ข้อมูลรั่วไหลทำให้มาตรการพิเศษถูกจับตา
ญี่ปุ่นมีแผนพิจารณาการปิดกั้นเว็บไซต์ในชุดมาตรการฉุกเฉินด้านความมั่นคงปลอดภัยไซเบอร์ หลังผู้โจมตีเผยแพร่ข้อมูลส่วนบุคคลที่ขโมยมาจากการโจมตีทางไซเบอร์ซึ่งเกี่ยวข้องกับ GMO Internet เมื่อวันที่ 27 ตุลาคม กระทรวงกิจการภายในและการสื่อสารขอให้ผู้ให้บริการโทรคมนาคมในประเทศป้องกันการเข้าถึงเว็บไซต์ที่เผยแพร่ข้อมูลดังกล่าว โดยระบุว่ามีความเสี่ยงอย่างเป็นรูปธรรมที่จะเกิดความเสียหายเพิ่มเติม
สารบัญ
กระทรวงส่งคำขอผ่านสมาคมอุตสาหกรรมไปยังผู้ให้บริการโทรคมนาคมรายใหญ่ โดยต้องการให้ผู้ให้บริการตรวจสอบปลายทางที่ผู้ใช้เชื่อมต่อไปและปฏิเสธการเชื่อมต่อไปยังเว็บไซต์เป้าหมาย แนวทางนี้ทำให้ความเป็นส่วนตัวสองด้านมาอยู่ในข้อถกเถียงเดียวกัน ได้แก่ การคุ้มครองผู้ที่ข้อมูลถูกขโมย และการคุ้มครองผู้ใช้อินเทอร์เน็ตจากการตรวจสอบการสื่อสารของตน
ต่อมาเว็บไซต์ไม่สามารถเข้าถึงได้หลังโดเมนถูกระงับ โดยเชื่อว่าผู้ให้บริการในสหรัฐฯ เป็นผู้ดำเนินการดังกล่าว ส่วนผู้ให้บริการโทรคมนาคมญี่ปุ่นดูเหมือนจะไม่ได้ดำเนินการปิดกั้น
ขณะนี้รัฐบาลตั้งใจตรวจสอบประเด็นทางกฎหมายที่เกี่ยวข้องกับการปิดกั้นและแนวทางอื่น ๆ เพื่อป้องกันไม่ให้นำข้อมูลที่ถูกขโมยไปใช้ในทางมิชอบ ยังไม่มีการกำหนดกรอบเวลาสำหรับการตรวจสอบให้แล้วเสร็จหรือการประกาศใช้ชุดมาตรการฉุกเฉิน
เกิดอะไรขึ้นหลังข้อมูลถูกเผยแพร่?
เหตุการณ์นี้เกี่ยวข้องกับบริการด้านการซื้อขายเงินตราต่างประเทศแบบวางหลักประกัน หรือที่เรียกกันทั่วไปว่า FX ภายในกลุ่ม GMO Internet บริการเหล่านี้เปิดให้ลูกค้าซื้อขายสกุลเงินโดยใช้เงินฝากเป็นหลักประกัน ประเด็นเร่งด่วนในการถกเถียงเรื่องการปิดกั้นคือการเผยแพร่ข้อมูลส่วนบุคคลที่ได้มาจากการเข้าถึงโดยไม่ได้รับอนุญาต
ลำดับเหตุการณ์แสดงให้เห็นว่าคำขอของรัฐบาลเกิดขึ้นระหว่างการเผยแพร่ข้อมูลกับการที่เว็บไซต์ไม่สามารถเข้าถึงได้:
- ก่อนวันที่ 27 ตุลาคม: การเข้าถึงโดยไม่ได้รับอนุญาตส่งผลกระทบต่อบริการซื้อขายเงินตราต่างประเทศแบบวางหลักประกันของกลุ่ม GMO Internet
- วันที่ 27 ตุลาคม: ผู้โจมตีเผยแพร่ข้อมูลส่วนบุคคลที่ได้จากเหตุการณ์ดังกล่าว และกระทรวงการสื่อสารขอให้ผู้ให้บริการในประเทศปิดกั้นการเข้าถึงเว็บไซต์
- หลังการเผยแพร่: โดเมนของเว็บไซต์ถูกระงับ ทำให้ไม่สามารถเข้าถึงได้ โดยเชื่อว่าผู้ให้บริการในสหรัฐฯ เป็นผู้เข้าดำเนินการ
- หลังเกิดเหตุ: รัฐบาลมีแผนบรรจุการพิจารณาปิดกั้นไว้ในชุดมาตรการฉุกเฉินด้านความมั่นคงปลอดภัยไซเบอร์
การแยกความแตกต่างระหว่างคำขอกับการจำกัดการเข้าถึงที่เกิดขึ้นจริงเป็นเรื่องสำคัญต่อการทำความเข้าใจเหตุการณ์ ผู้ให้บริการได้รับคำขอให้เตรียมมาตรการกีดกันการเข้าถึง ขณะที่การดำเนินการกับโดเมนเว็บไซต์ดูเหมือนจะทำให้ไม่จำเป็นต้องใช้มาตรการดังกล่าวในทันที
เหตุใดรัฐบาลจึงต้องการระงับการเข้าถึง
ข้อมูลส่วนบุคคลอาจสร้างความเสียหายแก่เจ้าของต่อไป แม้การบุกรุกครั้งแรกจะสิ้นสุดลงแล้ว เมื่อข้อมูลถูกเผยแพร่ ก็อาจถูกคัดลอกและส่งต่อให้ผู้อื่นได้ ขึ้นอยู่กับเนื้อหาของข้อมูล อาชญากรอาจนำไปใช้ทำให้ข้อความหลอกลวงดูน่าเชื่อถือขึ้น หรือพุ่งเป้าโจมตีบุคคลเพื่อก่อความเสียหายเพิ่มเติม
ข้อกังวลที่กระทรวงการสื่อสารระบุคือความเสี่ยงอย่างเป็นรูปธรรมที่จะเกิดความเสียหายต่อเนื่อง กล่าวง่าย ๆ คือความเสียหายจากการนำข้อมูลที่ถูกขโมยไปใช้หรือเผยแพร่ต่อ หลังการขโมยเกิดขึ้นแล้ว การป้องกันไม่ให้ผู้คนเข้าถึงเว็บไซต์ที่เผยแพร่ข้อมูลอาจช่วยลดโอกาสที่ข้อมูลจะถูกนำไปใช้ ขณะที่กำลังดำเนินมาตรการอื่น
คิฮาระ เลขาธิการคณะรัฐมนตรี กล่าวถึงความเสียหายต่อความเป็นส่วนตัวจากการเผยแพร่ข้อมูลส่วนบุคคลทางออนไลน์ โดยระบุว่า:
ไม่ควรอนุญาตให้เผยแพร่ข้อมูลส่วนบุคคลทางออนไลน์และละเมิดสิทธิความเป็นส่วนตัว
คำกล่าวของเขาอธิบายเหตุผลที่รัฐบาลต้องการเข้าแทรกแซง ผู้ที่ข้อมูลถูกเปิดเผยไม่สามารถเรียกคืนสำเนาทั้งหมดได้ด้วยตนเอง และการดาวน์โหลดเพิ่มเติมแต่ละครั้งอาจทำให้ควบคุมการแพร่กระจายได้ยากขึ้น แรงกดดันในทางปฏิบัติต่อเจ้าหน้าที่จึงอยู่ที่การลงมือให้เร็วพอเพื่อจำกัดการเผยแพร่เพิ่มเติม
การปิดกั้นส่งผลถึงผู้ใช้อินเทอร์เน็ตคนอื่นอย่างไร
การปิดกั้นเว็บไซต์เป็นการจำกัดที่ผู้ให้บริการโทรคมนาคม แทนที่จะลบข้อมูลออกจากเว็บไซต์โดยตรง ผู้ให้บริการจะระบุการเชื่อมต่อที่มุ่งไปยังปลายทางเป้าหมายและขัดขวางไม่ให้เชื่อมต่อได้ ผู้ใช้ไม่จำเป็นต้องยินยอมต่อข้อจำกัดดังกล่าว
เพื่อระบุว่าควรหยุดการเชื่อมต่อใด ผู้ให้บริการต้องตรวจสอบปลายทางการสื่อสารของผู้ใช้ นี่จึงเป็นเหตุให้ข้อเสนอนี้เกี่ยวข้องกับผู้คนที่ไม่ได้รับผลกระทบจากเหตุการณ์ของ GMO ด้วย การดำเนินการดังกล่าวต้องตรวจสอบการเชื่อมต่อของผู้ใช้บริการ เพื่อค้นหาการเชื่อมต่อที่มุ่งไปยังเว็บไซต์ที่เลือกไว้
รัฐธรรมนูญญี่ปุ่นและกฎหมายอื่น ๆ คุ้มครองความลับในการสื่อสาร โดยครอบคลุมถึงการรักษาความลับของการสื่อสาร รวมถึงข้อมูลเกี่ยวกับปลายทางที่ติดต่อ แม้จะไม่มีการตรวจสอบเนื้อหาของข้อความ แต่ปลายทางที่ติดต่อก็อาจเปิดเผยข้อมูลส่วนตัวได้
ดังนั้น การกำหนดนโยบายจึงเกี่ยวข้องกับการคุ้มครองผู้คนต่างกลุ่มด้วยมาตรการที่มีทิศทางสวนกัน เจ้าหน้าที่ต้องการจำกัดการเข้าถึงข้อมูลที่ถูกขโมย ขณะที่ผู้ให้บริการโทรคมนาคมต้องคำนึงถึงหน้าที่ในการรักษาความลับของการสื่อสารของผู้ใช้ การตรวจสอบทางกฎหมายที่เสนอนี้จึงต้องพิจารณาความรับผิดชอบทั้งสองด้าน
เหตุใดข้อเสนอที่ผ่านมาได้รับการพิจารณาอย่างระมัดระวัง
ญี่ปุ่นเคยยอมรับการปิดกั้นเว็บไซต์ที่เผยแพร่สื่อการล่วงละเมิดทางเพศเด็กเป็นกรณีพิเศษ ซึ่งในการอภิปรายเรียกว่าเว็บไซต์สื่อลามกเด็ก เหตุผลคือความเสียหายร้ายแรงและยืดเยื้อที่เกิดกับเด็กเมื่อสื่อดังกล่าวยังคงแพร่กระจาย ควบคู่กับความจำเป็นในการจำกัดการแทรกแซงความลับในการสื่อสาร
ยังเคยมีการพิจารณาข้อเสนอให้ใช้การปิดกั้นกับเว็บไซต์ละเมิดลิขสิทธิ์และคาสิโนออนไลน์ แต่ระงับการนำมาใช้ไว้ก่อน แนวทางในอดีตเหล่านี้ช่วยอธิบายว่าเหตุใดการใช้มาตรการเดียวกันเพื่อตอบสนองต่อการขโมยข้อมูลส่วนบุคคลจึงเป็นเรื่องละเอียดอ่อน
เหตุการณ์ของ GMO จะทำให้มีการพิจารณาการปิดกั้นในบริบทที่ต่างออกไป นั่นคือความพยายามเร่งด่วนในการควบคุมความเสียหายหลังการโจมตีทางไซเบอร์ รัฐบาลกำลังพิจารณาว่ามาตรการที่เคยยอมรับให้ใช้เฉพาะในสถานการณ์พิเศษจะนำมาใช้รับมือกับข้อมูลรั่วไหลร้ายแรงได้อย่างไร
เสียงวิจารณ์ต่อคำขอนี้มุ่งไปที่ว่าภัยคุกคามเร่งด่วนเพียงพอหรือไม่ และได้ใช้แนวทางอื่นเพื่อหยุดการเผยแพร่จนหมดแล้วหรือยัง การเรียกร้องให้มีกฎเกณฑ์ทางกฎหมายที่ชัดเจนสะท้อนข้อกังวลในทางปฏิบัติว่า ผู้ให้บริการจำเป็นต้องทราบว่าเมื่อใดจึงจำกัดการเข้าถึงได้ เงื่อนไขใดบ้างที่ใช้บังคับ และจะทบทวนการตัดสินใจได้อย่างไร
คำขอยังเผชิญปัญหาด้านความโปร่งใส
รัฐบาลยื่นคำขอโดยไม่มีการหารือในรัฐบาลหรือในสภาไดเอ็ต ซึ่งเป็นรัฐสภาแห่งชาติของญี่ปุ่นล่วงหน้า กระทรวงการสื่อสารยังไม่ได้ยอมรับต่อสาธารณะว่าได้ยื่นคำขอดังกล่าว แม้มีรายงานถึงการติดต่อผู้ให้บริการเมื่อวันที่ 27 ตุลาคม
การไม่ยอมรับดังกล่าวทำให้สาธารณชนได้รับคำอธิบายเกี่ยวกับการตัดสินใจไม่ครบถ้วน ฐานทางกฎหมายของคำขอ เหตุผลที่เห็นว่าต้องดำเนินการอย่างเร่งด่วน และเงื่อนไขที่กำหนดไว้ ล้วนเป็นประเด็นสำคัญในการประเมินว่าการดำเนินการนั้นมีเหตุผลรองรับหรือไม่
ข้อกังวลนี้ยิ่งชัดเจนเป็นพิเศษ เพราะบริษัทโทรคมนาคมเอกชนจะเป็นผู้ดำเนินการจำกัดการเข้าถึง บริษัทเหล่านี้ต้องปฏิบัติตามคำขอของรัฐบาลไปพร้อมกับคำนึงถึงความคุ้มครองทางกฎหมายที่ผู้ใช้บริการมีอยู่
บางฝ่ายมองว่าคำขอนี้เป็นการตอบสนองที่เหมาะสมต่อภัยคุกคามความเป็นส่วนตัวที่เกิดขึ้นทันที ขณะที่นักวิจารณ์มองว่าเร่งรีบเกินไป และเรียกร้องให้มีคำชี้แจงต่อสาธารณะก่อนที่การปิดกั้นจะกลายเป็นส่วนหนึ่งของนโยบายความมั่นคงปลอดภัยไซเบอร์ที่ใช้เป็นประจำ ข้อพิพาทนี้เกี่ยวข้องทั้งกับความจำเป็นในการคุ้มครองผู้เสียหายและกระบวนการอนุมัติข้อจำกัด
การระงับโดเมนเปลี่ยนแปลงอะไร
การระงับโดเมนของผู้ต้องสงสัยว่าเป็นผู้โจมตีทำให้ไม่สามารถเข้าถึงเว็บไซต์ผ่านที่อยู่ปกติได้ โดเมนคือชื่อที่ใช้เข้าถึงเว็บไซต์ การระงับโดเมนจะตัดช่องทางดังกล่าว ขณะที่การปิดกั้นโดยผู้ให้บริการโทรคมนาคมญี่ปุ่นจะจำกัดการเชื่อมต่อผ่านเครือข่ายของผู้ให้บริการ
ในกรณีนี้ การดำเนินการกับโดเมนดูเหมือนจะแก้ปัญหาการเข้าถึงเร่งด่วนได้ก่อนที่จะมีการใช้มาตรการปิดกั้นในประเทศ ต่อมามีการระบุว่าเว็บไซต์ถูกลบไปแล้ว แม้รายงานเฉพาะเกี่ยวกับวิธีที่การเข้าถึงถูกระงับจะชี้ไปที่การพักใช้โดเมนและการเข้าแทรกแซงของผู้ให้บริการในสหรัฐฯ ซึ่งเป็นข้อสันนิษฐาน
เหตุการณ์นี้ทำให้ความสัมพันธ์ระหว่างการปิดกั้นกับมาตรการรับมือรูปแบบอื่นกลายเป็นประเด็นสำคัญในการทบทวนของรัฐบาล เจ้าหน้าที่จำเป็นต้องพิจารณาว่าแต่ละทางเลือกจะดำเนินการได้รวดเร็วเพียงใด องค์กรใดมีอำนาจลงมือ และเมื่อใดจึงสมควรใช้ข้อจำกัดผ่านผู้ให้บริการในประเทศ
ขณะนี้การปิดกั้นยังอยู่ในขั้นพิจารณาสำหรับชุดมาตรการฉุกเฉิน ภารกิจสำคัญคือการเปลี่ยนการรับมือเร่งด่วนให้เป็นกฎเกณฑ์ที่ผู้คนเข้าใจได้ว่า เมื่อใดจึงมีเหตุให้เข้าแทรกแซง ใครเป็นผู้อนุมัติ และจะคุ้มครองความเป็นส่วนตัวในการสื่อสารอย่างไร ขณะที่เจ้าหน้าที่พยายามควบคุมข้อมูลรั่วไหลที่สร้างความเสียหาย
ประเด็นสำคัญ
- ญี่ปุ่นมีแผนตรวจสอบการปิดกั้นเว็บไซต์ในฐานะส่วนหนึ่งของชุดมาตรการฉุกเฉินด้านความมั่นคงปลอดภัยไซเบอร์ หลังเกิดเหตุการณ์กับ GMO Internet
- กระทรวงการสื่อสารขอให้ปิดกั้นเมื่อวันที่ 27 ตุลาคม ซึ่งเป็นวันที่ผู้โจมตีเผยแพร่ข้อมูลส่วนบุคคลที่ขโมยมา
- คำขอส่งถึงผู้ให้บริการโทรคมนาคมรายใหญ่ในประเทศผ่านสมาคมอุตสาหกรรม
- ต่อมาโดเมนของเว็บไซต์เป้าหมายถูกระงับ และดูเหมือนว่าจะไม่มีการใช้มาตรการปิดกั้นโดยผู้ให้บริการในประเทศ
- การปิดกั้นกำหนดให้ผู้ให้บริการตรวจสอบปลายทางการสื่อสาร ทำให้เกิดข้อกังวลภายใต้หลักประกันเรื่องความลับในการสื่อสารของญี่ปุ่น
- กระทรวงยังไม่ได้ยอมรับคำขอดังกล่าวต่อสาธารณะ และยังไม่กำหนดกรอบเวลาสำหรับการทบทวนทางกฎหมาย
