ต้องรับผิดชอบ

 กรณีการแฮ็กข้อมูลลูกค้าที่ซื้อโทรศัพท์มือถือพร้อมแพ็กเกจบริการของทรูมูฟ เอช โดยลงทะเบียนซิมผ่านไอทรูมาร์ท ส่งผลให้ข้อมูลสำคัญของลูกค้ารั่วไหลเป็นจำนวนมาก นับว่าสร้างความตื่นตระหนกในวงกว้างในกลุ่มผู้ใช้มือถือไม่เฉพาะค่ายทรูเท่านั้น

เพราะนั่นสะท้อนว่า แม้จะเลือกใช้บริการจากผู้ประกอบการที่อยู่ในเครือของบริษัทขนาดใหญ่ มีรายได้ปีละเกือบแสนล้านบาท และยังเป็นบริษัทที่จดทะเบียนในตลาดหลักทรัพย์แห่งประเทศไทย ยังมีช่องโหว่ด้านความปลอดภัยจนเกิดเหตุการณ์เช่นนี้ได้ จึงเป็นที่น่าหวั่นใจว่าอาจเกิดขึ้นได้กับบริษัทเครือข่ายมือถือรายอื่นเช่นกัน

แม้ว่าขณะนี้ยังไม่เกิดความเสียหายที่ชัดเจนว่าข้อมูลสำคัญของลูกค้าที่รั่วไหลออกไปนั้น หากถูกนำไปใช้ในทางมิชอบจะส่งผลเสียตามมาอย่างไร แต่นับเป็นเรื่องร้ายแรงที่คุกคามสิทธิส่วนบุคคล ซึ่งตาม พ.ร.บ.องค์กรจัดสรรคลื่นความถี่และกำกับการประกอบกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคม พ.ศ. 2553 กำหนดไว้ว่าผู้กระทำผิดมีโทษตามกฎหมาย หากผู้ประกอบการมีส่วนในความผิดจะถูกดำเนินคดีตามกฎหมาย และพักใช้ เพิกถอนใบอนุญาต

ประเด็นที่น่าตกใจคือ นายเนล เมอริแกน นักวิจัยด้านความมั่นคงปลอดภัย ระบุว่า บัตรประชาชนของลูกค้ารวมกว่า 4.6 หมื่นราย ได้รั่วไหลออกสู่สาธารณะตั้งแต่ปี 2559-2561 ซึ่งมีสาเหตุมาจากการที่บริษัท ทรูมูฟ เอช ตั้งค่า AWS S3 Bucket ไม่รัดกุม และได้ติดต่อไปยังบริษัท ทรูมูฟ เอช ตั้งแต่ต้นเดือน มี.ค.ที่ผ่านมา แต่ทรูมูฟ เอช เพิ่งดำเนินการแก้ไขเมื่อวันที่ 12 เม.ย. 2561 ซึ่งถือว่าล่าช้าเกินไป

เหตุการณ์ที่เกิดขึ้น แม้ว่าทางทรูไอมาร์ทจะออกมาขอโทษลูกค้าและยืนยันว่าได้ดำเนินการแก้ไขแล้ว อีกทั้งการดำเนินการทางกฎหมายเพื่อป้องกันความปลอดภัยของข้อมูลลูกค้า รวมทั้งสำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ (กสทช.) จะเรียกทรูมูฟ เอช เข้าชี้แจงข้อเท็จจริง แต่สิ่งหนึ่งที่ต้องยอมรับอย่างปฏิเสธไม่ได้คือความบกพร่องที่ทำให้เกิดความเสียหายต่อลูกค้าในเรื่องของข้อมูลสำคัญเป็นความผิดที่ชัดเจนอย่างยิ่ง และต้องหาทางป้องกันเพื่อไม่ให้เกิดขึ้นซ้ำอีก ไม่ว่าจะกับค่ายทรู หรือค่ายมือถืออื่นๆ ก็ตาม

ขณะที่ กสทช.เองก็ต้องทบทวนถึงกรณีการออกข้อบังคับให้ผู้ให้บริการต้องลงทะเบียนซิมด้วยบัตรประชาชนที่ออกมาประกาศบังคับใช้เมื่อปี 2558 ที่มอบอำนาจให้ผู้ขายซิมทุกรายรับลงทะเบียนได้ นั่นหมายความว่าผู้ขายซิมไม่ว่าจะเป็นร้านของบริษัท ร้านตัวแทนจำหน่ายซิมรายย่อย สามารถเก็บข้อมูลบัตรประชาชนของลูกค้าไว้ได้ แต่กลับไม่สามารถรับประกันความปลอดภัยให้แก่ลูกค้าที่เข้าใช้บริการได้

ที่สำคัญ มาตรการล่าสุดที่ กสทช.นำมาใช้ในการลงทะเบียนซิมด้วยวิธีอัตลักษณ์ โดยการตรวจสอบใบหน้าและสแกนลายนิ้วมือ ก็ยิ่งน่าหวั่นใจหากยังไม่สามารถรับประกันเรื่องความปลอดภัยของข้อมูลได้ ก็มีความเป็นไปได้อย่างมากว่าจะเกิดเหตุการณ์ซ้ำรอยเหมือนกรณีข้อมูลบัตรประชาชนรั่วไหลครั้งนี้