สรุปสั้น

กระทรวงที่ดูแลงานดิจิทัลของเดนมาร์กแถลงเมื่อวันที่ 5 ตุลาคม 2569 ว่าผู้ไม่ได้รับอนุญาตเข้าถึงชื่อ ที่อยู่ และเลขประจำตัวประชาชนที่เรียกว่าเลข CPR ของคนราว 8.8 ล้านคนในทะเบียนราษฎรกลาง (Central Person Register หรือ CPR) ทั้งผู้ที่ยังมีชีวิตอยู่ ผู้ที่ย้ายไปต่างประเทศ และผู้เสียชีวิตแล้ว ตัวเลขนี้คิดเป็นราว 4 ใน 5 ของคนทั้งหมดราว 11 ล้านคนที่อยู่ในทะเบียน การเข้าถึงครั้งนี้ไม่ได้เกิดจากการเจาะระบบทะเบียนโดยตรง แต่ผู้โจมตีใช้สิทธิ์ค้นข้อมูลทะเบียนที่ถูกกฎหมายของบริษัทเอกชนขนาดเล็กแห่งหนึ่งในเดนมาร์ก แล้วยิงคำค้นอัตโนมัติจำนวนมากเพื่อหาเลข CPR ที่ใช้ได้จริง

การเข้าถึงกินเวลาราว 10 วันในเดือนกันยายน ก่อนที่เจ้าหน้าที่ของหน่วยงานทะเบียนจะสังเกตเห็นกิจกรรมผิดปกติเมื่อวันศุกร์ที่ 2 ตุลาคม หน่วยงานทะเบียนระงับสิทธิ์ของบริษัทดังกล่าว แจ้งหน่วยงานคุ้มครองข้อมูล Datatilsynet และตำรวจเริ่มสอบสวนแล้ว นาง Christina Egelund รัฐมนตรีผู้รับผิดชอบงานดิจิทัลยอมรับว่ามาตรการป้องกันการเข้าถึงลักษณะนี้ไม่แข็งแรงพอ และระบบควรส่งสัญญาณเตือนตั้งแต่เนิ่น ๆ ขณะที่คำถามสำคัญอีกสามข้อยังไม่มีคำตอบ ได้แก่ ผู้โจมตีเข้าถึงระบบของบริษัทได้อย่างไร เก็บหรือใช้ข้อมูลไปแล้วหรือไม่ และเป็นใคร

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 6 ตุลาคม 2569 อ้างแถลงการณ์ของกระทรวงดิจิทัลเดนมาร์กว่ามีการเข้าถึงข้อมูลในทะเบียนราษฎรกลางโดยไม่ได้รับอนุญาตในวงกว้าง โดยกระทรวงเตือนประชาชนว่าอย่าให้รหัสผ่านหรือข้อมูลลับใด ๆ กับผู้ที่โทรหรือส่งอีเมลมา แม้อีกฝ่ายจะดูเหมือนรู้ข้อมูลส่วนตัวของเราอยู่แล้วก็ตาม

หน่วยงาน Datatilsynet ระบุในประกาศเมื่อวันที่ 5 ตุลาคมว่ามีการค้นข้อมูลแบบอัตโนมัติจำนวนมากในทะเบียน เพื่อระบุเลข CPR ที่ใช้งานได้จริง โดยข้อมูลนี้มาจากการแจ้งเหตุที่หน่วยงานทะเบียนส่งให้เมื่อหนึ่งวันก่อนหน้า Datatilsynet ระบุว่ายังไม่ได้ประเมินกรณีนี้ และใช้คำว่าเลขเหล่านี้ “ถูกกล่าวหาว่า” ถูกดึงไป นาง Egelund ให้สัมภาษณ์กับสำนักข่าว Ritzau ว่าการเข้าถึงกินเวลาราว 10 วันในเดือนกันยายน และเกิดผ่านบริษัทขนาดเล็กของเดนมาร์ก เจ้าหน้าที่หน่วยงานทะเบียนสังเกตเห็นกิจกรรมผิดปกติในวันที่ 2 ตุลาคม และทราบจำนวนผู้ได้รับผลกระทบในช่วงสุดสัปดาห์ต่อมา

ตัวเลข 8.8 ล้านคนเป็นตัวเลขของกระทรวงและยังไม่ใช่ตัวเลขสุดท้าย ทะเบียน CPR บันทึกทุกคนที่อาศัยหรือเคยอาศัยในเดนมาร์กมาตั้งแต่ปี 2511 ในขณะที่ประชากรเดนมาร์กต้นปี 2568 มีไม่ถึง 6 ล้านคนตามข้อมูลของสำนักงานสถิติเดนมาร์ก ตัวเลขผู้ได้รับผลกระทบจึงสูงกว่าจำนวนประชากรปัจจุบันมาก กระทรวงระบุว่าการเข้าถึงอยู่ในขอบเขตข้อมูลที่บริษัทเอกชนได้รับอนุญาตให้รับได้ และไม่รวมชื่อและที่อยู่ของผู้ที่ลงทะเบียนขอคุ้มครองชื่อและที่อยู่ แต่แถลงการณ์ไม่ได้บอกว่าเลข CPR ของคนกลุ่มนี้ถูกเข้าถึงด้วยหรือไม่ และไม่ได้บอกว่าจะแจ้งผู้ได้รับผลกระทบเป็นรายบุคคลหรือไม่

วิธีการโจมตี

ภายใต้กฎหมาย CPR ฉบับปี 2566 บริษัทเอกชนสามารถขอรับข้อมูลจากทะเบียนเกี่ยวกับบุคคลที่ตนระบุตัวไว้แล้วเป็นรายคน โดยใช้เลข CPR เพียงอย่างเดียวก็ระบุตัวบุคคลเพื่อการนี้ได้ ข้อมูลที่บริษัทได้รับประกอบด้วยชื่อและที่อยู่ปัจจุบัน (ยกเว้นผู้ที่ขอคุ้มครอง) และสถานะอย่างการเสียชีวิต การย้ายไปต่างประเทศ หรือการตั้งค่าเตือนสินเชื่อ แนวปฏิบัติของทะเบียนระบุว่าบริษัทจะขอข้อมูลได้เฉพาะคนที่มีความสัมพันธ์กันอยู่แล้ว เช่น ลูกค้าหรือพนักงาน

จุดอ่อนอยู่ที่โครงสร้างของเลข CPR ซึ่งมี 10 หลัก แบ่งเป็นวันเดือนปีเกิด 6 หลัก และเลขลำดับ 4 หลัก โดยหลักสุดท้ายเป็นเลขคู่สำหรับเพศหญิงและเลขคี่สำหรับเพศชาย The Hacker News คำนวณว่ารูปแบบนี้มีเลขที่เป็นไปได้ไม่เกิน 10,000 เลขต่อวันเกิดหนึ่งวัน เมื่อระบบตอบกลับด้วยชื่อและที่อยู่ทุกครั้งที่เลขนั้นมีอยู่จริง ผู้ที่ถือสิทธิ์ค้นจึงสามารถไล่เลขแบบอัตโนมัติเพื่อแยกเลขที่ใช้ได้ และได้ชื่อกับที่อยู่ที่ผูกกับเลขนั้นมาพร้อมกัน อย่างไรก็ตาม ทั้ง Datatilsynet และกระทรวงยังไม่ได้ยืนยันว่าผู้โจมตีไล่เลขด้วยวิธีนี้จริง ระบุเพียงว่ามีการค้นเพื่อระบุเลขที่ใช้งานได้

กรณีนี้จึงเป็นการใช้สิทธิ์ที่ถูกกฎหมายในทางที่ผิด มากกว่าการเจาะช่องโหว่ของระบบทะเบียน และคำถามที่แถลงการณ์ยังไม่ได้อธิบายคือ ทำไมสิทธิ์ของบริษัทเพียงแห่งเดียวที่ควรใช้กับลูกค้าหรือพนักงานของตน จึงค้นได้ครอบคลุมราว 4 ใน 5 ของทั้งทะเบียนโดยไม่มีการจำกัดอัตราหรือการแจ้งเตือนตลอด 10 วัน

ผลกระทบ

แม้ข้อมูลที่หลุดจะเป็นเพียงชื่อ ที่อยู่ และเลข CPR แต่ในเดนมาร์กเลข CPR ใช้ในชีวิตประจำวันแทบทุกด้าน ตั้งแต่ระบบสาธารณสุข ธนาคาร ไปจนถึงบริการรัฐ ข้อมูลชุดนี้จึงเป็นวัตถุดิบชั้นดีสำหรับการหลอกลวงแบบเจาะจงตัว ที่มิจฉาชีพโทรหรือส่งข้อความโดยอ้างข้อมูลส่วนตัวที่ถูกต้องเพื่อสร้างความน่าเชื่อถือ แล้วหลอกเอารหัส MitID รหัส OTP หรือข้อมูลบัตร นอกจากนี้เลข CPR ยังมีวันเกิดและเพศฝังอยู่ในตัว ทำให้ข้อมูลที่ได้ละเอียดกว่าที่เห็นในรายการ

ในเชิงโครงสร้าง เหตุการณ์นี้สะท้อนความเสี่ยงของการเปิดสิทธิ์เข้าถึงฐานข้อมูลรัฐให้บุคคลที่สาม ซึ่งความปลอดภัยของทั้งระบบขึ้นอยู่กับผู้ถือสิทธิ์ที่อ่อนแอที่สุด บริษัทขนาดเล็กเพียงแห่งเดียวที่ถูกยึดระบบหรือถูกใช้ในทางที่ผิดก็เปิดทางไปสู่ข้อมูลของคนทั้งประเทศได้ หากผู้ดูแลทะเบียนไม่ได้กำหนดเพดานการค้นหรือเฝ้าดูพฤติกรรมการค้นที่ผิดปกติ รัฐมนตรีระบุว่ายังเร็วเกินไปที่จะบอกว่าประชาชนต้องเปลี่ยนเลข CPR หรือไม่ แม้กฎหมายจะเปิดช่องให้ออกเลขใหม่ในกรณีพิเศษที่เลขถูกนำไปใช้ในทางมิชอบอยู่แล้ว

คำแนะนำ

  • หน่วยงานที่เปิดสิทธิ์ค้นฐานข้อมูลบุคคลให้คู่ค้าหรือบริษัทภายนอก ควรกำหนดเพดานจำนวนคำค้นต่อวัน และแจ้งเตือนเมื่อปริมาณหรือรูปแบบการค้นผิดไปจากขนาดธุรกิจของผู้ถือสิทธิ์
  • ตรวจจับการไล่เลข เช่น คำค้นที่เป็นเลขเรียงต่อกัน อัตราคำค้นที่ไม่พบข้อมูลสูงผิดปกติ หรือการค้นนอกเวลาทำการต่อเนื่องหลายวัน
  • ผูกสิทธิ์ API กับการยืนยันตัวตนที่แข็งแรงและแหล่ง IP ที่กำหนด และทบทวนผู้ถือสิทธิ์เป็นระยะว่ายังมีความจำเป็นทางธุรกิจตามที่ขออนุญาตไว้
  • ไม่ใช้เลขประจำตัวประชาชนเป็นหลักฐานยืนยันตัวตนเพียงอย่างเดียว ตามที่แนวปฏิบัติของทะเบียนเดนมาร์กเองก็ระบุไว้
  • สำหรับประชาชน ให้ระวังข้อความ สาย หรืออีเมลที่อ้างข้อมูลส่วนตัว ไม่คลิกลิงก์ในข้อความที่ไม่คาดคิด ไม่ให้รหัส OTP หรือข้อมูลบัตรกับผู้ใด และพิจารณาตั้งค่าเตือนสินเชื่อหากระบบในประเทศรองรับ

แหล่งอ้างอิง