'ตู้แช่ถูกแฮก' ธนาคารถูกเจาะ ไม่ต้องตื่นตระหนก แต่อย่าประมาท

คืนวันที่ 1 ต่อเช้ามืดวันที่ 2 พฤศจิกายนที่ผ่านมา มีรายงานเหตุผิดปกติในระบบทำความเย็นของซูเปอร์มาร์เก็ตอย่างน้อย 9 ประเทศในยุโรป โดยหลายแห่งถูกแฮกเกอร์สั่งจากระยะไกลให้เข้าโหมดละลายน้ำแข็ง อุณหภูมิบางแห่งพุ่งถึง 50 องศาเซลเซียส อาหารสดและอาหารแช่แข็งต้องทิ้งจำนวนมาก ซ้ำรอยกับเหตุการณ์ในฝรั่งเศสคืนวันที่ 11 ต่อ 12 ตุลาคมที่กระทบร้านค้าราว 700 สาขา และในคืนเดียวกัน ห้องเย็นเก็บพลาสมาของธนาคารเลือดฝรั่งเศสซึ่งปกติอยู่ที่ลบ 30 องศา ก็มีรายงานว่าถูกเปลี่ยนค่าที่ตั้งให้สูงถึง 110 องศาฯ แต่อุณหภูมิไม่ได้ขึ้นไปถึงระดับนั้น โชคดีที่ระบบแจ้งเตือนจับได้ทัน

ต้องเข้าใจให้ชัดว่าการแฮกตู้แช่ครั้งนี้เป็นการเจาะระบบควบคุมอุปกรณ์ทางกายภาพ ที่เชื่อมต่ออินเทอร์เน็ต ซึ่งเกี่ยวข้องกับอุปกรณ์ Internet of Things ที่มีซอฟต์แวร์ฝังอยู่ข้างใน คล้ายกับซอฟต์แวร์ในรถยนต์รุ่นใหม่ ตู้แช่ทั้งร้านถูกสั่งงานผ่านตัวควบคุมกลางที่ช่างซ่อมบำรุงเข้าดูแลจากระยะไกลได้ อุปกรณ์แบบนี้มีความเสี่ยงสูงหากติดตั้งแล้วใช้ต่อเนื่องกันหลายปีโดยไม่มีการอัปเดต หรือเปิดหน้าควบคุมให้เข้าถึงจากอินเทอร์เน็ตโดยตรง ตัวควบคุมรุ่นหนึ่งที่ถูกโจมตีครั้งนี้ เป็นผลิตภัณฑ์ที่ประกาศสิ้นสุดอายุตั้งแต่เดือนพฤษภาคม 2564 และไม่รับอัปเดตความปลอดภัยแล้ว

ขณะที่การสำรวจเมื่อวันที่ 13 ตุลาคมพบผลค้นหาหน้าควบคุมของผู้ผลิตรายนี้ที่เปิดต่ออินเทอร์เน็ตทั่วโลกราว 4,500 จุด ซึ่งไม่ได้หมายความว่าทั้งหมดถูกโจมตี แต่เมื่อคนร้ายเข้าควบคุมระบบได้ ก็สามารถใช้โหมดละลายน้ำแข็งที่มีอยู่แล้วในเครื่องสร้างความเสียหายได้

ไม่กี่วันก่อนหน้านั้น Binance ตลาดซื้อขายคริปโตฯ รายใหญ่ที่สุดของโลกถูกขโมยสินทรัพย์ไปราว 6.3 พันล้านดอลลาร์ ซึ่งทางการสหรัฐระบุว่าเป็นฝีมือกลุ่มแฮกเกอร์เกาหลีเหนือ จุดเริ่มต้นไม่ได้ซับซ้อนเลย วิศวกรคนหนึ่งดาวน์โหลดเครื่องมือปลอมจากลิงก์โฆษณา อีกคนถูกหลอกด้วยการสัมภาษณ์งานปลอม ถัดมาธนาคารแห่งหนึ่งในฝรั่งเศสก็ยอมรับว่าเงินของธนาคารเองถูกโอนออกไประดับร้อยล้านยูโร โดยคนร้ายเข้ามาทางระบบของผู้ให้บริการภายนอก

สิ่งที่อาจทำให้คนไทยเริ่มกังวลมากขึ้นคือข่าวขยับเข้ามาใกล้บ้านเรา ธนาคารแห่งหนึ่งในไต้หวันมีเงินถูกโอนออกโดยไม่ได้รับอนุญาต 427 รายการ กระทบลูกค้า 418 ราย รวมมูลค่า 41.76 ล้านดอลลาร์ไต้หวัน โดยแต่ละรายการอยู่ระหว่าง 10,000 ถึง 100,000 ดอลลาร์ไต้หวัน ส่วนธนาคารในมาเลเซียถูกเปลี่ยนหน้าเว็บ ส่วนข้อมูลจาก FortiGuard Labs ระบุว่าภาคธนาคาร การเงิน และประกันภัยของอินโดนีเซียเผชิญความพยายามโจมตีกว่า 1.2 ล้านครั้งในช่วง 24 ชั่วโมงถึงเย็นวันที่ 9 พฤศจิกายน และล่าสุดการบินไทยแจ้งว่าข้อมูลผู้โดยสารราว 60,529 รายการในระบบของ Amadeus ผู้ให้บริการระบบสำรองที่นั่ง อาจถูกเข้าถึงโดยไม่ได้รับอนุญาตในช่วงวันที่ 10 สิงหาคม 2566 ถึง 23 กันยายน 2569 โดยข้อมูลบัตรเครดิตไม่ได้รับผลกระทบ

ก่อนอื่นต้องทำความเข้าใจกับเหตุการณ์เหล่านี้ให้ดี เงินหายจริงแบบไต้หวัน หน้าเว็บถูกเปลี่ยนแบบมาเลเซีย และความพยายามโจมตีที่ยังเจาะไม่สำเร็จแบบอินโดนีเซีย สามอย่างนี้หนักเบาต่างกันมาก ตัวเลขโจมตีเป็นแสนเป็นล้านครั้งฟังดูน่ากลัว แต่สำหรับคนทำงานด้านนี้ถือเป็นเรื่องปกติ แฮกเกอร์ตั้งระบบอัตโนมัติยิงเข้ามาตลอดเวลาเพื่อหาช่องโหว่ ผมประเมินว่าระบบไอทีธนาคารหรือหน่วยงานที่สำคัญก็ถูกยิงวันละหลายครั้งเช่นกัน เพียงแต่ไม่ได้แถลงตัวเลข เปรียบเหมือนเราอยู่ในกำแพงเมือง ข้าศึกยิงเข้ามาทุกวัน คำถามจึงอยู่ที่ว่ากำแพงแข็งแรงแค่ไหนและมีคนเฝ้าอยู่หรือไม่

ระบบธนาคารอธิบายอย่างง่ายได้เป็นสองส่วนคือ หน้าบ้านกับหลังบ้าน หลังบ้านคือระบบที่เก็บบัญชีและข้อมูลการเงินของเราจริงๆ ส่วนนี้ธนาคารมักมีการควบคุมการเข้าถึงหลายชั้นและไม่ได้เปิดให้เข้าจากอินเทอร์เน็ตโดยตรง การเข้าถึงต้องผ่านระบบและช่องทางที่กำหนด สังเกตได้ว่าซอฟต์แวร์ใหม่ล่าสุดหลายตัวธนาคารยังไม่รีบนำมาใช้ เพราะต้องทดสอบความเสถียร ความเข้ากันได้ และความปลอดภัยก่อน อย่างไรก็ตาม ระบบที่ใช้มานานก็ต้องได้รับการอัปเดตและดูแลเช่นกัน ดังนั้นการเจาะระบบหลังบ้านจึงไม่ง่าย แต่การอยู่หลังเครือข่ายภายในก็ไม่ได้รับประกันว่าจะปลอดภัยเสมอไป

จุดที่ต้องเฝ้าระวังเป็นพิเศษคือหน้าบ้าน ทั้งเว็บไซต์ แอปบนมือถือ และระบบของคู่ค้าที่เชื่อมเข้ามา ทั้งกรณีไต้หวันและฝรั่งเศสมีรายงานว่าช่องทางที่เกี่ยวข้องกับเหตุอยู่ที่ระบบของผู้ให้บริการภายนอก ที่ไต้หวันคนร้ายเล่นงานการตั้งค่าความปลอดภัยของซัพพลายเออร์ในระบบธุรกรรมธนาคารออนไลน์ใหม่ และมีลูกค้าออกมาโพสต์ถึงความผิดปกติ

ส่วนที่ฝรั่งเศสคนร้ายเข้ามาทางแพลตฟอร์มของผู้ให้บริการภายนอก แล้วใช้บัญชีของธนาคารเองโอนเงินออก เงินในบัญชีลูกค้าไม่ได้รับผลกระทบ กรณีมาเลเซียเป็นเว็บไซต์องค์กรที่บุคคลภายนอกดูแล ระบบจองตั๋ว หรือแม้แต่ตู้แช่ที่บริษัทซ่อมบำรุงเข้าควบคุมจากระยะไกล ล้วนสะท้อนความเสี่ยงจากระบบของคู่ค้าและช่องทางเข้าถึงจากระยะไกล แม้ไม่ได้หมายความว่าทุกกรณีต้องเริ่มจากการเจาะระบบของคู่ค้าก่อนเสมอไป

สถาบันการเงินและองค์กรที่มีระบบสำคัญส่วนใหญ่มีการเฝ้าระวังความปลอดภัยตลอด 24 ชั่วโมง 7 วัน ผ่านศูนย์เฝ้าระวังความปลอดภัยที่เรียกว่า SOC ซึ่งอาจดำเนินการเองหรือใช้ผู้ให้บริการภายนอก เปรียบเสมือน รปภ. เฝ้าอาคารหรือหมู่บ้าน คอยดูว่าใครทำท่าทางมีพิรุธและตรวจหาความผิดปกติทั้งก่อนและหลังมีผู้บุกรุกเข้ามา เพียงแต่ใช้ซอฟต์แวร์ตรวจจับ ซึ่งระยะหลังมีการนำ AI มาช่วยเฝ้ามากขึ้น หากเจออะไรที่ผิดปกติก็จะแจ้งเตือนไปยังเจ้าหน้าที่เพื่อตัดสินใจแก้ปัญหาต่อไป

ที่น่ากังวลกว่านั้นคือ AI ก็เก่งขึ้นในฝั่งผู้โจมตีเช่นกัน เมื่อเดือนตุลาคมมีรายงานจากบริษัทความปลอดภัยว่าผู้โจมตีใช้เครื่องมือ AI เจาะสถาบันการเงินเกาหลีใต้หลายแห่ง ขณะที่หน่วยงานกำกับยังสอบสวนว่าแต่ละเหตุเชื่อมโยงกันหรือเป็นผู้โจมตีรายเดียวกันหรือไม่ และใช้ AI มากน้อยเพียงใด ส่วนผลการตรวจสอบผ่านรายการตรวจสอบที่บริษัทส่งรายงาน พบข้อบกพร่องพื้นฐานใน 130 จาก 555 บริษัท เช่น ไม่อัปเดตระบบและไม่มีการเฝ้าระวังตลอดเวลา ผมมองว่าความเสี่ยงสูงขึ้นจริง แต่ยังห่างไกลจากคำว่าระบบธนาคารจะล่ม

ส่วนคำถามที่ว่าการฝากเงินกับธนาคารยังปลอดภัยไหม ต้องถอนเงินออกมาหรือไม่ ผมมองว่าไม่จำเป็น กฎหมายปราบปรามอาชญากรรมทางเทคโนโลยีฉบับแก้ไขที่ใช้มาตั้งแต่เดือนเมษายน 2568 กำหนดให้สถาบันการเงินต้องร่วมรับผิดชอบความเสียหาย หากเหตุนั้นไม่ได้เกิดจากความผิดของลูกค้าเอง ที่ไต้หวันธนาคารก็คืนเงินลูกค้าครบทุกราย แต่ถ้าเราถอนเงินสดมาเก็บไว้ที่บ้านแล้วถูกขโมย หรือถูกมิจฉาชีพหลอกให้โอนเอง ไม่มีใครรับผิดชอบแทนเรา เงินสดในบ้านจึงเสี่ยงกว่าเงินในบัญชีมาก

ส่วนหนึ่งที่อยู่ในความรับผิดชอบของเราเองคือระบบหน้าบ้านของเรา ทั้งการใช้แอปต่างๆ การตั้งรหัสผ่าน และการเปิดใช้การยืนยันตัวตนสองชั้น (Two-Factor Authentication) ซึ่งไม่ควรมีเพียงรหัสผ่าน ถ้ามีการล็อกอินจากอุปกรณ์อื่นก็ต้องได้รับอนุญาตจากมือถือของเราด้วย นอกจากนี้รหัสผ่านควรยาวสิบตัวขึ้นไป เดายาก และไม่ใช้ซ้ำกันในแต่ละบริการ เพราะรหัสที่ใช้ซ้ำหลายที่มักหลุดไปอยู่ในมือคนร้ายแล้วโดยที่เราไม่รู้ ข้อสำคัญคือควรหมั่นเปลี่ยนรหัสผ่านทุก 6 เดือน

คำถามที่ผู้ฝากเงินควรถามตัวเองวันนี้จึงไม่ใช่ว่าจะถอนเงินออกจากธนาคารดีหรือไม่ แต่เป็นว่ารหัสผ่านและการยืนยันตัวตนสองชั้นของเราเองแข็งแรงพอแล้วหรือยัง