เมืองโคลัมบัสฟ้องผู้เชี่ยวชาญที่เปิดเผยขนาดการโจมตีไซเบอร์

• เมืองโคลัมบัส รัฐโอไฮโอ ได้ยื่นฟ้องผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ Connor Goodwolf ที่เปิดเผยประเภทและขนาดของข้อมูลที่รั่วไหลอย่างต่อเนื่อง และศาลก็รับคำขอ คำสั่งห้ามชั่วคราว ของเมือง
• เหตุการณ์เริ่มบานปลายหลังจากเมื่อวันที่ 18 กรกฎาคม ฝ่ายเทคโนโลยีของเมืองพบ สัญญาณความผิดปกติ ในระบบและตัดการเชื่อมต่ออินเทอร์เน็ต โดยกลุ่มแฮ็กเกอร์ Rhysida อ้างว่าครอบครองข้อมูล 6.5TB และเปิดเผยออกมา 45%
• เมื่อวันที่ 13 สิงหาคม นายกเทศมนตรี Andrew Ginther กล่าวว่า ข้อมูลที่ถูกขโมยอาจเสียหายหรือถูกเข้ารหัสจนใช้งานไม่ได้ แต่ Goodwolf โต้แย้งในวันเดียวกัน โดยแสดงตัวอย่าง ข้อมูลส่วนบุคคล ที่ยังเข้าถึงได้ให้ 10TV ดู
• เนื้อหาที่ถูกเปิดเผยในเวลาต่อมายังรวมถึงการที่สามารถดาวน์โหลด Columbus police crime matrix ซึ่งมีข้อมูลพยาน ผู้เสียหาย และผู้ต้องสงสัยจากรายงานตำรวจตลอด 10 ปีที่ผ่านมา รวมถึงรายงานตำรวจนอกเครื่องแบบ
• ตามคำสั่งศาล Goodwolf จะไม่สามารถเข้าถึง ดาวน์โหลด หรือเผยแพร่ข้อมูลที่ถูกขโมยของเมืองได้ และเมืองได้ยื่นเรียกค่าเสียหายอย่างน้อย 25,000 ดอลลาร์ พร้อมข้อกล่าวหา เช่น การละเมิดความเป็นส่วนตัว ความประมาท และการแปลงทรัพย์ทางแพ่ง

---

คดีฟ้องร้องต่อ Goodwolf และคำสั่งห้ามชั่วคราว

• ผู้พิพากษาใน Franklin County ได้อนุมัติคำสั่งห้ามชั่วคราวต่อผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ Connor Goodwolf ตามคำร้องของเมืองโคลัมบัส
• ในช่วงไม่กี่สัปดาห์ที่ผ่านมา Goodwolf ได้บอก 10TV และสื่ออื่น ๆ ถึงประเภทของข้อมูลที่ถูกโพสต์บนดาร์กเว็บ โดยชื่อที่ใช้ในการให้สัมภาษณ์ไม่ใช่ชื่อทางกฎหมายของเขา
• ตามคำสั่งดังกล่าว Goodwolf ต้องยุติการ เข้าถึง ดาวน์โหลด และเผยแพร่ ข้อมูลที่ถูกขโมยของเมือง
• เมืองเรียกร้องค่าเสียหายอย่างน้อย 25,000 ดอลลาร์ และยอดสุดท้ายจะถูกกำหนดในชั้นพิจารณาคดี
• ในคำฟ้อง เมืองอ้างว่าการกระทำของ Goodwolf ก่อให้เกิด “ความเสียหายที่ไม่อาจเยียวยาได้” และ “ความกังวลในวงกว้างทั่วภูมิภาค Central Ohio”
• ข้อเรียกร้องของเมืองมี 4 ข้อหา ได้แก่ ค่าเสียหายจากการกระทำอันเป็นอาชญากรรม การละเมิดความเป็นส่วนตัว ความประมาท และการแปลงทรัพย์ทางแพ่ง
• ตามบันทึกของ Franklin County Common Pleas Court การประชุมก่อนการพิจารณาคดีครั้งสุดท้ายมีกำหนดในวันที่ 18 กันยายน 2025
• 10TV ได้ขอความเห็นจาก Goodwolf แต่เขาปฏิเสธที่จะตอบ

ลำดับเหตุการณ์ข้อมูลรั่วไหลและข้อมูลที่เปิดเผยไม่ตรงกัน

• เมืองโคลัมบัสระบุว่า ปัญหานี้ถูกตรวจพบครั้งแรกเมื่อวันที่ 18 กรกฎาคม หลังฝ่ายเทคโนโลยีของเมืองพบ “หลักฐานของสัญญาณความผิดปกติ” ในระบบ
• หลังจากนั้น เมืองได้ตัดการเชื่อมต่ออินเทอร์เน็ต
• สองสัปดาห์ต่อมา กลุ่มแฮ็กเกอร์ Rhysida อ้างว่าอยู่เบื้องหลังการโจมตีและครอบครองข้อมูล 6.5TB ก่อนจะเผยแพร่ข้อมูลที่ขโมยมา 45% ในภายหลัง
• วันที่ 13 สิงหาคม นายกเทศมนตรี Andrew Ginther กล่าวว่า ข้อมูลที่แฮ็กเกอร์ขโมยไปอาจเสียหายหรือถูกเข้ารหัสจนใช้งานไม่ได้
• ในวันเดียวกัน Goodwolf บอก 10TV ว่าคำกล่าวนั้นไม่เป็นความจริง และแสดงให้เห็นประเภทของข้อมูลส่วนบุคคลที่ยังเข้าถึงได้
• หลังจากนั้น Goodwolf ยังคงรายงานต่อเนื่องเกี่ยวกับการที่ข้อมูลของเมืองถูกโพสต์บนดาร์กเว็บ และล่าสุดระบุว่าสามารถดาวน์โหลด Columbus police crime matrix ได้
  • ฐานข้อมูลดังกล่าวมีข้อมูลพยาน ผู้เสียหาย และผู้ต้องสงสัยจากรายงานตำรวจตลอด 10 ปีที่ผ่านมา
  • รวมถึงรายงานตำรวจนอกเครื่องแบบด้วย

เหตุผลด้านความปลอดภัยสาธารณะที่เมืองยกขึ้นมา

• City Attorney Zach Klein กล่าวว่า มาตรการครั้งนี้ไม่ได้มีเป้าหมายเพื่อกดสิทธิภายใต้การแก้ไขรัฐธรรมนูญครั้งที่ 1 (First Amendment) ของ Goodwolf
• Klein ระบุว่าปัญหาไม่ได้อยู่ที่การพูด แต่เป็นการเข้าไปในดาร์กเว็บเพื่อรวบรวมและดาวน์โหลดข้อมูล จากนั้นจึงเผยแพร่ต่อให้สื่อหรือบุคคลอื่น
• สำหรับเหตุผลที่ไม่ดำเนินการเร็วกว่านี้ เขาอธิบายว่าเป็นเพราะประเภทของข้อมูลได้ขยายไปถึงระดับที่คุกคามการสืบสวนคดีอาญา
• Klein กล่าวว่าข้อมูลที่ Goodwolf ดาวน์โหลดและแชร์เป็นภัยคุกคามต่อ ความปลอดภัยสาธารณะ และมาตรการนี้มีขึ้นเพื่อปกป้องเจ้าหน้าที่ตำรวจ ผู้เสียหาย และพยาน
• เมืองอ้างว่า Goodwolf ขู่ว่าจะเปิดเผยข้อมูลที่ถูกขโมยผ่านเว็บไซต์ที่เขาจะสร้างขึ้นเอง
• ก่อนหน้านี้ Goodwolf บอก 10TV ว่าเขามีแผนจะสร้างเว็บไซต์ แต่จะให้ผู้ใช้ตรวจสอบได้เพียงว่าชื่อของตนรวมอยู่ในข้อมูลรั่วไหลหรือไม่

[GN⁺]

ความคิดเห็นใน Hacker News

• ในฐานะอดีตผู้ทดสอบการเจาะระบบ ฉันเห็นใจ Goodwolf อยู่พอสมควร แต่การ เปิดเผยข้อมูลจริง แทบจะเป็นความคิดที่แย่เสมอ ซึ่งก็เป็นเหตุผลว่าทำไมโปรแกรม bug bounty ถึงมีการจำกัดขอบเขต
  ดูเหมือนว่าเมืองจะโกรธที่เขาแชร์ข้อมูลเกี่ยวกับการสืบสวนที่กำลังดำเนินอยู่และรายงานของตำรวจนอกเครื่องแบบ ซึ่งขึ้นอยู่กับว่าเขาแชร์อะไรไปอย่างแน่ชัด ก็อาจจะโทษเมืองได้ไม่ง่ายนัก ไม่ว่าข้อมูลนั้นจะอยู่ที่ไหนอยู่แล้ว การนำมันออกมาแล้วส่งต่อให้คนอื่นก็ชัดเจนว่าไม่ใช่เรื่องดี
  ถ้าจุดประสงค์คือพิสูจน์ให้นักข่าวเห็นว่ามีข้อมูลแบบนั้นอยู่และดาวน์โหลดได้ ก็มีหลายวิธีที่ไม่ต้องเข้าถึงข้อมูลจริง เช่น สกรีนช็อตโพสต์ในฟอรัม การส่งลิงก์ หรืออธิบายประเภทของข้อมูล ถ้าเขาทำแค่นั้นแล้วเมืองยังตอบสนองแบบนี้ นั่นก็เป็นการใช้อำนาจเกินขอบเขตอย่างชัดเจน แต่การสั่งไม่ให้เผยแพร่ข้อมูลการสืบสวนที่ยังดำเนินอยู่ให้นักข่าว ก็ไม่ใช่เรื่องแปลกในตัวมันเอง
  ฉันเข้าใจได้ เพราะก่อนเข้าวงการ ฉันเองก็เคยคิดว่านี่คือการแฮ็กแบบ white hat เป็นความผิดพลาดที่เกิดขึ้นได้ง่ายมาก การแจ้งให้รู้ว่ามีการรั่วไหลนั้นดี แต่ วิธีที่แจ้ง สำคัญมากจริงๆ
  อย่างไรก็ตาม ฉันมีประสบการณ์ทำงานแค่ราว 1 ปีในปี 2016 ตอนนี้อาจเปลี่ยนไปแล้วก็ได้ แต่ถึงทุกวันนี้ ถ้ามีผู้ทดสอบการเจาะระบบคนไหนบอกว่ายอมรับการแจกจ่ายข้อมูลที่รั่วไหลจริงๆ ไม่ว่าประเภทใด ฉันก็คงแปลกใจมาก
  เมืองบอกว่า Goodwolf ถึงขั้นขู่ว่าจะทำเว็บไซต์เพื่อเผยแพร่ข้อมูลที่ถูกขโมยของเมือง แต่ Goodwolf เคยบอกกับ 10TV ว่าเขาวางแผนจะสร้างเว็บที่ให้ตรวจได้เพียงว่าชื่อของตนเองอยู่ในข้อมูลรั่วไหลหรือไม่ ซึ่งต่างจากเว็บไซต์ตรวจสอบรหัสผ่านรั่ว เพราะใครก็ตามสามารถกรอกชื่อคนอื่นเพื่อตรวจได้ว่าคนนั้นเป็นพยานในการสืบสวนอาญาหรือไม่

  • ยังไม่ค่อยชัดเจนว่าเขาแชร์อะไรและอย่างไรแน่ บทความกับข่าวการรั่วไหลที่เชื่อมกันดูเหมือนจะบอกว่า Goodwolf ดาวน์โหลดข้อมูลมาเพื่อตรวจสอบเนื้อหาและแสดงให้นักข่าวดู แต่ไม่ได้เผยแพร่ข้อมูลจริงหรือแจกจ่ายให้นักข่าวถือครองถาวร
    มันคล้ายกับกรณีที่ Boeing บอกว่า “เราไม่รู้เรื่องปัญหา 737 MAX” แล้วมีพนักงานพูดว่า “รู้อยู่แล้วนี่ครับ นี่คือความจริง” พร้อมโชว์สกรีนช็อตบันทึกลับให้สื่อดู
    ฉันเห็นด้วยว่าการสร้างเว็บไซต์ให้ค้นหาชื่อเพื่อตรวจว่าเกี่ยวข้องกับการสืบสวนของตำรวจหรือไม่เป็นความคิดที่แย่ แต่เขายังไม่ได้ทำจริง แค่มีแผนเท่านั้น
  • จากบทความที่ฉันอ่าน Goodwolf ไม่ได้เผยแพร่ข้อมูล พวกแฮ็กเกอร์ต่างหากที่เผยแพร่ เมืองต่างหากที่โกหก และ Goodwolf แค่นำข้อมูลที่เข้าถึงได้สาธารณะมาพิสูจน์กับนักข่าวว่าเมืองโกหก
    ถ้าบทความนั้นไม่ได้บิดเบือนสถานการณ์อย่างร้ายแรง นี่ก็ดูไม่ต่างจากการละเมิดเสรีภาพพลเมืองครั้งใหญ่ที่เมืองพยายามทำให้ Goodwolf เป็น แพะรับบาป ความเสียหายที่พวกเขาพูดถึงทั้งหมดเกิดจากความประมาทของพวกเขาเอง
  • นี่ไม่ใช่การ “เปิดเผย” ข้อมูลเลย เพราะมันถูกเปิดเผยอยู่แล้ว ดาร์กเว็บ ไม่ใช่ที่พิเศษที่ต้องมีคำเชิญลับเพื่อเชื่อมต่อ แต่เป็นแค่เว็บไซต์ธรรมดาที่ใครก็เข้าถึงได้ถ้ารู้ว่าต้องดูที่ไหน ต่อให้ใช้ TOR ก็เหมือนเดิม
  • โทษเมืองได้ไม่ยากเลย คนมีอำนาจตัดสินใจแบบนี้กำลังใช้ความรุนแรงเพื่อบั่นทอนความตั้งใจของคนที่พยายามช่วยเรื่องปัญหาไซเบอร์ซีเคียวริตี้ที่เลวร้ายมาก และปัญหาแบบนี้มีอยู่ทุกหนทุกแห่ง
    ถ้าเป็นสังคมที่ดีต่อสุขภาพ คนที่ตัดสินใจฟ้องคดีนี้คงถูกจับไปบูชายัญให้ภูเขาไฟไปแล้ว แน่นอนว่าในเชิงเปรียบเทียบ
  • นี่คือข้อมูลที่อาชญากรเอาออกมาเผยแพร่ต่อสาธารณะอยู่แล้ว

• คำพูดของ Klein ที่ว่า “นี่ไม่ใช่เรื่องของการแสดงออก ไม่ใช่เลย มันเป็นเรื่องของการกระทำจริงที่เข้าไปทางคีย์บอร์ด เข้าดาร์กเว็บ รวบรวมข้อมูล ดาวน์โหลดลงคอมพิวเตอร์ แล้วแจกจ่ายต่อให้สื่อหรือคนอื่น” นั้นผิด
  นี่คือเรื่องของการที่พวกเขา โกหกประชาชน เกี่ยวกับลักษณะและรูปแบบของข้อมูลที่ตัวเองปกป้องไม่ได้

  • ตลกดีที่นักการเมืองชอบพูดถึง ดาร์กเว็บ เหมือนเป็นปีศาจที่ซุ่มล่าเด็กในยามค่ำคืน ทั้งที่จริงๆ แล้วมันก็แค่กลุ่มของเว็บไซต์เท่านั้น

• นี่มันไร้สาระ นักวิจัยแค่ชี้ให้เห็นว่าระบบความปลอดภัยของเมือง Columbus, Ohio แย่ขนาดไหน
  เมื่อวันที่ 13 สิงหาคม นายกเทศมนตรี Andrew Ginther พูดว่าข้อมูลที่แฮ็กเกอร์ขโมยไปนั้นเสียหายหรือถูกเข้ารหัสจนคงใช้การไม่ได้ ไม่กี่ชั่วโมงต่อมา Goodwolf ก็บอกกับ 10TV ว่านั่นไม่จริง พร้อมแสดงประเภทของข้อมูลส่วนบุคคลที่เขาเข้าถึงได้
  ผู้นำเมืองทั้งชุดควรถูกยื่น ถอดถอนผ่านการลงคะแนน พวกเขาทำให้ตัวเองอับอายเพราะไม่มีความปลอดภัย โกหกประชาชนแบบ “มันถูกเข้ารหัสแล้ว bro! เชื่อฉันสิ ฉันเป็นนักการเมือง!” แล้วพอโดนจับได้อย่างสมควร ก็ยังเอาเงินภาษีมาราดน้ำมันเข้ากองไฟด้วยคดีโง่ๆ แบบนี้อีก

  • เห็นด้วย ถ้าในเมืองใหญ่ขนาดนี้ไม่มีใครที่สามารถเล่าอีกมุมหนึ่งได้ ก็ดูเหมือนว่ารัฐบาลท้องถิ่นส่วนใหญ่มักทำงานกันแบบนี้ ทุกคนอยู่บนสมมติฐานว่า “อย่างน้อยก็พยายามดีที่สุดเท่าที่รู้แล้ว” และเหมือนคำพูดนั้นจะช่วยล้างความรับผิดได้
    ฉันเห็นเรื่องประหลาดมาหลายปี และการปลดความรับผิดเพียงเพราะคำอธิบายของผู้เกี่ยวข้องว่าเรื่องความปลอดภัยทำงานอย่างไร อย่างดีที่สุดก็เรียกว่าจงใจไม่รับรู้ ถ้าจะให้รัฐบาลท้องถิ่นถือครองข้อมูลส่วนบุคคล พวกเขาก็ต้องรับผิดชอบต่อข้อมูลนั้น ในปี 2024 คำว่า “ไม่รู้” รับไม่ได้ และจริงๆ แล้วอย่างน้อย 10 ปีก่อนก็ไม่ควรรับได้แล้ว

• เมืองที่กำลังแตกตื่นกำลังฟ้องคนที่น่ารำคาญซึ่งทำให้ทุกคนรู้ว่าพวกเขาพูดจาเหลวไหลแค่ไหน
  การฟ้อง นักวิจัยด้านความปลอดภัย ที่ตรวจสอบเนื้อหาของข้อมูลที่เปิดเผยแล้ว ไม่ได้ปกป้องใครเลย

  • ทำให้นึกถึงตอนหนึ่งของ Dark Net Diaries นักวิจัยถูกว่าจ้างโดยรัฐบาลของรัฐแห่งหนึ่งให้ทำการทดสอบการเจาะระบบทางกายภาพที่อาคารศาลอันห่างไกล แล้วก็ถูกจับ ผู้ทดสอบการเจาะระบบให้ความร่วมมือกับเจ้าหน้าที่รักษาความปลอดภัยและตำรวจท้องที่พร้อมอธิบายสถานการณ์
    แต่แล้วมีคนอีกคนที่อ้างอำนาจเหนือพื้นที่มาถึง ก่อเรื่องวุ่นวาย โทรศัพท์หาที่ไหนสักแห่ง แล้วสั่งจับผู้ทดสอบการเจาะระบบในข้อหา บุกรุก ณ ที่เกิดเหตุ
    รัฐปล่อยพวกเขาไว้ในเรือนจำประจำมณฑลแห่งหนึ่ง และสุดท้ายหลังจากที่รัฐเสียหน้า ก็เหมือนพยายามผลักดันทั้งคดีแพ่งเรียกค่าเสียหายและคดีอาญาต่อบริษัทกับผู้ทดสอบการเจาะระบบ
    ท้ายที่สุดข้อหาถูกยกเลิก แต่ชื่อเสียงของผู้ทดสอบการเจาะระบบก็เสียหายไปพักใหญ่

• นี่เป็นคดีที่เหมาะมากที่ EFF หรือ ACLU ควรเข้ามาช่วยป้องกัน เพื่อต่อสู้กับ คำสั่งห้ามเข้าใกล้ ที่โง่และถูกใช้เป็นอาวุธแบบนี้

• สรุปฝั่งนี้ดูดีกว่า
  https://arstechnica.com/security/2024/08/city-of-columbus-su...

• กลุ่มแฮ็กเกอร์: ไม่โดนฟ้อง
  เว็บไซต์สาธารณะที่โฮสต์ข้อมูลที่ถูกแฮ็ก: ไม่โดนฟ้อง
  เจ้าหน้าที่รัฐที่โกหก: ไม่โดนฟ้อง
  คนธรรมดาที่ชี้ครบทั้งสามอย่าง: โดนฟ้อง

• https://archive.is/dEBJT
  ใน EU ถูกบล็อก

• ฉันอยู่ Columbus มาหลายปี เรื่องนี้เป็นอะไรที่น่าจะเกิดขึ้นมากๆ สถานะความเป็น เมืองของเดโมแครตในรัฐที่รีพับลิกันครองเสียงข้างมาก ทำให้รัฐบาลมีแนวโน้มจะหน้าด้านเรื่องปกป้องตัวเองพอสมควร

• ถ้าคำพูดที่ว่า “นี่ไม่ใช่เรื่องของการแสดงออก แต่มันเป็นเรื่องของการเข้าไปในดาร์กเว็บ รวบรวมข้อมูล ดาวน์โหลดลงคอมพิวเตอร์ แล้วแจกจ่ายให้สื่อหรือคนอื่น” เป็นจริง งั้นถ้าไม่มีอะไรตกหล่นจากบทความ ฟีเจอร์ของ Chrome หรือ Firefox ที่แจ้งเตือนว่ารหัสผ่านของคุณอาจรั่วก็จะกลายเป็นเรื่องผิดกฎหมายด้วย
  ความจริงก็คือ เมืองนี้เป็นฝ่ายผิด