Q1: สาเหตุกรณีนี้เกิดจากอะไร ใช่การ hack ระบบ หรือข้อมูลรั่วไหลจากระบบธนาคารพาณิชย์ หรือไม่
• ธปท. และสมาคมธนาคารตรวจสอบแล้ว ขอยืนยันว่าไม่ได้เกิดจากการรั่วไหลของข้อมูลธนาคารพาณิชย์
• ภัยไซเบอร์ปัจจุบันมีหลากหลายรูปแบบ ตั้งแต่รูปแบบที่มีวิธีการไม่ซับซ้อน เช่น หลอกถามผ่านทางโทรศัพท์ SMS หรือ email ให้บอกข้อมูลส่วนตัว แล้วเอาข้อมูลเหล่านั้นไปใช้งานต่อ ไปจนถึง การใช้เครื่องมือที่ซับซ้อนเพื่อโจมตีระบบ เช่น การโจมตีในลักษณะระดมการส่งรายการจำนวนมากพร้อมกันจนระบบไม่สามารถให้บริการได้ ซึ่งเคยเกิดขึ้นมาแล้ว
• กรณีที่เกิดขึ้นในระยะหลัง โดยเฉพาะระหว่างวันที่ 14-17 ตุลาคม สาเหตุสำคัญเกิดจาก มิจฉาชีพใช้โปรแกรมคอมพิวเตอร์สุ่มเลขบัตร มีทั้งบัตรเครดิตและเดบิต ซึ่งมิจฉาชีพอาจได้ข้อมูลมาจากหลายแหล่ง แล้วนำมาสร้างเลขบัตรใหม่เพิ่มเติมจำนวนมาก จากนั้นนำไปสุ่มทดลองใช้งานกับร้านค้าออนไลน์ในต่างประเทศที่ไม่มีการป้องกันการพิสูจน์ตัวตน เช่น ใช้ One Time Password (OTP) เมื่อพบเลขบัตรที่ถูกต้อง สามารถใช้งานได้ ก็ใช้เลขบัตรนั้นทำธุรกรรมที่วงเงินสูงขึ้นต่อไป
Q2: ทำไมไม่มีการส่ง OTP ก่อนตัดเงินแม้จะจำนวนน้อย ควรให้มีส่ง OTP ทุกครั้ง
• โดยปกติ ธุรกรรม online ระบบจะกำหนดให้มีการยืนยันตัวตนการทำธุรกรรม เช่น ใส่ SMS-OTP
• บางร้านค้าจะยกเว้นการให้ลูกค้าต้องกรอก OTP ในกรณีที่ซื้อสินค้าหรือบริการเป็นจำนวนเงินน้อย ๆ เพื่ออำนวยความสะดวกให้กับลูกค้า ซึ่งกรณีนี้ หากเกิดความเสียหายขึ้น ร้านค้าจะเป็นผู้รับผิดชอบความเสียหาย โดยธนาคารจะเป็นผู้ประสานงานแทนลูกค้าหลังได้รับแจ้ง
Q3: เหตุใดระบบของธนาคารจึงไม่สามารถตรวจจับความผิดปกติดังกล่าว เช่น ความถี่ในการถูกปฏิเสธธุรกรรมของมิจฉาชีพได้ ทำไมต้องรอจนเป็นข่าวแล้ว จึงค่อยมีการระงับการใช้บัตรของลูกค้าที่มีรายการผิดปกติ
ธนาคารทุกแห่งมีระบบการตรวจจับและมีกระบวนการในการรับมือกับรายการที่ผิดปกติ โดยความเข้มข้นของระบบตรวจจับจะแตกต่างกันตามนโยบายการบริหารความเสี่ยงของแต่ละธนาคาร ทำให้ธุรกรรมบางประเภท เช่น ธุรกรรมที่จำนวนเงินต่ำอาจไม่เข้าเงื่อนไขของการตรวจจับธุรกรรมที่ผิดปกติทันที
ธปท. และสมาคมธนาคารได้เพิ่มความเข้มข้นในการตรวจจับธุรกรรมที่ผิดปกติให้ครอบคลุมทั้งธุรกรรมที่มีจำนวนเงินต่ำและที่มีความถี่สูงแล้ว หากพบธุรกรรมที่ผิดปกติ ธนาคารจะระงับการใช้บัตรทันทีและแจ้งลูกค้าในทุกช่องทาง รวมทั้งติดตามเฝ้าระวังรายการธุรกรรมจากต่างประเทศเป็นพิเศษ
Q4: เกิดขึ้นกับทุกธนาคารหรือไม่ และเกิดกับบัญชีแบบไหนบ้าง
เหตุการณ์นี้ไม่ได้เกิดกับทุกธนาคาร แต่รายการที่ผิดปกติมาจากทั้งบัตรเครดิตและบัตรเดบิต (รวมถึงบัตร ATM ที่ทำหน้าที่เป็นบัตรเดบิตได้ด้วย)
Q5: กลุ่มมิจฉาชีพเป็นใคร ธปท. และสมาคมฯ จะดำเนินการอย่างไรในเรื่องนี้
สมาคมธนาคารไทย และธนาคารพาณิชย์อยู่ระหว่างการตรวจสอบสาเหตุเชิงลึกอย่างเร่งด่วน รวมทั้งประสานกับหน่วยงานที่เกี่ยวข้อง เช่น สำนักงานตำรวจแห่งชาติ ในการร่วมหาข้อเท็จจริงในเรื่องนี้ให้ได้โดยเร็ว
Q6: ธปท. และสมาคมธนาคารไทย มีแนวทางแก้ไขสำหรับประชาชนที่ได้รับผลกระทบ และป้องกันเรื่องนี้ในอนาคตอย่างไร
ระยะเร่งด่วน (ดำเนินการทันที)
1. ยกระดับความเข้มข้นในการตรวจจับธุรกรรมที่ผิดปกติ ให้ครอบคลุมทั้งธุรกรรมที่มีจำนวนเงินต่ำและที่มีความถี่สูง หากพบธุรกรรมที่ผิดปกติ ธนาคารจะระงับการใช้บัตรทันทีและแจ้งลูกค้าในทุกช่องทาง รวมทั้งติดตามเฝ้าระวังรายการธุรกรรมจากต่างประเทศเป็นพิเศษ
2. เพิ่มการแจ้งเตือนลูกค้าในการทำธุรกรรมทุกรายการ ตั้งแต่รายการแรกผ่านช่องทางต่าง ๆ เช่น ระบบ Mobile banking อีเมล หรือ SMS
3. ธนาคารยกระดับการตรวจสอบและคืนเงินให้กับลูกค้า หากตรวจพบว่าลูกค้าได้รับผลกระทบจากการทุจริตกรณีการตัดเงินที่ผิดปกติผ่านบัตรเครดิตและบัตรเดบิต
a. กรณีบัตรเดบิต ลูกค้าจะได้รับการคืนเงินภายใน 5 วันทำการ
b. กรณีบัตรเครดิต ธนาคารจะยกเลิกรายการดังกล่าว ลูกค้าไม่ต้องชำระเงินตามยอดเรียกเก็บที่ผิดปกติ และไม่มีการคิดดอกเบี้ย
ระยะต่อไป
4. ธปท. และสมาคมธนาคารไทยเร่งหารือกับผู้ให้บริการเครือข่ายบัตร เช่น Visa MasterCard เพื่อกำหนดให้มีการใช้การยืนยันตัวตนเพิ่มเติม เช่น OTP กับบัตรเดบิตสำหรับร้านค้าออนไลน์
5. ให้ธนาคารเพิ่มการควบคุมความเสี่ยงในการทำธุรกรรมของลูกค้า เช่น กำหนดจำนวนครั้งและจำนวนเงินสูงสุดต่อวัน เป็นมาตรฐาน
6. พัฒนาเทคโนโลยีใหม่ในการป้องกันและรับมือกับภัยคุกคามรูปแบบใหม่ ๆ อย่างต่อเนื่อง
Q7: นอกจากมาตรการของ ธปท. และธนาคารต่าง ๆ แล้ว ประชาชนจะร่วมตรวจสอบ หรือป้องกันตัวเองได้อย่างไร ทั้งกับการสุ่มข้อมูลบัตรและการสวมรอยในรูปแบบอื่น ๆ
1. ระมัดระวังการผูกบัตรเดบิตและบัตรเครดิตในการทำธุรกรรม โดยเฉพาะกับร้านค้า เช่น เกมออนไลน์ แพลตฟอร์มที่ไม่มีการยืนยันตัวตนก่อนเข้าใช้งาน
2. ลูกค้าสามารถเปิด/ปิดการใช้งานของบัตร หรือเปลี่ยนแปลงวงเงินการใช้บัตร หรืออายัดบัตรได้ด้วยตัวเองผ่านแอพพลิเคชั่นของบางธนาคาร นอกเหนือจากการติดต่อกับธนาคาร
3. หมั่นตรวจสอบรายการธุรกรรมของตนเองอย่างสม่ำเสมอ หากพบสิ่งผิดปกติรีบโทรแจ้งเลขตามเบอร์ติดต่อหลังบัตร
4. ระวังการให้ข้อมูลส่วนตัวกับบุคคลอื่น การเก็บข้อมูลสำคัญ เช่น รหัสผ่าน เป็นสิ่งที่ต้องให้ความสำคัญ และหมั่นตรวจสอบการทำธุรกรรมของตนเองอย่างสม่ำเสมอ
Q8: กรณีที่ไม่มีบัตรเดบิต แต่ถูกเอาเงินออกจากบัญชีไป กรณีนี้เกิดขึ้นจากอะไร
ทั้งนี้ จากการตรวจสอบ ยังไม่พบกรณีไม่มีบัตร และถูกเอาเงินไป
ขอให้ผู้ใช้บริการที่ได้รับผลกระทบแจ้งเหตุการณ์กับธนาคารเพื่อตรวจสอบเพิ่มเติมในเชิงลึก และลูกค้าอาจตรวจสอบเบื้องต้นว่าบัตร ATM ของตนเป็นบัตรเดบิตด้วยหรือไม่ โดยสามารถสังเกตจากการมีสัญลักษณ์ของ Visa หรือ MasterCard หรือคำว่า DEBIT อยู่ หากเป็นบัตรเดบิต ก็อาจเกิดจากการสุ่มข้อมูลบัตรเดบิตและนำไปสวมรอยทำธุรกรรมได้
Q9: ทำไมความปลอดภัยของบัตรเครดิต ถึงต่างกับบัตรเดบิต
ระบบความปลอดภัยจะมีลักษณะเดียวกัน
โดยมีมาตรการป้องกันภัยไซเบอร์ และการตรวจจับธุรกรรมที่ผิดปกติ โดยสำหรับบัตรเดบิต การทำรายการจะตัดเงินทันทีจากบัญชีที่ผูกไว้ หากพบว่าเป็นรายการทุจริต ธนาคารจะตรวจสอบที่มาที่ไปและดำเนินการคืนเงิน ส่วนบัตรเครดิต การทำธุรกรรมจะแสดงมาในรายการเรียกเก็บเงิน ซึ่งหากลูกค้าแจ้งปฏิเสธรายการ ธนาคารจะตั้งเป็นรายการพัก แล้วตรวจสอบข้อเท็จจริงและสามารถยกเลิกรายการเรียกเก็บได้
Q10: ยังต้องแจ้งความหรือไม่ เนื่องจากบางธนาคารยังให้ลูกค้าแจ้งความ
ในกรณีที่ลูกค้าถูกตัดบัตรเดบิตหรือบัตรเครดิตที่ตนไม่ได้ทำรายการ
เมื่อลูกค้ายืนยันข้อเท็จจริงกับธนาคารแล้ว ธนาคารจะทำการคืนเงินให้ โดยที่ไม่ต้องไปแจ้งความแต่อย่างใด
Q11: ธนาคารได้ดำเนินการป้องกันอะไรเพิ่มเติมเพื่อช่วยเหลือประชาชนไปได้แล้วบ้าง
มาตรการป้องกันและช่วยเหลือประชาชนที่ได้ดำเนินการไปแล้ว คือ
1) เพิ่มระดับการตรวจจับและสกัดกั้นธุรกรรมที่ผิดปกติ ให้ครอบคลุมทั้งธุรกรรมที่มีจำนวนเงินต่ำแต่มีความถี่สูง หากพบธุรกรรมที่ผิดปกติ ธนาคารจะระงับการใช้บัตรทันทีและแจ้งลูกค้าในทุกช่องทาง รวมทั้งติดตามเฝ้าระวังรายการธุรกรรมจากต่างประเทศเป็นพิเศษ
2) เพิ่มการแจ้งเตือนลูกค้าในการทำธุรกรรมทุกรายการ ตั้งแต่รายการแรกผ่านช่องทางต่าง ๆ เช่น ระบบ Mobile banking อีเมล หรือ SMS
3) เร่งการคืนเงินลูกค้าที่ได้รับความเสียหายตามที่ได้ประกาศไว้
Q12: การใช้ OTP ขึ้นอยู่กับร้านค้า มีเหตุผลอะไรที่ร้านค้าถึงไม่ช่วยด้านความปลอดภัยของประชาชน หรือว่ามีค่าใช้จ่ายที่ร้านค้าต้องจ่ายเพื่อใช้ OTP ถ้าเป็นเรื่องค่าใช้จ่าย ธนาคารสามารถช่วยอะไรได้บ้างเพื่อความปลอดภัยของประชาชน
ร้านค้าอาจต้องการอำนวยความสะดวกให้กับลูกค้า เพื่อให้ใช้จ่ายออนไลน์ได้ง่ายและเร็วขึ้น ทั้งนี้ ธปท. และสมาคมธนาคารอยู่ระหว่างหารือกับผู้ให้บริการเครือข่ายบัตรต่างประเทศ เช่น Visa Mastercard เพื่อกำหนดให้มีการใช้การยืนยันตัวตนเพิ่มเติม เช่น OTP กับบัตรเดบิตสำหรับร้านค้าออนไลน์
Q13: ธนาคารเอาเงินส่วนไหนมาคืน เพื่อรับผิดชอบ (รายการถูกหักเงินที่ซื้อ – ออนไลน์)
หากเป็นรายการทุจริตจริง
ธนาคารจะสำรองเงินคืนให้ลูกค้าก่อน ระหว่างรอดำเนินการเรียกร้องค่าเสียหายจากร้านค้าในภายหลัง
Q14: มีวิธีการป้องกันให้ลูกค้า หรือแจ้งเตือนก่อนหักบัญชีได้หรือไม่
มีมาตรการเพิ่มการแจ้งเตือนลูกค้าในการทำธุรกรรมทุกรายการตั้งแต่รายการแรก ผ่านช่องทางต่าง ๆ เช่น ระบบ Mobile banking อีเมล หรือ SMS รวมทั้งในส่วนของลูกค้า สามารถเปิด/ปิดการใช้งานของบัตรหรือเปลี่ยนแปลงวงเงินการใช้บัตร หรืออายัดบัตรได้ด้วยตัวเองผ่านแอพพลิเคชั่นของบางธนาคารได้อีกทางหนึ่งด้วย
Q15 : การคืนเงินเป็นกรณีไหนบ้าง และคืนอย่างไร
การคืนเงิน เป็นกรณีบัตรที่มีการใช้งานผิดปกติ โดยการสุ่มข้อมูลบัตรและนำไปสวมรอยทำธุรกรรมผ่านร้านค้าออนไลน์ต่างประเทศที่ไม่มีระบบให้ทำการยืนยันก่อนทำรายการ เช่น การใช้ One Time Password (OTP) ซึ่งเกิดขึ้นระหว่าง 1 - 17 ตุลาคม 2564 ที่ผ่านมา จำนวนรวม 10,700 ใบ ประกอบด้วย
บัตรเดบิตจำนวน 4,800 ใบ จำนวนเงิน 30 ล้านบาท ธนาคารได้ดำเนินการคืนเงินเข้าบัญชีของลูกค้าหมดแล้ว
บัตรเครดิต 5,900 ใบ จำนวน 100 ล้านบาท ได้ดำเนินการตั้งพักยอด และจะดำเนินการยกเลิกรายการ โดยลูกค้าไม่ต้องชำระเงินตามยอดเรียกเก็บที่ผิดปกติและไม่มีการคิดดอกเบี้ย
ส่วนการคืนหลังวันที่ 17 กรณีที่มีธุรกรรมผิดปกติทำรายการผ่านบัตรเดบิตออนไลน์โดยร้านค้าที่ไม่มีการยืนยันการทำรายการ เช่น การใช้ OTP
เมื่อธนาคารตรวจสอบแล้วว่าลูกค้าไม่มีส่วนเกี่ยวข้องในการทำรายการ ธนาคารจะพิจารณาทำการคืนเงินภายใน 5 วันทำการเช่นเดียวกัน ส่วนกรณีธุรกรรมผิดปกติรูปแบบอื่น ๆ ธนาคารจะเร่งประสานกับผู้ให้บริการเครือข่ายบัตรเดบิต (Card Scheme) และร้านค้าปลายทางโดยเร็ว
Q16 : ทำไมยังมีคนบอกว่ายังไม่ได้รับเงินคืน
หากเป็นธุรกรรมผิดปกติที่มีลักษณะที่เข้าข่ายกรณีสุ่มข้อมูลบัตรและนำไปสวมรอยทำธุรกรรมผ่านร้านค้าออนไลน์ต่างประเทศ ที่ไม่มีการใช้ OTP ในช่วงวันที่ 1-17 ตค ลูกค้าบัตรเดบิตต้องได้รับเงินคืนเข้าบัญชีแล้วก่อนวันที่ 23 ตุลาคม ที่ผ่านมา หากยังไม่ได้รับเงินคืน อาจเป็นกรณีที่เกิดภายหลัง 17 ต.ค. ซึ่งธนาคารจะดำเนินการคืนเงินภายใน 5 วัน หลังจากวันที่ตรวจสอบพบ
นอกเหนือจากกรณีข้างต้น ยังมีธุรกรรมทุจริตอีกหลายรูปแบบ ซึ่งประเภทของความเสียหายอาจต่างกรณีกัน ธนาคารจึงจำเป็นต้องพิจารณารูปแบบและข้อเท็จจริงเพิ่มเติมก่อนดำเนินการคืนเงิน
หากมีข้อสงสัย ขอให้ลูกค้าติดต่อผ่านช่องทางบริการต่าง ๆ
ของธนาคารผู้ออกบัตรเพื่อความรวดเร็ว กรณีไม่ได้รับความสะดวกสามารถติดต่อศูนย์คุ้มครองผู้ใช้บริการทางการเงิน ธปท. (โทร. 1213) เพื่อประสานส่งข้อมูลและหลักฐานให้กับธนาคารต่อไป
Q17 : ที่ดำเนินการไป เลือกเฉพาะที่เกิดเรื่องช่วงเป็นข่าวใช่หรือไม่ แล้วที่เหลือจะทำอย่างไร ที่แจ้งว่า 5 วัน จะเป็นมาตรฐานตลอดไปไหม
เนื่องจากเป็นกรณีธุรกรรมที่ผิดปกติจำนวนมาก จึงมีมาตรการแก้ไขเร่งด่วนเพื่อลดผลกระทบต่อประชาชน ทั้งนี้ เนื่องจากการทุจริตมีหลายรูปแบบ
มีความซับซ้อนแตกต่างกัน ธปท. และสมาคมธนาคารไทยจะมีการปรับปรุงการดำเนินการให้เรื่องนี้ให้มีประสิทธิภาพมากขึ้น และเป็นมาตรฐานทั้งระบบ โดยจะคำนึงถึงประโยชน์ของลูกค้าเป็นสำคัญ
Q18 : ทำไมยังเกิดเคสใหม่ๆ ทั้งที่ ธปท และสมาคมธนาคารไทยออกมาชี้แจงว่าได้แก้ปัญหาและยกระดับการป้องกัน
การทำธุรกรรมออนไลน์ของธนาคารมีความปลอดภัยเป็นไปตามมาตรฐานสากล อย่างไรก็ดี การทุจริตเป็นสิ่งที่เกิดขึ้นได้ แต่ที่ผ่านมามีจำนวนไม่มาก จากข้อมูลล่าสุด
อัตราการทำธุรกรรมทุจริตผ่านบัตรชำระเงิน (เดบิต/เครดิต) ของไทยอยู่ในเกณฑ์ต่ำกว่าค่าเฉลี่ยของภูมิภาค และหากมีการทุจริตที่ลูกค้าไม่เกี่ยวข้อง ธนาคารจะเป็นผู้รับผิดชอบ ทั้งนี้ ธนาคารจะร่วมมือกับ ธปท. และผู้ให้บริการเครือข่ายบัตรในการยกระดับการป้องกัน ในเรื่องการเฝ้าระวัง ตรวจสอบ ป้องกัน และดูแลรับผิดชอบความเสียหายอย่างต่อเนื่อง และเพื่อเป็นการลดความเสี่ยงเพิ่มเติม ประชาชนผู้ใช้บริการควรเฝ้าระวังและหมั่นตรวจสอบธุรกรรมของตนเองหรือทำการปรับวงเงินที่ผ่านช่องทางต่าง ๆ ของธนาคารด้วย