BEC Scam อีเมล​ขอ​เปลี่ยน​เลข​บัญชี โทร​กลับ​เบอร์​ใน​สัญญา​ก่อน​โอน

ฝ่าย​บัญชี​ของ​บริษัท​ส่ง​ออก นำ​เข้า และ SME ที่​จ่าย​เงิน​ให้​ผู้​ขาย​ตาม​ใบ​แจ้ง​หนี้​ที่มา​ทาง​อีเมล คือ​คน​ที่​บท​นี้​เขียน​ถึง กล​โกง​แบบ​นี้​ไม่​ต้อง​เจาะ​ระบบ​ธนาคาร​เลย แค่​ทำให้​ฝ่าย​บัญชี​เชื่อ​ว่า​คู่​ค้า​เปลี่ยน​บัญชี​รับ​เงิน บท​นี้​แยก​ให้​เห็น​ว่า​อีเมล​ปลอม​มา​ได้​กี่​ทาง ด่าน​ไหน​กัน​ทาง​ไหน​ได้ และ​ถ้า​โอน​ไป​แล้ว​ต้อง​รีบ​ทำ​อะไร ส่วน​คำ​สั่ง​โอน​ที่มา​ทาง​วิ​ดี​โอ​คอล​จาก​หน้า​ผู้​บริหาร​ปลอม​เป็น​อีก​เรื่อง​ที่​แยก​ไว้​ต่าง​หาก

ลำดับ​เหตุการณ์​แบบ​หนึ่ง​ที่​ตรง​กับ​คำ​อธิบาย​ของ FBI มีหน้า​ตา​แบบ​นี้ ผู้​ขาย​วัตถุดิบ​ราย​เดิม​ที่​ติดต่อ​กัน​มา​หลาย​ปี​ส่ง​อีเมล​ใน​เธรด​เดิม แนบ​ใบ​แจ้ง​หนี้​ที่​ยอด​ตรง​กับ​ใบสั่ง​ซื้อ ท้าย​อีเมล​เขียน​ว่า​รอบ​นี้​ให้​โอน​เข้า​บัญชี​ใหม่​เพราะ​บัญชี​เดิม​อยู่​ระหว่าง​ตรวจ​สอบ ชื่อ​ผู้​ส่ง โลโก้ และ​ลาย​เซ็น​เหมือน​เดิม​ทุก​อย่าง ฝ่าย​บัญชี​จึง​แก้​เลข​บัญชี​ใน​ระบบ​แล้ว​โอน​ตาม​กำหนด สอง​สัปดาห์​ต่อ​มา​ผู้​ขายตัว​จริง​โทร​มาท​วงเงิน

ตัวเลข​และ​ขั้น​ตอน​ใน​บท​นี้​อ้างประกาศ​เตือน I-091124-PSA ของ FBI เรื่อง BEC รายงาน​อาชญากรรม​อินเทอร์เน็ต​ประจำ​ปี 2567 ของ FBI IC3 และหน้า​ตั้ง​ค่า DMARC ของ Google Workspace ส่วน​ช่อง​ทาง​แจ้ง​ภัย​ไซเบอร์​ใน​ไทย​ใช้ศูนย์ ThaiCERT

ประกาศ​ของ FBI ให้​นิยาม​ว่า BEC เป็น​กล​โกง​ที่​เล็ง​ธุรกิจ​และ​บุคคล​ที่​ทำ​รายการ​โอน​เงิน​ตาม​ปกติ คนร้าย​มัก​เข้า​ถึง​อีเมล​ธุรกิจ​หรือ​อีเมล​ส่วน​ตัว​ที่​มี​อยู่​จริง​ด้วย​การ​หลอก​ล่อ​หรือ​เจาะ​ระบบ แล้ว​ใช้​สั่ง​โอน​เงิน​โดย​ไม่​ได้​รับ​อนุญาต บาง​รูป​แบบ​ยึด​อีเมล​เพื่อ​ขอ​ข้อมูล​ส่วน​บุคคล​ของ​พนักงาน​ไป​ใช้​เจาะ​บัญชี​อื่น​ต่อ

จาก​คำ​แนะนำ​ใน​ประกาศ​ฉบับ​เดียวกัน อีเมล​ปลอม​มา​ได้​สาม​ทาง​หลัก

ทาง​ที่​สาม​อันตราย​ที่สุด​เพราะ​ผ่าน​ทุก​ด่าน​ที่​ตรวจ​ตัว​อีเมล ด่าน​เดียว​ที่​เหลือ​คือ​การ​ยืนยัน​นอก​อีเมล

อีเมล​จาก​กล่อง​จดหมาย​จริง​ของ​คู่​ค้า​เป็น​ของ​ปลอม​ได้​อย่างไร

อีเมล​จาก​กล่อง​จดหมาย​จริง​เป็น​ของ​ปลอม​ได้​เมื่อ​คนร้าย​ได้​รหัส​ผ่าน​ของ​บัญชี​นั้น​ไป ประกาศ​ของ FBI ระบุ​ว่า​คนร้าย​ใช้​การ​หลอก​ล่อ​หรือ​เจาะ​ระบบ​เพื่อ​เข้า​บัญชี​ที่​มี​อยู่​จริง เมื่อ​เข้า​ได้​แล้ว คนร้าย​อ่าน​เธรด​เก่า รู้​รอบ​การ​จ่าย​เงิน และ​ตอบ​ใน​เธรด​เดิม​ด้วย​ภาษา​ของ​เจ้าของ​บัญชี ฝ่าย​บัญชี​ที่​ตรวจ​แค่​ที่​อยู่​ผู้​ส่ง​จึง​ไม่​เห็น​ความ​ผิด​ปกติ

ตาราง​ด้าน​ล่าง​มา​จาก​รายงาน​ประจำ​ปี 2567 ของ FBI IC3 ซึ่ง​นับ​เฉพาะ​เรื่อง​ที่​มี​คน​ร้อง​เรียน

จำนวน​เรื่อง​ต่อ​ปี​ใกล้​เคียง​กัน​ทั้ง​สาม​ปี แต่​ความ​เสีย​หาย​เฉลี่ย​ต่อ​เรื่อง​สูง​กว่า 120,000 ดอลลาร์ ซึ่ง​คำนวณ​โดย​ทีม​ผู้​เขียน​จาก​ตัวเลข​ปี 2567 ประกาศ​เตือน​เดือน​กันยายน 2567 รวม​สถิติ​สะสม​ตั้งแต่​ตุลาคม 2556 ถึง​ธันวาคม 2566 ไว้​ที่ 305,033 เหตุการณ์ ความ​เสีย​หาย​ที่​เปิด​เผย 55,499,915,582 ดอลลาร์​สหรัฐ และ​ระบุ​ว่า​พบ​ใน 186 ประเทศ

SME เสี่ยง​โดน BEC แค่​ไหน

SME อยู่​ใน​กลุ่ม​เป้า​หมาย​เช่น​กัน ประกาศ​ของ FBI ระบุ​ว่า BEC ยัง​เล็ง​ตั้งแต่​ธุรกิจ​ท้อง​ถิ่น​ขนาด​เล็ก​ไป​จนถึง​บริษัท​ใหญ่​และ​รายการ​โอน​ของ​บุคคล SME อาจ​เสีย​หาย​ต่อ​ครั้ง​น้อย​กว่า แต่​เงิน​หนึ่ง​งวด​ที่​หาย​ไป​อาจ​เท่ากับ​กำไร​ทั้ง​เดือน และ SME มัก​มี​คน​ดูแล​การ​จ่าย​เงิน​คน​เดียว ไม่มี​คน​ที่​สอง​ช่วย​ตรวจ

ขั้น​ตรวจ​ที่​ได้​ผล​คือ​แยก​การ​ยืนยัน​ออก​จาก​อีเมล​ทั้งหมด ประกาศ​ของ FBI แนะนำ​ให้​ใช้​ช่อง​ทาง​ที่​สอง​หรือ​การ​ยืนยัน​สอง​ขั้น​เมื่อ​มี​คำขอ​เปลี่ยน​ข้อมูล​บัญชี ใช้​รหัส​ผ่าน​ไม่​ซ้ำ​กัน​ทุก​บริการ ตรวจ​ว่า URL ใน​อีเมล​เป็น​ของ​ธุรกิจ​ที่​อ้าง​จริง ระวัง​ลิงก์​ที่​สะกด​โดเมน​ผิด ไม่​ส่ง​รหัส​ผ่าน​หรือ​ข้อมูล​ส่วน​บุคคล​ทาง​อีเมล และ​ตั้ง​ค่า​เครื่อง​พนักงาน​ให้​แสดง​นามสกุล​ไฟล์​เต็ม

ฝ่าย​บัญชี​แปลง​คำ​แนะนำ​เหล่า​นี้​เป็น​ขั้น​ก่อน​โอน​ได้​ดังนี้

1. เปลี่ยน​เลข​บัญชี​คู่​ค้า​ได้​เมื่อ​ยืนยัน​ทาง​โทรศัพท์​แล้ว​เท่านั้น โทร​เบอร์​ที่​อยู่​ใน​สัญญา​หรือ​ใบ​เสนอ​ราคา​ฉบับ​แรก ไม่​ใช้​เบอร์​ใน​อีเมล​ที่​ขอ​เปลี่ยน
2. ชื่อ​บัญชี​ใหม่​ต้อง​ตรง​กับ​ชื่อ​นิติบุคคล​ของ​คู่​ค้า บัญชี​บุคคล​หรือ​บริษัท​ชื่อ​อื่น​ให้​หยุด​ก่อน
3. โอน​งวด​แรก​เข้า​บัญชี​ใหม่​ให้​มี​คน​ที่​สอง​อนุมัติ แม้​บริษัท​จะ​เล็ก ให้​เจ้าของ​หรือ​หุ้น​ส่วน​อีก​คน​ดู​เลข​บัญชี​ก่อน​กด
4. ตรวจ​ความเร่ง​ด่วน​ที่​ผิด​ปกติ คำขอ​ให้​โอน​ก่อน​กำหนด​หรือ​ห้าม​บอก​คน​อื่น​คือ​สัญญาณ​ให้​ช้า​ลง
5. จด​ทุก​การ​ยืนยัน​ไว้​ใน​แฟ้ม​คู่​ค้า ใคร​โทร โทร​หา​ใคร เบอร์​อะไร วัน​เวลา​ไหน

คู่​ค้า​ต่าง​ประเทศ​อยู่​คนละ​เขต​เวลา โทร​ยืนยัน​ไม่ทัน​จะ​ทำ​อย่างไร

ตกลง​วิธี​ยืนยัน​ไว้​ตั้งแต่​วัน​เปิด​บัญชี​คู่​ค้า เช่น ระบุ​ใน​สัญญา​ว่าการ​เปลี่ยน​เลข​บัญชี​ต้อง​มี​หนังสือ​จาก​ธนาคาร​ของ​คู่​ค้า​และ​ต้อง​แจ้ง​ล่วง​หน้า​ก่อน​งวด​จ่าย​เงิน การ​ยืนยัน​จึง​ไม่​ต้อง​พึ่ง​การ​โทร​ใน​วัน​เดียว ถ้า​กำหนด​จ่าย​ใกล้​แล้ว​ยัง​ยืนยัน​ไม่​ได้ ให้​คุย​กับ​คู่​ค้า​ผ่าน​ช่อง​ทาง​เดิม​ที่​รู้​ว่า​เป็น​ของ​จริง​เพื่อ​เลื่อน​งวด ค่า​ปรับ​จาก​การ​จ่าย​ช้า​มัก​น้อย​กว่า​เงิน​ทั้ง​งวด​ที่​หาย​ไป

DMARC เป็น​ระเบียน​หนึ่ง​บรรทัด​ใน​การ​ตั้ง​ค่า​โดเมน ที่​บอก​เซิร์ฟเวอร์​อีเมล​ฝั่ง​ผู้รับ​ว่า​จะ​ทำ​อย่างไร​กับ​อีเมล​ที่​อ้าง​ว่า​มา​จาก​โดเมน​ของ​เรา​แต่​ไม่​ผ่าน​การ​ตรวจ SPF หรือ DKIM หน้า​คำ​แนะนำ​ของ Google Workspace ระบุ​ตัว​เลือก​นโยบาย​ไว้​สาม​ค่า

Google ให้​เปิด SPF หรือ DKIM ก่อน รอ 48 ชั่วโมง แล้ว​จึง​ตั้ง DMARC โดย​เริ่ม​ที่ none ดู​รายงาน​ว่า​อีเมล​ของ​บริษัท​ผ่าน​การ​ตรวจ​ครบ​หรือ​ไม่ จาก​นั้น​ค่อย​ขยับ​เป็น quarantine หรือ reject บริษัท​ที่​ใช้​บริการ​ส่ง​อีเมล​ของ​คน​อื่น ต้อง​ให้​ผู้​ให้​บริการ​ตั้ง SPF และ DKIM ให้​ถูก​ก่อน​ด้วย ส่วน​เกณฑ์​ผู้​ส่ง​อีเมล​จำนวน​มาก​ของ Gmail อธิบาย​ไว้​ในMarketing Automation อีเมล​อัตโนมัติ​กับ​เกณฑ์​ผู้​ส่ง​ของ Gmail

DMARC กัน​อะไร​ไม่​ได้

DMARC กัน​ได้​เฉพาะ​คน​ที่​ปลอม​โดเมน​ของ​เรา​ตรง ๆ ตาม​หลัก​การ​ที่ Google อธิบาย การ​ตรวจ​เทียบ​โดเมน​ใน​ส่วน From กับ​โดเมน​ที่​ผ่าน SPF หรือ DKIM จึง​ไม่​ครอบคลุม​โดเมน​ที่​คนร้าย​จด​ขึ้น​ใหม่​ให้​สะกด​คล้าย เพราะ​โดเมน​นั้น​ตั้ง DMARC ของ​ตัว​เอง​ได้ และ​ไม่​ครอบคลุม​กล่อง​จดหมาย​จริง​ที่​ถูก​ยึด เพราะ​อีเมล​ออก​จาก​เซิร์ฟเวอร์​จริง DMARC จึง​เป็น​ด่าน​เสริม การ​ยืนยัน​ผ่าน​ช่อง​ทาง​ที่​สอง​ยัง​ต้อง​มี​ทุก​ครั้ง

ถ้า​โอน​ไป​แล้ว เวลา​สำคัญ​ที่สุด ประกาศ​ของ FBI ให้​ติดต่อ​สถาบัน​การ​เงิน​ทันที​เพื่อ​ขอ​เรียก​เงิน​คืน​พร้อม​เอกสาร​ที่​ธนาคาร​ต้องการ และ​บอก​ว่า​แต่ละ​ธนาคาร​มีน​โย​บาย​ต่าง​กัน จึง​ควร​รู้​ล่วง​หน้า​ว่า​ธนาคาร​ของ​เรา​ช่วย​อะไร​ได้​บ้าง รายงาน​ประจำ​ปี​ของ IC3 ระบุ​ว่า​ทีม Recovery Asset Team ทำงาน​ร่วม​กับ​สถาบัน​การ​เงิน​ผ่าน​ขั้น​ตอน Financial Fraud Kill Chain เพื่อ​อายัด​เงิน ปี 2567 รับ​เรื่อง​เข้า​ขั้น​ตอน​นี้ 3,020 เรื่อง และ​เรื่อง​ส่วน​ใหญ่​เป็น BEC ขั้น​ตอน​หลัง​โอน​เงิน​ให้​คนร้าย​ตาม​กฎหมาย​ไทย​อยู่​ในมิจฉาชีพ​ออนไลน์ 2569 สถิติ ACSC และ​ขั้น​ตอน​หลัง​โอน​เงิน​ไป​แล้ว

สำหรับ​บริษัท​ใน​ไทย ลำดับ​ที่​ทำได้​ทันที​คือ

1. โทร​ธนาคาร​ที่​ใช้​โอน ขอ​ให้​ติดต่อ​ธนาคาร​ปลาย​ทาง​เพื่อ​ระงับ​หรือ​เรียก​เงิน​คืน
2. โทร​สาย​ด่วน 1441 แจ้ง​เรื่อง​เพื่อ​อายัด​บัญชี​ปลาย​ทาง​ที่​อยู่​ใน​ไทย
3. เก็บ​หลัก​ฐาน อีเมล​ต้นฉบับ​พร้อม​ส่วน​หัว ใบ​แจ้ง​หนี้ และ​หลัก​ฐาน​การ​โอน
4. แจ้ง ThaiCERT ทาง​อีเมล thaicert@ncsa.or.th ถ้า​สงสัย​ว่า​กล่อง​จดหมาย​ของ​บริษัท​ถูก​ยึด
5. เปลี่ยน​รหัส​ผ่าน​และ​เปิด​การ​ยืนยัน​สอง​ขั้น ของ​ทุก​บัญชี​อีเมล​ที่​เกี่ยวข้อง แล้ว​แจ้ง​คู่​ค้า​ให้​ตรวจ​บัญชี​ของ​ตัว​เอง​ด้วย

ถ้า​อีเมล​ของ​คู่​ค้า​ถูก​ยึด ใคร​ต้อง​รับ​ผิด​ชอบ​เงิน​ที่​หาย​ไป

บท​นี้​ตอบ​เรื่อง​ความ​รับ​ผิด​ทาง​กฎหมาย​ไม่​ได้ เพราะ​ขึ้น​กับ​สัญญา​ซื้อ​ขาย กฎหมาย​ของ​ประเทศ​คู่​สัญญา และ​ราย​ละเอียด​ของ​เหตุการณ์ สิ่ง​ที่​ทำได้​ก่อน​เกิด​เรื่อง​คือ​เขียน​ขั้น​ยืนยัน​การ​เปลี่ยน​เลข​บัญชี​ไว้​ใน​สัญญา ทั้ง​สอง​ฝ่าย​จะ​มี​กติกา​เดียวกัน​ให้​ยึด​เมื่อ​มี​ปัญหา ถ้า​เกิด​เรื่อง​แล้ว​ควร​ปรึกษา​ทนายความ​ที่​ดูแล​สัญญา​การ​ค้า

สี่​ข้อ​ด้าน​ล่าง​คือ​สิ่ง​ที่​บท​นี้​ไม่​ได้​ครอบคลุม

1. สถิติ​ทั้งหมด​เป็น​ของ FBI นับ​จาก​ผู้​ร้อง​เรียน​ต่อ IC3 ส่วน​ใหญ่​อยู่​ใน​สหรัฐ ยัง​ไม่มี​สถิติ BEC ของ​ไทย​ที่​แยก​เผย​แพร่
2. ขั้น​ตั้ง DMARC อ้าง​หน้า​คำ​แนะนำ​ของ Google ผู้​ให้​บริการ​อีเมล​ราย​อื่น​มีหน้า​ตั้ง​ค่า​ของ​ตัว​เอง
3. บท​นี้​ไม่​ได้​อธิบาย​การ​ตั้ง SPF และ DKIM ที​ละ​ขั้น ผู้​ดูแล​โดเมน​ควร​ทำ​ตาม​คู่มือ​ของ​ผู้​ให้​บริการ​ที่​ใช้
4. ขั้น​เรียก​เงิน​คืน​ต่าง​กัน​ตาม​ธนาคาร โดย​เฉพาะ​การ​โอน​ไป​ต่าง​ประเทศ ให้​ถาม​ขั้น​ตอน​กับ​ธนาคาร​ก่อน​โอน​งวด​แรก

SME ไม่​ต้อง​มี​ระบบ​ราคา​แพง​เพื่อ​กัน BEC กติกา​หนึ่ง​หน้าที่​ทุก​คนใน​ฝ่าย​บัญชี​รู้ ช่วย​ได้​มากกว่า

1. ราย​ชื่อ​คู่​ค้า​พร้อม​เบอร์​ยืนยัน เก็บ​เบอร์​จาก​สัญญา​ฉบับ​แรก แยก​จาก​ราย​ชื่อ​ติดต่อ​ใน​อีเมล
2. กติกา​เปลี่ยน​เลข​บัญชี ต้อง​โทร​ยืนยัน​และ​มี​คน​ที่​สอง​อนุมัติ
3. วงเงิน​ที่​ต้อง​มี​คน​ที่​สอง​ดู กำหนด​ตัวเลข​ให้​ชัด
4. ขั้น​ตอน​เมื่อ​สงสัย โทร​ธนาคาร 1441 และ​หัวหน้า ตาม​ลำดับ
5. รอบ​ตรวจ DMARC และ​รหัส​ผ่าน ทุก​หก​เดือน

งาน​สั่ง​ผลิต​และ​จ่าย​เงิน​ผู้​ผลิต​แทน​บริษัท พร้อม​แฟ้ม​หลัก​ฐาน​การ​ยืนยัน​ทุก​งวด อยู่​ใน​ขอบเขต​ของงาน​จัด​ซื้อ​จัด​จ้าง ที่​ฟิจิ⁠ทัล​รับ​ดูแล ส่วน​ความ​ต่าง​ของ​อีเมล​กับ LINE OA ใน​การ​คุย​กับ​ลูกค้า​อยู่​ในEmail Marketing กับ LINE OA ส่ง​ข้อความ​แบบ​ไหน​ไม่​เข้า​ข่าย​สแปม และ​คำ​สั่ง​โอน​ที่มา​ทาง​วิดีโอ​คอ​ลอยู่​ในDeepfake ผู้​บริหาร​ปลอม​ใน​วิ​ดี​โอ​คอล ยืนยัน​คำ​สั่ง​โอน​สอง​ช่อง​ทาง

ธนาคาร​ของ​บริษัท​ช่วย​อะไร​ได้​บ้าง​ก่อน​เกิด​เรื่อง

ถาม​ธนาคาร​ว่า​มี​บริการ​ตั้ง​ราย​ชื่อ​บัญชี​ผู้รับ​เงิน​ล่วง​หน้า การ​อนุมัติ​สอง​คนใน​ระบบ​ธนาคาร​ออนไลน์​สำหรับ​นิติบุคคล และ​การ​แจ้ง​เตือน​เมื่อ​มี​การ​เพิ่ม​บัญชี​ผู้รับ​ใหม่​หรือ​ไม่ ชื่อ​บริการ​และ​เงื่อนไข​ต่าง​กัน​ตาม​ธนาคาร ฟีเจอร์​เหล่า​นี้​ทำให้​การ​เปลี่ยน​เลข​บัญชี​คู่​ค้า​ต้อง​ผ่าน​อีก​ด่าน​ใน​ระบบ​ธนาคาร​เอง นอก​เหนือ​จาก​กติกา​ภายใน​บริษัท

BEC Scam คือ​การ​ใช้​อีเมล​ธุรกิจ​ที่​ปลอม​หรือ​ถูก​ยึด​สั่ง​ให้​โอน​เงิน​ไป​บัญชี​คนร้าย รายงาน​ของ FBI IC3 ปี 2567 มี​ผู้​ร้อง​เรียน 21,442 ราย เสีย​หาย 2,770,151,146 ดอลลาร์​สหรัฐ และ​ตัวเลข​ใกล้​เคียง​กัน​มา​สาม​ปี อีเมล​ปลอม​มา​ได้​สาม​ทาง คือ​ชื่อ​ผู้​ส่ง​เหมือน​แต่​ที่​อยู่​ไม่​ตรง โดเมน​สะกด​คล้าย และ​กล่อง​จดหมาย​จริง​ที่​ถูก​ยึด DMARC กัน​ได้​เฉพาะ​การ​ปลอม​โดเมน​ของ​เรา​ตรง ๆ ด่าน​ที่​กัน​ได้​ทุก​ทาง​คือ​ยืนยัน​การ​เปลี่ยน​เลข​บัญชี​ผ่าน​เบอร์​ใน​สัญญา​ฉบับ​แรก และ​ให้​คน​ที่​สอง​อนุมัติ​งวด​แรก ถ้า​โอน​ไป​แล้ว​ให้​โทร​ธนาคาร​และ 1441 ทันที เพราะ​เวลา​คือ​สิ่ง​ที่​ตัดสิน​ว่า​จะ​อายัด​เงิน​ทัน​หรือ​ไม่