Outabox ข้อมูลรั่วไหลครั้งใหญ่ บทเรียนราคาแพงจากการใช้ระบบจดจำใบหน้าในออสเตรเลีย
กลายเป็นประเด็นร้อนแรงในออสเตรเลีย เมื่อหน่วยงานตำรวจและรัฐบาลกลางต้องเร่งตรวจสอบกรณี ข้อมูลส่วนบุคคลรั่วไหลครั้งมหาศาล ซึ่งมีความเชื่อมโยงกับระบบจดจำใบหน้า (Facial Recognition) ที่ถูกนำไปติดตั้งในบาร์และคลับหลายแห่ง เหตุการณ์นี้ไม่เพียงแต่สร้างความตื่นตระหนก แต่ยังตอกย้ำถึงความเสี่ยงด้านความเป็นส่วนตัวในยุคที่ปัญญาประดิษฐ์ (AI) ถูกนำมาใช้สอดส่องผู้คนในพื้นที่สาธารณะ ตั้งแต่ห้างสรรพสินค้าไปจนถึงสนามกีฬา
ต้นเรื่องเกิดขึ้นกับบริษัท Outabox ผู้ให้บริการเทคโนโลยีที่มีสำนักงานทั้งในออสเตรเลีย สหรัฐอเมริกา และฟิลิปปินส์ โดยบริษัทได้เปิดตัวตู้คีออสจดจำใบหน้าในช่วงการแพร่ระบาดของโควิด-19 เพื่อใช้สแกนใบหน้าและตรวจวัดอุณหภูมิผู้เข้าใช้บริการ นอกจากนี้ ระบบดังกล่าวยังถูกนำมาใช้ระบุตัวตนของผู้เล่นการพนันที่มีปัญหาซึ่งลงทะเบียนในโครงการจำกัดการเข้าใช้บริการด้วยตนเอง
ความวุ่นวายเริ่มต้นขึ้นเมื่อมีเว็บไซต์ชื่อ “Have I Been Outaboxed” ปรากฏขึ้น โดยอ้างว่าถูกสร้างโดยอดีตนักพัฒนาของ Outabox ในฟิลิปปินส์ เว็บไซต์นี้อนุญาตให้ผู้ใช้กรอกชื่อเพื่อตรวจสอบว่าข้อมูลของตนหลุดไปอยู่ในฐานข้อมูลที่รั่วไหลหรือไม่ โดยทางเว็บไซต์ระบุว่า Outabox มีการควบคุมภายในที่หละหลวมและจัดเก็บข้อมูลในรูปแบบสเปรดชีตที่ไม่มีการป้องกัน ซึ่งคาดว่ามีข้อมูลรั่วไหลมากกว่า 1 ล้านรายการ
ข้อเท็จจริงสำคัญ
- ข้อมูลที่รั่วไหล: ครอบคลุมตั้งแต่ข้อมูลชีวมิติ (Biometric) ของใบหน้า, ภาพสแกนใบขับขี่, ลายเซ็น, ข้อมูลสมาชิกคลับ, ที่อยู่, วันเกิด, เบอร์โทรศัพท์, เวลาที่เข้าใช้บริการ และประวัติการใช้เครื่องสล็อต
- การดำเนินการทางกฎหมาย: ตำรวจรัฐนิวเซาท์เวลส์ได้จับกุมชายวัย 46 ปีในย่านชานเมืองซิดนีย์ ซึ่งคาดว่าจะถูกตั้งข้อหาเกี่ยวกับการกรรโชกทรัพย์
- การปฏิเสธของพันธมิตร: IGT ผู้ผลิตเครื่องเล่นการพนัน ปฏิเสธว่าข้อมูลที่รั่วไหลไม่ได้มาจากระบบของตน แต่จะให้ความร่วมมือกับเจ้าหน้าที่และ Outabox ในการตรวจสอบ
- มุมมองผู้เชี่ยวชาญ: Troy Hunt ผู้ก่อตั้ง Have I Been Pwned เชื่อว่าข้อมูลที่ถูกอ้างถึงมีโอกาสเป็นเรื่องจริง และมองว่าเหตุการณ์นี้เข้าข่ายอาชญากรรมทางไซเบอร์
| หัวข้อ | รายละเอียด |
|---|---|
| บริษัทที่เกี่ยวข้อง | Outabox (ออสเตรเลีย, สหรัฐฯ, ฟิลิปปินส์) |
| จำนวนข้อมูลที่คาดว่ารั่วไหล | มากกว่า 1,000,000 รายการ |
| ประเภทข้อมูล | ข้อมูลชีวมิติ, เอกสารระบุตัวตน, ประวัติการเข้าใช้สถานที่ |
| สถานะทางกฎหมาย | มีการจับกุมผู้ต้องสงสัย 1 ราย ในข้อหากรรโชกทรัพย์ |
ด้าน Samantha Floreani จาก Digital Rights Watch องค์กรไม่แสวงหาผลกำไรด้านความเป็นส่วนตัวและความปลอดภัย ระบุว่านี่คือตัวอย่างที่เลวร้ายของการนำระบบจดจำใบหน้าที่ละเมิดความเป็นส่วนตัวมาใช้ ซึ่งการเก็บข้อมูล Biometric Data หรือข้อมูลทางชีวภาพที่ระบุตัวตนบุคคลได้ (เช่น ลายนิ้วมือ หรือโครงสร้างใบหน้า) มีความเสี่ยงสูงมากหากเกิดการรั่วไหล เพราะข้อมูลเหล่านี้ไม่สามารถเปลี่ยนแปลงได้เหมือนรหัสผ่าน
ในขณะที่ Outabox ออกมาโต้แย้งว่าเว็บไซต์ดังกล่าวมีเจตนาทำลายชื่อเสียงและเผยแพร่ข้อมูลเท็จ แต่บริษัทไม่ได้ระบุชัดเจนว่าส่วนใดที่เป็นเท็จเนื่องจากยังอยู่ในขั้นตอนการสอบสวนของตำรวจ นอกจากนี้ยังมีรายงานจากผู้ใช้บริการบางรายที่วิจารณ์ว่าระบบของ Outabox ทำงานผิดพลาด โดยระบุว่าระบบเคยจับคู่ใบหน้าของตนกับสมาชิกคนอื่นที่มีอายุมากกว่าถึง 20 ปี
เหตุการณ์นี้สะท้อนให้เห็นถึงปัญหาของการจ้างงานนอกประเทศ (Offshoring) ในอุตสาหกรรม AI ซึ่งมักใช้แรงงานราคาถูกในประเทศอย่างฟิลิปปินส์ โดย Troy Hunt ให้ความเห็นว่า ปัญหาไม่ได้อยู่ที่ตัวแรงงานต่างชาติ แต่อยู่ที่มาตรฐานการจัดการข้อมูลและความปลอดภัยที่ต้องเข้มงวดไม่ว่าผู้พัฒนาจะเป็นใครก็ตาม
คำถามที่พบบ่อย
ข้อมูลประเภทใดบ้างที่รั่วไหลจากกรณี Outabox?
ข้อมูลที่ถูกอ้างว่ารั่วไหลประกอบด้วย ข้อมูลชีวมิติของใบหน้า, ภาพสแกนใบขับขี่, ลายเซ็น, ข้อมูลสมาชิก, ที่อยู่, วันเกิด, เบอร์โทรศัพท์, บันทึกเวลาการเข้าใช้คลับ และประวัติการใช้งานเครื่องสล็อต
ระบบจดจำใบหน้าของ Outabox ถูกนำไปใช้ทำอะไรบ้าง?
ถูกนำไปใช้ในตู้คีออสเพื่อสแกนใบหน้าและตรวจวัดอุณหภูมิในช่วงโควิด-19 รวมถึงใช้ระบุตัวตนของผู้เล่นการพนันที่ต้องการจำกัดการเข้าใช้บริการ (Self-exclusion)
ปัจจุบันมีการดำเนินการทางกฎหมายอย่างไร?
ตำรวจรัฐนิวเซาท์เวลส์ร่วมกับหน่วยงานรัฐบาลกลางได้จับกุมชายวัย 46 ปีในซิดนีย์ โดยคาดว่าจะถูกดำเนินคดีในข้อหากรรโชกทรัพย์
ทำไมการรั่วไหลของข้อมูลชีวมิติ (Biometric Data) ถึงอันตรายกว่าข้อมูลทั่วไป?
เพราะข้อมูลชีวมิติ เช่น โครงสร้างใบหน้า เป็นข้อมูลเฉพาะตัวที่ไม่สามารถเปลี่ยนแปลงได้ หากรหัสผ่านรั่วไหลเราสามารถเปลี่ยนใหม่ได้ แต่หากข้อมูลใบหน้ารั่วไหล ผู้เสียหายจะไม่สามารถเปลี่ยนใบหน้าของตนเองได้ ทำให้มีความเสี่ยงต่อการถูกปลอมแปลงตัวตนในระยะยาว
ผู้ที่กังวลว่าข้อมูลจะรั่วไหลควรทำอย่างไร?
เว็บไซต์ที่เปิดเผยข้อมูลแนะนำให้ผู้ที่พบว่าข้อมูลของตนรั่วไหล ติดต่อสถานที่หรือคลับที่เคยใช้บริการเพื่อขอให้ลบข้อมูลออกจากระบบของ Outabox
