อัพเดทเส้นทางเปิดโปงผู้ใช้เพกาซัส สปายแวร์ปราบชุมนุมในไทย

“เพกาซัส สปายแวร์” ถือเป็นสปายแวร์สอดส่องข้อมูลประชาชน ที่ก้าวหน้าที่สุดในยุคหนึ่ง บริษัท NSO Group ผู้พัฒนาสปายแวร์จากประเทศอิสราเอลระบุว่า เป็นเครื่องมือที่ช่วยรัฐในการป้องกันการก่อการร้าย การค้ายาและปฏิบัติการฟอกเงิน แต่ในความเป็นจริงเพกาซัสถูกรัฐบาลหลายสิบประเทศใช้งานเพื่อแอบดูข้อมูลและกดขี่ ปราบปรามผู้เห็นต่างทางการเมือง โดยเฉพาะอย่างยิ่งในรัฐเผด็จการอันนำสู่การทำลายหลักการสิทธิมนุษยชน

เพกาซัส สปายแวร์ ทำงานแบบ Zero-click approach หมายถึง เจ้าของเครื่องไม่จำเป็นต้องกดลิงค์ใดๆ สปายแวร์ก็สามารถทะลุทะลวงเข้ามาจากการอาศัยช่องโหว่ของระบบปฏิบัติการโทรศัพท์ เข้าถึงข้อมูลในโทรศัพท์ เปิดไมค์และกล้องได้เอง ทั้งนี้เพกาซัสเป็นสปายแวร์ ถือเป็นอาวุธที่ร้ายแรงจึงขายให้กับรัฐและหน่วยงานของรัฐเท่านั้น ภายใต้การกำกับดูแลของกระทรวงกลาโหมอิสราเอล

สำหรับในประเทศไทย เพกาซัสสปายแวร์เป็นที่รู้จักในวงกว้างครั้งแรกในหลังจากเดือนพฤศจิกายน 2564 Apple ส่งอีเมล์แจ้งเตือนนักกิจกรรม นักวิชาการและผู้ทำงานภาคประชาสังคมผู้ใช้งาน iPhone ว่า อาจเป็นเป้าหมายจากการโจมตีของผู้โจมตีที่สนับสนุนโดยรัฐ จึงเกิดความร่วมมือกับ Citizen Lab และ DigitalReach SEA เพื่อสืบสวนข้อเท็จจริง และสรุปเป็นรายงานเผยแพร่ในเดือนกรกฎาคม 2565 พบว่า มีผู้ถูกโจมตีด้วยสปายแวร์นี้อย่างน้อย 35 คน แทบทั้งหมดมีส่วนในการชุมนุมเพื่อเรียกร้องประชาธิปไตยในปี 2563

จากข้อเท็จจริงที่พบว่า วันที่ผู้เห็นต่างทางการเมืองถูกโจมตีมีความสัมพันธ์กับการจัดกิจกรรมและการชุมนุมประท้วงต่อต้านรัฐบาล ทำให้เชื่อได้ว่า รัฐไทยใช้งานสปายแวร์ต่อผู้เห็นต่างโดยไม่ชอบด้วยกฎหมาย เพื่อเข้าถึงข้อมูลการติดต่อสื่อสารและนำไปสู่การตัดสินใจทางการเมืองเชิงนโยบายเพื่อปราบปรามผู้ใช้เสรีภาพในการแสดงออกและการชุมนุมในช่วงเวลาดังกล่าว อย่างไรก็ตามเส้นทางการสืบสาวไปถึงผู้ที่ใช้สปายแวร์กับขบวนการเคลื่อนไหวประชาธิปไตยยังคงไม่ใช่เรื่องง่าย

กลไกสภา : กลาโหมไม่ปฏิเสธการครอบครองและไม่ได้ใช้กับ “คนทั่วไป”

วันที่ 19 กรกฎาคม 2565 ระหว่างการอภิปรายไม่ไว้วางใจรัฐบาล ศรัณย์ ทิมสุวรรณ ส.ส.จังหวัดเลย พรรคเพื่อไทย ตั้งคำถามถึงข้อครหาต่อการใช้สปายแวร์เพกาซัสในประเทศไทย ด้านชัยวุฒิ ธนาคมานุสรณ์ รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมหรือดีอี ชี้แจงรับว่า ระบบนี้มีจริง แต่เป็นงานด้านความมั่นคงหรือการปราบปรามยาเสพติด แต่ไม่ใช่อำนาจของกระทรวงดีอี

ต่อมาวันที่ 21 กรกฎาคม 2565 พิจารณ์ เชาวพัฒนวงศ์ ส.ส.พรรคก้าวไกล อภิปรายถึงหลักฐานการใช้เพกาซัส สปายแวร์ในการสอดแนมประชาชนและนักการเมืองจากพรรคก้าวไกล หลังพิจารณ์พูดจบพล.อ.ประยุทธ์ จันทร์โอชา นายกรัฐมนตรีชี้แจงเป็นเวลานานแต่ตอบคำถามเรื่องอื่นและไม่ตอบคำถามเรื่องสปายแวร์ ต่อมาในวันเดียวกันพล.อ.ชัยชาญ ช้างมงคล รัฐมนตรีว่าการกระทรวงกลาโหมชี้แจงว่า ไม่มีนโยบาย ไม่เคยกำหนดที่จะใช้สปายแวร์หรือปฏิบัติการข่าวสารไปดำเนินการที่จะไปกระทบต่อ “สิทธิของบุคคลหรือประชาชนทั่วไป” โดยไม่ได้ปฏิเสธการครอบครองของรัฐบาลไทย ในวันต่อมาพล.อ.ประยุทธ์จึงกลับมาพูดอีกครั้งและปฏิเสธว่า ไม่เคยได้ยินเรื่องนี้มาก่อน

ต่อมาวันที่ 15 กันยายน 2565 ตัวแทนผู้เสียหายเข้ายื่นหนังสือร้องเรียนต่อณัฐชา บุญไชยอินสวัสดิ์ ประธานคณะกรรมาธิการพัฒนาการเมือง การสื่อสารมวลชน และการมีส่วนร่วมของประชาชนเพื่อเรียกร้องให้ตรวจสอบการใช้สปายแวร์เพกาซัสกับผู้เห็นต่างทางการเมือง โดยณัฐชาระบุว่า จะขอให้หน่วยงานที่เกี่ยวข้องเข้ามาชี้แจงในเรื่องการใช้งบประมาณ อย่างไรก็ตามจนถึงวันที่ประกาศยับสภาผู้แทนราษฏร กลไกกมธ.ยังคงไม่สามารถนำไปสู่การเปิดโปงหน่วยงานต้นตอการใช้สปายแวร์ละเมิดสิทธิส่วนบุคคลครั้งนี้ได้

กลไกกสม. : ปีกว่ายังไม่คืบ ตั้งคำถามเบลมเหยื่อดาวน์โหลดแอพแปลก

21 กันยายน 2565 ที่สำนักงานคณะกรรมการสิทธิมนุษยชน ศูนย์ราชการแจ้งวัฒนะ กลุ่มผู้เสียหายเพกาซัสสปายแวร์ เช่น ยิ่งชีพ อัชฌานนท์ ผู้จัดการโครงการอินเทอร์เน็ตเพื่อกฎหมายประชาชน และนักกิจกรรม ไผ่-จตุภัทร์ บุญภัทรรักษา จากกลุ่มทะลุฟ้า วิชพรรษ ศรีกสิพันธุ์ จากกลุ่ม We Volunteer และตัวแทนจากแนวร่วมธรรมศาสตร์และการชุมนุมเข้ายื่นหนังสือกับศยามล ไกยูรวงศ์ กรรมการสิทธิมนุษยชนแห่งชาติ เพื่อเรียกร้องให้ตรวจสอบข้อเท็จจริงการใช้สปายแวร์เพกาซัสกับผู้เห็นต่างทางการเมือง และให้ กสม. ใช้อำนาจสั่งให้หน่วยงานที่อยู่เบื้องหลังหยุดใช้สปายแวร์ละเมิดสิทธิของประชาชนในทันที

ไผ่-จตุภัทร์ บุญภัทรรักษาระบุว่า ก่อนหน้านี้ความเห็นของ กสม. มีความหมายมาก แต่หลังจากการรัฐประหารปี 2557 เรารู้กันในทางนัยยะว่า กสม. นั้นก็เป็นเหมือนเสือกระดาษ ตอนนี้จึงอยากฝากฝัง กสม. ให้ทำงานปกป้องสิทธิของประชาชนอีกครั้ง ขอเสนอให้ กสม. เรียกทุกฝ่ายที่เกี่ยวข้อง ไม่ว่าจะเป็นหน่วยงานราชการหรือผู้เสียหายมาหารือกันโดยเร็ว เนื่องจากมีการละเมิดสิทธิเกิดขึ้น

ต่อมาเดือนธันวาคม 2565 กสม.ขอให้ยิ่งชีพ อัชฌานนท์ ผู้อำนวยการโครงการอินเทอร์เน็ตเพื่อกฎหมายประชาชน (iLaw) ไปให้ข้อมูลเพิ่มเติม แต่คำถามหลายคำถามที่ได้รับจากเจ้าหน้าที่ในที่ประชุมวันดังกล่าวแสดงให้เห็นว่า ไม่มีความเชื่อมั่นว่า การละเมิดสิทธิความเป็นส่วนตัวโดยเพกาซัสเกิดขึ้นจริง และมีการตั้งคำถามลักษณะโยนภาระความรับผิดชอบให้เหยื่อ ทำนองว่า ผู้ที่ตรวจพบการเจาะระบบโดยเพกาซัสทั้ง 35 คนเคยนั่งคุยกันไหมว่า มีการใช้แอพพลิเคชั่นที่ไม่น่าไว้วางใจเหมือนกันหรือไม่ อย่างไรก็ตามจนถึงเดือนตุลาคม 2566 กสม.ยังไม่ได้เผยแพร่รายงานการตรวจสอบกรณีการร้องเรียนดังกล่าวออกมา

กลไกศาล : ฟ้อง 3 คดี ศาลรีบปัดไม่รับฟ้อง

1. เหยื่อ 8 คนฟ้อง NSO Group ต่อศาลแพ่ง
สถานะ : จำหน่ายคดี

วันที่ 15 พฤศจิกายน 2565 ผู้เสียหาย 8 คนจากการละเมิดสิทธิความเป็นส่วนตัวของสปายแวร์เพกาซัสยื่นฟ้องต่อศาลแพ่ง ในความผิดฐานละเมิดจนก่อให้เกิดความเสียหาย เป็นการล่วงละเมิดสิทธิส่วนบุคคลขั้นร้ายแรง ซึ่งไม่มีกฎหมายฉบับใดในประเทศไทยให้อำนาจทั้งรัฐและเอกชนที่จะล้วงข้อมูลในโทรศัพท์เช่นนี้ได้ โดยยื่นฟ้องบริษัท NSO Group จำกัด ที่เป็นผู้ผลิตและจำหน่ายสปายแวร์นี้ให้กับรัฐบาลไทยและมีส่วนรู้เห็นการใช้งานสปายแวร์นี้

โดยในคำฟ้องอธิบายว่า การใช้เทคโนโลยีเจาะเข้ามาในโทรศัพท์มือถือและได้ข้อมูลทุกอย่าง เข้าถึงข้อมูลที่เป็นส่วนตัวทุกประเภท รวมทั้งการเปิดไมโครโฟนเพื่อแอบฟังบทสนทนา และการเปิดกล้อง เพื่อแอบดูภาพที่เกี่ยวข้องเจ้าของเครื่อง เป็นการทำลายความเป็นส่วนตัวของโจทก์โดยสิ้นเชิง และเมื่อสปายแวร์เจาะเข้ามาในโทรศัพท์ครั้งหนึ่งแล้วก็สามารถเข้าถึงข้อมูลต่างๆ ได้อย่างไม่มีจำกัดเวลา ทำให้โจทก์ทั้ง 8 คนได้รับความเสียหายต่อสิทธิเสรีภาพขั้นพื้นฐานอย่างต่อเนื่องยาวนาน และเรียกร้องค่าเสียหายคนละ 1,000,000 บาท ซึ่งเป็นความเสียหายอันไม่ใช่ตัวเงิน ตามประมวลกฎหมายแพ่งและพาณิชย์มาตรา 446

ต่อมาวันที่ 26 พฤศจิกายน 2565 ศาลแพ่งมีคำสั่งจำหน่ายคดี เนื่องจากการละเมิดที่เกิดขึ้นกับเหยื่อทั้งเกิดต่างกรรมต่างวาระกัน จึงไม่อาจเป็นคู่ความร่วมในคดีเดียวกันได้ จึงคืนคำฟ้องเพื่อเขียนฟ้องใหม่และให้จำหน่ายคดีออกจากสารบบ

2. ไผ่ ดาวดินฟ้อง NSO Group ต่อศาลแพ่ง

สถานะคดี : ศาลรับฟ้อง นัดชี้สองสถานวันที่ 6 พ.ย. 2566

วันที่ 13 กรกฎาคม 2566 ไผ่-จตุภัทร์ บุญภัทรรักษา นักกิจกรรมเป็นโจทก์คนเดียวยื่นฟ้อง NSO Group ต่อศาลแพ่งเรียกค่าเสียหายจากการละเมิดสิทธิความเป็นส่วนตัว 2,500,000 บาท เหตุที่ฟ้องร้องเนื่องจาก NSO Group เป็นผู้พัฒนาเพกาซัส สปายแวร์ อาวุธสงครามไซเบอร์ที่สามารถสอดแนมแบบไร้การคลิก (Zero-click approach) สามารถเข้าถึงข้อมูลส่วนบุคคลของเป้าหมายโดยวิธีการที่ไม่ชอบด้วยกฎหมาย โดยในคำฟ้องอธิบายว่า หลังจากที่ขายสิทธิการใช้งานให้แก่รัฐบาลต่างๆ แล้ว NSO Group ยังมีหน้าที่ให้การดูแล ควบคุมการใช้งานสปายแวร์ดังกล่าวกับบุคคลเป้าหมาย โดยเมื่อรัฐบาลที่ซื้อสปายแวร์ดังกล่าวระบุตัวเป้าหมายแล้ว NSO Group เป็นผู้ที่ควบคุมเพื่อทำการเจาะระบบ สอดแนมบุคคลเป้าหมาย ทำสำเนาข้อมูลและส่งให้กับหน่วยงานของรัฐอีกทอดหนึ่ง

ในประเทศไทย หลังการจัดซื้อแล้ว NSO Group ยังทำหน้าที่อบรมการใช้งานให้เจ้าหน้าที่ของรัฐในการใช้กับโจทก์ และพบว่า มีการใช้งานสปายแวร์ดังกล่าวตั้งแต่เดือนพฤษภาคม 2557 ระหว่างการชุมนุมทางการเมืองปี 2563-2565 มีการใช้สปายแวร์สอดส่องนักกิจกรรม นักวิชาการ นักการเมืองและผู้ทำงานในภาคประชาสังคมอย่างน้อย 35 คนหลายครั้ง ในส่วนของไผ่เกิดขึ้นระหว่างเดือนมิถุนายนถึงกรกฎาคม 2564 อย่างน้อย 3 ครั้ง โดยเป็นช่วงที่เกี่ยวเนื่องกับการเตรียมการการชุมนุม การกระทำของ NSO Group ในการผลิต พัฒนา จำหน่ายต่อรัฐและควบคุมเพื่อให้ได้ข้อมูลของโจทก์เป็นการละเมิดต่อเสรีภาพที่ประกันไว้ในรัฐธรรมนูญ 2560 พ.ร.บ.คอมพิวเตอร์ฯ และหลักการระหว่างประเทศ

คดีนี้ศาลรับฟ้องและส่งหมายเรียกคู่ความไปยังประเทศอิสราเอล ต่อมาบริษัท NSO Group แต่งตั้งทนายความมาสู้คดี โดยศาลแพ่งนัดชี้สองสถานวันที่ 6 พฤศจิกายน 2566

3. ยิ่งชีพและอานนท์ฟ้องสำนักนายกฯ ต่อศาลปกครอง

สถานะคดี : อยู่ระหว่างการอุทธรณ์คำสั่งไม่รับฟ้อง

วันที่ 20 มิถุนายน 2566 ยิ่งชีพ อัชฌานนท์ ผู้อำนวยการโครงการอินเทอร์เน็ตเพื่อกฎหมายประชาชน (iLaw) และอานนท์ นำภา ทนายความสิทธิมนุษยชนฟ้องคดีกับศาลปกครองต่อหน่วยงานรัฐ 9 หน่วยงานที่อาจมีส่วนเกี่ยวข้องกับการดำเนินการดังกล่าวโดยมีสำนักนายกรัฐมนตรี ซึ่งกำกับดูแลกองอำนวยการรักษาความมั่นคงภายใน (กอ.รมน.) และสำนักข่าวกรองแห่งชาติ เป็นผู้ถูกฟ้องคดีที่ 1 สำหรับหน่วยงานรัฐอื่นๆ ที่ถูกยื่นฟ้องในคดีนี้ได้แก่ สำนักงานตำรวจแห่งชาติ กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม กองทัพบก กองทัพเรือ กองทัพอากาศ กรมสอบสวนคดีพิเศษ กระทรวงการคลัง และคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์

วันที่ 21 สิงหาคม 2566 ศาลปกครองมีคำสั่งไม่รับฟ้องระบุว่า คำฟ้องของผู้ฟ้องคดีเป็นการบรรยายฟ้องที่มีเจตนากล่าวอ้างว่า เจ้าหน้าที่ในสังกัดของผู้ถูกฟ้องคดีกระทำการละเมิดเพื่อแสวงหาประโยชน์ในการแสวงหาข้อเท็จจริงและหลักฐานเกี่ยวกับการกระทำความผิดหรือหาตัวผู้กระทำความผิดที่มีโทษทางอาญา ดังนั้นการเข้าถึงข้อมูลคอมพิวเตอร์ดังกล่าว จึงเป็นขั้นตอนการสืบสวนตามพ.ร.บ.คอมพิวเตอร์ฯ ที่มีการบัญญัติโทษทางอาญาให้อำนาจไว้โดยตรง การกระทำละเมิดตามฟ้องจึงเป็นการกระทำละเมิดอันเนื่องมาจากการดำเนินกระบวนการยุติธรรมทางอาญาโดยมิชอบด้วยประมวลกฎหมายวิธีพิจารณาความอาญาหรือกฎหมายพิเศษของฝ่ายปกครองที่มีการบัญญัติโทษทางอาญาไว้ กรณีนี้จึงไม่ใช่การคดีพิพาทที่ศาลปกครองมีอำนาจรับฟ้อง

ส่วนข้อกล่าวหาว่ารัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมละเลยต่อหน้าที่ไม่ควบคุมหรือกำกับปล่อยให้เจ้าหน้าที่กระทำการโดยมิชอบนั้น จะต้องวินิจฉัยประเด็นว่าเจ้าหน้าที่ของผู้ถูกฟ้องคดีดำเนินกระบวนการยุติธรรมทางอาญาชอบด้วยกฎหมายหรือไม่ก่อน หากเป็นกระบวนการที่ชอบด้วยกฎหมายย่อมไม่เป็นการกระทำละเมิด ข้อนี้จึงเกี่ยวเนื่องกับการดำเนินกระบวนการยุติธรรมทางอาญา ศาลปกครองจึงมีคำสั่งไม่รับคำฟ้องและจำหน่ายคดีออกจากสารบบความ คืนเงินค่าธรรมเนียมทั้งหมดให้แก่ผู้ฟ้องคดี

คดีนี้อยู่ระหว่างการอุทธรณ์ โดยผู้ฟ้องคดียืนยันว่า คำฟ้องไม่ได้บรรยายมุ่งไปที่หน่วยงานรัฐเจาะถึงข้อมูลของผู้ฟ้องคดีโดยไม่มีฐานกฎหมายใดให้อำนาจ กระทำโดยไม่มีฐานอำนาจตามกฎหมายทั้งหมด ไม่ใช่การละเมิดขั้นตอนตามพ.ร.บ.คอมพิวเตอร์ฯ แต่เป็นการกระทำทางปกครอง ศาลปกครองมีอำนาจรับพิจารณาคดี ขณะนี้ศาลได้ส่งอุทธรณ์ให้ศาลปกครองสูงสุดพิจารณา

กลไกระหว่างประเทศ : ผู้แทนพิเศษส่งจดหมายถึงรัฐบาลไทย แต่เรื่องยังเงียบ

วันที่ 19 เมษายน 2566 ผู้รายงานพิเศษแห่งองค์การสหประชาชาติ (UN special rapporteur) ส่งจดหมายถึงรัฐบาลไทยเพื่อให้ประเทศไทย “คลี่คลาย” กรณีการใช้สปายแวร์คุกคามและล้วงข้อมูลประชาชนโดยเร็ว เนื่องจากผู้ตกเป็นเหยื่อของสปายแวร์เพกาซัสส่วนใหญ่เป็นเยาวชนที่เคลื่อนไหวทางการเมืองและร่วมการชุมนุมทางการเมือง รวมทั้งยังมีคนทำงานด้านสิทธิมนุษยชนที่ตกเป็นเหยื่อด้วย การใช้เพกาซัสในประเทศไทยจึงเกี่ยวข้องกับการละเมิดสิทธิหลายมิติ จดหมายแสดงความกังวลฉบับดังกล่าวระบุว่าสหประชาชาติอาศัยข้อความตามประกาศของคณะมนตรีสิทธิมนุษยชนแห่งชาติ (United Nations Human Rights Council) หรือ UNHRC ในการเรียกร้องให้รัฐบาลไทยทำตามข้อเรียกร้องทั้งเจ็ดข้อ เช่น ให้ข้อมูลเพิ่มเติมเกี่ยวกับข้อกล่าวการใช้สปายแวร์เพกาซัสต่อประชาชนภายในประเทศ และให้ข้อมูลเกี่ยวกับมาตรการการปกป้องสิทธิส่วนบุคคล เสรีภาพในการแสดงออก และเสรีภาพในการรวมกลุ่ม

ผู้รายงานพิเศษขององค์การสหประชาชาติให้เวลารัฐบาลไทยในการตอบกลับอยู่ที่ 60 วัน นับจากวันที่ 19 เมษายน 2566 แต่รัฐบาลไทยไม่ได้ตอบกลับจดหมายดังกล่าวตามเวลาที่กำหนด UNHRC จึงเปิดเผยจดหมายข้อเรียกร้องฉบับนี้ลงบนเว็บไซต์ของ UNHRC โดยไม่ได้มีคำอธิบายจากรัฐบาลไทยประกอบด้วย