ข้อมูลผู้มีสิทธิเลือกตั้งในอิลลินอยส์รั่วไหล 4.6 ล้านรายการ พบช่องโหว่ร้ายแรงจากการตั้งค่าฐานข้อมูล
เหตุการณ์ความปลอดภัยทางไซเบอร์ครั้งใหญ่เกิดขึ้นในรัฐอิลลินอยส์ เมื่อมีการตรวจพบว่าฐานข้อมูลที่บรรจุข้อมูลอ่อนไหวของผู้มีสิทธิเลือกตั้งจากหลายเคาน์ตี้ถูกปล่อยทิ้งไว้บนอินเทอร์เน็ตโดยไม่มีการป้องกัน ส่งผลให้ข้อมูลส่วนบุคคลกว่า 4.6 ล้านรายการ ตกอยู่ในความเสี่ยง
Jeremiah Fowler นักวิจัยด้านความปลอดภัยทางไซเบอร์ เป็นผู้ค้นพบความผิดพลาดนี้โดยบังเอิญ เริ่มจากการพบฐานข้อมูลของเคาน์ตี้ DeKalb และเมื่อตรวจสอบเชิงลึกจึงพบฐานข้อมูลที่ถูกเปิดทิ้งไว้ในลักษณะเดียวกันอีกถึง 12 แห่ง ซึ่งทั้งหมดนี้ไม่มีการตั้งรหัสผ่านหรือระบบยืนยันตัวตน (Authentication) หรือกระบวนการตรวจสอบสิทธิ์เพื่อเข้าถึงข้อมูลแต่อย่างใด
รายละเอียดของข้อมูลที่รั่วไหล
ข้อมูลที่ถูกเปิดเผยไม่ได้มีเพียงแค่รายชื่อทั่วไป แต่รวมถึงเอกสารสำคัญที่ควรเป็นความลับขั้นสูงสุด ซึ่ง Fowler ระบุว่าข้อมูลเหล่านี้ไม่ใช่เพียงฐานข้อมูลเพื่อการตลาดระดับต่ำ แต่เป็นเอกสารทางราชการที่สำคัญ ได้แก่:
- หมายเลขใบขับขี่ และ หมายเลขประกันสังคม (Social Security Numbers) ทั้งแบบเต็มและบางส่วน
- สำเนาใบสมัครลงทะเบียนเลือกตั้ง และภาพถ่ายหน้าจอของการสมัครออนไลน์
- รายชื่อผู้มีสิทธิเลือกตั้งที่ยังใช้งานอยู่ และผู้ที่ลงทะเบียนเลือกตั้งล่วงหน้า (Absentee voters) พร้อมที่อยู่อีเมล ซึ่งบางส่วนเป็นอีเมลของบุคลากรทางทหาร
- เอกสารสำคัญ เช่น ใบมรณบัตร ซึ่งใช้ในการตรวจสอบและปรับปรุงรายชื่อผู้มีสิทธิเลือกตั้งให้ถูกต้อง
ต้นตอของปัญหาและการตอบสนอง
จากการตรวจสอบบันทึกสาธารณะ พบว่าเคาน์ตี้ที่ได้รับผลกระทบทั้งหมดใช้บริการจาก Platinum Technology Resource ซึ่งเป็นบริษัทผู้ให้บริการจัดการการเลือกตั้งในรัฐอิลลินอยส์ โดยดูแลทั้งซอฟต์แวร์ลงทะเบียนและบริการพิมพ์บัตรเลือกตั้ง นอกจากนี้ Platinum ยังทำงานร่วมกับ Magenium ซึ่งเป็นผู้ให้บริการจัดการระบบ (Managed Services Provider หรือ MSP) อีกทอดหนึ่ง
ลำดับเหตุการณ์การแจ้งเตือนมีดังนี้:
- 18 กรกฎาคม: Fowler แจ้งเรื่องไปยัง Platinum แต่ไม่ได้รับการตอบกลับ
- 19 กรกฎาคม: Fowler แจ้งเรื่องไปยัง Magenium หลังจากพบความเชื่อมโยงของทั้งสองบริษัท
- หลังจากนั้นไม่นาน ฐานข้อมูลดังกล่าวจึงถูกปิดกั้นจากการเข้าถึงสาธารณะ
ทาง Platinum ได้ส่งหนังสือแจ้งไปยังเคาน์ตี้ที่ได้รับผลกระทบ โดยระบุว่าพบหลักฐานว่าอาจมีการสแกนไฟล์จัดเก็บเอกสารลงทะเบียนเลือกตั้ง แต่ยืนยันว่าไม่มีหลักฐานว่าเอกสารเหล่านั้นถูกขโมยหรือรั่วไหลออกไปในวงกว้าง พร้อมทั้งระบุว่าได้เพิ่มมาตรการรักษาความปลอดภัยให้เข้มงวดขึ้นแล้ว
| หัวข้อ | รายละเอียด |
|---|---|
| จำนวนข้อมูลที่ได้รับผลกระทบ | ประมาณ 4.6 ล้านรายการ |
| ประเภทข้อมูลที่รั่วไหล | เลขใบขับขี่, เลขประกันสังคม, ใบมรณบัตร, อีเมลทหาร |
| บริษัทที่เกี่ยวข้อง | Platinum Technology Resource และ Magenium |
| สาเหตุหลัก | ฐานข้อมูลไม่มีการตั้งรหัสผ่านและเปิดเป็นสาธารณะ |
| ผู้ค้นพบ | Jeremiah Fowler (นักวิจัยความปลอดภัย) |
ข้อเท็จจริงสำคัญ
- ความประมาทขั้นพื้นฐาน: ข้อมูลรั่วไหลไม่ได้เกิดจากซอฟต์แวร์ที่ซับซ้อน แต่เกิดจากการไม่ตั้งรหัสผ่านป้องกันฐานข้อมูล
- ความเสี่ยงต่อบุคคล: ผู้เสียหายเสี่ยงต่อการถูกโจรกรรมอัตลักษณ์ (Identity Theft) และการถูกหลอกลวง
- ผลกระทบต่อการเลือกตั้ง: ข้อมูลที่รั่วไหลอาจถูกนำไปใช้ยื่นคำขอเลือกตั้งล่วงหน้าซ้ำซ้อน ซึ่งสร้างความสับสนในกระบวนการนับคะแนน
- ข้อกำหนดทางกฎหมาย: กฎหมายรัฐอิลลินอยส์กำหนดให้แจ้งเหตุข้อมูลรั่วไหลภายใน 45 วัน แต่สัญญาบางฉบับ (เช่น ของเคาน์ตี้ Champaign) ระบุให้แจ้งภายใน 15 นาที
คำถามที่พบบ่อย
ข้อมูลที่รั่วไหลส่งผลกระทบอย่างไรต่อผู้มีสิทธิเลือกตั้ง?
ส่งผลให้บุคคลเหล่านั้นเสี่ยงต่อการถูกนำข้อมูลส่วนตัวไปใช้ในการปลอมแปลงตัวตนเพื่อฉ้อโกง หรืออาจมีการนำข้อมูลไปใช้ยื่นคำขอลงคะแนนล่วงหน้าในนามของผู้อื่น ซึ่งส่งผลต่อความถูกต้องของการเลือกตั้ง
ทำไมข้อมูลเหล่านี้ถึงถูกเข้าถึงได้ง่ายขนาดนี้?
เนื่องจากฐานข้อมูลถูกตั้งค่าให้เข้าถึงได้ผ่านอินเทอร์เน็ตสาธารณะโดยไม่มีการใช้รหัสผ่านหรือระบบยืนยันตัวตน ทำให้ใครก็ตามที่มีที่อยู่ URL ของฐานข้อมูลสามารถเข้าถึงข้อมูลทั้งหมดได้ทันที
บริษัท Platinum Technology Resource ชี้แจงว่าอย่างไร?
บริษัทระบุว่ามีการตรวจสอบอย่างละเอียดและเชื่อว่าไม่มีหลักฐานว่าเอกสารลงทะเบียนถูกขโมยไป แม้จะยอมรับว่ามีการสแกนไฟล์จัดเก็บข้อมูลเกิดขึ้น และได้ดำเนินการเพิ่มระบบป้องกันให้รัดกุมยิ่งขึ้น
เหตุการณ์นี้สะท้อนถึงปัญหาอะไรในระบบความปลอดภัยการเลือกตั้ง?
สะท้อนว่าแม้จะมีการพัฒนาระบบความปลอดภัยในภาพรวม แต่ยังคงมีช่องโหว่ที่เกิดจากความผิดพลาดของมนุษย์ (Human Error) ในระดับการปฏิบัติงาน ซึ่งเป็นจุดอ่อนที่ร้ายแรงสำหรับโครงสร้างพื้นฐานที่สำคัญของประเทศ
