หน่วยตำรวจออนแทรีโออย่างน้อยหกหน่วยได้ระงับการใช้โปรแกรม Crime Stoppers ชั่วคราว หนึ่งวันหลังจาก CBC News เปิดเผยขอบเขตของการรั่วไหลของข้อมูลครั้งใหญ่ การระงับดังกล่าวเน้นย้ำคำถามสำคัญที่ถูกหยิบยกขึ้นมาโดยการถกเถียงเรื่องการปกปิดตัวตนจากเหตุข้อมูลรั่วไหลของ Crime Stoppers: จะเกิดอะไรขึ้นเมื่อบริการที่สร้างขึ้นบนคำสัญญาเรื่องความเป็นส่วนตัวกลับถูก compromise เสียเอง?
รายละเอียดด้านล่างจำกัดอยู่เพียงสิ่งที่ได้รับการรายงานจนถึงขณะนี้ สถานการณ์ยังคงพัฒนาอยู่ ผู้อ่านควรติดตามการอัปเดตจากหน่วยตำรวจและตัวโปรแกรมเอง
ทำไมตำรวจออนแทรีโอจึงระงับ Crime Stoppers
ตามรายงานของ CBC News หน่วยตำรวจอย่างน้อยหกหน่วยในออนแทรีโอได้หยุดใช้ Crime Stoppers แล้ว การระงับดังกล่าวเกิดขึ้นหนึ่งวันหลังจากสถานีออกอากาศเผยแพร่การสอบสวนของตนเกี่ยวกับขนาดของการรั่วไหลของข้อมูลที่เชื่อมโยงกับโปรแกรม รายงานที่นำหน้าซึ่งปรากฏในผลการค้นหาสำหรับเรื่องนี้ระบุว่าข้อมูลเบาะแส (tips) มากกว่าหนึ่งล้านรายการที่ส่งไปยัง Crime Stoppers ในแคนาดาตลอด 25 ปีที่ผ่านมาถูกเปิดเผย
การระงับเป็นการดำเนินการเชิงป้องกัน ไม่ได้บอกเราโดยตัวมันเองว่าการรั่วไหลเกิดขึ้นได้อย่างไร ใครมีข้อมูล หรือแต่ละบันทึกมีเนื้อหาอะไรบ้าง หน่วยตำรวจที่ระงับช่องทางรับเบาะแสมักส่งสัญญาณว่าพวกเขาไม่สามารถรับประกันความปลอดภัยของผู้ใช้งานได้ในขณะนี้
สำหรับโปรแกรมที่พึ่งพาความไว้วางใจของสาธารณชน สัญญาณนี้มีความสำคัญ ผู้ที่โทรหรือส่งเบาะแสออนไลน์มักรายงานเพื่อนบ้าน คนรู้จัก หรือบุคคลที่พวกเขากลัว หากพวกเขาเชื่อว่าตัวตนของตนอาจถูกเปิดเผย หลายคนก็จะเลือกเงียบแทน
สายด่วนรับเบาะแสแบบไม่ระบุตัวตนจะเลิกไม่ระบุตัวตนได้อย่างไร
การไม่ระบุตัวตนเป็นคำสัญญาที่ให้ไว้ที่ประตูหน้า แต่ข้อมูลมักอยู่ที่อื่น โปรแกรมรับเบาะแสหลายแห่งพึ่งพาแพลตฟอร์มของบุคคลที่สามในการรับ จัดเก็บ และส่งต่อข้อมูลไปยังตำรวจ ซึ่งหมายความว่าความเป็นส่วนตัวของผู้ให้เบาะแสขึ้นอยู่กับความปลอดภัยของผู้ให้บริการ ไม่ใช่เพียงหน่วยตำรวจที่โฆษณาสายด่วนเท่านั้น
หลายสิ่งสามารถบั่นทอนการไม่ระบุตัวตนได้แม้บุคคลนั้นจะไม่เคยพิมพ์ชื่อของตนเลย:
- รายละเอียดในข้อความอิสระ เบาะแสที่อธิบายเหตุการณ์ เวลา หรือความสัมพันธ์เฉพาะเจาะจงสามารถชี้ไปที่บุคคลเดียวที่อาจรู้เรื่องนั้นได้
- ข้อมูลเมตาทางเทคนิค ขึ้นอยู่กับแพลตฟอร์ม การส่งข้อมูลอาจเชื่อมโยงกับรายละเอียดเช่นที่อยู่ IP หรือข้อมูลอุปกรณ์ ซึ่งจะเกิดขึ้นหรือไม่นั้นแตกต่างกันไปตามบริการและการกำหนดค่า
- การเก็บรักษาระยะยาว ข้อมูลที่เก็บไว้เป็นเวลาหลายปีสร้างหน้าต่างที่ใหญ่ขึ้นสำหรับการเปิดเผย ข้อมูลรั่วไหลที่ CBC อธิบายนั้นครอบคลุมเบาะแส 25 ปี
- ช่องทางการติดตามผล หากผู้ให้เบาะแสให้ที่อยู่อีเมลหรือหมายเลขโทรศัพท์เพื่อรับการอัปเดตหรือรางวัล รายละเอียดการติดต่อนั้นก็กลายเป็นข้อมูลระบุตัวตนอีกชิ้นหนึ่ง
การละเมิดข้อมูลเปลี่ยนทั้งหมดนี้ให้กลายเป็นแหล่งข้อมูลที่ค้นหาได้เพียงแหล่งเดียว แม้จะไม่เคยเก็บชื่อเลยก็ตาม รูปแบบในเนื้อหาสามารถทำให้ผู้อื่นสามารถหาว่าใครพูดอะไรได้
นี่เป็นรูปแบบที่คุ้นเคยในการ compromise ของบุคคลที่สามขนาดใหญ่ ซึ่งผู้โจมตีมุ่งเป้าไปที่บริการที่ใช้ร่วมกันแทนที่จะเป็นลูกค้าแต่ละราย การรายงานของเราเกี่ยวกับการสารภาพผิดในคดีแฮ็กคลาวด์ที่กระทบ 165 องค์กรแสดงให้เห็นว่าจุดเข้าถึงเพียงจุดเดียวสามารถส่งผลกระทบเป็นวงกว้างต่อหลายองค์กรพร้อมกันได้อย่างไร
บริการรับเบาะแสและการรายงานเก็บข้อมูลอะไรเกี่ยวกับคุณ
ไม่ใช่ทุกบริการที่เก็บข้อมูลเหมือนกัน และนโยบายก็ไม่เหมือนกันทุกประการ หน้าความเป็นส่วนตัวสาธารณะของโปรแกรมรับเบาะแสอาชญากรรมในประเทศอื่นๆ อธิบายถึงพันธสัญญาที่จะเคารพการเลือกของบุคคลในการไม่ระบุตัวตน และบางแห่งระบุว่าพวกเขาไม่ติดตามที่อยู่ IP หรือตำแหน่งที่ตั้ง นั่นเป็นถ้อยแถลงเชิงนโยบาย ควรค่าแก่การอ่าน แต่ไม่ใช่การรับประกันว่าจะไม่มีการละเมิดระบบพื้นฐาน
เมื่อคุณใช้บริการรับเบาะแสหรือรายงานใดๆ ให้พิจารณาสิ่งที่บริการนั้นอาจเก็บรวบรวม:
- เนื้อหาของข้อความของคุณ รวมถึงชื่อ สถานที่ และวันที่ใดๆ
- รายละเอียดการติดต่อ หากคุณเลือกที่จะรับการติดตามผลหรือรางวัล
- ข้อมูลทางเทคนิคที่สร้างขึ้นจากการเชื่อมต่อหรืออุปกรณ์ของคุณ
- ไฟล์แนบเช่นรูปภาพ ซึ่งอาจมีข้อมูลฝังอยู่
- บันทึกว่า การส่งข้อมูลเกิดขึ้นเมื่อใดและอย่างไร
รายงานของ CBC ชี้ให้เห็นว่าผู้ให้เบาะแสได้รับแจ้งว่าแพลตฟอร์มมีความไม่ระบุตัวตนและปลอดภัย บทเรียนไม่ใช่ว่าสายด่วนรับเบาะแสทุกสายไม่ปลอดภัย แต่ป้ายกำกับเพียงอย่างเดียวไม่สามารถบอกคุณได้ว่าข้อมูลถูกจัดการ จัดเก็บ หรือป้องกันอย่างไร
วิธีจำกัดการเปิดเผยของคุณเมื่อส่งเบาะแสออนไลน์
คุณไม่สามารถควบคุมความปลอดภัยของบริการได้ แต่คุณสามารถควบคุมสิ่งที่คุณส่งมอบได้
- อ่านนโยบายความเป็นส่วนตัวก่อน มองหาสิ่งที่เก็บรวบรวม เก็บไว้นานแค่ไหน และใครเป็นผู้ประมวลผล
- แบ่งปันเฉพาะสิ่งที่จำเป็น หลีกเลี่ยงรายละเอียดที่มีเพียงคุณเท่านั้นที่รู้ เว้นแต่จำเป็นต่อการรายงาน
- ข้ามข้อมูลการติดต่อที่เป็นทางเลือก หากคุณไม่ต้องการรางวัลหรือการโทรกลับ ให้เว้นช่องเหล่านั้นว่างไว้
- ลบข้อมูลเมตาของไฟล์แนบ รูปภาพและเอกสารอาจมีรายละเอียดตำแหน่งที่ตั้งหรืออุปกรณ์ ลบออกเมื่อทำได้
- พิจารณาช่องทาง หากโปรแกรมใดโปรแกรมหนึ่งถูกระงับ ให้ปฏิบัติตามคำแนะนำจากหน่วยตำรวจท้องถิ่นของคุณเกี่ยวกับวิธีรายงานทางเลือก
- ใช้เครื่องมือความเป็นส่วนตัวอย่างระมัดระวัง VPN สามารถซ่อนที่อยู่ IP ของคุณจากเว็บไซต์ที่คุณเข้าชม แต่ไม่สามารถปกป้องสิ่งที่คุณเขียนในเบาะแสหรือรักษาความปลอดภัยฐานข้อมูลของบริการได้
สิ่งนี้หมายความว่าอะไรสำหรับคุณ
หากคุณเคยส่งเบาะแสไปยัง Crime Stoppers ในอดีต เป็นเรื่องสมเหตุสมผลที่จะถามว่าคุณได้รวมอะไรไว้บ้างและสิ่งนั้นสามารถระบุตัวคุณได้หรือไม่ รายงานยังไม่ได้ระบุอย่างชัดเจนสำหรับผู้ให้เบาะแสรายบุคคลว่าอะไรถูกเปิดเผย ดังนั้นหลีกเลี่ยงการสันนิษฐานแย่ที่สุด แต่ก็หลีกเลี่ยงการสันนิษฐานว่าคุณปลอดภัยเช่นกัน ติดตามแถลงการณ์อย่างเป็นทางการจากหน่วยตำรวจท้องถิ่นและตัวโปรแกรม
หากคุณต้องการรายงานสิ่งที่เร่งด่วนหรืออันตรายตอนนี้ ให้ติดต่อบริการฉุกเฉินหรือปฏิบัติตามคำแนะนำของตำรวจท้องถิ่น โปรแกรมที่ถูกระงับไม่ควรหยุดคุณจากการขอความช่วยเหลือในกรณีฉุกเฉิน
ประเด็นสำคัญ
เรื่องราวการรั่วไหลของข้อมูล Crime Stoppers ที่เกี่ยวกับการไม่ระบุตัวตนเป็นเครื่องเตือนใจว่าคำสัญญาเรื่องความเป็นส่วนตัวแข็งแกร่งเพียงเท่ากับระบบที่รองรับเท่านั้น ก่อนที่คุณจะส่งข้อมูลไปยังบริการรับเบาะแสหรือรายงานใดๆ ให้ตรวจสอบว่าบริการนั้นเก็บข้อมูลระบุตัวตนอะไร เก็บไว้นานแค่ไหน และคุณสามารถเว้นช่องที่เป็นทางเลือกให้ว่างได้หรือไม่ แบ่งปันขั้นต่ำที่จำเป็น และถือว่าเนื้อหาข้อความของคุณอาจระบุตัวตนได้
สำหรับบริบทเกี่ยวกับการ compromise ข้อมูลของบุคคลที่สามขนาดใหญ่เกิดขึ้นได้อย่างไร โปรดอ่านรายงานของเราเกี่ยวกับคดีแฮ็กคลาวด์ที่กระทบ 165 องค์กร
