นิติวิทยาศาสตร์ดิจิทัล

01นิติวิทยาศาสตร์ดิจิทัลคืออะไร What is digital forensics

บ่ายวันอังคาร ฝ่ายบัญชีของบริษัทเล็ก ๆ แห่งหนึ่งโอนเงินก้อนใหญ่ให้คู่ค้าตามอีเมลที่ส่งมาจากบัญชีของ “คุณเอ” ผู้จัดการฝ่ายจัดซื้อ สองวันต่อมา คู่ค้าโทรมาทวงเงิน คุณเอยืนยันเสียงแข็งว่าไม่เคยส่งอีเมลฉบับนั้น แล้วความจริงคืออะไร

คำถามแบบนี้แหละคืองานของ นิติวิทยาศาสตร์ดิจิทัล (Digital Forensics) ศาสตร์ของการเก็บ ตรวจ และวิเคราะห์ร่องรอยในคอมพิวเตอร์ มือถือ เซิร์ฟเวอร์ และบริการออนไลน์ เพื่อตอบให้ได้ว่าเกิดอะไรขึ้น เมื่อไร อย่างไร และใครเกี่ยวข้อง โดยคำตอบนั้นต้องพิสูจน์ซ้ำได้ ไม่ใช่แค่ความรู้สึก

ถ้าเคยดูซีรีส์สืบสวน นึกถึงเจ้าหน้าที่ที่ใส่ถุงมือเก็บรอยนิ้วมือและเส้นผมในที่เกิดเหตุ นิติดิจิทัลก็ทำแบบเดียวกัน เพียงแต่ “ที่เกิดเหตุ” คือฮาร์ดดิสก์ แรม ล็อกของระบบ หรือแชตในมือถือ และ “รอยนิ้วมือ” คือเวลาที่ไฟล์ถูกแก้ ประวัติการล็อกอิน หรือข้อมูลแฝงที่ติดมากับรูปถ่าย

หลักคิดที่นักนิติวิทยาศาสตร์ทุกสายท่องกันมาคือ ทุกการสัมผัสทิ้งร่องรอย โลกดิจิทัลยิ่งชัดกว่า เพราะระบบส่วนใหญ่ถูกออกแบบมาให้จดบันทึกอยู่แล้ว ทั้งเพื่อแก้ปัญหา เพื่อความปลอดภัย และเพื่อทำบัญชี ร่องรอยจึงมีมาก ปัญหาอยู่ที่ว่าเราเก็บมันมาได้ครบ ถูกวิธี และอ่านมันออกหรือเปล่า

งานนี้ไม่ได้มีแค่ในคดีอาญา บริษัทใช้สอบสวนการทุจริตภายใน ข้อมูลลูกค้ารั่ว หรือพนักงานแอบนำความลับออกไป ทีมรับมือเหตุใช้หาว่าแฮกเกอร์เข้ามาทางไหน และในคดีแพ่งก็ใช้พิสูจน์ว่าใครส่งข้อความอะไรถึงใคร

ศัพท์น่ารู้: พยานหลักฐานดิจิทัล (Digital Evidence)

ข้อมูลใดก็ตามที่เก็บหรือส่งในรูปดิจิทัล แล้วใช้พิสูจน์ข้อเท็จจริงได้ ตั้งแต่ไฟล์ อีเมล แชต รูปถ่าย ล็อกของเซิร์ฟเวอร์ ไปจนถึงบันทึกการโอนเงิน จุดอ่อนของมันคือ เปลี่ยนง่ายและหายง่ายกว่าหลักฐานทางกายภาพมาก จึงต้องมีวิธีเก็บที่พิเศษ

02ต่างจากการรับมือเหตุอย่างไร Forensics vs incident response

คนที่อ่านบท การรับมือเหตุการณ์ (Incident Response) มาแล้ว อาจสงสัยว่าสองเรื่องนี้ต่างกันตรงไหน เพราะต่างก็ทำงานหลังเกิดเหตุเหมือนกัน คำตอบที่ง่ายที่สุดคือ ให้นึกถึงไฟไหม้บ้าน

นักดับเพลิงมาถึงก่อน หน้าที่ของเขาคือดับไฟให้เร็วที่สุด ช่วยคน และกันไม่ให้ลามไปบ้านข้าง ๆ นั่นคือ ทีมรับมือเหตุ ส่วนเจ้าหน้าที่พิสูจน์หลักฐานมาตามหลัง เดินดูเขม่าบนผนัง หาจุดที่ไฟเริ่ม แล้วตอบให้ได้ว่าเกิดจากไฟฟ้าลัดวงจรหรือมีคนจุด นั่นคือ นิติดิจิทัล

ในโลกจริง สองทีมนี้มักเป็นคนกลุ่มเดียวกัน วงการเลยเรียกรวมกันว่า DFIR (Digital Forensics and Incident Response) ความตึงเครียดระหว่าง “รีบกู้” กับ “รอเก็บ” เกิดขึ้นทุกครั้ง และการตัดสินใจที่ดีก็คือ เก็บสิ่งที่จะหายไปตลอดกาลให้ได้ก่อน แล้วจึงลงมือล้าง

อีกความต่างที่สำคัญคือ ปลายทาง รายงานของทีมรับมือเหตุมีไว้ให้องค์กรเรียนรู้ ส่วนรายงานนิติดิจิทัลอาจถูกยื่นต่อศาล ถูกทนายฝ่ายตรงข้ามซักค้านทีละบรรทัด ทุกอย่างที่ทำจึงต้องอธิบายได้ว่าทำไปทำไม ทำอย่างไร และคนอื่นทำซ้ำแล้วได้ผลเดิมหรือไม่

ศัพท์น่ารู้: DFIR

ย่อมาจาก Digital Forensics and Incident Response คือการรวมงานสืบสวนหลักฐานดิจิทัลเข้ากับงานรับมือเหตุไว้ในทีมเดียว เพราะในเหตุจริง ทั้งสองงานต้องเดินไปพร้อมกัน

03กระบวนการหกขั้น The investigation process

ตำราแต่ละเล่มแบ่งขั้นไม่เท่ากัน บางเล่มสี่ขั้น บางเล่มเก้าขั้น แต่แก่นเหมือนกันหมด บทนี้ใช้หกขั้นที่จำง่าย ไล่จากการหาว่าหลักฐานอยู่ที่ไหน ไปจนถึงการเล่าความจริงให้คนอื่นฟัง

ระบุ ฟังดูง่าย แต่ยากกว่าที่คิด ในคดีของคุณเอ หลักฐานไม่ได้อยู่แค่ในโน้ตบุ๊กของเขา ยังมีมือถือที่ล็อกอินอีเมลไว้ ล็อกของระบบอีเมลบริษัทบนคลาวด์ ล็อกของไฟร์วอลล์ และบันทึกของธนาคาร ถ้าลืมนึกถึงแหล่งไหนไป ร่องรอยนั้นอาจถูกลบตามรอบเวลาก่อนที่ใครจะไปขอ

รักษา คือการหยุดเวลาไว้ ห้ามเปิดไฟล์ดูเล่น ห้ามลงโปรแกรมเพิ่ม เพราะทุกการกระทำบนเครื่องจะเขียนอะไรบางอย่างลงดิสก์ เหมือนตำรวจกั้นเทปเหลืองรอบที่เกิดเหตุ ไม่ให้ใครเดินเหยียบรอยเท้า

เก็บ คือการทำสำเนาหลักฐานแบบครบทุกบิต (forensic image) ไม่ใช่แค่ลากไฟล์ไปวาง เพราะการลากไฟล์จะเก็บมาแค่สิ่งที่มองเห็น ไม่ได้เก็บพื้นที่ว่างซึ่งอาจยังมีเศษของไฟล์ที่ถูกลบ ในการทำสำเนา ผู้เชี่ยวชาญมักต่อดิสก์ผ่านอุปกรณ์กันเขียน (write blocker) ซึ่งยอมให้อ่านอย่างเดียว เขียนกลับไม่ได้เลยแม้แต่บิตเดียว

ตรวจ และ วิเคราะห์ ทำบนสำเนาเสมอ ขั้นตรวจคือการดึงข้อมูลออกมาให้อ่านได้ เช่น กู้ไฟล์ที่ถูกลบ แยกอีเมล ถอดประวัติเบราว์เซอร์ ขั้นวิเคราะห์คือการเอาชิ้นส่วนเหล่านั้นมาต่อเป็นเรื่อง แล้วถามว่ามันตอบคำถามของคดีไหม ทั้งข้อที่ทำให้ผู้ต้องสงสัยผิดและข้อที่ทำให้เขาพ้นผิด นักนิติดิจิทัลที่ดีไม่ได้มีหน้าที่หาคนผิด แต่มีหน้าที่หาความจริง

รายงาน คือขั้นที่คนมองข้ามมากที่สุด แต่เป็นขั้นที่ศาลเห็น รายงานที่ดีต้องอ่านเข้าใจได้แม้ผู้พิพากษาไม่ได้เรียนคอมพิวเตอร์ บอกว่าใช้วิธีอะไร ได้ผลอะไร มีข้อจำกัดอะไร และแยกให้ชัดว่าส่วนไหนคือข้อเท็จจริง ส่วนไหนคือความเห็นของผู้เชี่ยวชาญ

04ห่วงโซ่การคุ้มครองพยานหลักฐาน Chain of custody

สมมติว่าเราฝากซองกฐินให้เพื่อนไปถวายวัด แล้วเงินในซองหายไปครึ่งหนึ่ง คำถามแรกที่ทุกคนจะถามคือ ซองผ่านมือใครมาบ้าง ใครถือไว้ตอนไหน หลักฐานดิจิทัลก็โดนถามแบบเดียวกัน และถ้าตอบไม่ได้ ต่อให้หลักฐานนั้นจริงแค่ไหน น้ำหนักก็ลดลงทันที

ห่วงโซ่การคุ้มครองพยานหลักฐาน (Chain of Custody) คือบันทึกที่ตามหลักฐานไปทุกที่ ตั้งแต่วินาทีที่ถูกยึดจนถึงวันขึ้นศาล ว่าใครเป็นคนเก็บ ส่งต่อให้ใคร เมื่อไร เก็บไว้ที่ไหน ใครเข้าถึงบ้าง และทำอะไรกับมัน ทุกครั้งที่หลักฐานเปลี่ยนมือ ต้องมีลายเซ็น วันเวลา และถ้าเป็นข้อมูลดิจิทัล ก็ต้องมีค่าแฮชกำกับ

แล้วศาลไทยมองหลักฐานดิจิทัลอย่างไร

กฎหมายไทยรับรองหลักฐานดิจิทัลมานานแล้ว พ.ร.บ.ว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 วางหลักไว้ว่า ห้ามปฏิเสธการรับฟังข้อมูลอิเล็กทรอนิกส์เป็นพยานหลักฐาน เพียงเพราะมันเป็นข้อมูลอิเล็กทรอนิกส์ แต่ประโยคถัดมาสำคัญไม่แพ้กัน คือในการชั่งน้ำหนักว่าเชื่อได้แค่ไหน ให้พิจารณาความน่าเชื่อถือของวิธีที่ใช้สร้าง เก็บรักษา และสื่อสารข้อมูลนั้น รวมถึงวิธีรักษาให้ข้อมูลครบถ้วนไม่ถูกเปลี่ยนแปลง

แปลเป็นภาษาบ้าน ๆ ก็คือ ศาล รับฟัง หลักฐานดิจิทัลได้ แต่จะ เชื่อ มากหรือน้อย ขึ้นกับว่าเราพิสูจน์ได้ไหมว่ามันไม่ถูกแตะ ซึ่งก็คือเรื่องของห่วงโซ่การคุ้มครองพยานหลักฐานและค่าแฮชนั่นเอง

อีกกฎหมายที่เกี่ยวข้องโดยตรงคือ พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 (แก้ไขเพิ่มเติม พ.ศ. 2560) ซึ่งนอกจากกำหนดความผิดแล้ว ยังกำหนดให้ผู้ให้บริการ เช่น ค่ายมือถือ ผู้ให้บริการอินเทอร์เน็ต หรือร้านที่เปิด Wi-Fi ให้ลูกค้าใช้ ต้องเก็บ ข้อมูลจราจรทางคอมพิวเตอร์ ไว้ไม่น้อยกว่า 90 วัน และให้อำนาจพนักงานเจ้าหน้าที่ขอข้อมูลหรือทำสำเนาข้อมูลเพื่อใช้ในการสืบสวน โดยการกระทำบางอย่างต้องยื่นคำร้องต่อศาลก่อน

ตัวเลข 90 วันนี้บอกอะไรกับเราในฐานะผู้เสียหาย บอกว่า เวลามีจำกัด ถ้ารอนานเกินไปค่อยแจ้งความ ร่องรอยฝั่งผู้ให้บริการที่จะช่วยตามตัวคนร้ายอาจถูกลบไปตามรอบแล้ว

เนื้อหาส่วนนี้เป็นความรู้ทั่วไปเพื่อให้เข้าใจหลักการ ไม่ใช่คำแนะนำทางกฎหมายสำหรับคดีใดคดีหนึ่ง ถ้ามีคดีจริง ควรปรึกษาพนักงานสอบสวนหรือทนายความ

ศัพท์น่ารู้: ข้อมูลจราจรทางคอมพิวเตอร์ (Traffic Data)

ข้อมูลเกี่ยวกับการสื่อสาร ไม่ใช่ตัวเนื้อหา เช่น ต้นทาง ปลายทาง วันเวลา ระยะเวลา และชนิดของบริการ เทียบกับไปรษณีย์ได้ว่าเป็นข้อมูลบนหน้าซอง ไม่ใช่จดหมายข้างใน แต่แค่หน้าซองก็ช่วยตามตัวคนส่งได้บ่อยครั้ง

05แฮช ลายนิ้วมือของข้อมูล Hashes as fingerprints

คำถามที่ต้องตอบให้ได้ในห้องพิจารณาคดีคือ “สำเนาที่คุณตรวจ เหมือนต้นฉบับทุกบิตจริงหรือ และตั้งแต่วันที่ยึดมาจนวันนี้ ไม่มีใครแก้อะไรเลยใช่ไหม” ดิสก์หนึ่งลูกมีข้อมูลเป็นพันล้านไบต์ จะให้นั่งเทียบทีละตัวคงไม่ไหว คำตอบคือ ค่าแฮช (Hash)

ถ้าอ่านบท การเข้ารหัส มาแล้ว จะจำได้ว่าฟังก์ชันแฮชคือเครื่องบดข้อมูลทางเดียว ใส่อะไรเข้าไปก็ได้ จะเป็นข้อความสั้น ๆ หรือดิสก์ทั้งลูก แล้วมันจะคายตัวอักษรความยาวคงที่ออกมาหนึ่งชุด เช่น SHA-256 ให้ผลเป็นเลขฐานสิบหก 64 ตัวเสมอ คุณสมบัติที่ทำให้นักนิติดิจิทัลรักมันมีสามข้อ

• ใส่ของเดิม ได้ผลเดิมทุกครั้ง ใครคำนวณที่ไหน เมื่อไร ก็ได้ค่าเดียวกัน คนอื่นจึงตรวจซ้ำได้
• เปลี่ยนนิดเดียว ผลเปลี่ยนทั้งแถว แก้ตัวเลขแค่ตัวเดียว ค่าแฮชจะต่างไปจนดูไม่ออกว่าเคยใกล้กัน
• ย้อนกลับไม่ได้ และหาของสองอย่างที่ให้ค่าเดียวกันแทบเป็นไปไม่ได้ สำหรับอัลกอริทึมที่ยังแข็งแรงอย่าง SHA-256

ในงานจริง ผู้เชี่ยวชาญจะคำนวณแฮชของดิสก์ต้นฉบับทันทีตอนทำสำเนา แล้วคำนวณแฮชของสำเนาเทียบ ถ้าตรงกัน ก็จดค่านั้นลงในบันทึกห่วงโซ่ จากนั้นจะตรวจสำเนากี่รอบก็ได้ และเมื่อถึงวันขึ้นศาล ใครจะสงสัยก็คำนวณแฮชของต้นฉบับในตู้ใหม่ได้เลย ถ้ายังได้ค่าเดิม ก็แปลว่าตลอดหลายเดือนที่ผ่านมา ไม่มีบิตไหนถูกเปลี่ยน

อัลกอริทึมรุ่นเก่าอย่าง MD5 และ SHA-1 ยังพบเห็นในบันทึกเก่า ๆ แต่ทั้งคู่ถูกพิสูจน์แล้วว่าสามารถสร้างข้อมูลสองชุดที่ให้ค่าแฮชชนกันได้ งานใหม่ในปัจจุบันจึงนิยมใช้ SHA-256 เป็นหลัก หรือบันทึกไว้หลายค่าพร้อมกันเพื่อความมั่นใจ

ศัพท์น่ารู้: สำเนาทางนิติวิทยาศาสตร์ (Forensic Image)

สำเนาของสื่อเก็บข้อมูลแบบครบทุกบิต รวมพื้นที่ว่างและส่วนที่ระบบมองไม่เห็น ไม่ใช่แค่ก๊อปไฟล์ ทำแล้วต้องคำนวณแฮชเทียบกับต้นฉบับเสมอ เพื่อพิสูจน์ว่าเหมือนกันจริง

06อะไรหายก่อน เก็บก่อน Order of volatility

ลองนึกถึงที่เกิดเหตุจริงในวันฝนตก รอยเท้าบนดินโคลนจะถูกน้ำฝนลบในไม่กี่นาที ส่วนมีดที่ตกอยู่ใต้โต๊ะจะยังอยู่ตรงนั้นพรุ่งนี้ เจ้าหน้าที่ที่ฉลาดจะถ่ายรูปรอยเท้าก่อน แล้วค่อยเก็บมีด โลกดิจิทัลก็มีรอยเท้าบนโคลนเหมือนกัน และมันหายเร็วกว่าที่คิดมาก

หลักนี้เรียกว่า ลำดับความระเหย (Order of Volatility) คือให้เก็บหลักฐานที่หายง่ายที่สุดก่อน แล้วไล่ไปหาสิ่งที่อยู่ทน แนวทางที่วงการอ้างถึงบ่อยคือเอกสาร RFC 3227 เรื่องแนวทางการเก็บและจัดเก็บหลักฐาน ซึ่งวางลำดับไว้คล้ายภาพด้านล่าง

ทำไมแรมถึงสำคัญนัก เพราะมันคือ “สิ่งที่เครื่องกำลังคิดอยู่ตอนนี้” โปรแกรมแปลก ๆ ที่กำลังรัน การเชื่อมต่อที่ต่ออยู่กับเซิร์ฟเวอร์ของคนร้าย ไปจนถึงมัลแวร์บางชนิดที่ตั้งใจอยู่แต่ในหน่วยความจำ ไม่เขียนลงดิสก์เลย ทันทีที่ถอดปลั๊ก ทั้งหมดนี้หายไปตลอดกาล นักนิติดิจิทัลจึงเลือกเก็บแรมก่อน ในงานที่เรียกว่าการเก็บหลักฐานขณะเครื่องยังทำงาน (live acquisition)

แต่การตัดสินใจไม่ได้ขาวดำเสมอไป ถ้าเครื่องกำลังโดนแรนซัมแวร์เข้ารหัสไฟล์อยู่ ทุกนาทีที่ปล่อยไว้คือไฟล์ที่เสียเพิ่ม ทีมต้องชั่งระหว่าง “เก็บหลักฐาน” กับ “หยุดความเสียหาย” ทุกครั้ง นี่คือเหตุผลที่องค์กรควรมีแผนรับมือเหตุเขียนไว้ล่วงหน้า ว่ากรณีไหนตัดเน็ต กรณีไหนปิดเครื่อง และใครเป็นคนตัดสินใจ

สำหรับพนักงานทั่วไป กฎทองมีข้อเดียว: ถ้าสงสัยว่าเครื่องในที่ทำงานโดนอะไรบางอย่าง อย่าพยายามสืบเอง อย่าเปิดไฟล์ดู อย่าลงโปรแกรมสแกนเพิ่ม อย่ารีสตาร์ต ให้แจ้งฝ่ายไอทีหรือทีมความปลอดภัยทันที แล้วทำตามที่เขาบอก ความหวังดีที่ลงมือเองมักเป็นสิ่งที่ลบหลักฐานชิ้นสำคัญที่สุดไป

ศัพท์น่ารู้: ลำดับความระเหย (Order of Volatility)

หลักการเก็บหลักฐานตามความเร็วที่มันจะหายไป เริ่มจากสิ่งที่หายง่ายที่สุด เช่น หน่วยความจำ แล้วจึงไล่ไปถึงดิสก์และสำเนาสำรองที่อยู่ทนกว่า

07ร่องรอยที่อุปกรณ์ทิ้งไว้ และการต่อไทม์ไลน์ Traces & timeline reconstruction

เราอาจคิดว่าตัวเองใช้มือถือแค่เลื่อนดูคลิป แต่เบื้องหลัง อุปกรณ์จดบันทึกอยู่ตลอดเวลา ร่องรอยแต่ละชนิดเหมือนพยานคนละคนที่เห็นเหตุการณ์จากคนละมุม ลองมาทำความรู้จักพยานที่สำคัญ

• ล็อก (Logs): บันทึกของระบบปฏิบัติการ แอป และเซิร์ฟเวอร์ ว่าใครล็อกอินเมื่อไร จากที่ไหน สำเร็จหรือล้มเหลว เปิดปิดโปรแกรมอะไร ล็อกของบริการอีเมลหรือคลาวด์มักเป็นพยานปากเอกในคดีบัญชีถูกยึด
• ตราประทับเวลา (Timestamps): ทุกไฟล์มีเวลาที่ถูกสร้าง ถูกแก้ และถูกเปิดอ่านล่าสุดติดอยู่ เหมือนตราไปรษณีย์บนซองจดหมาย ช่วยบอกลำดับว่าอะไรเกิดก่อนหลัง
• ประวัติเบราว์เซอร์: เว็บที่เปิด เวลาที่เปิด ไฟล์ที่ดาวน์โหลด และคำที่ค้นหา ช่วยตอบคำถามแบบ “เขากดลิงก์นั้นจริงไหม”
• เมทาดาทา (Metadata): ข้อมูลที่ฝังอยู่ในไฟล์ เช่น รูปถ่ายอาจมีรุ่นกล้อง วันเวลาที่ถ่าย และพิกัดถ้าเปิดบอกตำแหน่งไว้ ส่วนเอกสาร Office อาจมีชื่อผู้สร้างและชื่อองค์กรติดอยู่
• ข้อมูลสำรองของมือถือและบัญชีคลาวด์: แบ็กอัปบนคลาวด์ของมือถืออาจยังมีแชตหรือรูปที่ถูกลบออกจากตัวเครื่องไปแล้ว และบัญชีออนไลน์จำนวนมากเก็บประวัติการล็อกอินและตำแหน่งไว้ฝั่งผู้ให้บริการ

ร่องรอยชิ้นเดียวพิสูจน์อะไรได้ไม่มาก แต่เมื่อเอามาเรียงตามเวลา มันจะเริ่มเล่าเรื่อง งานนี้เรียกว่า การต่อไทม์ไลน์ (Timeline Reconstruction) ลองดูคดีของคุณเอ (เป็นเหตุการณ์จำลองเพื่อการเรียนรู้) เมื่อนักนิติดิจิทัลรวบรวมร่องรอยจากห้าแหล่งมาเรียงต่อกัน

ไทม์ไลน์นี้ตอบคำถามตอนต้นบทได้ทันที คุณเอพูดความจริง เขาไม่ได้ส่งอีเมลฉบับนั้นเอง แต่ตกเป็นเหยื่อของฟิชชิง (ถ้ายังไม่ได้อ่าน ไปดูบท ฟิชชิง ได้) ที่น่าสนใจกว่านั้นคือ ไทม์ไลน์ชี้ให้เห็นว่าถ้าจะป้องกันครั้งหน้า ต้องตัดวงจรที่ไหน ซึ่งเป็นสิ่งที่องค์กรได้ประโยชน์จริง ๆ จากงานนิติดิจิทัล

การต่อไทม์ไลน์มีกับดักที่มือใหม่พลาดบ่อย ข้อแรกคือ เขตเวลา ล็อกจากคลาวด์มักเป็น UTC ส่วนมือถือในไทยแสดงเวลา UTC+7 ถ้าลืมแปลง เหตุการณ์จะสลับลำดับกันจนเรื่องเพี้ยน ข้อสองคือ นาฬิกาเครื่องไม่ตรง บางเครื่องเวลาเดินช้าหรือเร็วไปหลายนาที ข้อสามสำคัญที่สุด คือ เกิดใกล้กันไม่ได้แปลว่าเป็นเหตุเป็นผลกัน นักวิเคราะห์ที่ดีจะหาหลักฐานอย่างน้อยสองแหล่งมายืนยันกันก่อนสรุป

แล้วเราทำอะไรได้ในฐานะคนธรรมดา ร่องรอยที่ช่วยสืบคดีได้ ก็เผยข้อมูลส่วนตัวของเราได้เหมือนกัน ก่อนโพสต์รูปลงโซเชียล ลองเช็กว่ากล้องในมือถือแนบตำแหน่งไว้ในรูปหรือเปล่า แอปส่วนใหญ่มีตัวเลือกให้ปิดการบันทึกตำแหน่งในรูป หรือลบตำแหน่งก่อนแชร์ได้

ศัพท์น่ารู้: เมทาดาทา (Metadata)

“ข้อมูลเกี่ยวกับข้อมูล” ที่ติดอยู่กับไฟล์ เช่น ใครสร้าง สร้างเมื่อไร ด้วยโปรแกรมหรือกล้องอะไร และบางครั้งก็ถ่ายที่ไหน เรามักมองไม่เห็นมันบนหน้าจอ แต่มันเดินทางไปพร้อมกับไฟล์ทุกครั้งที่เราส่งต่อ

08ถ้าเราเป็นผู้เสียหาย ต้องทำอะไร When you are the victim

ทั้งหมดที่เล่ามาอาจฟังดูเป็นเรื่องของห้องแล็บ แต่ความจริงคือ นักนิติดิจิทัลคนแรกของคดีหลอกลวงออนไลน์ส่วนใหญ่ ก็คือตัวผู้เสียหายเอง ตำรวจจะตามเงินหรือตามตัวคนร้ายได้แค่ไหน ขึ้นกับว่าเราเก็บอะไรไว้ให้บ้าง และเก็บไว้เร็วแค่ไหน

ปฏิกิริยาแรกของคนที่โดนหลอกมักเป็นความอายหรือความโกรธ หลายคนลบแชตทิ้ง บล็อกคนร้าย หรือถอนแอปทันที เพื่อจะได้ไม่ต้องเห็นมันอีก นั่นเท่ากับเราเหยียบรอยเท้าที่เกิดเหตุของตัวเอง ลองทำตามลำดับนี้แทน

1. ถ้าโอนเงินไปแล้ว โทรหาธนาคารทันที

   ติดต่อคอลเซ็นเตอร์ธนาคารของเรา หรือโทร สายด่วน 1441 ของศูนย์ปฏิบัติการแก้ไขปัญหาอาชญากรรมออนไลน์ (AOC) ซึ่งเปิดรับแจ้งตลอด 24 ชั่วโมง และมีเมนูสำหรับขอระงับบัญชีปลายทางที่ต้องสงสัย ตามกฎหมายที่ออกในปี 2566 เมื่อผู้เสียหายแจ้ง ธนาคารระงับธุรกรรมที่ต้องสงสัยไว้ชั่วคราวได้ จากนั้นผู้เสียหายต้อง แจ้งความภายใน 72 ชั่วโมง ยิ่งเร็ว โอกาสที่เงินยังค้างอยู่ในบัญชีปลายทางก็ยิ่งสูง

2. อย่าลบอะไรทั้งนั้น

   อย่าลบแชต อย่าถอนแอป อย่าออกจากกลุ่ม และอย่าเพิ่งบล็อกจนกว่าจะเก็บหน้าโปรไฟล์ของคนร้ายไว้ครบ เพราะหลายแอปจะซ่อนข้อมูลของอีกฝ่ายทันทีที่บล็อก

3. แคปหน้าจอให้ “เห็นบริบท”

   ให้ติดวันเวลา ชื่อบัญชีและรูปโปรไฟล์ เลื่อนแคปแชตตั้งแต่ข้อความแรกจนข้อความสุดท้าย ถ้าเป็นเพจหรือเว็บ ให้คัดลอก URL เต็ม เก็บไว้ด้วย ไม่ใช่แค่ชื่อเพจ เพราะชื่อเปลี่ยนได้แต่ลิงก์โปรไฟล์ช่วยตามตัวได้ แอปแชตหลายตัวมีเมนูส่งออกประวัติแชตเป็นไฟล์ ใช้ได้ก็ใช้ควบคู่กัน

4. เก็บหลักฐานทางการเงินให้ครบ

   สลิปโอนเงินทุกใบ เลขที่รายการ ชื่อและเลขบัญชีปลายทาง ชื่อธนาคาร วันเวลาที่โอน รวมถึงเบอร์โทรที่คนร้ายใช้ติดต่อ ถ้ามี statement จากแอปธนาคาร ให้บันทึกเก็บไว้ด้วย

5. จดไทม์ไลน์ของเราเอง ตอนที่ยังจำได้

   เขียนสั้น ๆ ว่าเริ่มคุยกันวันไหน ผ่านช่องทางไหน คนร้ายพูดอะไร เราโอนเงินกี่ครั้ง เมื่อไร นี่คือการต่อไทม์ไลน์แบบเดียวกับที่นักนิติดิจิทัลทำ และจะช่วยพนักงานสอบสวนได้มาก

6. สำรองหลักฐานไว้อีกที่ แล้วแจ้งความ

   ส่งไฟล์ทั้งหมดเก็บไว้ในอีกเครื่องหรือคลาวด์ส่วนตัว เผื่อมือถือหายหรือเสีย จากนั้นแจ้งความออนไลน์ที่เว็บไซต์ thaipoliceonline.go.th หรือไปที่สถานีตำรวจ พร้อมหลักฐานทั้งหมด และจดเลขรับแจ้งความไว้ติดตามเรื่อง

7. ระวังโดนหลอกซ้ำสอง

   หลังโดนหลอก มักมีคนโทรหรือทักมาอ้างว่าเป็นเจ้าหน้าที่หรือทนาย “ช่วยตามเงินคืนได้” แล้วขอค่าธรรมเนียม นั่นคือมิจฉาชีพอีกชุด ศูนย์ AOC เคยออกมายืนยันว่าไม่มีนโยบายให้เจ้าหน้าที่โทรติดต่อผู้เสียหายเอง และไม่มีช่องทางติดต่อทางโซเชียลมีเดีย ให้ติดต่อผ่านสายด่วน 1441 เท่านั้น และไม่ว่าใครจะอ้างอะไร อย่าโอนเงินเพิ่ม

มีอีกเรื่องหนึ่งที่อยากย้ำ: อย่าพยายามแฮกกลับหรือไปสืบตามตัวคนร้ายเอง นอกจากจะเสี่ยงผิดกฎหมายแล้ว ยังอาจทำให้คนร้ายรู้ตัวและรีบย้ายเงินหรือลบบัญชีหนีไป หน้าที่ของเราคือเก็บรอยเท้าให้ดีที่สุด แล้วส่งต่อให้คนที่มีอำนาจตามรอยนั้นอย่างถูกกฎหมาย

09เส้นทางอาชีพสายนิติดิจิทัล Careers in digital forensics

ถ้าอ่านมาถึงตรงนี้แล้วรู้สึกว่าการต่อจิ๊กซอว์จากร่องรอยเล็ก ๆ เป็นเรื่องสนุก สายนี้อาจเหมาะกับเรา งานนิติดิจิทัลมีอยู่หลายบ้าน

• หน่วยงานบังคับใช้กฎหมาย: หน่วยสืบสวนอาชญากรรมทางเทคโนโลยีของตำรวจ และหน่วยงานรัฐที่ทำคดีพิเศษหรือคดีการเงิน ทำงานกับคดีจริงตั้งแต่หลอกลงทุนไปจนถึงอาชญากรรมร้ายแรง
• ทีม DFIR ในองค์กรและบริษัทที่ปรึกษา: ธนาคาร บริษัทใหญ่ และบริษัทความปลอดภัยที่รับงานสอบสวนเหตุ ตามหาว่าแฮกเกอร์เข้ามาอย่างไร และอยู่ในระบบนานแค่ไหน
• งานสอบสวนการทุจริตและคดีแพ่ง: สืบเรื่องการโกงภายในองค์กร การขโมยความลับทางการค้า และการค้นหาเอกสารอิเล็กทรอนิกส์ที่ใช้ในคดี (eDiscovery)

ทักษะที่ต้องมีไม่ได้มีแค่เรื่องเทคนิค แน่นอนว่าต้องเข้าใจระบบปฏิบัติการ ระบบไฟล์ เครือข่าย และมือถืออย่างลึกซึ้ง แต่สิ่งที่แยกคนเก่งออกจากคนธรรมดาคือ ความละเอียด ความซื่อตรง และการเขียน เพราะเราต้องบันทึกทุกอย่างที่ทำ ต้องยอมรับผลที่ไม่ตรงกับที่ลูกค้าหรือผู้บังคับบัญชาอยากได้ยิน และบางครั้งต้องขึ้นเบิกความในฐานะพยานผู้เชี่ยวชาญ อธิบายเรื่องซับซ้อนให้คนในห้องพิจารณาคดีเข้าใจ

ในวงการมีใบรับรองที่คนรู้จัก เช่น ชุดใบรับรองด้านนิติดิจิทัลของ GIAC และ CHFI ของ EC-Council แต่ก่อนจะไปถึงตรงนั้น จุดเริ่มต้นที่ดีคือปูพื้นระบบปฏิบัติการและเครือข่ายให้แน่น แล้วลองทำโจทย์ CTF หมวด forensics ซึ่งให้วิเคราะห์ไฟล์หลักฐานจำลองในสภาพแวดล้อมที่ปลอดภัยและถูกกฎหมาย ดูภาพรวมเส้นทางอาชีพเพิ่มเติมได้ในบท อาชีพและกฎหมายไซเบอร์ และถ้าสนใจงานเฝ้าระบบที่มักเป็นคนแรกที่เห็นเหตุ ลองอ่านบท SOC

10สรุปให้จำ Recap

นิติดิจิทัลคือการทำให้ร่องรอยเล็ก ๆ เล่าความจริงได้ และให้คนอื่นตรวจซ้ำได้ว่าเล่าตรงไปตรงมา ถ้าจำได้แค่ไม่กี่ข้อ ให้จำข้อเหล่านี้

• รับมือเหตุดับไฟ นิติดิจิทัลหาต้นเพลิง และก่อนล้างเครื่อง ต้องเก็บหลักฐานก่อนเสมอ
• ระบุ รักษา เก็บ ตรวจ วิเคราะห์ รายงาน โดยมีห่วงโซ่การคุ้มครองพยานหลักฐานบันทึกตลอดทาง
• ตรวจบนสำเนา ไม่แตะต้นฉบับ และใช้ค่าแฮชพิสูจน์ว่าสำเนาเหมือนต้นฉบับทุกบิต
• เก็บสิ่งที่หายง่ายก่อน แรมก่อนดิสก์ และถ้าเป็นเครื่องที่ทำงาน อย่าสืบเอง ให้แจ้งทีมไอที
• ศาลรับฟังหลักฐานดิจิทัลได้ แต่น้ำหนักขึ้นกับว่าเก็บรักษามาอย่างน่าเชื่อถือแค่ไหน
• ถ้าโดนหลอก อย่าลบ แคปหน้าจอพร้อม URL เก็บสลิป โทรธนาคารหรือ 1441 แล้วแจ้งความภายใน 72 ชั่วโมงที่ thaipoliceonline.go.th หรือสถานีตำรวจ

ลองทบทวนดู