ข้อมูล DNS Query ของลูกค้า AIS รั่วจำนวนกว่า 8,300 ล้านรายการ ไม่ส่งผลกระทบต่อลูกค้าผู้ใช้งานจริงหรือ?

        ในช่วง 3-4 วันที่ผ่านมา เกิดประเด็นที่สร้างความฮือฮาในแวดวงโทรคมนาคมและไอทีได้พอสมควร จากกรณีที่มีการตรวจสอบพบข้อมูล DNS Query ของลูกค้า AIS เปิดเผยออกสู่สาธารณะกว่า 8,300 ล้านรายการแบบไม่มีการเข้ารหัส

        เหตุการณ์นี้เกิดขึ้นเมื่อ Mr. Justin Paine นักวิจัยด้านความปลอดภัยไซเบอร์ ตรวจสอบพบฐานข้อมูล Elasticsearch และหน้าจอ dashboard Kibana ที่มีฐานข้อมูลการใช้งาน DNS และข้อมูลทราฟิกอินเทอร์เน็ตแบบ Netflow รวม 8,300 ล้านรายการ ของบริษัท Advanced Wireless Network (AWN) ซึ่งเป็นบริษัทลูกของบริษัท Advance Info Service (AIS) ยักษ์ใหญ่ด้านโทรคมนาคมเบอร์ 1 ของประเทศไทย ถูกเผยแพร่ออกสู่สาธารณะ ซึ่งการตรวจสอบนี้เกิดขึ้นเมื่อวันที่ 7 พฤษภาคม 2563 และพบว่ามีการเปิดเผยข้อมูลนี้ออกมาตั้งแต่วันที่ 1 พฤษภาคม 2563 แล้ว

        โดยตลอดเวลา 1 สัปดาห์ (13 – 21 พฤษภาคม 2563) Mr. Justin Paine ได้พยายามติดต่อ AIS ไปหลายครั้งเพื่อให้รักษาความปลอดภัยฐานข้อมูลนี้ แต่ก็ไม่ได้รับการตอบรับใด ๆ กลับมา จึงได้ติดต่อไปยัง Zack Whittaker นักข่าวของ TechCrunch เพื่อแจ้งปัญหาที่พบเจอและประสานงานไปยัง AIS เพื่อแจ้งปัญหาที่เกิดขึ้นอีก 1 ช่องทางแต่ก็ยังไม่สามารถติดต่อได้

        สุดท้ายจึงมีการติดต่อไปที่ ThaiCERT เพื่อแจ้งปัญหาจนสุดท้ายสามารถติดต่อไปที่ AIS ได้ ปัญหาที่เกิดขึ้นจึงได้รับการแก้ไขในวันที่ 22 พฤษภาคม 2563 รวมระยะเวลาทั้งสิ้น 22 วัน

        ปัญหาที่เกิดขึ้น หากมองถึงข้อมูลที่ถูกเปิดเผยสู่สาธารณะ อาจมองได้ว่าข้อมูลเหล่านี้เป็นข้อมูลที่ "ไม่ใช่ข้อมูลส่วนบุคคลของลูกค้า แต่เป็นข้อมูลเกี่ยวกับการใช้งานอินเทอร์เน็ตในภาพรวมบางส่วน และไม่ใช่ข้อมูลที่ก่อให้เกิดความเสียหายด้านการเงินหรือด้านอื่น ๆ" ตามที่ AIS แถลงออกมา และยืนยันอีกว่าปัญหาที่เกิดขึ้นไม่ได้เกิดจากการโดน Hack หรือเจาะระบบ แต่เป็นปัญหาจากการทดสอบเพื่อปรับปรุงคุณภาพเครือข่ายที่มีขึ้นในเดือนพฤษภาคม ซึ่งตอนนี้ได้ดำเนินการแก้ไขเรียบร้อยแล้ว

        กรณีนี้ เรายังสามารถตั้งข้อสงสัยได้ว่า ข้อมูลที่หลุดไปสู่สาธารณะกว่า 8,300 ล้านรายการแบบไม่มีการเข้ารหัส จะมีใครเข้ามาพบเจอหรือดึงข้อมูลนี้ออกไปอีกหรือไม่? และถึงแม้ Log DNS ที่หลุดออกมานี้จะไม่ได้เปิดเผยถึง แชทส่วนตัว อีเมล หรือข้อมูลที่เป็นความลับต่าง ๆ อย่างพวก รหัสผ่าน แต่ใครก็ตามที่สามารถเข้าถึง Log ดังกล่าว จะสามารถรับรู้ได้ว่าผู้ใช้งาน IP address นั้น ใช้อุปกรณ์อะไร, บราวเซอร์ที่มีการใช้งาน, แอปพลิเคชันและเว็บไซต์ที่ใช้งานบ่อย หรือแม้กระทั่งแอนตี้ไวรัสที่ติดตั้งในเครื่อง และหากนำข้อมูลดังกล่าวมาวิจัยเพิ่มเติม ก็จะสามารถระบุพฤติกรรมการใช้งานอินเทอร์เน็ตทั้งหมดของเจ้าของ IP address นั้น ๆ ได้ด้วยว่า เข้าแอปฯ ไหน เว็บอะไร เวลาไหนได้เกือบทั้งหมด ซึ่งข้อมูลเหล่านี้ บริษัทโฆษณามักนำไปใช้เพื่อนำไปวางแผนกลยุทธ์การตลาด

        จากเหตุการณ์ที่เกิดขึ้น ก็ได้แต่หวังว่า AIS จะมีการปรับปรุงแก้ไข เพื่อไม่ให้เกิดเหตุการณ์ในลักษณะนี้อีก ครั้งนี้นับว่าโชคดีที่ไม่มีข้อมูลส่วนบุคคลหลุดออกไปตามที่ AIS ได้แถลง แต่หาก พรบ. คุ้มครองข้อมูลส่วนบุคคล ไม่ถูกเลื่อนและมีผลบังคับใช้เมื่อไม่กี่วันที่ผ่านมา คงต้องถามไปยัง AIS ว่า จะรับผิดชอบสิ่งที่เกิดขึ้นทั้งหมดนี้อย่างไร?

        สุดท้ายต้องไม่ลืมว่าข้อมูลเหล่านี้ คือข้อมูลส่วนตัวของลูกค้า ตาม “พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล” ที่ไม่ควรถูกเปิดเผยต่อสาธารณะชน อีกทั้ง ข้อมูลเหล่านี้อาจไม่ควรมีการเก็บบันทึกไว้ในระบบของ AIS ถึงแม้มองว่าข้อมูลเหล่านี้ทำการตรวจสอบย้อนกลับได้ยาก ว่าเจ้าของ IP นั้นเป็นใคร (ตรวจสอบยากแต่ใช่ว่าจะเช็คไม่ได้) แต่ผู้ที่สามารถเช็คได้ว่าเจ้าของ IP นั้นเป็นใครคือ AIS นั่นเอง