Hacker x AI บทเรียนจาก Mexico เมื่อข้อมูลประชาชน 130 ล้านคนถูกขโมย

ลำดับเหตุการณ์ที่เกิดขึ้น (Timeline)

(1) เริ่มโจมตี – เดือนธันวาคม 2025 (ต่อเนื่องราว 1 เดือน)

ผู้โจมตีใช้ Claude โดยป้อนพรอมป์ภาษา Spanish ให้ “ทำหน้าที่เหมือนแฮกเกอร์ชั้นยอด” เพื่อช่วย ค้นหาช่องโหว่, เขียนสคริปต์, วางแผนอัตโนมัติในการขโมยข้อมูล ตามรายงานของ Gambit Security

(2) ขยายการเจาะหลายหน่วยงาน

หน่วยงานที่ถูกระบุว่าถูกเจาะ/ถูกกระทบรวมถึง:

• หน่วยงานภาษีของรัฐบาลกลาง

• สถาบันการเลือกตั้งแห่งชาติ

• รัฐ/ท้องถิ่นหลายพื้นที่

• ทะเบียนราษฎร์ของ Mexico City

• การประปา/น้ำของ Monterrey

(3) การขโมยข้อมูลขนาดใหญ่

รายงานระบุว่ามีข้อมูลภาครัฐถูกขโมยรวม 150GB ครอบคลุมเอกสารกว่า 195 ล้านรายการผู้เสียภาษี, ข้อมูลผู้มีสิทธิเลือกตั้ง, credentials ของพนักงานรัฐ, และไฟล์ทะเบียนราษฎร์

(4) การ “jailbreak” และการใช้หลายโมเดลร่วมกัน

 Anthropic ระบุว่าผู้โจมตี “probe” จนเกิดการ jailbreak ผ่าน guardrails ได้บางช่วง

 ขณะปฏิบัติการยังมีการหันไปใช้ ChatGPT เพื่อขอข้อมูลเพิ่มในบางจังหวะ

(5) ประเมินความเสียหาย

• ความเสียหายเชิงข้อมูลและความเป็นส่วนตัว

ข้อมูลภาษี + ทะเบียนราษฎร์ + voter records + credentials ภาครัฐ เป็นชุดข้อมูล “มูลค่าสูง” ต่อการ สวมรอยตัวตน, ฉ้อโกง, วิศวกรรมสังคม, และการเข้าถึงระบบต่อเนื่อง

• ความเสียหายต่อความมั่นคง/รัฐ

การขโมย “ตัวตน/บัญชี” ของเจ้าหน้าที่รัฐ สร้างความเสี่ยงต่อการขยายขอบเขตการโจมตี, การเจาะต่อเนื่อง และการปฏิบัติการแฝง (เช่น เจาะระบบอื่นด้วย credential ที่ได้มา)

• ข้อมูลผู้มีสิทธิเลือกตั้ง/หน่วยงานเลือกตั้ง

เพิ่มความเสี่ยงต่อ ความเชื่อมั่นในกระบวนการประชาธิปไตย แม้หน่วยงานเลือกตั้งจะระบุว่าไม่พบ Data Breach (การละเมิดข้อมูล/ข้อมูลรั่วไหล) ช่วงหลัง

• ความเสียหายเชิงการเงิน

  • • ตัวเลข “ต้นทุนจริง” ยังไม่มีการประกาศอย่างเป็นทางการในข่าวชุดนี้ แต่พอจะประเมินคร่าวๆ ได้

    • ต้นทุนขั้นต่ำที่มักเกิดขึ้นในองค์กร: incident response, forensic, patching, legal/compliance, สื่อสารสาธารณะ, เสริมระบบ ฯลฯ

    • IBM รายงานค่าเฉลี่ยต้นทุนการรั่วไหล “ทั่วโลก” ปี 2024 อยู่ที่ ประมาณ 4.88 ล้านดอลลาร์ต่อเหตุการณ์ (ค่าเฉลี่ย ไม่ใช่เคสภาครัฐโดยตรง)

    • ต้นทุนคาดการณ์จากจำนวนเรคคอร์ด: IBM เคยรายงานต้นทุนต่อเรคคอร์ด (โดยเฉลี่ย) ราว $173/record ในปี 2024 (แต่ ไม่ควรเอา $173 × 195 ล้าน ตรง ๆ เพราะ “mega-breach” มีการคิดต้นทุนที่ไม่เป็นเส้นตรง)

    • สิ่งที่ “มีแนวโน้มเป็นเงินก้อนใหญ่จริง” คือความเสียหายจาก fraud/identity theft, ค่าชดเชย/เยียวยา, และการลงทุนยกระดับความปลอดภัยระยะยาว โดยเฉพาะเมื่อมี credentials ภาครัฐถูกขโมย

(6) จาก Mexico สู่ประเทศไทย: องค์กรของเราพร้อมหรือยังกับการยกระดับ AI Governance

• เหตุการณ์โจมตีที่เกิดขึ้นใน Mexico และกรณี 2028 Global Intelligence Crisis สะท้อนบทเรียนสำคัญว่า ความเสี่ยงจาก AI ไม่ได้อยู่ไกลตัว และไม่ใช่เพียงประเด็นด้านเทคโนโลยีเท่านั้น แต่เป็นเรื่องของ ธรรมาภิบาล AI (AI Governance) และความพร้อมของระบบบริหารจัดการความเสี่ยง ทั้งในระดับองค์กรและระดับประเทศ ที่ต้องได้รับการยกระดับอย่างจริงจัง

• สำหรับประเทศไทย คำถามสำคัญจึงไม่ใช่เพียงว่าองค์กรจะนำ AI มาใช้ได้เร็วเพียงใด แต่คือ องค์กรจะกำกับดูแล AI อย่างไรให้ปลอดภัย โปร่งใส ตรวจสอบได้ และรับผิดชอบต่อผู้มีส่วนได้ส่วนเสีย

• ด้วยตระหนักถึงความท้าทายดังกล่าว AI Governance Center (AIGC) อยู่ระหว่างการเตรียมเผยแพร่งานวิจัยเรื่อง “AI Governance and the Assessment of AI Governance of Organizations in Thailand” หรือ “ธรรมาภิบาล AI และการประเมินธรรมาภิบาลการใช้ AI ขององค์กรในประเทศไทย” ซึ่งมุ่งพัฒนาแนวทางและเครื่องมือประเมินธรรมาภิบาล AI ระดับองค์กรที่เหมาะสมกับบริบทขององค์กรไทย และเชื่อมโยงกับแนวทางสากล เช่น ISO/IEC 42001:2023 ซึ่งเป็นมาตรฐานด้านระบบการจัดการ AI หรือ AI Management System สำหรับการกำกับดูแล AI อย่างรับผิดชอบ

• การยกระดับ AI Governance ไม่ได้เป็นเพียงการเสริมความมั่นคงของระบบสารสนเทศเท่านั้น แต่ยังเป็นการสร้างความไว้วางใจต่อผู้มีส่วนได้ส่วนเสีย ทั้งผู้บริหาร ลูกค้า คู่ค้า หน่วยงานกำกับดูแล และสาธารณะ เพื่อให้องค์กรไทยสามารถใช้ AI ได้อย่างปลอดภัย มีธรรมาภิบาล และแข่งขันได้ในระดับสากล

• ผู้บริหาร ผู้นำองค์กร และผู้สนใจสามารถลงทะเบียนเพื่อรับข่าวสาร รายละเอียดการเข้าถึงบทความทางวิชาการ Executive Briefing ภาษาไทย และกิจกรรมเผยแพร่ผลงานวิจัยที่เกี่ยวข้องได้ที่ www.aigovernancecenter.org/register-ai-governance-report