อาชญากรรมไซเบอร์

อรุณ จิรชวาลา

ผมมีโอกาสไปสัมมนาที่ธนาคารแห่งประเทศไทย หรือ ธปท. เรื่องเกี่ยวกับความปลอดภัยของระบบไอที โดย ธปท.เป็นเจ้าภาพจัดให้คณะกรรมการและผู้บริหารระดับสูงของสถาบันการเงิน ผมฟังแล้วรู้สึกว่าได้ประโยชน์มาก เพราะทำให้ได้รับรู้ในหลายเรื่องที่คาดคิดไม่ถึงมาก่อน ที่สำคัญคือเรื่องความเสี่ยงจากการถูกโจมตีทางไซเบอร์ ซึ่งอาจรุนแรงพอที่จะทำให้ธุรกิจหรือบุคคลล้มทั้งยืน

วิทยากรท่านหนึ่งเริ่มต้นด้วยคำคมว่า ในโลกนี้มีบริษัทเพียง 2 ประเภท คือพวกที่ระบบคอมพิวเตอร์เคยถูกโจมตีมาแล้ว กับพวกที่ไม่รู้ตัวว่าเคยถูกโจมตี

เพียงไม่กี่ปีก่อน มีการโจมตีในโลกไซเบอร์ทั่วโลกวันละเพียงไม่กี่ครั้ง แต่ปัจจุบันเกิดขึ้นนาทีละนับพันครั้ง สมัยก่อนปัญหาใหญ่ที่สุดของคอมพิวเตอร์คือไวรัส แต่ปัจจุบันปัญหาไวรัสกลายเป็นเรื่องเล็ก เมื่อเปรียบกับขนาดและความรุนแรงของการโจมตีทางไซเบอร์

ความเสียหายจากอาชญากรรมทางไซเบอร์ในปีล่าสุด เฉพาะสหรัฐประเทศเดียว รวมแล้วหลายหมื่นล้านดอลลาร์สหรัฐ หรือคิดเป็นต่อหัวคนละร้อยกว่าดอลลาร์สหรัฐ แนวโน้มยังคงเพิ่มขึ้นอย่างรวดเร็วทั่วโลก

มีหลายประเด็นที่ผมอยากแชร์กับท่านผู้อ่าน เผื่อจะสามารถช่วยป้องกันความเสี่ยงที่อาจเกิดได้กับทุกคน ที่ชีวิตหนีไม่พ้นส่วนหนึ่งต้องอยู่ในโลกไซเบอร์

1.วิธีก่ออาชญากรรมในโลกไซเบอร์มีหลากหลาย และแทบจะมองไม่เห็นหนทางที่จะปิดจุดอ่อนได้หมด ทั้งในระดับธุรกิจและระดับบุคคล โดยเฉพาะอย่างยิ่งธุรกิจที่มีเครือข่ายกว้างขวาง และจ้างงานคนเป็นจำนวนมาก

ง่ายที่สุดน่าจะเป็นการเก็บข้อมูลที่เปิดเผยอยู่แล้วในที่สาธารณะ หรือแชร์ผ่านโซเชียลเน็ตเวิร์ก เช่น ทำให้ได้เห็นหน้าตา ทราบข้อมูลส่วนบุคคล และสถานที่ทำงาน รวมทั้งอาจเห็นข้อมูลลับอื่นๆ ที่ติดอยู่ในภาพที่แชร์ด้วย รองลงมาคือการล้วงความลับประเภทหมายเลขบัญชีและรหัสผ่าน ที่ได้ผลพอควรคือการหลอกล่อว่าจะได้รางวัลหรือของแจก หรือที่สนามบินบอกจะให้ใช้ไว-ไฟฟรี เป็นต้น ที่ยากมากขึ้นคือการส่งโปรแกรมที่ใช้ในการก่ออาชญากรรมเข้าไปฝังตัวในระบบคอมพิวเตอร์ของบริษัทที่เป็นเป้าหมาย ซึ่งก็ไม่จำเป็นต้องลุยฝ่าเข้าไปทางด้านหน้า เพราะอาจเจอกำแพงที่บริษัทตั้งรับไว้หลายชั้น แต่อาจเข้าทางด้านข้างหรือด้านหลัง เช่น ผ่านเครือข่ายสาขาในที่ห่างไกล หรือผ่านบัญชีของพนักงานคนใดคนหนึ่ง

เมื่อเจาะระบบเข้าไปได้แล้ว การโจมตีไม่จำเป็นต้องเริ่มทำในทันที แต่อาจตั้งเวลาไว้ รอให้โปรแกรมแพร่กระจาย หรือแทรกซึมเข้าไปอยู่ในหลายจุดให้ได้เสียก่อน แล้วจึงเริ่มต้นโจมตีพร้อมๆ กันจากหลายทิศทาง

วิทยากรเตือนผู้ฟังว่า อย่ารับใครเป็นเพื่อนง่ายๆ ของฟรีไม่มีในโลก และอย่ายอมใส่เบอร์บัญชีและรหัสผ่านจนกว่าจะมั่นใจเต็มร้อย

2.ต้นทุนในการก่ออาชญากรรมทางไซเบอร์ทุกวันนี้ถูกลงกว่าสมัยก่อนมาก และซื้อหาได้ง่าย โดยแทบจะไม่ต้องลงทุนลงแรงเอง เช่น ใช้เงินไม่ถึง 500 ดอลลาร์สหรัฐก็เป็นแฮ็กเกอร์ได้แล้ว โปรแกรมส่วนใหญ่ซื้อขายกันในราคา ไม่กี่สิบดอลลาร์สหรัฐ และมาพร้อมกับคำสอนวิธีใช้งานโดยละเอียดด้วย

3.ผลตอบแทนจากการก่ออาชญากรรมทางไซเบอร์บางครั้งสูงมาก เช่น บางบัญชีที่เจาะเข้าไปสำเร็จอาจมีเงินให้โอนออกมานับสิบนับร้อยล้านดอลลาร์สหรัฐ หรือฐานข้อมูลหรือรายชื่อที่ได้อาจมีมูลค่าในตลาดสูงนับสิบล้านดอลลาร์สหรัฐเช่นกัน ทำให้ผู้ก่ออาชญากรรมสามารถร่ำรวยเป็นมหาเศรษฐีได้ภายในพริบตา

4.โอกาสที่จะถูกจับได้และถูกยึดทรัพย์คืนมีน้อยมาก เพราะการโอนและรับโอนเงิน ไม่ว่าจะจำนวนมากนับร้อยล้านดอลลาร์สหรัฐ หรือจำนวนน้อยเพียงไม่กี่ดอลลาร์สหรัฐ สามารถทำได้อย่างสะดวกสบายโดยใช้บัญชีบิตคอยน์ ซึ่งไม่มีใครทราบว่าใครเป็นเจ้าของ ทางการ หรือเจ้าหน้าที่ตำรวจไม่สามารถยึดบิตคอยน์ที่โอนเข้ามาในบัญชีได้ มีเพียงผู้ทราบรหัสผ่านหรือเจ้าของบัญชีที่แท้จริงเท่านั้นที่สามารถเอาบิตคอยน์ในบัญชีไปขายแลกเป็นเงินได้

หลังการสัมมนาเพียงไม่กี่วัน ผมก็เห็นข่าวเกี่ยวกับบิตคอยน์ว่าราคาใกล้ถึงหมื่นดอลลาร์สหรัฐแล้ว ซึ่งหากทะลุระดับนี้ขึ้นไปได้ เป้าหมายต่อไปอาจเป็นหนึ่งหมื่นห้าพันดอลลาร์สหรัฐ อีกด้านหนึ่ง ตั้งแต่ต้นปี ราคาบิตคอยน์สูงขึ้นมาแล้วเกือบสิบเท่า

ผมไม่รู้สึกแปลกใจ เพราะสอดคล้องกับที่ได้ยินได้ฟังมาในการสัมมนา กล่าวคือ ธุรกิจผิดกฎหมายกับบิตคอยน์เกื้อหนุนซึ่งกันและกัน และปัจจุบันทั้งคู่กำลังเจริญเติบโตไปด้วยกันอย่างรวดเร็ว

ปัญหาในอนาคตของบิตคอยน์อาจอยู่ที่ทางการของประเทศใหญ่ๆ อย่างสหรัฐจะยื่นมือเข้ามาแทรกแซงหรือไม่ เพียงใด เพื่อตัดวงจรทางการเงินของอาชญากรรมในโลกไซเบอร์ รวมทั้งอาชญากรรมทางเศรษฐกิจอื่นๆ หรือจะทนรอต่อไป จนกว่ากลไกตลาดจะทำให้บิตคอยน์มีคู่แข่งมาก จนเสื่อมความนิยมและเสื่อมค่าไปเอง

มาตรการของทางการประเทศใหญ่จะเป็นต้นแบบให้ประเทศอื่นเอาอย่าง ซึ่งคงรวมถึงประเทศไทยด้วย

5.ความเสี่ยงที่ธุรกิจและบุคคลจะตกเป็นเหยื่อของอาชญากรรมทางไซเบอร์จะยิ่งนับวันยิ่งมาก เพราะความก้าวหน้าของเทคโนโลยีจะไม่เพียงทำให้ต้นทุนในการก่ออาชญากรรมยิ่งถูก แต่จะช่วยให้ทำได้ง่าย รวดเร็ว และในวงกว้างมากขึ้นด้วย

นอกห้องประชุม ผมถามผู้เชี่ยวชาญท่านหนึ่งว่า การใช้ระบบปฏิบัติการแบบปิด เช่น ระบบไอโอเอสของแอปเปิ้ล จะทำให้ปลอดภัยกว่าระบบเปิดแบบแอนดรอยด์ หรือวินโดวส์หรือไม่ คำตอบคือไม่น่าจะเกี่ยวกันมากนัก เพราะการโจมตีทางไซเบอร์ในปัจจุบันเป็นคนละเรื่องกับการแพร่กระจายของคอมพิวเตอร์ไวรัสในอดีต มีความสลับซับซ้อนและร้ายแรงกว่ามาก รวมทั้งมักจะไม่เกิดขึ้นในระดับระบบปฏิบัติการด้วย

ข้อสุดท้าย ธุรกิจปัจจุบันยังอ่อนหัด หรือมีความรู้และประสบการณ์น้อยมาก ในส่วนที่เกี่ยวกับอาชญากรรมทางไซเบอร์ ฝ่ายไอทีของบริษัทส่วนใหญ่ยังทำงานเฉพาะในเวลาทำการ นอกเวลาและวันหยุดจะเหลือพนักงานประจำเครื่องเพียงไม่กี่คน ในขณะที่อาชญา กรรมทางไซเบอร์อาจเกิดขึ้นได้ทุกเวลา หรืออาจเลือกเวลาที่บริษัทมีจุดอ่อนในการตั้งรับมากที่สุด

สำหรับคณะกรรมการและผู้บริหารระดับสูงของแต่ละบริษัท ส่วนใหญ่จะไม่มีพื้นฐานด้านไอที บ่อยครั้งจะเป็นคนแก่ที่ไม่อยากยุ่งเกี่ยวกับเรื่องไอทีโดยไม่จำเป็น ทำให้ไม่มีการรับรู้ความเสี่ยงด้านนี้ ไม่มีการกำหนดนโยบายรองรับ และเมื่อเกิดเหตุไม่ทราบจะจำกัดความเสียหายอย่างไร ทำให้เกิดความสูญเสียมากกว่าที่ควร เช่น จากการเสียชื่อเสียง และจากการที่ลูกค้าขาดความไว้วางใจ

วิทยากรท่านหนึ่งแนะนำว่า ต่อไปคณะกรรมการอาจต้องมีความรู้ขั้นต่ำเกี่ยวกับระบบไอที ในทำนองเดียวกับที่ควรจะมีความรู้เกี่ยวกับหลักการบัญชี แม้ว่าจะไม่ใช่นักบัญชีโดยตรงก็ตาม n