นายฐากร ตัณฑสิทธิ์ เลขาธิการ สำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ(กสทช.) เปิดเผยว่า สำนักงาน กสทช. เรียกให้ทรูมูฟ เอช (True Move H) ซึ่งเป็นบริษัทย่อยของบมจ.ทรู คอร์ปอเรชั่น (TRUE) เข้าชี้แจงข้อเท็จจริง กรณีที่ปรากฎข่าวบนเว็บไซต์ว่า ทรูทำข้อมูลบัตรประชาชนลูกค้าหลุดจำนวนมาก ในวันอังคารที่ 17 เม.ย. 2561 เวลา 9.30 น. ณ ห้องประชุม ชั้น 4 อาคารอำนวยการ สำนักงาน กสทช.
โดยเรื่องนี้ ตามพ.ร.บ.องค์กรจัดสรรคลื่นความถี่และกำกับการประกอบกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคม พ.ศ. 2553 กำหนดไว้ว่า ในเรื่องนี้ ผู้กระทำผิดมีโทษตามกฎหมาย หากผู้ประกอบการมีส่วนในความผิด จะถูกดำเนินคดีตามกฎหมาย และพักใช้ เพิกถอนใบอนุญาต โดย กสทช. เป็นผู้เสียหายตามกฎหมายด้วย
นายฐากร กล่าวว่า ในกรณีนี้ หากเป็นการกระทำโดยเจตนา ทรูมูฟ เอช มีความผิดแน่นอน แต่ทั้งนี้ สำนักงาน ต้องเรียกทรูมูฟ เอช มาให้ข้อมูลก่อนว่าข้อเท็จจริงเป็นอย่างไร สำนักงาน กสทช. ขอตรวจสอบข้อเท็จจริงในแน่นอนก่อน จึงจะดำเนินการต่อไป
"สำนักงาน กสทช. ให้ความสำคัญต่อกรณีดังกล่าว เนื่องจากกระทบต่อข้อมูลส่วนบุคคลของประชาชนผู้ใช้บริการ สำนักงานฯ จะรีบดำเนินการในเรื่องนี้ให้เร็วที่สุด เพื่อคุ้มครองประชาชนผู้ใช้บริการ"นายฐากร กล่าว
ทั้งนี้ สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (องค์การมหาชน) รายงานว่า เมื่อวันที่ 13 เมษายน ที่ผ่านมา นักวิจัยด้านความมั่นคงปลอดภัย Niall Merrigan ได้รายงานข้อมูลผู้ใช้บริการ True Move H รั่วไหล โดยข้อมูลเหล่านี้อยู่ใน Amazon S3 bucket ที่ไม่ได้มีมาตรการป้องกันเพียงพอ ส่งผลให้บุคคลภายนอกสามารถเข้าถึงและดาวน์โหลดข้อมูลดังกล่าวออกมาได้
ข้อมูลที่หลุดออกมามีทั้งไฟล์ภาพ JPG และ ไฟล์ PDF โดยเป็นไฟล์สแกนสำเนาบัตรประชาชน ใบขับขี่ และพาสปอร์ตของผู้ใช้บริการ ปริมาณข้อมูลที่อยู่บนเซิร์ฟเวอร์ดังกล่าวมีประมาณ 46,000 ไฟล์ รวมแล้วกว่า 32GB โดยเป็นไฟล์นับแต่ปี 2016-2018 แต่ยังไม่มีการยืนยันจำนวนผู้ได้รับผลกระทบ
นักวิจัยเผยว่าได้ติดต่อประสานไปยัง True Move H เมื่อต้นเดือน มี.ค. และปัญหานี้ได้รับการแก้ไขเมื่อวันที่ 12 เมษายน ที่ผ่านมา
ขณะที่ สำนักงานพัฒนาธุรกรรมอิเล็กทรอนิกส์ แจ้งกับผู้ใช้งาน True Move H ว่า ตอนนี้อยู่ระหว่างการประสานงานเพื่อยืนยันความถูกต้องของข้อมูล โดยผู้ใช้ควรตรวจสอบว่าใช้ข้อมูลใดในการลงทะเบียนกับผู้ให้บริการ รวมถึงอาจพิจารณาแจ้งความลงบันทึกประจำวันไว้เป็นหลักฐาน ในกรณีหากเกิดเหตุการณ์ผู้ประสงค์ร้ายนำข้อมูลที่หลุดรั่วออกไปใช้ในการสวมรอยหรือปลอมแปลงตัวบุคคล ซึ่งอาจส่งผลกระทบทางกฎหมายได้
ทั้งนี้ ปัญหาข้อมูลรั่วไหลในลักษณะนี้เคยเกิดขึ้นมาแล้วหลายครั้ง หน่วยงานหรือนักพัฒนาที่นำข้อมูลสำคัญโดยเฉพาะข้อมูลส่วนบุคคลฝากไว้บน Amazon S3 bucket ควรรักษาความมั่นคงปลอดภัยของข้อมูลโดยอาจเข้ารหัสลับข้อมูล จำกัดการเข้าถึงจากบุคคลภายนอก รวมถึงตรวจสอบการใช้งานที่ผิดปกติ