โอนห้าหมื่นสแกนใบหน้า แก้ปัญหาแก๊งคอลเซ็นเตอร์ไม่ได้?

กิตตินันท์ นาคทอง Facebook.com/kittinanlive

คงได้ทราบข่าวกันไปแล้ว กรณีที่ผู้ประกาศข่าวสาว ตาล-ประวีณมัย บ่ายคล้อย เข้าแจ้งความกับตำรวจ สน.ภาษีเจริญ เพราะถูกแก๊งคอลเซ็นเตอร์แอบอ้างเป็นเจ้าหน้าที่กรมที่ดิน หลอกให้ดาวน์โหลดแอปฯ

พฤติการณ์ก็คือ แก๊งคอลเซ็นเตอร์พวกนี้จะถามว่า ได้รับใบแจ้งเรื่องภาษีที่ดินไหม พร้อมกับบอกรายละเอียดข้อมูลที่ดินถูกต้องทุกอย่าง ออกอุบายให้เหยื่ออัพเดทข้อมูลที่ดิน โดยให้ไปที่สำนักงานที่ดิน หรือทำผ่านระบบออนไลน์

ด้วยความที่ผู้ประกาศข่าวสาวรายนี้ นั่งทำงานหน้าคอมอยู่พอดี เลยบอกว่า งั้นขอทำผ่านออนไลน์ มิจฉาชีพก็จะให้แอดไลน์ @dol5124 จะมีเจ้าหน้าที่ให้คำปรึกษา และบอกด้วยว่า “ให้รีบดำเนินการ” เพราะเคสนี้ตกหล่นนานแล้ว

พอแอดไลน์ไป จะมีเจ้าหน้าที่ขอโทร.ผ่านไลน์มาคุย บอกว่าเป็นเจ้าหน้าที่กรมที่ดินฝ่ายออนไลน์ จะให้อัปเดตข้อมูลที่ดิน บอกเลขโฉนดที่ดิน หน้าระวาง หน้าสำรวจ เลขที่ดิน และเนื้อที่ ถูกต้องหมดเลย

ขณะนั้นผู้ประกาศข่าวสาวรายนี้อยู่ที่หน้าคอมพิวเตอร์ เข้าเว็บไซต์กรมที่ดินไว้รอแล้ว แต่มิจฉาชีพบอกว่า กรมที่ดินมีแอปฯ ถามว่าใช้ iOS หรือ Android เธอหลงกลมิจฉาชีพบอกว่าใช้ Android

ผู้ประกาศข่าวสาวรายนี้ ยืนยันว่า ไม่ได้ดาวน์โหลดแอปฯ จาก Google Play และมิจฉาชีพไม่ได้ส่งลิงก์มา แต่จำไม่ได้ว่าแอปพลิเคชันของมิจฉาชีพมาติดตั้งในเครื่องได้ยังไง แต่แอปฯ มาอยู่ในเครื่องแน่ๆ


หน้าตาแอปฯ เป็นโลโก้กรมที่ดิน มิจฉาชีพบอกว่า ต่อไปนี้ให้ทำการอัปเดตข้อมูลที่ดินทางแอปฯ ได้เลย แต่ต้องใส่รหัส 6 หลัก 2 รอบ กับรหัส 4 หลัก 2 รอบ แล้วจากนั้นหน้าจอขึ้นว่า กำลังโหลดข้อมูล ให้รอไปโหลดข้อมูลให้เสร็จ

มิจฉาชีพก็บอกว่า ต้องตรวจสอบข้อมูลให้ถูกต้อง และกรมที่ดินมีระบบสแกนใบหน้าเพื่อความปลอดภัย ผู้ประกาศข่าวสาวก็ทำตามไปเรื่อยๆ ระหว่างนั้นมิจฉาชีพก็หาเรื่องที่ดินมาคุยมา ถามไปเรื่อย กว่าจะเอะใจก็คุยกันอยู่นาน

ผู้ประกาศข่าวถามปลายสายว่า คุณชื่ออะไร มิจฉาชีพก็บอกชื่อมา เช็กที่หน้าคอมพิวเตอร์ทันที พบว่ามีเจ้าหน้าที่ที่ดินชื่อนี้จริงๆ แต่อยู่ที่จังหวัดภูเก็ต สุดท้ายบอกว่าไม่เอาแล้ว

มิจฉาชีพยังถ่วงเวลาด้วยการบอกว่า จะออกจากแอปฯ ไม่ได้ ถ้าไม่สแกนใบหน้า หรือให้ไอทีมาดู ตอนนั้นผู้ประกาศข่าวสาวรายนี้เพิ่งจะเอ๊ะว่าโดนแล้ว เลยรีบวางสาย

ปรากฏว่า พอมาดูโทรศัพท์ แอปฯ ธนาคารเด้งออกมานอกโฟลเดอร์ เช็กที่ละธนาคารก็รู้ว่ามีบัญชีที่มิจฉาชีพเข้าไปถอนเงิน ได้แก่ K PLUS ธนาคารกสิกรไทย, SCB Easy ธนาคารไทยพาณิชย์ และ Krungthai NEXT ธนาคารกรุงไทย

ที่แสบที่สุด คือ มิจฉาชีพไม่ได้แค่ถอนเงินในบัญชีอย่างเดียว แต่ยังทำรายการ “เบิกเงินสดจากบัตรเครดิต” อีกด้วย รวมมูลค่าความเสียหายราว 1,020,000 บาท พอรู้ความ ก็รีบระงับบัญชีบัตรเครดิตทุกบัญชี

พอรู้ความ ก็รีบระงับบัญชีบัตรเครดิตทุกบัญชี กระบวนการของธนาคารคือ แต่ละธนาคารจะออก Case ID เพื่อให้นำเลขนี้ไปแจ้งความ แล้วเอากลับมาให้ธนาคารปลายทางที่มิจฉาชีพโอนไประงับบัญชี

สอบถามผู้ประกาศข่าวสาว ถึงภาพแคปหน้าจอไลน์ รวมทั้งหน้าตาแอปฯ ที่มิจฉาชีพนำมาใช้ พบว่าเป็นแอปฯ ที่ชื่อว่า SmartLands มีตราโลโก้กรมที่ดิน มีข้อความว่า “ระหว่างทำการตรวจสอบ กรุณางดใช้งานโทรศัพท์มือถือ”


คุ้นๆ เหมือนแอปฯ ที่อ้างว่ามาจากหน่วยงานรัฐ อย่างเช่น กรมสรรพากร หรือกรมพัฒนาธุรกิจการค้า แต่แท้ที่จริงแล้วเป็นแอปพลิเคชันควบคุมโทรศัพท์มือถือจากระยะไกลที่กลุ่มมิจฉาชีพเขียนขึ้นเอง

สิ่งที่สงสัยก็คือว่า ผู้ประกาศข่าวสาวรายนี้ยืนยันว่า ไม่ได้ดาวน์โหลดแอปฯ จาก Google Play และมิจฉาชีพไม่ได้ส่งลิงก์มา แต่เมื่อมิจฉาชีพถามว่าใช้ระบบปฏิบัติการอะไร ตอบไปว่า Android ก็สงสัยว่ามัลแวร์เข้ามาได้อย่างไร?

คงต้องรอให้ผู้เชี่ยวชาญทางด้านไซเบอร์สืบสวนและเป็นคนให้คำตอบ เพื่อที่จะได้ระมัดระวังตัว เพราะช่องทางในการฝังมัลแวร์ ไม่ได้มีเพียงแค่ให้เหยื่อกดลิงก์ หรือดาวน์โหลดแอปฯ เพียงอย่างเดียว

สิ่งหนึ่งที่น่าตกใจและสงสัยว่า แนวทางในการป้องกันแก๊งคอลเซ็นเตอร์อาจไม่ได้ผลก็คือ ประการแรก ผู้ประกาศข่าวสาวรายนี้ต้องไปแจ้งความที่ สน.ภาษีเจริญ ทั้งๆ ที่ผ่านมามีมาตรการให้ธนาคารอายัดบัญชีม้าได้โดยไม่ต้องแจ้งความ

ชัยวุฒิ ธนาคมานุสรณ์ รมว.ดิจิทัลเพื่อเศรษฐกิจและสังคม ก็กล่าวว่า มีพระราชกำหนดออกมาแล้ว ให้อำนาจธนาคารระงับบัญชีได้เลย ถ้าสงสัยว่าเป็นบัญชีม้า หรือบัญชีธนาคารที่มิจฉาชีพจ้างผู้อื่นเปิดเพื่อใช้ก่อเหตุอาชญากรรม

แต่เหตุการณ์ที่ไปร้องเรียนกับทางธนาคารแล้วไม่ยอมรับบัญชี เป็นเรื่องที่ไม่ถูกต้อง จะดำเนินการตรวจสอบต่อไป เพราะเมื่อเป็นบัญชีม้า และมีผู้เสียหายมาร้องเรียนธนาคารต้องปฏิบัติตามกฎหมายฉบับใหม่ทันที

กฎหมายนี้มีชื่อเต็มว่า “พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566” ลงในราชกิจจานุเบกษา 16 มีนาคม 2566 และมีผลบังคับใช้ไปเมื่อวันที่ 17 มีนาคม 2566 ที่ผ่านมา

แต่เรื่องนี้ก็ต้องให้ความเป็นธรรม เพราะกรณีของผู้ประกาศข่าวสาวรายนี้ ยังมีกรณีที่มิจฉาชีพไปทำรายการ “เบิกเงินสดจากบัตรเครดิต” ซึ่งกฎหมายระบุแต่เพียงว่า “บัญชีเงินฝาก” กับ “บัญชีเงินอิเล็กทรอนิกส์” เท่านั้น

ประการต่อมา ความน่ากลัวจากกรณีนี้ก็คือ คนร้ายไม่ได้ดูดเงินจากบัญชีเพียงอย่างเดียว แต่ยังเบิกเงินสดจากบัตรเครดิต ที่โมบายแบงกิ้งหลายธนาคาร สามารถแปลงวงเงินบัตรเครดิตเป็นเงินโอนเข้าบัญชีได้

คนที่ไม่มีเงินฝากในบัญชี แต่มีวงเงินบัตรเครดิตอยู่ ถือเป็นความเสี่ยงหากถูกคนร้ายสวมรอยทำรายการ แล้วโอนเงินที่ได้ไปยังบัญชีม้าของคนร้าย ซึ่งแก๊งคอลเซ็นเตอร์พวกนี้ทำงานกันเร็วมาก เหยื่อต้องถอดใจว่าคงไม่ได้เงินคืน

เป็นอีกช่องโหว่ที่อยากจะฝากธนาคารทุกแห่ง ช่วยหาทางยืนยันตัวตนสำหรับทำรายการเบิกเงินสดจากวงเงินบัตรเครดิตให้รัดกุมกว่านี้ ไม่ใช่ว่าเบิกกันได้อย่างง่ายดายเพียงกดปุ่มไม่กี่ครั้ง ไม่เช่นนั้นมิจฉาชีพจะสวมรอยเมื่อไหร่ก็ได้


ประการสำคัญ มาตรการที่ธนาคารทุกแห่งบังคับให้สแกนใบหน้า เมื่อโอนเงินเกิน 50,000 บาทต่อรายการ หรือวันละ 200,000 บาทขึ้นไป ด้วยความเชื่อที่ว่าจะป้องกันแก๊งคอลเซ็นเตอร์ได้ พังทลายโดยสิ้นเชิง

เพราะจากคำบอกเล่าที่มิจฉาชีพออกอุบายให้สแกนใบหน้า อ้างว่ากรมที่ดินมีระบบสแกนใบหน้าเพื่อความปลอดภัย จึงเข้าใจว่า “น่าจะ” มี “แอปฯ ที่ไปครอบทับกับแอปฯ ธนาคาร” เพื่อใช้ในขั้นตอนสแกนใบหน้าอีกที

กรณีผู้ประกาศข่าวสาว มีอยู่ธนาคารหนึ่ง คนร้ายสวมรอยโอนเงินไปสองยอด ได้แก่ 500,000 บาท และ 175,000 บาท ไปยังบัญชีปลายทางธนาคารเดียวกัน ชื่อบัญชี นายภานุพันธ์ จิรเมฆ แสดงให้เห็นว่ามาตรการโอนเงินสแกนใบหน้าไม่เป็นผล

แต่ก็มีแอปฯ อีกธนาคารหนึ่ง คนร้ายอาศัยช่องโหว่ที่ทำรายการไม่ถึงตามที่กำหนด เบิกเงินสดจากบัตรเครดิต ยอด 49,999 บาท 4 ครั้ง รวมประมาณ 200,000 บาท จึงทำให้ไม่ต้องสแกนใบหน้าใดๆ

ก่อนหน้านี้ ธนาคารพาณิชย์และสถาบันการเงินของรัฐหลายแห่ง ออกมาตรการปรับปรุงระบบรักษาความปลอดภัยโมบายแบงกิ้ง ให้ลูกค้ายืนยันตัวตนด้วย เทคโนโลยีชีวมิติ หรือ ไบโอเมตริกซ์ (Biometrics) เป็นอย่างน้อย

แต่ละธนาคารเริ่มบังคับใช้ในเดือนกรกฎาคม 2566 ที่ผ่านมา ทำให้ลูกค้าธนาคารแต่ละรายที่ไม่มีข้อมูลใบหน้า ไม่สามารถโอนเงินเกิน 50,000 บาทได้ ต้องเสียเวลาไปที่สาขาของธนาคาร เพื่ออัปเดตข้อมูลและถ่ายภาพใบหน้า

บางธนาคารก็ดีขึ้นมาหน่อย มีตู้เอทีเอ็มที่รองรับการทำธุรกรรมยืนยันตัวตน โดยใช้บัตรประชาชนและถ่ายภาพใบหน้า

ขณะที่โมบายแบงกิ้งแต่ละธนาคาร ได้จำกัดการใช้งานแอปฯ 1 อุปกรณ์ต่อคนเท่านั้น รวมทั้งบล็อกการเข้าถึงแอปจากระยะไกล (Remote access) และไม่อนุญาตให้แคปหน้าจอหรืออัดวีดีโอบนหน้าจอขณะใช้งาน

ดูเหมือนว่าสมาคมธนาคารไทยยังคงเตือนด้วยวิธีการเดิมๆ เช่น ไม่ดาวน์โหลดโปรแกรมจากแหล่งอื่น ไม่กดลิงก์จาก SMS แปลกปลอม สังเกตโล่ที่อยู่ด้านหน้า Line account เสมอ ซึ่งเป็นวิธีการที่ประชาชนรู้อยู่แล้ว

แต่กรณีนี้ ผู้ประกาศข่าวสาวซึ่งเป็นผู้เสียหายไม่ได้ดาวน์โหลดแอปฯ หรือกดลิงก์ใดๆ จึงเป็นเรื่องที่ทุกฝ่ายต้องไปหาคำตอบมาว่า คนร้ายใช้วิธีอะไรถึงฝังแอปฯ หรือมัลแวร์ลงไปในเครื่องได้

กรณีแก๊งคอลเซ็นเตอร์เห็นกันจนเบื่อแล้ว แต่กรณีผู้ประกาศข่าวสาวรายนี้ ยอมรับตามตรงว่าตกใจ ภัยเริ่มใกล้ตัวมากกว่าที่คิด เพราะไม่ได้มีเพียงแค่บัญชีธนาคาร แต่ยังลามไปถึงวงเงินบัตรเครดิตอีกด้วย

มนุษย์เงินเดือนที่ไม่ได้มีเงินในบัญชีธนาคารมากนัก แต่มีวงเงินบัตรเครดิต บางคนมีเป็นแสน ต้องระมัดระวังไม่ให้คนร้ายสวมรอยเบิกเงินสดออกไป เพราะหากธนาคารไม่รับผิดชอบ ก็ต้องใช้หนี้ที่ไม่ได้ก่อพร้อมดอกเบี้ยที่แพงอีก

เชื่อว่ากรณีนี้ ธนาคารแห่งประเทศไทย และสมาคมธนาคารไทยคงนั่งกันไม่ติด หามาตรการป้องกันแบบลิงแก้แหแบบนี้ต่อไปอีกเช่นเคย ส่วนลูกค้าเมื่อเจอมาตรการใหม่ก็ได้แต่สงสัยว่า “ให้สแกนใบหน้าแล้ว จะให้ทำอะไรอีก?”

ประการที่น่าสงสัยอีกอย่างหนึ่ง คือ การที่แก๊งคอลเซ็นเตอร์ล่วงรู้ข้อมูลที่ดิน บอกเลขโฉนดที่ดิน หน้าระวาง หน้าสำรวจ เลขที่ดิน และเนื้อที่ ถูกต้องหมดเลย น่าสงสัยว่าไปเอาข้อมูลมาจากไหน?

ความจริงหน้าที่การเก็บภาษีที่ดิน ไม่ใช่หน้าที่ของกรมที่ดิน แต่เป็นหน้าที่ขององค์กรปกครองส่วนท้องถิ่น ได้แก่ กรุงเทพมหานคร เทศบาล องค์การบริหารส่วนตำบล และองค์กรปกครองส่วนท้องถิ่นรูปแบบพิเศษอย่าง เมืองพัทยา

สำหรับกรุงเทพมหานคร จะส่งแบบประเมินภาษีให้แก่ผู้เสียภาษี ภายในเดือนเมษายน 2566 และให้ผู้เสียภาษีชำระตามแบบแจ้งการประเมิน ที่ฝ่ายรายได้ สำนักงานเขตต่างๆ ภายในเดือนมิถุนายน 2566

ส่วนบ้านผู้เขียนซึ่งอยู่ต่างจังหวัด เทศบาลจะส่งแบบประเมินภาษีทางไปรษณีย์ ซึ่งกำหนดให้ชำระภายในเดือนมิถุนายน โดยเอกสารแนบท้ายพบว่ามีข้อมูลเลขโฉนดที่ดิน หน้าระวาง หน้าสำรวจ เลขที่ดิน และเนื้อที่ทุกอย่าง

เอกสารที่ว่านี้มีชื่อว่า “หนังสือแจ้งการประเมินภาษีที่ดินและสิ่งปลูกสร้าง” ซึ่งส่งมาทางไปรษณีย์ลงทะเบียน โดยเอกสารแนบท้ายจะมี “แบบแสดงรายการคำนวณภาษีที่ดินและสิ่งปลูกสร้าง” ติดมาด้วย

ความน่าสงสัยว่าข้อมูลรั่วไหลมาได้ยังไง คงไม่ใช่เพียงแค่กรมที่ดินเพียงอย่างเดียว แต่รวมไปถึงกรุงเทพมหานคร องค์กรปกครองส่วนท้องถิ่น หรือผู้จัดพิมพ์เอกสาร ว่ามีข้อมูลรั่วไหลไปยังบุคคลภายนอกหรือไม่?

ข่าวที่เกิดขึ้นได้แต่ภาวนาว่าผู้ประกาศข่าวสาวรายนี้จะได้เงินคืน และตำรวจตามจับคนร้ายได้ แม้ความหวังจะดูริบหรี่ เพราะที่ผ่านมาจับได้แต่คนเปิดบัญชีม้า แต่ตัวการใหญ่ยังไม่หายไป บ้านเมืองก็ยังกลับมาสงบสุขไม่ได้

ขึ้นอยู่กับว่า ตำรวจและหน่วยงานด้านความมั่นคง กล้าพอไหมที่จะขุดรากถอนโคน ตามทลายแก๊งคอลเซ็นเตอร์ ที่ปรากฎเป็นข่าวว่าอยู่ที่ประเทศเพื่อนบ้าน เพื่อเอาคนผิดมาลงโทษให้ได้