สรุปสั้น
กองบัญชาการตำรวจสอบสวนกลางเรียกประชุมคณะพนักงานสืบสวนสอบสวนเมื่อวันที่ 13 สิงหาคม 2569 เพื่อสรุปความคืบหน้าคดีข้อมูลส่วนบุคคลของประชาชนรั่วไหลจากระบบภาครัฐและถูกนำไปประกาศขายบนดาร์กเว็บ ผลการตรวจสอบเบื้องต้นที่ตำรวจแถลงออกมามีสาระสำคัญคือฐานข้อมูลของหน่วยงานยังไม่ปรากฏหลักฐานว่าถูกเจาะเข้าไปโดยตรง แต่ผู้กระทำผิดใช้วิธีเข้าถึงข้อมูลบัญชีของบุคคลที่มีสิทธิ์ใช้งานระบบอยู่แล้ว จากนั้นจึงล็อกอินเข้าไปเรียกดูและดึงข้อมูลออกมาเหมือนเป็นเจ้าหน้าที่ตัวจริง
ชุดสืบสวนไล่ตามหมายเลข IP ที่เข้ามาในระบบจนพบต้นทางอยู่ในพื้นที่จังหวัดแพร่และจังหวัดปทุมธานี จึงขอหมายเข้าตรวจค้นและยึดคอมพิวเตอร์จากสองจุดส่งตรวจพิสูจน์ทางนิติวิทยาศาสตร์ดิจิทัล ประเด็นที่ทำให้คดีนี้ต่างจากคดีลักษณะเดียวกันคือผู้เกี่ยวข้องส่วนหนึ่งเป็นเยาวชนที่รวมกลุ่มกันด้วยความชื่นชอบการขุดค้นข้อมูล ตำรวจจึงต้องดำเนินการตามกระบวนการที่กฎหมายกำหนดสำหรับเด็กและเยาวชน โดยเชิญมาให้ข้อมูลพร้อมผู้ปกครองแทนการจับกุมทันที
ช่องทางที่ใช้กระจายและซื้อขายข้อมูลไม่ได้จำกัดอยู่บนดาร์กเว็บเท่านั้น แต่ยังพบการซื้อขายผ่าน Telegram และ Discord ซึ่งเป็นแพลตฟอร์มที่เข้าถึงง่ายและอยู่ในการใช้งานปกติของกลุ่มวัยรุ่น ตำรวจยังฝากเตือนไปยังผู้ปกครองให้ติดตามพฤติกรรมการใช้งานออนไลน์ของบุตรหลาน และขอให้ผู้ใหญ่หยุดส่งเสริมหรือยุยงให้เด็กทำสิ่งเหล่านี้ เพราะการกระทำดังกล่าวมีโทษตามกฎหมายและอาจส่งผลกับอนาคตของเด็กในระยะยาว
รายละเอียดข่าว
เว็บไซต์เดลินิวส์รายงานเมื่อวันที่ 13 สิงหาคม 2569 ว่า กองบัญชาการตำรวจสอบสวนกลางได้เรียกประชุมคณะพนักงานสืบสวนสอบสวนเพื่อติดตามความคืบหน้าคดีข้อมูลส่วนบุคคลของประชาชนที่ถูกนำไปเผยแพร่และประกาศขายบนดาร์กเว็บ ซึ่งเป็นคดีที่ต่อเนื่องมาจากเหตุข้อมูลผู้ครอบครองรถยนต์หลุดว่อนอินเทอร์เน็ตเมื่อต้นเดือนสิงหาคม
ข้อสรุปที่ตำรวจให้ไว้ในการประชุมครั้งนี้คือ ยังไม่พบหลักฐานว่าฐานข้อมูลของหน่วยงานภาครัฐถูกเจาะเข้าไปโดยตรง สิ่งที่เกิดขึ้นคือผู้กระทำผิดได้ข้อมูลส่วนตัวของบุคคลที่มีสิทธิ์เข้าถึงระบบมาก่อน แล้วใช้ข้อมูลนั้นล็อกอินเข้าสู่ระบบเพื่อสืบค้นและดึงข้อมูลออกมา ซึ่งสอดคล้องกับคำชี้แจงของกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมก่อนหน้านี้ที่ระบุว่าเหตุการณ์นี้เป็นเรื่องของข้อมูลรับรองการเข้าใช้งานที่หลุดออกไป ไม่ใช่การเจาะช่องโหว่ของระบบ
ในทางสืบสวน ชุดทำงานได้ตรวจสอบต้นทางของหมายเลข IP ที่เข้ามาในระบบและพบว่าต้นทางอยู่ในพื้นที่จังหวัดแพร่และจังหวัดปทุมธานี จึงเข้าตรวจค้นเป้าหมายและยึดคอมพิวเตอร์จากสองจุดเพื่อส่งตรวจพิสูจน์ทางนิติวิทยาศาสตร์ดิจิทัล โดยจะนำผลการตรวจไปเชื่อมโยงกับพยานหลักฐานอื่น เช่น ประวัติการล็อกอินและรายการสืบค้นในระบบของหน่วยงานที่เกี่ยวข้อง
รายงานระบุว่าผู้ที่ตำรวจเชิญมาให้ข้อมูลเป็นกลุ่มเยาวชนที่รวมตัวกันด้วยความสนใจในการขุดค้นข้อมูล ไม่ได้มีลักษณะเป็นองค์กรอาชญากรรมที่จัดตั้งขึ้นเพื่อทำเรื่องนี้โดยเฉพาะ แต่ข้อมูลที่ถูกดึงออกมาถูกนำไปประกาศขายจริงและมีผู้ซื้อจริง ทำให้การกระทำเข้าข่ายความผิดตามกฎหมายไม่ว่าจะทำด้วยแรงจูงใจใดก็ตาม ตำรวจจึงดำเนินการตามกระบวนการสำหรับเด็กและเยาวชน คือเชิญมาสอบถามพร้อมผู้ปกครองและสหวิชาชีพ แทนการจับกุมและควบคุมตัวทันที
ช่องทางการซื้อขายที่พบไม่ได้อยู่บนดาร์กเว็บเพียงอย่างเดียว แต่กระจายอยู่บน Telegram และ Discord ด้วย ซึ่งเป็นจุดที่ทำให้การเข้าถึงตลาดข้อมูลผิดกฎหมายง่ายขึ้นมากเมื่อเทียบกับอดีตที่ต้องผ่านเบราว์เซอร์เฉพาะทางและเครือข่ายที่ตั้งค่ายาก ผู้ซื้อบางรายเป็นกลุ่มมิจฉาชีพที่นำข้อมูลไปใช้ประกอบการหลอกลวงทางโทรศัพท์ เพราะการรู้ชื่อ ที่อยู่ และรายละเอียดทรัพย์สินของเป้าหมายทำให้บทที่ใช้หลอกดูน่าเชื่อถือขึ้นมาก
คดีนี้ยังอยู่ระหว่างการสืบสวนเพื่อขยายผลหาผู้ร่วมขบวนการรายอื่น ทั้งผู้ที่เป็นต้นทางของบัญชีที่ถูกนำไปใช้ ผู้ที่ทำหน้าที่รวบรวมและจัดชุดข้อมูล และผู้ที่รับซื้อไปใช้ต่อ โดยยังไม่มีการแจ้งข้อกล่าวหาต่อบุคคลใดอย่างเป็นทางการในการแถลงครั้งนี้
วิธีการเข้าถึงข้อมูล — เมื่อไม่ต้องเจาะระบบก็ได้ข้อมูล
รูปแบบที่ตำรวจอธิบายคือการสวมบัญชีที่มีสิทธิ์อยู่แล้ว ไม่ใช่การเจาะช่องโหว่ ซึ่งเป็นรูปแบบที่ตรวจจับยากกว่ามาก เพราะการเรียกดูข้อมูลที่เกิดขึ้นจะปรากฏในบันทึกระบบเหมือนกับที่เจ้าหน้าที่ตัวจริงทำงานตามปกติทุกประการ ระบบตรวจจับที่ตั้งค่าไว้จับการโจมตีจะไม่เห็นอะไรผิดปกติเลย เพราะไม่มีเพย์โหลดแปลกปลอม ไม่มีการยกระดับสิทธิ์ และไม่มีการเชื่อมต่อจากเครื่องมือแฮ็กใด ๆ
สิ่งที่จะเผยให้เห็นความผิดปกติได้คือมิติเชิงพฤติกรรม เช่น บัญชีเดียวเรียกดูข้อมูลจำนวนมากผิดปกติในเวลาสั้น ๆ การล็อกอินจากหมายเลข IP ที่ไม่เคยใช้มาก่อนหรืออยู่คนละจังหวัดกับที่ตั้งของหน่วยงาน การใช้งานนอกเวลาราชการติดต่อกัน หรือการสืบค้นข้อมูลบุคคลที่ไม่เกี่ยวข้องกับหน้าที่ของบัญชีนั้น แต่การเฝ้าระวังในมิตินี้ต้องมีการเก็บบันทึกที่ครบถ้วนและมีคนหรือระบบคอยดูจริง ซึ่งเป็นสิ่งที่หน่วยงานจำนวนมากยังไม่มี
ส่วนต้นทางของบัญชีที่ถูกนำไปใช้นั้น หลักฐานที่ปรากฏในคดีชุดเดียวกันชี้ไปที่มัลแวร์ขโมยข้อมูลบนเครื่องคอมพิวเตอร์ของเจ้าหน้าที่ ซึ่งกวาดรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์และคุกกี้เซสชันส่งออกไปขายเป็นชุด ทำให้ผู้ซื้อได้กุญแจเข้าระบบมาโดยไม่ต้องมีความรู้ทางเทคนิคระดับสูงเลย
ผลกระทบต่อไทย
ข้อสรุปของตำรวจที่ว่าฐานข้อมูลไม่ได้ถูกเจาะโดยตรงมีความหมายสองด้าน ด้านหนึ่งคือระบบของหน่วยงานอาจไม่ได้มีช่องโหว่ร้ายแรงอย่างที่หลายฝ่ายกังวล แต่อีกด้านหนึ่งคือมาตรการป้องกันที่มีอยู่ไม่สามารถแยกแยะระหว่างเจ้าหน้าที่ตัวจริงกับผู้ที่ถือรหัสผ่านของเจ้าหน้าที่ได้เลย ซึ่งเป็นปัญหาที่แก้ด้วยการอุดช่องโหว่ไม่ได้ ต้องแก้ด้วยการเปลี่ยนวิธียืนยันตัวตนและการเฝ้าระวังพฤติกรรม
การที่ผู้เกี่ยวข้องเป็นเยาวชนสะท้อนว่าเครื่องมือและข้อมูลที่ใช้เข้าถึงระบบราชการหาได้ง่ายเกินไป กลุ่มที่ไม่มีทรัพยากรระดับอาชญากรรมข้ามชาติก็สามารถเข้าถึงข้อมูลของบุคคลระดับสูงได้ ซึ่งหมายความว่าหากกลุ่มที่มีทรัพยากรและแรงจูงใจสูงกว่าลงมือ ผลกระทบจะรุนแรงกว่านี้มาก
สำหรับประชาชนทั่วไป ความเสี่ยงที่ตามมาโดยตรงคือการหลอกลวงแบบเจาะจงตัวบุคคล เพราะข้อมูลที่รั่วออกไปประกอบด้วยชื่อ ที่อยู่ เลขบัตรประชาชน และรายละเอียดทรัพย์สิน ซึ่งเพียงพอให้มิจฉาชีพสร้างบทสนทนาที่ทำให้เหยื่อเชื่อว่ากำลังคุยกับเจ้าหน้าที่จริง ต่างจากการหลอกลวงแบบหว่านแหที่สังเกตได้ง่ายกว่า
คำแนะนำ
หน่วยงานที่มีระบบให้เจ้าหน้าที่สืบค้นข้อมูลประชาชนควรเพิ่มการควบคุมในระดับพฤติกรรม ไม่ใช่แค่ระดับการเข้าสู่ระบบ เช่น กำหนดเพดานจำนวนรายการที่บัญชีหนึ่งเรียกดูได้ต่อวัน ตั้งการแจ้งเตือนอัตโนมัติเมื่อมีการเรียกดูเกินเพดานหรือเรียกดูข้อมูลบุคคลที่มีความอ่อนไหว และเก็บบันทึกการเรียกดูให้ตรวจสอบย้อนหลังได้ว่าใครดูข้อมูลของใครเมื่อไร
ควรบังคับใช้การยืนยันตัวตนหลายปัจจัยกับทุกบัญชีที่เข้าถึงข้อมูลส่วนบุคคล และผูกการเข้าถึงระบบไว้กับเครื่องหรือเครือข่ายที่หน่วยงานควบคุมได้ เพื่อให้การถือรหัสผ่านเพียงอย่างเดียวไม่เพียงพอต่อการเข้าระบบ พร้อมกับตรวจสอบและล้างเครื่องปลายทางของเจ้าหน้าที่ที่อาจติดมัลแวร์ขโมยข้อมูล
สำหรับประชาชน ควรตั้งสมมติฐานว่าข้อมูลส่วนตัวของตนอาจอยู่ในมือมิจฉาชีพแล้ว และยึดหลักว่าการที่ผู้โทรเข้ามารู้ข้อมูลส่วนตัวของเราไม่ใช่หลักฐานว่าเป็นเจ้าหน้าที่จริง หากมีการติดต่อมาแล้วเร่งให้โอนเงินหรือกดลิงก์ ให้วางสายแล้วโทรกลับไปยังเบอร์กลางของหน่วยงานนั้นด้วยตัวเองเสมอ ส่วนผู้ปกครองควรพูดคุยกับบุตรหลานให้เข้าใจว่าการเข้าถึงข้อมูลของผู้อื่นโดยไม่มีสิทธิ์เป็นความผิดตามกฎหมาย แม้จะทำด้วยความอยากรู้หรือเพื่ออวดในกลุ่มเพื่อนก็ตาม