“บัญชีธนาคาร-เบอร์มือถือ” ช่องโหว่พาฉิบหาย

ช่วงนี้เรามักจะได้ยินเรื่องราวเกี่ยวกับเงินถูกถอนออกจากบัญชี หรือเบอร์มือถือที่ใช้อยู่ถูกขโมยไปแล้วรู้สึกตกใจขึ้นมาบ้าง เพราะในชีวิตประจำวันแน่นอนว่าทุกคนย่อมใช้โทรศัพท์มือถือเข้ามาเกี่ยวข้อง และมนุษย์เงินเดือนส่วนใหญ่รับเงินผ่านบัญชีธนาคาร ก็ต้องใช้บัตรเอทีเอ็มในการเบิกถอนเงินสดอยู่แล้ว

ยิ่งในปัจจุบันการทำธุรกรรมทางการเงินไม่ได้จำกัดอยู่เพียงแค่สาขาของธนาคาร แต่ยังรวมไปถึงการใช้บริการอินเทอร์เน็ตแบงก์กิง หรือโมบายล์แบงก์กิงผ่านโทรศัพท์มือถือ ซึ่งมักจะมีขั้นตอนที่เกี่ยวข้องกับการใช้เบอร์มือถือ เช่น รับรหัสผ่านใช้ครั้งเดียว (One Time Password หรือ OTP) ผ่าน SMS หรือใช้เบอร์มือถือผูกกับแอปพลิเคชั่นบนสมาร์ทโฟน

สิ่งเหล่านี้ต่อให้เทคโนโลยีออกแบบมาดีแค่ไหนก็มักจะมีความเสี่ยงแอบแฝงอยู่เสมอ โดยที่ผู้ใช้บริการไม่ทันตั้งตัว และเมื่อมีปัญหาออกมาแต่ละครั้ง ผู้ให้บริการก็มักจะออกมาอุดช่องโหว่หลังพบความเสียหายเกิดขึ้นมาแล้ว ซึ่งกว่าจะรู้เท่าทันมิจฉาชีพ ทั้งลูกค้าและธนาคารก็ต้องเจอกับราคาที่ต้องจ่ายจากความไม่รู้เท่าทันแทบทั้งสิ้น

กระทู้ในเว็บไซต์พันทิปที่ฮือฮาไปเมื่อเร็วๆ นี้ เมื่อมีผู้ใช้บริการมือถือแบบเติมเงินค่ายดีแทค ชาว จ.อุดรธานี ได้ครอบครองหมายเลขซึ่งจัดว่าเป็นเลขสวยเลยทีเดียว เมื่อเดือนกันยายน 2556 เกิดอาการซิมดับ โทรออกและรับสายไม่ได้ จึงไปติดต่อร้านดีแทค ช้อป อุดรธานี แต่พบว่าเจ้าของเบอร์ถูกเปลี่ยนชื่อเป็นคนอื่น และระงับซิมการ์ดที่ใช้อยู่

ขณะที่ร้านดีแทค ช้อป อุดรธานี ก็แจ้งว่าดำเนินการให้ไม่ได้ ต้องไปยื่นเรื่องที่ศูนย์บริการลูกค้าดีแทค ขอนแก่น หรือโทรเข้าดีแทค คอลล์เซ็นเตอร์ เมื่อติดต่อไปยังศูนย์ดีแทคขอนแก่น ผู้จัดการได้ขอเวลาตรวจสอบกับฝ่ายกฎหมาย ภายหลังจึงแจ้งว่า ไม่สามารถนำเบอร์คืนให้ได้เนื่องจากขายให้บุคคลอื่นไปแล้ว โดยจะเอาเบอร์ที่ใกล้เคียงมาทดแทนให้

เมื่อเจ้าของเบอร์รู้สึกไม่ได้รับความเป็นธรรม จึงตัดสินใจตั้งกระทู้ในเว็บไซต์พันทิป กล่าวหาว่าดีแทคคุ้มครองคนซื้อซิมการ์ดจากคนที่ขโมยมา แต่ไม่คุ้มครองเจ้าของซิมการ์ดเดิม กระทั่งดีแทคได้แก้ปัญหาโดยเจรจาชดเชยหมายเลขที่ใกล้เคียงกับหมายเลขเดิมมากที่สุด จึงถูกกระแสสังคมในพันทิปและโซเชียลเน็ตเวิร์คประณามดีแทคอย่างกว้างขวาง

ต่อมานักสืบพันทิปได้ไปเห็นเบอร์มือถือของผู้เสียหายปรากฏอยู่ในเว็บไซต์ขายซิมการ์ดเลขสวย โดยตั้งราคา 45,000 บาท แต่จากคำบอกเล่าของผู้เสียหาย ทนายความของดีแทคขอให้ยุติเรื่อง ก็ยิ่งทำให้กระแสสังคมต่อต้านอย่างรุนแรง หลายรายย้ายค่ายเบอร์เดิมไปเครือข่ายอื่น สะเทือนถึงความน่าเชื่อถือขององค์กร

เมื่อดีแทคปล่อยให้เรื่องนี้เงียบหายไปไม่ได้ จึงตัดสินใจประสานกับตำรวจติดตามเบอร์มือถือคืน ก่อนที่จะส่งทนายความขึ้นมาที่อุดรธานีเพื่อมอบซิมการ์ดคืน พร้อมกับมอบกระเช้าของขวัญและกล่องของขวัญ แต่ผู้เสียหายไม่รับ ขณะที่ดีแทคก็กล่าวว่า ได้ดำเนินคดีผู้ที่เกี่ยวข้องกับการครอบครองโดยมิชอบต่อไป

อีกด้านหนึ่ง เจ้าของเว็บไซต์ขายซิมการ์ดเลขสวยที่ถูกพาดพิงได้เข้ามาชี้แจง ระบุว่าเมื่อประมาณปีที่แล้วได้ซื้อเบอร์มือถือที่เกิดเรื่องจากพ่อค้าเบอร์ที่อยู่ในวงการ ซึ่งได้รับโอนมาจาก น.ส.ทิพย์วัลย์ ชื่อเล่นชื่อข้าว ซึ่งอ้างว่าหลอกเจ้าหน้าที่ดีแทคออกซิมการ์ดเบอร์นั้นมาเป็นของตน และมีการลงทะเบียนซิมการ์ดเบอร์ดังกล่าวเป็นชื่อของตนอีกด้วย

ช่วงที่เกิดเรื่อง ตำรวจได้เชิญไปสอบปากคำ ก่อนที่ทนายความของดีแทคจะร้องขอหมายเลขคืนไปให้เจ้าของเดิม ถามว่าจะติดใจเอาความไหมถ้าขอคืนไปให้เจ้าของตัวจริง เขาตอบทันทีเลยว่า เขาคืนให้เลยถ้าเจ้าของตัวจริงถูกขโมยเบอร์มา และต่อมาเมื่อพ่อค้าเบอร์ทราบข่าวก็โอนเงินคืนตนทันที ก่อนที่จะไปไล่ความต่อจาก น.ส.ทิพย์วัลย์ อีกที

ที่น่าสังเกต คือ ตัวคนขายซิมการ์ดเองก็กล่าวว่าถูกขโมยเบอร์มานับครั้งไม่ถ้วน แต่ทุกครั้งเขาถือซิมการ์ดต้นฉบับไปขอคืนที่ศูนย์บริการลูกค้า ก็ได้คืนทุกเบอร์ ถ้าไม่คืนก็ไม่ยอมเพราะเป็นเจ้าของตัวจริง มีต้นฉบับ แต่ถูกขโมย ซึ่งไม่รู้ว่าเจ้าหน้าที่ออกซิมการ์ดใหม่แทนของเก่าไปให้พวกโจรได้อย่างไร ถ้าเป็นปัญหาภายในต้องหาทางแก้ไขด่วน

อันที่จริงเรื่องขโมยซิมการ์ดไม่ใช่เรื่องใหม่ แต่ยังผูกโยงไปถึงการทำธุรกรรมทางการเงิน เมื่อปีที่แล้วบุตรชายของคุณสุนทร จันทร์รังสี สมาชิกสภาร่างรัฐธรรมนูญ ปี 2550 ได้ถูกคนร้ายขโมยซิมการ์ดค่ายเอไอเอสเช่นกัน แถมนำไปผูกโยงบริการอินเตอร์เน็ตแบงก์กิง ถอนเงินออกจากบัญชีเสียหายไปถึง 4 แสนบาท

ลักษณะของเหตุการณ์ก็คือ คนร้ายแกะรอยจากสลิปเอทีเอ็มที่ทิ้งไว้ข้างตู้ เมื่อพบเหยื่อที่มียอดเงินคงเหลือในบัญชีจำนวนมาก เมื่อสืบได้ว่าเจ้าของบัญชีเป็นใครแล้ว จึงใช้วิธีปลอมบัตรข้าราชการ (ส่วนมากเป็นบัตรกรมราชทัณฑ์ และบัตรข้าราชการตำรวจ) เป็นชื่อผู้เสียหาย แล้วไปขอข้อมูลทะเบียนราษฏร์ เพื่อทราบวันเดือนปีเกิดเจ้าของบัญชี

จากนั้น จึงใช้บัตรประจำตัวข้าราชการปลอมในชื่อผู้เสียหายเปิดบัญชีในสาขาอื่น ที่ไม่ใช่สาขาเดียวกับเจ้าของบัญชีตัวจริง ก่อนที่จะขอผูกบัญชีที่เปิดใหม่กับบริการอินเตอร์เน็ตแบงก์กิ้ง ซึ่งมีบัญชีในระบบอยู่แล้ว แล้วเช้าวันต่อมาจึงได้บัตรประจำตัวข้าราชการปลอมในชื่อผู้เสียหายไปขอซิมการ์ดใหม่เบอร์เดิมที่ร้านเทเลวิช

เมื่อได้ซิมการ์ดใหม่เบอร์เดิมจากผู้เสียหายแล้ว จึงเข้าสู่ระบบอินเตอร์เน็ตแบงก์กิง โดยเข้าไปที่เมนูลืมรหัสผ่าน กรอกรายละเอียดบัญชีธนาคาร ก่อนที่ระบบจะส่งรหัสผ่านใช้ครั้งเดียว ไปยังเบอร์นั้นเพื่อเข้าสู่ระบบ ก่อนจะเข้าไปเปลี่ยนข้อมูลและเพิ่มบัญชีผู้รับเงิน ซึ่งเป็นผู้รับจ้างเปิดบัญชี ก่อนโอนเงินออกจากบัญชีทั้งหมดในเวลาไม่ถึง 20 นาทีเท่านั้น

ในตอนนั้นเบอร์มือถือผู้เสียหายเกิดอาการซิมดับ โทรออกไม่ได้ รับสายไม่ได้ ก็คิดว่าเครือข่ายล่ม ก่อนที่ในวันต่อมาไปถอนเงินมที่ตู้เอทีเอ็ม พบว่ามีเงินหายไปจากบัญชี 4 แสนบาท ติดต่อสาขาธนาคารที่ใกล้ที่สุดเพื่อตรวจสอบ พบคนร้ายใช้หลักฐานปลอมเปิดบัญชีก่อนถอนเงิน และเมื่อโทรไปที่คอลล์เซ็นเตอร์พบว่ามีคนอ้างชื่อขอซิมการ์ดใหม่เบอร์เดิม

คดีนี้จบลงที่ตำรวจสามารถจับกุมตัวคนร้ายที่ก่อเหตุได้ 2 คน ซึ่งพบว่าก่อเหตุมาแล้ว 4 ครั้ง รวมมูลค่าความเสียหายทั้งสิ้น 7.87 แสนบาท โดยธนาคารที่ได้รับความเสียหาย คือ ธนาคารไทยพาณิชย์ และทหารไทย โดยแกะรอยจากกล้องวงจรปิดขณะเปิดบัญชีธนาคารโดยใช้หลักฐานเท็จ เป็นบัตรข้าราชการ และสำเนาเอกสารคัดสำเนาทะเบียนบ้าน

หลังเหตุการณ์นี้เกิดขึ้น เอไอเอสได้เปลี่ยนหลักเกณฑ์การขอซิมการ์ดใหม่เบอร์เดิมกรณีสูญหาย โดยลูกค้าต้องไปแจ้งความกับสถานีตำรวจ แล้วนำใบแจ้งความพร้อมบัตรประจำตัวประชาชนไปขอออกซิมการ์ดใหม่เบอร์เดิม เพื่อรักษาความปลอดภัยให้กับเจ้าของเบอร์ ครั้งหนึ่งผมได้ไปขอซิมการ์ดใหม่เบอร์เดิม ทางศูนย์เอไอเอสก็ร้องขอใบแจ้งความก่อน

อย่างไรก็ตาม ขณะนี้คณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ (กสทช.) สั่งให้ผู้ใช้บริการมือถือระบบเติมเงินลงทะเบียนซิมการ์ด เพื่อยืนยันความเป็นเจ้าของ ป้องกันมิจฉาชีพนำเบอร์ไปใช้ในทางที่ผิดกฎหมาย ส่วนลูกค้าใหม่มีคำสั่งเคร่งครัดต่อผู้จำหน่ายซิมการ์ดว่า ถ้าไม่แสดงตนไม่ขายซิมการ์ด

ส่วนลูกค้าปัจจุบันที่เคยลงทะเบียนไว้แล้ว ส่วนใหญ่อาจยังไม่ทราบว่า กสทช. ได้บังคับให้ลงทะเบียนใหม่ เนื่องจากคำสั่งการจัดเก็บข้อมูลของ กสทช. ให้จัดเก็บภาพถ่ายบัตรประชาชนด้วย จากเดิมเก็บข้อมูลเฉพาะเลขที่บัตรประชาชน 13 หลักเท่านั้น แม้จะอัพเกรดเครือข่ายมาแล้วก็ต้องไปลงทะเบียนซิมการ์ดเช่นกัน

ข้อสังเกตที่ควรระวังอย่างหนึ่งก็คือ เมื่อเกิดอาการซิมการ์ดดับ หมายถึงโทรออกหรือรับสายไม่ได้ อย่าเพิ่งคิดไปเองว่าเครือข่ายมือถือจะล่ม จนกว่าจะได้สอบถามคนรอบข้างที่ใช้เครือข่ายเดียวกันว่า โทรออกหรือรับสายได้หรือไม่ หากเครือข่ายเดียวกันเกิดอาการซิมดับเพียงเลขหมายเดียวก็สันนิษฐานไว้ก่อนว่าอาจมีใครมาทำอะไรเบอร์มือถือเราแน่ๆ

ประการต่อมา หลายคนซื้อซิมการ์ดแบบเติมเงิน ไม่เคยลงทะเบียนมาก่อน เกิดเรื่องขึ้นมาก็ลำบากในการพิสูจน์ว่าใครคือเจ้าของเบอร์ตัวจริง บางคนที่มีอาชีพขายเบอร์มือถือเลขสวย ใช้วิธีเติมเงินเพื่อรับวันใช้งานรักษาเบอร์เอาไว้ พอถูกขโมยขึ้นมาที่ได้เบอร์คืนเพราะมีซิมการ์ดต้นฉบับ กรณีนี้หากไม่เคยลงทะเบียนไว้เลย ทำซิมการ์ดหายก็คงลำบาก

แม้การเปลี่ยนเบอร์ใหม่จะเป็นเรื่องง่าย ขอแค่มีเงินซื้อซิมการ์ดเปิดเบอร์ใหม่ก็จบแล้ว แต่สำหรับคนที่ต้องติดต่อสื่อสารกัน คนที่ทำธุรกิจเอาเบอร์ขึ้นป้ายโฆษณา บริษัท ห้างร้านต่างๆ หรือทำใบปลิวแผ่นพับแจกลูกค้าไปแล้ว หรือต้องติดต่อญาติหรือคนรู้จักที่อยู่ห่างไกล หากไม่ทราบเบอร์ใหม่จะยิ่งกระทบกับการติดต่อสื่อสารมากมายขนาดไหน

ในช่วงเวลานี้หากมีเวลาว่างก็ควรรีบนำซิมการ์ดตัวจริงของท่านไปลงทะเบียนที่ศูนย์บริการลูกค้าของค่ายมือถือนั้นๆ อย่างน้อยก็เพื่อรักษาเบอร์โทรศัพท์ไม่ให้ถูกพวกมิจฉาชีพนำไปแอบอ้าง แม้จะไม่สามารถป้องกันได้ในกรณีที่มีผู้แอบอ้างโอนเลขหมาย หรือเลวร้ายที่สุดมีคนในองค์กรรู้เห็นเป็นใจขโมยเบอร์ก็ตาม

ประการสุดท้าย ในกรณีที่ใช้สมาร์ทโฟน โดยเฉพาะระบบปฏิบัติการแอนดรอยด์ ซึ่งมีการใช้อินเตอร์เน็ตแบงก์กิ้งและรับรหัส OTP ผ่าน SMS ควรต้องระวังแอปพลิเคชั่นที่สามารถเข้าถึงการรับ-ส่งข้อความผ่าน SMS โดยเฉพาะเครื่องที่ผ่านการรูทมาแล้ว อาจเสี่ยงต่อการโจรกรรมข้อมูลเพื่อดึงเงินในบัญชีธนาคารออกไป

ส่วนแอปพลิเคชั่นที่เชื่อมระหว่างบัตรเอทีเอ็ม เบอร์มือถือและตัวเครื่องสมาร์ทโฟน เช่น K-Mobile Banking Plus ของธนาคารกสิกรไทย แม้ระบบจะป้องกันอย่างดี โดยเฉพาะเมื่อเปลี่ยนเบอร์มือถือ เปลี่ยนเครื่องใหม่ ลบแอปพลิเคชั่นเดิมแล้วติดตั้งใหม่ และตั้งค่าจากโรงงาน (Factory Reset) ต้องไปยืนยันรหัสที่ตู้เอทีเอ็ม แต่ก็มีช่องโหว่ให้เห็นจนได้

เมื่อลูกค้ารายหนึ่งเข้าสู่แอปพลิเคชั่นแล้วปรากฏว่าหน้าจอขึ้นแจ้งเตือนการเปลี่ยนเบอร์ เป็นเบอร์ที่ไม่เคยใช้มาก่อน ทั้งที่ลูกค้าไม่เคยแจ้ง เมื่อสอบถามไปยังคอลล์เซ็นเตอร์ ตรวจสอบพบว่ามีคนโทรศัพท์เข้ามาสวมรอยขอเปลี่ยนแปลงเบอร์มือถือที่ใช้ โดยได้ถามคำถามเพียงแค่สอง-สามข้อ เช่น วัน เดือน ปีเกิด บัญชีที่สมัครบริการมีกี่บัญชี สาขาใดบ้าง

อย่างไรก็ตาม ธนาคารกสิกรไทยได้ชี้แจงว่า แม้จะยกเลิกหรือเปลี่ยนแปลงบริการด้วยเบอร์มือถือใหม่กับคอลล์เซ็นเตอร์ได้ แต่การเปลี่ยนเบอร์โทรศัพท์ ลูกค้าจะใช้ได้เพียงแค่เช็กยอดเงินคงเหลือ ไม่สามารถทำธุรกรรมที่มีความเสี่ยง เช่น การโอนเงิน ชำระค่าสินค้าได้ จะต้องมีการยืนยันผ่านเครื่องเอทีเอ็มกับบัตรเดบิตที่ผูกไว้กับบัญชีก่อนเท่านั้น

ฟังคำตอบที่ได้รับแล้วรู้สึกสยองอยู่ดี แม้มิจฉาชีพจะทำได้เพียงแค่เช็กยอดเงินในบัญชี แต่การโจรกรรมข้อมูลเพื่อหวังขโมยเงินในบัญชีปัจจุบันมีกระบวนการสลับซับซ้อน อาศัยทั้งระบบอัตโนมัติและการสวมรอยเป็นเจ้าของบัญชีดำเนินการ แล้วจะแน่ใจได้อย่างไรว่า วันหนึ่งเราจะไม่กลายเป็นเหยื่อเสียเอง

เหตุอาชญากรรมทางเทคโนโลยีเวลานี้ยังมีให้เห็นอยู่บ่อยครั้ง ทั้งแก๊งคอลล์เซ็นเตอร์ที่หลอกให้ผู้เสียหายโอนเงิน ทั้งการสกิมมิงข้อมูลจากบัตรเอทีเอ็มแบบแถบแม่เหล็ก ซึ่งเมื่อเร็วๆ นี้เกิดขึ้นที่ตู้เอทีเอ็มในจังหวัดกระบี่ มีลูกค้าถูกขโมยข้อมูลบนแถบแม่เหล็กแล้วนำไปถอนเงินสดที่ประเทศไต้หวัน ได้รับความเสียหายกว่า 52 ราย ยอดเงินรวมกว่า 1 ล้านบาท

สิ่งที่เกิดขึ้นทำให้ลูกค้าเกิดความตื่นตัว ระมัดระวังในการทำธุรกรรมทางการเงินมากขึ้น เช่น สังเกตช่องเสียบบัตรเอทีเอ็ม รวมทั้งบางธนาคารหันมาใช้เทคโนโลยีใหม่อย่างบัตรเดบิตแบบสมาร์ทการ์ดที่ใช้ไมโครชิปแทนแถบแม่เหล็ก แต่มิจฉาชีพก็ยังมีพัฒนาการในการก่อเหตุอย่างไม่หยุดนิ่ง ตามความเจริญของเทคโนโลยี

แม้จะมีแง่คิดว่า อย่าวางใจกับเทคโนโลยีไปทุกเรื่อง แต่การปฏิเสธเทคโนโลยีดูจะเป็นเรื่องที่สวนกระแสจนเกินไป ทางที่ดีคือการใช้เทคโนโลยีอย่างระมัดระวัง โดยการสังเกตหากมีสิ่งที่ผิดปกติ หรือศึกษาข้อมูลและภัยจากเทคโนโลยีที่ปรากฏเป็นข่าวอย่างรู้เท่าทัน เพื่อนำมาปรับใช้หรือนำมาสังเกตในชีวิตประจำวัน ก็น่าจะเป็นวิธีการที่ดีที่สุดนั่นเอง