กระแสสร้างความตื่นกลัวของคนไทยช่วงนี้ คงหนีไม่พ้นกับเรื่อง บัตรเครดิต บัตรเดบิต ถูกใช้งานไปไม่รู้ตัว จนเงินในบัญชีก็หายไปด้วยเช่นกัน ทำให้หลายคนเริ่มถอนเงินสดออกจากธนาคารบ้างแล้ว เพราะไม่มั่นใจกับระบบความปลอดภัยของธนาคาร อย่างไรก็ตาม ต้นเหตุของปัญหานี้มีอยู่หลายทาง ที่อาจจะไม่ได้เป็นปัญหาความปลอดภัยธนาคารเสียทีเดียว
เรื่องนี้ ผยง ศรีวณิช ประธานสมาคมธนาคารไทย ออกมาชี้แจงว่า กรณีการตัดเงินที่ผิดปกติ ผ่านบัตรเครดิตและบัตรเดบิตของลูกค้าจำนวนมาก ตั้งแต่ต้นเดือนตุลาคมที่ผ่านมา มีบัตรที่มีการใช้งานผิดปกติจากเหตุข้างต้นจำนวน 10,700 ใบ คิดเป็นมูลค่า 131 ล้านบาท แบ่งเป็น บัตรเครดิตจำนวน 5,900 ใบ มูลค่า 100 ล้านบาท บัตรเดบิตจำนวน 4,800 ใบ มูลค่า 31 ล้านบาท โดยช่วงสุดสัปดาห์ที่ผ่านมา ระหว่างวันที่ 14-17 ตุลาคม ส่วนใหญ่เป็นการโจรกรรมจากบัตรเดบิต
สาเหตุสำคัญเกิดจากการที่มิจฉาชีพ สุ่มข้อมูลบัตรและนำไปสวมรอยทำธุรกรรมผ่านร้านค้าออนไลน์ต่างประเทศ รวมถึงเกมออนไลน์ ที่ไม่มีการใช้ One Time Password (OTP) ทั้งนี้ มีการใช้ระบบบอต (Bot) ในการสุ่มเลขบัตร โดยเลขบัตร 6 หลักแรก มีกับทางร้านค้าออนไลน์ต่างประเทศ แล้วเลขอีก 6 หลักหลัง จะใช้อัลกอริทึ่ม (Algorithm) สุ่มเลข พร้อมรันวันหมดอายุบัตร เมื่อประมวลเข้ากันแล้ว ก็จะมีการใช้งานบัตรได้ โดยไม่จำเป็นต้องใช้รหัสหลังบัตร (CVV) 3 หลัก ต่อมามิจฉาชีพจะทำรายการใช้บัตรมีจำนวนเงินต่ำ เช่น 1 เหรียญสหรัฐ มีการใช้เป็นจำนวนหลายๆ ครั้ง ไปจนถึงการใช้งานยอดสูงๆ
ประธานสมาคมแบงก์ ยังยืนยันอีกว่า เหตุที่เกิดขึ้นไม่ได้เกิดจากการรั่วไหลของข้อมูลจากระบบธนาคาร ซึ่งธนาคารมีระบบตรวจจับธุรกรรมที่ผิดปกติ โดยแต่ละธนาคารจะกำหนดเพดานและเงื่อนไขการใช้งานของบัตร ตามลักษณะประเภทร้านค้าและประเภทสินค้าแตกต่างกันไป แต่เนื่องจากมีจำนวนธุรกรรมเข้ามาจำนวนมาก ทำให้ไม่สามารถแจ้งเตือนผู้ใช้งานได้ทันที
สอดคล้องกับทางวีซ่า (Visa) หนึ่งในผู้ให้บริการเครือข่ายบัตรทั่วโลก ได้ออกรายงานแจ้งเตือนตั้งแต่เดือนสิงหาคม 2564 ระบุว่า การโจรกรรมดังกล่าวเป็นลักษณะแบบ enumeration attacks หรือการสุ่มเลข และ account testing ที่คนร้ายจะทดสอบตัดเงินยอดเล็กๆ ก่อน เพื่อไม่ให้เป็นที่สงสัย หากเลขบัตรใดตัดเงินผ่านก็จะเก็บเอาไว้เพื่อนำข้อมูลไปขาย หรือโจมตีรุนแรงภายหลัง การโจมตีต้องอาศัยการยิงข้อความขอจ่ายเงินจำนวนมาก ซึ่งอาศัยระบบจากฝั่งผู้ค้าที่หละหลวม
อีกทั้งพบว่า ช่องทางการชำระเงินออนไลน์ หรือผู้ให้บริการร้านค้าออนไลน์ บางรายเข้าข่ายถูกโจมตีมากเป็นพิเศษ และผู้ให้บริการเหล่านี้มักได้รับความนิยมกับผู้ค้าบางกลุ่ม เช่น ช่วงต้นปีที่ผ่านมาพบอัตราการยิงทดสอบเลขบัตรเช่นนี้จากกลุ่มร้านขายยา, มหาวิทยาลัย, ร้านค้าปลีก, และสนามกอล์ฟ โดยทางวีซ่าจะแจ้งเตือนผู้เกี่ยวข้องเป็นระยะถึงแนวโน้มที่ถูกโจมตี
ในรายงานยังได้แนะนำผู้เกี่ยวข้องกับการรับจ่ายเงินผ่านบัตรทั้งหมดให้เสริมความปลอดภัย เพื่อลดการโจมตีแบบเดาเลขบัตรเช่นนี้ โดยแนะให้ร้านค้าออนไลน์ทั้งหลาย ควรป้องกันตัวเองด้วยการเปิด CAPTCHA (นั่นคือการพิมพ์ข้อความตามภาพ เพื่อยืนยันว่าเป็นมนุษย์จริง) ป้องกันบอตยิงเลข, ตรวจสอบการยิงเลขบัตรซ้ำๆ จากธนาคารเดียว, การยิงเลขวิ่ง (sequential PAN), การจ่ายเงินข้ามประเทศ, และการจ่ายเงินจำนวนเท่าๆ กัน ซ้ำๆ
สำหรับธนาคารผู้ออกบัตร ได้แนะนำให้ธนาคารผู้ออกบัตรไม่ให้ออกบัตรที่หมายเลขบัตรเรียงกัน (sequential PAN) หรือออกบัตรที่วันหมดอายุตรงกันเป็นชุดๆ รวมถึงตรวจสอบเหตุการณ์ที่การตรวจสอบหมายเลข CVV ผิดพลาดสูงผิดปกติ
ด้านธนาคารแห่งประเทศไทย (ธปท.) โดย สิริธิดา พนมวัน ณ อยุธยา ผู้ช่วยผู้ว่าการสายนโยบายระบบการชำระเงินและเทคโนโลยีทางการเงิน เปิดเผยถึงการกำหนดมาตรการเพิ่มเติม เพื่อป้องกันและแก้ปัญหาในเบื้องต้น ไว้ดังนี้ 1.ยกระดับความเข้มข้นในการตรวจจับธุรกรรมที่ผิดปกติ ให้ครอบคลุมทั้งธุรกรรมที่มีจำนวนเงินต่ำและที่มีความถี่สูง หากพบธุรกรรมที่ผิดปกติ ธนาคารจะระงับการใช้บัตรทันที และแจ้งลูกค้าในทุกช่องทาง รวมทั้งติดตามเฝ้าระวังรายการธุรกรรมจากต่างประเทศเป็นพิเศษ
2.เพิ่มการแจ้งเตือนลูกค้าในการทำธุรกรรมทุกรายการ ตั้งแต่รายการแรกผ่านช่องทางต่างๆ เช่น โมมายแบงกิ้ง อีเมล์ SMS
3.กรณีที่ตรวจสอบพบว่าลูกค้าได้รับผลกระทบจากการทุจริตตามข้างต้น กรณีบัตรเดบิต ลูกค้าจะได้รับการคืนเงินภายใน 5 วันทำการ ส่วนกรณีบัตรเครดิต ธนาคารจะยกเลิกรายการดังกล่าว ลูกค้าไม่ต้องชำระเงินตามยอดเรียกเก็บที่ผิดปกติ และจะไม่มีการคิดดอกเบี้ย
4.จะเร่งหารือกับผู้ให้บริการเครือข่ายบัตร เช่น Visa Mastercard เพื่อกำหนดให้มีการใช้การยืนยันตัวตนเพิ่มเติม เช่น OTP กับบัตรเดบิตสำหรับร้านค้าออนไลน์
ทั้งนี้ ทาง ธปท.ให้ความสำคัญกับความปลอดภัยในการทำธุรกรรมทางการเงิน รวมไปถึงการคุ้มครองข้อมูลส่วนบุคคล โดยมีการออกหลักเกณฑ์มาตรการความปลอดภัยของระบบไอทีของธนาคาร ให้มีการป้องกันการโจมตีจากภายนอก มีการทดสอบการเจาะระบบ ประเมินช่องโหว่อย่างเป็นประจำ รวมถึงการรักษาข้อมูลที่มีการกำหนดรหัสการเข้าข้อมูล และสิทธิการเข้าข้อมูลของธนาคารด้วย
ขณะเดียวกันได้มีการออกมาตรการการใช้งานโมมายแบงกิ้ง อีกทั้งยังให้ผู้ประกอบการร้านค้ายืนยันพิสูจน์ตัวตน ก่อนที่จะรับเข้ามาเป็นร้านค้าของธนาคาร
รวมถึงให้ประชาชน หรือผู้ใช้งาน หมั่นตรวจสอบรายการธุรกรรมของตนเองอย่างสม่ำเสมอ หากพบสิ่งผิดปกติ ให้รีบโทรแจ้งเบอร์โทรติดต่อหลังบัตร ระมัดระวังการผูกบัตรเดบิตและบัตรเครดิตในการทำธุรกรรม โดยเฉพาะกับร้านค้า เช่น เกมออนไลน์ แพลตฟอร์มที่ไม่มีการยืนยันตัวตนก่อนเข้าใช้งาน การเปิด/ปิดการใช้งานของบัตร หรือเปลี่ยนแปลงวงเงินการใช้บัตร หรืออายัดบัตรผ่านแอพพลิเคชั่นของบางธนาคาร ได้ด้วยตัวเอง
สำหรับประชาชนเราๆ คาดหวังว่าถ้าได้ปฏิบัติดังกล่าวแล้ว ก็จะไม่เกิดเหตุซ้ำซาก ในยุคที่ผู้ให้บริการผลักดันระบบดิจิทัลรูปแบบต่างๆ ใส่มือผู้ใช้งาน ที่ต้องคำนึงว่า ความสะดวกและรวดเร็ว อาจแลกด้วยความเสี่ยงถูกแฮกข้อมูลได้รวดเร็วเช่นกัน
