สกมช. ย้ำ เอดับบลิวเอ็น-ไอซอฟเทล ออกมาตรการดูแลลูกค้าหลังถูกแฮกข้อมูล

สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ในฐานะหน่วยงานรับผิดชอบตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ได้ติดตามสถานการณ์อย่างใกล้ชิด จากกรณีที่มี แฮกเกอร์ ประกาศขายข้อมูล รายละเอียดการโทรออกและรับสาย ข้อมูลบันทึกเสียงสนทนาบางส่วนของระบบ Mobile PBX ของบริษัท แอดวานซ์ ไวร์เลส เน็ทเวอร์ค จำกัด หรือ เอดับบลิวเอ็น โดยมี บริษัท ไอซอฟเทล (ประเทศไทย) จำกัด (ไอซอฟเทล) ผู้ให้บริการระบบ Mobile PBX แก่ลูกค้าบริษัทนิติบุคคลของ เอดับบลิวเอ็น นั้น

พลอากาศตรี อมร ชมเชย เลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยทางไซเบอร์แห่งชาติ เปิดเผยว่า ในฐานะหน่วยงานด้านความมั่นคงปลอดภัยทางไซเบอร์ สกมช.มีความกังวลต่อเหตุการณ์ดังกล่าวที่เกิดขึ้นอย่างยิ่ง แม้ว่ากรณีนี้เป็นเพียงการถูกคุกคามที่ระบบคอมพิวเตอร์ที่ใช้ในการให้บริการแก่กลุ่มผู้ใช้บริการในวงจำกัดก็ตาม โดยสกมช.ได้ส่งจดหมายไปยัง เอดับบลิวเอ็น ให้ชี้แจงกรณีดังกล่าวพร้อมมาตรการป้องกัน และการดูแลผู้ที่อาจได้รับผลกระทบอย่างเร่งด่วน และได้มีการประชุมร่วมกับทีมงานของ เอดับบลิวเอ็น 

หลังจากเอดับบลิวเอ็นชี้แจงตามข้อมูลข้างต้นแล้ว สกมช.ได้ย้ำว่าแม้ในขณะนี้ยังไม่มีความเสียหายที่เกิดขึ้นโดยตรงกับบริษัทนิติบุคคลและผู้ที่ใช้บริการ เพราะไม่มีชื่อเจ้าของเบอร์โทรศัพท์ปรากฎในข้อมูลที่ถูกละเมิด แต่ควรตรวจสอบรายละเอียดถึงข้อมูลที่ถูกละเมิด เพื่อแจ้งไปยังบริษัทฯ ที่ใช้บริการ Mobile PBX อีกครั้ง 

รวมถึงออกมาตรการดูแลบริษัทนิติบุคคลรวมถึงประชาชนที่ได้รับผลกระทบอย่างชัดเจน โดยไอซอฟเทล ต้องเร่งตรวจสอบระบบความปลอดภัยทางไซเบอร์ขององค์กรอย่างเร่งด่วน และขอให้ส่งมอบแผนการพัฒนาปรับปรุงทั้งในระยะสั้น และระยะยาว รวมทั้งมาตรการการทำงานเพื่อป้องกันภัยคุกคามที่อาจเกิดขึ้นได้อีกในอนาคตและให้มีการเฝ้าระวังหากมีความพยายามที่จะละเมิดทั้งในส่วนของเอดับบลิวเอ็นและไอซอฟเทล รวมทั้งตรวจสอบบริการที่เกิดจากผู้ให้บริการระบบภายนอกรายอื่นๆ

อย่างไรก็ตาม สิ่งสำคัญที่สุดตอนนี้คือต้องเร่งแจ้งเตือนให้ผู้ใช้งานระมัดระวังมิจฉาชีพที่อาจแอบอ้างว่าได้ข้อมูลมาจากเหตุการณ์นี้ โดย สกมช. จะติดตามสถานการณ์ที่เกิดขึ้น รวมถึงประสานการปฏิบัติงานร่วมกันทั้งภาครัฐที่เกี่ยวข้องในการป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์ มิให้เกิดผลกระทบต่อความมั่นคงของรัฐ และภาคประชาชนต่อไป

โดยก่อนหน้านั้น เอดับบลิวเอ็น ในกลุ่ม เอไอเอส ได้ชี้แจง กรณีมีผู้ละเมิดข้อมูลสารสนเทศลูกค้านิติบุคคลที่ใช้บริการ Mobile PBX แก่ลูกค้าบริษัทนิติบุคคลของ เอดับบลิวเอ็น ว่า มีการเข้าถึงข้อมูลสารสนเทศในระบบดังกล่าว โดยไม่ชอบด้วยกฎหมายและโดยไม่ได้รับอนุญาต

หลังจากได้รับแจ้ง เอดับบลิวเอ็นไม่ได้นิ่งนอนใจกับเหตุการณ์ที่เกิดขึ้น และได้เร่งทำงานร่วมกับ ไอซอฟเทล และผู้เชี่ยวชาญ ในการตรวจสอบข้อมูลที่ถูกอ้างถึงอย่างเร่งด่วน ซึ่งในเบื้องต้นกรณีนี้ ไม่เกี่ยวข้องกับระบบฐานข้อมูลและบริการของลูกค้าทั่วไป รวมทั้งลูกค้านิติบุคคลอื่นๆ ของเอดับบลิวเอ็นที่ไม่ได้ใช้บริการ Mobile PBX

โดยหลังจากพบกรณีดังกล่าว ไอซอฟเทลได้ทำการปิดกั้นการเข้าถึงข้อมูลสารสนเทศบนบริการ Mobile PBX ทั้งหมดแล้วทันที พร้อมกับพัฒนาระบบ Mobile PBX เวอร์ชั่นใหม่ ให้มีมาตรฐานความปลอดภัยที่สูงขึ้น โดยลูกค้านิติบุคคลยังคงสามารถใช้งาน Mobile PBX ได้ตามปกติ

ทั้งนี้ หน่วยงานภาครัฐที่เกี่ยวข้อง ประกอบด้วยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และ สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ได้รับแจ้งเหตุการณ์ดังกล่าวจากเอดับบลิวเอ็น, ไอซอฟเทลเรียบร้อยแล้ว รวมถึงไอซอฟเทลได้ดำเนินการแจ้งความกับเจ้าพนักงานตำรวจ

นอกจากนี้ เอดับบลิวเอ็นได้ดำเนินการแจ้งไปยังลูกค้านิติบุคคลที่ใช้บริการ Mobile PBX แล้ว เพื่อให้ทราบถึงเหตุการณ์ที่เกิดขึ้น และเพื่อแจ้งเตือนให้เฝ้าระวังการติดต่อทางโทรศัพท์หรืออีเมล์ที่มีลักษณะน่าสงสัยจากผู้ไม่หวังดี  โดยเอดับบลิวเอ็นจะสนับสนุนการทำงานลูกค้านิติบุคคลที่ใช้บริการ MPBX ในการดูแลผู้ใช้บริการของแต่ละรายอย่างเต็มที่ ทั้งนี้ การเข้าถึงและนำออกเผยแพร่ซึ่งข้อมูลดังกล่าวโดยไม่ได้รับอนุญาต เป็นความผิดตามกฎหมาย

เอดับบลิวเอ็นรู้สึกเสียใจและขออภัยเป็นอย่างสูงต่อเหตุการณ์เกิดขึ้น และขอเรียนยืนยันว่า บริษัทฯให้ความสำคัญสูงสุดกับการป้องปกป้องข้อมูลสารสนเทศของลูกค้า

ขณะที่สภาผู้บริโภค ออกมาเปิดเผยว่า เหตุการณ์ดังกล่าวเกิดจากกลุ่มแฮกเกอร์ใช้ชื่อ ‘DESORDEN’ อ้างว่าสามารถเจาะเข้าระบบฐานข้อมูลเซิร์ฟเวอร์ Mobile PBX ทำให้ได้ข้อมูลบันทึกเสียง บันทึกการโทรเข้า และบันทึกการโทรออกของลูกค้าองค์กรรวมหลายล้านรายการ ซึ่งรวมถึงบริษัทใหญ่ ๆ เช่น SC Assets, DHL, Lazada, SCG, Unilever, Central Group เป็นต้น ได้รับผลกระทบ

โดยนางสาวสุภิญญา กลางณรงค์ ประธานอนุกรรมการ ด้านการสื่อสาร โทรคมนาคม และเทคโนโลยีสารสนเทศ สภาผู้บริโภค กล่าวว่า เอไอเอสควรออกมาเปิดเผยสาเหตุ ความเสียหาย ผลกระทบทั้งหมดที่เกิดขึ้น รวมถึงผู้ที่จะได้รับผลกระทบเหตุการณ์ดังกล่าวด้วย สิ่งที่เกิดขึ้นสะท้อนให้เห็นปัญหาเรื่องความปลอดภัยของข้อมูล ซึ่งบริษัทต้องแสดงความรับผิดชอบ และกำหนดมาตรการเยียวยาความเสียหายหรือมาตรการอย่างใดอย่างหนึ่งเพื่อเป็นหลักประกันว่าปัญหาเหล่านี้จะได้รับการแก้ไขอย่างทันท่วงทีและจะไม่เกิดขึ้นอีก