สรุปสั้น

บริษัท Thomson Reuters เปิดเผยเมื่อวันที่ 2 กันยายน 2569 ว่ามีผู้ไม่ได้รับอนุญาตดึงไฟล์ออกไปจาก C-Track ซึ่งเป็นแพลตฟอร์มจัดการสำนวนคดีที่หน่วยธุรกิจ West Publishing Corporation จำหน่ายให้ระบบศาล โดยเหตุการณ์เกิดขึ้นตั้งแต่เดือนมีนาคม 2569 และกระทบศาลใน 11 รัฐของสหรัฐอเมริกา หมู่เกาะเวอร์จินของสหรัฐฯ และรัฐออนแทรีโอของแคนาดา บริษัทระบุว่าตรวจพบกิจกรรมดังกล่าวเมื่อวันที่ 30 มิถุนายน 2569 แต่การเปิดเผยต่อสาธารณะเพิ่งเกิดขึ้นในต้นเดือนกันยายน ทำให้ช่วงเวลาระหว่างการตรวจพบกับการแจ้งเจ้าของข้อมูลห่างกันราวสองเดือน

ข้อมูลชุดย่อยของสำนวนคดีที่อาจได้รับผลกระทบครอบคลุมชื่อบุคคล หมายเลขประกันสังคม หมายเลขใบขับขี่ วันเดือนปีเกิด ข้อมูลทางการแพทย์ และข้อมูลประกันสุขภาพ ที่สำคัญกว่านั้นคือประกาศของ West Publishing ระบุว่า “ข้อมูลที่เป็นความลับ ข้อมูลที่ถูกปิดบัง หรือข้อมูลที่ถูกปิดผนึกบางส่วนอาจได้รับผลกระทบสำหรับศาลบางแห่ง” ซึ่งเป็นประเภทข้อมูลที่ระบบศาลกันไว้ไม่ให้เปิดเผยต่อสาธารณะโดยเจตนา ทั้งพยานที่ได้รับการคุ้มครอง คดีเยาวชน และประวัติที่ศาลสั่งปิด

จุดที่ยังคลุมเครือและควรจับตาคือคำอธิบายจากฝั่งผู้ให้บริการกับฝั่งศาลไม่ตรงกันว่าไฟล์ถูกดึงมาจากที่ใด ศาลอุทธรณ์รัฐแอละแบมาได้รับแจ้งว่าข้อมูลอยู่ในไฟล์สำรองภายในสภาพแวดล้อมคลาวด์ที่ศาลไม่เคยร้องขอและไม่เคยรับรู้ว่ามีอยู่ ขณะที่ศาลสูงสุดรัฐโอไฮโอกลับได้รับแจ้งว่าการเข้าถึงโดยไม่ได้รับอนุญาตเกิดขึ้น “บนแพลตฟอร์มที่ใช้งานจริงของศาล” นอกจากนี้จนถึงวันที่ 3 กันยายน ยังไม่มีฝ่ายใดเปิดเผยจำนวนผู้ได้รับผลกระทบ วิธีการที่ไฟล์ถูกดึงออกไป หรือตัวตนของผู้ก่อเหตุ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 กันยายน 2569 ว่า Thomson Reuters เปิดเผยการรั่วไหลของข้อมูลจากแพลตฟอร์ม C-Track ผ่านประกาศของ West Publishing Corporation ลงวันที่ 2 กันยายน 2569 พร้อมกับที่ระบบศาลของรัฐต่าง ๆ ออกแถลงการณ์ของตนเองในวันเดียวกัน ซึ่งรัฐมอนแทนาระบุว่าวันดังกล่าวถูกเลือกไว้เพื่อให้ผู้ให้บริการและรัฐอื่น ๆ ที่เกี่ยวข้องประกาศพร้อมกัน

ประกาศฉบับที่ The Hacker News ตรวจสอบเมื่อวันที่ 3 กันยายน 2569 ระบุองค์กรตุลาการ 24 แห่งใน 11 รัฐและหมู่เกาะเวอร์จินของสหรัฐฯ ประกอบด้วยศาลอุทธรณ์รัฐแอละแบมา ศาลอุทธรณ์รัฐเคนทักกี ศาลสูงสุดรัฐมอนแทนา ศาลอุทธรณ์รัฐเนวาดา ศาลสูงสุดรัฐนิวแฮมป์เชียร์ ศาลสูงสุดรัฐนอร์ทดาโคตา ศาลอุทธรณ์เขต 10 เขตของรัฐโอไฮโอ ศาลในรัฐเพนซิลเวเนียอีกหลายแห่ง ศาลสูงสุดและศาลอุทธรณ์รัฐเซาท์แคโรไลนา สำนักงานเสมียนศาลอุทธรณ์รัฐเทนเนสซี ฝ่ายตุลาการรัฐไวโอมิง และศาลสูงสุดกับศาลชั้นต้นของหมู่เกาะเวอร์จิน ส่วนฝั่งแคนาดาคือศาลอุทธรณ์ออนแทรีโอ ศาลยุติธรรมชั้นสูงออนแทรีโอ และศาลยุติธรรมออนแทรีโอ

ที่น่าสนใจคือรัฐมินนิโซตาไม่ปรากฏอยู่ในรายชื่อดังกล่าว แต่ฝ่ายตุลาการรัฐมินนิโซตาแถลงเองเมื่อวันที่ 2 กันยายนว่าข้อมูลจากศาลอุทธรณ์ของรัฐถูกเปิดเผยในเหตุการณ์นี้ พร้อมทั้งยกเลิกสิทธิ์การเข้าถึงสภาพแวดล้อมอิเล็กทรอนิกส์ของศาลที่ Thomson Reuters เคยมี และสั่งให้ผู้ใช้งานระบบจัดการคดีของศาลอุทธรณ์เปลี่ยนรหัสผ่านทั้งหมด โดยนางสาว Natalie Hudson ประธานศาลสูงสุดรัฐมินนิโซตา กล่าวว่าเธอ “กังวลอย่างยิ่งที่ข้อมูลของผู้ใช้บริการศาลของเราถูกละเมิด”

รัฐมอนแทนาให้รายละเอียดที่ชัดเจนที่สุดเรื่องลักษณะข้อมูล โดยระบุว่าสิ่งที่ถูกดึงไปคือข้อมูลสำรองที่เก็บไว้บนเซิร์ฟเวอร์ของ Thomson Reuters ซึ่งมาจากสำเนาฐานข้อมูลที่ “ถูกส่งให้ TR เพื่อวัตถุประสงค์ในการแก้ไขปัญหาของแอปพลิเคชัน” ฐานข้อมูลเหล่านั้นอาจมีหมายเลขคดี ชื่อและที่อยู่ของคู่ความ หมายเลขโทรศัพท์ คำอธิบายข้อกล่าวหาและรายการในสารบบความ และสำหรับบางคนที่ถูกตั้งข้อหาทางอาญายังมีหมายเลขใบขับขี่กับวันเดือนปีเกิดรวมอยู่ด้วย ทั้งนี้ช่วงเวลาที่มีการเข้าถึงพื้นที่จัดเก็บดังกล่าวโดยไม่ได้รับอนุญาตอยู่ระหว่างวันที่ 1 มีนาคมถึง 29 มิถุนายน 2569

ฝั่งรัฐไวโอมิงระบุว่าสิ่งที่ถูกนำไปเป็นข้อมูลย้อนหลังของศาลสูงสุดและศาลเขตของรัฐ ซึ่งส่วนใหญ่เกี่ยวข้องกับบุคคลที่มีเรื่องกับศาลเหล่านั้นระหว่างปี 2558 ถึง 2568 และการตรวจสอบเบื้องต้นชี้ว่า “ข้อมูลส่วนบุคคลอย่างจำกัด รวมถึงชื่อ ที่อยู่ และวันเดือนปีเกิด ถูกละเมิด” ขณะที่ศาลในหมู่เกาะเวอร์จินได้รับแจ้งเมื่อวันที่ 27 กรกฎาคม และยืนยันได้เพียงว่าข้อมูลที่ถูกเข้าถึง “เกี่ยวข้องกับโครงการติดตั้งระบบเมื่อปี 2561” ส่วนรัฐนอร์ทดาโคตาระบุว่าเหตุการณ์เกี่ยวข้องเฉพาะข้อมูลของศาลสูงสุดของรัฐเท่านั้น ศาลเขตและระบบ Odyssey ไม่ได้รับผลกระทบ และไม่มีหลักฐานว่าระบบ nCourt ที่ใช้ประมวลผลธุรกรรมทางการเงินถูกกระทบ พร้อมระบุว่า “มีการสอบสวนคดีอาญาที่ยังดำเนินอยู่สำหรับเหตุการณ์นี้”

ข้อมูลที่ถูกเข้าถึงและคำอธิบายที่ยังขัดกัน

ประเด็นที่ยังไม่ลงตัวและมีผลต่อการประเมินความเสี่ยงคือขอบเขตของสภาพแวดล้อมที่ถูกเจาะ ศาลอุทธรณ์รัฐแอละแบมาระบุว่า West Publishing แจ้งภายหลังว่าสำเนาข้อมูลศาลอุทธรณ์ของรัฐบางส่วนถูกเก็บไว้ในไฟล์สำรองภายในสภาพแวดล้อมคลาวด์ของบริษัท ซึ่งเป็นไฟล์สำรองที่ศาลไม่เคยร้องขอและไม่เคยรับรู้ว่ามีอยู่ โดยนางสาว Sarah Stewart ประธานศาลสูงสุดรัฐแอละแบมา กล่าวว่า “เหตุการณ์นี้เกิดขึ้นภายในระบบของผู้ให้บริการของเรา ไม่ใช่ระบบของเราเอง”

แต่ศาลสูงสุดรัฐโอไฮโอกลับแถลงว่า Thomson Reuters Court Management Solutions หรือ TRCMS แจ้งเมื่อวันที่ 31 สิงหาคมว่า “การเข้าถึงโดยไม่ได้รับอนุญาตเกิดขึ้นบนแพลตฟอร์มที่ใช้งานจริงของศาล” ซึ่งเป็นแพลตฟอร์มที่เก็บข้อมูลระบบยื่นฟ้องของศาลอุทธรณ์ 10 เขตในรัฐที่ใช้ C-Track โดยเขต 8 และเขต 10 ไม่ได้รับผลกระทบ ความต่างระหว่างสองคำอธิบายนี้ไม่ใช่รายละเอียดปลีกย่อย เพราะการถูกดึงไฟล์สำรองที่ค้างอยู่ในคลาวด์กับการถูกเข้าถึงระบบที่ใช้งานจริงหมายถึงความสดของข้อมูลและความเป็นไปได้ที่จะมีการแก้ไขข้อมูลต่างกันโดยสิ้นเชิง The Hacker News ระบุว่าได้ติดต่อ Thomson Reuters เพื่อขอความชัดเจนว่าสภาพแวดล้อมใดถูกเข้าถึงและศาลในรัฐมินนิโซตาได้รับผลกระทบหรือไม่ แต่ยังไม่ได้รับคำตอบ

ประเด็นที่ขัดกันอีกจุดคือเรื่องเอกสารคดี ทั้งรัฐมอนแทนาและรัฐมินนิโซตาต่างระบุว่าเอกสารในสำนวนคดีไม่ได้อยู่ในข้อมูลที่ถูกเข้าถึง ขณะที่ประกาศของผู้ให้บริการเองกลับระบุว่าข้อมูลที่ถูกปิดผนึกอาจได้รับผลกระทบสำหรับศาลบางแห่ง ส่วนศาลทั้งสามระดับของออนแทรีโอแถลงร่วมกันโดยประธานศาลทั้งสามท่านว่า Thomson Reuters ตรวจพบกิจกรรมภายในสภาพแวดล้อมคลาวด์แห่งหนึ่งของบริษัท และย้ำว่า “ยังไม่ชัดเจนว่าข้อมูลใดอาจถูกละเมิด” โดยผู้ที่เกี่ยวข้องกับกระบวนพิจารณาคดีหรือถูกกล่าวถึงในเอกสารของศาลล้วนอาจมีข้อมูลส่วนบุคคลรวมอยู่ด้วย

ในด้านการเยียวยา West Publishing เสนอบริการเฝ้าระวังเครดิต Experian IdentityWorks เป็นเวลา 12 เดือนให้ผู้ที่อาจได้รับผลกระทบ เปิดให้ลงทะเบียนถึงวันที่ 31 ธันวาคม 2569 พร้อมสายด่วน 1-833-918-5294 ที่ต้องใช้หมายเลขอ้างอิง B171847 ส่วนในแคนาดา Thomson Reuters Canada Limited เสนอบริการเฝ้าระวัง TransUnion myTrueIdentity 12 เดือน และเปิดศูนย์รับสายในวันที่ 4 กันยายน ขณะที่โฆษกของ Thomson Reuters ให้ข้อมูลกับสำนักข่าว Reuters ว่า “ไม่มีการหยุดชะงักในการปฏิบัติงานของ C-Track อันเป็นผลจากเหตุการณ์นี้” และบริษัทเห็นว่าแพลตฟอร์มยังปลอดภัยพอที่จะใช้งานต่อ ด้านศาลสูงสุดรัฐโอไฮโอระบุว่ายังไม่ได้รับรายละเอียดครบถ้วนของมาตรการความปลอดภัยที่ TRCMS แจ้งว่าได้นำมาใช้แล้ว

ผลกระทบ

ผลกระทบที่ชัดที่สุดคือข้อมูลที่หลุดเป็นชุดที่นำไปสวมรอยตัวตนได้ทันที ทั้งหมายเลขประกันสังคม หมายเลขใบขับขี่ วันเดือนปีเกิด และในบางกรณีมีข้อมูลทางการแพทย์กับข้อมูลประกันสุขภาพรวมอยู่ด้วย ข้อมูลชุดนี้ต่างจากรหัสผ่านตรงที่เปลี่ยนไม่ได้ ผลจึงยืดยาวไปหลายปีมากกว่าจะจบเมื่อเหตุการณ์ถูกปิด

ที่ร้ายแรงกว่าในบริบทของระบบยุติธรรมคือความเป็นไปได้ที่ข้อมูลปิดผนึกจะหลุดไปด้วย เพราะข้อมูลกลุ่มนี้ถูกกันไม่ให้เปิดเผยด้วยเหตุผลด้านความปลอดภัยของบุคคลโดยตรง ทั้งพยานที่ได้รับความคุ้มครอง ผู้เสียหายบางประเภท และคดีที่ศาลสั่งปิดเป็นการเฉพาะ การที่ผู้ให้บริการเองยอมรับว่าข้อมูลกลุ่มนี้อาจได้รับผลกระทบ ขณะที่ศาลบางแห่งยืนยันตรงข้าม ทำให้ผู้ที่อาจตกเป็นเหยื่อไม่สามารถประเมินความเสี่ยงของตัวเองได้จนกว่าจะมีข้อสรุปที่ตรงกัน

สำหรับองค์กรที่จ้างผู้ให้บริการภายนอกดูแลระบบสำคัญ บทเรียนที่ตรงที่สุดอยู่ที่คำแถลงของรัฐมอนแทนาและรัฐแอละแบมา กล่าวคือข้อมูลที่รั่วไม่ได้อยู่ในระบบของเจ้าของข้อมูล แต่เป็นสำเนาฐานข้อมูลที่ส่งให้ผู้ให้บริการเพื่อแก้ปัญหาทางเทคนิค และในกรณีของแอละแบมาเป็นไฟล์สำรองที่เจ้าของข้อมูลไม่เคยรู้ว่ามีอยู่เลย สำเนาที่ถูกสร้างขึ้นชั่วคราวเพื่องานสนับสนุนแล้วไม่ถูกลบจึงเป็นความเสี่ยงที่มองไม่เห็นจากฝั่งเจ้าของข้อมูล เพราะไม่ปรากฏในบัญชีทรัพย์สินหรือแผนผังการไหลของข้อมูลที่องค์กรทำไว้เอง

ข้อจำกัดของข้อมูลชุดนี้ที่ควรระบุไว้คือจนถึงวันที่ 3 กันยายน 2569 ยังไม่มีการเปิดเผยจำนวนผู้ได้รับผลกระทบ ไม่มีคำอธิบายว่าไฟล์ถูกดึงออกไปด้วยวิธีใด และไม่มีการระบุตัวผู้ก่อเหตุ อีกทั้งคำอธิบายเรื่องสภาพแวดล้อมที่ถูกเจาะยังขัดกันระหว่างศาลแต่ละแห่ง การประเมินขนาดความเสียหายที่แท้จริงจึงยังทำไม่ได้ในขณะนี้

คำแนะนำ

สำหรับหน่วยงานที่ใช้ C-Track หรือระบบจัดการงานสำคัญที่ผู้ให้บริการภายนอกดูแล ควรร้องขอรายการสำเนาข้อมูลทั้งหมดที่ผู้ให้บริการถือครองอยู่ ทั้งไฟล์สำรอง สำเนาสำหรับแก้ปัญหา และสภาพแวดล้อมทดสอบ พร้อมกำหนดเวลาลบที่ตรวจสอบได้ ไม่ใช่เพียงคำรับรองด้วยวาจา

ควรทบทวนสัญญาและข้อตกลงระดับบริการให้ระบุชัดว่าผู้ให้บริการต้องแจ้งเหตุภายในกี่วันนับจากตรวจพบ เพราะในกรณีนี้ระยะเวลาจากการตรวจพบเมื่อวันที่ 30 มิถุนายนถึงการแจ้งศาลระหว่างวันที่ 23 ถึง 27 กรกฎาคม และการเปิดเผยต่อสาธารณะในวันที่ 2 กันยายน รวมแล้วกว่าสองเดือน ซึ่งเป็นช่วงที่ผู้ได้รับผลกระทบไม่มีโอกาสป้องกันตัวเอง

ในทางเทคนิค ควรบังคับให้การส่งข้อมูลจริงออกไปนอกองค์กรเพื่องานสนับสนุนต้องผ่านการปกปิดข้อมูลหรือใช้ข้อมูลสังเคราะห์แทน หากจำเป็นต้องส่งข้อมูลจริงต้องมีการอนุมัติเป็นรายครั้งและมีการติดตามว่าสำเนานั้นถูกทำลายเมื่อใด รวมทั้งจำกัดสิทธิ์ของบัญชีผู้ให้บริการที่เข้าถึงสภาพแวดล้อมอิเล็กทรอนิกส์ขององค์กรและทบทวนสิทธิ์เหล่านั้นเป็นระยะ ดังที่ฝ่ายตุลาการรัฐมินนิโซตาเลือกยกเลิกสิทธิ์การเข้าถึงทั้งหมดทันทีหลังทราบเหตุ

สำหรับบุคคลที่เคยมีเรื่องกับศาลในรัฐที่ปรากฏชื่อ ควรลงทะเบียนใช้บริการเฝ้าระวังเครดิตที่ผู้ให้บริการจัดให้ภายในกำหนด และเฝ้าระวังรายงานเครดิตกับเอกสารเรียกเก็บเงินด้านสุขภาพของตนเอง เนื่องจากข้อมูลที่หลุดเพียงพอสำหรับการเปิดบัญชีในชื่อผู้อื่นและการฉ้อโกงด้านประกันสุขภาพ

แหล่งอ้างอิง