ข้อมูลตำแหน่งที่ตั้งเชิงพาณิชย์ ช่องโหว่ร้ายแรงที่ทำให้กองทัพสหรัฐฯ ถูกตามล่า
เป็นเวลากว่าทศวรรษที่กระทรวงกลาโหมสหรัฐฯ หรือ Pentagon ได้รับคำเตือนซ้ำแล้วซ้ำเล่าจากทั้งบริษัทคู่สัญญา นักวิเคราะห์ และหน่วยงานข่าวกรองว่า ข้อมูลตำแหน่งที่ตั้งของทหารอเมริกัน ทั้งที่พัก ที่ทำงาน หรือแม้แต่จุดเก็บอาวุธนิวเคลียร์ สามารถถูกซื้อขายได้ง่ายๆ เพียงแค่มีบัตรเครดิต และในวันนี้ คำเตือนเหล่านั้นได้กลายเป็นความจริงที่น่าสะพรึงกลัวในพื้นที่สงคราม
ล่าสุด US Central Command (Centcom) ได้ยอมรับอย่างเป็นทางการว่าได้รับรายงานการคุกคามหลายครั้ง ซึ่งระบุว่าฝ่ายตรงข้ามได้ใช้ประโยชน์จาก Commercial Location Data หรือข้อมูลตำแหน่งที่ตั้งเชิงพาณิชย์ เพื่อใช้ในการติดตามและระบุเป้าหมายของบุคลากรทางทหารสหรัฐฯ ในตะวันออกกลาง ซึ่งถือเป็นการยืนยันครั้งแรกว่าเศรษฐกิจแบบนายหน้าซื้อขายข้อมูล (Data-broker economy) กำลังถูกใช้เป็นเครื่องมือในการล่าทหารสหรัฐฯ
วิกฤตข้อมูลรั่วไหล: เมื่อความปลอดภัยถูกขายในราคาถูก
ปัญหาการรั่วไหลของข้อมูลนี้ไม่ใช่เรื่องใหม่ แต่เป็นความล้มเหลวเชิงระบบที่สะสมมานาน ตั้งแต่ปี 2016 มีการสาธิตให้เจ้าหน้าที่ระดับสูงเห็นว่า ข้อมูลที่ซื้อมาจากตลาดเสรี (ไม่ใช่การแฮ็ก) สามารถติดตามโทรศัพท์จากฐานทัพสำคัญอย่าง Fort Bragg และ MacDill Air Force Base ผ่านตุรกี เข้าสู่ซีเรียตอนเหนือ จนถึงฐานปฏิบัติการลับได้อย่างแม่นยำ
สิ่งที่น่าตกใจยิ่งกว่าคือ ในขณะที่กองทัพถูกเตือนถึงอันตราย แต่บางหน่วยงานกลับกลายเป็นลูกค้าของตลาดนี้เสียเอง โดยในปี 2021 Defense Intelligence Agency (DIA) ยอมรับว่ามีการซื้อข้อมูลตำแหน่งที่ตั้งของโทรศัพท์ ซึ่งรวมถึงข้อมูลของชาวอเมริกันโดยไม่มีหมายศาล เนื่องจากเชื่อว่าไม่จำเป็นต้องใช้
นอกจากนี้ งานวิจัยจากมหาวิทยาลัย Duke ในปี 2023 ซึ่งได้รับทุนจาก West Point พบว่าข้อมูลของทหารและครอบครัวถูกประกาศขายบนเว็บไซต์นายหน้าข้อมูลอย่างเปิดเผย โดยมีข้อมูลตั้งแต่ชื่อ ที่อยู่บ้าน สภาพร่างกาย ไปจนถึงรายละเอียดทางการเงิน ซึ่งบางรายการมีราคาถูกเพียง 12 เซนต์ต่อหนึ่งรายชื่อเท่านั้น
การเจาะลึกช่องโหว่ผ่านแพลตฟอร์มโฆษณาและเครือข่ายดิจิทัล
ความเสี่ยงไม่ได้หยุดอยู่แค่ที่นายหน้าข้อมูล แต่ยังลามไปถึงแพลตฟอร์มยักษ์ใหญ่อย่าง Google โดยมีการตรวจพบ "เซกเมนต์" การตลาดใน Google's Display & Video 360 ที่ระบุกลุ่มเป้าหมายเป็นพนักงานรัฐบาลสหรัฐฯ ในสายงานความมั่นคงแห่งชาติ รวมถึงผู้ที่ทำงานในบริษัทผลิตขีปนาวุธและระบบเข้ารหัสลับ ซึ่งใครก็ตามที่ปลอมตัวเป็นบริษัทวิเคราะห์ข้อมูลสามารถเข้าถึงรายชื่อเหล่านี้ได้โดยไม่มีการตรวจสอบตัวตน
ตัวอย่างที่ชัดเจนเกิดขึ้นในเยอรมนี เมื่อมีการนำข้อมูลพิกัดกว่า 3.6 พันล้านจุดจากโทรศัพท์ 11 ล้านเครื่องมาวิเคราะห์ พบว่าสามารถติดตามการเคลื่อนไหวรายวันของเจ้าหน้าที่ข่าวกรองและทหารสหรัฐฯ ได้อย่างละเอียด รวมถึงการเคลื่อนที่ภายในฐานทัพอากาศ Büchel ซึ่งเชื่อว่าเป็นที่เก็บอาวุธนิวเคลียร์ และการฝึกในฐานทัพ Grafenwöhr
| ช่องทางการรั่วไหล | ลักษณะข้อมูลที่ถูกเข้าถึง | ผลกระทบ/ความเสี่ยง |
|---|---|---|
| นายหน้าข้อมูล (Data Brokers) | ชื่อ, ที่อยู่, ข้อมูลการเงิน, พิกัด GPS | การระบุตัวตนทหารและครอบครัวเพื่อโจมตี |
| แพลตฟอร์มโฆษณา (เช่น Google) | กลุ่มเป้าหมายตามสายงาน (ความมั่นคง/อาวุธ) | การทำจารกรรมข้อมูลบุคคลสำคัญ (Decisionmakers) |
| แอปพลิเคชันผู้บริโภค | ประวัติการเดินทางและตำแหน่งปัจจุบัน | การเปิดเผยตำแหน่งฐานทัพลับและจุดยุทธศาสตร์ |
ข้อเท็จจริงสำคัญ
- ความล่าช้าในการแก้ไข: Centcom เพิ่งเริ่มเปิดใช้งานฟีเจอร์ปิดการแชร์ตำแหน่งในสมาร์ทโฟนของรัฐบาลเมื่อเดือนนี้ ซึ่งช้ากว่าคำเตือนครั้งแรกถึง 10 ปี
- ช่องโหว่จากเบราว์เซอร์: รายงานจาก Army Cyber Institute ระบุว่า Google Chrome เป็นเบราว์เซอร์หลักที่ไม่ยอมบล็อก Third-party cookies ซึ่งใช้ติดตามผู้ใช้ข้ามเว็บไซต์
- นโยบายที่ย้อนแย้ง: กองทัพสั่งให้ทหารใช้โทรศัพท์ส่วนตัวทำงาน ซึ่งโทรศัพท์เหล่านี้ส่ง Advertising ID (รหัสระบุตัวตนเพื่อการโฆษณา) ให้กับนายหน้าข้อมูลตลอดเวลา
- อุปสรรคทางกฎหมาย: กฎหมายคุ้มครองความเป็นส่วนตัวที่ครอบคลุมถูกระงับในวอชิงตัน โดยมีนักการเมืองบางกลุ่มขัดขวางเพื่อรักษาขีดความสามารถในการสอดแนม
คำถามที่พบบ่อย
Commercial Location Data คืออะไร?
คือข้อมูลตำแหน่งที่ตั้งที่ถูกเก็บรวบรวมจากแอปพลิเคชันในสมาร์ทโฟน ซึ่งบริษัทผู้พัฒนาแอปฯ มักจะขายข้อมูลนี้ให้กับนายหน้าข้อมูล (Data Brokers) เพื่อนำไปใช้ในการโฆษณาหรือขายต่อให้หน่วยงานอื่นๆ
ทำไมการใช้โทรศัพท์ส่วนตัวทำงานถึงอันตรายสำหรับทหาร?
เพราะโทรศัพท์ส่วนตัวมักไม่มีระบบรักษาความปลอดภัยระดับสูง และมีการส่ง Advertising ID ซึ่งเป็นรหัสที่นายหน้าข้อมูลใช้ติดตามพฤติกรรมและตำแหน่งของผู้ใช้ ทำให้ฝ่ายตรงข้ามสามารถระบุตัวตนและพิกัดของทหารได้ง่ายขึ้น
ทำไม Google Chrome ถึงถูกระบุว่าเป็นความเสี่ยง?
เนื่องจาก Chrome ไม่บล็อก Third-party cookies ซึ่งเป็นเทคโนโลยีที่ช่วยให้ผู้โฆษณาหรือผู้ติดตามสามารถติดตามการใช้งานอินเทอร์เน็ตของผู้ใช้ข้ามเว็บไซต์ต่างๆ ได้ ทำให้ข้อมูลพฤติกรรมและตำแหน่งรั่วไหลได้ง่าย
รัฐบาลสหรัฐฯ แก้ไขปัญหานี้อย่างไรบ้าง?
มีการออกกฎหมายห้ามขายข้อมูลที่แชร์กับผู้รับเหมาทางทหารต่อ แต่ยังไม่มีกฎหมายความเป็นส่วนตัวที่ครอบคลุมทั้งอุตสาหกรรม ล่าสุดมีการเริ่มให้ปิดการแชร์ตำแหน่งในเครื่องของรัฐบาล และมีข้อเสนอให้เปลี่ยนไปใช้เบราว์เซอร์ที่เน้นความเป็นส่วนตัวแทน
