ปล้นดิจิทัลดูดเงินคนไทย

กิตตินันท์ นาคทอง Facebook.com/kittinanlive

กรณีที่มีผู้เสียหายถูกถอนเงินออกจากบัญชี โดยที่ตนเองไม่ได้ทำธุรกรรม กำลังสร้างความหวาดผวาให้กับผู้ฝากเงิน พร้อมกับตั้งคำถามว่า วันนี้ระบบธนาคารไทยไม่ปลอดภัยแล้วหรือ?

เรื่องของเรื่องก็คือ เมื่อวันอาทิตย์ที่ผ่านมา (17 ตุลาคม 2564) มีข่าวเตือนภัยว่าพบผู้เสียหายถูกถอนเงินออกจากบัญชี ระบุในรายการเดินบัญชี หรือสเตทเมนต์ว่า “ชำระค่าสินค้าผ่าน EDC” ซึ่งหมายถึงการทำรายการผ่านบัตรเดบิต

บัตรเดบิต (Debit Card) ก็คือบัตรที่ใช้ซื้อสินค้าและบริการแทนเงินสด โดยหักจากบัญชีธนาคารโดยตรง ซึ่งธนาคารส่วนใหญ่นำมาให้บริการแทนบัตรเอทีเอ็ม โดยคิดค่าธรรมเนียมแพงกว่า ลูกค้าไม่มีทางเลือกจำต้องทำบัตรไว้กดเงินสด

องค์ประกอบของบัตรเดบิต ประกอบด้วย เลขที่บัตรเดบิต 16 หลัก เดือน/ปีที่หมดอายุ (mm/yy) และรหัส CVV จำนวน 3 หลักด้านหลังบัตร ส่วนชื่อผู้ถือบัตรจะมีหรือไม่มีก็ได้ เพราะส่วนใหญ่ธนาคารให้เป็นบัตรสำเร็จรูป

บัตรเดบิตมีตัวกลางในการตัดเงินอยู่ 3 แบรนด์ใหญ่ๆ คือ VISA, MasterCard และ UnionPay ทั้งสามแบรนด์ถือเป็นเสือนอนกิน เพราะเมื่อลูกค้ารูดบัตรไปแล้ว ธนาคารจะหักค่าธรรมเนียม EDC ก่อนโอนเงินที่หักแล้วเข้าบัญชีร้านค้าอีกที

จากนั้นธนาคารก็จะแบ่งค่าธรรมเนียม EDC ออกเป็น 3 ส่วน คือ ธนาคารผู้ออกบัตรเดบิตได้มากหน่อย ธนาคารเจ้าของเครื่อง EDC ได้รองลงมา ส่วนตัวกลางในการตัดเงินทุกเจ้าไม่ต้องทำอะไรเยอะ นั่งสวยๆ รอรับส่วนแบ่งอย่างเดียว
 
ปัจจุบันนโยบาย National e-Payment ผลักดันให้มีระบบ Local Switching ของบริษัทที่ชื่อว่า ITMX เป็นตัวกลางที่ทำหน้าที่รับคำสั่งระหว่างบัตรเดบิตที่ออกในประเทศไทย กับระบบ EDC ที่ออกโดยผู้ให้บริการในประเทศไทย

รายการที่เกิดขึ้นในประเทศไทย ITMX จะประมวลผลเพื่อหักบัญชี ส่วนรายการที่เกิดขึ้นผ่านเครื่องรูดบัตรหรือเว็บไซต์ต่างประเทศ ทาง VISA, MasterCard หรือ UnionPay จะประมวลผลผ่านตัวกลางของบัตรนั้นๆ

จากข่าวที่เกิดขึ้นในรอบสัปดาห์ที่ผ่านมา พบว่ามีความสับสน บ้างก็ว่ามีการซื้อขายข้อมูลบัตรเครดิตหรือบัตรเดบิตตามเว็บไซต์ตลาดมืด ซึ่งก่อนหน้านี้ก็เกิดกับเว็บไซต์ร้านขายอาหารสดเจ้าหนึ่ง ซึ่งจับกุมตัวคนทำได้แล้วก่อนหน้านี้

บ้างก็ว่าเป็นเพราะมีร้านค้าหรือปั๊มน้ำมันแอบถ่ายรูปหน้าบัตรและหลังบัตร เพื่อเป็นข้อมูลสวมรอยทำธุรกรรม แต่กรณีหักเงินในจำนวนที่ต่ำ ประมาณ 1 ดอลลาร์สหรัฐฯ ซ้ำกันหลายครั้ง คนที่กรอกข้อมูลแบบปกติไม่น่าจะทำได้แบบนั้น

จากเหตุการณ์ที่เกิดขึ้นเบื้องต้น ธนาคารแห่งประเทศไทย และสมาคมธนาคารไทย ระบุว่าเป็นรายการที่เกิดจากการทำธุรกรรมชำระค่าสินค้าและบริการ กับร้านค้าออนไลน์ที่จดทะเบียนในต่างประเทศ

กระทั่งวันที่ 19 ตุลาคม 2564 ทั้งสององค์กรได้แถลงข่าวระบุว่า มีกลุ่มมิจฉาชีพใช้วิธีการสุ่มข้อมูลบัตรเครดิตและเดบิตของลูกค้านำไปทำธุรกรรมผ่านร้านค้าออนไลน์ต่างประเทศ ที่บางแห่งไม่ต้องใช้รหัส OTP ผ่าน SMS ไม่ต้องใช้รหัส CVV

การไม่ต้องกรอกรหัส OTP และ CVV เพื่อความสะดวกของลูกค้า กลายเป็นช่องโหว่ที่ทำให้กลุ่มมิจฉาชีพ กระทำผิด ตั้งแต่วันที่ 1-17 ตุลาคม 2564 ตรวจพบบัตรใช้งานผิดปกติจากเหตุนี้ มากถึง 10,700 ใบ

การใช้งานส่วนใหญ่มีจำนวนเงินต่อรายการต่ำ แต่จะทำซ้ำหลายๆ ครั้ง พบความเสียหายจากการถูกตัดเงินออกจากบัญชี 130 ล้านบาท เป็นการตัดจากบัตรเครดิต 5,900 ใบ วงเงิน 100 ล้านบาท และบัตรเดบิต 4,800 ใบ วงเงิน 30 ล้านบาท

สอดรับกับนายผยง ศรีวนิช ประธานสมาคมธนาคารไทย ระบุว่า กลุ่มมิจฉาชีพใช้ ระบบปัญญาประดิษฐ์ (AI) สุ่มตัวเลขบัตร 12 หลัก ของลูกค้าธนาคาร รวมทั้งวันหมดอายุ นำไปใช้กับร้านค้าออนไลน์ในต่างประเทศ ที่ไม่ต้องยืนยันตัวตน

ส่วน นายพงษ์สิทธิ์ ชัยฉัตรพรสุข รองกรรมการผู้จัดการใหญ่ ธนาคารกรุงไทย ยอมรับว่า คนร้ายใช้ช่องโหว่ซึ่งมีหลายวิธี จากการตรวจสอบพบแล้ว 5 วิธีการ แต่ไม่สามารถเปิดเผยรายละเอียดได้ทั้งหมด ซึ่งจะมีการปรับปรุงระบบให้ดีที่สุด

ภายหลัง นายกอบศักดิ์ ดวงดี เลขาธิการสมาคมธนาคารไทย ระบุว่า เตรียมบล็อกร้านค้าที่มีความเสี่ยงในการทำธุรกรรม รวมทั้งปรับมาตรการยืนยันตัวตนของผู้ใช้บัตรเครดิตและบัตรเดบิตให้มากขึ้น

แต่การจะให้แจ้งเตือนผ่าน SMS ทุกบาททุกสตางค์ เกรงว่าจะรบกวนลูกค้ามากเกินไป มองว่าหากต้นทางของรายการใดผิดปกติก็ไม่ควรเรียกเก็บเงิน ยืนยันว่า หากตรวจพบมีเหยื่อถูกกระทำลักษณะนี้ธนาคารจะคืนเงินให้ทั้งหมด

นายยศ กิมสวัสดิ์ ประธานระบบชำระเงิน สมาคมธนาคารไทย แนะนำให้ลูกค้าปรับวงเงินที่จะโอน หรือใช้จ่ายผ่านบัตรเดบิตให้เป็นศูนย์ ได้ที่แอปพลิเคชันของธนาคาร หากต้องการใช้ในแต่ละครั้ง ให้เข้าไปปรับค่าตามจำนวนที่ต้องการ

แม้จะไม่สะดวกในช่วงนี้ แต่ช่วยป้องกันไม่ให้ถูกโจรกรรมเงินออกจากธนาคารโดยที่ไม่รู้ตัวได้อีกทางหนึ่ง

ในสังคมโซเชียลฯ นอกจากจะออกมาร้องเรียนว่าตนเองตกเป็นเหยื่อแล้ว ยังมีคนแชร์วิธีการป้องกันต่างๆ นานา ทั้งการปรับวงเงินทำธุรกรรมเหลือ 0 บาท หรือการยกเลิกบัตรเดบิตทุกใบ หันมากดเงินสดผ่านแอปพลิเคชันธนาคารแทน

แต่ที่น่าเห็นใจก็คือ มีบางคนตัดสินใจถอนเงินออกจากบัญชี เพื่อรอการแก้ไขที่ชัดเจน เพราะเกรงว่าถ้าเจอกับตัวเอง ธนาคารต่างๆ จะแก้ไขปัญหาไม่ได้ บางคนเหลือติดบัญชีไว้เพียงเล็กน้อย หากเหตุการณ์ปกติจะกลับไปฝากใหม่

มีคนตั้งคำถามไปยังธนาคารแห่งประเทศไทย และธนาคารพาณิชย์แต่ละแห่งว่า จากเรื่องนี้จะมั่นใจระบบธนาคารของไทยได้อย่างไร ทั้งที่เรื่องการเงินถือเป็นหนึ่งในความมั่นคงทางเศรษฐกิจของประเทศ

ที่ผ่านมา ความนิยมในการทำธุรกรรมทางการเงิน ทำให้ชอปปิ้งออนไลน์และผู้ให้บริการที่รับชำระผ่านบัตรเครดิตหรือบัตรเดบิตผ่านระบบออนไลน์ อำนวยความสะดวกให้กับสมาชิกเว็บไซต์ ทำรายการได้โดยบันทึกบัตรไว้เพียงครั้งเดียว

หลายเว็บไซต์แค่กดปุ่มตกลงทำธุรกรรม ตัดเงินออกจากบัญชีไปเลย ไม่มีการเข้าระบบ SMS OTP ใดๆ เพราะผ่านการทดสอบการตัดบัตร โดยหักเงินก่อน คืนเงินที่หลังเรียบร้อยแล้ว

ข้อมูลบัตรเครดิตหรือบัตรเดบิตที่บันทึกในเว็บไซต์ หากผู้ให้บริการรายใดมีระบบรักษาความปลอดภัยไม่ดี ก็อาจกลายเป็นช่องโหว่ให้กลุ่มมิจฉาชีพนำข้อมูลบัตรไปทุจริต เกิดความเสียหายกับผู้ถือบัตร ต้องถูกเรียกเก็บเงินจำนวนมาก

แม้การป้องกันเงินในบัญชีจะถือเป็นเรื่อง “ธุระไม่ใช่” ของลูกค้า เพราะในเมื่อธนาคารรับฝากเงินก็ต้องดูแลเงิน แต่ในยามที่ธนาคารของไทยถูกโจมตีจากกลุ่มมิจฉาชีพ โดยมีช่องโหว่คือบัตรเดบิต ก็กระทบความรู้สึกของลูกค้าไม่น้อย

นอกจากตั้งค่าวงเงินในการทำธุรกรรม ซึ่งอาจจะไม่สะดวกกับคนที่ต้องใช้บัตรเดบิตในชีวิตประจำวัน แต่มีคำแนะนำอีกวิธีหนึ่ง คือ “แยกบัญชี” ที่ผูกกับบัตรเดบิต ออกจากบัญชีที่เก็บเงินต่างหาก เพื่อลดความเสี่ยง

ปัจจุบันมีหลายธนาคารออกบัญชีเงินฝากที่เรียกว่า อี-เซฟวิ่ง (e-Savings) อัตราดอกเบี้ยสูงกว่าบัญชีออมทรัพย์ธรรมดา เมื่อโอนเงินส่วนใหญ่จากบัญชีที่มีบัตรเดบิต ไปที่บัญชีดังกล่าวแล้ว เวลาจะใช้ก็โอนออกระหว่างกันทีละเล็กน้อย

แต่บัญชีอี-เซฟวิ่งที่ว่านี้ จะต้องไม่เอาไปสมัครบัตรเดบิต และต้องไม่สมัครบริการหักบัญชีอัตโนมัติใดๆ ให้ทำหน้าที่ “พักเงิน” ส่วนใหญ่อย่างเดียว นอกจากจะปลอดภัยกว่าแล้วยังได้รับดอกเบี้ยที่สูงกว่า ซึ่งเป็นผลพลอยได้

แต่ถ้าไม่มั่นใจบัญชีอี-เซฟวิ่ง กลัวว่าเวลาตายไปจะไม่มีหลักฐาน ก็เปิดบัญชีออมทรัพย์แบบมีสมุด แล้วโยกเงินไปอยู่ในนั้นก็ได้ แม้ดอกเบี้ยจะน้อยเหมือนปกติก็ตาม แต่เวลาตายไป ครอบครัวยังสามารถปรับสมุดเพื่อดูได้ว่ามีเงินเหลือเท่าไหร่

ในช่วงเวลาที่กลุ่มมิจฉาชีพดูดเงินจากบัญชีธนาคารแบบไม่รู้ตัว ธนาคารยังตามจับมือใครดมไม่ได้ อะไรที่ป้องกันได้ก็ป้องกันไว้ไม่เสียหลาย ดีกว่าปล่อยปะละเลย แล้วรู้ตัวว่าถูกถอนเงินออกจากบัญชีไปก็สายเสียแล้ว