บริการดิจิทัลของเนปาลเผชิญข้อมูลรั่วไหล ตลาดหยุดชะงัก และช่องโหว่ด้านความรับผิดชอบ

บัญชีอีเมลหน่วยงานรัฐ 135 บัญชีเผยปัญหาความมั่นคงปลอดภัยที่กว้างกว่านั้น

พบว่าบัญชีอีเมลอย่างน้อย 135 บัญชีภายใต้โดเมนรัฐบาลเนปาล nepal.gov.np ปรากฏอยู่ในข้อมูลการละเมิดความปลอดภัยจากภายนอก หลังศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติเข้าร่วม Have I Been Pwned ซึ่งเป็นบริการติดตามข้อมูลบัญชีที่ถูกเปิดเผย อีเมลที่ได้รับผลกระทบมีบัญชีที่เชื่อมโยงกับสำนักงานนายกรัฐมนตรี และกระทรวงมหาดไทย การคลัง และการต่างประเทศ

การค้นพบนี้เกิดขึ้นพร้อมกับรายงานเอกสารของนักศึกษาและคณาจารย์ที่ถูกเปิดเผย การโจมตีพอร์ทัลรัฐบาล การแทรกแซงระบบจัดซื้อจัดจ้างทางอิเล็กทรอนิกส์ และเหตุแรนซัมแวร์ที่ทำให้การซื้อขายหุ้นหยุดชะงัก รายงานที่เผยแพร่ในเดือนตุลาคม 2026 สะท้อนภาพการบริหารภาครัฐดิจิทัลที่ความบกพร่องด้านความปลอดภัยอาจกระทบทั้งความเป็นส่วนตัวของบุคคลและการเข้าถึงบริการจำเป็น

เหตุการณ์เหล่านี้เกี่ยวข้องกับปัญหาคนละด้าน การที่อีเมลปรากฏในข้อมูลรั่วไหลไม่ได้พิสูจน์โดยตัวมันเองว่ามีผู้บุกรุกเครือข่ายรัฐบาล เว็บไซต์ที่ใช้งานไม่ได้ก็ไม่ได้ยืนยันว่าข้อมูลในระบบถูกขโมย อย่างไรก็ตาม ข้อมูลบัญชีที่ถูกเปิดเผย การควบคุมการเข้าถึงที่อ่อนแอ และการพึ่งพาโครงสร้างพื้นฐานร่วมกัน อาจประกอบกันเป็นช่องทางเข้าสู่ระบบที่มีความอ่อนไหวมากกว่า

เนปาลกำลังเชื่อมโยงหนังสือเดินทาง การยืนยันตัวตน ภาษี ธนาคาร และประกันสังคมเข้ากับบริการดิจิทัล ขณะที่ประชาชนยังรายงานปัญหาการต่อคิว บัตรประจำตัวล่าช้า และเซิร์ฟเวอร์ใช้งานไม่ได้ ประเด็นสำคัญจึงไม่ได้จำกัดอยู่แค่การหยุดแฮกเกอร์เท่านั้น รัฐบาลต้องคุ้มครองข้อมูลที่ประชาชนจำเป็นต้องส่งให้ พร้อมรักษาให้บริการยังใช้งานได้เมื่อระบบส่วนใดส่วนหนึ่งขัดข้อง

สิ่งที่การค้นพบข้อมูลอีเมลยืนยันได้

เนปาลเป็นหน่วยงานภาครัฐแห่งที่ 47 ที่เข้าร่วม Have I Been Pwned ตามข้อมูลของราช กุมาร มหารจัน ผู้อำนวยการศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติ การเชื่อมต่อดังกล่าวช่วยให้ศูนย์ตรวจพบอีเมลของรัฐบาลที่ถูกเปิดเผยจากการละเมิดข้อมูลในแหล่งอื่น แทนที่จะต้องพึ่งหลักฐานจากเครือข่ายของตนเองเพียงอย่างเดียว

มหารจันกล่าวว่าศูนย์จะแจ้งหน่วยงานที่ได้รับผลกระทบและกำหนดให้เปลี่ยนรหัสผ่าน พร้อมอธิบายว่าบริการติดตามนี้ช่วยปรับปรุงการรับมืออย่างไร:

ผ่านพอร์ทัลนี้ ขณะนี้ศูนย์ของเราได้รับรายละเอียดที่ชัดเจนว่าอีเมลใดรั่วไหลและรั่วไหลจากแหล่งใด ทำให้เราแจ้งเจ้าหน้าที่ที่เกี่ยวข้องได้แบบเรียลไทม์ บังคับให้รีเซ็ตรหัสผ่านทันที และป้องกันความเสียหายเพิ่มเติมได้

ไม่ควรตีความตัวเลข 135 ว่าเป็นจำนวนบัญชีอีเมลรัฐบาล 135 บัญชีที่ยืนยันแล้วว่าถูกบุกรุก รายงานสาธารณะไม่ได้ระบุว่ามีกี่บัญชีที่ยังเสี่ยง รหัสผ่านที่ถูกเปิดเผยยังใช้งานได้หรือไม่ หรือมีกี่บัญชีที่มีการยืนยันตัวตนเพิ่มเติม

โมนา นยาชโยน ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์ เตือนว่าบัญชีทางการที่ถูกยึดครองอาจเป็นภัยต่อเครือข่ายภายในและการสื่อสารลับ ผู้โจมตีที่ควบคุมกล่องจดหมายจริงของรัฐบาลยังสามารถทำให้คำขอปลอมดูน่าเชื่อถือ โดยเฉพาะเมื่อผู้รับคุ้นเคยกับที่อยู่อีเมลดังกล่าว

รายงานอีกชุดระบุว่าข้อมูลบัญชีที่เกี่ยวข้องกับธนาคารพัฒนาการเกษตรปรากฏผ่านมัลแวร์ขโมยข้อมูลจากอุปกรณ์ที่ติดเชื้อ การขโมยลักษณะนี้เกิดขึ้นได้ที่คอมพิวเตอร์ซึ่งใช้เข้าถึงบริการ โดยผู้โจมตีไม่จำเป็นต้องเจาะเข้าสู่เซิร์ฟเวอร์ส่วนกลางของบริการโดยตรง

เอกสารประชาชนและพอร์ทัลสาธารณะเผชิญภัยคุกคามต่างกัน

มีรายงานว่าระบบออนไลน์ของคณะกรรมการทุนมหาวิทยาลัยเปิดเผยเอกสารสัญชาติ ใบรับรองการศึกษา รายละเอียดบัญชีธนาคาร และข้อมูลเลขประจำตัวผู้เสียภาษีถาวรของอาจารย์และนักศึกษา มีรายงานว่าเพียงเปลี่ยนที่อยู่เว็บก็สามารถเข้าถึงเอกสารได้ เนื่องจากไม่มีระบบควบคุมการเข้าถึง

การควบคุมการเข้าถึงคือการตรวจสอบว่าบุคคลหนึ่งได้รับอนุญาตให้ดูระเบียนใดระเบียนหนึ่งหรือไม่ เอกสารไม่ได้รับการคุ้มครองเพียงเพราะที่อยู่เว็บเดายาก เซิร์ฟเวอร์ต้องตรวจสอบสิทธิ์ทุกครั้งที่มีผู้ร้องขอเข้าถึง

รายงานยังระบุถึงการเข้าถึงโดยไม่ได้รับอนุญาตต่อส่วนเชื่อมต่อโปรแกรมประยุกต์สาธารณะของพอร์ทัลคลาวด์รัฐบาล ส่วนเชื่อมต่อดังกล่าว ซึ่งมักเรียกว่า API ช่วยให้ระบบซอฟต์แวร์แลกเปลี่ยนข้อมูลหรือดำเนินการต่าง ๆ ได้ กลุ่มที่ระบุชื่อว่า PSy404 และ AnoNagoSt ซึ่งเชื่อมโยงกับเครือข่าย ForceAnon ถูกกล่าวหาว่าใช้ช่องทางดังกล่าวโพสต์ข้อความและรูปภาพ

เหตุการณ์อื่นที่มีรายงาน ได้แก่ ช่องโหว่ที่ Midnight Ops Nepal เปิดเผยในระบบต่าง ๆ เช่น กรมอุทกวิทยาและอุตุนิยมวิทยา และการเข้าถึงแผงควบคุมงานบริหารของกระทรวงซึ่งกล่าวหาว่าเป็นฝีมือของ FunkSec นอกจากนี้ ยังมีการกล่าวหาว่าเอกสารงบประมาณและเอกสารเทศบาลถูกเสนอขาย

ข้อกล่าวหาเหล่านี้ต้องได้รับการประเมินแยกจากกัน การโพสต์เนื้อหาผ่านส่วนเชื่อมต่อสาธารณะแสดงให้เห็นถึงความบกพร่องในการควบคุม แต่ไม่ได้ยืนยันว่าเข้าถึงฐานข้อมูลทุกแห่งที่โฮสต์อยู่บนคลาวด์รัฐบาลได้ รายงานเรื่องเอกสารที่ถูกเสนอขายยังต้องตรวจสอบความแท้จริง ขอบเขต และแหล่งที่มา ก่อนจะประเมินความเสียหายทั้งหมดได้

ลำดับเหตุการณ์การโจมตีและการดำเนินการของรัฐบาลที่มีรายงาน

รายงานกล่าวถึงเหตุการณ์ที่เกิดขึ้นตลอดหลายปี ไม่ใช่การโจมตีที่ประสานงานกันเพียงครั้งเดียว ลำดับเหตุการณ์ยังแสดงให้เห็นว่าการจัดตั้งศูนย์ไซเบอร์เฉพาะทางไม่ได้ยุติการหยุดชะงักของบริการ

• 1 มกราคม 2024: มีรายงานว่าการโจมตีแบบปฏิเสธการให้บริการแบบกระจายทำให้เว็บไซต์และแอปพลิเคชันบริการสาธารณะหยุดชะงัก โดยผลกระทบยืดเยื้อนานหลายสัปดาห์
• 23 มกราคม 2024: คณะรัฐมนตรีมีมติจัดตั้งศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติ ซึ่งเริ่มดำเนินงานในช่วงฤดูใบไม้ผลิปีนั้น
• ธันวาคม 2024: มีรายงานการโจมตีพอร์ทัลรัฐบาลในจังหวัดกันดากี ลุมพินี และบักมตี
• กุมภาพันธ์ 2025: รายงานระบุการโจมตีโดเมนย่อย 21 แห่งในจังหวัดโกสี
• มีนาคม 2025: มีรายงานว่าฐานข้อมูลของแพลตฟอร์มรับเรื่องร้องเรียน Hello Sarkar ถูกเจาะและนำไปเสนอขาย
• เมษายน 2025: มีการกล่าวหาว่าข้อมูลสัญชาติราว 2 ล้านรายการที่ส่งเพื่อจัดทำรายงานตำรวจถูกขโมยจากเว็บไซต์ตำรวจเนปาลและนำไปเสนอขาย
• 13 พฤษภาคม 2026: มีรายงานว่าการแก้ไขกฎการจัดสรรภารกิจของรัฐบาลเนปาลที่เผยแพร่แล้ว โอนหน่วยงานด้านเทคโนโลยีสำคัญไปอยู่ภายใต้สำนักงานนายกรัฐมนตรี
• กันยายน 2026: มีการกล่าวหาว่าการโจมตีด้วยแรนซัมแวร์ทำให้ระบบที่ให้บริการบริษัทนายหน้าซื้อขายหุ้น 72 แห่งหยุดชะงัก และระงับการซื้อขายหนึ่งวัน
• ต้นเดือนตุลาคม 2026: มีรายงานว่า Pathao Nepal ยอมรับเหตุข้อมูลรั่วไหลที่เกี่ยวข้องกับชื่อผู้ใช้ อีเมล และหมายเลขโทรศัพท์

การกล่าวหาว่าข้อมูลตำรวจราว 2 ล้านรายการถูกขโมยถือเป็นหนึ่งในการเปิดเผยข้อมูลครั้งใหญ่ที่สุดที่มีการกล่าวถึง ตัวเลขดังกล่าวเป็นข้อกล่าวอ้างในรายงาน ไม่ใช่จำนวนผู้ได้รับผลกระทบที่มีการตรวจสอบยืนยันโดยอิสระ รายงานไม่ได้แจกแจงจำนวนระเบียนที่ไม่ซ้ำกันหรือเผยแพร่การประเมินความเสียหายอย่างครบถ้วน

การจัดซื้อจัดจ้างอิเล็กทรอนิกส์ทำให้ความปลอดภัยเชื่อมโยงกับการใช้จ่ายภาครัฐ

รายงานการเจาะระบบจัดซื้อจัดจ้างภาครัฐทางอิเล็กทรอนิกส์ หรือ e-GP เกี่ยวข้องกับความถูกต้องของสัญญาภาครัฐ ตลอดจนข้อมูลลับ สำนักงานติดตามการจัดซื้อจัดจ้างภาครัฐเป็นผู้ดูแลแพลตฟอร์มสำหรับประกวดราคางานรัฐบาลที่มีมูลค่าหลายพันล้านรูปี

มีรายงานว่าผู้ตรวจสอบพบผู้ใช้ที่ไม่ได้รับอนุญาตสามารถดูวงเงินเสนอราคาลับของคู่แข่ง และแก้ไขตัวเลขหลังพ้นกำหนดส่งข้อเสนอ รายงานกล่าวถึงข้อกล่าวหาเรื่องความร่วมมือระหว่างแฮกเกอร์ คนกลาง และผู้รับเหมา รวมถึงการชำระเงินด้วยคริปโทเคอร์เรนซีและเว็บไซต์จัดซื้อจัดจ้างปลอม

มีรายงานว่าสำนักงานสอบสวนกลางของตำรวจเนปาลจับกุมผู้คนมากกว่า 20 คน รวมถึงอดีตรัฐมนตรี บุคคลในธุรกิจก่อสร้าง และพนักงานฝ่ายเทคนิค พร้อมดำเนินคดีต่อศาล การจับกุมและการตั้งข้อหาไม่ใช่คำพิพากษาว่ามีความผิด รายงานไม่ได้ให้ข้อมูลคำพิพากษาถึงที่สุดที่ยืนยันความรับผิดของผู้ถูกกล่าวหาแต่ละคน

มีรายงานว่าความกังวลด้านความปลอดภัยนำไปสู่การระงับการประมูลทางอิเล็กทรอนิกส์ และกลับไปใช้การยื่นซองกระดาษปิดผนึกสำหรับการจัดซื้อจัดจ้างที่จำเป็น รายงานไม่ได้ระบุวันที่ยืนยันแล้วว่าจะกลับมาใช้ระบบได้เมื่อใด

ความแตกต่างจากกรณีเอกสารรั่วไหลเป็นเรื่องสำคัญ ความลับถูกละเมิดเมื่อมีผู้เห็นข้อเสนอที่ไม่ควรเห็น ส่วนความถูกต้องของข้อมูลถูกละเมิดเมื่อมีผู้แก้ไขข้อเสนอเอง หากการคุ้มครองข้อใดข้อหนึ่งล้มเหลว ระบบดิจิทัลที่ออกแบบมาเพื่อเพิ่มความโปร่งใสในการจัดซื้อจัดจ้าง อาจกลับกลายเป็นช่องทางสร้างความได้เปรียบที่ไม่เปิดเผยให้ผู้เสนอราคาบางราย

ผู้ให้บริการรายเดียวอาจทำให้ทั้งตลาดหยุดชะงัก

มีการกล่าวหาว่าเหตุแรนซัมแวร์ในเดือนกันยายน 2026 โจมตีศูนย์ข้อมูลเอกชนที่โฮสต์ระบบบริหารการซื้อขายให้บริษัทนายหน้าซื้อขายหุ้น 72 แห่ง มีรายงานว่าตลาดหลักทรัพย์เนปาลไม่สามารถซื้อขายได้ตลอดทั้งวัน รายงานต้นฉบับยังระบุว่ามีการโฮสต์ข้อมูลรัฐบาลไว้ที่สถานที่ซึ่งได้รับผลกระทบด้วย

โดยทั่วไป แรนซัมแวร์จะขัดขวางการเข้าถึงระบบหรือข้อมูล ซึ่งมักทำโดยเข้ารหัสไฟล์และเรียกค่าไถ่ รายงานไม่ได้ยืนยันกลไกทางเทคนิคของการโจมตี มีการขโมยข้อมูลด้วยหรือไม่ หรือมีการจ่ายค่าไถ่หรือไม่

ผลกระทบที่มีการอธิบายชัดเจนกว่าคือด้านการดำเนินงาน: เหตุขัดข้องที่ผู้ให้บริการโฮสต์รายเดียวลุกลามไปยังบริษัทนายหน้าหลายสิบแห่ง และทำให้นักลงทุนซื้อขายไม่ได้ นี่คือความเสี่ยงจากการกระจุกตัว ซึ่งเกิดขึ้นเมื่อหลายองค์กรพึ่งพาผู้ให้บริการหรือโครงสร้างพื้นฐานรายเดียวกัน

กรณีข้อมูลที่เปิดเผยของ Pathao Nepal เป็นเหตุข้อมูลรั่วไหลในภาคเอกชนอีกแบบหนึ่ง มีรายงานว่าชื่อ อีเมล และหมายเลขโทรศัพท์รั่วไหลในช่วงต้นเดือนตุลาคม 2026 รายงานระบุว่ามีผู้ใช้ได้รับผลกระทบหลายพันคน แต่ไม่ได้ให้ตัวเลขที่แน่นอนและผ่านการตรวจสอบแล้ว

รายงานก่อนหน้านี้ยังกล่าวถึงข้อมูลลูกค้าที่รั่วไหลจาก Vianet และ Foodmandu การโจมตีที่เกี่ยวข้องกับระบบเอทีเอ็มของธนาคาร และความพยายามโจมตีระบบ SWIFT ของธนาคาร NIC Asia เหตุการณ์เหล่านี้มีขอบเขตและผลลัพธ์ต่างกัน แต่แสดงให้เห็นว่าความท้าทายด้านความปลอดภัยไม่ได้จำกัดอยู่แค่เว็บไซต์รัฐบาล หากยังครอบคลุมบริการสื่อสาร ซื้อสินค้า เดินทาง และการเงิน

ปัญหาขีดความสามารถของระบบยืนยันตัวตนแห่งชาติลุกลามไปยังหลายบริการ

ระบบยืนยันตัวตนแห่งชาติแสดงให้เห็นว่าบริการอาจขัดข้องได้โดยไม่มีการยืนยันว่าเกิดการโจมตีไซเบอร์ รายงานระบุว่าการยืนยันตัวตนหยุดชะงักนานหลายสัปดาห์เนื่องจากระบบไบโอเมตริกเผชิญแรงกดดันทางเทคนิค เมื่อจำนวนระเบียนเข้าใกล้ขีดความสามารถราว 20 ล้านรายการ

มีรายงานว่าหน่วยงานมากกว่า 16 แห่งได้รับผลกระทบ รวมถึงบริการหนังสือเดินทาง ภาษี ขนส่ง และธนาคาร ตัวเลขดังกล่าวบ่งชี้แรงกดดันต่อขีดความสามารถของระบบตามที่รายงาน ไม่ใช่จำนวนผู้ที่มีข้อมูลไบโอเมตริกถูกเปิดเผยซึ่งผ่านการตรวจสอบยืนยันแล้ว

รายงานต่างกันในรายละเอียดเกี่ยวกับชื่อองค์กรของผู้ให้บริการจากฝรั่งเศส รายงานต้นฉบับกล่าวถึงการเปลี่ยนผ่านจาก Idemia ไปเป็น IN Groupe ขณะที่อีกรายงานยังระบุ IDEMIA เป็นชื่อปัจจุบัน รายละเอียดที่แน่ชัดของสัญญาและการสนับสนุนยังไม่ได้รับการยืนยัน อย่างไรก็ตาม ประเด็นด้านการดำเนินงานเหมือนกัน คือบริการหลายอย่างพึ่งพาแพลตฟอร์มยืนยันตัวตนเดียวกัน และได้รับผลกระทบเมื่อแพลตฟอร์มใช้งานไม่ได้

บริการยืนยันตัวตนร่วมกันช่วยลดการตรวจสอบซ้ำและเอกสารที่ต้องใช้ แต่ก็กลายเป็นจุดล้มเหลวเพียงจุดเดียวได้ หากหน่วยงานไม่มีทางเลือกที่ปลอดภัยให้ดำเนินงานต่อเมื่อบริการดังกล่าวไม่ตอบสนอง ดังนั้น การวางแผนขีดความสามารถ การเตรียมการกู้คืนระบบ และการกำหนดความรับผิดชอบของผู้ให้บริการให้ชัดเจน จึงสำคัญควบคู่ไปกับการป้องกันผู้บุกรุก

ผลกระทบต่อความเป็นส่วนตัวต้องได้รับการพิจารณาอย่างรอบคอบเช่นกัน ลายนิ้วมือเป็นข้อมูลระบุตัวตนทางชีวมิติ ส่วนเลขสัญชาติและวันเกิดเป็นข้อมูลระบุตัวตน ไม่ใช่ข้อมูลชีวมิติ ต่างจากรหัสผ่านที่เปลี่ยนใหม่ได้ ลายนิ้วมือไม่สามารถเปลี่ยนได้ง่าย การเปิดเผยรายละเอียดเหล่านี้อาจสร้างโอกาสให้มีการแอบอ้างตัวตนและฉ้อโกงแบบเจาะจงในระยะยาว

การป้องกันของรัฐบาลกำลังขยายตัว แต่ยังมีข้อจำกัด

มีรายงานว่าศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติตรวจสอบระบบรัฐบาลเกือบ 40 ระบบในช่วงสี่เดือนก่อนรายงานการรั่วไหลของอีเมล นอกจากนี้ยังใช้ CTM360 ซึ่งเป็นเครื่องมือติดตามที่สหภาพโทรคมนาคมระหว่างประเทศจัดหาให้ เพื่อติดตามการแลกเปลี่ยนข้อมูลรัฐบาลอย่างผิดกฎหมาย

ระบบบริหารจัดการข้อมูลและเหตุการณ์ด้านความปลอดภัย (SIEM) ที่เพิ่งจัดซื้อจะรวบรวมและวิเคราะห์บันทึกกิจกรรมทั่วเครือข่ายรัฐบาล เครื่องมือดังกล่าวช่วยให้เจ้าหน้าที่ระบุรูปแบบที่น่าสงสัยได้ แต่ประสิทธิภาพขึ้นอยู่กับสิ่งที่ติดตามตรวจสอบและความรวดเร็วที่ทีมงานใช้ตรวจสอบการแจ้งเตือน

ประกาศ ดุวาดี ซึ่งรายงานภาษาเนปาลระบุว่าเป็นเจ้าหน้าที่สารสนเทศของสำนักงานเทคโนโลยีสารสนเทศและธรรมาภิบาลอิเล็กทรอนิกส์ กล่าวว่า พอร์ทัลรัฐบาลที่โฮสต์บนระบบสามารถเผชิญความพยายามโจมตีพร้อมกันได้ 7,000 ถึง 8,000 ครั้ง เขาประเมินว่าการทดสอบพื้นฐานโดยนักศึกษาหรือเด็กคิดเป็นร้อยละ 10 ถึง 20 ของความพยายามทั้งหมด รายงานไม่ได้อธิบายช่วงเวลาที่ใช้วัดหรือวิธีนับ

ดุวาดียังกล่าวด้วยว่า บางครั้งเจ้าหน้าที่ต้องตัดการเชื่อมต่อระบบเมื่อไม่สามารถป้องกันได้อย่างปลอดภัย เซิร์ฟเวอร์ที่หยุดให้บริการจึงอาจเกิดจากมาตรการป้องกัน ไม่ใช่หลักฐานว่าผู้โจมตียึดระบบได้ ไม่ว่าจะเป็นกรณีใด ประชาชนก็ยังเข้าใช้บริการไม่ได้ จึงจำเป็นต้องมีประกาศสถานะบริการที่ถูกต้องและขั้นตอนกู้คืนระบบ

มหารจันระบุว่ากว่า 90 เปอร์เซ็นต์ของเหตุการณ์ไซเบอร์เกิดจากพฤติกรรมมนุษย์และการหลอกลวงทางสังคม นี่เป็นการประเมินที่เขาระบุ ไม่ใช่ข้อค้นพบทางสถิติระดับชาติที่มีเอกสารยืนยัน นอกจากนี้ เขายังเตือนว่าการเร่งสร้างแอปพลิเคชันด้วยปัญญาประดิษฐ์อาจทำให้นักพัฒนาไม่ตระหนักถึงจุดอ่อนด้านการเข้ารหัสและความปลอดภัย

มีรายงานว่าข้อความฟิชชิงแอบอ้างชื่อ มโนช กุมาร เคซี ผู้ช่วยผู้บัญชาการตำรวจใหญ่ สำนักงานนายกรัฐมนตรี และเจ้าหน้าที่ตำรวจรายอื่น ข้อความขู่ว่าจะดำเนินคดีเพื่อกดดันให้ผู้รับตอบกลับหรือเปิดเผยข้อมูล ตัวอย่างเหล่านี้แสดงให้เห็นว่าความหวาดกลัวและอำนาจของทางการสามารถถูกนำมาใช้เป็นเครื่องมือฉ้อโกงได้

สิทธิความเป็นส่วนตัวต้องได้รับการบังคับใช้ให้เห็นผล

รัฐธรรมนูญเนปาล มาตรา 28 คุ้มครองความเป็นส่วนตัว ส่วนกฎหมายความเป็นส่วนตัว ปี 2075 (2018) กำหนดหน้าที่เกี่ยวกับข้อมูลส่วนบุคคลที่หน่วยงานรัฐถือครอง รายงานต้นฉบับและบทวิเคราะห์ประกอบระบุว่ามาตรา 29 กำหนดโทษจำคุกสูงสุดสามปี มาตรา 31 ว่าด้วยค่าชดเชย และมาตรา 32 ว่าด้วยการดำเนินการทางวินัยของหน่วยงาน

บทบัญญัติเหล่านี้ไม่ได้ยืนยันว่าความบกพร่องทางเทคนิคที่มีรายงานทุกกรณีเข้าเงื่อนไขความผิดอาญาหรือการชดเชย ความรับผิดต้องพิจารณาจากการกระทำที่เกี่ยวข้อง บทกฎหมายที่ใช้บังคับ และหลักฐาน รายงานสาธารณะให้รายละเอียดน้อยมากเกี่ยวกับบทลงโทษหรือค่าชดเชยที่เกิดจากเหตุการณ์ที่กล่าวถึง

ความรับผิดชอบด้านการบริหารก็กำลังเปลี่ยนแปลงเช่นกัน มีรายงานว่าการแก้ไขกฎซึ่งเผยแพร่เมื่อวันที่ 13 พฤษภาคม 2026 ย้ายศูนย์ความมั่นคงปลอดภัยไซเบอร์ ศูนย์จัดการข้อมูล และกรมเทคโนโลยีสารสนเทศ ไปอยู่ภายใต้สำนักงานนายกรัฐมนตรี วาระการประชุมคณะรัฐมนตรีที่ได้รับอนุมัติเมื่อวันที่ 27 มีนาคม 2026 กำหนดให้จัดตั้งสำนักงานเทคโนโลยีสารสนเทศและธรรมาภิบาลอิเล็กทรอนิกส์ภายในสามเดือน แต่มีรายงานว่าการสำรวจโครงสร้างองค์กรยังไม่เสร็จสิ้นเมื่อเผยแพร่รายงาน

โครงสร้างและลำดับการรายงานที่เป็นผลจากการเปลี่ยนแปลงนี้ยังไม่ลงตัว การย้ายหน่วยงานไม่ได้ทำให้ชัดเจนโดยตัวมันเองว่าใครต้องแจ้งประชาชนที่ได้รับผลกระทบ ใครอนุมัติการเปิดบริการที่ถูกเจาะให้กลับมาใช้งาน หรือใครตรวจสอบว่าผู้ให้บริการแก้ไขข้อบกพร่องด้านความปลอดภัยแล้ว

การทดสอบ การจัดซื้อ และการเปิดเผยข้อมูลคือการตัดสินใจขั้นต่อไป

บทวิเคราะห์ต้นฉบับเสนอให้กำหนดหน้าที่ด้านความปลอดภัยไว้ในกระบวนการจัดซื้อซอฟต์แวร์ตั้งแต่ต้น ซึ่งรวมถึงการเข้ารหัส การอัปเดตอย่างต่อเนื่อง การบำรุงรักษา และการคัดเลือกโดยพิจารณาคุณภาพและต้นทุน แทนการมองว่าการจัดซื้อซอฟต์แวร์เสร็จสิ้นเมื่อส่งมอบ สิ่งเหล่านี้เป็นข้อเสนอ ไม่ใช่ข้อกำหนดใหม่ของรัฐบาลที่ยืนยันแล้ว

บทวิเคราะห์ยังเสนอให้ประเมินช่องโหว่และทดสอบเจาะระบบภาคบังคับก่อนเปิดบริการให้ประชาชนใช้งาน การทดสอบเหล่านี้ช่วยค้นหาจุดอ่อนและทดลองบุกรุกอย่างมีการควบคุม การทดสอบเสร็จสิ้นไม่ได้หมายความว่าจุดอ่อนที่พบได้รับการแก้ไขแล้ว การตัดสินใจเปิดระบบที่น่าเชื่อถือต้องมีหลักฐานว่าข้อบกพร่องร้ายแรงได้รับการแก้ไขและตรวจสอบซ้ำ

นาเรศ ลัมกเด ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์ กล่าวว่า มักละเลยเรื่องความปลอดภัยระหว่างการพัฒนา และไม่สนับสนุนให้นักวิจัยเอกชนรายงานช่องโหว่ ช่องทางรายงานที่ชัดเจนพร้อมขั้นตอนจัดการที่กำหนดไว้จะช่วยเปลี่ยนการค้นพบให้เป็นการซ่อมแซม แทนที่จะปล่อยให้นักวิจัยไม่แน่ใจว่าจะติดต่อหน่วยงานอย่างไร

มาตรการอื่นที่มีการเสนอ ได้แก่ การยืนยันตัวตนเพิ่มเติมสำหรับอีเมลและบัญชีผู้ดูแลระบบของรัฐบาล การตรวจสอบศูนย์ข้อมูลเป็นประจำ การแจ้งประชาชนที่ได้รับผลกระทบหลังเกิดข้อมูลรั่วไหล และการจัดตั้งหน่วยงานกำกับดูแลการคุ้มครองข้อมูลที่เป็นอิสระ รายงานไม่ได้ยืนยันวันที่จะนำมาตรการเหล่านี้มาใช้

คำถามเร่งด่วนที่ยังไม่มีคำตอบมีอยู่หลายข้อ ได้แก่ บัญชีที่ถูกเปิดเผยได้รับการรักษาความปลอดภัยแล้วกี่บัญชี ชุดข้อมูลที่ถูกกล่าวหาว่าขโมยไปผ่านการพิสูจน์ความแท้จริงแล้วหรือไม่ การประมูลทางอิเล็กทรอนิกส์จะกลับมาเมื่อใด และบริการยืนยันตัวตนจะป้องกันการหยุดชะงักจากปัญหาขีดความสามารถอีกครั้งได้อย่างไร คำตอบจากภาครัฐจะทำให้ประชาชนประเมินการฟื้นฟูได้จากผลลัพธ์ แทนที่จะดูเพียงจำนวนบริการที่เปิดให้ใช้งานออนไลน์

ประเด็นสำคัญ

• พบว่าบัญชีอีเมลรัฐบาลอย่างน้อย 135 บัญชีอยู่ในข้อมูลรั่วไหลจากภายนอก หลังเนปาลเข้าร่วม Have I Been Pwned
• ข้อมูลที่มีรายงานว่าเปิดเผยครอบคลุมเอกสารมหาวิทยาลัยและข้อมูลสัญชาติที่ส่งเพื่อจัดทำรายงานตำรวจราว 2 ล้านรายการ โดยตัวเลขหลังยังไม่ได้รับการยืนยัน
• มีรายงานว่าจับกุมผู้คนมากกว่า 20 คนในคดีจัดซื้อจัดจ้างอิเล็กทรอนิกส์ แต่ไม่ได้ระบุผลคดีถึงที่สุด
• มีการกล่าวหาว่าเหตุแรนซัมแวร์ในเดือนกันยายน 2026 ทำให้ระบบที่ให้บริการบริษัทนายหน้าซื้อขายหุ้น 72 แห่งหยุดชะงัก และระงับการซื้อขายหุ้นหนึ่งวัน
• มีรายงานว่าปัญหาขีดความสามารถของระบบยืนยันตัวตนแห่งชาติทำให้การยืนยันตัวตนของหน่วยงานมากกว่า 16 แห่งหยุดชะงักนานหลายสัปดาห์
• การติดตามตรวจสอบและทดสอบความปลอดภัยขยายตัวขึ้น แต่การแจ้งเหตุข้อมูลรั่วไหล ความรับผิดชอบ และกำหนดการฟื้นฟูหลายเรื่องยังไม่ได้ข้อยุติ