วันที่ 9 มีนาคม 2566 ธนาคารแห่งประเทศไทยออกข่าวฉบับที่ 10/2566 เรื่องมาตรการจัดการภัยทุจริตทางการเงิน มาตรการข้อแรกในกลุ่มการป้องกันคือให้สถาบันการเงินงดส่งลิงก์ทุกประเภทผ่าน SMS และอีเมล ตั้งแต่นั้นมา ลูกค้าธนาคารมีหลักง่าย ๆ ใช้ตรวจข้อความ คือข้อความที่อ้างชื่อธนาคารแล้วมีลิงก์ให้กด ไม่ตรงกับแนวปฏิบัติที่ธนาคารต้องทำ แต่ธุรกิจอื่นอีกมากยังส่ง SMS ที่มีลิงก์ถึงลูกค้าทุกวัน ทั้งแจ้งสถานะพัสดุ แจ้งโปรโมชัน และขอให้ยืนยันบัญชี เกณฑ์ที่ใช้ในบทความนี้มาจากมาตรการของ ธปท. และคำชี้แจงของหน่วยงานที่ถูกแอบอ้าง แล้วใช้เกณฑ์นั้นไล่ดูว่าธุรกิจที่ส่งข้อความหาลูกค้าควรเปลี่ยนอะไรในข้อความของตัวเอง
DIGITAL MARKETING
SMS ลิงก์ปลอมธนาคารและพัสดุตกค้าง เมื่อธนาคารเลิกส่งลิงก์
KEY TAKEAWAYS
3 ประเด็นข่าวธนาคารแห่งประเทศไทยฉบับที่ 10/2566 ลงวันที่ 9 มีนาคม 2566 ให้สถาบันการเงินงดส่งลิงก์ทุกประเภทผ่าน SMS และอีเมล
และงดส่งลิงก์ขอข้อมูลสำคัญ เช่น ชื่อผู้ใช้งาน รหัสผ่าน และเลขบัตรประชาชน ผ่านโซเชียลมีเดีย
บริษัท ไปรษณีย์ไทย จำกัด ชี้แจงผ่านศูนย์ต่อต้านข่าวปลอมว่าไม่มีนโยบายเรียกเก็บค่าดำเนินการใดผ่าน SMS
ข้อความพัสดุตกค้างที่ให้กดลิงก์ไปกรอกข้อมูลบัตรจึงเป็นกลโกง
พระราชกำหนดฉบับแก้ไขปี 2568 ให้ผู้ให้บริการโทรคมนาคมมีหน้าที่ตรวจสอบเพื่อคัดกรอง SMS
ที่อาจเกี่ยวข้องกับอาชญากรรมทางเทคโนโลยี ตามมาตรฐานที่สำนักงาน กสทช. กำหนด
ปี 2566 ธปท. ให้ธนาคารงดส่งลิงก์ทุกประเภททาง SMS และอีเมล ไปรษณีย์ไทยยืนยันว่าไม่เก็บค่าพัสดุผ่าน SMS ธุรกิจที่ส่งข้อความหาลูกค้าใช้หลักเดียวกันได้
ข่าว ธปท. ฉบับที่ 10/2566 เปลี่ยนอะไร
ข่าวฉบับนี้แบ่งมาตรการเป็นสามกลุ่ม คือป้องกัน ตรวจจับ และตอบสนอง กลุ่มป้องกันมีเป้าหมายตามถ้อยคำของ ธปท. ว่าเพื่อปิดช่องทางที่มิจฉาชีพจะเข้าถึงประชาชน นอกจากงดส่งลิงก์ทุกประเภทผ่าน SMS และอีเมลแล้ว ยังให้งดส่งลิงก์ที่ขอข้อมูลสำคัญ เช่น ชื่อผู้ใช้งาน รหัสผ่าน และเลขบัตรประชาชนผ่านโซเชียลมีเดีย ข่าวฉบับเดียวกันเล่าว่าก่อนหน้านั้น ธปท. ทำงานร่วมกับสำนักงาน กสทช. กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และศูนย์ประสานงานด้านความมั่นคงปลอดภัยเทคโนโลยีสารสนเทศภาคธนาคาร หรือ TB-CERT ปิด SMS ที่แอบอ้างชื่อสถาบันการเงินไปแล้ว
ในข่าวฉบับนี้ ธปท. เรียกมาตรการทั้งชุดว่าแนวปฏิบัติขั้นต่ำที่สถาบันการเงินทุกแห่งต้องทำตามเป็นมาตรฐานเดียวกัน และระบุว่าส่วนใหญ่ต้องแล้วเสร็จภายในเดือนมีนาคม 2566 คำว่ามาตรฐานเดียวกันมีผลต่อผู้รับข้อความโดยตรง เพราะลูกค้าไม่ต้องจำว่าธนาคารไหนส่งลิงก์ได้หรือไม่ได้
หลังมาตรการนี้ SMS อ้างชื่อธนาคารที่มีลิงก์ให้กดหมายความว่าอะไร
หมายความว่าข้อความนั้นขัดกับแนวปฏิบัติขั้นต่ำที่ ธปท. กำหนดให้ธนาคารทุกแห่ง จึงต้องถือว่าไม่ได้มาจากธนาคาร ไม่ต้องกดลิงก์เพื่อตรวจว่าจริงหรือไม่ ถ้าต้องการรู้สถานะบัญชี ให้เปิดแอปของธนาคารที่ติดตั้งไว้แล้ว หรือโทรเบอร์หลังบัตร ใครที่เผลอกดลิงก์หรือกรอกข้อมูลลงไปแล้ว ดูขั้นตอนที่ต้องทำต่อตามลำดับได้ในมิจฉาชีพออนไลน์ 2569 สถิติ ACSC และขั้นตอนหลังโอนเงินไปแล้ว
ข้อความพัสดุตกค้างที่ไปรษณีย์ไทยชี้แจง
ข้อความอีกแบบที่คนไทยเห็นบ่อยอ้างชื่อบริษัทขนส่ง เมื่อ 28 กันยายน 2565 ศูนย์ต่อต้านข่าวปลอมเผยแพร่ผลตรวจสอบกับบริษัท ไปรษณีย์ไทย จำกัด กรณี SMS แจ้งว่ามีพัสดุตกค้างที่จัดส่งไม่ได้และต้องชำระค่าบริการ ผลการตรวจสอบคือเป็นข้อมูลเท็จ ไปรษณีย์ไทยอธิบายว่าลิงก์ในข้อความพาไปหน้าที่ให้กรอกเลขบัตรเครดิต ชื่อผู้ถือบัตร วันหมดอายุ และรหัสสามหลักหลังบัตร และย้ำว่าบริษัทไม่มีนโยบายเรียกเก็บค่าดำเนินการใดผ่าน SMS
ร้านค้าออนไลน์ที่ใช้บริการขนส่งช่วยลูกค้าได้ตั้งแต่ตอนยืนยันคำสั่งซื้อ คือส่งเลขพัสดุและชื่อบริษัทขนส่งให้ในแชตหรืออีเมลยืนยันคำสั่งซื้อทุกครั้ง ลูกค้าที่ได้รับข้อความพัสดุตกค้างจะมีเลขจริงให้เทียบทันที ถ้าเลขในข้อความไม่ตรง หรือข้อความไม่มีเลขพัสดุเลย ลูกค้าก็ตัดสินได้เองโดยไม่ต้องถามร้าน
คำชี้แจงนี้ให้ช่องทางตรวจสอบไว้ด้วย คือเว็บไซต์ thailandpost.co.th และสายด่วน 1545 หลักที่ใช้ได้กว้างกว่ากรณีไปรษณีย์ไทยคือ ผู้รับตรวจสถานะพัสดุด้วยเลขพัสดุที่ได้จากผู้ขาย ผ่านช่องทางที่หาเอง ไม่ต้องใช้ลิงก์ในข้อความที่ไม่ได้ร้องขอ
ทำไมข้อความพัสดุตกค้างถึงได้ผลกับคนจำนวนมาก
คำชี้แจงของไปรษณีย์ไทยไม่ได้อธิบายเหตุผลนี้ บทความจึงตอบได้เฉพาะสิ่งที่ตรวจได้ คือข้อความประเภทนี้อ้างเหตุการณ์ที่เกิดขึ้นจริงบ่อยในชีวิตประจำวัน คนที่สั่งของออนไลน์รอพัสดุอยู่แล้ว และค่าบริการที่ขอก็เป็นเงินจำนวนไม่มาก สิ่งที่ผู้รับทำได้คือเทียบกับข้อเท็จจริงของตัวเอง เช่น เลขพัสดุที่ผู้ขายส่งให้ และช่องทางที่ผู้ขายแจ้งไว้ตอนสั่งซื้อ
หน้าที่คัดกรอง SMS ของค่ายมือถือ
พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี ฉบับที่ 2 พ.ศ. 2568 เพิ่มมาตรา 4/1 เข้าไปในกฎหมายเดิม วรรคสองของมาตรานี้ให้ผู้ให้บริการเครือข่ายโทรศัพท์และผู้ให้บริการโทรคมนาคมอื่นมีหน้าที่ตรวจสอบเพื่อคัดกรองเนื้อหาการบริการสารสั้น หรือ SMS ที่อาจเกี่ยวข้องกับอาชญากรรมทางเทคโนโลยี ตามมาตรฐานหรือมาตรการที่สำนักงาน กสทช. กำหนด หน้าที่นี้จึงเป็นข้อกฎหมาย ไม่ใช่เพียงความร่วมมือระหว่างหน่วยงานเหมือนช่วงก่อนหน้า
วรรคแรกของมาตราเดียวกันให้ธนาคารแห่งประเทศไทย สำนักงาน ก.ล.ต. คณะกรรมการ กสทช. สำนักงาน กสทช. และคณะกรรมการที่ดูแลธุรกรรมอิเล็กทรอนิกส์ กำหนดมาตรฐานหรือมาตรการเพื่อป้องกันอาชญากรรมทางเทคโนโลยีในส่วนที่ตัวเองกำกับ แนวปฏิบัติแบบที่ ธปท. ใช้กับธนาคารเมื่อปี 2566 จึงมีฐานในพระราชกำหนดรองรับเพิ่มขึ้นด้วย
เมื่อค่ายมือถือต้องคัดกรองแล้ว SMS ปลอมจะหมดไปหรือไม่
ตัวบทไม่ได้สัญญาเช่นนั้น มาตรา 4/1 ให้คัดกรองตามมาตรฐานที่สำนักงาน กสทช. กำหนด การคัดกรองจึงลดจำนวนข้อความที่ถึงมือผู้รับได้ แต่ข้อความที่หลุดผ่านมายังเกิดได้ ผู้รับยังต้องใช้หลักเดิม คือไม่ใช้ลิงก์ในข้อความที่ไม่ได้ร้องขอ สำหรับธุรกิจ การคัดกรองที่เข้มขึ้นอาจกระทบข้อความจริงของตัวเองด้วย ถ้าข้อความหน้าตาเหมือนข้อความหลอกลวง
ธุรกิจที่ยังส่งลิงก์ให้ลูกค้าทาง SMS
มาตรการของ ธปท. ใช้กับสถาบันการเงินเท่านั้น ร้านค้าออนไลน์ บริษัทขนส่ง และธุรกิจบริการสมาชิกจึงยังส่งลิงก์ได้ตามเดิม ขณะที่ลูกค้าคนเดียวกันรับข้อความจากทั้งธนาคารและร้านค้าในกล่องข้อความเดียว ลูกค้าที่ถูกสอนว่าอย่ากดลิงก์ใน SMS ทุกข้อความ จะใช้หลักนั้นกับข้อความของร้านค้าด้วย ข้อความจริงที่มีลิงก์จึงถูกเมินมากขึ้น และข้อความปลอมที่อ้างชื่อร้านก็มีหน้าตาเหมือนข้อความจริงทุกประการ
วิธีแก้ที่ ธปท. เลือกให้ธนาคารคือเปลี่ยนที่ที่ลูกค้าทำธุรกรรม ธนาคารส่งข้อความได้ แต่ข้อความไม่มีลิงก์ และให้ลูกค้าไปทำต่อในแอปของธนาคารที่ติดตั้งไว้แล้ว ธุรกิจอื่นทำตามหลักนี้ได้ ข้อความแจ้งพัสดุบอกเลขพัสดุและชื่อบริการขนส่ง ข้อความแจ้งโปรโมชันบอกรหัสส่วนลดที่ใช้ในแอปหรือหน้าร้าน โดยไม่ต้องแนบลิงก์ ลูกค้าที่อยากดูรายละเอียดเปิดแอปหรือบัญชีแชตทางการที่เพิ่มเพื่อนไว้แล้วเอง
ธุรกิจที่จ้างผู้ให้บริการส่ง SMS ต้องตรวจอะไรเพิ่ม
ตรวจสามเรื่อง เรื่องแรกคือชื่อผู้ส่งที่ลูกค้าเห็นบนหน้าจอ ต้องเป็นชื่อเดียวกันทุกข้อความและตรงกับชื่อที่ประกาศไว้บนเว็บ เรื่องที่สองคือใครในบริษัทหรือคู่ค้าที่มีสิทธิ์ส่งข้อความภายใต้ชื่อนั้น ควรมีรายชื่อชัดเจนและถอนสิทธิ์ได้เมื่อคนออกหรือเปลี่ยนผู้ให้บริการ เรื่องที่สามคือแม่แบบข้อความที่อนุมัติแล้ว เก็บไว้ที่เดียวให้ทีมดูแลลูกค้าเปิดเทียบเมื่อมีลูกค้าส่งข้อความที่ได้รับมาถาม
ถ้าต้องส่งลิงก์จริง ๆ ควรทำอย่างไรให้ลูกค้าตรวจได้
กรณีที่เลี่ยงไม่ได้ เช่น ลิงก์ชำระเงินที่ลูกค้าขอเอง ให้ส่งเฉพาะหลังจากลูกค้าร้องขอในช่องทางทางการ ใช้โดเมนของบริษัทเองแทนลิงก์ย่อ และประกาศไว้บนหน้าเว็บทางการว่าบริษัทส่งลิงก์ในกรณีใดบ้าง ลูกค้าที่ได้รับลิงก์โดยไม่ได้ขอจะมีหลักให้เทียบ
แนวทางเดียวกับที่แก๊งคอลเซ็นเตอร์อ้างชื่อองค์กร ตรวจสายจริงจากช่องทางไหน ใช้กับสายโทร ส่วน QR Code ที่แนบในจดหมายหรือติดหน้าร้าน แยกไว้ในคิวอาร์โค้ดปลอมหน้าร้าน ลูกค้าเช็กชื่อ ร้านเช็กยอดในแอป และข้อความที่แจ้งว่าผู้รับได้รางวัลจากการชิงโชคของแบรนด์ มีวิธีเทียบกับกติกาชิงโชคของจริงอยู่ในหลอกว่าถูกรางวัล ชิงโชคจริงมีใบอนุญาต ไม่ให้โอนค่าภาษีก่อน
คำถามก่อนส่ง SMS แจ้งลูกค้ารอบถัดไป
ธนาคารแห่งประเทศไทยกำหนดให้สถาบันการเงินงดส่งลิงก์ทุกประเภทใน SMS และอีเมลตั้งแต่ปี 2566 ธุรกิจที่ไม่ได้อยู่ใต้มาตรการนี้ใช้หลักเดียวกันเป็นเกณฑ์ตรวจข้อความของตัวเองได้ ก่อนกดส่งรอบถัดไป ทีมที่ดูแลข้อความถามตัวเองห้าข้อ
- ข้อความนี้จำเป็นต้องมีลิงก์หรือไม่ ถ้าลูกค้าทำต่อในแอปหรือบัญชีแชตที่มีอยู่แล้วได้ ให้ตัดลิงก์ออก
- ข้อความบอกข้อมูลที่ลูกค้าตรวจเองได้หรือยัง เช่น เลขคำสั่งซื้อ เลขพัสดุ หรือรหัสส่วนลดที่ใช้ในช่องทางทางการ
- ชื่อผู้ส่งตรงกับที่ลูกค้าเคยเห็นทุกครั้งหรือไม่ ใช้ชื่อเดียวและรูปแบบเดียวทุกข้อความ เพื่อให้ข้อความที่ผิดรูปแบบสะดุดตาลูกค้าทันที
- ข้อความขอข้อมูลสำคัญหรือไม่ ถ้าขอรหัสผ่าน เลขบัตร หรือรหัสหลังบัตร ให้ย้ายไปขอในช่องทางที่ลูกค้าเข้าสู่ระบบด้วยตัวเองแทน
- ลูกค้ารู้หรือยังว่าร้านส่งลิงก์ในกรณีใดบ้าง ถ้ายังไม่เคยประกาศ ให้ประกาศบนหน้าเว็บทางการก่อน
ข้อไหนในห้าข้อที่ควรเริ่มก่อน
เริ่มจากข้อห้า เพราะเป็นข้อที่ทำให้ข้ออื่นมีความหมายต่อลูกค้า การตัดลิงก์ออกจากข้อความโดยไม่บอกลูกค้าล่วงหน้า ทำให้ลูกค้าแยกไม่ออกว่าข้อความที่มีลิงก์ซึ่งอ้างชื่อร้านเป็นของเก่าหรือของปลอม ประกาศหนึ่งหน้าบนเว็บทางการที่ระบุว่าร้านส่งข้อความแบบไหน และไม่ส่งแบบไหน ให้เกณฑ์ที่ลูกค้าใช้ตัดสินเองได้ทุกครั้ง หลังประกาศแล้ว ทีมดูแลลูกค้าควรนับจำนวนคำถามเรื่องข้อความน่าสงสัยในแต่ละเดือน ตัวเลขนี้บอกได้ว่าลูกค้ารับรู้ประกาศแล้วหรือยัง และช่วงไหนที่มีข้อความปลอมอ้างชื่อร้านมากเป็นพิเศษ
สรุป
ข่าวธนาคารแห่งประเทศไทยฉบับที่ 10/2566 เมื่อ 9 มีนาคม 2566 ให้สถาบันการเงินทุกแห่งงดส่งลิงก์ทุกประเภทผ่าน SMS และอีเมล และงดส่งลิงก์ขอข้อมูลสำคัญผ่านโซเชียลมีเดีย เป็นแนวปฏิบัติขั้นต่ำมาตรฐานเดียวกัน ข้อความอ้างชื่อธนาคารที่มีลิงก์ให้กดจึงขัดกับแนวปฏิบัตินั้น ฝั่งขนส่ง บริษัท ไปรษณีย์ไทย จำกัด ชี้แจงผ่านศูนย์ต่อต้านข่าวปลอมเมื่อ 28 กันยายน 2565 ว่าไม่มีนโยบายเรียกเก็บค่าดำเนินการผ่าน SMS และให้ตรวจสถานะที่ thailandpost.co.th หรือสายด่วน 1545 ส่วนพระราชกำหนดฉบับที่ 2 พ.ศ. 2568 ให้ผู้ให้บริการโทรคมนาคมมีหน้าที่คัดกรอง SMS ตามมาตรฐานของสำนักงาน กสทช. ธุรกิจที่ส่งข้อความหาลูกค้าไม่ได้อยู่ใต้มาตรการของ ธปท. แต่ลูกค้าใช้หลักเดียวกันตัดสินข้อความของทุกธุรกิจ ทางออกคือส่งข้อความที่ไม่มีลิงก์ บอกข้อมูลที่ลูกค้าตรวจเองได้ ให้ลูกค้าทำต่อในแอปหรือบัญชีแชตทางการ และประกาศล่วงหน้าว่าร้านส่งลิงก์ในกรณีใด
คำถามที่พบบ่อย (FAQ)
ได้ มาตรการในข่าว ธปท. ฉบับที่ 10/2566 ห้ามแนบลิงก์ทุกประเภทใน SMS และอีเมล ไม่ได้ห้ามส่งข้อความ ลูกค้ายังได้รับข้อความแจ้งเตือนแบบไม่มีลิงก์ตามปกติ
คำชี้แจงที่ศูนย์ต่อต้านข่าวปลอมเผยแพร่ระบุเว็บไซต์ thailandpost.co.th และสายด่วน 1545 และย้ำว่าบริษัทไม่มีนโยบายเรียกเก็บค่าดำเนินการผ่าน SMS
ไม่จำเป็น มาตรการงดส่งลิงก์ของ ธปท. ใช้กับสถาบันการเงิน ร้านค้าบางรายยังส่งลิงก์จริง ผู้รับจึงควรเข้าไปดูรายละเอียดผ่านแอปหรือบัญชีทางการที่ตัวเองติดตั้งหรือเพิ่มเพื่อนไว้ แทนการกดลิงก์ในข้อความ
มาตรา 4/1 วรรคสอง ที่เพิ่มโดยพระราชกำหนดฉบับที่ 2 พ.ศ. 2568 ให้ผู้ให้บริการเครือข่ายโทรศัพท์และผู้ให้บริการโทรคมนาคมอื่นตรวจสอบเพื่อคัดกรอง ตามมาตรฐานที่สำนักงาน กสทช. กำหนด
ควรแจ้ง เพราะลูกค้าจะรู้ว่าตั้งแต่วันนั้นข้อความที่มีลิงก์และอ้างชื่อร้านไม่ได้มาจากร้าน ประกาศบนหน้าเว็บทางการ ในบัญชีแชต และในข้อความแรกที่ส่งด้วยรูปแบบใหม่
PHYGITAL INSIGHT
ฟิจิทัลตั้งแชตบอตตอบลูกค้าในบัญชีแชตทางการของธุรกิจ ให้รับเลขคำสั่งซื้อหรือเลขพัสดุแล้วตอบสถานะกลับทันที ข้อความ SMS ของลูกค้าจึงไม่ต้องแนบลิงก์อีก เพียงบอกให้พิมพ์เลขนั้นในแชตที่เพิ่มเพื่อนไว้แล้ว ลูกค้าที่ได้รับข้อความปลอมก็ถามแชตบอตได้ว่าข้อความนั้นมาจากร้านหรือไม่ บริการแชตบอตของฟิจิทัลส่งรายงานคำถามลักษณะนี้ให้ทีมดูทุกสัปดาห์
บริการที่เกี่ยวข้อง
ให้ PHYGITAL AGENCY ช่วยต่อยอดเรื่องนี้สู่ผลลัพธ์จริง
ข้อความแจ้งลูกค้าของร้านส่งได้ครบทุกเรื่องโดยไม่ต้องมีลิงก์สักข้อความ
ทีม PHYGITAL AGENCY ตั้งแชตบอตในบัญชีแชตทางการให้ลูกค้าพิมพ์เลขคำสั่งซื้อหรือเลขพัสดุแล้วได้คำตอบทันที เขียนข้อความ SMS ชุดใหม่ที่ไม่ต้องแนบลิงก์ และทำประกาศหน้าเดียวบนเว็บว่าร้านส่งข้อความแบบไหนบ้าง
WRITTEN BY
PARANATH PANARATANA
CHAIRMAN OF PHYGITAL AGENCY
ประธานกรรมการบริษัท ฟิจิทัล เอเจนซี จำกัด มีประสบการณ์ดูแลการตลาดที่ผสานโลกจริงและโลกออนไลน์เข้าด้วยกัน ตลอดจนเป็นที่ปรึกษาในการวินิจฉัยธุรกิจ อีกทั้งยังเคยทำงานในสายวิดีโอโปรดักชั่นและภาพยนตร์ไทยอีกด้วย
