ทำไม “แฮกเกอร์” พุ่งเป้า รพ. รัฐ? เรียกค่าไถ่ไซเบอร์ จับข้อมูลเป็นตัวประกัน

ประเด็นความมั่นคงปลอดภัยไซเบอร์ (Cyber Security) กลับมาเป็นที่สนใจของสังคมอีกครั้ง เมื่อข้อมูลขององค์กรด้านสาธารณสุขถูกโจมตีอย่างต่อเนื่องถึง 2 ครั้ง 2 คราด้วยกันคือ “โรงพยาบาลเพชรบูรณ์” และ “สถาบันโรคไตภูมิราชนครินทร์” จนทำให้เกิดคำถามตามมาว่า เพราะเหตุใดองค์กรเหล่านี้ถึงตกเป็นเป้าของเหล่า “แฮกเกอร์” บ่อยครั้งขึ้น รวมทั้งมีคำถามไปถึงรัฐบาลไทย โดยเฉพาะ “กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม” ว่าจะรับมือกับ “มัลแวร์เรียกค่าไถ่” ที่กำลังเกิดระบาดในองค์กรรัฐอย่างไร

สำหรับเหตุการณ์แรกตามรายงานข่าวระบุว่า เมื่อวันที่ 5 ก.ย. 2564 พบการขายบนเว็บไซต์ RaidForums ซึ่งเป็นเหมือนแหล่งขายข้อมูล ฐานข้อมูลมีจำนวน 3.7 GB ในส่วนของ Record ทั้งหมด รูปแบบนั้นแฮกเกอร์ใช้วิธีนับจำนวนตารางทั้งหมดรวม 16 ล้าน Record แต่ไม่ใช่ข้อมูลของ 16 ล้านคน โดยมีข้อมูลเพียงชื่อคนไข้ หมายเลขคนไข้ และชื่อแพทย์ที่ดูแล ไม่ปรากฏหมายเลขบัตรประชาชน ส่วนโรคต่างๆ จะปรากฏแค่วอร์ดคนไข้ ไม่มีข้อมูลที่ระบุโรค โดยมีข้อมูลคนไข้ไม่เกิน 10,000 ราย

ทั้งนี้ นายอนุทิน ชาญวีรกูล รองนายกรัฐมนตรีและรัฐมนตรีว่าการกระทรวงสาธารณสุข (สธ.) ยอมรับว่าข้อมูลดังหลุดจริงเหตุเกิดที่โรงพยาบาลเพชรบูรณ์ แต่ไม่พบมีการเรียกค่าไถ่กับโรงพยาบาล อย่างไรก็ตามได้กำชับให้ทางกระทรวงฯ เข้มงวดในเรื่องความปลอดภัยทางไซเบอร์ เพราะโรงพยาบาลถือเป็นเป้าหมายสำคัญของการเรียกค่าไถ่ไซเบอร์

เวลาไล่เรี่ยกัน “โรงพยาบาลสถาบันโรคไตภูมิราชนครินทร์” ก็ถูกแฮกโดยลักษณะคล้ายคลึงกับโรงพยาบาลเพชรบูรณ์ เป็นข้อมูลของผู้ป่วยแต่คราวนี้เป็นข้อมูลเชิงลึกเกี่ยวกับการเอกซเรย์ การฟอกไต และการจ่ายยา ข้อมูลคนไข้หลุดกว่า 40,000 ราย จากทั้งหมด 100,000 ราย ซึ่งทางโรงพยาบาลมีการปรับปรุงข้อมูล จึงอาจเป็นช่องโหว่ทำให้มีผู้กระทำผิดเจาะข้อมูล โดยคาดว่าผู้ก่อเหตุ เจาะระบบด้วยวิธีการรีโมตมาจากภายนอกโรงพยาบาล

อย่างไรก็ตาม เหตุการณ์คล้ายกันนี้เคยเกิดขึ้นมาแล้วเมื่อปี 2563 ที่ “โรงพยาบาลสระบุรี โดยมีรายงานว่าระบบถูกโจมตีโดย Ransomware มัลแวร์ค่าไถ่เพื่อแลกกับการยกเลิกการปิดกั้นข้อมูล และถูกเรียกค่าไถ่เป็นจำนวนถึง 200,000 บิตคอยน์ หรือราว 6.3 หมื่นล้านบาท เพื่อแลกเปลี่ยนกับการคืนข้อมูล โดยสร้างความโกลาหลทำให้ระบบคอมพิวเตอร์ของโรงพยาบาลขัดข้อง และบริการคนไข้อย่างล่าช้า เพราะระบบค้นหาประวัติเก่าใช้การไม่ได้

ข้อมูลน่าสนใจ  นพ.นวนรรน ธีระอัมพรพันธุ์ รองคณบดีฝ่ายปฏิบัติการ โรงพยาบาลรามาธิบดี ได้ออกมาเปิดเผยว่า โรงพยาบาลในประเทศไทยโดน Ransomware หรือ มัลแวร์เรียกค่าไถ่ กันเป็นระยะๆ ซึ่งจะเข้ารหัสข้อมูลสำคัญและเรียกค่าไถ่ในจำนวนเงินที่สูงเพื่อแลกกับการได้ข้อมูลคืน

นอกจากนี้ ยังมีกระแสข่าวมูลกองทัพบกหลุด ซึ่งเป็นข้อมูลที่เผยแพร่ข้อมูลข่าวสาร ประชาสัมพันธ์ของหน่วยงาน แต่ไม่ใช่ระบบป้องกันประเทศ รวมทั้งภาคเอกชน ล่าสุด มีการตรวจพบข้อมูลของ CP Freshmart ถูกแฮก ประกอบด้วยข้อมูลค้ากว่า 6 แสนรายการ ประกอบด้วย ชื่อ ที่อยู่ หมายเลขโทรศัพท์ อีเมล แต่ไม่มีข้อมูลบัตรเครดิตหรือข้อมูลด้านการเงิน

นายชัยวุฒิ ธมาคมานุสรณ์  รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอีเอส) แถลงข่าวถึงกรณีการโจมตีข้อมูลระบบของโรงพยาบาลเพชรบูรณ์ว่า เป็นระบบโรงพยาบาลใช้มาหลายปีแล้ว เป็นระบบ Chart audit ไว้ตรวจสอบการทำงานของแพทย์ เมื่อเชื่อมต่ออินเทอร์เน็ตและซอฟต์แวร์ไม่ได้มาตรฐาน จึงทำให้ถูกโจมตีอย่างที่เป็นข่าว

สำหรับการรับมือความมั่นคงปลอดภัยไซเบอร์ (Cyber Security) กระทรวงดีอีเอสได้ย้ำมาตรการเบื้องต้นใหห้ทุกหน่วยงานรัฐพัฒนาซอฟท์แวร์ที่ปลอดภัยที่เพียงพอ และขั้นตอนต่อไปคือการเฝ้าระวังเพิ่มเติม โดยระบบ ThaiCert จะต้องประสานงานกับทุกส่วนราชการที่เก็บข้อมูลสำคัญ และข้อมูลส่วนบุคคล ว่าต้องการให้เฝ้าระวังอะไรบ้าง โดยที่ผ่านมาได้เฝ้าระวัง 250 หน่วยงานแล้ว แต่ยังไม่ได้หยิบยกโรงพยาบาลระดับจังหวัดเข้ามาอยู่ในระบบเฝ้าระวังอยู่ระหว่างพัฒนาระบบต่อไป

ประเด็นสำคัญ โรงพยาบาลหรือหน่วยงานที่มีข้อมูลส่วนบุคคลมากๆ หากไม่ระมัดระวัง ไม่ใช้ระบบที่มีความมั่นคงปลอดภัยเพียงพอ ก็มีความผิดด้วยเช่นกัน โดยเมื่อนำข้อมูลส่วนบุคคลไปใช้ก็ต้องระมัดระวังเรื่องความปลอดภัย และควรมีการปรับปรุงระบบอย่างต่อเนื่อง ซึ่งดีอีเอสจะมีระบบ ThaiCert (Computer Emergency Response Team) และ GovernmentCert อยู่แล้ว จึงขอให้ทุกหน่วยงานรัฐร่วมใช้ระบบนี้ เพื่อสร้างความปลอดภัยเรื่องฐานข้อมูลส่วนบุคคลต่อไป

นอกจากนี้ สำนักงานตำรวจแห่งชาติ ได้เตือนภัยประชาชนกรณีแฮกเกอร์เรียกค่าไถ่ข้อมูลเป็นเรื่องใกล้ตัว โดย  พ.ต.อ.กฤษณะ พัฒนเจริญ  รองโฆษกสำนักงานตำรวจแห่งชาติ ระบุว่าการเรียกค่าไถ่ข้อมูลหรือ Ransomware อาชญากรรมรูปแบบใหม่ที่เกิดขึ้นพร้อมๆ กับเทคโนโลยีที่พัฒนาอย่างรวดเร็ว

โดยเฉพาะในช่วงการแพร่ระบาดของเชื้อโควิด-19 ที่หลายคนต้องทำงานผ่านคอมพิวเตอร์และสื่อออนไลน์ รวมถึงบริษัทต่างๆ ต้องมีการป้องกันและพร้อมรับมือกับอาชญากรรมรูปแบบดังกล่าว ไม่เช่นนั้นท่านอาจจะตกเป็นเหยื่อได้โดยง่าย

รูปแบบของการเรียกค่าไถ่ข้อมูลหรือ Ransomware จะแฝงตัวมาในรูปแบบของอีเมลล์ที่แนบลิงค์มาด้วย หรือลิงค์ที่แอบแฝงอยู่ในโฆษณาบนเว็บไซต์ต่างๆ เมื่อเหยื่อกดเข้าไปที่ลิงค์ดังกล่าว ก็จะเป็นการรับเอามัลแวร์เข้ามาในเครื่องคอมพิวเตอร์โดยไม่รู้ตัว

จากนั้นมัลแวร์ก็จะแพร่กระจายไปยังข้อมูลต่างๆ เมื่อมัลแวร์ได้แพร่กระจายไปครอบคลุมข้อมูลที่บรรดาแฮกเกอร์ต้องการแล้ว ก็จะล็อกข้อมูลดังกล่าว ไม่ให้ผู้ใช้งานเข้าถึงข้อมูลได้ และจะปรากฎข้อความขึ้นมาแจ้งว่าข้อมูลเหล่านี้ได้ถูกล็อกไว้ หากต้องการปลดล็อกจะต้องจ่ายเงิน ไม่เช่นนั้นจะลบข้อมูล แต่ในช่วงหลังเริ่มมีการข่มขู่ว่าจะปล่อยข้อมูลสู่สาธารณะหรือนำไปประมูลขาย เป็นต้น

ทั้งนี้ การกระทำกล่าวเข้าข่ายความผิดฐานข่มขืนใจผู้อื่นให้กระทำการใด ไม่กระทำการใด หรือจำยอมต่อสิ่งใด โดยทำให้กลัวว่าจะเกิดอันตรายต่อชีวิต ร่างกาย เสรีภาพ ชื่อเสียงหรือทรัพย์สินของผู้ถูกข่มขืนใจนั้นเองหรือของผู้อื่น มีโทษจำคุกไม่เกิน 3 ปี หรือปรับไม่เกิน 60,000 บาท หรือทั้งจำทั้งปรับ และความผิดฐานเข้าถึงโดยมิชอบซึ่งข้อมูลคอมพิวเตอร์ที่มีมาตรการป้องกันการเข้าถึงโดยเฉพาะ และมาตรการนั้นมิได้มีไว้สําหรับตน มีโทษจำคุกไม่เกิน 2 ปี ปรับไม่เกิน 40,000 บาท หรือทั้งจำทั้งปรับ ตาม พ.ร.บ.การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ.2560 หรือกฎหมายอื่นๆ ที่เกี่ยวข้อง

อย่างไรก็ตาม ในปัจจุบันประเทศไทยมี พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ที่เป็นกฎหมายป้องกันเรื่องนี้โดยตรง แต่ต้องยอมรับว่าเป็นการแก้ปัญหาปลายเหตุเพราะการการโจมตีทางไซเบอร์เกิดขึ้นตลอดเวลา

 ท้าทายว่ารัฐบาลไทยจะรับมือกับสถานการณ์เรียกค่าไถ่ไซเบอร์ที่เกิดถี่ขึ้นโดยเฉพาะในหน่วยงานด้านสาธารณสุขของรัฐอย่างไร