‘ไชยชนก’ เผยพบข้อมูลรั่วไหล ภาครัฐถึง 30,000 ระบบ เอกชน 35,000 ระบบ ไทยมีข้อมูลล็อกอินรั่วไหลสะสมกว่า 200 ล้านล็อกอิน เตรียมชงเข้า ครม.พรุ่งนี้ บังคับใช้ MFA ล้างระบบร้าง 15 วัน
เมื่อวันที่ 10 ส.ค.2569 ที่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) จัดงานแถลงข่าว “การยกระดับมาตรการหน่วยงานรัฐ เพื่อคุ้มครองข้อมูลประชาชน” นายไชยชนก ชิดชอบ รมว.ดีอี เปิดเผยว่า วันที่ 11 ส.ค. กระทรวงดีอีจะนำมาตรการด้านความมั่นคงปลอดภัยไซเบอร์เสนอต่อคณะรัฐมนตรี (ครม.) โดยเน้นการผลักดันให้หน่วยงานรัฐใช้การยืนยันตัวตนหลายปัจจัย (MFA) ควบคู่กับมาตรการเร่งด่วนในการบังคับเปลี่ยนรหัสผ่านระบบภาครัฐทันที
นายไชยชนก กล่าวว่า ข้อมูลที่กระทรวงรวบรวมเพิ่มเติมพบว่าทั่วโลกมีข้อมูลล็อกอินที่เคยรั่วไหลและถูกสะสมประมาณ 50,000 ล้านล็อกอิน ขณะที่ประเทศไทยมีข้อมูลล็อกอินรั่วไหลสะสมกว่า 200 ล้านล็อกอิน โดยพบระบบภาครัฐที่มีข้อมูลล็อกอินรั่วไหลประมาณ 30,000 ระบบ และภาคเอกชนมากกว่า 35,000 ระบบ ทั้งนี้ ข้อมูลดังกล่าวเป็นข้อมูลที่เคยรั่วไหลและถูกเก็บสะสมในฐานข้อมูลต่างๆ รวมถึง Dark Web ไม่ได้หมายความว่าทุกบัญชียังใช้งานอยู่
นายไชยชนก กล่าวว่า ส่วนกรณีข้อมูลประชาชนรั่วไหลล่าสุด ไม่ได้เกิดจากการถูกแฮกระบบ Cyber Security โดยตรง แต่เป็นกรณี Credential Leak หรือรหัสผ่านและข้อมูลเข้าสู่ระบบรั่วไหล ก่อนถูกนำไปซื้อขายบน Dark Web แล้วนำมาเข้าสู่ระบบผ่านช่องทางปกติ รวมถึง API ที่เชื่อมต่อกับระบบ ดังนั้น การแก้ปัญหาไม่ใช่เพียงอุดช่องโหว่ แต่ต้องตัดวงจรข้อมูลล็อกอินที่รั่วไหลด้วยการเปลี่ยนรหัสผ่านและยกระดับการยืนยันตัวตน
“การรีเซ็ตรหัสผ่านเป็นเพียงมาตรการระยะสั้นเพื่อซื้อเวลา เพราะรหัสผ่านใหม่ก็สามารถถูกขโมยได้อีก หากผู้ใช้งานถูกหลอกให้กดลิงก์หรือกรอกข้อมูลในช่องทางที่ไม่ปลอดภัย ทั้งนี้ มาตรการที่ทำได้ทันทีคือ Force Reset หรือบังคับเปลี่ยนรหัสผ่านใหม่ในระบบภาครัฐทั้งหมด เพื่อให้รหัสผ่านเดิมที่อาจอยู่ในฐานข้อมูลรั่วไหลไม่สามารถนำกลับมาใช้ได้
นายไชยชนก กล่าวว่า กระทรวงจะไม่นำเฉพาะบัญชีที่พบว่ารหัสผ่านรั่วมาตรวจสอบ แต่จะนำระบบภาครัฐประมาณ 30,000 ระบบมาตรวจสอบใหม่ทั้งหมด ทั้งระบบที่ยังใช้งาน ระบบที่เลิกใช้งาน ระบบที่เปิดให้เข้าถึงจากภายนอก และระบบหลังบ้านที่อาจยังมีช่องทางเข้าถึงได้ แม้หน่วยงานจะเข้าใจว่าปิดไปแล้ว โดยตั้งเป้าการทำความสะอาดระบบ (Cleansing) และปิดระบบที่ไม่จำเป็นภายใน 15 วัน
นายไชยชนกกล่าวว่า อย่างไรก็ตาม สำหรับการใช้ MFA ไม่ได้หมายถึงเพียงแค่ 2 ปัจจัย แต่ต้องพิจารณาตามความเหมาะสมและความเสี่ยงของแต่ละระบบ เพื่อป้องกันกรณีรหัสผ่านรั่วไหลแล้วผู้ไม่หวังดีสามารถเข้าสู่ระบบได้ทันที โดยมาตรการดังกล่าวต้องทำควบคู่กับการปรับปรุงโครงสร้างระบบ การจัดการสิทธิการเข้าถึง และการบริหารความเสี่ยง
นายไชยชนก กล่าวว่า ทั้งนี้ กระทรวงฯ เตรียมเรียกทุกกระทรวงและหน่วยงานระดับกรมกว่า 300 แห่ง เข้ามาทบทวนระบบทั้งหมด ตั้งแต่โครงสร้าง ระบบที่มีอยู่ ช่องทางการเข้าถึง และมาตรการรักษาความปลอดภัย พร้อมพิจารณานำ Cyber Security และ Digitalization เข้าเป็น KPI รวมถึงเชื่อมโยงกับงบประมาณ
ทั้งนี้ ข้อมูลล็อกอินกว่า 200 ล้านรายการของไทยพบว่าส่วนใหญ่เป็นข้อมูลสะสมจากหลายปี โดยช่วงโควิด-19 อย่างไรก็ตาม รัฐยังไม่สามารถรับประกันได้ว่าจะไม่มีข้อมูลรั่วไหลอีก แต่จะเร่งทำให้ระบบปลอดภัยที่สุด ด้วยการบริหารความเสี่ยงที่ดีที่สุด ทั้งการใช้ MFA การปิดระบบที่ไม่จำเป็น และการยกระดับมาตรฐาน Cyber Security ในระยะยาว
