โดรนตำรวจ SFPD หลุดสู่สาธารณะ เผยช่องโหว่ความเป็นส่วนตัวครั้งใหญ่ในซานฟรานซิสโก
เหตุการณ์ระทึกขวัญกลางเมืองซานฟรานซิสโก เมื่อโดรน Skydio X10 (อากาศยานไร้คนขับสี่ใบพัด) บินวนเหนืออพาร์ตเมนต์เพื่อติดตามผู้ต้องสงสัยคดีโจรกรรมชิ้นส่วนรถยนต์อย่างใกล้ชิด โดยที่เป้าหมายไม่รู้ตัวเลยว่าถูก "ดวงตาบนท้องฟ้า" จับจ้องทุกการเคลื่อนไหว ตั้งแต่การติดตามป้ายทะเบียนรถ SUV สีดำ ไปจนถึงวินาทีที่ถูกเจ้าหน้าที่ตำรวจเข้าชาร์จตัว
แต่สิ่งที่น่าตกใจยิ่งกว่าการปฏิบัติการของตำรวจ คือการที่ภาพเหตุการณ์สดเหล่านี้ รวมถึงการติดตามบุคคลและยานพาหนะจำนวนมาก ถูกเผยแพร่สู่สาธารณะบนอินเทอร์เน็ตโดยไม่ตั้งใจ ผ่านทางเว็บไซต์ของบริษัท Skydio ซึ่งเป็นผู้ผลิตโดรน
ความผิดพลาดที่เปิดเผยความลับของการสอดแนม
นักวิจัยด้านความปลอดภัยสองราย คือ Sam Curry และ Maik Robert ได้ค้นพบว่า กรมตำรวจซานฟรานซิสโก (SFPD) ทำข้อมูลหลุดผ่านลิงก์สาธารณะ ซึ่งทำให้ใครก็ตามที่มีที่อยู่เว็บดังกล่าวสามารถเข้าถึงฟีดวิดีโอแบบเรียลไทม์จากโดรนสอดแนมถึง 5 ลำได้ โดยข้อมูลที่หลุดออกมาประกอบด้วย:
- ภาพวิดีโอสีและภาพความร้อน (Thermal Imaging): ซึ่งแสดงสัญญาณความร้อนของมนุษย์
- ข้อมูล Metadata: ระบุตำแหน่งพิกัดที่ชัดเจน
- ข้อมูลส่วนบุคคล: ชื่อและอีเมลของนักบินผู้ควบคุมโดรน
จากการตรวจสอบข้อมูลที่ถูกบันทึกไว้ในช่วงกลางเดือนมิถุนายน พบวิดีโอ 60 ชุดจากการบิน 20 เที่ยว ซึ่งครอบคลุมระยะทางกว่า 44 ไมล์ และปรากฏภาพใบหน้าผู้คนรวมถึงยานพาหนะจำนวนหลายร้อยคัน แม้แต่ในเฟรมเดียวของทางแยกกลางเมือง ก็สามารถตรวจพบผู้คนได้ถึง 34 คน
สาเหตุของเหตุการณ์และปฏิกิริยาจาก SFPD
ต้นเหตุของปัญหาไม่ได้เกิดจากข้อผิดพลาดของตัวซอฟต์แวร์ Skydio แต่เกิดจากการใช้งานที่ผิดพลาดของเจ้าหน้าที่ SFPD โดยมีการใช้ฟีเจอร์ ReadyLinks (ระบบสร้างลิงก์สำหรับแชร์วิดีโอหรือข้อมูลสด) ซึ่งปกติสามารถตั้งรหัสผ่านหรือวันหมดอายุได้ แต่ในกรณีนี้ ลิงก์ดังกล่าวถูกสร้างขึ้นโดยไม่มีการป้องกันและมีอายุการใช้งานยาวนานถึงหนึ่งปี
นอกจากนี้ ลิงก์ดังกล่าวยังไปปรากฏอยู่ใน AlienVault Open Threat Exchange ซึ่งเป็นแหล่งรวบรวม URL สำหรับนักวิจัยความปลอดภัย ทำให้ฟีดวิดีโอของตำรวจถูกเปิดเผยต่อสาธารณะมานานถึง 6 เดือนก่อนจะถูกตรวจพบ
ทาง SFPD ออกมาแถลงว่า ลิงก์ดังกล่าวเป็น "ลิงก์ภายในที่จำกัดการเข้าถึง" เพื่อใช้ในการประสานงานด้านความปลอดภัย และระบุว่าผู้ที่เข้าถึงข้อมูลเป็นผู้ที่ "เข้าถึงโดยไม่ได้รับอนุญาต" อย่างไรก็ตาม นักวิจัยโต้แย้งว่าพวกเขาไม่ได้เจาะระบบหรือข้ามผ่านระบบรักษาความปลอดภัยใดๆ เนื่องจากไม่มีการตั้งรหัสผ่านไว้ตั้งแต่แรก
ข้อกังวลด้านสิทธิมนุษยชนและความเป็นส่วนตัว
Jay Stanley จาก ACLU (สหภาพเสรีภาพพลเรือนอเมริกัน) ชี้ให้เห็นว่า ข้อมูลการสอดแนมของรัฐเป็น "สินทรัพย์ที่มีพิษ" (Toxic Asset) เพราะมีความเสี่ยงที่จะรั่วไหลได้เสมอ เขาเสนอว่าตำรวจควรบันทึกข้อมูลให้น้อยที่สุดเท่าที่จำเป็น
แม้ SFPD จะมีนโยบายว่าโดรนจะถูกใช้เฉพาะในคดีอาญาที่กำลังดำเนินอยู่หรือการไล่ล่ารถยนต์ แต่ภาพที่หลุดออกมากลับแสดงให้เห็นการใช้งานที่น่ากังขา เช่น การบินวนดูวัยรุ่นที่สวมหูฟังนั่งอยู่บนดาดฟ้า หรือการติดตามชายสองคนที่ลงมาเล่นบาสเกตบอล ซึ่งดูเป็นการละเมิดความเป็นส่วนตัวมากกว่าการปฏิบัติหน้าที่ทางกฎหมาย
ข้อเท็จจริงสำคัญ
- อุปกรณ์ที่ใช้: โดรนรุ่น Skydio X10 ซึ่งมีความสามารถในการติดตามเป้าหมายอัตโนมัติ
- การขยายตัวของกองทัพโดรน: SFPD เพิ่มจำนวนโดรนจาก 6 ลำ เป็น 98 ลำ และมีการใช้งานมากกว่า 1,400 ครั้งในช่วงปี 2024-2026
- ช่องโหว่: การสร้าง ReadyLinks โดยไม่มีการยืนยันตัวตน (Authentication) ทำให้ข้อมูลหลุดสู่สาธารณะ
- ผลกระทบ: ข้อมูลพิกัด GPS กว่า 5,000 จุด และวิดีโอความละเอียดสูงของพลเมืองจำนวนมากถูกเปิดเผย
| หัวข้อ | รายละเอียด |
|---|---|
| จำนวนวิดีโอที่หลุด | 60 วิดีโอ จากการบิน 20 เที่ยว |
| ประเภทข้อมูล | วิดีโอสี, ภาพความร้อน, พิกัด GPS, ชื่อนักบิน |
| ระยะเวลาที่หลุด | ประมาณ 6 เดือน |
| สาเหตุหลัก | การตั้งค่า ReadyLinks ผิดพลาดโดยเจ้าหน้าที่ |
| จำนวนโดรนในฝูงบิน | 98 ลำ (ข้อมูลปี 2025) |
คำถามที่พบบ่อย
ข้อมูลที่หลุดออกมามีอะไรบ้าง?
ข้อมูลประกอบด้วยฟีดวิดีโอสดทั้งแบบภาพสีและภาพความร้อน พิกัด GPS ความเร็ว ความสูงของโดรน รวมถึงชื่อและอีเมลของเจ้าหน้าที่ผู้ควบคุมโดรน 6 ราย
ทำไมข้อมูลถึงหลุดสู่สาธารณะได้?
เกิดจากการที่เจ้าหน้าที่ SFPD สร้างลิงก์แชร์ข้อมูล (ReadyLinks) โดยไม่ได้ตั้งรหัสผ่านและกำหนดวันหมดอายุไว้นานถึงหนึ่งปี ทำให้ใครก็ตามที่มีลิงก์สามารถเข้าดูได้ทันที
SFPD มีนโยบายการใช้โดรนอย่างไร?
ตามนโยบาย โดรนจะถูกใช้เพื่อสนับสนุนการสืบสวนคดีอาญาที่กำลังเกิดขึ้น การไล่ล่ารถยนต์ หรือการฝึกซ้อมเท่านั้น และต้องพยายามลดการเก็บข้อมูลของผู้ที่ไม่เกี่ยวข้อง
เหตุการณ์นี้ส่งผลกระทบต่อความเป็นส่วนตัวอย่างไร?
แสดงให้เห็นว่าโดรนสามารถสอดแนมผู้คนได้โดยที่เป้าหมายไม่รู้ตัว และหากข้อมูลเหล่านี้หลุดออกไปหรือถูกนำไปใช้ร่วมกับ AI จะทำให้การติดตามชีวิตประจำวันของพลเมืองทำได้ในระดับที่น่ากังวล
ทาง SFPD แก้ไขปัญหานี้อย่างไร?
หลังจากได้รับแจ้ง SFPD ได้นำลิงก์ดังกล่าวออกจากระบบและประกาศว่าได้นำโปรโตคอลการแชร์ข้อมูลที่เข้มงวดขึ้นมาใช้เพื่อป้องกันไม่ให้บุคคลภายนอกเข้าถึงข้อมูลได้อีก
