Deepfake ขอซิมไม่ใช่ฉากในหนังอีกต่อไป ลองนึกภาพคนร้ายเดินเข้าไปขอซิมใหม่ด้วยใบหน้าของคุณที่ AI สร้างขึ้น พอได้ซิมก็รับรหัส OTP แล้วโอนเงินในบัญชีคริปโตออกไปภายในไม่กี่วินาที คดีที่พัทยาเมื่อต้นเดือนกันยายน 2569 เกิดขึ้นแบบนี้จริง และมาพร้อมร่างกติกาใหม่ของแบงก์ชาติที่จะเปลี่ยนวิธียืนยันตัวตนของทุกแอปการเงิน
สรุปสั้น: คดี Deepfake ขอซิมที่พัทยา ผู้ต้องหาใช้ AI สลับหน้าสวมหน้าเหยื่อไปขอซิมใหม่ รับ OTP แล้วโอน USDT ไปราว 4.7 ล้านเหรียญ (ประมาณ 162 ล้านบาท) ส่วน ธปท. มีร่างประกาศให้เลิก SMS-OTP และให้สแกนใบหน้าพร้อมระบบกันปลอมเมื่อทำธุรกรรมเกิน 50,000 บาท ธุรกิจที่ใช้ eKYC ด้วยใบหน้าจึงต้องรับมือทั้งการปลอมหน้าด้วย AI และหน้าที่ดูแลข้อมูลชีวภาพตาม PDPA ไปพร้อมกัน
คดี Deepfake ขอซิม คืออะไร เกิดอะไรขึ้น
คดี Deepfake ขอซิมคือกรณีที่ ตม. จับชายชาวจีนวัย 30 ปีที่พัทยา ตามหมายจับของทางการจีน ข่าว 4 เหล่าทัพและไทยรัฐรายงานเมื่อ 8 กันยายน 2569 ว่าผู้ต้องหาพัฒนาซอฟต์แวร์ AI สลับหน้าขึ้นเอง เพื่อสวมหน้าเหยื่อไปขอเปลี่ยนซิม
เมื่อได้ซิมของเหยื่อ ผู้ต้องหาก็รับ OTP ที่ส่งทาง SMS ได้ทันที แล้วโอนเหรียญ USDT ออกไปราว 4.7 ล้านเหรียญสหรัฐ หรือประมาณ 162 ล้านบาท ภายในไม่กี่วินาที พูดง่าย ๆ คือ ด่านเดียวที่คนร้ายต้องผ่านคือ “หน้า” ของเหยื่อ และ AI ปลอมหน้าได้แล้ว
ในช่วงเวลาใกล้กัน Legal500 สรุปร่างประกาศของธนาคารแห่งประเทศไทย (ธปท.) เรื่องมาตรฐานความปลอดภัยของช่องทางดิจิทัล ซึ่งปิดรับฟังความเห็นไปเมื่อ 24 สิงหาคม 2569 ร่างนี้เสนอให้เลิกใช้ SMS-OTP ยืนยันตัวตน และให้สแกนใบหน้าพร้อม anti-spoofing เมื่อทำธุรกรรมเกิน 50,000 บาท
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้ต้องหา | ชายชาวจีน อายุ 30 ปี ถูก ตม. จับที่พัทยา ตามหมายของทางการจีน |
| วิธีการ | ซอฟต์แวร์ AI สลับหน้า สวมหน้าเหยื่อขอเปลี่ยนซิม แล้วรับ OTP |
| ความเสียหาย | USDT ราว 4.7 ล้านเหรียญ (ประมาณ 162 ล้านบาท) โอนภายในไม่กี่วินาที |
| ร่างประกาศ ธปท. | เลิก SMS-OTP · สแกนใบหน้าพร้อม anti-spoofing เมื่อธุรกรรมเกิน 50,000 บาท · คุมเข้มการเปลี่ยนอุปกรณ์และลงทะเบียนใหม่ |
| ผู้ที่อยู่ในข่าย | ธนาคาร ผู้ให้บริการ e-Money และผู้ให้สินเชื่อ |
| สถานะร่าง | ปิดรับฟังความเห็น 24 สิงหาคม 2569 (ยังไม่มีข่าววันมีผลบังคับ) |
Deepfake ขอซิม กระทบธุรกิจไทยอย่างไร
Deepfake ขอซิมเปลี่ยนโจทย์ความปลอดภัยของธุรกิจไทยจาก “ทำอย่างไรไม่ให้ข้อมูลรั่ว” เป็น “ทำอย่างไรไม่ให้คนร้ายปลอมเป็นลูกค้าได้” ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว แยกตามกลุ่มที่โดนหนักไม่เท่ากัน
ฟินเทค e-Wallet และ exchange คริปโต ต้องเตรียมอะไร
ฟินเทค e-Wallet และ exchange คริปโตต้องเตรียมเปลี่ยนวิธียืนยันตัวตนก่อนใคร เพราะถ้าร่างประกาศ ธปท. ออกมาตามที่เสนอ SMS-OTP จะใช้ไม่ได้อีก และธุรกรรมเกิน 50,000 บาทต้องผ่านการสแกนหน้า
ปัญหาคือ การย้ายจาก OTP ไปใช้ใบหน้าไม่ได้ปิดความเสี่ยงทั้งหมด คดี Deepfake ขอซิมแสดงให้เห็นว่าคนร้ายเริ่มปลอมหน้าได้แล้ว ระบบสแกนหน้าที่ไม่มี anti-spoofing ที่ดีพอ ก็เท่ากับย้ายประตูหลังบ้านจาก SMS มาไว้ที่กล้องหน้าโทรศัพท์ ผู้ให้บริการจึงควรถามผู้ขายระบบ eKYC ตรง ๆ ว่าทดสอบกับหน้าที่ AI สร้างและการยิงภาพเข้ากล้องโดยตรง (injection attack) แล้วหรือยัง
ธุรกิจที่เก็บภาพใบหน้าลูกค้าเสี่ยงอะไรตาม PDPA
ธุรกิจที่เก็บภาพใบหน้าลูกค้าเพื่อยืนยันตัวตนกำลังถือ “ข้อมูลชีวภาพ” ซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 และต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37(1) ซึ่งสำหรับข้อมูลชีวภาพควรเข้มกว่าข้อมูลทั่วไป
ลองนึกภาพ ตัวอย่างสมมติ: แอปปล่อยสินเชื่อรายย่อยเก็บภาพใบหน้าลูกค้าทุกครั้งที่ขอกู้ และเก็บไว้ไม่มีกำหนด ถ้าคลังภาพนี้รั่ว คนร้ายจะได้วัตถุดิบชั้นดีไปทำ Deepfake ขอซิมหรือเปิดบัญชีปลอมต่อ ยิ่งเก็บนาน ความเสียหายตอนรั่วยิ่งมาก ผู้เขียนจึงมองว่านโยบายเก็บภาพใบหน้า “ให้สั้นที่สุดเท่าที่จำเป็น” คือมาตรการป้องกันที่ถูกที่สุด
ค่ายมือถือและผู้ให้บริการในห่วงโซ่
ค่ายมือถือเป็นด่านที่คนร้ายผ่านไปได้ในคดีนี้ คำถามที่ผู้เขียนคิดว่าจะตามมาคือ ผู้ออกซิมให้คนร้ายต้องรับผิดด้วยหรือไม่ เพราะ พ.ร.ก. ป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี ฉบับแก้ไข เพิ่มภาระให้ผู้ให้บริการในห่วงโซ่แล้ว ข้อนี้ยังเป็นการวิเคราะห์ ยังไม่มีคำตัดสินในข่าว
คนทั่วไปที่มีเงินในแอปการเงิน
คนทั่วไปควรรู้ว่าเบอร์มือถือคือกุญแจของบัญชีการเงินเกือบทุกบัญชี ถ้าจู่ ๆ สัญญาณมือถือหายโดยไม่มีสาเหตุ ให้โทรหาค่ายมือถือและธนาคารทันที เพราะอาจเป็นสัญญาณว่ามีคนขอซิมใหม่ในชื่อเรา อ่านเรื่องความเสี่ยงของ AI เพิ่มเติมได้ที่ หมวด AI & Governance
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าธุรกิจไม่ทำอะไรเลย ความเสี่ยงแรกคือเงินลูกค้าหายผ่านช่องทางของเรา แล้วตามมาด้วยคำถามเรื่องความรับผิด ความเสี่ยงที่สองคือถ้าร่างประกาศ ธปท. มีผล ระบบที่ยังพึ่ง SMS-OTP จะต้องรื้อในเวลากระชั้น ความเสี่ยงที่สามคือถ้าคลังภาพใบหน้ารั่ว ธุรกิจจะเจอทั้งปัญหาตาม PDPA เรื่องข้อมูลอ่อนไหว และเสียความเชื่อใจของลูกค้าในคราวเดียว
ฟินเทคและธุรกิจที่ใช้ eKYC ควรทำอะไรตอนนี้
ฟินเทคและธุรกิจที่ใช้ eKYC ด้วยใบหน้าควรเริ่มจากการประเมินว่าระบบของตัวเองรับมือ Deepfake ขอซิมและการปลอมหน้าได้จริงแค่ไหน แล้วค่อยวางแผนเลิกพึ่ง SMS-OTP งานเหล่านี้ทำได้ทันทีโดยไม่ต้องรอประกาศฉบับจริง
- 1. ทำ DPIA สำหรับระบบใบหน้า โดยใส่ความเสี่ยง Deepfake เป็นหัวข้อหลัก ครอบคลุมหน้าที่ AI สร้าง การยิงภาพเข้ากล้อง และการสวมหน้าตอนเปลี่ยนอุปกรณ์
- 2. ขอผลทดสอบ anti-spoofing จากผู้ขายระบบ eKYC ถามให้ชัดว่าทดสอบกับวิดีโอ Deepfake แล้วหรือยัง และผลเป็นอย่างไร
- 3. ทำแผนเลิกพึ่ง SMS-OTP ไล่ดูว่าจุดไหนในแอปยังใช้ OTP ทาง SMS เป็นด่านเดียว โดยเฉพาะตอนเปลี่ยนเครื่องและลงทะเบียนใหม่
- 4. ตั้งระยะเวลาเก็บภาพใบหน้าให้สั้นที่สุด เขียนเป็นนโยบาย แจ้งในประกาศความเป็นส่วนตัว และลบจริงตามกำหนด
- 5. ซ้อมรับมือเหตุ SIM swap ร่วมกับทีมบริการลูกค้า กำหนดว่าถ้าลูกค้าแจ้งว่าซิมถูกเปลี่ยน ใครต้องระงับบัญชีภายในกี่นาที
ถ้าองค์กรต้องการคนช่วยทำ DPIA สำหรับระบบข้อมูลชีวภาพ ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านประเด็นข้อมูลส่วนบุคคลอื่น ๆ ได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
สิบปีที่ผ่านมาเรากังวลว่าข้อมูลลูกค้าจะรั่ว วันนี้ผมกังวลว่าคนร้ายจะกลายเป็นลูกค้าของเราเสียเอง ใบหน้าเปลี่ยนรหัสผ่านไม่ได้ ถ้าหลุดไปครั้งเดียวก็หลุดไปตลอดชีวิต การเลิก SMS-OTP เป็นทิศทางที่ถูก แต่ถ้าย้ายไปใช้ใบหน้าโดยไม่ถามว่าระบบแยกหน้าจริงกับหน้า AI ได้ไหม เราแค่ย้ายจุดอ่อนไปไว้ที่ใหม่ ผมอยากให้ทุกบริษัทที่เก็บภาพหน้าลูกค้าถามตัวเองว่า เก็บไว้ทำไม และเก็บนานแค่ไหน
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Deepfake ขอซิม
Deepfake ขอซิม คืออะไร
Deepfake ขอซิมคือการใช้ AI สร้างหรือสลับใบหน้าให้เหมือนเจ้าของเบอร์ แล้วนำไปผ่านการยืนยันตัวตนเพื่อขอซิมใบใหม่ เมื่อได้ซิม คนร้ายจะรับ SMS และ OTP แทนเจ้าของตัวจริง แล้วใช้เข้าบัญชีการเงินได้
ธปท. จะเลิกใช้ SMS-OTP จริงไหม มีผลเมื่อไร
ตามที่ Legal500 สรุป ธปท. มีร่างประกาศที่เสนอให้เลิกใช้ SMS-OTP ในการยืนยันตัวตน และปิดรับฟังความเห็นไปเมื่อ 24 สิงหาคม 2569 ข่าวยังไม่ระบุวันมีผลบังคับ ธุรกิจจึงควรติดตามประกาศฉบับจริงก่อนกำหนดแผน
โอนเงินเกิน 50,000 บาทต้องสแกนหน้าทุกครั้งไหม
ร่างประกาศ ธปท. เสนอให้สแกนใบหน้าพร้อมระบบกันหน้าปลอมเมื่อทำธุรกรรมเกิน 50,000 บาท ครอบคลุมธนาคาร e-Money และผู้ให้สินเชื่อ รายละเอียดสุดท้ายต้องรอประกาศที่ออกจริง
ภาพใบหน้าที่ใช้ยืนยันตัวตนถือเป็นข้อมูลอ่อนไหวตาม PDPA ไหม
ภาพใบหน้าที่ใช้ยืนยันตัวตนเป็นข้อมูลชีวภาพ ซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 ผู้เก็บต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37(1) และควรเก็บไว้เท่าที่จำเป็นเท่านั้น
แหล่งอ้างอิง
- ข่าว 4 เหล่าทัพ — (อ่านต้นฉบับ) — อ่านที่ข่าว 4 เหล่าทัพ
- Legal500 — (อ่านต้นฉบับ) — อ่านสรุปร่างประกาศ ธปท. ที่ Legal500
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
Comments are closed.