เมื่อพฤศจิกายนปีที่แล้ว แอปเปิลเจ้าของผู้พัฒนาไอโฟน ซึ่งมีผู้ใช้งานในหลายประเทศรวมถึงไทย ได้ส่งจดหมายเตือนถึงผู้ใช้งานร่วม 10 คน ถ้าหากเอ่ยชื่อคนที่ได้รับ ก็รู้ได้ว่าพวกเขาเป็นนักการเมือง นักเคลื่อนไหว นักวิชาการ ซึ่งทั้งหมดล้วนอยู่ฝ่ายตรงข้ามรัฐบาลพล.อ.ประยุทธ์ จันทร์โอชา นายกรัฐมนตรีและอดีตผู้นำรัฐประหารโค่นรัฐบาลพลเรือนปี 2557

สิ่งที่แอปเปิลส่งมา คือคำเตือนที่ว่า “พบความพยายามของการใช้สปายแวร์เข้าระบบโทรศัพท์ โดยบริษัทที่ได้รับการสนับสนุนโดยรัฐ” ซึ่งต่อมาสปายแวร์ที่ว่านี้ มีชื่อว่า “เพกาซัส” (Pegasus) เจ้าม้ามีปีกที่โบยบินในนิยายปกรณัม

จะกลายเป็นชื่อที่ไม่สู้ดีในฐานะภัยต่อความปลอดภัยบนโลกไซเบอร์และต่อชีวิตส่วนตัวของคนที่ตกเป็นเหยื่อ

เพราะประสิทธิภาพที่แทบเรียกว่าป้องกันยากที่สุดและเจาะเข้าระบบอุปกรณ์โดยที่เราไม่รู้ตัว ไม่รู้ว่าเรื่องราวในชีวิตประจำวันของเราถูกเห็นโดยไม่ยินยอมมากแค่ไหน

 

หลังผ่านมาหลายเดือน เมื่อวานนี้ (18 กรกฎาคม 2565) โครงการกฎหมายเพื่ออินเตอร์เน็ตประชาชนหรือไอลอว์ ได้เปิดตัวรายงานศึกษาในชื่อ “Parasite in your Phone” ถึงอานุภาพของสปายแวร์ “เพกาซัส” และจำนวนผู้ตกเป็นเหยื่อจากการรวบรวมข้อมูลเพิ่มเติม ด้วยความร่วมมือกับ Citizen Lab มหาวิทยาลัยโตรอนโต ประเทศแคนาดา Digital Reach ประจำภูมิภาคเอเชียแปซิฟิก  และแอมเนสตี้อินเตอร์เนชันแนล

ไอลอว์รายงานการค้นพบจากการวิจัยตลอดปีกว่า ซึ่งได้รับความช่วยเหลือจากผู้ที่เข้าข่ายว่าตกเป็นเหยื่อสปายแวร์ ซึ่งจากกว่า 10 คนเมื่อพฤศจิกายนปีที่แล้ว รายงานระบุว่า ในไทยพบกรณีถูกเพกาซัสเจาะเข้าอุปกรณ์ถึง 30 คน

อานนท์ ชวาลาวัณย์ จากไอลอว์ กล่าวเริ่มว่า บริบทการเมืองไทย หลังรัฐประหาร 2557 จะแบ่ง 2 ช่วงเวลา คือ 22 พฤษภาคม 2557-16 กรกฎาคม 2562 คือจุดเริ่มต้นและสิ้นสุดคสช. กับอีกช่วงคือการเคลื่อนไหวทางการเมืองของคนหนุ่มสาวเมื่อกรกฎาคม 2563 ถึง สิงหาคม 2564 ในช่วงนั้น เครื่องมือของรัฐมีใช้ อย่างกฎหมายที่เกี่ยวข้องซึ่งออกโดย คสช. การจับบุคคลเข้าปรับทัศนคติที่สงสัยว่าเป็นภัยต่อความมั่นคงของชาตินาน 7 วัน และบางส่วนบังคับให้ยอมส่งรหัสเพื่อเข้าถึงอุปกรณ์ รวมถึงกรณีการดำเนินคดีด้วยการใช้ช่องสนทนาในเฟซบุ๊ก (จากกรณี 8 แอดมินเพจ เรารัก พล.อ.ประยุทธ์)

หรืออีกวิธีคือการส่งเจ้าหน้าที่หลายคนไปคุกคามเป้าหมายด้วยการเยี่ยมบุคคลถึงบ้าน โดยเฉพาะบุคคลที่จะไปร่วมกิจกรรมประท้วง หลายครั้งมีรายงานว่า การถ่ายรูปสถานที่และบุคคลเพื่อรายงานผู้บังคับบัญชา มาถึงตอนนี้ รัฐไทยออกกฎหมาย ความมั่นคงไซเบอร์เพื่อเรียกคนให้มาให้ข้อมูลที่เห็นว่าเป็นภัยต่อความมั่นคง นี่เป็นกฎหมายที่ออกมา หากจำเป็นในการรวบข้อมูลข่าวกรอง สมช.สามารถเก็บข้อมูลและใช้เทคโนโลยีรวบรวมข้อมูล แม้มีพรบ.คุ้มครองข้อมูลส่วนบุคคล หรือมีการเลือกตั้งปี 62 มีการตั้งรัฐบาลพลเรือน แต่วิธีการแบบยุค คสช.ยังคงมีอยู่ มีการเรียกตัวคนที่เขียนโพสต์เฟซบุ๊กมาสอบสวน บังคับให้นักกิจกรรมส่งมอบอุปกรณ์และคัดลอกข้อมูล พร้อมลงนามให้ความยินยอม

มีหลักฐานแสดงให้เห็นว่า รัฐไทยต้องการรวบรวมข้อมูลบุคคลที่เป็นภัยความมั่นคงของชาติ โดยระหว่างปี 2563-64 มีนักเคลื่อนไหวอย่างน้อย 4 คน ถูกพบว่ามีจีพีเอสติดอยู่ใต้ท้องรถยนต์ ก่อนที่จะมีการแจ้งเตือนพบสปายแวร์เพกาซัส จากแอปเปิล แสดงให้เห็นความพยายามของรัฐไทยในการคุกคาม
ประชาสังคม และรัฐไทยกำลังเห็นว่าเรากำลังอะไรกันอยู่

ด้านจอห์น สก๊อต-เรลตัน นักวิจัยอาวุโสของ Citizen Lab จากมหาวิทยาลัยโตรอนโต กล่าวว่า การสืบสวนการคุกคามทางดิจิตัล เช่น การแฮกในช่วง 2 ปี ที่ผ่านมา ก็พบบริษํทผู้พัฒนาขายโปรแกรมสอดแนมให้รัฐบาล อย่างเพกาซัสที่พัฒนาโดยบริษัท NSO ผู้พัฒนาสัญชาติอิสราเอล จะรู้ทุกอย่างที่คุณทำในมือถือ ข้อความ ภาพ บทสนทนา รวมถึงสิ่งที่คุณไม่ได้ทำเอง อีกอย่างที่น่ากังวล สปายแวร์จะใช้การเชื่อมโยงโทรศัพท์กับระบบคลาวด์ต่างๆ ข้อมูลส่วนตัวบนคลาวด์ซึ่งคุกคามความเป็นส่วนตัวคุณมาก

เพกาซัสไมได้ขายแค่ให้รัฐบาล ถ้าติดเชื้อก็รู้ว่าเป็นรัฐบาลใช้ เพราะการใช้งานตลอด 4 ปี มีหลายประเทศใช้ แต่เพกาซัสมีประวัติศาสตร์การให้ข้อมูลผิดพลาดในการใช้สปายแวร์ ซึ่งบริษัท NSO คงไม่ยอมรับความจริง สิ่งที่คุณต้องรู้คือ สปายแวร์ที่บริษัทพัฒนานี้ มีการใช้งานในหลายประเทศ อย่าง อังกฤษ แล้วทำให้เกิดภัยต่อทั่วโลกตลอด 12 เดือนที่ผ่านมา รัฐบาลได้ทราบถึงสิ่งที่เกิดขึ้นกับสปายแวร์นี้ สหภาพยุโรปตั้งคณะกรรมการศึกษาโดยเฉพาะ มีการสั่งห้ามบริษัทสหรัฐฯทำธุรกิจกับบริษัทที่ขายโปรแกรมแฮก เพราะได้รู้ว่ามีผลกระทบระยะยาว

แต่จะแฮกยังไง แม้คุณสงสัยข้อมูลที่ส่งเข้ามาจะแฮก เราพบสิ่งที่แตกต่าง คือไม่จำเป็นต้องคลิก คุณก็ตกเป็นภัยโดยที่ทำอะไรไม่ได้เลย พอมือถือติดเชื้อสปายแวร์จะมีการส่งข้อมูลกลับไปที่คนพัฒนา Citizen lab พบว่ามีการใช้เพกาซัสตั้งแต่ปี 2557 ก่อนที่จะมีรายงานผ่านสื่อ

 

ขณะที่รัชพงศ์ แจ่มจิรชัยกุล นักวิเคราะห์ความปลอดภัยไซเบอร์ กล่าวว่า ผมเริ่มว่าจะสืบสวนตั้งแต่เมื่อไหร่ เราได้ตระหนักสปายแวร์ตัวนี้มาก่อนแล้ว ถ้าย้อนกลับไป ก็คงไม่น่าแปลกใจว่ารัฐไทย ได้เครื่องมือนี้มาเพื่อเก็บข้อมูลคนไทย citizen lab พอระบุว่าไทยเป็นประเทศหนึ่งในการใช้สปายแวร์นี้ เราเริ่มรู้ถึงอันตรายก็พฤศจิกายนปีที่แล้วเอง

อาจมีบางคนได้รับข้อความจากแอปเปิลว่ามือถือถูกโจมตีทางไซเบอร์ เราเก็บดูก็เห็นชัดว่ามีการโจมตีผ่านมือถือ ขณะเดียวกัน แอปเปิลฟ้องบริษัท NSO ของอิสราเอลที่พัฒนาสปายแวร์แล้วแฮกเข้าอุปกรณ์ แต่เจ้าหน้าที่บริษัทก็ออกมาปฏิเสธ ซึ่งจะสืบสวนต่อไปแล้วเชื่อว่าคงไม่เป็นเช่นนั้น

จากการทำงานร่วมกับ Ilaw Citizen Lab และ DigitalReach คนที่ไม่ได้รับข้อความจากแอปเปิลก็คงไม่รู้ จากการตรวจสอบอุปกรณ์ในช่วงการโจมตี แล้วก็การโจมตีของเพกาซัสในไทย แน่นอนว่าเราพบการถูกโจมตีผ่านไอโฟนซึ่งชัดเจน เราจึงสืบสวนหลังได้รับความยินยอม

จากการสืบสวนของเรา ระบุได้อย่างน้อย 30 คนที่ได้รับการยืนยันว่าถูกเพกาซัสโจมตี ส่วนใหญ่เป็นนักกิจกรรม นักวิชาการและเอ็นจีโอ อายุน้อยสุดคือ 18 ปี ช่วงการโจมตีคือปี 2563-64 ซึ่งเกิดการชุมนุมทางการเมือง ในช่วงตุลาคม 2564 เราได้ตรวจสอบการโจมตีระดับองค์กร เราพบว่าอานนท์ นำภา ถูกโจมตีในฐานะนักกิจกรรม ไม่ใช่ทนายความ ซึ่งยังไม่พบการเจาะในระดับองค์กรอย่างเช่น ศูนย์ทนายความเพื่อสิทธิมนุษยชน แต่จำนวน 30 คนที่ถูกโจมตีอาจเพียงส่วนหนึ่งและอาจมีมากกว่านี้

ที่สำคัญกว่านั้น ข้อจำกัดทางเทคนิคหรือระบบแอนดรอยด์หรือทำโทรศัพท์หาย ก็ตรวจสอบไม่ได้ แต่คนที่ได้รับการยืนยันว่าถูกสปายแวร์ และมีอีกร้อยคนที่ถูกขโมยข้อมูลผ่านเพกาซัส เพราะฉะนั้น เพกาซัสถือเป็นประเด็นใช้สปายแวร์ที่ละเมิดสิทธิมนุษยชน

ถ้าผมมีมือถือแล้วมีคนติดต่อ รัฐบาลก็เห็นว่าใครโทรมา ข้อมูลพ่อแม่คุณ สามีลูกคุณก็ถูกขโมยได้ ไม่ว่าใครก็ตามที่เกี่ยวข้องกับผู้เสียหาย ก็ถูกดึงข้อมูลได้ การสืบสวนที่ไม่ใช่แค่นักเคลื่อนไหวเบื้องหน้า แต่ผู้ทำงานเบื้องหลังก็ตกเป็นเหยื่อด้วย

ยกตัวอย่าง เช่น คุณนิราภร อ่อนขาว ผู้ก่อตั้งแนวร่วมธรรมศาสตร์และการชุมนุม เมื่อเทียบกับเพนกวิน (พริษฐ์ ชิวารักษ์) หรือรุ้ง (ปนัสยา สิทธิจิรวัฒนกุล) ที่อยู่เบื้องหน้า นิราภร ถูกกล่าวหาว่าเป็นแอดมินเพจ คุณนิราภรถูกเพกาซัสโจมตีถึง 14 ครั้ง การที่เธอถูกกล่าวหาว่าเป็นแอดมินเพจ ก็คงติดสปายแวร์ที่ทำให้ติดตามการเคลื่อนไหว

โดยการชุมนุมปี 2654 ก็ถูกเจาะก่อนการชุมนุม ส่วนการเจาะจะเข้าก่อนการชุมนุมใหญ่ เช่น 24 มิถุนายน ที่กลุ่มราษฎรจัดรำลึกการอภิวัฒน์สยาม มีคนอย่างน้อย 5 คนถูกเจาะถึง 11 ครั้ง อย่างรุ้ง ปนัสยา,อานนท์และยิ่งชีพ

ประเด็นสุดท้ายที่อยากพูดว่า รัฐไทยได้รับประโยชน์และเป็นคนเดียวที่ได้ประโยชน์จากการใช้ รัฐบาลอยากโจมตีไซเบอร์กับผู้ต่อต้าน เพราะช่องทางออนไลน์เป็นทางเดียวในการจัดตั้งคน รัฐบาลจะได้ประโยชน์จากเพกาซัส และเชื่อมโยงกับการแฮกกับการชุมนุม รัฐบาลใช้เครื่องมือนี้

แล้วบริษัท NSO ที่ขายเพกาซัสให้รัฐบาล ไม่มีทางอื่นใดนอกจากรัฐบาลที่ได้ประโยชน์ จากการสอดแนมและเจาะข้อมูล

 

ส่วนสุธาวรรณ ชั้นประเสริฐ จากไอลอว์ กล่าวว่า จากการค้นพบ มี 3 ส่วนคือ 1.ตรวจจับกิจกรรมทางออนไลน์ การดูข้อมูลส่วนตัว อย่างเช่น อานนท์และเบนจา อะปัญ พบว่าอานนท์ถูกโจมตี 5 ครั้ง ล่าสุดคือ 31 สิงหาคม 64 ซึ่งอยู่ระหว่างจองจำ เฟซบุ๊กของอานนท์ยังใช้งานอยู่แม้ถูกคุมขัง แม้รู้ว่าผู้ต้องขังไม่สามารถใช้เครื่องมือสื่อสาร ทางการอาจสงสัยว่าทำไมเฟซยังเคลื่อนไหว มีจดหมายเผยแพร่เรื่องราวต่างๆ
กรมราชทัณฑ์ก็พยายามฟ้องแอดมินเพจอานนท์ที่เอาเรื่องเชิงลบออกสู่สาธารณชน หรือกรณีเบนจา ที่เผยแพร่เรื่องราวในเรือนจำออกสู่สาธารณะ ทำให้เห็นว่าทั้ง 2 กรณี รัฐติดตามว่าใครดูแลเพจและติดตามการชุมนุม หรือไม่ก็เกิดในวันชุมนุม เช่นรุ้ง โทรศัพท์ของรุ้งถูกสปายแวร์เจาะถึง 4 ครั้ง

เห็นได้ว่า การโจมตีนั้นพยายามหาข้อมูลการชุมนุม เช่นการชุมนุมรำลึกอภิวัฒน์สยาม หรือกรณีจุฑาทิพย์ (อั๋ว) ก็เป็นการชุมนุม โทรศัพท์ถูกสปายแวร์หลังประกาศว่าจะมีการชุมนุม หรือกรณีไผ่ จตุภัทร ที่ถูกโจมตีในวันก่อนการชุมนุมที่กรุงเทพและขอนแก่น

อีกเหตุผลหนึ่งที่รัฐมีการใช้เพกาซัสคือการหาข้อมูลแหล่งทุน ในการเคลื่อนไหว เช่น กรณีทราย อินทิรา หรือ คนที่ใช้ชื่อ Mad Hatter ที่เป็นนิรนามผู้ให้เงินสนับสนุนการชุมนุม หรือนิรภรและปรมินทร์ในกลุ่มเยาวชนปลดแอก

จอห์น กล่าวอีกว่า Citizen Lab เชื่อว่า มีความท้าทายพื้นฐานของประชาสังคม ในเรื่องของการติดต่อสื่อสารในขบวนการประชาธิปไตย ซึ่งมีความเสี่ยงสูงขึ้นจากการแสวงหาประโยชน์โดยรัฐ ก่อนหน้านี้เราเชื่อว่ารัฐมีส่วนน้อยที่สามารถใช้การจารกรรมข้อมูล แต่ตอนนี้ได้เปลี่ยนไปแล้ว รัฐสามารถซื้อเทคโนโลยีที่ซับซ้อน แต่ก็สร้างความตึงเครียดมากขึ้น เพราะเทคโนโลยีอันซับซ้อน ทำให้เกิดความเปราะบางในภาคประชาสังคม

เราก็ได้มีการพูดถึงประเด็นสำคัญแล้ว ผมก็อยากคุยในทางเทคนิคของเพกาซัส ในประเทศไทย สำหรับเรานี้ คือการได้รับข้อมูลที่จะมาตรวจสอบทางนิติเวชดิจิตัล ชิ้นส่วนนี้มีร่องรอยอะไรในการใช้สปายแวร์ จากการที่วิเคราะห์ ทำให้สามารถระบุวิธีการที่ตรวจจับเพกาซัสบนอุปกรณ์ ว่ามีชิ้นส่วนอื่นที่สามารถตรวจหาได้ แสดงให้เห็นถึงการโจมตีจริงๆ

บางส่วนเราก็ตรวจ และพบว่าผลเป็นบวก คือติดสปายแวร์เพกาซัส เป็นไปได้ว่าคุณอาจถูกโจมตีหลายครั้งอย่างน่าแปลกใจ สิ่งที่น่าสนใจมีคือ โมเดลธุรกิจของบริษัท NSO ต้องมีการขายใบอนุญาตให้ใช้ ถ้ารัฐบาลจะติดต่อกับบริษัทและขอซื้อขนาดเท่าไหร่นั้น ในช่วงเวลาไหนที่ระบุชัดเจน จำนวนเป้าหมายที่คน มีการเปลี่ยนแปลงได้

ถ้าอ่านรายงานของเราจะเห็นอะไรมากขึ้น การติดตามเพกาซัส คนปฏิบัติจะเข้าและออกเวลาไหน ขึ้นอยู่ความถี่่การโจมตี แสดงให้เห็นว่ามีการใช้ลักษณะนี้ สิ่งที่สำคัญต้องเข้าใจเกี่ยวกับเพกาซัสคือ หาไม่ง่าย เพราะสปายแวร์จะลบร่องรอยตัวเอง พยายามซ่อนทุกอย่างจนตรวจหาได้ยาก อีกอย่างที่สำคัญที่แอปเปิลต้องแจ้ง ช่วยให้เรามีการสืบสวนต่อไปได้ ซึ่งเกิดขึ้นกับ 30 คนที่ช่วยตรวจสอบให้มีประสิทธิภาพ
ในช่วง 2 ปีที่ผ่านมา เพกาซัสมีเทคนิคใหม่ๆ หลังแอปเปิลอัพเดตตัวเพื่อป้องกันการถูกเจาะ เลยเป็นไปได้ว่าช่วงนี้ที่จะมีการอัพเกรด

คนที่ปฏิบัติการใช้เพกาซัสในไทย ในปี 2557 จากการตรวจเซิฟเวอร์ มีการตอบสนองยังไง แต่ข้อมูลเหล่านี้ แสดงให้เห็นว่ามีร่องรอยลายนิ้วมือดิจิตัล เราพบหลักฐานว่า มีศักยภาพในการใช้เพกาซัสในไทย รวมถึงเซิฟเวอร์ โดเมนเนมต่างๆ เราก็ไม่รู้ว่า ผู้ปฏิบัติการในไทยคือใคร แต่สิ่งที่เห็นคือ เซิฟเวอร์ตอนแรก เจาะเข้าไปในมือถือและขมวดหลังจากนั้น แล้วในปี 2559 ก็ได้รับรายงานเพิ่มเติม ทำให้เราพัฒนาเทคนิคแกะรอยลายนิ้วมือที่เกี่ยวข้องกับเพกาซัส

แล้วพบว่ามีเซิฟเวอร์กลุ่มหนึ่งทิ้งรอยไว้ในปี 2559 ค่อนข้างจะเกี่ยวกับ ปปส. และในปี 2561 ก็มีเทคโนโลยีใหม่อย่าง DSCat มีเซิฟเวอร์กลุ่มหนึ่งในไทยถูกโจมตี แต่มีขอบเขตจำกัด ถ้าใครใช้เพกาซัสตอนนั้น สปายแวร์จำกัดเฉพาะกับการใช้งาน

เราประมาณว่า มีเพกาซัสทำงานในไทยแต่ไม่ระบุได้ว่าตอนไหน ในช่วงปี 2557,2559,2561 ซึ่งเรายังคงสืบสวนต่อไป

 

จอห์นกล่าวอีกด้วยว่า เรายังไม่สามารถระบุว่าหน่วยงานรัฐใดเป็นผู้ปฏิบัติงานใช้งานสปายแวร์ แน่นอนว่าไม่ใช่กำหนดพุ่งเป้าหมายไปที่บางคน แต่รวมถึงล้วงข้อมูลอื่นๆ การใช้เพกาซัสตอนนี้ต่างจากเทคโนโลยีกลุ่มอื่นๆใช้ในเอเชีย สิ่งต่างๆเหล่านี้ ทำให้เราหันมาระบุชี้ว่า มีหลักฐานแวดล้อม แต่ไม่สามารถระบุได้ชัด แต่สิ่งสำคัญการระบุโจมตีของเพกาซัส อาจทำให้เห็นเครือข่ายสื่อสารที่กระจาย นอกจากตัวคุณแต่ยังรวมถึงเครือข่ายที่อยู่ในมือถือที่ติดต่อกับเรา สามารถล้วงได้ทั้งหมด

นี่เป็นวิธีอันประสิทธิภาพในการล้วงข้อมูลขบวนการต่างๆ อีกสิ่งคือการสืบสวนของเรา เราเห็นการพุ่งเป้าหมายคนเป็นโหลๆในช่วงเวลานั้น แต่จากการติดตามเพกาซัสกว่า 10 ปี จะมีคนตั้งคำถามว่าเคยถูกโจมตีไหม อาจถามว่ามีข้อมูลอะไรเพิ่มที่ระบุชี้ได้ว่าใครคุมการใช้งาน ข้อมูลคนเหล่านี้อาจช่วยให้เราช่วยชี้ได้ว่าใครต้องรับผิดชอบ

ข้อสังเกตแรก การสืบสวนเหล่านี้จะเกิดขึ้นไม่ได้ จากการร่วมมือของทุกกลุ่ม ผู้เสียทุกคน ที่ให้การความยินยอมซึ่งสำคัญมาก เพราะเพกาซัสทรงพลังกับรัฐบาลในการสร้างความกลัวที่เกิดขึ้นกับสังคม การล้วงข้อมูลต่างๆ เราเห็นหากคนมีความตระหนักถึงสิ่งที่เกิดขึ้น ทุกคนจะเข้ามามีส่วนร่วมกับการสืบสวนได้

ข้อสังเกตที่ 2 การสืบสวนนี้ยังไม่จบ เราจะเห็นภาพชัดเจนมากขึ้นของการเจาะล้วงครั้งนี้ ในภาคประชาสังคม ทุกคนมีความรับผิดชอบในการตั้งคำถามว่า มีใครอีกที่จะตกเป็นเป้าหมาย

สำหรับสปายแวร์เพกาซัส มีผู้ตกเป็นเหยื่อจากการถูกเจาะเข้าระบบที่นำไปสู่การล่วงละเมิดสิทธิมนุษยชน ในต่างประเทศส่วนใหญ่คือนักการเมือง สื่อมวลชนในเลบานอน ปาเลสไตน์ ฮังการีและเม็กซิโก

กรณีที่อื้อฉาวสุด เพราะการถูกเจาะนี้นำไปสู่การสังหารอย่างโหดร้ายคือ คามาล คาช็อกกี คอลัมนิสต์ชาวซาอุดิอาระเบียที่ลี้ภัยการเมืองอยู่สหรัฐฯ ที่เพกาซัสเจาะเข้าระบบอุปกรณ์ของคู่หมั้นของคาช็อกกีทำให้รู้ความเคลื่อนไหวและนำไปสู่การลอบสังหารด้วยฝีมือของทีมเฉพาะกิจภายในสถานกงสุลซาอุดิอาระเบียในกรุงอิสตันบูลและการสืบสวนถูกโยงว่าผู้บงการให้สังหารคือ มกุฎราชกุมารโมฮัมหมัด บิน ซัลมาน เพราะคาช็อกกีเขียนบทความที่วิพากษ์วิจารณ์การบริหารประเทศของรัฐบาลซาอุดิอาระเบียโดยเฉพาะเรื่องด้านลบของราชวงศ์

เอเทียน เมเนียร์ ผู้เชี่ยวชาญด้านเทคโนโลยี แอมเนสตี้ อินเตอร์เนชั่นแนลเผยว่า ปัจจุบันเราได้เพิ่มประเทศไทยเข้าไปในรายชื่อประเทศที่มีการสอดแนมประชาชน ซึ่งจำนวนรายชื่อของประเทศต่างๆ ยังคงมีการเพิ่มขึ้นเรื่อยๆ การที่ประชาชนออกมาเรียกร้องการเปลี่ยนแปลงโดยสงบ  แสดงความเห็น และวิจารณ์นโยบายของรัฐบาล อาจส่งผลให้เกิดการสอดแนมที่ล่วงล้ำความเป็นส่วนตัว และส่งผลกระทบอย่างรุนแรงต่อเสรีภาพด้านการแสดงออก ความเป็นส่วนตัว และความรู้สึกมั่นคงปลอดภัยของบุคคล

“เราควรระลึกด้วยว่า ข้อมูลเหล่านี้เป็นเพียงข้อค้นพบเบื้องต้น แต่ขอบเขตความพยายามสอดแนมข้อมูลอาจกว้างขวางและส่งผลกระทบรุนแรงมากกว่านี้”

“แทนที่จะรับฟังและร่วมมือกับผู้ชุมนุมประท้วง นักวิชาการ และนักปกป้องสิทธิมนุษยชนเหล่านี้ พวกเขากลับใช้การสอดแนมที่ล่วงล้ำความเป็นส่วนตัวเพื่อคุกคาม ข่มขู่ โจมตี และเพื่อทำลายขวัญกำลังใจ รวมไปถึงการสร้างบรรยากาศที่น่าหวาดกลัวในสังคม ข้อค้นพบใหม่ครั้งนี้เป็นตัวอย่างที่น่าตกใจว่า ทางการสามารถใช้วิธีการอันมิชอบมากเพียงใดเพื่อควบคุมการแสดงความเห็นต่างโดยสงบ” 

แอมเนสตี้ อินเตอร์เนชั่นแนล ซึ่งเป็นภาคีร่วมการสืบสวนภายใต้โครงการเพกาซัส ก็ได้เรียกร้องมีข้อตกลงระดับโลกเพื่อยุติการขาย ส่งมอบ และใช้สปายแวร์ จนกว่าจะมีการกำหนดมาตรการควบคุมและคุ้มครองสิทธิ เพื่อกำกับดูแลการใช้งานของสปายแวร์อย่างเหมาะสม

“ทางการไทยต้องดำเนินการสอบสวนอย่างเป็นอิสระ อย่างทันที รอบด้าน และมีประสิทธิภาพ ต่อการใช้สปายแวร์เพกาซัส และใช้มาตรการที่จำเป็นเพื่อสนับสนุนให้เกิดสภาพแวดล้อมที่ปลอดภัย เพื่อสนับสนุนการมีส่วนร่วมของพลเมือง มาตรการเช่นนี้ต้องครอบคลุมถึงการแก้ไขเพิ่มเติมกฎหมายที่สนับสนุนการสอดแนมของรัฐ รวมทั้งพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ และพระราชบัญญัติข่าวกรองแห่งชาติ ให้มีเนื้อหาสอดคล้องกับกฎหมายสิทธิมนุษยชนระหว่างประเทศ รวมทั้งการปฏิบัติตามมาตรการป้องกันเพื่อคุ้มครองสิทธิความเป็นส่วนตัว และสิทธิในเสรีภาพการแสดงออกและการชุมนุมโดยสงบ”

ทั้งนี้ สฤณี อาชวานันทกุล นักวิเคราะห์และนักเขียนอิสระ ได้ให้ความเห็นว่า Citizen Lab ออกรายงานศึกษาเพกาซัส 2 ครั้งคือ ปี 2018 ซึ่งระบุชื่อชัดเจนว่าเป็นหน่วยงานรัฐอย่าง สำนักงานปราบปรามยาเสพติด และอีกครั้งคือล่าสุดนี้ ที่น่าสนใจคือ รายงานระบุว่า ผู้ปฏิบัติงานที่ใช้สปายแวร์เข้าเจาะเป็นผู้ปฏิบัติงานภายในประเทศไทย (Local-based Operator) ซึ่งหมายความได้ว่า อาจเป็น NSO Group ที่เปิดสาขาในไทย หรือบางทีอาจเป็นบริษัทของไทยที่ทำในฐานะ Subcontract รับงานซึ่งก็รับงานรัฐบาลด้วย และสปายแวร์ตัวนี้ ใช้งบประมาณไม่น้อย ซึ่งรัฐบาลอาจยื่นของบในชื่ออื่นเพื่อปกปิด อาจต้องไปดูโครงการและจำนวนงบประมาณกับกรมบัญชีกลาง ซึ่งมักอาจถูกจัดหาในชื่ออื่น เช่น โครงการจัดซื้อโปรแกรมเพื่อติดตามข้อมูล เป็นต้น

ส่วนบริษัทเอกชนในไทยที่อาจเป็นบริษัทลูกของ NSO Group หรือ Subcontract นั้น ในวงการความมั่นคงไซเบอร์ในไทยแคบมาก มีคนทำไม่มาก จึงไม่น่าใช่เรื่องยากที่จะหาตัวผู้เกี่ยวข้อง

อย่างที่จอห์นกล่าวว่า จำนวนเหยื่อ 30 คน นั้นอาจเป็นเพียงส่วนหนึ่ง และคงมีมากกว่านี้ นั้นหมายความว่า เป้าหมายของสปายแวร์ตัวนี้ สามารถเจาะเข้าระบบอุปกรณ์ของใครก็ได้อย่างง่ายดายและกว่าจะรู้ตัวก็คงโดนแล้วมากกว่าครั้งเดียว

วันนี้แค่นักเคลื่อนไหวที่เปิดหน้าวิพากษ์วิจารณ์รัฐบาลที่โดนสอดแนมติดตาม แต่ถ้าวันข้างหน้า ใครก็ตามที่แค่สงสัยหรือตั้งคำถามถึงสิ่งผิดปกติในสังคมและประเทศนี้ ด้วยข้อความหรือความเห็นสั้นๆ ไม่แน่ว่าเพียงแค่นั้น คุณอาจถูกเจาะเข้าสอดส่องทุกการเคลื่อนไหวของคุณแบบหมดไส้หมดพุง ชีวิตและเรื่องราวที่คุณเชื่อว่าส่วนตัวแล้ว จะไม่ส่วนตัวอีกต่อไป

ถึงตรงนี้ คุณทุกคนจะตระหนักได้และยอมไม่ได้แน่!