กฎหมายจีนบังคับเปิดเผยช่องโหว่ซอฟต์แวร์ ความเสี่ยงใหม่ที่อาจกลายเป็นอาวุธไซเบอร์ระดับโลก

ในโลกของการจารกรรมทางไซเบอร์ ช่องโหว่ที่ยังไม่ได้รับการแก้ไข (Unpatched Vulnerabilities) เปรียบเสมือนอาวุธล้ำค่าที่หน่วยงานข่าวกรองและกองทัพทั่วโลกต่างแสวงหา ไม่ว่าจะเป็นการค้นหาด้วยตนเองหรือการทุ่มเงินมหาศาลซื้อจากตลาดมืด เพื่อใช้ในการโจมตีหรือสอดแนมเป้าหมาย

อย่างไรก็ตาม รัฐบาลจีนได้สร้างกลยุทธ์ใหม่ในการเข้าถึงข้อมูลเหล่านี้ผ่านการออกกฎหมายที่บังคับให้บริษัทเทคโนโลยีทุกแห่งที่ดำเนินธุรกิจในจีน ต้องส่งมอบข้อมูลช่องโหว่ของผลิตภัณฑ์ให้แก่รัฐบาล ซึ่งข้อมูลเหล่านี้อาจถูกส่งต่อไปยังกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐ เพื่อใช้เป็นเครื่องมือในการโจมตีทางไซเบอร์

กลไกการทำงานของกฎหมายเปิดเผยช่องโหว่

รายงานจาก Atlantic Council เปิดเผยว่า กฎหมายที่ประกาศใช้ในปี 2021 กำหนดให้บริษัทเทคโนโลยีที่ตรวจพบช่องโหว่ในผลิตภัณฑ์ของตน ต้องแจ้งข้อมูลให้ กระทรวงอุตสาหกรรมและเทคโนโลยีสารสนเทศ (MIIT) ของจีนทราบภายใน 2 วัน

ข้อมูลดังกล่าวจะถูกจัดเก็บไว้ในฐานข้อมูลที่เรียกว่า Cybersecurity Threat and Vulnerability Information Sharing Platform หรือที่รู้จักกันในชื่อ National Vulnerability Database ของจีน ซึ่งเส้นทางการไหลของข้อมูลมีความน่ากังวลดังนี้:

• ข้อมูลถูกส่งจากบริษัทไปยัง MIIT
• MIIT แบ่งปันข้อมูลให้หน่วยงานรัฐอื่นๆ เช่น CNCERT/CC (ศูนย์ประสานงานทีมตอบโต้เหตุฉุกเฉินด้านคอมพิวเตอร์เครือข่ายแห่งชาติ)
• CNCERT/CC ส่งต่อรายงานให้ "พันธมิตร" ซึ่งรวมถึงหน่วยงานด้านความมั่นคง เช่น กระทรวงความมั่นคงแห่งรัฐ (Ministry of State Security) และสถาบันการศึกษาหรือบริษัทความปลอดภัยที่มีประวัติร่วมมือกับกองทัพปลดแอกประชาชนจีน (PLA)

ความกดดันต่อบริษัทข้ามชาติ: ทางเลือกที่ไม่มีทางออก

ปัญหาสำคัญคือ กระบวนการแก้ไขช่องโหว่ (Patching) มักใช้เวลานานกว่ากำหนดการแจ้งเตือน 2 วันตามกฎหมายจีน ทำให้บริษัทต่างชาติที่ดำเนินธุรกิจในจีนตกอยู่ในสถานการณ์ที่ยากลำบาก คือต้องเลือกระหว่าง การถอนธุรกิจออกจากประเทศจีน หรือ การยอมส่งมอบข้อมูลความลับ ที่อาจถูกนำไปใช้โจมตีลูกค้าของตนเอง

จากการตรวจสอบพบว่ามีบริษัทด้านเทคโนโลยีระบบควบคุมอุตสาหกรรม (Industrial Control System หรือ ICS) หลายแห่งที่ปรากฏชื่อในรายชื่อผู้ปฏิบัติตามกฎหมายของ MIIT ซึ่งรวมถึงบริษัทชั้นนำระดับโลก

สรุปการตอบสนองของบริษัทต่างชาติต่อกฎหมายเปิดเผยช่องโหว่ของจีน

บริษัท	ท่าทีและการตอบสนอง
D-Link และ Phoenix Contact	ปฏิเสธอย่างชัดเจนว่าไม่ได้ส่งข้อมูลช่องโหว่ที่ยังไม่ได้รับการแก้ไขให้รัฐบาลจีน
KUKA และ Omron	ยอมรับว่ารายงานข้อมูล แต่ระบุว่าเป็นข้อมูลชุดเดียวกับที่แจ้งรัฐบาลประเทศอื่นและลูกค้า
Beckhoff	ชี้แจงว่าให้ข้อมูลทั่วไปตามกฎหมายท้องถิ่น แต่จะไม่เปิดเผยรายละเอียดวิธีเจาะระบบ (Exploit)
Schneider Electric	ตอบแบบกว้างๆ โดยเน้นย้ำว่าความปลอดภัยไซเบอร์เป็นกลยุทธ์หลักของบริษัท

ความเสี่ยงจากการให้ข้อมูลเชิงลึก

แม้บางบริษัทจะอ้างว่าส่งเพียงข้อมูลทั่วไป แต่ระบบการรายงานออนไลน์ของจีนกลับร้องขอรายละเอียดที่ลึกมาก เช่น จุดในโค้ดที่ใช้กระตุ้นช่องโหว่ (Trigger), วิดีโอสาธิตขั้นตอนการค้นพบ หรือแม้แต่การอัปโหลด Proof-of-Concept Exploit (ซอฟต์แวร์ต้นแบบที่ใช้พิสูจน์ว่าช่องโหว่นั้นใช้งานได้จริง)

Kristin Del Rosso จาก Sophos อธิบายว่า แม้ข้อมูลจะไม่ครบถ้วนจนสร้างเครื่องมือโจมตีได้ทันที แต่ข้อมูลเหล่านี้เปรียบเสมือน "แผนที่" ที่บอกให้แฮกเกอร์รู้ว่าควรเริ่มขุดเจาะตรงไหน ทำให้รัฐบาลจีนมีความได้เปรียบในการสร้างอาวุธไซเบอร์ก่อนที่บริษัทจะออกแพตช์ป้องกันได้ทัน

ข้อเท็จจริงสำคัญ

• กำหนดเวลาที่เข้มงวด: บริษัทต้องแจ้งช่องโหว่ให้รัฐบาลจีนทราบภายใน 2 วันหลังตรวจพบ
• การเชื่อมโยงข้อมูล: ข้อมูลจากบริษัทเอกชนถูกส่งต่อไปยังหน่วยงานจารกรรมและกองทัพจีน
• ความเสี่ยงด้านภูมิรัฐศาสตร์: ข้อมูลเหล่านี้อาจถูกใช้โจมตีโครงสร้างพื้นฐานสำคัญ เช่น โครงข่ายไฟฟ้าในสหรัฐฯ และกวม
• ช่องว่างในการบริหาร: ผู้บริหารระดับสูงในต่างประเทศอาจไม่ทราบว่าสาขาในจีนกำลังส่งข้อมูลความลับให้รัฐบาล เนื่องจากกฎหมายต่อต้านการจารกรรมของจีนอาจห้ามพนักงานในจีนรายงานเรื่องนี้ให้สำนักงานใหญ่ทราบ

คำถามที่พบบ่อย

กฎหมายนี้ส่งผลกระทบต่อผู้ใช้งานทั่วไปอย่างไร?

ผู้ใช้งานผลิตภัณฑ์เทคโนโลยีจากบริษัทที่ดำเนินธุรกิจในจีนอาจมีความเสี่ยงสูงขึ้น เนื่องจากช่องโหว่ในซอฟต์แวร์อาจถูกรัฐบาลจีนนำไปใช้สร้างเครื่องมือโจมตี ก่อนที่ผู้ผลิตจะสามารถออกตัวอัปเดตเพื่อปิดช่องโหว่นั้นได้

ทำไมบริษัทต่างชาติถึงไม่ถอนตัวออกจากจีน?

เนื่องจากจีนเป็นตลาดขนาดใหญ่และเป็นฐานการผลิตที่สำคัญ การถอนตัวส่งผลกระทบต่อรายได้และห่วงโซ่อุปทานอย่างมหาศาล บริษัทส่วนใหญ่จึงพยายามใช้วิธี "ปฏิบัติตามกฎหมายแบบจำกัด" (Malicious Compliance) โดยส่งข้อมูลเพียงบางส่วน

การส่งข้อมูลให้รัฐบาลจีนแตกต่างจากการแจ้งหน่วยงานความปลอดภัยในประเทศอื่นอย่างไร?

ในประเทศส่วนใหญ่ การแจ้งช่องโหว่มีวัตถุประสงค์เพื่อการแก้ไขและป้องกัน แต่ในกรณีของจีน มีหลักฐานว่าข้อมูลถูกส่งต่อไปยังหน่วยงานที่มีหน้าที่ในการ "โจมตี" และ "จารกรรม" ข้อมูลทางไซเบอร์

บริษัทสามารถป้องกันความเสี่ยงนี้ได้อย่างไร?

เป็นเรื่องยากสำหรับบริษัทที่ต้องพึ่งพาตลาดจีน ทางออกคือการเพิ่มความเข้มงวดในการตรวจสอบการทำงานของสาขาในท้องถิ่น และเร่งกระบวนการออกแพตช์แก้ไขให้รวดเร็วยิ่งขึ้นเพื่อลดหน้าต่างโอกาสในการถูกโจมตี

อะไรคือ Proof-of-Concept Exploit ที่กฎหมายจีนร้องขอ?

คือการสร้างโปรแกรมจำลองขนาดเล็กเพื่อพิสูจน์ว่าช่องโหว่ที่พบสามารถถูกเจาะเข้าสู่ระบบได้จริง ซึ่งเป็นข้อมูลที่มีความไวสูงมาก เพราะแฮกเกอร์สามารถนำไปพัฒนาเป็นอาวุธไซเบอร์ที่สมบูรณ์ได้ง่ายขึ้น