3 ปมคาใจ ‘ข้อมูลลูกค้าหลุด’ ที่ทรูมูฟ เอช ยังตอบไม่เคลียร์

กรณีที่เกิดขึ้นถูกตั้งข้อสังเกตเพิ่มเติมจากสาธารณะว่า เพราะเหตุใด บริษัทจึงดำเนินการเเก้ไขล่าช้า ทั้งที่นาย Niall Merrigan ได้ประสานงานไปยังบริษัทผ่านทวิตเตอร์ เพื่อเเจ้งเตือนเหตุการณ์ดังกล่าว เเละขอช่องทางติดต่อกับผู้รับผิดชอบของเรื่องตั้งเเต่วันที่ 8 มี.ค. 2561

“ทีมงานของ ไอทรู มาร์ท รู้สึกเสียใจ และต้องกราบขออภัยในการที่ต้องทำให้ลูกค้าเกิดผลกระทบ” คำขอโทษจาก นายสืบสกุล สกลสัตยาทร กรรมการผู้จัดการบริษัท แอสเซนต์ คอมเมิร์ซ จำกัด (ไอทรู มาร์ท) ต่อกรณีการปล่อยให้ข้อมูลสำเนาบัตรประจำตัวประชาชนของลูกค้า จำนวน 1,1400 รายชื่อ หลุดออกไป โดยไม่มีการปิดกั้น

หลังจากนายสืบสกุล สกลสัตยาทร พร้อมด้วย นายภัคพงศ์ พัฒนมาศ รองผู้อำนวยการธุรกิจโมบายล์ บมจ.ทรู คอร์ปอเรชั่น เข้าชี้แจงข้อเท็จจริงต่อสำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ (สำนักงาน กสทช.) เมื่อ 17 เม.ย. 2561 ไปแล้ว โดยยืนยันว่า กรณีดังกล่าวไม่ได้เกิดจากความหละหลวมขององค์กร แต่เกิดจากการถูกแฮกข้อมูลโดยผู้เชี่ยวชาญระดับมืออาชีพที่ใช้เครื่องมือพิเศษเข้าถึงข้อมูลจนทำให้ถูกเปิดเผยออกมา และบริษัทฯ ทราบเรื่องตั้งแต่วันที่ 11 เม.ย. 2561 และได้สั่งปิดระบบดังกล่าวแล้ว ในช่วงเวลา 19 นาฬิกา ของวันที่ 12 เม.ย. 2561

(อ่านประกอบ:ทรูแจงปมข้อมูลลูกค้า 1.14 หมื่นชื่อหลุด ถูกแฮกจากมืออาชีพ -แจ้งความบันทึกประจำวันแล้ว)

คำแถลงของผู้บริหารทั้งสองบริษัท กำลังชี้ให้เห็นว่า ความผิดพลาดในกรณีดังกล่าวนั้นเกิดจากการ "ถูกแฮก" ข้อมูลมากกว่า "ความหละหลวม" ของผู้ใช้งาน ซึ่งมีโอกาสที่บริษัทจะเอาผิดกับนาย Niall Merrigan นักวิจัยด้านความปลอดภัย

นอกจากนี้ นายภัคพงศ์ พัฒนมาศ ยังระบุด้วยว่า หากพบว่ามีประเด็นใด ๆ ที่ส่งผลกระทบต่อบริษัท คงไม่ลังเลที่จะดำเนินการ

อย่างไรก็ตาม กรณีที่เกิดขึ้น ถูกตั้งข้อสังเกตเพิ่มเติมจากสาธารณะว่า เพราะเหตุใด บริษัทจึงดำเนินการเเก้ไขล่าช้า ทั้งที่นาย Niall Merrigan ได้ประสานงานไปยังบริษัทผ่านทวิตเตอร์ เพื่อเเจ้งเตือนเหตุการณ์ดังกล่าว เเละขอช่องทางติดต่อกับผู้รับผิดชอบของเรื่องตั้งเเต่วันที่ 8 มี.ค. 2561 ซึ่งบัญชีทวิตเตอร์ของบริษัทได้ตอบกลับไปในวันเดียวกัน เเละขอให้ส่งรายละเอียดผ่านอีเมล [email protected] 

ข้อมูลจากเพจ 'ลงทุนเเมน' ระบุว่า นาย Niall Merrigan ได้ส่งหลักฐาน เช่น รายงานของรายละเอียดการค้นพบ ตัวอย่างเอกสารที่รั่วไหล ไปในอีเมลดังกล่าว เเละได้รับคำตอบกลับมาว่า "ทางบริษัทไม่มีหน่วยงานรักษาความปลอดภัย ทางเราเเนะนำให้ติดต่อผ่านเลขหมายโดยตรง"

ทำให้เขาต้องประสานงานผ่านเพื่อนที่อยู่ในสำนักข่าว The Register หรือ El Reg เพื่อให้ช่วยติดต่อกับบริษัท เเต่ปรากฎว่าผ่านไปราว 2-3 สัปดาห์ ไม่มีความคืบหน้า ทำให้ต้องตัดสินใจเผยเเพร่ออกสื่อ เเละเเจ้งบริษัท ในวันที่ 2 เม.ย. 2561 เเละอีกสองวันต่อมา สำนักข่าวดังกล่าวได้รับอีเมลเหมือนกันตอบกลับมาว่า "เรื่องทั้งหมดอยู่ในระหว่างการตรวจสอบ"

ขณะที่ในมุมมองของ ดร.ธนชาติ นุ่มนนท์ ผู้เชี่ยวชาญด้านเทคโนโลยีคอมพิวเตอร์ โพสต์ข้อความผ่านเฟซบุ๊กส่วนตัว ตั้งข้อสังเกตต่อคำแถลงของบริษัทไว้ 2 ประเด็น คือ

1.บริษัท True ไปเปิดข้อมูลที่อยู่ใน Cloud storage S3 ให้เป็นสาธารณะทำไม เพราะปกติโดย Default มันต้องปิด และไม่มีเหตุผลใด ๆ ที่ต้องมาเปิด ยกเว้นต้องการแชร์สู่สาธารณะ ดังนั้นประเด็นนี้ คือ ไม่ใช่ลืมปิดลืมล็อกประตู แต่ประเด็น คือคุณไปเปิดทำไม ในเมื่อปกติมันปิดและไม่ควรเปิดสาธารณะแต่ต้น

2.ถ้า True อ้างว่าถูก Hack แล้วเป็นระบบที่ปิดได้จริง (คำว่า Hack น่าจะต้องเป็นระบบที่ไม่เปิดสาธารณะ) ซึ่งยังไม่มีครั้งใดที่เจอข่าวแบบนี้ สำหรับ AWS S3 ทางผู้ให้บริการ Cloud ควรต้องออกมาย้ำให้สาธารณชนทราบว่า ระบบปลอดภัยไม่สามารถเข้าถึงระบบปิดได้ น่าจะเกิดจากการผิดพลาดการใช้งานของผู้ใช้มากกว่า 

จึงดูเหมือนว่า เป็น 3 ประเด็น 'คาใจ' ที่ทรูมูฟ เอช ตอบไม่เคลียร์!!! .

อ่านประกอบ:ทรูเสียใจ อ้างถูกแฮกข้อมูลบัตรปชช.-กสทช.เรียกชี้แจงด่วน