ในเวลานี้มีเรื่องใหญ่ที่น่าสนใจอยู่เรื่องหนึ่ง คือ โดนดูดเงินจากบัญชี โดยเป็นการตัดบัตรเดบิตหรือเครดิต เป็นจำนวนเงินเล็กน้อย ไปจนถึงจำนวนมาก ซึ่งเมื่อทราบข่าวก็ลองตรวจสอบบัญชีของตัวเองว่าโดนไปด้วยหรือเปล่า ก็ยังโชคดีอยู่ที่ไม่โดน
แต่กรณีนี้น่าสนใจเพราะมีผู้เสียหายเป็นจำนวนมาก แต่รูปแบบความเสียหาย ว่า ต้นตอเกิดจากอะไรยังท่สับสนอยู่ เพราะบางคนก็บอกว่า โดนตัดเป็น ECD จากบัตรเดบิต หรือ เครดิต จากหลายธนาคารด้วยกัน แต่ก็มีบางคนที่เข้าใจว่า น่าจะโดนจากการฉ้อฉลทางเฟซบุ๊กคือโดนดึงไปให้เป็นผู้ลงโฆษณาในเฟซบุ๊ก และต้องเป็นคนจ่ายค่าโฆษณาโดยไม่ทันรู้ตัว
พอเกิดเหตุที่หลากหลายแบบนี้ การจำกัดขอบเขตความน่าสงสัยก็ยากขึ้นไปหน่อย เราก็ยังไม่แน่ใจว่า การขโมยเงินที่เป็นยอดหลักพันขึ้นไปในแต่ละครั้ง ที่พบในกรณีกลายเป็นผู้ลงโฆษณาของเฟซบุ๊ก จะเป็นกรณีเดียวกับการแอบขโมยเงินทีละหลักสิบบาท แต่ดึงออกถี่ ๆ หรือเปล่า? แต่จากลักษณะที่เกิดขึ้น ต้องมีการสอบสวนหาจุดร่วมกันให้ได้ ซึ่งบุคคลภายนอกน่าจะตรวจสอบยาก การจะนับจากที่ออกมาโพสต์ ต้องเป็นข้อมูลจากคนที่รู้ตัวจริง ๆ ว่าเคยเอาบัตรหรือบัญชีธนาคารไปผูกกับแอปหรือรายการใช้จ่ายช่องทางใดบ้าง
ซึ่งก็ต้องบอกตรง ๆ ว่า มีบางคนที่ “ลืม” จริง ว่าตัวเองไปผูกไว้กับที่ใด เพราะนานจนลืม หรือบางทีไม่ได้ผูกเอง แต่อนุญาตให้บุตรหลานนำไปผูกไว้แล้วลืม
โดนดูดเงินจากบัญชี ไม่ได้มีต้นตอที่ธนาคาร?
ธนาคารแห่งประเทศไทย และ สมาคมธนาคารไทย ออกมาแถลงการณ์ร่วมกันว่า เรื่องนี้ไม่น่าจะหลุดจากธนาคาร
อันนี้ ถ้าพูดตามตรงก็เชื่อตามที่แถลงฯ คือ คงไม่ได้ “หลุด” จากระบบของธนาคารโดยตรง เพราะมีความเชื่อมั่นว่าระบบรักษาความปลอดภัยของธนาคารค่อนข้างปลอดภัยอยู่ และจากเหตุที่เกิดกับหลายธนาคารพร้อมกัน ทำให้เชื่อว่า น่าจะไม่ได้โดนเจาะจากทางระบบของธนาคาร โอกาสที่จะมีแฮกเกอร์เก่ง ๆ เจาะหลายธนาคารพร้อมกันเป็นเรื่องที่เกิดขึ้นน้อยมาก และถ้าเกิดขึ้นจริง ความเสียหายคงไปไกลกว่านี้เยอะมาก
พิจารณาจากกรณีที่เกิดขึ้นส่วนใหญ่ พอจะอนุมานได้ว่านี่คือการใช้ช่องโหว่ระบบการตรวจสอบของธนาคาร คือ ถ้าจะไปเจาะข้อมูลโดยตรงจากธนาคาร คงเป็นเรื่องยากพอสมควร แต่การหาทางเจาะจากต้นทาง เช่น ร้านค้า หรือ ผู้ใช้งานต่าง ๆ น่าจะง่ายกว่ามาก
โดยส่วนตัว เชื่อว่า ข้อมูลที่หลุดออกมาจนโดนดูดเงินไปนี้ น่าจะรั่วไหลจากเว็บหรือแอ็ปอะไรสักอย่าง แต่ก็มีคนที่ยืนยันว่าไม่เคยเอาบัญชีหรือบัตรไปผูกกับแอปหรือเว็บใดอยู่ด้วย ก็เลยชักไม่แน่ใจว่าจะหลุดมาจากไหน เพราะ ถ้าจะให้แน่ใจ ต้องมีคนที่ยืนยันข้อมูลร่วมจุดใดจุดหนึ่งเหมือนกันทุกคน แต่นี่ยังสับสนอยู่
โดยส่วนตัว ตั้งเป้าสงสัยไปที่เว็บไซต์และแอป เพราะเคยเจอกรณีที่เว็บบางแห่งรับชำระเงินค่าสินค้าในเว็บของตัวเอง แล้วเก็บข้อมูลบัตรของลูกค้าเอาไว้ในฐานข้อมูลของตัวเองด้วย ทั้งที่ถ้าเป็นเว็บขนาดเล็กไม่มีงบในการลงทุนเรื่องความปลอดภัย ควรใช้บริการที่ระบบชำระเงินออนไลน์ที่น่าเชื่อถือ มากกว่าจะพัฒนาเอง เพราะบางครั้งพบปัญหาว่า โปรแกรมเมอร์บางราย ออกแบบอย่างสุกเอาเผากิน หรือ อาจจะประมาทเลินเล่อ ไม่มีความเชี่ยวขาญที่มากเพียงพอ หรือ อาศัยการดึงโมดูลนั้น โมดูลนี่ มาใช้โดยไม่มีความระมัดระวังเพียงพอ ก็จะเกิดปัญหาได้ง่าย ๆ หรือแม้กระทั่งเว็บพาณิชย์ขนาดใหญ่ที่น่าเชื่อถือ ยังเคยโดนแฮกเกอร์เจาะข้อมูลเอาไปขายในตลาดมืด เป็นข่าวเมื่อกลางปี 64 ที่ผ่านมานี้เอง
แต่ในเรื่องระบบชำระเงินออนไลน์ที่น่าเชื่อถือเองก็ยังมีคำถาม เพราะ โลกนี้ยังไม่มีอะไรที่ปลอดภัยจริง ๆ พวกแอปกระเป๋าสตางค์ หรือ Wallet ทั้งหลายคือจุดที่มีคนเอาบัญชีธนาคารหรือบัตรต่าง ๆ ไปผูกไว้เพื่อความสะดวก ถ้าหลุดตรงนี้จริงก็คงเป็นเรื่องใหญ่ พอสมควร แต่จากลักษณะการถอนออกแต่ละครั้งในจำนวนน้อย จึงไม่มีการแจ้งเตือน แต่ การถอนจำนวนน้อย ๆ แบบถี่ ๆ นี่มันก็ไม่น่าจะเป็นการถอนตามปกติ น่าจะมีมาตรการอะไรบางอย่างหรือเปล่า
โดยประสบการณ์ส่วนตัว เมื่อสักเดือนก่อนหน้านี้ เคยได้รับการติดต่อจาก KTC แจ้งว่าทาง mastercard พบว่าบัตรเครดิตที่ถืออยู่ ไปอยู่ในกลุ่มเสี่ยงจาก (อะไรสักอย่าง จำไม่ได้ชัด) จึงขออายัดและออกบัตรใหม่ให้ นั่นก็หมายความว่ามีการตรวจสอบลักษณะการใช้จ่ายอยู่พอสมควร ไม่ถึงกับไม่มีเอาเสียเลย
ปกติ เวลามีการยืนยันการใช้จ่ายบัตร จะมีการยืนยันผ่าน OTP แต่ก็มีหลายเว็บที่ “อำนวยความสะดวก” โดยไม่ใช้ OTP ใช้เพียงเลขบัตร เดือนปีหมดอายุ และรหัส 3 ตัวหลังบัตรก็จ่ายได้แล้ว ถ้ามีคนได้ข้อมูลเหล่านี้ไป ก็เพียงแค่เอาไปใช้ในเว็บที่ไม่มีการยืนยัน OTP ก็เรียบร้อย
แล้วจะทำอย่างไรกันดี?
โอกาสที่จะรู้ว่า ต้นตอรอยรั่วครั้งนี้มาจากไหน คงไม่ใช่เรื่องง่าย ๆ อาจจะใช้เวลาเป็นเดือน เป็นปี ขึ้นอยู่กับความสับสนของข้อมูลว่ามีในระดับใด เพราะจากที่ลองติดตามจากโพสต์ในกลุ่มผู้เสียหาย พบว่ามันหลากหลายเสียเหลือเกิน คนที่น่าจะตรวจสอบได้ก็คงจะมีแต่ธนาคาร
แต่ในกรณีโดนดึงไปเป็นผู้ลงโฆษณาเฟซบุ๊คนี่ คงต้องตรวจสอบด้วยตัวเองก่อน เพราะคนที่ทำมักจะเป็นพวกมิจฉาชีพทั้งหลาย ยกเลิกการผูกบัญชีธนาคารหรือบัตรต่าง ๆ กับเฟซบุ๊กไปเลย
แต่ในกรณีที่โดนให้ “จ่าย” ไปแล้ว เข้าไปที่ตัวจัดการโฆษณา เพื่อไปลบโฆษณาก่อน แล้วรีบกดออกจากการเป็นแอดมิน / ผู้ดูแลโฆษณาในเพจ ลองเข้าไปที่ business.facebook.com ว่าตัวเองเกี่ยวข้องกับเพจไหนบ้าง ดูให้ถ้วนทั่วว่าไม่ได้เข้าไปในเพจที่เราไม่มีส่วนร่วมจริง
เอาเป็นว่า ตอนนี้ ใครโดนดูดเงินในบัญชีเข้าไป รีบแจ้งธนาคารผู้ออกบัตร เพื่อทำเรื่องอายัด ถ้าเป็นบัตรเครดิตให้รีบแจ้งธุรกรรมที่เราไม่ได้ทำ เพื่อจะไม่ต้องจ่าย แต่ถ้าเป็นบัตรเดบิตก็แย่หน่อย เคยโดนผ่านบัตรเครดิตครั้งหนึ่ง ตัดบัตรว่าซื้อแอป แจ้งไปก็ได้คืน
เราคงต้องป้องกันตัวเองกัน โดนดูดเงินจากบัญชี ไปพลางก่อน เช็คเงินเข้า ออก บันทึกให้ชัดเจนว่า วันไหน เวลาไหน จ่ายอะไร ผ่านบัตรอะไร หรือ โอนเงินค่าอะไร (เอาจริงทำให้เป็นนิสัยก็ดีนะ)
อย่าลงแอปในโทรศัพท์แบบที่ไม่รู้ที่มาที่ไป ท่านน่าจะได้ยินข่าวว่าแอปฟรีบางตัวแอบล้วงข้อมูลในโทรศัพท์ของท่านไป ถ้าต้องลงแอปวอลเลตหรือบรรดากระเป๋าสตางค์ ให้เลือกผูกกับบัตรเครดิต ดีกว่า บัตรเดบิตหรือผูกบัญชีธนาคาร มีอะไรยังพอระงับทัน ถ้าเดบิตหรือบัญชีตรงคือเงินออกไปแล้ว ตามกลับยากและเสียเวลา อาจจะไม่ได้คืนด้วยซ้ำ และบันทึกให้ชัดเจนว่าเอาไปผูกกับอะไรไว้บ้าง
สิ่งที่พบได้เสมอคือ การเล่นเว็บการพนัน หรือ การโดน Phishing โดยไม่รู้ตัว บางคนโหลดแอปสารพัดเข้าไปในโทรศัพท์ บางคนโชว์เก๋า เจลเบรกบ้าง รูทเครื่องบ้าง ติดตั้งแอปเถื่อนบ้าง หรือไปดาวน์โหลดซอฟต์แวร์เถื่อนจากเว็บไซต์ให้บริการดาวน์โหลดแบบไม่ถูกกฎหมาย พวกแคร็ก หรือ แพตช์ หรือ ตัวเจเนอเรต ซีเรียลต่าง ๆ ใช้วินโดว์เถื่อน ใช้ซอฟต์แวร์เถื่อนพวกนี้ ไว้ใจได้อย่างไรว่าแฮกเกอร์ที่สร้างแคร็กให้มา จะไม่ฝังมัลแวร์ไว้ในซอฟต์แวร์ที่ไปดาวน์โหลดมาใช้? บางคนไม่เคยอัปเดตแอนตีไวรัสเลยตั้งแต่ลงเครื่องมา ไฟร์วอลคืออะไรก็ไม่รู้จัก แบบนี้ก็เพิ่มความเสี่ยงได้ทั้งนั้น
ปัจจุบัน Google, Microsoft และ Apple มีบริการตรวจสอบว่า ชื่อผู้ใช้ + รหัสผ่าน ของเราหลุดไปบ้างหรือเปล่า เข้าไปตรวจสอบและแก้ไขบ่อย ๆ นะ ถ้าไม่รู้จะไปตรงไหน เปิด Google Chrome หรือ Microsoft Edge เข้าไปที่ Settings > Password แล้วเช็ค ของ iOS จะอยู่ที่ Setting Autofill Password จะมี security Recommendations มีแจ้งรายงานว่ารหัสผ่านของเราตัวใดเคยหลุดไปอยู่ในฐานข้อมูลแฮกเกอร์ หรือรหัสผ่านของเราอาจจะง่ายไป ให้รีบเปลี่ยน โดยตั้งรหัสผ่านให้เดายากสักหน่อย
ขอให้ทุกท่านโชคดี