แฮกเกอร์ส่งอีเมล์ปลอมหลอกลงทุน “ไชยชนก”แก้เกมก่อนบานปลาย-เสียหายหนัก

นายไชยชนก ชิดชอบ รมว.ดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) เปิดเผยหลังประชุมหารือแนวทางดำเนินมาตรการป้องกันปราบปรามการใช้อีเมล์หน่วยงานแนบลิงก์หลอกลงทุนสินทรัพย์ดิจิทัลเมื่อวาน จากกรณีที่มีผู้เสียหายจากการส่งอีเมล์แนบลิงก์กว่า 100,000 ฉบับ หลอกลวงลงทุนสินทรัพย์ดิจิทัล โดยเป็นการส่งอีเมล์จาก 4 หน่วยงาน คือ ตลาดหลักทรัพย์แห่งประเทศไทย, ธนาคารกรุงศรีอยุธยา, บลจ.ฟินันเซีย ไซรัส และบริษัทบางกอกแอร์เวย์ พบมีผู้หลงคลิกลิงก์ดังกล่าว 3,000 ราย แต่มี 1 รายคลิกยืนยันตัวตนผ่านลิงก์หลอกลวง แต่ยังไม่มีรายงานความเสียหาย

“ถือเป็นเคสใหม่ที่น่าจะยังไม่เคยเกิดขึ้น แสดงว่ามิจฉาชีพกำลังแสวงหาวิธีการใหม่ๆ หลีกหนีการเร่งกวาดล้างของรัฐบาล โดยพบการเข้าสวมรอยบัญชีผู้มีอำนาจของ 4 บริษัทผ่านบริการของบริษัท แท๊กซี่ เมล์ จำกัด (Taximail) ผู้ให้บริการส่งอีเมล์จำนวนมาก (Mass Email) โดยแฮกเกอร์เจาะพาสเวิร์ดเข้ายึดโดเมนเนมของทั้ง 4 บริษัท แล้วส่งอีเมล์จาก 4 บริษัทไปให้เหยื่อร่วมแสนคน”

ทั้งนี้ จากการตรวจสอบพบการเข้าใช้งานบัญชีของทั้ง 4 บริษัทบนบริการของแท๊กซี่ เมล์นั้น มีมาตรฐานตามกำหนด คือใช้การยืนยันตัวตนสองชั้น (Two-Factor Authentication) และมีระบบยืนยันตัวตนครั้งเดียวและมีระยะเวลา (OTP) แต่มีช่องว่างของกระบวนการยืนยันตัวตน OTP นานเกินไป (24 ชั่วโมง) และรหัส OTP เป็นตัวเลข 6 หลัก ทำให้แฮกเกอร์สามารถใช้กระบวนการแฮกแบบ brute-force หรือสุ่มรหัสผ่านจนเจอรหัสที่ถูกต้อง “ขณะนี้ยังเร็วเกินไปที่จะสรุปว่าเป็นความผิดของใคร น่าจะต้องหาคำตอบว่าการกำหนดระบบยืนยันตัวตนนานกว่า 24 ชั่วโมงนั้น นานเกินไปหรือไม่ และใครเป็นคนกำหนดเงื่อนไขนี้ แท๊กซี่ เมล์ หรือ 4 หน่วยงานที่เป็นลูกค้าของแท๊กซี่ เมล์”

อย่างไรก็ตาม สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ได้บล็อกข้อความลิงก์ประมาณ 100 ลิงก์ที่ถูกใช้สลับในการหลอกลวงทั้งหมดแล้ว เบื้องต้นตรวจสอบพบเป็นการกระทำผ่านไอพี แอดเดรส หรือมีต้นตอมาจากต่างประเทศ จึงน่าจะตามจับได้ยาก สำหรับหน่วยงานที่เกี่ยวข้องทั้งแท๊กซี่ เมล์และ 4 บริษัทดังกล่าว จะต้องดำเนินการภายใต้กฎหมายไทย ซึ่งมีบทลงโทษภายใต้กฎหมายหลากหลาย   

ขณะเดียวกัน มอบให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC เรียก 4 บริษัท และแท๊กซี่ เมล์ ชี้แจงรายละเอียดวันที่ 11 พ.ย.68 เพื่อพิจารณาว่ามีข้อมูลส่วนบุคคลรั่วไหลหรือไม่ พร้อมมอบหมาย สกมช.และแท๊กซี่ เมล์ตรวจสอบระบบข้อมูลกลาง เพื่อเฝ้าระวังการรั่วไหลของข้อมูลส่วนบุคคล รวมทั้งสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (สพธอ.) หรือ ETDA แจ้งผู้ให้บริการรับส่ง Mass Email ในไทย ยกระดับรักษาความปลอดภัย ดูแลข้อมูลส่วนบุคคลของลูกค้า และรวบรวมหลักฐานส่งสำนักงานตำรวจแห่งชาติ ดำเนินการตามกฎหมาย

“เบื้องต้นได้กำหนดมาตรการ การปรับวิธีการส่งอีเมล์แนบลิงก์ของหน่วยงานราชการ และหน่วยงานอื่นๆ โดยเฉพาะการขอข้อมูลส่วนบุคคล หรือทำธุรกรรม ซึ่งจะนำเรื่องนี้เสนอคณะรัฐมนตรี (ครม.) เพื่อให้การบังคับใช้อย่างเข้มข้นและเข้มแข็งต่อไป พร้อมขอให้ผู้ให้บริการ รวมถึงแพลตฟอร์มอื่นๆ จะต้องยกระดับมาตรฐานมากยิ่งขึ้น โดยจะต้องเป็นมาตรการป้องกันที่อำนวยความสะดวก และมีระบบการรักษาความปลอดภัย ควบคู่กันไป เพื่อความปลอดภัยสูงสุดของประชาชน"