สแกนใบหน้าแลกของแจกน้ำท่วม คือกลโกงที่ตำรวจไซเบอร์เตือน โดยมิจฉาชีพแอบอ้างเป็นผู้ช่วยเหลือหรือหน่วยงานรัฐ นำของมาแจกผู้ประสบอุทกภัย แล้วขอถ่ายบัตรประชาชนและสแกนใบหน้าเป็นเงื่อนไข ซึ่งอาจถูกเอาไปเปิดบัญชีม้า ตามรายงานของ The Thaiger เมื่อ 8 ตุลาคม 2569 บทความนี้เหมาะกับผู้ประสบภัย ครอบครัวที่มีผู้สูงอายุ และฝ่าย CSR ที่ออกแจกของ อ่านแล้วจะรู้ว่าอะไรควรให้ อะไรไม่ควรให้
ลองนึกภาพคุณยายในซอยที่น้ำท่วม (ตัวอย่างสมมติ) มีคนใส่เสื้อคล้ายอาสาสมัครยื่นถุงยังชีพให้ แล้วบอกว่าขอถ่ายบัตรประชาชนกับสแกนหน้าก่อน จะได้ลงทะเบียนรับสิทธิ์ คุณยายที่เหนื่อยและกำลังรีบอาจยื่นให้โดยไม่ทันคิด เรื่องนี้ไม่ไกลตัว เพราะตำรวจระบุว่าผู้สูงอายุเป็นกลุ่มเป้าหมายบ่อยที่สุด
สรุปสั้น: ตำรวจไซเบอร์เตือนว่ามิจฉาชีพอ้างตัวเป็นผู้ช่วยเหลือหรือหน่วยงานรัฐ แจกของน้ำท่วมแลกกับการถ่ายบัตรประชาชนและสแกนใบหน้า ซึ่งใช้ยืนยันตัวตนแทนเจ้าของและเปิดบัญชีม้าได้ แจ้งเหตุที่สายด่วน 1441 ตลอด 24 ชั่วโมง ฝ่าย CSR และมูลนิธิควรเก็บข้อมูลผู้รับเท่าที่จำเป็นตาม PDPA เพราะข้อมูลใบหน้าที่ใช้ยืนยันตัวตนเป็นข้อมูลอ่อนไหว
สแกนใบหน้าแลกของแจกน้ำท่วมทำอย่างไร และตำรวจไซเบอร์เตือนอะไรบ้าง
มิจฉาชีพแอบอ้างเป็นผู้ช่วยเหลือหรือหน่วยงานรัฐ นำของมาแจกผู้ประสบอุทกภัย แล้วตั้งเงื่อนไขให้ถ่ายภาพบัตรประชาชนและสแกนใบหน้า ตำรวจไซเบอร์ (กองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี) ระบุว่าข้อมูลสองอย่างนี้ใช้ยืนยันตัวตนแทนเจ้าของได้ จึงอาจถูกนำไปเปิดบัญชีม้า เข้าถึงบัญชีธนาคาร หรือสวมรอยทำธุรกรรม
ตำรวจเตือนรูปแบบอื่นด้วย คือเพจหรือบัญชีรับบริจาคปลอมที่ใช้ภาพหรือคลิปสร้างด้วย AI และ SMS หรือเพจลงทะเบียนเงินเยียวยาปลอมที่ให้กดลิงก์ เพิ่มเพื่อนไลน์ สแกนใบหน้า หรือสแกน QR โค้ด รายงานนี้มาจาก The Thaiger แหล่งเดียว และไม่ได้ระบุจำนวนผู้เสียหายหรือพื้นที่เฉพาะ
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้เตือน | ตำรวจไซเบอร์ (กองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี) |
| วิธีที่เตือน | แจกของแลกถ่ายบัตรและสแกนใบหน้า · เพจบริจาคปลอมใช้ภาพหรือคลิป AI · SMS และเพจลงทะเบียนเงินเยียวยาปลอม |
| ผลที่ตำรวจระบุ | ใช้ยืนยันตัวตนแทนเจ้าของ เปิดบัญชีม้า เข้าถึงบัญชีธนาคาร สวมรอยทำธุรกรรม |
| กลุ่มเป้าหมายบ่อยที่สุด | ผู้สูงอายุ |
| สายด่วนแจ้งเหตุ | 1441 ตลอด 24 ชั่วโมง |
| จำนวนผู้เสียหายและพื้นที่ | ข่าวไม่ได้ระบุ |
สแกนใบหน้าแลกของแจกน้ำท่วมกระทบคนไทยและองค์กรอย่างไร
กลโกงนี้กระทบ 3 กลุ่ม คือผู้ประสบภัยที่แยกของจริงกับของปลอมยาก มูลนิธิและฝ่าย CSR ที่ต้องเก็บข้อมูลผู้รับของ และธนาคารกับผู้ให้บริการ e-KYC ที่เจอบัญชีม้าปลายทาง ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
ผู้ประสบภัยแยกคำขอสแกนใบหน้าของจริงกับของปลอมได้อย่างไร
แยกจากช่องทางและจังหวะที่ถูกขอ ไม่ใช่จากตัวคำขอ เพราะการสแกนใบหน้ามีอยู่จริงในงานของรัฐ ผู้ถือบัตรสวัสดิการแห่งรัฐและผู้รับเงินเยียวยาจริงต้องสแกนใบหน้ายืนยันตัวตน โดยกระทรวงการคลังกำหนดวันสุดท้ายของ e-KYC บัตรสวัสดิการผ่านออมสิน ธ.ก.ส. ธอส. และธนาคารอิสลามคือ 14 ตุลาคม 2569 ของจริงทำผ่านช่องทางที่เราเปิดเอง ส่วนคนที่เดินมาหาแล้วขอสแกนหน้าแลกของ ตำรวจย้ำว่าหน่วยงานรัฐโดยปกติไม่ขอสแกนใบหน้า รหัสผ่าน หรือข้อมูลการเงินเพื่อแจกของ
ขั้นตอนของจริงสรุปไว้ใน บัตรสวัสดิการต้องสแกนใบหน้า e-KYC 1.75 ล้านราย ธนาคาร 14 ต.ค. แอป 12 ม.ค. 2570 ข้อมูลชีวภาพกับ PDPA มาตรา 26 ที่ทุกองค์กรต้องรู้
มูลนิธิและฝ่าย CSR ที่แจกของช่วยน้ำท่วมเก็บบัตรประชาชนกับภาพใบหน้าได้แค่ไหน
เก็บได้เท่าที่จำเป็นกับงานแจกของ และต้องแจ้งวัตถุประสงค์ให้ชัด ไม่ควรเก็บสำเนาบัตรหรือภาพใบหน้าเกินจำเป็น ข้อมูลใบหน้าที่ใช้ยืนยันตัวตนเป็นข้อมูลชีวภาพ ซึ่งเป็นข้อมูลอ่อนไหวตามมาตรา 26 ของ PDPA ที่มีเงื่อนไขเก็บเข้มกว่าข้อมูลทั่วไป การแจ้งผู้รับของทำผ่าน Privacy Notice ตามมาตรา 23 และต้องใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งตามมาตรา 21
ถ้าแค่ต้องรู้ว่าใครรับของไปแล้ว ลายมือชื่อ เบอร์โทร หรือจำนวนสมาชิกในบ้านมักพอ ไม่จำเป็นต้องใช้ใบหน้า
ธนาคารและผู้ให้บริการ e-KYC ควรทำอะไรกับบัญชีที่เปิดจากพื้นที่น้ำท่วม
ควรเพิ่มการตรวจจับการเปิดบัญชีผิดปกติจากพื้นที่น้ำท่วม เช่น เปิดบัญชีจำนวนมากในเวลาสั้น ๆ จากพื้นที่หรืออุปกรณ์เดียวกัน เพราะบัญชีม้าที่เปิดด้วยบัตรและใบหน้าของผู้ประสบภัยจะไปจบที่ธนาคาร แนวป้องกันฝั่งผู้ให้บริการอ่านต่อได้ใน Deepfake สวมหน้าขอซิมใหม่ ดูดคริปโต 162 ล้านบาท ขณะที่ ธปท. เตรียมเลิก SMS-OTP ธุรกิจที่ใช้ eKYC ด้วยใบหน้าต้องเตรียมอะไร
ถ้าเผลอให้บัตรประชาชนกับใบหน้าไป หรือเก็บข้อมูลเกินจำเป็น จะเสี่ยงอะไร
ผู้ประสบภัยเสี่ยงให้คนอื่นนำบัตรและใบหน้าไปเปิดบัญชีม้า เข้าถึงบัญชีธนาคาร หรือสวมรอยทำธุรกรรมในชื่อตัวเอง ใบหน้าต่างจากรหัสผ่านตรงที่เปลี่ยนใหม่ไม่ได้
ส่วนองค์กรที่เก็บบัตรและภาพใบหน้าเกินจำเป็นเสี่ยงสองทาง คือใช้ข้อมูลเกินวัตถุประสงค์ที่แจ้ง และถ้าข้อมูลรั่วต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) พร้อมเสียความเชื่อมั่นของผู้บริจาค
มูลนิธิและฝ่าย CSR ที่แจกของช่วยน้ำท่วมควรทำอะไรเป็นอันดับแรก
ควรเริ่มจาก 4 เรื่อง คือ เก็บข้อมูลเท่าที่จำเป็น แจ้งวัตถุประสงค์ ประกาศช่องทางที่แท้จริง และดูแลข้อมูลที่เก็บมา
- 1. เก็บข้อมูลเท่าที่จำเป็น ถามก่อนว่าลายมือชื่อและเบอร์โทรพอไหม ถ้าพอ ก็ไม่ต้องเก็บสำเนาบัตรหรือภาพใบหน้า
- 2. แจ้งวัตถุประสงค์ให้ชัด ทำใบแจ้งหรือป้ายสั้น ๆ ว่าเก็บข้อมูลอะไร เพื่ออะไร เก็บนานแค่ไหน ตามมาตรา 23
- 3. ประกาศช่องทางทางการช่องเดียว บอกผู้รับของว่าองค์กรจะไม่ขอสแกนใบหน้า รหัสผ่าน หรือข้อมูลการเงินทางโทรศัพท์ ไลน์ หรือลิงก์
- 4. ดูแลและลบข้อมูลที่เก็บมา จำกัดคนเข้าถึง เก็บอย่างปลอดภัยตามมาตรา 37(1) ลบเมื่อจบโครงการ และเตรียมแผนแจ้ง สคส. ภายใน 72 ชั่วโมงถ้าข้อมูลรั่ว
ถ้าต้องการคนช่วยวางแนวปฏิบัติเก็บข้อมูลผู้รับของ ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru หรือติดตามเรื่องข้อมูลส่วนบุคคลต่อได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ คนไทยชินกับการสแกนหน้า เพราะธนาคารและหน่วยงานรัฐใช้กันเป็นเรื่องปกติ มิจฉาชีพจึงไม่ต้องสอนใครทำอะไรใหม่ แค่เลียนแบบสิ่งที่คนเคยทำอยู่แล้ว รหัสผ่านรั่วแล้วเปลี่ยนได้ แต่ใบหน้ารั่วแล้วเปลี่ยนไม่ได้ จุดที่องค์กรมักพลาดคือขอข้อมูลไว้เยอะก่อนโดยไม่ถามว่าจำเป็นไหม ควรเช็กทุกครั้งว่าถ้าไม่เก็บใบหน้า งานแจกของยังเดินต่อได้หรือไม่
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับสแกนใบหน้าแลกของแจกน้ำท่วม
หน่วยงานรัฐขอสแกนใบหน้าเพื่อแจกของน้ำท่วมหรือไม่
ตำรวจย้ำว่าหน่วยงานรัฐโดยปกติไม่ขอสแกนใบหน้า รหัสผ่าน หรือข้อมูลการเงินเพื่อแจกของ ถ้ามีคนอ้างตัวเป็นเจ้าหน้าที่แล้วตั้งเงื่อนไขเหล่านี้ ควรปฏิเสธ การสแกนใบหน้ายืนยันสิทธิบัตรสวัสดิการเป็นอีกเรื่อง ที่ทำผ่านธนาคารหรือแอปทางการ
ถ้าเผลอถ่ายบัตรประชาชนหรือสแกนใบหน้าให้คนแปลกหน้าไปแล้วควรทำอย่างไร
แจ้งเหตุที่สายด่วน 1441 ซึ่งรับตลอด 24 ชั่วโมง และติดต่อธนาคารที่ใช้อยู่เพื่อตรวจว่ามีรายการหรือบัญชีผิดปกติหรือไม่ ข้อหลังเป็นข้อเสนอของผู้เขียน ข่าวต้นทางไม่ได้ระบุ
มูลนิธิหรือบริษัทที่แจกของช่วยน้ำท่วมขอสำเนาบัตรประชาชนได้ไหม
ขอได้เท่าที่จำเป็นกับงานแจกของ และต้องแจ้งวัตถุประสงค์ให้ชัด ไม่ควรเก็บสำเนาบัตรหรือภาพใบหน้าเกินจำเป็น ถ้าลายมือชื่อกับเบอร์โทรพอ ก็ไม่ต้องขอสำเนาบัตร
ข้อมูลใบหน้าเป็นข้อมูลอ่อนไหวตาม PDPA หรือไม่
ข้อมูลใบหน้าที่ใช้ยืนยันตัวตนเป็นข้อมูลชีวภาพ ซึ่งเป็นข้อมูลอ่อนไหวตามมาตรา 26 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การเก็บและใช้จึงมีเงื่อนไขเข้มกว่าข้อมูลทั่วไป
แหล่งอ้างอิง
- The Thaiger (ไทย) — (อ่านต้นฉบับ) — อ่านข่าวที่ The Thaiger
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
