Doxing ภัยคุกคามดิจิทัลจากการเปิดเผยข้อมูลส่วนตัวสู่การกรรโชกทรัพย์และรุนแรง
ตั้งแต่ช่วงต้นทศวรรษ 1990 Doxing (การขุดคุ้ยและเปิดเผยข้อมูลส่วนตัวของผู้อื่นบนโลกออนไลน์โดยไม่ได้รับอนุญาต) ถูกนำมาใช้เป็นเครื่องมือในการแก้แค้นทางดิจิทัลเพื่อทำลายความเป็นส่วนตัวของเป้าหมาย แต่ในปัจจุบัน พฤติกรรมที่เป็นพิษนี้ได้วิวัฒนาการไปสู่รูปแบบที่อันตรายยิ่งขึ้น โดยไม่ได้หยุดอยู่แค่การประจาน แต่ลุกลามไปถึงการกรรโชกทรัพย์ด้วยสกุลเงินดิจิทัล และในกรณีที่เลวร้ายที่สุดอาจนำไปสู่การใช้ความรุนแรงในชีวิตจริง
Jacob Larsen นักวิจัยด้านความปลอดภัยซึ่งเคยตกเป็นเหยื่อของการ Doxing มาก่อน ได้ทำการเฝ้าติดตามกลุ่มผู้กระทำผิดและสัมภาษณ์สมาชิกในชุมชน Doxing พบว่ากิจกรรมเหล่านี้สามารถสร้างรายได้มหาศาลกว่าหลักแสนดอลลาร์ต่อปี โดยมีแรงจูงใจหลักคือเรื่องการเงิน โดยเฉพาะเมื่อมีการข่มขู่ในโลกจริงร่วมด้วย
กลไกการทำงานและแหล่งแพร่กระจายข้อมูล
หนึ่งในศูนย์กลางสำคัญของกิจกรรมนี้คือ Doxbin เว็บไซต์ที่รวบรวมข้อมูลการ Doxing ไว้มากกว่า 176,000 รายการ ทั้งแบบสาธารณะและส่วนตัว ข้อมูลที่ถูกนำมาเผยแพร่มีตั้งแต่ ชื่อ-นามสกุล, รายละเอียดโซเชียลมีเดีย, เลขประกันสังคม, ที่อยู่บ้าน, สถานที่ทำงาน ไปจนถึงข้อมูลของสมาชิกในครอบครัว ซึ่งทางเว็บไซต์มักปฏิเสธการลบข้อมูลหากไม่ผิดเงื่อนไขการให้บริการของทางเว็บเอง
Bree Anderson นักอาชญาวิทยาทางดิจิทัลจากมหาวิทยาลัย Deakin ระบุว่าการ Doxing ส่งผลกระทบต่อเหยื่อในสองระดับ คือ อันตรายลำดับแรก (First-order harms) ซึ่งส่งผลต่อความปลอดภัยทางกายภาพโดยตรง และ อันตรายลำดับที่สอง (Second-order harms) เช่น ความวิตกกังวลเรื้อรังจากการที่ข้อมูลอาจถูกเปิดเผยเพิ่มเติมในอนาคต
| ประเภทผลกระทบ | รายละเอียด | ตัวอย่างเหตุการณ์ |
|---|---|---|
| ทางจิตใจและสังคม | การลดทอนความเป็นส่วนตัวและการประจาน | การถูกรุมโจมตีในเกมออนไลน์หรือความขัดแย้งทางการเมือง |
| ทางทรัพย์สิน | การกรรโชกทรัพย์ทางดิจิทัล | การเรียกค่าไถ่เป็น Cryptocurrency เพื่อแลกกับการไม่เปิดเผยข้อมูล |
| ทางกายภาพ | ความรุนแรงในโลกจริง (Violence as a Service) | การบุกรุกบ้าน, การทำร้ายร่างกาย หรือการติดตามคุกคาม |
วิธีการที่ผู้โจมตีใช้ในการขโมยข้อมูล
การรักษาความลับบนโลกออนไลน์อย่างสมบูรณ์นั้นทำได้ยาก เนื่องจากผู้ใช้ส่วนใหญ่มักใช้ชื่อจริงหรือแชร์ข้อมูลส่วนตัวลงในโซเชียลมีเดีย ผู้โจมตีจึงใช้เทคนิคต่างๆ ดังนี้:
- การใช้รหัสผ่านซ้ำ: เข้าถึงบัญชีต่างๆ โดยใช้รหัสผ่านที่เหยื่อใช้ซ้ำในหลายแพลตฟอร์ม
- Social Engineering: การหลอกล่อเพื่อทำ SIM swapping (การหลอกผู้ให้บริการเครือข่ายเพื่อโอนย้ายเบอร์โทรศัพท์ไปยังซิมการ์ดของผู้โจมตี) เพื่อเข้าถึงรหัสยืนยันตัวตน
- การเข้าถึงฐานข้อมูล: การเจาะหรือซื้อข้อมูลจากฐานข้อมูลสาธารณะและส่วนตัว
นอกจากนี้ ยังมีการใช้ช่องโหว่จาก Emergency Data Requests (EDR) หรือการขอข้อมูลฉุกเฉิน ซึ่งปกติเป็นช่องทางให้เจ้าหน้าที่บังคับใช้กฎหมายขอข้อมูลจากบริษัทเทคโนโลยีได้โดยไม่ต้องมีหมายศาลในกรณีที่มีอันตรายต่อชีวิต แต่ผู้ไม่หวังดีได้ปลอมแปลงเป็นเจ้าหน้าที่รัฐ โดยการซื้ออีเมลทางการของรัฐบาลจากประเทศต่างๆ (เช่น ฟิลิปปินส์ บราซิล หรือปากีสถาน) เพื่อหลอกขอข้อมูลที่แม่นยำและละเอียดอ่อนของเหยื่อจากแพลตฟอร์มอย่าง TikTok
ข้อเท็จจริงสำคัญ
- แรงจูงใจหลัก: การเงินและการกรรโชกทรัพย์เป็นเป้าหมายสำคัญที่สุดของการ Doxing ในปัจจุบัน
- ความรุนแรงรูปแบบใหม่: เกิดบริการ "Violence as a Service" ที่รับจ้างใช้ความรุนแรงทางกายภาพต่อเหยื่อที่ถูก Doxing
- ช่องโหว่ทางกฎหมาย: กฎหมายทั่วโลกส่วนใหญ่ยังไม่ครอบคลุมการป้องกัน Doxing อย่างมีประสิทธิภาพ ทำให้การลบข้อมูลทำได้ยากและล่าช้า
- กลุ่มเสี่ยง: ผู้หญิงและเด็กมักได้รับผลกระทบจากการ Doxing ในสัดส่วนที่สูงกว่าปกติ
แนวทางการป้องกันตนเอง
แม้การลบข้อมูลที่ถูกเผยแพร่ไปแล้วจะทำได้ยาก แต่เราสามารถลดความเสี่ยงได้ด้วยวิธีดังนี้:
- หลีกเลี่ยงการใช้รหัสผ่านซ้ำ: ตั้งรหัสผ่านที่แตกต่างกันในทุกบัญชี
- เปิดใช้งาน MFA: ใช้การยืนยันตัวตนหลายขั้นตอน (Multifactor Authentication) ในทุกบริการที่รองรับ
- จำกัดการแชร์ข้อมูล: ตั้งค่าความเป็นส่วนตัวในโซเชียลมีเดีย และหลีกเลี่ยงการโพสต์รูปภาพหรือข้อมูลที่ระบุตัวตนได้ชัดเจน
- แยกตัวตนดิจิทัล: ใช้ชื่อผู้ใช้ (Username) และอีเมลที่แตกต่างกันสำหรับบริการที่ต่างประเภทกัน เพื่อไม่ให้เชื่อมโยงถึงกันได้ง่าย
คำถามที่พบบ่อย
Doxing แตกต่างจากการแฮ็กข้อมูลทั่วไปอย่างไร?
การแฮ็กคือการเจาะระบบเพื่อขโมยข้อมูล แต่ Doxing คือการนำข้อมูลที่ได้มา (ไม่ว่าจะได้มาจากการแฮ็ก การขุดคุ้ยข้อมูลสาธารณะ หรือการหลอกล่อ) มาเปิดเผยต่อสาธารณะเพื่อจุดประสงค์ในการประจานหรือข่มขู่
หากถูก Doxing แล้วสามารถลบข้อมูลออกจาก Doxbin ได้หรือไม่?
ทำได้ยากมาก เนื่องจาก Doxbin จะลบข้อมูลเฉพาะกรณีที่ละเมิดเงื่อนไขการให้บริการของเว็บไซต์เท่านั้น แม้แต่คำร้องจากทนายความหรือเจ้าหน้าที่รัฐจากหลายประเทศก็มักถูกปฏิเสธ
SIM Swapping คืออะไรและเกี่ยวข้องกับการ Doxing อย่างไร?
คือการที่ผู้โจมตีหลอกผู้ให้บริการมือถือให้โอนเบอร์โทรศัพท์ของเหยื่อมายังซิมของตนเอง ทำให้ผู้โจมตีสามารถรับรหัส OTP เพื่อเข้ายึดบัญชีโซเชียลมีเดียหรืออีเมล ซึ่งนำไปสู่การได้ข้อมูลส่วนตัวเพื่อนำมา Doxing ต่อไป
ทำไมการปลอมเป็นเจ้าหน้าที่รัฐ (EDR) ถึงอันตราย?
เพราะบริษัทเทคโนโลยีมักให้ความสำคัญกับคำขอฉุกเฉินเพื่อช่วยชีวิตคน ทำให้การตรวจสอบอาจไม่เข้มงวดเท่าการขอหมายศาลปกติ หากผู้โจมตีปลอมแปลงอีเมลรัฐบาลได้สำเร็จ จะสามารถเข้าถึงข้อมูลที่ถูกต้องและเป็นความลับที่สุดของเหยื่อได้อย่างรวดเร็ว
