นายฐากร ตัณฑสิทธิ์ เลขาธิการ สำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ(กสทช.) เปิดเผยว่า สำนักงาน กสทช. เรียกให้ทรูมูฟ เอช (True Move H) ซึ่งเป็นบริษัทย่อยของบมจ.ทรู คอร์ปอเรชั่น (TRUE) เข้าชี้แจงข้อเท็จจริง กรณีที่ปรากฎข่าวบนเว็บไซต์ว่า ทรูทำข้อมูลบัตรประชาชนลูกค้าหลุดจำนวนมาก ในวันอังคารที่ 17 เม.ย. 2561 เวลา 9.30 น. ณ ห้องประชุม ชั้น 4 อาคารอำนวยการ สำนักงาน กสทช.
โดยเรื่องนี้ ตามพ.ร.บ.องค์กรจัดสรรคลื่นความถี่และกำกับการประกอบกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคม พ.ศ. 2553 กำหนดไว้ว่า ในเรื่องนี้ ผู้กระทำผิดมีโทษตามกฎหมาย หากผู้ประกอบการมีส่วนในความผิด จะถูกดำเนินคดีตามกฎหมาย และพักใช้ เพิกถอนใบอนุญาต โดย กสทช. เป็นผู้เสียหายตามกฎหมายด้วย
นายฐากร กล่าวว่า ในกรณีนี้ หากเป็นการกระทำโดยเจตนา ทรูมูฟ เอช มีความผิดแน่นอน แต่ทั้งนี้ สำนักงาน ต้องเรียกทรูมูฟ เอช มาให้ข้อมูลก่อนว่าข้อเท็จจริงเป็นอย่างไร สำนักงาน กสทช. ขอตรวจสอบข้อเท็จจริงในแน่นอนก่อน จึงจะดำเนินการต่อไป
"สำนักงาน กสทช. ให้ความสำคัญต่อกรณีดังกล่าว เนื่องจากกระทบต่อข้อมูลส่วนบุคคลของประชาชนผู้ใช้บริการ สำนักงานฯ จะรีบดำเนินการในเรื่องนี้ให้เร็วที่สุด เพื่อคุ้มครองประชาชนผู้ใช้บริการ"นายฐากร กล่าว
ทั้งนี้ สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (องค์การมหาชน) รายงานว่า เมื่อวันที่ 13 เมษายน ที่ผ่านมา นักวิจัยด้านความมั่นคงปลอดภัย Niall Merrigan ได้รายงานข้อมูลผู้ใช้บริการ True Move H รั่วไหล โดยข้อมูลเหล่านี้อยู่ใน Amazon S3 bucket ที่ไม่ได้มีมาตรการป้องกันเพียงพอ ส่งผลให้บุคคลภายนอกสามารถเข้าถึงและดาวน์โหลดข้อมูลดังกล่าวออกมาได้
ข้อมูลที่หลุดออกมามีทั้งไฟล์ภาพ JPG และ ไฟล์ PDF โดยเป็นไฟล์สแกนสำเนาบัตรประชาชน ใบขับขี่ และพาสปอร์ตของผู้ใช้บริการ ปริมาณข้อมูลที่อยู่บนเซิร์ฟเวอร์ดังกล่าวมีประมาณ 46,000 ไฟล์ รวมแล้วกว่า 32GB โดยเป็นไฟล์นับแต่ปี 2016-2018 แต่ยังไม่มีการยืนยันจำนวนผู้ได้รับผลกระทบ
นักวิจัยเผยว่าได้ติดต่อประสานไปยัง True Move H เมื่อต้นเดือน มี.ค. และปัญหานี้ได้รับการแก้ไขเมื่อวันที่ 12 เมษายน ที่ผ่านมา
ขณะที่ สำนักงานพัฒนาธุรกรรมอิเล็กทรอนิกส์ แจ้งกับผู้ใช้งาน True Move H ว่า ตอนนี้อยู่ระหว่างการประสานงานเพื่อยืนยันความถูกต้องของข้อมูล โดยผู้ใช้ควรตรวจสอบว่าใช้ข้อมูลใดในการลงทะเบียนกับผู้ให้บริการ รวมถึงอาจพิจารณาแจ้งความลงบันทึกประจำวันไว้เป็นหลักฐาน ในกรณีหากเกิดเหตุการณ์ผู้ประสงค์ร้ายนำข้อมูลที่หลุดรั่วออกไปใช้ในการสวมรอยหรือปลอมแปลงตัวบุคคล ซึ่งอาจส่งผลกระทบทางกฎหมายได้
ทั้งนี้ ปัญหาข้อมูลรั่วไหลในลักษณะนี้เคยเกิดขึ้นมาแล้วหลายครั้ง หน่วยงานหรือนักพัฒนาที่นำข้อมูลสำคัญโดยเฉพาะข้อมูลส่วนบุคคลฝากไว้บน Amazon S3 bucket ควรรักษาความมั่นคงปลอดภัยของข้อมูลโดยอาจเข้ารหัสลับข้อมูล จำกัดการเข้าถึงจากบุคคลภายนอก รวมถึงตรวจสอบการใช้งานที่ผิดปกติ
ไอทรูมาร์ท ซึ่งเป็นบริษ้ทกลุ่ม TRUE ออกแถลงการณ์ระบุว่า จากกรณีที่มีข่าวเรื่องข้อมูลลูกค้าที่ลงทะเบียนใหม่ถูกเปิดเผยในที่สาธารณะนั้น ไอทรูมาร์ทรู้สึกเสียใจและขออภัยลูกค้าที่ได้รับผลกระทบจากเหตุการณ์ที่เกิดขึ้น ซึ่งทันทีที่ทราบเรื่องดังกล่าว บริษัทฯ ก็มิได้นิ่งนอนใจ ได้ดำเนินการตรวจสอบอย่างละเอียดทันที ซึ่งกรณีดังกล่าวเกิดขึ้นกับการhack ข้อมูลลูกค้าที่ได้ซื้อมือถือพร้อมแพคเกจบริการทรูมูฟ เอช โดยมีการลงทะเบียนซิมผ่านช่องทาง itruemart
โดยล่าสุดทีมงานไอทรูมาร์ท ได้ดำเนินการแก้ไขเหตุการณ์ที่เกี่ยวข้องกับความปลอดภัยของข้อมูลลูกค้าแล้ว พร้อมทั้งจะมีการส่งแจ้งเตือนไปยังลูกค้ากลุ่มดังกล่าว เพื่อให้ทราบถึงมาตรการของบริษัทที่จะดำเนินการเพื่อป้องกันความปลอดภัยของข้อมูลลูกค้า หากถูกนำไปใช้ในทางที่ไม่ถูกต้อง
"ทีมงานไอทรูมาร์ท ขอยืนยันว่า บริษัทให้ความสำคัญสูงสุด เรื่องการปกป้องและรักษาข้อมูลส่วนบุคคลของลูกค้ามาโดยตลอด และสำหรับกรณีที่เกิดขึ้นนี้ บริษัทฯมิได้นิ่งนอนใจ โดยกำลังทำงานอย่างใกล้ชิดกับองค์กรผู้เชี่ยวชาญด้านไซเบอร์ซีเคียวริตี้ระดับโลก รวมถึงการดำเนินการทางกฎหมายเพื่อให้มั่นใจได้ว่า ข้อมูลของลูกค้าจะได้รับการดูแลปกป้อง ด้วยมาตรฐานสูงสุดทั้งในด้านเทคโนโลยีและทางกฎหมาย"แถลงการณ์ระบุ