สรุปหลัง TrueMove H ชี้แจงกับ กสทช. เรื่องข้อมูลหลุด ความจริงคืออะไร?

หลังจากที่ก่อนหน้านี้มีข่าวว่า

iTruemart ชี้แจงกรณีข้อมูลลูกค้า TrueMove H หลุด เป็นเฉพาะลูกค้าที่ลงทะเบียนผ่าน iTruemart เท่านั้น!

ซึ่งทางกสทช. ก็ให้ทาง TrueMove H เข้ามาชี้แจงเมื่อวันที่ 17 เมษายนที่ผ่านมา โดยตัวแทนจากทรู ประกอบด้วย

นายภัคพงศ์ พัฒนมาศ รองผู้อำนวยการ ธุรกิจโมบายล์ บมจ. ทรู คอร์ปอเรชั่น
นายสืบสกล สกลสัตยาทร กรรมการผู้จัดการ บริษัท แอสเซนด์ คอมเมิร์ซ จำกัด ผู้บริหาร ไอทรูมาร์ท ( หรือ Wemall )

ซึ่งเนื้อหาก็ตรงกับที่เคยชี้แจงเองก่อนหน้านี้ว่าหลุดจากผู้ที่ลงทะเบียนผ่าน iTruemart เท่านั้น ข้อมูลรั่วไหลเป็นเลขที่บัตรประชาชนจำนวน 11,400 ชุด ที่เก็บโดย iTruemart ไม่ใช่ฐานข้อมูลของ TrueMove H โดยตรง เพราะเป็นฐานข้อมูลคนละชุดกัน โดยเก็บไว้บน Amazon Web Services (AWS)

รายละเอียดข้อมูลที่หลุดเป็นข้อมูลของ TrueMove H ที่สมัครซื้อซิมพร้อมมือถือผ่าน iTruemart เท่านั้น ในโฟลเดอร์มีเฉพาะไฟล์สำเนาบัตรประชาชน, ใบขับขี่, Passport จำนวน 11,400 ราย (แต่ข้อมูลตามข่าวแรกจากฝรั่งบอกว่ามี 4 หมื่นกว่าไฟล์ แล้วทำไมเหลือแค่หมื่นว่าคน?) และไม่มีข้อมูลอื่น ๆ ทั้งนี้ iTruemart ได้ปิดรูโหว่นี้ภายในวันที่ 12 เมษายนที่ผ่านมา

สำหรับกรณีนาย Niall Merrigan ได้รายงานการตรวจพบข้อมูลลูกค้าของ TrueMove H รั่วไหล รวมกว่า 46,000 ไฟล์นั้น พบว่ามีความจงใจในการเจาะระบบ เนื่องจากพบว่าเขาสามารถเข้าถึงได้โดยใช้เครื่องมือพิเศษ 3 ตัว ซึ่งเป็นเครื่องมือที่พัฒนาออกมาใหม่ล่าสุด พร้อมทั้งกล่าวว่านักวิจัยด้านความปลอดภัย นาย Niall Merigan ก็ไม่มีสิทธิในการเข้าถึงข้อมูล

เบื้องต้น TrueMove H ร่วมมือกับ iTruemart ดำเนินการต่อลูกค้าที่ได้รับผลกระทบ 3 มาตรการ นั่นคือ

ส่ง SMS แจ้งให้ลูกค้าทราบถึงมาตรการต่าง ๆ ที่ทรูมูฟดำเนินการ เริ่มตั้งแต่วันนี้เป็นต้นไป
ดำเนินการลงบันทึกประจำวันเพื่อให้มั่นใจว่าสิทธิของลูกค้าจะได้รับความคุ้มครองตามกฎหมาย
เปิดช่องทางต่าง ๆ เพื่อรับแจ้งและให้ความช่วยเหลือ ทั้งคอลล์เซ็นเตอร์ อีเมล เว็บไซต์ รวมถึงมีเอเจนท์คอยให้บริการ

และยินดีช่วยเหลือรับผิดชอบลูกค้ากลุ่มนี้อย่างต่อเนื่อง

ด้าน กสทช. ยังไม่ลงโทษ

เบื้องต้น กสทช.ยังไม่เอาผิด TrueMove H หลังพบข้อมูลบัตรประชาชนลูกค้าลงทะเบียนซิมรั่ว เพราะว่ายังต้องรวบรวมข้อมูลข้อเท็จจริงให้ตรวจสอบอีกครั้ง

ด้านมหาดไทยแจง แค่สำเนาบัตรประชาชนไม่สามารถดำเนินการอะไรกับหน่วยงานรัฐได้

พล.อ.อนุพงษ์ เผ่าจินดา รัฐมนตรีว่าการกระทรวงมหาดไทย ตนยืนยันว่าข้อมูลที่หลุดออกไปเป็นเพียงข้อมูลหน้าบัตรประชาชนเท่านั้น ส่วนข้อมูลเชิงลึกในบัตรประจําตัว นั้นไม่ได้หลุดออกไปอย่างแน่นอน หากมีเจ้าหน้าที่รายใดที่มีส่วนทําให้ข้อมูลของประชาชนส่วนลึกรั่วไหลต้องได้รับโทษตามกฎหมาย

ฝรั่งแจ้งช่องโหว่ให้ True แต่ถูกกล่าวหาว่าเป็นแฮกเกอร์!

เว็บ Blog “certsandprogs” ของ NIALL MERRIGAN ที่ถูกกล่าวหาว่าเป็นแฮกเกอร์ได้เผยแพร่บทความถาม-ตอบ ข้อเท็จจริงดังกล่าว สรุปมาเป็น Q&A โดยจับใจความได้ว่า

ข้อมูลของทรูที่ได้มาเป็นข้อมูลรั่วไหล เพราะไม่มีการรักษาความปลอดภัยใน AWS ทำให้ Search Engine หรือบอทเก็บข้อมูลต่างๆ เข้าถึงข้อมูลส่วนนี้ได้โดยทั่วไป ทำให้ใครๆ ก็เปิดดูได้เหมือนการหาเว็บไซต์ตาม Search Engine หรือเปิดเว็บไซต์ผ่าน Browser ทั่วไป ไฟล์ที่เข้าถึงได้เป็น JPG และ PDF

NIALL ใช้เครื่องมือที่เรียกว่า s3-ncdu เพื่อสร้างรายการไฟล์ใน Cloud ดังกล่าว การกระทำของเขาทำเพื่อต้องการชี้แจงช่องโหว่ให้ทาง True ทราบ แต่กลับถูกกล่าวหาว่าเป็นแฮกเกอร์ และ NIALL ก็รอทาง TrueMove H ตอบกลับอยู่แล้วถึง 1 เดือนก่อนเผยแพร่ข้อมูลหลังจากทรูแก้ไขช่องโหว่แล้ว (เป็นเรื่องปกติของผู้หาช่องโหว่เพื่อชี้แจงให้เจ้าของบริการหาทางแก้ไขอยู่แล้ว หากไม่มีการตอบกลับนานๆ จะทำการเผยแพร่ข้อมูล)

ทาง NIALL MERRIGAN เองก็ยังแนะนำให้ผู้ที่ได้รับผลกระทบหรือไม่มั่นใจติดต่อกับทาง TrueMove H โดยตรง

อย่างไรก็ตามทาง NIALL ได้ติดต่อกับทาง TrueMove H และ True Corp (บริษัทแม่ของ TrueMove H) ไม่ได้ติดต่อกับทาง Ascend บริษัทแม่ของ WeMall (iTruemart) แต่อย่างใด (เพราะใครจะไปรู้ว่าเป็นข้อมูลของ iTrueMart)

พบ Ascend บริษัทที่ดูแล WeMall (iTrueMart) ประกาศรับ Senior Security Engineer

เพจสอนแฮกเว็บแบบแมวๆ ได้รายงานว่า พบ Ascend บริษัทที่ดูแล WeMall (iTrueMart) ประกาศรับ Senior Security Engineer โดยลงไว้ใน jobsDB ตามลิงค์นี้ แต่ปัจจุบันไม่สามารถเข้าถึงหน้าดังกล่าวได้แล้ว