หัวหน้าผู้บริหารโรงเรียนใช้ชื่อผู้ใช้และรหัสผ่านที่คาดเดาได้ ทำให้ข้อมูลสำคัญเสี่ยงต่อการโจมตี

หัวหน้าผู้อำนวยการโรงเรียนใช้ชื่อผู้ใช้และรหัสผ่านที่คาดเดาได้ง่ายที่สุดบนโน๊ตสติ๊กเกอร์ของแล็ปท็อป ทำให้ข้อมูลส่วนบุคคลของนักเรียนและเอกสารสำคัญของโรงเรียนเสี่ยงต่อการถูกโจมตี ข้อผิดพลาดด้านความปลอดภัยหลายประการที่พบในโรงเรียนเดียวกันนี้ชี้ให้เห็นว่าการจัดการไซเบอร์ยังไม่เป็นลำดับความสำคัญในสถาบันการศึกษาไทยหลายแห่ง

Overview

เควิน วอล์กเกอร์ ผู้เชี่ยวชาญด้านไอทีจากสหราชอาณาจักร ซึ่งเคยทำงานให้กับโรงเรียนระดับประถม ได้เล่าถึงเหตุการณ์ที่เขาพบระหว่างดำเนินการซ่อมแซมคอมพิวเตอร์ของหัวหน้าผู้อำนวยการ (headteacher)  โดยพบสติ๊กเกอร์ติดอยู่ด้านล่างของแล็ปท็อปที่มี Username: headteacher และ Password: headteacher แสดงให้เห็นว่าข้อมูลรับรองเข้าสู่ระบบไม่ได้รับการปกป้องอย่างใดเลย

วอล์กเกอร์ชี้ว่า แล็ปท็อปเครื่องนี้เป็น “จุดเข้า” สู่ฐานข้อมูลสำคัญของโรงเรียน ทั้งข้อมูลส่วนบุคคลของนักเรียน การสื่อสารภายใน รวมถึงไฟล์เอกสารต่าง ๆ หากผู้ไม่ประสงค์ดีเข้าถึงได้ จะทำให้ข้อมูลเหล่านั้นถูกเปิดเผยหรือแก้ไขโดยไม่มีการตรวจสอบ

ตามที่วอล์กเกอร์อธิบาย “หัวหน้าผู้อำนวยการไม่ได้เป็นแค่คนใช้โน๊ตบุ๊กเท่านั้น; มันคือประตูสู่ข้อมูลที่ละเอียดอ่อนที่สุดของโรงเรียน” คำพูดนี้สะท้อนถึงความสำคัญของการจัดการสิทธิ์เข้าถึงระบบอย่างเข้มงวดในสถานศึกษา

Security Lapses

นอกจากกรณีสติ๊กเกอร์ชื่อผู้ใช้และรหัสผ่านแล้ว วอล์กเกอร์ยังพบจุดอ่อนหลายประการที่บ่งชี้ถึงแนวปฏิบัติด้านความปลอดภัยที่ล้าสมัยของโรงเรียน ได้แก่

• Passwords.xlsx ไฟล์ Excel ที่เก็บข้อมูลล็อกอินต่าง ๆ ถูกวางไว้บนโฟลเดอร์แชร์ที่นักเรียนสามารถเข้าถึงได้
• บัญชีผู้ใช้ของบุคลากรที่ออกจากงานยังคงเปิดใช้งานอยู่โดยไม่มีการปิดหรือยกเลิก
• ฮาร์ดไดรฟ์สำรองข้อมูล (backup) เชื่อมต่อกับเซิร์ฟเวอร์ตลอดเวลา ทำให้แฮ็กเกอร์อาจลบข้อมูลสำรองได้
• รหัสผ่าน Wi‑Fi ถูกเขียนบนกระดานสีขาวที่จุดรับรองของห้องหน้าโรงเรียน
• ระบบวิกฤติสำคัญบางอย่างสามารถเข้าถึงได้เฉพาะจาก โน๊ตบุ๊กรุ่นเก่า ที่ไม่มีการอัปเดตระบบปฏิบัติการ

นอกจากนี้ยังพบเครื่องคอมพิวเตอร์ที่มีสติ๊กเกอร์ “Do Not Turn Off” ปิดกั้นไม่ให้ผู้ใช้ทำอะไรกับมัน, กล้อง CCTV ที่ยังรัน Windows XP หลังจากระบบนี้หยุดรับการสนับสนุนหลายปีแล้ว และห้องเซิร์ฟเวอร์ที่ถูกใช้งานเป็นคลังเก็บอุปกรณ์สำนักงานและของประดับคริสต์มาส

Potential Impact

เมื่อข้อมูลรับรองทั้งหมดถูกเปิดเผยหรือจัดเก็บในรูปแบบไม่ปลอดภัย ผู้โจมตีสามารถทำได้หลายอย่าง เช่น การดึงข้อมูลส่วนบุคคลของนักเรียน, ปรับเปลี่ยนผลการเรียน หรือใช้ระบบอีเมลเป็นช่องทางส่งสแปมหรือฟิชชิงต่อไปยังผู้ปกครองและเจ้าหน้าที่

กรณีเช่นนี้อาจทำให้โรงเรียนต้องเผชิญกับค่าเสียหายจากการจัดการเหตุการณ์ (incident response) ที่สูงขึ้น รวมถึงความเสี่ยงด้านกฎหมายตาม PDPA หากข้อมูลส่วนบุคคลถูกละเมิดโดยไม่มีมาตรการป้องกันที่เหมาะสม

ผลกระทบต่อชื่อเสียงของสถาบันก็ไม่อาจมองข้ามได้ ผู้ปกครองอาจสูญเสียความเชื่อมั่นและเลือกย้ายนักเรียนไปยังโรงเรียนที่มีระบบความปลอดภัยดีกว่า ส่งผลให้โรงเรียนต้องเผชิญกับแรงกดดันด้านการตลาดและการรับสมัคร

Expert Recommendations

วอล์กเกอร์เสนอแนวทางแก้ไขที่เป็นรูปธรรมเพื่อเพิ่มระดับความปลอดภัยในสถาบันการศึกษา ได้แก่

• ให้ พนักงานใช้ password manager เพื่อสร้างและเก็บรหัสผ่านที่ซับซ้อนอย่างปลอดภัย
• ปรับใช้ **multi‑factor authentication (MFA) ในทุกระบบสำคัญ เพื่อลดโอกาสการเข้าถึงโดยไม่ได้รับอนุญาต
• ตรวจสอบและลบ บัญชีผู้ใช้ที่ไม่ใช้งาน อย่างสม่ำเสมอ รวมถึงจัดการสิทธิ์ของพนักงานใหม่อย่างเป็นขั้นตอน
• ทำการทดสอบสำรองข้อมูล (backup testing) อย่างน้อยปีละหนึ่งครั้ง เพื่อยืนยันว่าไฟล์สำรองสามารถกู้คืนได้จริง

วอล์กเกอร์ยังเน้นว่าควร บล็อกรหัสผ่านที่เคยถูกเปิดเผย ในฐานข้อมูลความเสียหาย (breach database) และกำหนดมาตรการให้ระบบปฏิบัติการและซอฟต์แวร์ทั้งหมดอัปเดตเป็นเวอร์ชันล่าสุดอย่างต่อเนื่อง

Broader Context

เหตุการณ์นี้สะท้อนให้เห็นว่าหลายโรงเรียนในประเทศไทยยังมองข้ามความสำคัญของ cybersecurity เนื่องจากมีงบประมาณจำกัดและให้ความสนใจกับการจัดหาอุปกรณ์เทคโนโลยีใหม่ ๆ มากกว่า การให้ความรู้และฝึกอบรมบุคลากรด้านความปลอดภัยจึงเป็นสิ่งที่ขาดแคลน

ตัวอย่างคำพูดของผู้จัดการโรงเรียนว่า “เราไม่ต้องกังวลเรื่องไซเบอร์เซคิวริตี้ เราเป็นโรงเรียนประถมเท่านั้น” แสดงถึงอคติที่ยังแพร่หลาย การเปลี่ยนทัศนคตินี้จำเป็นต้องอาศัยความร่วมมือระหว่างหน่วยงานรัฐ, ผู้ให้บริการคลาวด์ และผู้เชี่ยวชาญด้าน IT เพื่อกำหนดมาตรฐานขั้นต่ำของการปกป้องข้อมูลในสถานศึกษา

Summary

กรณีหัวหน้าผู้อำนวยการโรงเรียนที่ใช้ชื่อผู้ใช้และรหัสผ่านเดียวกันแสดงถึงช่องโหว่พื้นฐานที่อาจทำให้ข้อมูลสำคัญถูกเปิดเผยได้อย่างง่ายดาย การปรับใช้ password manager, MFA และนโยบายจัดการบัญชีที่เป็นระบบจะช่วยลดความเสี่ยงเหล่านี้ได้อย่างมีประสิทธิภาพ.