครอบคลุมระบบเก่าที่มักถูกลืม ซึ่งเป็นจุดอ่อนที่ผู้เชี่ยวชาญชี้มาตลอดว่าเป็นช่องทางที่ผู้โจมตีใช้เข้าระบบโดยไม่ต้องเจาะช่องโหว่ใด ๆ เลย เพราะเพียงมีชื่อผู้ใช้และรหัสผ่านที่ถูกต้องก็เข้าไปดึงข้อมูลผ่าน API ได้เหมือนเจ้าหน้าที่ตัวจริง

รายละเอียดข่าว

เว็บไซต์ไทยโพสต์รายงานเมื่อวันที่ 11 สิงหาคม 2569 ว่า ที่ประชุมคณะรัฐมนตรีได้รับทราบและเห็นชอบมาตรการเร่งด่วนด้านความมั่นคงปลอดภัยไซเบอร์ของหน่วยงานภาครัฐ ตามที่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมเสนอ หลังเกิดเหตุข้อมูลผู้ครอบครองรถยนต์และข้อมูลส่วนบุคคลของประชาชนจำนวนมากถูกนำไปเผยแพร่และซื้อขายบนดาร์กเว็บ

นายไชยชนก ชิดชอบ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เคยชี้แจงไว้ก่อนหน้านั้นเมื่อวันที่ 9 สิงหาคม 2569 ว่าเหตุการณ์ครั้งนี้ไม่ใช่การเจาะระบบโดยตรง แต่เป็น “Credential Leaks” หรือการที่ข้อมูลรับรองการเข้าใช้งานหลุดออกไป โดยอธิบายว่าผู้กระทำผิดได้รหัสผ่านมาก่อน แล้วจึงล็อกอินผ่านการเชื่อมต่อ API ตามปกติเพื่อดึงข้อมูลออกไป

ตัวเลขที่กระทรวงดิจิทัลฯ อ้างถึงคือมีข้อมูลรับรองการเข้าใช้งานที่เกี่ยวข้องกับผู้ใช้ในไทยหลุดเพิ่มขึ้นราว 60 ล้านรายการในรอบปีที่ผ่านมา ซึ่งเป็นจำนวนที่มากกว่าประชากรของประเทศ เนื่องจากผู้ใช้คนเดียวมักมีทั้งบัญชีเก่าและบัญชีใหม่นับซ้ำกันหลายรายการ ข้อมูลเหล่านี้ถูกนำไปซื้อขายกันบนดาร์กเว็บ

สาระของมาตรการข้อที่สองซึ่งเป็นข้อที่หนักที่สุดในทางปฏิบัติคือการไล่ตรวจระบบสารสนเทศราว 30,000 ระบบทั่วทุกกระทรวงและ 300 กรม แล้วปิดการเข้าถึงหลังบ้านของระบบที่เลิกใช้แล้วอย่างถาวรภายใน 15 วัน ประเด็นนี้ตรงกับข้อสังเกตที่พบจากกรณีกรมการขนส่งทางบก ซึ่งระบบที่เกี่ยวข้องเปิดใช้งานมาตั้งแต่ปี 2560 และไม่มีการยืนยันตัวตนหลายปัจจัยรองรับ ทั้งยังเชื่อมโยงข้อมูลกับหน่วยงานอื่นอีกกว่า 60 แห่ง

ในส่วนของ MFA ทางกระทรวงดิจิทัลฯ เลือกเสนอเรื่องเข้าคณะรัฐมนตรีแบบเร่งด่วนเพื่อให้มีผลบังคับทั่วทั้งภาครัฐ แทนที่จะปล่อยให้แต่ละหน่วยงานทยอยดำเนินการเอง โดยฝ่ายเทคนิคระบุว่าต้นทุนของการเพิ่ม MFA ไม่สูงนัก เพราะส่วนใหญ่เป็นการแก้ไขโค้ดส่วนล็อกอินให้รองรับการยืนยันตัวตนชั้นที่สอง ไม่ใช่การรื้อระบบใหม่ทั้งก้อน

นอกจากนี้ยังมีการสั่งให้ลบบัญชีผู้ใช้ที่ไม่มีการเคลื่อนไหวออกจากระบบภาครัฐ ซึ่งเป็นบัญชีกลุ่มที่มีความเสี่ยงสูงเป็นพิเศษ เพราะเจ้าของบัญชีมักไม่ได้เข้าใช้งานจึงไม่มีใครสังเกตเห็นความผิดปกติหากบัญชีนั้นถูกสวมรอย ขณะที่ตำรวจไซเบอร์ดำเนินการคู่ขนานด้วยการตรวจสอบหมายเลข IP และหมายเลขโทรศัพท์ที่เชื่อมโยงกับการดึงข้อมูล พร้อมยึดเซิร์ฟเวอร์ที่เชื่อว่าถูกใช้ตรวจสอบความถูกต้องของข้อมูลก่อนนำไปขาย

รากของปัญหา — ทำไมรหัสผ่านอย่างเดียวถึงไม่พอ

รูปแบบการโจมตีที่พบในเหตุการณ์ชุดนี้ไม่ใช่การหาช่องโหว่ในซอฟต์แวร์แล้วยิงเอ็กซ์พลอยต์ แต่เป็นการได้ข้อมูลรับรองที่ถูกต้องมาก่อน แล้วเดินเข้าประตูหน้าอย่างสุภาพ เมื่อระบบตรวจสอบเพียงว่าชื่อผู้ใช้กับรหัสผ่านตรงกันหรือไม่ ระบบก็ไม่มีทางแยกออกว่าคนที่ล็อกอินเข้ามาเป็นเจ้าหน้าที่ตัวจริงหรือเป็นคนอื่นที่ถือรหัสผ่านเดียวกัน

ต้นทางของรหัสผ่านที่หลุดส่วนใหญ่มาจากมัลแวร์ขโมยข้อมูลประเภท infostealer ที่ติดอยู่บนเครื่องคอมพิวเตอร์ของเจ้าหน้าที่ ซึ่งมักมาพร้อมกับซอฟต์แวร์ละเมิดลิขสิทธิ์หรือไฟล์ที่ดาวน์โหลดจากแหล่งไม่น่าเชื่อถือ มัลแวร์กลุ่มนี้จะกวาดรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์ คุกกี้เซสชัน และโทเคนต่าง ๆ ส่งกลับไปให้ผู้ควบคุม จากนั้นข้อมูลจะถูกจัดชุดขายต่อในตลาดมืดเป็นล็อต ๆ

เมื่อรหัสผ่านหลุดไปแล้ว การเปลี่ยนรหัสผ่านช่วยตัดวงจรได้เฉพาะกรณีที่เครื่องต้นทางสะอาดแล้วเท่านั้น หากเครื่องยังติดมัลแวร์อยู่ รหัสผ่านใหม่ก็จะถูกขโมยซ้ำในรอบถัดไป นี่คือเหตุผลที่ MFA มีความสำคัญกว่าการเปลี่ยนรหัสผ่าน เพราะแม้ผู้โจมตีจะถือรหัสผ่านที่ถูกต้อง ก็ยังต้องผ่านการยืนยันชั้นที่สองที่ไม่ได้อยู่บนเครื่องที่ติดมัลแวร์

ผลกระทบต่อไทย

มาตรการชุดนี้กระทบโดยตรงต่อทุกหน่วยงานราชการที่มีระบบสารสนเทศของตัวเอง ซึ่งหมายถึงงานเร่งด่วนที่ต้องทำให้เสร็จภายใน 15 วันในระดับที่หลายหน่วยงานไม่เคยทำมาก่อน ทั้งการจัดทำบัญชีรายการระบบทั้งหมดที่หน่วยงานถือครอง การระบุว่าระบบไหนยังใช้งานอยู่จริง และการปิดช่องทางหลังบ้านของระบบที่เลิกใช้ ปัญหาในทางปฏิบัติคือหลายหน่วยงานไม่มีบัญชีรายการระบบที่เป็นปัจจุบัน โดยเฉพาะระบบที่พัฒนาโดยผู้รับจ้างภายนอกและหมดสัญญาดูแลไปนานแล้ว

สำหรับประชาชน ผลที่จับต้องได้ในระยะสั้นคือการล็อกอินเข้าใช้บริการภาครัฐจะมีขั้นตอนเพิ่มขึ้น โดยเฉพาะบริการที่ผูกกับ ThaID ซึ่งจะกลายเป็นช่องทางยืนยันตัวตนหลัก ส่วนความเสี่ยงที่ยังคงอยู่คือข้อมูลที่รั่วออกไปแล้วไม่สามารถเรียกคืนได้ ข้อมูลชุดนั้นจะยังหมุนเวียนอยู่ในมือมิจฉาชีพและถูกใช้ประกอบการหลอกลวงแบบเจาะจงตัวบุคคลต่อไปอีกนาน เพราะเลขบัตรประชาชน ที่อยู่ และข้อมูลทะเบียนรถเป็นข้อมูลที่เปลี่ยนไม่ได้เหมือนรหัสผ่าน

ในเชิงกำกับดูแล เหตุการณ์นี้ยังเป็นบททดสอบว่าอำนาจตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 จะถูกใช้บังคับกับหน่วยงานที่ไม่ทำตามกรอบเวลาอย่างไร เพราะที่ผ่านมาการสั่งการลักษณะนี้มักจบลงด้วยการรายงานผลบนกระดาษมากกว่าการตรวจสอบจริงในระบบ

คำแนะนำ

สำหรับผู้ดูแลระบบภาครัฐ ควรเริ่มจากการทำบัญชีรายการระบบและบัญชีผู้ใช้ทั้งหมดก่อนเป็นอันดับแรก เพราะไม่มีทางปิดสิ่งที่ไม่รู้ว่ามีอยู่ จากนั้นจึงไล่ปิดปลายทางที่เปิดสู่อินเทอร์เน็ตของระบบที่เลิกใช้ ทั้งหน้าเว็บ ช่องทาง API และฐานข้อมูลที่ยังรับการเชื่อมต่ออยู่

การเปลี่ยนรหัสผ่านควรทำหลังจากตรวจสอบและล้างเครื่องปลายทางของเจ้าหน้าที่แล้ว มิฉะนั้นรหัสผ่านชุดใหม่จะหลุดซ้ำทันที ควรบังคับให้เครื่องที่ใช้เข้าถึงระบบสำคัญเป็นเครื่องที่หน่วยงานควบคุมได้ ติดตั้งซอฟต์แวร์ป้องกันที่อัปเดตอยู่เสมอ และห้ามใช้ซอฟต์แวร์ละเมิดลิขสิทธิ์โดยเด็ดขาด

ในการเปิดใช้ MFA ควรเริ่มจากบัญชีที่มีสิทธิ์สูงและบัญชีที่เข้าถึงข้อมูลส่วนบุคคลจำนวนมากก่อน แล้วจึงขยายไปยังบัญชีทั่วไป พร้อมกันนั้นควรเพิ่มการบันทึกและเฝ้าระวังพฤติกรรมการเรียกดูข้อมูล เช่น การตั้งเพดานจำนวนรายการที่บัญชีหนึ่งเรียกดูได้ต่อวัน และการแจ้งเตือนเมื่อมีการล็อกอินจากตำแหน่งหรือช่วงเวลาที่ผิดปกติ เพราะการยืนยันตัวตนช่วยกันคนแปลกหน้าได้ แต่ไม่ช่วยกันบัญชีที่ถูกสวมรอยจากเครื่องที่ยึดได้แล้ว

แหล่งอ้างอิง