Security Bite พอดแคสท์เปิดเผยการทำงานของ data brokers ที่ขโมยข้อมูลส่วนบุคคล

การบรรยายของพอดคาสท์ Security Bite เมื่อวันศุกร์ที่ผ่านมาได้เปิดโปงบทบาทของ data brokers ที่กำลังสร้างโปรไฟล์รายละเอียดของผู้ใช้บนอินเทอร์เน็ตอย่างลับ ๆ พร้อมกับอธิบายว่าการพัฒนาปัญญาประดิษฐ์ (AI) ทำให้ภัยคุกคามนี้ทวีความรุนแรงขึ้น ผู้ร่วมสนทนา Miguel Fornés จาก Incogni ได้ชี้ให้เห็นแหล่งที่มาของข้อมูลผู้บริโภคและองค์กรต่าง ๆ ที่กำลังซื้อข้อมูลเหล่านั้น การเปิดเผยดังกล่าวมีนัยสำคัญต่อการตั้งข้อสังเกตเกี่ยวกับความเป็นส่วนตัวในยุคดิจิทัล

Overview

พอดคาสท์ Security Bite ซึ่งได้รับการสนับสนุนโดย Mosyle แพลตฟอร์มจัดการอุปกรณ์ Apple ระดับองค์กร ได้เน้นย้ำถึงปัญหาที่ซ่อนอยู่เบื้องหลังตลาดข้อมูลส่วนบุคคล Mosyle ทำหน้าที่เป็นผู้ให้บริการ Unified Platform สำหรับอุปกรณ์ Apple มากกว่า 45,000 องค์กร แต่ในตอนนี้โฟกัสของรายการเปลี่ยนไปสู่การสำรวจวิธีที่ data brokers สะสมและจำหน่ายข้อมูลส่วนตัวผ่านเครือข่ายดิจิทัลตามปัจจุบัน

Miguel Fornés จาก Incogni ซึ่งเป็นบริษัทให้บริการลบข้อมูลส่วนบุคคลจากฐานข้อมูลของ data brokers ได้อธิบายว่าข้อมูลที่ถูกรวบรวมมักมาจากแหล่งต่าง ๆ เช่น การทำธุรกรรมออนไลน์, แอปพลิเคชันมือถือ, โซเชียลมีเดีย รวมถึงการติดตามพฤติกรรมการท่องเว็บโดยไม่มีความยินยอมอย่างเป็นทางการ

การสนทนานี้ทำให้ผู้ฟังเห็นภาพรวมของอุตสาหกรรมที่ทำกำไรจากข้อมูลส่วนบุคคล ซึ่งมูลค่าตลาดของ data brokerage ถูกประเมินเป็นหลายพันล้านดอลลาร์ต่อปี แม้ว่าจะไม่มีตัวเลขเฉพาะในแหล่งข่าว แต่แนวโน้มการเติบโตอย่างต่อเนื่องนั้นสอดคล้องกับความต้องการข้อมูลเชิงลึกจากธุรกิจต่าง ๆ

How Data Brokers Operate

Data brokers ทำหน้าที่เป็นกลางระหว่างผู้ให้ข้อมูลและผู้ซื้อข้อมูล พวกเขาจัดเก็บข้อมูลที่มาจากแหล่งเปิด (public) และแหล่งปิด (private) เช่น รายชื่อการสมัครรับข่าวสาร, บันทึกการคุ้มครองสุขภาพ หรือข้อมูลจากบัตรเครดิต ข้อมูลเหล่านี้ถูกทำให้เป็น profile ที่ละเอียดเพื่อให้ผู้ซื้อสามารถใช้ประโยชน์ได้อย่างแม่นยำ

กระบวนการเก็บรวบรวมมักเกิดขึ้นโดยอัตโนมัติผ่านคุกกี้, พิกเซลติดตาม และ API ของบริการต่าง ๆ ซึ่งส่วนใหญ่ทำงานโดยไม่ได้แจ้งให้ผู้ใช้ทราบ ตัวอย่างเช่น เว็บไซต์ข่าวออนไลน์อาจส่งข้อมูลพฤติกรรมการอ่านบทความต่อผู้จัดจำหน่ายข้อมูล

หลังจากข้อมูลถูกเก็บรวมแล้ว data brokers จะทำการ normalize (ปรับรูปแบบ) และ enrich (เสริมเติม) ข้อมูลโดยเพิ่มแหล่งข้อมูลภายนอก เช่น ประวัติการเดินทางหรือประวัติการซื้อสินค้า เพื่อสร้างโปรไฟล์ที่มีความครอบคลุมสูงสุด

ผู้ซื้อข้อมูลมักเป็นบริษัทโฆษณา, สถาบันการเงิน, บริษัทเทคโนโลยี และองค์กรรัฐที่ต้องการใช้ข้อมูลเพื่อทำ targeted marketing, ประเมินความเสี่ยงเครดิต หรือวิเคราะห์พฤติกรรมสังคม

AI Amplification of Privacy Risks

เมื่อ AI เข้ามามีบทบาทในการประมวลผลและวิเคราะห์ข้อมูล, ความสามารถในการรวมข้อมูลจากหลายแหล่งจะเพิ่มขึ้นอย่างมาก การใช้โมเดล large language models (LLM) สามารถดึงข้อมูลส่วนบุคคลจากฐานข้อมูลที่กระจัดกระจาย แล้วสร้างข้อความหรือสรุปที่มีความแม่นยำสูง

การเรียนรู้ของ AI โดยอาศัยข้อมูลจำนวนมหาศาลทำให้ data brokers มีแรงจูงใจในการเก็บข้อมูลให้มากที่สุดเพื่อเพิ่มคุณภาพของโมเดล ข้อมูลที่เคยถือว่า “ไม่สำคัญ” เช่น พิกัด GPS ระยะสั้นหรือประวัติการเข้าชมเว็บไซต์เล็ก ๆ ก็อาจถูกนำมาใช้ในเชิงพาณิชย์

AI ยังช่วยให้ผู้ซื้อข้อมูลสามารถทำ profiling แบบเรียลไทม์ได้ ซึ่งเพิ่มความเสี่ยงต่อการละเมิดความเป็นส่วนตัว เนื่องจากข้อมูลที่ได้อาจถูกรวบรวมโดยไม่ได้รับความยินยอมอย่างชัดเจนและถูกใช้เพื่อกำหนดพฤติกรรมผู้บริโภคในระดับลึก

Miguel Fornés ย้ำว่าการเพิ่มประสิทธิภาพของ AI ทำให้ data brokers มีศักยภาพในการ “ทำลายอินเทอร์เน็ต” โดยการสร้างเครือข่ายข้อมูลที่เชื่อมต่อกันอย่างซับซ้อน ซึ่งอาจนำไปสู่สถานการณ์ที่ผู้ใช้ไม่สามารถควบคุมหรือรู้ถึงข้อมูลส่วนบุคคลของตนได้

Legal and Regulatory Landscape

ในหลายประเทศ, กฎหมายคุ้มครองข้อมูลส่วนบุคคล เช่น GDPR ของยุโรป หรือ CCPA ของรัฐแคลิฟอร์เนีย มีการกำหนดให้ผู้ควบคุมข้อมูลต้องได้รับความยินยอมจากเจ้าของข้อมูลก่อนการเก็บและขาย อย่างไรก็ตาม, data brokers มักจัดตัวเองเป็น “ผู้ประมวลผล” แทนที่จะเป็น “ผู้ควบคุม” ทำให้หลีกเลี่ยงข้อกำหนดบางประการได้

ในประเทศไทย, พระราชบัญญัติ PDPA (Personal Data Protection Act) มีการบังคับใช้ตั้งแต่ปี 2022 ซึ่งกำหนดว่าผู้รวบรวมข้อมูลต้องแจ้งวัตถุประสงค์และให้สิทธิ์ผู้ใช้งานในการเข้าถึงหรือแก้ไขข้อมูลของตน อย่างไรก็ตาม, การบังคับใช้ต่อ data brokers ที่ทำงานข้ามพรมแดนยังคงเป็นเรื่องท้าทาย

หลายองค์กรระดับโลกกำลังผลักดันมาตรการเพิ่มเติม เช่น การแถลง privacy impact assessments (PIA) และการให้ผู้บริโภคเข้าถึง “data subject rights” อย่างเต็มรูปแบบ ซึ่งรวมถึงสิทธิ์ในการขอให้ลบข้อมูลออกจากฐานของ data brokers

Industry Response & Mitigation

Incogni นำเสนอบริการที่ช่วยให้บุคคลสามารถ request deletion ของข้อมูลส่วนบุคคลจาก data brokers ได้โดยอัตโนมัติ ผ่านกระบวนการสื่อสารกับผู้จัดจำหน่ายข้อมูลหลายพันราย การดำเนินการนี้ได้รับความสนใจจากผู้ใช้ที่ต้องการควบคุมข้อมูลของตนเอง

ในด้านเทคโนโลยี, ผู้ให้บริการ MDM อย่าง Mosyle เริ่มรวมฟีเจอร์เพื่อเพิ่มความปลอดภัยให้กับอุปกรณ์ Apple เช่น การตรวจจับและบล็อกแอปพลิเคชันที่พยายามส่งข้อมูลส่วนบุคคลไปยังเซิร์ฟเวอร์ของ data brokers โดยอัตโนมัติ

นอกจากนี้, บริษัทเทคโนโลยีหลายแห่งกำลังลงทุนในโซลูชั่น Zero Trust และ AI‑driven privacy tools เพื่อตรวจสอบการไหลของข้อมูลและป้องกันการรั่วไหลโดยไม่ได้รับอนุญาต ทั้งนี้ การเพิ่มความตระหนักให้ผู้บริโภคเข้าใจถึงสิทธิของตนเองยังเป็นส่วนสำคัญของแนวทางแก้ไข

Summary

พอดคาสท์ Security Bite เผยว่า data brokers กำลังสร้างโปรไฟล์ละเอียดของผู้ใช้โดยอาศัยข้อมูลจากหลายแหล่ง และ AI ทำให้ความเสี่ยงต่อความเป็นส่วนตัวเพิ่มขึ้นอย่างมาก การกำกับดูแลทางกฎหมายและการตอบสนองของอุตสาหกรรมเช่นบริการลบข้อมูลของ Incogni จึงกลายเป็นหัวใจสำคัญในการรักษาความปลอดภัยของข้อมูลในยุคดิจิทัล.