9near : จับกุม จ่าสิบโท แฮกเกอร์ที่อ้างมีข้อมูลคนไทย 55 ล้านคนได้แล้ว

ปรับปรุงแล้ว 12 เมษายน 2023

จ่าสิบโท ที่เชื่อว่าเป็น แฮกเกอร์ “9Near” เตรียมถูกส่งมอบตัวให้ตำรวจแล้วในวันนี้ (12 เม.ย.) หลังประสานเข้ามอบตัวกับกองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี หรือ บช.สอท. เบื้องต้น อยู่ในการควบคุมของทหาร

วันนี้ (12 เม.ย.) นายทหารพระธรรมนูญได้เดินทางเข้าพบพนักงานสอบสวน ที่ บช.สอท. เพื่อหารือขั้นตอนการส่งมอบตัวจ่าสิบโท เขมรัตน์ บุญช่วย ทหารสังกัดหน่วยกรมการขนส่งทหารบก ที่ต้องสงสัยว่าเป็นแฮกเกอร์ “9Near” ตามหมายจับศาลอาญาฐานกระทำความผิดตาม พ.ร.บ.คอมพิวเตอร์ และ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล กรณีแฮกข้อมูลคนไทย 55 ล้านรายชื่อไปขายในโซเชียลมีเดีย

เบื้องต้น จ่าสิบโทเขมรัตน์ อยู่ในการควบคุมของกองทัพแล้ว ส่วนภรรยาที่เป็นพยาบาลของเขา ซึ่งถูกออกหมายจับด้วยนั้น ยังไม่มีรายละเอียดเพิ่มเติม

ก่อนหน้านี้ เมื่อวันที่ 7 เม.ย. พล.ต.ท.วรวัฒน์ วัฒน์นครบัญชา ผู้บัญชาการกองบัญชาการสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (บช. สอท.) เปิดเผยว่า เจ้าหน้าที่ได้ติดตามจับกุมตัวเมื่อวันอาทิตย์ที่ 2 เม.ย. ที่ผ่านมา แต่ “คนร้ายปิดโทรศัพท์หลบหนีไป”

“ยืนยันว่าผู้ต้องหาที่เราออกหมายจับ เดิมเราคิดว่าเป็นบุคคลธรรมดา แต่ตรวจสอบภายหลังพบว่าเป็นจ่าสิบโท ส่วนสังกัดในภารกิจของหน่วยงานเขา ไม่มีอะไรที่เกี่ยวข้องกับเรื่องของเทคโนโลยีเลย ก็ยังเชื่อว่า (การลงมือ) เป็นเรื่องของส่วนบุคคล”

ส่วนจุดประสงค์ของผู้ก่อเหตุ ผบช. สอท. กล่าวว่า จากลักษณะการโพสต์ของแฮกเกอร์ 3 ครั้ง พบว่า เจตนาเปลี่ยนแปลงไปทั้ง 3 ครั้ง ครั้งแรกเป็นลักษณะการโพสต์แบบแฮกเกอร์ที่เรียกค่าไถ่จากข้อมูลหลุดคนไทย 55 ล้านชื่อ ครั้งที่สอง การข่มขู่บุคคลผู้มีชื่อเสียง ส่วนครั้งสุดท้ายเมื่อเจ้าหน้าที่เริ่มสืบสวน ระบุว่า จะไม่เปิดเผยข้อมูลชุดนั้นแล้ว แต่จะเปิดเผยสปอนเซอร์การเมืองที่หลอกลวงเขาแทน เชื่อว่าหากได้ตัวมากระบวนการสอบสวนจะสามารถบ่งชี้ได้ว่า ผู้ก่อเหตุมีเจตนาอะไร

ด้านนายชัยวุฒิ รมว. ดีอีเอส ระบุว่า เท่าที่ทราบเบื้องต้น ประเมินว่าผู้ก่อเหตุมีมูลเหตุจูงใจ ทั้งในเรื่องการนำข้อมูลไปขายในลักษณะการหลอกลวงประชาชนหรือสแกม โดยนำไปขายไปกับกลุ่มมิจฉาชีพ หรือการทำเพื่อดิสเครดิตหน่วยงาน ด้วยความคึกคะนอง หรือความต้องการมีชื่อเสียง ซึ่งยังไม่มีความชัดเจนว่า ผู้ก่อเหตุได้ไปขายข้อมูลให้ใครบ้าง ซึ่งทางกระทรวงจะติดตามต่อไป

“ยืนยันว่า เวลาคนร้ายเข้ามาโจมตีเจาะข้อมูลในระบบคอมพิวเตอร์ ทางเจ้าหน้าที่ของเราสามารถสืบสวน ติดตามเส้นทางต่าง ๆ จนหาตัวคนร้ายได้แน่นอน ถ้าอยู่ในแผ่นดินไทย เราจับคนร้ายได้แน่นอน” นายชัยวุฒิ กล่าว

ก่อนหน้านี้ สื่อหลายสำนักรายงานเกี่ยวกับกรณีข้อมูลส่วนบุคคลของคนไทย 55 ล้านคน ที่มีทั้งเลขบัตรประชาชน 13 หลัก, วันเดือนปีเกิด, ที่อยู่, เบอร์มือถือ หลุดไปอยู่ในมือกลุ่มแฮกเกอร์ที่ชื่อว่า 9Near

กลุ่มดังกล่าวประกาศขายข้อมูลส่วนบุคคลของคนไทย และข้อมูลส่วนตัวในเว็บบอร์ด BreachForums พร้อมอ้างว่า ได้มาจากหน่วยงานรัฐหน่วยงานหนึ่งในประเทศไทย

กลุ่มแฮกเกอร์ 9Near ประกาศด้วยว่า หากหน่วยงานที่ทำข้อมูลเหล่านี้หลุดไม่ติดต่อทางกลุ่มภายในวันที่ 5 เม.ย. 2566 กลุ่ม 9Near จะประกาศว่าหน่วยงานไหนทำข้อมูลเหล่านี้หลุด และวิธีการที่กลุ่มแฮกข้อมูลเหล่านี้มาได้

ทั้งนี้ เมื่อวันที่ 2 เม.ย. หรือก่อนกำหนดเปิดเผยข้อมูล 3 วัน กลุ่ม 9Near ได้ประกาศยุติปฏิบัติการแล้ว หลังมีข้อขัดแย้งกับผู้สนับสนุน และ “ไม่อยากทำร้ายคนไทย”

9Near เปิดเผยถึงการยุติปฏิบัติการด้วยว่า “ผู้ให้การสนับสนุนปฏิบัติการ (sponsor) มีข้อขัดแย้ง และเราไม่อยากทำร้ายคนไทย เราไม่เห็นด้วยกับนักการเมืองสกปรกเหล่านี้”

แถลงการณ์บางส่วน ยังสื่อสารถึงผู้สนับสนุนว่า แผนการไม่ตรงกับจุดประสงค์ของแฮกเกอร์ เนื่องจากเป็นการทำเพื่อตัวเอง “ไม่ใช่เพื่อประชาชน”

“เราไม่ได้ซื้อข้อมูลมาจากทางการ” “เราไม่ใช่คอลเซ็นเตอร์ หรือพวกสแกมเมอร์” และ “ข้อมูลนี้ เราใช้เพื่อเคลื่อนไหว ไม่ใช่เพื่อหาเงิน” กลุ่ม 9Near ระบุ

ในการแถลงข่าวเมื่อวันที่ 31 มี.ค. ของนายชัยวุฒิ รมว. ดีอีเอส เปิดเผยการสอบสวนเบื้องต้นพบว่า ข้อมูลอาจจะหลุดจากหน่วยงานรัฐ หรือหน่วยงานเอกชนที่มีข้อมูลประชาชนจำนวนมาก แต่อยู่ระหว่างการตรวจสอบว่าเป็นหน่วยงานใด เนื่องจากข้อมูล ชื่อ ที่อยู่ เบอร์โทรศัพท์ เป็นข้อมูลที่มีในหน่วยงานรัฐ หรือข้อมูลของการทำธุรกรรมซื้อขายขายของทางออนไลน์ของประชาชน

“กำลังสอบสวนว่า รั่วจากหน่วยงานไหน แต่เท่าที่เราตรวจสอบหน่วยงานไม่มีใครมีบัญชีลูกค้า บัญชีข้อมูลประชาชนจำนวนมากขนาดนั้น ไม่มี” นายชัยวุฒิ กล่าว

“เท่าที่เราเช็กเบื้องต้น ไม่ได้มีข้อมูลที่ละเอียดอ่อนหรือ sensitive data เช่น ประวัติการรักษาพยาบาล”

นายชัยวุฒิ ยอมรับว่า ข้อมูลที่รั่วไหลถูกแฮกเกอร์เจาะและดูดข้อมูลออกไป “น่าจะเป็นหน่วยงานที่ติดต่อกับประชาชน ที่เพิ่งพัฒนาระบบขึ้นมาใหม่ ๆ”

เขาแถลงด้วยว่า หน่วยงานเดียวที่มีฐานข้อมูลจำนวนมากขนาดนี้ คือ ฐานข้อมูลของกระทรวงมหาดไทย “แต่ตรวจสอบแล้ว เช็กแล้วไม่ใช่รั่วไหลที่กรมการปกครอง”

สำหรับการดำเนินคดี ยอมรับว่าผู้เสียหายยังไม่ชัดเจน แต่ขอให้ประชาชนที่ปรากฏชื่อหลุดออกมา มาแจ้งความที่ตำรวจไซเบอร์ ทั้งนี้กระทรวงฯ ได้ประสานสํานักงานตํารวจแห่งชาติเพื่อหาข้อเท็จจริงที่เกี่ยวข้อง และดําเนินการหาตัวผู้กระทําความผิด

“ตามที่เขาอ้างว่า 55 ล้านคน ก็ยังไม่น่าเป็นไปได้ เพราะเท่าที่เราตรวจสอบแล้ว หน่วยงานไม่มีใครมีข้อมูลเยอะขนาดนั้น” รัฐมนตรีกระทรวงดีอีเอส ระบุ

รมว. ดีอีเอส กล่าวด้วยว่า กระทรวงฯ ได้ติดต่อไปยังผู้บริการโดเมนเนมเว็บไซต์ 9near.org ตั้งแต่วันที่ 29 มี.ค. 2566 แต่ยังไม่ได้มีการปิด เนื่องจากผู้ให้บริการโดเมนเนมซึ่งอยู่ต่างประเทศ ระบุว่าความเป็นมัลแวร์ของเว็บไซต์ยังไม่ชัดเจน ทางดีอีเอสจึงไปขอคำสั่งศาลเพื่อบล็อกเว็บนี้ไม่ให้เข้าถึงได้ในประเทศไทย โดยอยู่ระหว่างดําเนินการขอคําสั่งศาลตาม พ.ร.บ. ว่าด้วยการกระทําความผิดเกี่ยวกับคอมพิวเตอร์ และอยู่ระหว่างประสานผู้ให้บริการอินเทอร์เน็ตในประเทศเพื่อดําเนินการปิดกั้นเว็บไซต์ดังกล่าวด้วย

ระหว่างการแถลงข่าวช่วงต้น นายชัยวุฒิ ยังอ่านชื่อของเว็บไซต์ของแฮกเกอร์ที่อ้างตัวด้วยว่า 9near.org “ไนน์ แปลว่า เก้า เนียร์ แปลว่า ใกล้” ซึ่งในเว็บไซต์มีรูปโปรไฟล์ เป็นภาพสามเหลี่ยมหัวกลับสีส้ม ที่เขียนข้อความด้านในสัญลักษณ์ว่า “ก้าวใกล้”

ส่วนการส่งข้อความสั้น (SMS) ไปยังบุคคลในแวดวงต่าง ๆ เช่นนายสรยุทธ สุทัศนะจินดา ผู้ประกาศข่าวช่อง 3 และอีกชื่อที่นายชัยวุฒิระบุว่า คือ ปริญญา หอมเอนก หนึ่งในคณะกรรมการความมั่นคงทางไซเบอร์ ตรวจสอบแล้วพบว่า การส่งข้อความสั้นใช้บริการผ่านผู้ให้บริการรายหนึ่งในการส่งผ่านระบบอินเทอร์เน็ต และทราบตัวบุคคลแล้ว

“เหมือนอยู่ในต่างประเทศ แต่จริง ๆ แล้ว อยู่เมืองไทยนี่แหล่ะ”

ประเด็นแรงจูงใจของแฮกเกอร์ รมว. ดีอีเอส ระบุว่า เป็นเรื่องของการเรียกเงินจากการเอาข้อมูลไปขาย และพฤติกรรมในช่วงหลังเมื่อไม่ได้เงิน ก็นำข้อมูลไปดิสเครดิต โจมตีหน่วยงานภาครัฐให้เกิดความปั่นป่วน เกิดความวิตกกังวล และสุดท้ายก็อาจนำไปสู่การจ่ายเงินเรียกค่าไถ่ได้

สำหรับกรณีว่าข้อมูลส่วนตัวของคนไทยขนาด 55 ล้านคน จะถูกเจาะจากหน่วยงานไหน ก่อนหน้านี้ ชมรมแพทย์ชนบท โพสต์บนเฟซบุ๊ก ตั้งแต่วันที่ 23 มี.ค. ว่า “ฐานข้อมูลขนาดนี้มีไม่กี่รายในประเทศไทย หนึ่งในนั้นคือ “หมอพร้อม” ที่กระทรวงสาธารณสุขดูแลอยู่ และใช้เป็นฐานในการลงทะเบียนฉีดวัคซีนโควิด”

ชมรมแพทย์ชนบท ระบุด้วยว่า ได้เตือนให้ปลัดกระทรวงสาธารณสุข ตรวจสอบเรื่องนี้แล้ว 4 ครั้ง ก่อนหน้านี้ แต่ยังไม่มีการตอบรับ

ด้านนายอนุทิน ชาญวีรกูล รองนายกรัฐมนตรีและรัฐมนตรีว่าการกระทรวงสาธารณสุข กล่าวกับสำนักข่าวอิศราเมื่อวันที่ 30 มี.ค. ว่า ได้รับรายงานเรื่องนี้จากปลัดกระทรวงสาธารณสุขแล้ว แต่ยังไม่มีการยืนยันว่าข้อมูลหลุดจากหมอพร้อมหรือไม่ และหน่วยงานด้านความปลอดภัยไซเบอร์กำลังเร่งดำเนินการตรวจสอบอยู่

ฐานข้อมูลของระบบ “หมอพร้อม” เป็นระบบการลงทะเบียนฉีดวัคซีนโควิด-19 ที่เริ่มใช้งานเมื่อเดือน พ.ค. 2564 หรือเกือบ 2 ปีที่แล้ว มีทั้งระบบที่ทำผ่านแอปพลิเคชั่นไลน์ (LINE Official Account) และแอปพลิเคชั่นหมอพร้อม ระบบดังกล่าวรองรับการเริ่มฉีดวัคซีนโควิดกลุ่มแรก ซึ่งเป็นวัคซีนโควิดเข็มที่ 1 ของคนไทย ที่เริ่มในเดือน มิ.ย. 2564 เป็นต้นมา

หากเทียบข้อมูลที่แฮกเกอร์อ้างว่ามีอยู่ 55 ล้านคน กับข้อมูลการฉีดวัคซีนโควิด ตัวเลขล่าสุดจากแดชบอร์ดของกระทรวงสาธารณสุขจนถึงปัจจุบัน (30 มี.ค. 2566) ผู้รับการฉีดวัคซีนเข็มที่ 1 มีจำนวน 57.6 ล้านคน ฉีดเข็มที่ 2 จำนวน 54.1 ล้านคน

เว็บไซต์ข่าวสารด้านไอที เช่น blognone และ droidsans รายงานว่า กลุ่มแฮกเกอร์ที่อ้างตัวเจาะข้อมูลคนไทย 55 ล้านคน เผยแพร่ประกาศขายข้อมูลมาตั้งแต่วันที่ 15 มี.ค. ที่ผ่านมา

droidsans ระบุว่า จากการสืบค้นข้อมูลของ BreachForums ที่แฮกเกอร์นำมาโพสต์ เป็นเว็บไซต์ที่โด่งดังในเรื่องอาชญากรรมไซเบอร์ โดยเฉพาะเทคโนโลยีเกี่ยวกับทางด้านคอมพิวเตอร์ ซึ่งมีคนจำนวนมากตกเป็นเหยื่อถูกนำข้อมูลไปปล่อยขาย

ภาพข้อมูลส่วนบุคคลของคนไทยที่ลบชื่อ เลขที่บ้าน และเบอร์โทรศัพท์ ปรากฏข้อมูลปีที่เกิด จังหวัดบางส่วน