ฟังสื่อมวลชนก็จะคิดว่า Pokémon Go เป็นเรื่องเลวร้ายที่สุดนับตั้งแต่ Brexit, Trident และ Donald Trump
แอปนี้ทำให้คนชนรถ รายงานตำรวจว่าซ่อนโปเกมอน และเดินทางเข้าซอยมืดโดยไม่รู้ตัว แต่ก็มีสิ่งดีบางอย่างเกิดขึ้นเช่นกัน
สำหรับผู้ที่กังวลเรื่องความเป็นส่วนตัว ปัญหาได้ถูกยกขึ้นมาจากสิทธิ์การเข้าถึงของแอป และข้อมูลถูกเก็บรักษาอย่างไร…
เรื่องราวของสิทธิ์การเข้าถึง (App Permissions) คืออะไร?
ปัญหาเริ่มต้นเมื่อผู้ใช้ iOS สังเกตเห็นเงื่อนไขในสิทธิ์แอปที่ดูน่ากลัว ดูเหมือนจะให้ผู้พัฒนา Niantic Labs ได้ "เข้าถึงเต็มที่" (Full Access) บัญชี Google ของคุณ หมายความว่าพวกเขาอาจอ่าน Inbox ส่งอีเมล ดูรายชื่อ เปลี่ยนรหัสผ่าน ดูประวัติเบราว์เซอร์และตำแหน่ง และทำอะไรก็ได้กับเอกสารและรูปภาพใน Google Drive
หากเป็นจริง ล้านล้านคนก็จะมอบกุญแจชีวิตให้คนแปลหน้าแลกกับความทรงจำวัยเด็ก Niantic จะบรรลุสิ่งที่หน่วยงานเฝ้าระวังของรัฐบาลปรารถนา
แต่จริงๆ แล้ว "Full Access" ในกรณีนี้ไม่ได้หมายถึงการเข้าถึงเต็มที่จริงๆ
ดูไม่น่าเชื่อ แต่มาจากข้อผิดพลาด Niantic ใช้เวอร์ชันเก่าของบริการ Sign-on แบบร่วมของ Google ซึ่งทำให้กระบวนการสมัครสมาชิกง่ายขึ้น แต่ขอสิทธิ์มากเกินไป Google และ Niantic รับรองว่าแอปได้รับเฉพาะสิทธิ์พื้นฐาน Niantic ออกประกาศว่า:
"เราพบเพิ่งมากว่ากระบวนการสร้างบัญชี Pokémon Go บน iOS ขอสิทธิ์ Full Access ผิดพลาด… Google ยืนยันว่าไม่มีข้อมูลอื่นถูกเข้าถึงหรือเก็บรวบรวมโดย Pokémon Go หรือ Niantic Google จะลดสิทธิ์ของ Pokémon Go ให้เหลือแค่ข้อมูลโปรไฟล์พื้นฐานที่จำเป็น ผู้ใช้ไม่ต้องทำอะไรเพิ่มเติม"
เฮ้ว! ทุกคนนอนหลับได้สบายใจแล้ว—โดยเฉพาะหากดาวน์โหลดอัปเดต แล้วลงชื่อออกและเข้าใหม่ จะแก้ไขสิทธิ์ให้ถูกต้อง
ยังไงก็ตาม ข้อผิดพลาดนี้น่าประหลาดใจ และเป็นหลักฐานว่าส่วนใหญ่เราไม่อ่านสิทธิ์ที่ยอมรับก่อนสมัคร Android Marshmallow เองก็ระบุสิทธิ์ที่เกมต้องการชัดเจน
จริงๆ แล้ว Pokémon Go เก็บข้อมูลอะไรบ้าง?
ในประกาศเดียวกัน Niantic รับรองว่า:
"Pokémon Go เข้าถึงเฉพาะข้อมูลโปรไฟล์ Google พื้นฐาน (User ID และอีเมล) เท่านั้น ไม่มีข้อมูล Google Account อื่นๆ ถูกเข้าถึงหรือเก็บรวบรวม"
ไม่ว่าจะลงชื่อด้วย Google หรือ Pokémon Trainer Club คุณก็ให้อีเมลและชื่อผู้ใช้ไป—มาตรฐานทั่วไปของเกม
มีสิทธิ์อีก 2 อย่างที่ชัดเจน: ข้อมูลตำแหน่ง (Location) และ การเข้าถึงที่เก็บข้อมูล (Storage) เกมนี้ใช้ GPS โดยไม่รู้ตำแหน่งและระยะทางที่เดิน เกมเล่นไม่ได้
ยังต้องการเข้าถึงกล้องเพื่อ Augmented Reality (AR) แต่การเปิด AR ไม่จำเป็น หากกังวลแบตเตอรี่ ปิด AR จะช่วยประหยัดพลังงานและหลีกเลี่ยงการเข้าถึงกล้อง
Nils Tracy หัวหน้าเทคโนโลยี สื่อ และโทรคมนาคมที่ Height Securities เตือนว่า:
"มันไม่บันทึกวิดีโอลงโทรศัพท์ แต่มีความสามารถที่จะทำได้"
นี่คือจุดกังวลมากที่สุด: ศักยภาพ ของแอปที่อาจถูกใช้ละเมิดความเป็นส่วนตัว
ก่อนขยาย Pokédex ไปสู่โปเกมอนรุ่นใหม่ Niantic วางแผนแก้ไขรายการที่ผู้ใช้ต้องการมากที่สุด เช่น ความสามารถหลายผู้เล่น (Multi-player) ซึ่งอาจเป็นเหตุผลที่ต้องการเข้าถึงรายชื่อ แต่ดูเหมือนว่าสิทธิ์สำหรับอัปเดตอนาคตถูกสร้างไว้ตั้งแต่เวอร์ชันแรก ตอนนี้ไม่มีความจำเป็นที่จะเก็บข้อมูลนั้น
ข้อมูลของคุณจะถูกนำไปทำอะไร?
ทุกคนสามารถผ่อนคลายได้: บุคคลที่สามและแฮกเกอร์เข้าถึงอีเมลผ่าน Pokémon Go ไม่ได้ แต่ยังมีสิ่งที่ต้องกังวล…
Niantic ยังสามารถส่งต่อข้อมูลบางส่วนให้บุคคลที่สาม รวมถึงผู้ซื้อที่อาจจะมี (กรณีถูกซื้อกิจการหรือล้มละลาย) และหน่วยงานบังคับกฎหมาย ข้อมูลนั้นไม่รวม Inbox เพราะแอปไม่ได้รับสิทธิ์นั้น แต่เป็น ข้อมูลระบุตัวตนส่วนบุคคล (PII) เช่น หมายเลขโทรศัพท์ วันเกิด และอีเมล ข้อมูลเหล่านี้ยังคงมีค่ามาก ถือเป็นทรัพย์สินทางธุรกิจ ไปอย่างดี The Pokémon Company ปฏิบัติตามนโยบายของ Nintendo:
"เราไม่แชร์ ขาย หรือให้เช่าข้อมูลส่วนตัวของคุณให้บุคคลที่สามโดยไม่ได้รับความยินยอมล่วงหน้า"
แต่ก็มีทาง繞: "ความยินยอมล่วงหน้า" ในส่วนใหญ่หมายถึงคุณยอมรับเงื่อนไขและข้อกำหนด (Terms and Conditions) ซึ่งคุณต้องยอมรับอยู่ดีเพื่อเล่นเกม
ข้อมูลรวมถึงตำแหน่ง ระบบปฏิบัติการ (OS) การตั้งค่า และตัวระบุอุปกรณ์ (Device ID) อาจถูกใช้เพื่อปรับปรุงบริการ Pokémon Go — แต่ว่า "บริการ" ที่แท้จริงรวมอะไรบ้าง ยังไม่ทราบ โฆษณาตามตำแหน่ง (Location-based advertising) อาจถูกมองโดย Niantic ว่าเป็นบริการที่ปรับปรุงแล้ว โปเกมอนน้ำออกมาเมื่อใกล้แม่น้ำ แต่จินตนาการดู: Machamp อาจโผล่ออกมาเมื่อคุณอยู่ใกล้ฟิตเนส…
Niantic ยอมรับว่าจัดเก็บข้อมูลตำแหน่ง แต่ไม่ได้กล่าวถึงว่ารูปภาพที่คุณถ่ายโปเกมอนและพื้นหลัง AR จะถูกนำไปทำอะไร
คำถามสำคัญคือ: ข้อมูลของเราปลอดภัยไหม?
ด้วยข้อมูลจำนวนมหาศาลจากผู้ใช้ทั่วโลก เซิร์ฟเวอร์ของ Niantic เป็นเป้าหมายใหญ่สำหรับแฮกเกอร์ และบริษัทไม่เปิดเผยมาตรการรักษาความปลอดภัย (ซึ่งเข้าใจได้) พวกเขาเคยถูกโจมตี DDoS แล้ว หากกลุ่มแฮกเกอร์ 2 กลุ่มพูดจริง
เมื่อแอปเล่นไม่ได้หลายชั่วโมงสุดสัปดาห์ที่แล้ว สรุปง่ายคือเซิร์ฟเวอร์ไม่รับน้ำหนัก แต่ PoodleCorp และ OurMine ต่างรับผิดชอบ OurMine โจมตี DDoS เพื่อให้ Niantic รู้ว่าเซิร์ฟเวอร์ไม่ปลอดภัย สัญญาจะหยุดเมื่อ Niantic ติดต่อสอบถามวิธีปกป้องข้อมูล PoodleCorp ขู่ทำซ้ำวันที่ 1 สิงหาคม เพราะเหตุผลที่ไม่อ่อนนoble:
"เราทำเพราะเราทำได้ ไคร้ห้ามเราไม่ได้ เราแค่ชอบสร้างความวุ่นวาย"
น่ารักจริงๆ
ยังมีสิ่งอื่นที่ควรกังวลไหม?
นักล่าความลับอาจอ่านมากไปในคำเตือนของครีมลินว่า Pokémon Go ขโมยข้อมูลมหาศาลอย่างลับลับ Putin รายงานว่าจะแบนแอป นี่คงทำให้แฟนใน UK รำคาญที่ได้ดาวน์โหลดก่อนเวลาโดยเปลี่ยน Region ใน App Store หรือใช้ APK
ความสงสัยของครีมลินมาจากอดีตของ John Hanke CEO ของ Niantic เคยเป็น CEO ของ Keyhole Inc. (สร้าง Google Earth) ซึ่งได้ทุนจาก In-Q-Tel (זרועทุนจัยของ CIA) และโดยเฉพาะ National Geospatial-Intelligence Agency (NGA) ที่สนับสนุนข่าวกรองและการป้องกันของสหรัฐ
承認ว่า น่ากลัวเล็กน้อย แต่ต้องมีหลักฐานเพิ่มเติมเกี่ยวกับความสัมพันธ์ของ Hanke กับ CIA ก่อนที่จะกล่าวหา Pokémon Go ว่าเป็นเครื่องมือของอิลลูมิณาติ
แอปยังไม่เปิดในรัสเซีย แต่แฟนใน UK ดาวน์โหลดก่อนเวลาได้โดยเปลี่ยน Region หรือใช้ APK หากคุณดาวน์โหลด APK หรือพบเวอร์ชันปลอม ต้องกังวลมัลแวร์
กลับมาเกมจริง ใน Terms of Service ที่ไม่มีใครอ่าน มีเงื่อนไขน่าสนใจ: ห้ามฟ้องร้องหรือร่วมฟ้องร่วมกัน (Class Action) ต่อ Niantic
กล่าวคือ Pokémon Go ตัดสิทธิทางกฎหมายของคุณ
หากดาวน์โหลดเกมภายใน 30 วันที่ผ่านมา ยังสามารถ Opt-out ได้โดยอีเมลหาบริษัท หลายบริษัทมีเงื่อนไขคล้ายกันใน Terms of Service
ควรตกใจหรือไม่?
ไม่ ตอบง่ายๆ เลย
แม้เราจะต้องตั้งคำถามต่อสิทธิ์แอปตลอดเวลา สิทธิ์ที่ให้ Pokémon Go จำเป็นสำหรับการทำงานของแอป และคล้ายกับแอปอื่นๆ มาก Facebook รู้เกี่ยวกับคุณมาก แต่มากกว่าคนยินดีทิ้งข้อมูลบนโซเชียล Google เหมือนกัน ตามที่ John McAfee พูด:
"ทำไมต้องจับ Pokémon Go ไปทำไม? เมื่อมีแอป 250,000 ตัวทำอย่างนี้มาปีแล้ว?"
