เราคิดว่าอีเมลที่ส่งผ่าน Microsoft 365 หรือ Gmail ธุรกิจนั้น “ถูกเข้ารหัสตามมาตรฐานเสมอ” ใช่ไหมครับ? แต่ความจริงคือ ถ้ามีปัญหาการเข้ารหัสเกิดขึ้นระหว่างส่ง (เช่น ฝั่งรับไม่รองรับ TLS) — ระบบจะ: - Google Workspace: ยอมลดมาตรฐาน กลับไปใช้ TLS 1.0 หรือ 1.1 ที่เก่ามาก (เสี่ยงต่อการดักฟัง) - Microsoft 365: ถ้าหา TLS ที่ใช้งานร่วมกันไม่ได้เลย ก็ส่งออกไปเลย “แบบไม่เข้ารหัส” — โดยไม่มีการเตือนใด ๆ! ผลคือข้อมูลละเอียดอ่อน เช่น Health Data, PHI, หรือเอกสารทางกฎหมาย อาจรั่วไหลโดยที่ทั้งผู้ใช้ และแอดมิน “ไม่รู้ตัวเลยว่ามันไม่ได้เข้ารหัส” — ซึ่งอันตรายมาก ๆ โดยเฉพาะในวงการ Healthcare ที่ต้องทำตามกฎ HIPAA งานวิจัยจาก Paubox ยังพบว่า: - 43% ของเหตุการณ์ข้อมูลรั่วใน Healthcare ปี 2024 เกี่ยวข้องกับ Microsoft 365 - 31.1% ขององค์กรที่ถูกเจาะ มีการตั้ง “บังคับใช้ TLS” แล้ว — แต่ระบบก็ยัง fallback ลงมาโดยไม่แจ้งเตือน ✅ Microsoft 365 จะส่งอีเมลเป็น plain text หากเข้ารหัส TLS ไม่สำเร็จ   • ไม่มีการแจ้งผู้ส่ง หรือ log เตือน   • เสี่ยงละเมิดกฎข้อมูล เช่น HIPAA หรือ GDPR ✅ Google Workspace ยอมใช้ TLS เวอร์ชัน 1.0/1.1 ที่เสี่ยงต่อการถูกโจมตีแบบ downgrade   • ไม่ปฏิเสธอีเมล ไม่แจ้งเตือนเช่นกัน ✅ รายงานจาก Paubox ชี้ว่าพฤติกรรม default เหล่านี้ก่อให้เกิด blind spot ร้ายแรง   • ให้ “ความมั่นใจจอมปลอม” (false sense of security) แก่ผู้ใช้งาน   • สุดท้ายเปิดช่องให้ข้อมูลรั่วไหลเงียบ ๆ ✅ กรณี Solara Medical (2021): อีเมลไม่มี encryption ทำให้ข้อมูลผู้ป่วย 114,000 รายรั่ว — ถูกปรับกว่า $12 ล้าน ✅ หน่วยงานด้านความมั่นคง เช่น NSA เตือนห้ามใช้ TLS 1.0/1.1 เพราะมีช่องโหว่ downgrade attack https://www.techradar.com/pro/security/microsoft-365-and-google-workspace-could-put-sensitive-data-at-risk-because-of-a-blind-spot-in-default-email-behavior