จากกรณีที่กลุ่มแฮกเกอร์ 9Near ได้มีการประกาศนับถอยหลังปล่อยข้อมูลส่วนตัวคนไทย 55 ล้านคนบนเว็บไซต์ โดยแอบอ้างว่าได้รับมาจากเว็บไซต์ราชการแห่งหนึ่งนั้น
ทางสมาคมผู้ดูแลเว็บไซต์และสื่อออนไลน์ไทย ในฐานะสมาคมวิชาชีพของผู้ประกอบกิจการด้านเว็บไซต์และสื่อออนไลน์ได้หารือกันแล้ว มีมติและข้อเรียกร้องถึงสมาชิกสมาคมฯ และหน่วยงานที่เกี่ยวข้องดังต่อไปนี้
- ขอเรียกร้องให้ทางกลุ่ม 9Near ยุติการปล่อยข้อมูลส่วนตัวคนไทย 55 ล้านคน
- ขอเรียกร้องให้หน่วยงานที่เกี่ยวข้องเร่งตรวจสอบใน 3 ประเด็นต่อไปนี้
- เป็นเหตุละเมิดพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่
- เป็นความผิดตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 หรือไม่
- ขอให้ตรวจสอบว่าหน่วยงานใดเป็นผู้ปล่อยให้เกิดการรั่วไหลของข้อมูลและเกิดจากสาเหตุใด เพื่อดำเนินการปรับปรุงแก้ไขปัญหาดังกล่าวอย่างเร่งด่วนและแจ้งให้ประชาชนรับทราบ
- นอกจากกรณีของทางกลุ่ม 9Near แล้ว ทางสมาคมฯ ได้ตรวจสอบแล้วพบว่ามีข้อมูลส่วนบุคคลอีกจำนวนมากที่สามารถเข้าถึงได้ผ่านทางอินเทอร์เน็ต จึงขอเรียกร้องให้สมาชิกสมาคมฯ รวมถึงเว็บไซต์และสื่อออนไลน์ต่าง ๆ ทั้งภาครัฐและภาคเอกชน ดำเนินการตรวจสอบกิจกรรมการจัดเก็บข้อมูลส่วนบุคคลต่าง ๆ ของหน่วยงานเพื่อป้องกันการรั่วไหลของข้อมูล และหากพบการรั่วไหลของข้อมูล ขอให้เร่งแก้ไขปัญหานั้นอย่างเร่งด่วน รวมถึงขอให้องค์กรต่าง ๆ ระมัดระวังและดูแลข้อมูลส่วนบุคคล โดยมีคำแนะนำดังนี้
- ทบทวนนโยบาย ระเบียบปฏิบัติ และการบังคับใช้กฎระเบียบด้านความปลอดภัยขององค์กร
- ตรวจสอบสิทธิ์การเข้าถึงระบบของบัญชีออนไลน์ต่าง ๆ
- ตรวจสอบสิทธิ์การแชร์ไฟล์ต่าง ๆ ที่อยู่ในเว็บไซต์หรือในที่เก็บข้อมูลบน Cloud ว่ามีข้อมูลส่วนบุคคลใด ๆ รั่วไหลหรือไม่
- ถ้าองค์กรใดที่มีเว็บไซต์ ขอให้ตรวจสอบว่าการส่งข้อมูลของเว็บไซต์เข้ารหัสด้วยโปรโตคอล HTTPS และมีใบรับรอง SSL/TLS หรือไม่
- ตรวจสอบมาตรการรักษาความปลอดภัยและสิทธิ์การเข้าใช้งานของ API ต่าง ๆ
- มีระบบสำรองข้อมูลและมีการกำหนดสิทธิ์การเข้าถึงที่ปลอดภัยหรือไม่
- หากหน่วยงานใดต้องการผู้เชี่ยวชาญเข้าไปช่วยเป็นที่ปรึกษาในการปรับปรุงการจัดเก็บข้อมูล สามารถประสานงานกับทางสมาคมฯ เพื่อให้จัดสรรผู้เชี่ยวชาญเข้าไปช่วยเป็นที่ปรึกษาในการดำเนินการได้
- ขอให้บุคคลทั่วไประมัดระวังและดูแลข้อมูลส่วนบุคคล โดยมีคำแนะนำดังนี้
- เลือกใช้งานซอฟต์แวร์ที่มีลิขสิทธิ์ถูกต้องและหมั่นอัปเดตให้เป็นปัจจุบันอยู่เสมอ
- เปิดใช้งาน Multifactor Authentication (MFA) สำหรับบัญชีออนไลน์ต่าง ๆ
- ไม่คลิกลิงก์แปลกปลอมจากแหล่งที่มาที่ไม่รู้จัก
- ติดตั้งโปรแกรมป้องกันไวรัสและหมั่นอัปเดตให้เป็นปัจจุบันอยู่เสมอ
แนวทางปฏิบัติสำหรับบุคคลทั่วไปในการปกป้องบัญชีออนไลน์
เพื่อความปลอดภัยของข้อมูลบนอินเทอร์เน็ต ทางสมาคมผู้ดูแลเว็บไซต์และสื่อออนไลน์ไทยขอแนะนำให้ตรวจสอบรหัสผ่านของบัญชีออนไลน์ว่าไม่มีส่วนใดหรือทั้งหมดที่เป็นข้อมูลส่วนบุคคล เช่น
- ชื่อ
- นามสกุล
- เลขประจำตัวประชาชน
- เลขหนังสือเดินทาง
- เลขใบอนุญาตขับขี่
- วันเกิด
- ที่อยู่
- หมายเลขโทรศัพท์
- ที่อยู่อีเมล
หากพบว่ารหัสผ่านของบัญชีออนไลน์ตรงตามเงื่อนไขข้างต้น ทางสมาคมฯ ขอแนะนำให้เปลี่ยนรหัสผ่านที่คาดเดายากทันที โดยมีคำแนะนำดังนี้
- ต้องมีอักขระอย่างน้อย 8 ตัว
- ประกอบด้วยชุดตัวอักษรพิมพ์ใหญ่ ตัวอักษรพิมพ์เล็ก ตัวเลข หรือสัญลักษณ์อย่างน้อย 2 ตัว
- ไม่ใช่คำในพจนานุกรม ข้อมูลส่วนบุคคล ชื่อผลิตภัณฑ์ หรือชื่อองค์กร
นอกจากนี้ ขอแนะนำให้รักษารหัสผ่านให้ปลอดภัย โดยมีคำแนะนำดังนี้
- ไม่ส่ง เปิดเผย หรือใช้รหัสผ่านร่วมกับผู้ใด
- ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละเว็บไซต์
- เปิดใช้งาน Multifactor Authentication (MFA) สำหรับบัญชีออนไลน์ต่าง ๆ ร่วมกับแอป Authenticator เช่น 1Password, Authy, Google Authenticator, LassPass หรือ Microsoft Authenticator
- โปรดใช้ความระวังกับการเข้าถึงเว็บไซต์ ลิงก์ที่ปรากฎในอีเมล โซเชียลมีเดีย แชท หรือ SMS รวมถึงการกรอกข้อมูลส่วนบุคคลที่เป็นความลับหรือละเอียดอ่อนในแบบสำรวจ โพล หรือแบบทดสอบ
- เปลี่ยนรหัสผ่านทันทีหากสงสัยว่าบัญชีออนไลน์อาจถูกโจมตี