Digital Finance กลายเป็นช่องทางของอาชญากรรม
สักกะภพ พันธ์ยานุกูล ผู้ช่วยผู้ว่าการ สายนโยบายและกำกับผู้ให้บริการการชำระเงิน ธนาคารแห่งประเทศไทย (ธปท.) พูดบนเวที Special Talk งาน SX Sustainability Expo 2026 บอกว่า ธปท. สำรวจพบประชาชนประมาณ 1 ใน 3 เคยได้รับโทรศัพท์จากมิจฉาชีพ และประมาณ 1 ใน 3 เคยสูญเสียเงินจากภัยทางการเงิน แต่ในกลุ่มผู้เสียหายมีเพียงประมาณ 11% ที่สามารถติดต่อเพื่ออายัดเงินได้ทันเวลา
เงินสามารถออกจากระบบธนาคารได้ภายใน 3 นาที ขณะที่ผู้เสียหายใช้เวลาเฉลี่ยถึง 30 ชั่วโมงกว่าจะรู้ตัวหรือแจ้งความ เรื่องนี้ไม่ใช่เรื่องความล่าช้าของผู้เสียหาย แต่เป็นช่องว่างระหว่างความเร็วของระบบการเงินดิจิทัล กับความเร็วของระบบป้องกันและบังคับใช้กฎหมาย
เงินมากกว่า 80% ยังมีการโอนข้ามสถาบันการเงิน ทำให้ธนาคารแห่งหนึ่งอาจเห็นเพียงธุรกรรมที่เกิดขึ้นในระบบของตัวเอง แต่ไม่สามารถมองเห็นภาพรวมของเส้นทางเงินทั้งหมดได้โดยลำพัง โจทย์จึงไม่ใช่แค่ทำอย่างไรให้ธนาคารตรวจจับบัญชีม้าได้ดีขึ้น แต่ต้องทำอย่างไรให้ระบบการเงินทั้งระบบสามารถมองเห็นความเสี่ยงร่วมกัน และลงมือสกัดเงินได้ก่อนที่เงินจะถูกส่งต่อออกไป
จากแฮกมือถือสู่แฮกความเชื่อใจ
มาตรการของ ธปท. ในช่วงที่ผ่านมาแบ่งได้เป็น 3 ระยะ เริ่มจากการยกระดับความปลอดภัยของอุปกรณ์ ทั้งการสแกนใบหน้าในธุรกรรมเสี่ยง การควบคุมแอปพลิเคชันอันตราย และการจำกัดการใช้งานบัญชีธนาคารบนอุปกรณ์มือถือ ขยายไปสู่การจัดการบัญชีม้า การจำกัดวงเงินตามระดับความเสี่ยง การแจ้งเตือนเชิงรุก และการพัฒนาระบบ Central Fraud Registry เพื่อเชื่อมโยงข้อมูลระหว่างสถาบันการเงิน
การสร้างความรับผิดชอบร่วมกันของผู้เกี่ยวข้องตลอดกระบวนการ ตั้งแต่ผู้ให้บริการโทรคมนาคม แพลตฟอร์มออนไลน์ ไปจนถึงผู้ให้บริการทางการเงิน ความสำเร็จในการลดกรณีดูดเงินจากอุปกรณ์ไม่ได้หมายความว่าภัยทางการเงินลดลงอย่างถาวร เพราะเมื่อระบบป้องกันโทรศัพท์มือถือมีประสิทธิภาพมากขึ้น มิจฉาชีพก็เปลี่ยนยุทธวิธีจากการเจาะระบบมาเป็นการเจาะความเชื่อใจของมนุษย์
Romance Scam และ Investment Scam เป็นตัวอย่างของการหลอกลวงที่ผู้เสียหายเป็นผู้กดโอนเงินด้วยตนเอง โดยผ่านกระบวนการสร้างความสัมพันธ์ สร้างความน่าเชื่อถือ หรือเสนอผลตอบแทนที่ทำให้เหยื่อตัดสินใจโอนเงิน
ปัญหานี้ทำให้การกำกับดูแลทางการเงินต้องเผชิญโจทย์ใหม่ เพราะระบบตรวจจับธุรกรรมที่ผิดปกติอาจไม่สามารถแยกแยะได้เสมอไปว่าการโอนเงินที่ลูกค้ายืนยันด้วยตนเองนั้นเป็นธุรกรรมปกติหรือเป็นผลจากการถูกหลอกลวง
ระบบอาจยืนยันได้ว่าผู้โอนเป็นเจ้าของบัญชีจริง แต่ไม่สามารถยืนยันได้ว่าผู้โอนกำลังตัดสินใจภายใต้ข้อมูลที่ถูกต้อง ธนาคารจึงไม่อาจพึ่งพาการยืนยันตัวตน (Authentication) เพียงอย่างเดียวอีกต่อไป แต่ต้องพัฒนาความสามารถในการตรวจจับความเสี่ยงจากพฤติกรรมธุรกรรม (Behavioural Risk) และบริบทของการโอนเงินด้วย ลองดูวิธีรับมือของต่างประเทศดูบ้าง
อังกฤษเปลี่ยนกติกา ใครรับเงินจากมิจฉาชีพต้องร่วมรับผิดชอบ
สหราชอาณาจักร ปรับกติกาความรับผิดชอบของผู้ให้บริการชำระเงิน ไม่ได้จำกัดอยู่แค่การเพิ่มเครื่องมือป้องกันมิจฉาชีพ ตั้งแต่วันที่ 7 ตุลาคม 2024 อังกฤษเริ่มใช้มาตรการบังคับคืนเงินสำหรับการหลอกให้เหยื่อโอนเงินเอง หรือ Authorised Push Payment (APP) Fraud ผ่านระบบ Faster Payments และ CHAPS โดยผู้ให้บริการชำระเงินต้องคืนเงินให้ผู้เสียหายที่เข้าเงื่อนไข โดยทั่วไปภายใน 5 วันทำการ และกำหนดวงเงินชดเชยสูงสุด 85,000 ปอนด์ต่อกรณี
การแบ่งภาระชดเชยระหว่างธนาคารต้นทางและธนาคารปลายทางในสัดส่วน 50:50 หมายความว่า ธนาคารที่ดูแลบัญชีผู้เสียหายไม่ใช่ฝ่ายเดียวที่ต้องแบกรับความเสียหาย แต่ธนาคารที่เปิดบัญชีรับเงินให้มิจฉาชีพก็ต้องร่วมรับผิดชอบด้วย เป็นการสร้างแรงจูงใจให้ธนาคารทั้งสองฝั่งลงทุนในระบบป้องกัน Fraud มากขึ้น ธนาคารต้นทางต้องตรวจจับธุรกรรมที่อาจเกิดจากการหลอกลวง ขณะที่ธนาคารปลายทางต้องยกระดับการตรวจสอบลูกค้าและเฝ้าระวังบัญชีที่อาจถูกใช้รับเงินผิดกฎหมาย
มาตรการดังกล่าวอยู่ภายใต้การกำกับของ Payment Systems Regulator (PSR) และครอบคลุมผู้ให้บริการชำระเงินหลายประเภท ไม่ใช่เฉพาะธนาคารขนาดใหญ่ การคืนเงินไม่ได้เกิดขึ้นโดยไม่มีเงื่อนไข กรณีผู้เสียหายมีส่วนร่วมในการฉ้อโกงหรือประมาทเลินเล่ออย่างร้ายแรงอาจไม่ได้รับความคุ้มครอง และมีข้อยกเว้นบางประการตามหลักเกณฑ์
PSR รายงานว่าระหว่างเดือนตุลาคม 2024 ถึงมิถุนายน 2025 มีการชดเชยเงินระหว่างผู้ให้บริการชำระเงินแล้วมากกว่า 74 ล้านปอนด์ แต่ยังพบว่ามีผู้ให้บริการฝั่งรับเงินเพียง 67% ที่จ่ายเงินสมทบให้ธนาคารต้นทางภายในกรอบ 5 วัน สะท้อนว่าแม้จะมีกติกาแบ่งความรับผิดชอบแล้ว การทำให้ทุกฝ่ายปฏิบัติตามได้จริงก็ยังเป็นโจทย์สำคัญ
สิงคโปร์กำหนดหน้าที่ธนาคารและ Telco ใครละเลยต้องจ่าย
สิงคโปร์เลือกแนวทางที่ให้ความสำคัญกับการกำหนดหน้าที่ของผู้ให้บริการอย่างชัดเจน โดย Monetary Authority of Singapore (MAS) และ Infocomm Media Development Authority (IMDA) เริ่มใช้ Shared Responsibility Framework (SRF) สำหรับการหลอกลวงประเภท Phishing ตั้งแต่วันที่ 16 ธันวาคม 2024 กำหนดหน้าที่ของธนาคารและผู้ให้บริการโทรคมนาคมในการป้องกันการหลอกลวง พร้อมกำหนดแนวทางการชดเชยความเสียหาย หากผู้ให้บริการไม่ปฏิบัติตามหน้าที่ที่กำหนด
ธนาคารมีหน้าที่ในการดูแลรักษาเงินของลูกค้าและป้องกันการนำเงินออกจากบัญชีโดยมิชอบ ส่วนผู้ให้บริการโทรคมนาคมมีหน้าที่สนับสนุนด้านความปลอดภัยของช่องทางสื่อสาร เช่น การป้องกัน SMS ที่ใช้ส่งลิงก์หลอกลวงหรือขโมยข้อมูลยืนยันตัวตน
การพิจารณาความรับผิดชอบใช้แนวทางที่เรียกว่า Waterfall โดยพิจารณาหน้าที่ของสถาบันการเงินก่อน หากธนาคารละเลยหน้าที่ที่กำหนดก็ต้องรับผิดชอบความเสียหาย หากธนาคารปฏิบัติครบถ้วนจึงพิจารณาหน้าที่ของผู้ให้บริการโทรคมนาคมต่อไป หากผู้ให้บริการโทรคมนาคมละเลยหน้าที่ ก็อาจต้องรับผิดชอบความเสียหายตามหลักเกณฑ์เช่นกัน
แนวทางของสิงคโปร์จึงมีความน่าสนใจตรงที่ไม่ได้โยนความรับผิดชอบให้ประชาชนต้องระมัดระวังตัวเองเพียงฝ่ายเดียว แต่กำหนดมาตรฐานหน้าที่ของผู้ให้บริการที่เกี่ยวข้องกับการเกิดเหตุอย่างเป็นรูปธรรม
ออสเตรเลียขยายวงกำกับ จากธนาคารไปถึงแพลตฟอร์มดิจิทัล
ออสเตรเลีย ออกแบบ Scams Prevention Framework เพื่อให้การป้องกันมิจฉาชีพครอบคลุมมากกว่าระบบการเงิน กำหนดให้ผู้ให้บริการใน 3 ภาคส่วน ได้แก่ ธนาคาร โทรคมนาคม และแพลตฟอร์มดิจิทัล ต้องมีหน้าที่ป้องกัน ตรวจจับ ขัดขวาง รายงาน และตอบสนองต่อการหลอกลวง เริ่มใช้ตั้งแต่วันที่ 31 มีนาคม 2027 โดยมีหน่วยงานกำกับแยกตามภาคส่วน ได้แก่ ACCC กำกับภาพรวมและแพลตฟอร์มดิจิทัล ASIC กำกับธนาคาร และ ACMA กำกับโทรคมนาคม ขณะที่ Australian Financial Complaints Authority ทำหน้าที่เป็นช่องทางระงับข้อพิพาทสำหรับผู้บริโภค
นโยบายนี้ยอมรับว่าการหลอกลวงไม่ได้เริ่มต้นในธนาคาร แต่เริ่มจากการเห็นโฆษณาหลอกลวงบนโซเชียลมีเดีย การได้รับโทรศัพท์หรือข้อความจากมิจฉาชีพ ก่อนถูกชักจูงให้โอนเงินผ่านระบบธนาคาร หากธนาคารเป็นเพียงจุดสุดท้ายของกระบวนการ การกำกับดูแลเฉพาะธนาคารก็ย่อมไม่สามารถจัดการปัญหาทั้งหมดได้
ออสเตรเลียจึงกำลังสร้างกติกาที่ทำให้ผู้ให้บริการแต่ละประเภทต้องรับผิดชอบต่อความเสี่ยงที่เกิดขึ้นในพื้นที่ธุรกิจของตนเอง และเปิดทางให้หน่วยงานกำกับสามารถตรวจสอบและดำเนินการกับผู้ที่ไม่ปฏิบัติตามหน้าที่ เปลี่ยนจากแนวคิด Anti-Fraud ในภาคการเงิน ไปสู่การกำกับดูแล Scam Prevention ทั้งระบบนิเวศดิจิทัล
ยุโรปมองถึงก่อนโอน ต้องรู้ว่ากำลังส่งเงินให้ใคร
สหภาพยุโรป ใช้มาตรการทางเทคโนโลยีควบคู่กับกฎระเบียบระบบชำระเงิน โดย Instant Payments Regulation กำหนดให้ผู้ให้บริการชำระเงินต้องจัดให้มีบริการ Verification of Payee (VoP) เพื่อให้ผู้โอนตรวจสอบความสอดคล้องระหว่างชื่อผู้รับเงินกับหมายเลขบัญชีก่อนยืนยันการโอน ชื่อและบัญชีตรงกัน ใกล้เคียง ไม่ตรงกัน หรือไม่สามารถตรวจสอบได้ เพื่อให้ผู้โอนมีข้อมูลประกอบการตัดสินใจ
ประเทศในกลุ่มยูโรโซน ข้อกำหนดด้านการตรวจสอบผู้รับเงินเริ่มมีผลในเดือนตุลาคม 2025 มาตรการนี้ไม่ได้รับประกันว่าจะป้องกัน Romance Scam หรือ Investment Scam ได้ทั้งหมด เพราะมิจฉาชีพอาจใช้บัญชีที่เปิดด้วยชื่อจริงหรือบัญชีที่ถูกควบคุมโดยเครือข่ายอาชญากรรม แต่ช่วยลดความเสี่ยงจากการโอนผิดบัญชีและการแอบอ้างชื่อผู้รับเงินได้อีกระดับหนึ่ง แนวทางนี้ทำให้ระบบการชำระเงินไม่ได้ทำหน้าที่เพียงส่งเงินจากผู้โอนไปยังผู้รับ แต่ต้องมีเครื่องมือช่วยประเมินความเสี่ยงก่อนที่ธุรกรรมจะเสร็จสมบูรณ์
มาเลเซียสร้างศูนย์บัญชาการ สกัดเงินข้ามธนาคารแบบเรียลไทม์
มาเลเซีย เปลี่ยนการรับแจ้งความหลังเกิดเหตุ ไปสู่การจัดการเงินที่ถูกหลอกลวงแบบประสานงานทันที ตั้ง National Scam Response Centre (NSRC) โดยมีธนาคารกลางมาเลเซีย ตำรวจ และหน่วยงานที่เกี่ยวข้องทำงานร่วมกัน ผ่านสายด่วน 997 เพื่อรับแจ้งเหตุและประสานธนาคารในการระงับบัญชีหรือธุรกรรมที่เกี่ยวข้อง
พัฒนา National Fraud Portal (NFP) บริหารโดย Payments Network Malaysia (PayNet) เป็นโครงสร้างพื้นฐานกลางเชื่อมโยงธนาคาร หน่วยงานกำกับ และหน่วยงานบังคับใช้กฎหมาย เพื่อให้การตรวจสอบเส้นทางเงิน การระงับธุรกรรม และการติดตามเงินที่ถูกขโมยทำได้รวดเร็วขึ้น
หากเทียบกับสถานการณ์ไทยที่เงินสามารถเคลื่อนย้ายออกจากระบบได้ภายใน 3 นาที มาเลเซียกำลังพยายามแก้ปัญหาด้วยการลดระยะห่างระหว่างการรับแจ้งเหตุ การประสานงาน และการลงมือระงับธุรกรรม การมีศูนย์บัญชาการและระบบข้อมูลกลางไม่ได้รับประกันว่าจะเรียกคืนเงินได้ทั้งหมด เพราะหากเงินถูกส่งต่อไปยังสินทรัพย์ดิจิทัลหรือบัญชีในต่างประเทศแล้ว การติดตามและอายัดเงินก็ยังต้องอาศัยความร่วมมือข้ามพรมแดน
โกงเป็นหนึ่งในแหล่งเงินสำคัญของกระบวนการฟอกเงิน
Bangkok Blueprint ไม่ได้มอง Fraud เป็นปัญหาธุรกรรมทางการเงินที่เกิดขึ้นในระบบธนาคาร แต่ยอมรับอย่างชัดเจนว่าการหลอกลวงจำนวนมากเริ่มต้นจากนอกภาคการเงิน ทั้งโซเชียลมีเดีย แพลตฟอร์มดิจิทัล อีคอมเมิร์ซ และโทรคมนาคม การแก้ปัญหาจึงต้องขยายออกไปสู่การกำกับดูแลทั้งระบบนิเวศ โดยมีความรับผิดชอบที่ชัดเจน การแลกเปลี่ยนข้อมูลที่ทันเวลา และการประสานงานระหว่างหน่วยงานทั้งภาครัฐและเอกชน
Bangkok Blueprint เป็นกรอบแนวทางระดับนโยบาย ไม่ใช่กฎหมายบังคับใช้โดยตรง และไม่ได้กำหนดให้ทุกประเทศต้องใช้มาตรการเดียวกัน แต่เปิดให้แต่ละประเทศนำไปปรับใช้ตามกฎหมาย โครงสร้างตลาด และความพร้อมของสถาบันในประเทศ ทำให้ความท้าทายของประเทศไทยไม่ได้อยู่ที่การมีกรอบนโยบายระดับโลกอีกหนึ่งฉบับ แต่อยู่ที่การแปลงแนวคิดให้กลายเป็นกติกาที่แต่ละฝ่ายต้องปฏิบัติตามได้จริง
โจทย์ใหญ่ที่ไทยต้องตอบให้ได้
พิจารณาบทเรียนจากต่างประเทศ การยกระดับระบบป้องกัน Fraud ต้องเดินหน้าอย่างน้อย 3 ด้าน
1. เปลี่ยนจากการกำกับธนาคารเป็นรายแห่ง สู่การกำกับความเสี่ยงตลอดห่วงโซ่
ปัจจุบันธนาคารมีหน้าที่ดูแลบัญชีและธุรกรรม แต่การหลอกลวงเริ่มต้นก่อนที่เงินจะเข้าสู่ระบบธนาคารหลายขั้นตอน ตั้งแต่การซื้อโฆษณา การสร้างบัญชีปลอม การส่งข้อความ การโทรศัพท์ และการสร้างความน่าเชื่อถือให้เหยื่อ ประเทศไทย ต้องกำหนดหน้าที่ของผู้ให้บริการแต่ละประเภทให้ชัดเจน ไม่ว่าจะเป็นธนาคาร ผู้ให้บริการโทรคมนาคม แพลตฟอร์มออนไลน์ ผู้ให้บริการโฆษณา และผู้ให้บริการสินทรัพย์ดิจิทัล
คำถาม คือ หากแพลตฟอร์มปล่อยให้โฆษณาหลอกลงทุนเข้าถึงประชาชน หรือผู้ให้บริการละเลยการจัดการบัญชีและช่องทางที่ถูกใช้ก่อเหตุ จะมีมาตรฐานความรับผิดชอบอย่างไร และผู้เสียหายจะใช้สิทธิเรียกร้องจากใครได้บ้าง
2. เปลี่ยนจากการติดตามเงินหลังเกิดเหตุ เป็นการสกัดก่อนเงินออกจากระบบ
เมื่อเงินสามารถเคลื่อนย้ายได้ภายใน 2-3 นาที การรอให้ผู้เสียหายแจ้งความแล้วจึงเริ่มกระบวนการตรวจสอบย่อมไม่เพียงพอ ระบบ Central Fraud Registry และการเชื่อมโยงข้อมูลระหว่างธนาคารจึงต้องพัฒนาไปสู่การแจ้งเตือนและประเมินความเสี่ยงแบบใกล้เคียงเวลาจริง โดยเฉพาะธุรกรรมที่มีพฤติกรรมผิดปกติหรือมีความเชื่อมโยงกับบัญชีที่ถูกร้องเรียน ต้องมีมาตรการหน่วงเวลา หรือ Friction ที่เหมาะสมกับความเสี่ยง เช่น การตรวจสอบเพิ่มเติมเมื่อพบการโอนเงินที่ผิดจากพฤติกรรมเดิม หรือการแจ้งเตือนที่ช่วยให้ลูกค้าทบทวนการตัดสินใจก่อนโอนเงิน ความท้าทายคือ การสร้างสมดุลระหว่างความปลอดภัยกับความสะดวก ไม่ให้มาตรการป้องกันกลายเป็นอุปสรรคต่อการใช้บริการทางการเงินของประชาชนทั่วไป
3. เปลี่ยนจากความร่วมมือภายในประเทศเป็นการจัดการเครือข่ายข้ามพรมแดน
เครือข่ายมิจฉาชีพในปัจจุบันไม่ได้จำกัดอยู่ในประเทศเดียว ทั้งผู้ควบคุมเครือข่าย ผู้ปฏิบัติการ บัญชีรับเงิน และช่องทางฟอกเงินอาจอยู่คนละประเทศ การแลกเปลี่ยนข้อมูลระหว่างธนาคารกลาง หน่วยข่าวกรองทางการเงิน ตำรวจ และหน่วยงานกำกับดูแลระหว่างประเทศจึงมีความสำคัญมากขึ้น โจทย์ไม่ได้อยู่เพียงการส่งข้อมูลให้กัน แต่ต้องทำให้ข้อมูลดังกล่าวนำไปสู่การระงับธุรกรรม การอายัดทรัพย์สิน และการติดตามผู้รับผลประโยชน์ได้จริง โดยไม่ติดข้อจำกัดจากการประสานงานที่ล่าช้า สิ่งที่ต้องปกป้องไม่ใช่แค่เงิน แต่คือความเชื่อมั่นของเศรษฐกิจดิจิทัล อีกมิติหนึ่งที่ไม่ควรมองข้ามคือผลกระทบระยะยาวต่อความเชื่อมั่นของประชาชน
ข้อมูลสำรวจของ ธปท. ระบุว่า ประมาณ 1 ใน 4 ของผู้ที่สูญเสียเงินจากภัยทางการเงินสูญเสียความเชื่อมั่นต่อระบบออนไลน์ และประมาณ 1 ใน 10 ระบุว่าจะเลิกใช้บริการแพลตฟอร์มทางการเงิน
ความเสียหายจาก Fraud ไม่ได้จบลงที่จำนวนเงินที่ถูกขโมย แต่ยังส่งผลต่อพฤติกรรมการใช้บริการทางการเงินของประชาชนในระยะยาว เมื่อประชาชนไม่กล้าใช้บริการออนไลน์ ธุรกรรมที่ควรเกิดขึ้นในระบบก็อาจกลับไปสู่การใช้เงินสดหรือช่องทางที่มีข้อมูลน้อยกว่า ส่งผลให้ Digital Footprint ที่ใช้ประกอบการประเมินความน่าเชื่อถือทางการเงินลดลงตามไปด้วย
ผลกระทบนี้อาจขยายไปถึงโอกาสในการเข้าถึงสินเชื่อและบริการทางการเงินสมัยใหม่ โดยเฉพาะประชาชนรายย่อยและ SMEs ที่ไม่มีหลักประกันหรือประวัติสินเชื่อแบบดั้งเดิม แต่สามารถสร้างข้อมูลความน่าเชื่อถือจากพฤติกรรมการทำธุรกรรมได้ นี่คือเหตุผลที่การจัดการ Fraud ต้องถูกยกระดับจาก Consumer Protection ไปสู่ Safe and Inclusive Digital Finance
ความสำเร็จของ Bangkok Blueprint จึงไม่ควรวัดเพียงจำนวนบัญชีม้าที่ถูกปิด จำนวนธุรกรรมที่ถูกระงับ หรือมูลค่าเงินที่ติดตามกลับคืนได้ แต่ต้องวัดด้วยว่าประชาชนได้รับความเสียหายน้อยลงเพียงใด ผู้ให้บริการแต่ละภาคส่วนรับผิดชอบต่อความเสี่ยงของตนเองมากขึ้นหรือไม่ และผู้เสียหายสามารถเข้าถึงการเยียวยาได้รวดเร็วและเป็นธรรมหรือไม่ เพราะในโลกที่เงินสามารถเดินทางข้ามธนาคารและข้ามประเทศได้ภายในไม่กี่วินาที ระบบกำกับดูแลที่ยังทำงานเป็นส่วนๆ ย่อมตามไม่ทันอาชญากรรมที่ทำงานเป็นเครือข่าย
ความท้าทายจึงไม่ใช่การสร้างระบบการเงินดิจิทัลให้เร็วขึ้นอีก แต่คือการทำให้ระบบป้องกัน ความรับผิดชอบ และการเยียวยาเร็วพอๆ กับระบบที่ใช้เคลื่อนย้ายเงินของมิจฉาชีพ
ไซเบอร์วอร์มาธนาคารต้องกังวลอะไร
ธนชาติ นุ่มนนท์ เป็นนักวิชาการ ผู้เชี่ยวชาญด้านเทคโนโลยีดิจิทัล และปัญญาประดิษฐ์ (AI) ของไทย ให้มุมมองผ่านบทความวิชาการว่า ระบบธนาคารใช้มานาน ต้องได้รับการอัปเดตและดูแลเช่น การเจาะระบบหลังบ้านไม่ใช่เรื่องง่าย การอยู่หลังเครือข่ายภายในก็ไม่ได้รับประกันว่าจะปลอดภัยเสมอไป จุดที่ต้องเฝ้าระวังเป็นพิเศษคือหน้าบ้าน ทั้งเว็บไซต์ แอปบนมือถือ และระบบของคู่ค้าที่เชื่อมเข้ามา ทั้งกรณีไต้หวันและฝรั่งเศสมีรายงานว่าช่องทางที่เกี่ยวข้องกับเหตุอยู่ที่ระบบของผู้ให้บริการภายนอก
สถาบันการเงินและองค์กรที่มีระบบสำคัญส่วนใหญ่มีการเฝ้าระวังความปลอดภัยตลอด 24 ชั่วโมง 7 วัน ผ่านศูนย์เฝ้าระวังความปลอดภัยที่เรียกว่า SOC อาจดำเนินการเองหรือใช้ผู้ให้บริการภายนอก
ส่วนคำถามที่ว่าการฝากเงินกับธนาคารยังปลอดภัยไหม ต้องถอนเงินออกมาหรือไม่ ผมมองว่าไม่จำเป็น กฎหมายปราบปรามอาชญากรรมทางเทคโนโลยีฉบับแก้ไขที่ใช้มาตั้งแต่เดือนเมษายน 2568 กำหนดให้สถาบันการเงินต้องร่วมรับผิดชอบความเสียหาย หากเหตุนั้นไม่ได้เกิดจากความผิดของลูกค้าเอง ที่ไต้หวันธนาคารก็คืนเงินลูกค้าครบทุกราย แต่ถ้าเราถอนเงินสดมาเก็บไว้ที่บ้านแล้วถูกขโมย หรือถูกมิจฉาชีพหลอกให้โอนเอง ไม่มีใครรับผิดชอบแทนเรา เงินสดในบ้านจึงเสี่ยงกว่าเงินในบัญชีมาก
ส่วนหนึ่งที่อยู่ในความรับผิดชอบของเราเองคือระบบหน้าบ้านของเรา ทั้งการใช้แอปต่างๆ การตั้งรหัสผ่าน และการเปิดใช้การยืนยันตัวตนสองชั้น ไม่ควรมีเพียงรหัสผ่าน ถ้ามีการล็อกอินจากอุปกรณ์อื่นก็ต้องได้รับอนุญาตจากมือถือของเราด้วย นอกจากนี้รหัสผ่านควรยาวสิบตัวขึ้นไป เดายาก และไม่ใช้ซ้ำกันในแต่ละบริการ เพราะรหัสที่ใช้ซ้ำหลายที่มักหลุดไปอยู่ในมือคนร้ายแล้วโดยที่เราไม่รู้ ข้อสำคัญคือควรหมั่นเปลี่ยนรหัสผ่านทุก 6 เดือน สิ่งที่ควรทำคือการอัพเดท รหัสผ่านและการยืนยันตัวตนสองชั้นของเราเองแข็งแรงพอ
