INSIDE INSIGHT | “ชัยทัศน์”

ประจำวันที่ 31 กรกฏาคม 2569 

บทเรียนราคาแพงจากช่องโหว่โค้ดพื้นฐาน สู่มาตรฐานโลกที่ไทยต้องเฝ้าระวังไม่ให้ซ้ำรอย

                             เกิดเหตุการณ์สั่นสะเทือนวงการตลาดทุนไทย  เมื่อบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด หรือที่นักลงทุนรู้จักกันดีในชื่อ “TSD” หรือหน่วยงานผู้ดูแลระบบฝากและถือครองหุ้นของคนไทยทั้งประเทศ   ซึ่งเป็นบริษัทย่อยของตลาดหลักทรัพย์แห่งประเทศไทย (ตลท.) ยอมรับอย่างเป็นทางการว่า ระบบบริการผู้ถือหุ้นออนไลน์ถูกเจาะเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้งานกว่า 200,000 ราย โดยครอบคลุมตั้งแต่ชื่อ-นามสกุล เลขบัตรประจำตัวประชาชน ไปจนถึงชื่อโบรกเกอร์และเลขที่บัญชีธนาคาร

                          แม้ตลาดหลักทรัพย์ฯ จะออกมายืนยันหนักแน่นว่าระบบซื้อขายหุ้นหลังบ้าน (Backend) และพอร์ตการลงทุนยังคงปลอดภัย แต่วิกฤตครั้งนี้ถือเป็นรอยด่างครั้งประวัติศาสตร์ขององค์กรเสาหลักทางการเงินของประเทศ

                           ผู้เชี่ยวชาญระบุว่าในเชิงเทคนิคแล้ว ต้นเหตุของเรื่องนี้ไม่ได้เกิดจากแฮกเกอร์ระดับโลกที่ใช้เทคนิคซับซ้อน แต่กลับมาจากข้อบกพร่องขั้นพื้นฐานในระบบโค้ด (Coding Flaw) ประเภท IDOR (Insecure Direct Object References) ในหน้าโปรไฟล์ผู้ใช้งาน ซึ่งเปิดช่องให้ผู้ก่อเหตุสามารถสลับเปลี่ยนหมายเลข ID บนพารามิเตอร์ เพื่อเรียกดูและดูดข้อมูลออกไปนับแสนรายการอย่างง่ายดาย สะท้อนให้เห็นว่ากระบวนการทดสอบความปลอดภัยก่อนนำระบบขึ้นใช้งานจริง (Pre-deployment Security Audit) ขององค์กรระดับประเทศยังมีช่องโหว่เชิงกระบวนการที่ต้องเร่งยกเครื่องใหม่ทั้งหมด

                           เมื่อข้อมูลทางการเงินถูกเปิดเผยออกไป ความน่ากลัวจึงไม่ได้หยุดอยู่แค่ตัวระบบของ TSD แต่เป็นการขยายผลของขบวนการมิจฉาชีพในรูปแบบ Spear Phishing หรือ “การโจมตีด้วยอีเมลหรือข้อความเจาะจงเป้าหมายเพื่อลวงข้อมูล” หรืออาจเรียกว่า “การหลอกลวงแบบเฉพาะเจาะจงบุคคล” ที่จะนำข้อมูลชุดนี้ไปสวมรอยแอบอ้าง 

                           หากมองไปยังต่างประเทศ เหตุการณ์เช่นนี้เคยเกิดขึ้นกับ Robinhood แอปพลิเคชันเทรดหุ้นชื่อดังของสหรัฐ ฯ ในปี 2021 ที่ข้อมูลลูกค้าหลุดไปถึง 7 ล้านราย หรือกรณีของ Equifax สถาบันเครดิตบูโรระดับโลกที่ทำข้อมูลชาวอเมริกันรั่วไหลกว่า 147 ล้านคน ซึ่งในกรณีของต่างประเทศนั้น หน่วยงานกำกับดูแลจะลงโทษอย่างเฉียบขาด ทั้งการปรับเงินหลายพันล้านบาท และบีบให้ผู้บริหารระดับสูงต้องลาออกเพื่อแสดงความรับผิดชอบทันที

                        ย้อนกลับมาที่ประเทศไทย หน่วยงานกำกับดูแลอย่าง สคส. หรือ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และสำนักงาน ก.ล.ต. กำลังถูกจับตาอย่างใกล้ชิดว่า จะนำมาตรฐานระดับโลกมาบังคับใช้กฎหมาย PDPA เพื่อเอาผิดและสร้างบรรทัดฐานในการเยียวยาผู้เสียหายอย่างจริงจังเพียงใด หรือท้ายที่สุดจะเป็นเพียงแค่การตักเตือนทางเอกสารที่ปราศจากความรับผิดชอบเชิงประจักษ์

                         หากมองผ่านเลนส์ของเสียงสะท้อนทางสังคม เหตุการณ์ทำนองนี้ช่างคล้ายกับแผ่นเสียงตกร่องที่บรรเลงซ้ำแล้วซ้ำเล่าในสังคมไทย  หน่วยงานรัฐและองค์กรกึ่งรัฐมักออกมาแถลงขอโทษ ปิดระบบชั่วคราว ตั้งคณะกรรมการสอบสวน และแจกจ่ายคู่มือเตือนภัยให้

ประชาชน   “ระวังตัวกันเอาเอง”   เป็นพิธีกรรมประจำปี เหมือนกับบทเรียนราคาแพงที่จ่ายด้วยคราบน้ำตาและหยาดเหงื่อของประชาชน แต่สุดท้ายก็มักจะวนกลับมาเกิดเหตุการณ์ซ้ำซากในรูปแบบเดิมๆ จนผู้บริโภคเริ่มตั้งคำถามว่า เมื่อไหร่มาตรฐานความปลอดภัยระดับชาติจะเลิกใช้ระบบ “วัวหายล้อมคอก” เสียที

                         ท่ามกลางวิกฤตข้อมูลรั่วไหลที่กระทบผู้ลงทุนถึงสองแสนราย การที่ผู้บริหารระดับสูงเลือกสื่อสารเพียงแค่การออกประกาศเตือนให้ลูกค้า“ใช้สติ” ในการรับมือ   ย่อมสะท้อนถึงมุมมองการบริหารความเสี่ยงที่“ผลักภาระ” ความปลอดภัยปลายทางให้ตกเป็นของประชาชนแต่เพียงฝ่ายเดียว  องค์กรระดับโครงสร้างพื้นฐานของประเทศไม่อาจฟอกความรับผิดชอบด้วยคำเตือนเชิงปัจเจกได้ ในเมื่อต้นตอของปัญหาเกิดจากความบกพร่องของระบบภายในองค์กรเอง

                      สิ่งที่สังคมคาดหวังจึงไม่ใช่แค่คำแนะนำให้ระมัดระวังตัว แต่คือ..“มาตรการเยียวยา” ที่จับต้องได้และการแสดงความรับผิดชอบอย่างเป็นรูปธรรม มิฉะนั้น “บทเรียนราคาแพง” ครั้งนี้ ก็จะเป็นเพียงวงจรอุบาทว์ที่รอวันวนกลับมาทำลายความเชื่อมั่นของตลาดทุนไทยซ้ำแล้วซ้ำเล่า !

#ตลาดหลักทรัพย์แห่งประเทศไทย#TSD#INSIDE INSIGHT#ชัยทัศน์วิเคราะห์#THAITRIBUNE#ตลาดทุนไทย