พนักงานคนหนึ่งโอนเงินบริษัทออกไปเกือบ 900 ล้านบาท เพราะวิดีโอคอลนัดเดียว — และเขาเอะใจแล้วด้วยซ้ำ
ต้นปี 2024 พนักงานการเงินสำนักงานฮ่องกงของ Arup บริษัทวิศวกรรมระดับโลก ได้ข้อความจาก "CFO" สั่งทำธุรกรรมลับ เขาสงสัยว่าเป็นฟิชชิ่ง จนได้รับคำเชิญเข้าวิดีโอคอล — ในจอมี CFO และเพื่อนร่วมงานที่จำหน้าได้ครบ
เขาโอน 15 ครั้งในวันเดียว มารู้ทีหลังว่าทุกคนในจอ ยกเว้นเขา คือภาพและเสียงที่ AI สร้างขึ้น
จุดที่พังไม่ใช่คน — คือสมมติฐานว่า "เห็นหน้า ได้ยินเสียง = ตัวจริง" ซึ่งวันนี้ใช้ไม่ได้แล้ว แต่ระบบอนุมัติเงินของหลายบริษัทยังยืนอยู่บนมัน
พรุ่งนี้ลองถามทีมการเงินคำเดียว: โอนเกินเท่าไหร่ ต้องยืนยันอีกช่องทางเสมอ — แล้วกติกานี้เขียนไว้ที่ไหน
ภาพและเสียงในคลิปสังเคราะห์จากตัวผมเอง เนื้อหาทุกตอนผมเขียนและตรวจเอง
#TheCyberTalk #deepfake #ความปลอดภัยไซเบอร์ #ผู้บริหาร #CISSP
พนักงานคนหนึ่ง โอนเงินบริษัทออกไป เกือบ 900 ล้านบาท เพราะวิดีโอคอลนัดเดียว
เรื่องนี้เกิดขึ้นจริง TheCyberTalk ถอดบทเรียนให้ฟัง
ต้นปี 2024 พนักงานการเงินที่สำนักงานฮ่องกง ของบริษัทวิศวกรรมระดับโลก ได้รับข้อความที่อ้างว่ามาจาก CFO สั่งให้ทำธุรกรรมลับ ที่ห้ามบอกใคร
เขาเอะใจตั้งแต่แรก ว่านี่อาจเป็น phishing ตรงนี้สำคัญนะครับ เขาไม่ได้ประมาท
แล้วสิ่งที่ทำให้ความสงสัยนั้นหายไป คืออะไร คำเชิญเข้าวิดีโอคอล
ในจอมี CFO และเพื่อนร่วมงานอีกหลายคนที่เขาจำหน้าได้ หน้าเหมือน เสียงเหมือน คุยกันเหมือนประชุมปกติ
ความสงสัยของคนหนึ่งคน แพ้ให้กับหน้าคุ้น ๆ ทั้งจอ เขาทำตามคำสั่ง โอนเงิน 15 ครั้ง ในวันเดียว
มารู้ทีหลัง ตอนเช็คกลับไปที่สำนักงานใหญ่ ว่าทุกคนในจอ ยกเว้นเขา คือภาพและเสียงที่ AI สร้างขึ้น
ผมทำงานสายความปลอดภัยไซเบอร์มาหลายปี ถือใบ CISSP เห็นเคสนี้แล้ว สิ่งที่ผมจะไม่ทำ คือโทษพนักงาน
เพราะจุดที่พังไม่ใช่คนครับ มันคือสมมติฐานที่องค์กรส่วนใหญ่ยังใช้อยู่ ว่าเห็นหน้า ได้ยินเสียง เท่ากับตัวจริง
สมมติฐานนี้ใช้ได้มาหลายสิบปี วันนี้ AI ทำให้มันพังแล้ว แต่ระบบอนุมัติเงินของหลายบริษัท ยังยืนอยู่บนมัน
ถอดบทเรียนเป็น 3 ข้อ ที่เอาไปใช้ได้พรุ่งนี้เลย
ข้อ 1 การยืนยันตัวตน ต้องออกจากช่องทางที่คุยอยู่เสมอ ได้คำสั่งทางวิดีโอคอล ให้วางสาย แล้วโทรกลับเบอร์ที่บริษัทมีอยู่แล้ว ไม่ใช่เบอร์ที่คนในสายให้มา
ข้อ 2 เงินก้อนใหญ่ต้องมีคนอนุมัติมากกว่า 1 คน และเพดานตัวเลขต้องเขียนไว้ชัด ไม่มีข้อยกเว้นให้คำว่า "ลับ" หรือ "ด่วน" เพราะ 2 คำนี้คือเครื่องมือของคนร้าย ไม่ใช่ของ CFO
ข้อ 3 วัฒนธรรม พนักงานคนนี้เอะใจแล้ว แต่ไม่มีที่ให้ความเอะใจนั้นไปต่อ องค์กรที่รอด คือองค์กรที่คนกล้าหยุดแล้วถาม โดยไม่กลัวว่าจะช้า หรือเสียมารยาทกับผู้ใหญ่
เรื่อง AI ไม่มีใครจบมาก่อน ผมก็เรียนไปพร้อมคุณ สิ่งที่ผมมีให้ คือวิธีมองความเสี่ยง จากคนที่อยู่หน้างานจริง
พรุ่งนี้ ลองถามทีมการเงินคำเดียว โอนเกินเท่าไหร่ ต้องยืนยันอีกช่องทางเสมอ แล้วกติกานี้เขียนไว้ที่ไหน
ถ้าคำตอบคือยังไม่เคยเขียน เคสนี้เกิดกับเราได้เหมือนกัน
ตอนหน้า เคสที่รอดเพราะคำถามเดียว ผู้บริหารคนหนึ่งได้รับสายจาก CEO เสียงเหมือนเป๊ะ แต่เขาถามกลับไปคำเดียว แล้วสายก็ตัด
ติดตาม TheCyberTalk ไว้นะครับ จะได้รู้เท่าทันภัยไซเบอร์ ก่อนที่มันจะมาถึงคุณ