"ดีอีเอส" ล่าแฮกเกอร์ขโมยข้อมูล รพ.เพชรบูรณ์-ปูดกองทัพโดนด้วย

วันนี้ (8 ก.ย.2564) นายชัยวุฒิ ธนาคมานุสรณ์ รมว.ดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอีเอส) แถลงกรณีมีการแฮกข้อมูลโรงพยาบาลเพชรบูรณ์ ว่า จากการตรวจสอบโรงพยาบาลเพชรบูรณ์มีการพัฒนาระบบเว็บแอปพลิเคชันขึ้นมาใช้เองเป็นการภายใน ซึ่งเป็นระบบที่อาจไม่ได้มาตรฐาน มีการใช้มานานและอาจไม่ได้อัปเดตซอร์ฟแวร์ หรือระบบที่รักษาความมั่นคงปลอดภัยทางไซเบอร์ได้ตามมาตรฐาน และมีการเชื่อมต่อระบบอินเทอร์เน็ตทำให้ถูกโจมตีได้

ตรวจสอบพบเป็นข้อมูลทั่วไปทั้งหมด ไม่ใช่ฐานข้อมูลการรักษาพยาบาลหรือรายละเอียดการวินิจฉัย การรักษาพยาบาลในเชิงลึก เป็นเพียงข้อมูลเบื้องต้นในการติดตามผู้ป่วยเท่านั้น

กระทรวงดีอีเอส ระงับการเชื่อมต่ออินเทอร์เน็ต และมีการจัดทีมเข้าไปวิเคราะห์ข้อมูล เพื่อตรวจสอบว่ามีใครเข้าไปในระบบ และหาตัวตนผู้ที่เข้ามากระทำความผิด เพื่อดำเนินคดีและจับกุมคนเหล่านี้ให้ได้  เบื้องต้น มีความผิดตามกฎหมายความมั่นคงทางไซเบอร์ และ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล โทษจำคุก 1 ปี ปรับ 1,000,000 บาท

ฝากเตือนไปถึงโรงพยาบาลการเก็บข้อมูลไม่ระวัง ไม่ใช้ระบบที่ปลอดภัยจนข้อมูลรั่วไหล ถือเป็นความผิดเช่นกัน และต้องปรับปรุงระบบอย่างต่อเนื่อง เพื่อป้องกันข้อมูลของประชาชนไม่ให้ถูกนำไปใช้ในทางที่ผิด 

แฮกเกอร์ต่างชาติ ใช้ช่องโหว่ WFH เจาะระบบ

ด้าน พล.ท.ปรัชญา เฉลิมวัฒน์ เลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ ระบุว่า ระบบที่ถูกโจมตีก่อนหน้านี้มีการใช้ลักษณะอินทราเน็ต แต่เมื่อเริ่ม Work From Home ทำให้ต้องมีการเชื่อมต่ออินเทอร์เน็ตมากขึ้น จนกลายเป็นเป้าหมายที่โจมตีได้ง่าย โดยช่วงนี้มีการโจมตีหลายหน่วย แต่อาจไม่เป็นข่าวเพราะจำนวนเรคคอร์ดที่ถูกขโมยไม่มากเท่าโรงพยาบาลเพชรบูรณ์

สำหรับกระบวนการแฮกข้อมูลที่ผ่านมานั้น มักจะพบแฮกเกอร์ต่างชาติ ซึ่งมีทั้งสหรัฐฯ รัสเซีย จีน และเกาหลีเหนือ ส่วนใหญ่แฮกเกอร์นอกประเทศ จะมาแฮกเครื่องในประเทศไทย แล้วเอาเครื่องไปแฮกที่อื่นต่อ

ขณะนี้มีการพัฒนาการโจมตี ไม่เพียงใช้เทคนิคอย่างเดียว แต่มีการให้ข้อเสนอบุคลากรในองค์กร โดยให้ส่วนแบ่งหากขายข้อมูลได้ แลกกับพาสเวิร์ดเข้าระบบหรือเปิด VPN เพิ่มช่องโหว่ ลักษณะนี้จะ ทำให้การป้องกันยากขึ้น ดังนั้น ในองค์กรใหญ่ ๆ ในต่างประเทศจะมีการสลับงานเพื่อไม่ให้คนหนึ่งทำงานที่เดิมตลอด ผลัดเปลี่ยนคนใหม่มาตรวจสอบความผิดปกติ

ชี้ความผิด 2 ส่วน แฮกเกอร์ - รพ.

ขณะที่นายภุชพงค์ โนดไธสง รองปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ระบุว่า ความผิดมี 2 ส่วน ส่วนแรกคือแฮกเกอร์ มีความผิดในส่วนของ พ.ร.บ.คอมพิวเตอร์ มาตรา 7 การเข้าถึงข้อมูลที่มีระบบป้องกันไว้โดยมิชอบ จำคุก 2 ปี ปรับไม่เกิน 40,000 บาท

ส่วนที่ 2 เป็นความผิดของผู้คุ้มครองข้อมูล หรือโรงพยาบาล ซึ่งมีกฎหมายคุ้มครองข้อมูลส่วนบุคคลแม้จะขยายเวลาออกไปถึง 31 พ.ค.2565 แต่ พ.ร.ฎ. เขียนว่า "ทั้งนี้ ต้องดำเนินการตามมาตรการที่กระทรวงกำหนด" ซึ่งเมื่อวันที่ 17 ก.ค.2563 ได้มีการประกาศกฎกระทรวงว่าด้วยมาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล พ.ศ.2563 มีมาตรฐานขั้นต่ำในการรักษาความปลอดภัยข้อมูลไซเบอร์ รวมทั้งการกำหนดตัวตนเข้าถึง มีการมอบนโยบายเจ้าหน้าที่ในหน่วยงานในการคุ้มครองข้อมูลส่วนบุคคล หากโรงพยาบาลไม่ได้ดำเนินการจะถือว่ามีความผิดทั้งทางแพ่ง ค่าสินไหมไม่เกิน 2 เท่า ทั้งทางอาญา และทางปกครองปรับสูงสุด 5,000,000 บาท

ผู้คุ้มครองส่วนบุคคล ถ้าดำเนินการตามประกาศ ศาลจะให้อภัยได้ แต่คนแฮกจะมีความผิดแน่นอน ส่วนประชาชนที่ถูกละเมิดสิทธิสามารถเรียกร้องได้ตามกฎหมาย

แนะ สธ.ใช้ไทยเซิร์ตเฝ้าระวังการโจมตีทางไซเบอร์

น.ส.อัจฉรินทร์ พัฒนพันธ์ชัย ปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ระบุว่า กระทรวงดีอีเอสมี ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ประเทศไทย (ไทยเซิร์ต) ประสานหน่วยราชการทุกกระทรวง เพื่อเฝ้าระวังความปลอดภัยให้แล้ว 250 หน่วยงาน

อย่างไรก็ตาม กระทรวงสาธารณสุขไม่ได้นำโรงพยาบาลระดับจังหวัดที่มีฐานข้อมูลจำนวนมากเข้าสู่ระบบเฝ้าระวังของไทยเซิร์ต ซึ่งเป็นการเปิดโอกาสให้ภัยคุกคามทางไซเบอร์เข้ามาจู่โจมได้ ดังนั้น จึงอยากเชิญชวนให้กระทรวงสาธารณสุขปรับปรุงระบบและเข้าร่วมกับไทยเซิร์ตซึ่งให้บริการหน่วยงานรัฐโดยไม่เสียค่าใช้จ่าย

รับข้อมูลกองทัพรั่ว-ข้อมูล 30 ล้านรายการเคยขายมาแล้ว

นาวาอากาศเอกอมร ชมเชย ผอ.ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ ยังได้กล่าวถึงการติดตามแฮกเกอร์ว่า จากสถิติ The World Economic Forum ได้รวบรวมไว้ โอกาสประสบความสำเร็จในการหาคนผิดมาลงโทษอยู่ที่ 0.5% ดังนั้น มาตรการที่เฝ้าระวังต้องมาก่อน การจับคนผิดมาลงโทษไม่ใช่การแก้ปัญหา เพราะข้อมูลส่วนบุคคลได้รั่วไปแล้ว แต่การดำเนินการเพื่อติดตามคนผิดมาดำเนินคดีก็ยังดำเนินต่อไป

ส่วนกรณีกระแสข่าวว่า มีการปล่อยข้อมูลกองทัพนั้น ตรวจสอบเบื้องต้น พบว่าเป็นไปตามที่มีรายงานข่าว โดยข้อมูลส่วนนี้ใช้ในหน่วยงานเท่านั้น ไม่ใช่ระบบที่ใช้ป้องกันประเทศ แต่เป็นเว็บไซต์ข้อมูลเชิงประชาสัมพันธ์ ขณะนี้ได้ประสานหน่วยงานดังกล่าวเพื่อเข้าไปประเมินความเสียหายอีกครั้ง

ส่วนกระแสข่าวกรณีข้อมูลชุดใหญ่ 30 ล้านรายการ ข้อชี้แจงว่า การประกาศขายไม่ใช่ทุกครั้งจะเป็นเรื่องจริง แม้ข้อมูลตัวอย่างมีข้อบ่งชี้ว่าใช่ แต่จากมอนิเตอร์พบว่า เดือน ก.ค.เคยมีการประกาศขายมาแล้ว แต่ขายไม่ออก

ครั้งนี้กลับมาประกาศขายอีกครั้งแต่ได้ถูกถอนออกไปแล้วเช่นกัน ซึ่งแฮกเกอร์อาจจะมีการปล่อยข้อมูลลวงแล้วฝังมัลแวร์ติดมาด้วยเพื่อไปขยายผลในการดำเนินการด้านอื่น ดังนั้น เมื่อมีการเผยแพร่ผ่านเว็บไซต์ฐานข้อมูล ต้องมีการตรวจสอบก่อน เพราะอาจทำให้เกิดความตระหนกได้

 

 

อ่านข่าวที่เกี่ยวข้อง

เพจดังอ้างพบอีกเจาะข้อมูลชุดใหญ่ 30 ล้านรายการ

ย้อนคดีโรงพยาบาล-สำนักงานปลัดเคยถูก "แฮกข้อมูล" มาแล้ว

สธ.ขอโทษปมถูกแฮก ล้อมคอกตั้งศูนย์เฝ้าระวังฯ ไซเบอร์ภาคสุขภาพ

"ดีอีเอส" ยอมรับข้อมูลผู้ป่วย 16 ล้านคน ถูกแฮก