- Monzo เปิดตัวฟีเจอร์ในแอปที่ช่วยตรวจสอบว่า กำลังคุยสายกับพนักงาน Monzo ตัวจริงอยู่หรือไม่ เพื่อลดความเสียหายจากมิจฉาชีพที่แอบอ้างเป็นพนักงานธนาคารและหลอกให้โอนเงิน
- เมื่อเปิดแอประหว่างคุยสาย จะเห็น Monzo call status บนแบนเนอร์ด้านบนของแท็บหน้าแรก และหากระบบระบุว่าไม่มีสมาชิกทีมกำลังคุยสายอยู่ ควรวางสายทันทีและรายงานเหตุการณ์
- แม้อีกฝ่ายจะอ้างว่าไม่ปรากฏในสถานะเพราะปัญหาทางเทคนิคหรือเป็นทีมพิเศษ ก็ไม่ควรเชื่อ และไม่ควรคุยสายต่อโดยไม่ตรวจสอบสถานะจนกว่าการเชื่อมต่ออินเทอร์เน็ตจะกลับมา
- Monzo จะไม่โทรหาโดยไม่มีการ ประสานงานผ่านแชตในแอปล่วงหน้า และจะไม่ขอให้โอนเงินไปบัญชีเก็บรักษา ถอนเงินจาก Pot อนุมัติการชำระเงิน ให้ PIN กู้เงิน หรือใช้ Monzo Flex
- ในสหราชอาณาจักร ปี 2022 มีความเสียหายจากการหลอกลวงแบบแอบอ้างประมาณ 170 ล้านปอนด์ และ Monzo ระบุว่าได้รับรายงานการฉ้อโกงภายใน Call Status ประมาณ 700 รายการต่อเดือน
Monzo call status ที่ตรวจสอบได้ในแอป
- โพสต์นี้เป็นข้อมูล ณ เวลาที่เผยแพร่ และควรตรวจสอบข้อมูลล่าสุดได้ที่ monzo.com หรือในแอป Monzo
- ฟีเจอร์ใหม่นี้ช่วยให้ผู้ใช้ตรวจสอบในแอปได้โดยตรงว่าคนที่โทรมาเป็นพนักงาน Monzo จริงหรือไม่
- เมื่อเปิดแอป Monzo ระหว่างคุยสาย จะเห็น Monzo call status บนแบนเนอร์ด้านบนของแท็บหน้าแรก
- หากระบบระบุว่าไม่มีสมาชิกทีม Monzo กำลังคุยสายอยู่ ให้รีบวางสายและรายงานทันที
- สามารถเริ่มรายงานได้โดยแตะ call status
- หากแสดงว่าสมาชิกทีม Monzo กำลังคุยสายอยู่ ก็สามารถคุยต่อได้
- แม้คนในสายจะอ้างว่าไม่ปรากฏในสถานะเพราะปัญหาทางเทคนิคหรือเป็นทีมผู้เชี่ยวชาญ ก็ไม่ควรเชื่อ
- หากไม่ได้เชื่อมต่ออินเทอร์เน็ต call status จะแสดงตามนั้น และแนะนำว่าไม่ควรพูดคุยกับผู้ที่แอบอ้างเป็น Monzo จนกว่าจะเชื่อมต่ออีกครั้งและตรวจสอบสถานะได้
สิ่งที่ Monzo จะไม่ขอให้ทำ
- Monzo จะไม่โทรหาโดยไม่มีการ ประสานงานล่วงหน้าผ่านแชตในแอป และหากโทรหา จะถามคำถามด้านความปลอดภัยก่อนพูดคุยเรื่องบัญชี
- Monzo จะไม่ขอให้ผู้ใช้ทำสิ่งต่อไปนี้
- โอนเงินไปยังบัญชีเก็บรักษา บัญชีปลอดภัย หรือบัญชีอื่น
- ถอนเงินออกจาก Pot
- ชำระเงินหรือโอนเงินไม่ว่าด้วยเหตุผลใด
- อนุมัติการแจ้งเตือนบนโทรศัพท์มือถือ
- เพิกเฉยต่อคำเตือนการฉ้อโกงหรือการชำระเงิน
- ให้ PIN หรือข้อมูลส่วนตัว
- ดำเนินการกู้เงินหรือใช้ Monzo Flex
ความเสียหายจากการฉ้อโกงแบบแอบอ้างและขั้นตอนการรายงาน
- การฉ้อโกงแบบแอบอ้างคือวิธีที่อาชญากรปลอมตัวเป็นบุคคลอื่นเพื่อชักจูงให้ผู้ใช้ส่งเงินให้ และยังเรียกอีกอย่างว่าการฉ้อโกงการโอนเงินผ่านธนาคาร หรือ authorised push payment fraud
- ในสหราชอาณาจักร ปี 2022 มีความเสียหายจากการฉ้อโกงแบบแอบอ้างประมาณ 170 ล้านปอนด์
- Monzo ระบุว่าการเพิ่ม call status ทำให้ผู้ใช้ตรวจสอบได้ว่าคนในสายเป็นพนักงาน Monzo จริงหรือไม่ และหลังเปิดตัวฟีเจอร์ มีรายงานการฉ้อโกงภายใน Call Status ประมาณ 700 รายการต่อเดือน
- ขั้นตอนถัดไปคือกำลังพิจารณาแสดงฟีเจอร์นี้ในตำแหน่งที่เด่นชัดขึ้นและหาได้เร็วขึ้นระหว่างคุยสาย นอกเหนือจากตำแหน่งปัจจุบันใน Privacy & settings
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
เมื่อไม่นานมานี้ ผมตกเป็นเป้าของการหลอกลวงฟิชชิงที่เกี่ยวกับธนาคารออนไลน์ในสหราชอาณาจักร ไม่ใช่ Monzo และวิธีการนั้นซับซ้อนมาก
พวกเขารู้กระทั่ง หมายเลขธุรกรรมของธนาคาร ซึ่งไม่ปรากฏในประวัติธุรกรรมล่าสุดหรือการส่งออก qif ทั่วไป และข้อมูลนั้นทำให้เหตุผลที่โทรมาดูน่าเชื่อถือ
พวกเขายังสืบค้นข้อมูลที่เผยแพร่ต่อสาธารณะบนออนไลน์เกี่ยวกับชื่อของผมและครอบครัว ปลอมแปลง caller ID และสคริปต์บทสนทนาก็ล้ำมากจนผมไม่แน่ใจว่ามาตรการป้องกันเพิ่มเติมแบบนี้จะช่วยได้มากแค่ไหน
โชคดีที่ผมไม่ได้ดำเนินขั้นตอนจนจบ จึงไม่เสียเงิน
ดูเหมือนชัดเจนว่ามีการรั่วไหลของข้อมูลอย่างร้ายแรงจากธนาคาร และออนไลน์ก็มีรายงานจากคนอื่น ๆ ด้วย ผมคิดว่ากฎหมายควรกำหนดให้ธนาคารต้องรายงานเหตุละเมิดต่อ ICO และบันทึกลักษณะรวมถึงขนาดของการละเมิดไว้เป็นข้อมูลสาธารณะ
ระหว่างเหตุการณ์นี้ ผมได้รู้ว่าในสหราชอาณาจักรสามารถโทร 159 เพื่อเชื่อมต่อโดยตรงกับฝ่ายรับมือการฉ้อโกงของธนาคารส่วนใหญ่ได้: https://stopscamsuk.org.uk/159
และยังได้รู้จักสายด่วน Action Fraud ของตำรวจสำหรับรายงานอาชญากรรมไซเบอร์ด้วย: https://www.actionfraud.police.uk/what-is-action-fraud
คนร้ายฟิชชิงไม่ยอมลดละ 15 นาทีต่อมาก็โทรกลับมาโดยอ้างว่าเป็นฝ่ายรับมือการฉ้อโกงของธนาคารและบอกว่า “โทรกลับตามที่ได้รับสายจากผม” และอีก 2 สัปดาห์ต่อมาก็โทรมาอีกโดยอ้างว่าเป็น Action Fraud
ไม่ว่าคุณจะคิดว่าตัวเองเตรียมพร้อมรับมือการโจมตีแบบนี้แค่ไหน ผมอยากแนะนำให้ระวังอย่างยิ่งกับทุกสายโทรศัพท์ ไม่ว่าอีกฝ่ายจะอ้างตัวว่าเป็นใครก็ตาม
ผมมีบัญชี Monzo ด้วย แต่แม้พวกเขาจะโทรมาจริง ๆ ผมก็จะไม่ใช้ฟีเจอร์นี้ ผมต้องวางสายแล้วโทรกลับเอง ต้องไม่ปล่อยให้อีกฝ่ายโทรมาหาเรา
https://security.stackexchange.com/questions/100268/does-han...
ดังนั้นควรโทรหาธนาคารด้วย โทรศัพท์มือถือ จะดีกว่า
อะไรก็ตามที่นอกเหนือจากนี้คือการหลอกลวงที่แอบอ้างเป็นฝ่ายรับมือการฉ้อโกง หากขอข้อมูลใด ๆ นอกเหนือจาก “คุณได้ทำการชำระเงินนี้หรือไม่?” ก็คือมิจฉาชีพ
พวกเขารู้อยู่แล้วว่าคุณเป็นใคร หากไม่รู้ก็คงไม่โทรมาตั้งแต่แรก
ถ้าเป็นบัญชีใช้ครั้งเดียว ผมคิดว่าอย่างน้อยก็น่าจะทิ้งข้อมูลไว้ในเธรดนี้ เพื่อให้คนอื่น ๆ มีโอกาสได้รับรู้
สิ่งที่จำเป็นจริง ๆ คือ การยืนยันตัวตนแบบสองขั้นตอนย้อนกลับ หากกำลังคุยโทรศัพท์กับคนที่ขอข้อมูลอ่อนไหว เราควรสามารถสร้างตัวเลข 6 หลักจากแอปหรือเว็บไซต์ของพวกเขา แล้วขอให้อีกฝ่ายตรวจสอบได้ ถ้าตรวจสอบไม่ได้ ก็ไม่ใช่พนักงานธนาคาร
ครั้งหนึ่ง Chase โทรมาหาเพื่อยืนยันธุรกรรมที่ดูเหมือนเป็นการทุจริต แต่พนักงานที่บอกว่าอยู่ฝ่ายรับมือการฉ้อโกง สิ่งแรกที่เขาทำคือส่งรหัสยืนยันตัวตนแบบสองขั้นตอนทาง SMS ซึ่งระบุชัดว่า “ห้ามแชร์กับใคร”
พอผมพูดถึงข้อความนั้น เขาก็บอกว่า “ถูกต้อง แต่ผมต้องใช้เพื่อยืนยันว่าคุณคือคนที่ผมพยายามติดต่อ และถ้าไม่ให้ ผมจะล็อกบัญชี”
สุดท้ายบัญชีก็ถูกล็อก และผมถึงจะเข้าถึงบัตรกับบัญชีใหม่ได้ ก็ต่อเมื่อไปที่สาขา แสดงบัตรประจำตัวที่มีรูปถ่าย 2 ใบ แล้วสร้าง user ID กับรหัสผ่านใหม่
ผมประท้วงอย่างหนักกับผู้จัดการสาขาและทุกคนที่พอจะได้ยินว่า คำสั่งด้านความปลอดภัยที่ขัดแย้งกันเอง แบบนี้เป็นแนวปฏิบัติที่เลวร้ายแค่ไหน
ผู้จัดการสาขาน่าจะควบคุมนโยบายแบบนี้ไม่ได้ และแทบไม่มีช่องทางส่งต่อข้อร้องเรียนไปยังหน่วยงานที่มีอำนาจดำเนินการ
อย่างไรก็ตาม หลังจากนั้นอาจแก้ไขแล้วก็ได้ ณ ปี 2023 ฝ่ายบัตรเครดิต Sapphire ของ Chase สามารถตรวจสอบได้ว่าธุรกรรมนั้นถูกต้องหรือเป็นการฉ้อโกง และให้เจ้าหน้าที่ศูนย์บริการยืนยันตัวตนแบบเรียลไทม์ได้ โดยไม่ต้องเจอประสบการณ์แบบเดิมซ้ำ
สามารถยืนยันธุรกรรมได้ด้วยการตอบกลับอีเมลหรือ SMS แจ้งเตือนที่ระบุธุรกรรมเฉพาะ และบางครั้งก็ใช้แอปมือถือในการพยายามยืนยันตัวตนแบบเรียลไทม์
ตามอุดมคติแล้ว ควรมีเมตาดาต้าที่มนุษย์อ่านได้ซึ่งอธิบายวัตถุประสงค์ของการยืนยันตัวตนแนบมาด้วย
แบบนั้นธนาคารก็ไม่ต้องขอให้อ่าน SMS ให้ฟัง ลูกค้าก็ไม่ต้องเดาว่านั่นเป็นของจริงหรือไม่ และทั้งสองฝ่ายก็จะรู้วัตถุประสงค์ของการยืนยันตัวตนอย่างชัดเจนด้วยภาษาธรรมชาติ
ถ้ามีอินเทอร์เน็ต การสื่อสารทั้งหมดควรทำผ่านอินเทอร์เน็ต และเหลืออินเทอร์เฟซง่าย ๆ ให้ทั้งสองฝ่ายแค่ “ยืนยัน” หรือ “ปฏิเสธ”
แม้ไม่มีอินเทอร์เน็ต ก็ควรยังทำโปรโตคอลเดียวกันได้ด้วยวิธีอ่านประโยคไม่กี่ประโยค แล้วกรอกสิ่งที่ได้ยิน
ปกติผมจะวางสายอย่างสุภาพ แล้วบอกว่าจะติดต่อฝ่ายรับมือการฉ้อโกงผ่านเบอร์โทรบนเว็บไซต์เอง บัญชีผมยังไม่เคยถูกล็อก
ในทางกลับกัน Ally Bank ดูเหมือนจะเอางานบัตรเดบิตไปจ้างผู้ให้บริการภายนอกที่แย่ที่สุด
ฝั่งนั้นโทรมาแล้วขอ หมายเลขประกันสังคม ของฉัน พอฉันถามว่า “นี่เป็นการอบรมด้านความปลอดภัยหรือเปล่า? กำลังทดสอบฉันอยู่เหรอ?” เขาก็บอกว่าไม่ใช่ และบอกว่าบัตรของฉันเพิ่งถูกใช้งานไป ความจริงคือฉันกำลังพยายามถอนเงิน 400 ดอลลาร์
ฉันบอกว่าจะไม่ยืนยันหรือปฏิเสธอะไรทั้งนั้นในสายที่โทรเข้ามา
คนหยาบคายคนนี้บอกว่าบัตรเดบิตจะยังถูกล็อกต่อไปจนกว่าฉันจะตอบคำถาม ฉันก็บอกว่าได้ งั้นฉันจะโทรไปหาธนาคารเอง
ตอนนี้บัตรของฉันก็ยังถูกล็อกอยู่
ถ้าจะทำอย่างสุภาพ ก็เขียนจดหมายถึงธนาคารอธิบายว่าเกิดอะไรขึ้น แล้วใส่หน่วยงานกำกับดูแลไว้ในสำเนาถึง วิธีนี้อาจถูกส่งต่อไปยังฝ่ายกฎหมาย และอาจนำไปสู่การเปลี่ยนนโยบายหรือการชดเชยได้
[1] https://www.consumerfinance.gov/ask-cfpb/how-do-i-find-my-st...
[2] https://www.consumerfinance.gov/complaint/
[3] https://www.fdic.gov/contact/
[4] https://reportfraud.ftc.gov/#/
ตอน Apple Store ใกล้บ้านเหลืออีกไม่ถึง 30 นาทีก็จะปิด ฉันตัดสินใจซื้อ M2 MacBook Pro เลยรีบวิ่งไป แล้วดันลืมกระเป๋าสตางค์ไว้
ฉันมีบัตรทั้งหมดอยู่ใน Apple Pay เลยคิดว่าน่าจะไม่เป็นไร แต่ไม่ว่าจะจ่ายด้วยบัตรไหนก็โดน ระบบป้องกันการฉ้อโกง บล็อก
พนักงาน Apple บอกว่า Amex เรื่องมากที่สุด ฉันเลยโทรหา Citi แล้วเจ้าหน้าที่บอกว่า “ส่งโค้ดไปที่มือถือแล้ว”
ข้อความเขียนว่า “Citi ID Code: 671865. We'll NEVER call or text for this code” และพอฉันบอกว่า “ข้อความนี้บอกว่าจะไม่มีทางโทรมาขอโค้ดนี้ แต่ตอนนี้คุณกำลังขอทางโทรศัพท์อยู่” เขาก็หัวเราะแล้วบอกว่า “ครับ ผมรู้ว่ามันเขียนแบบนั้น แต่คุณต้องอ่านให้ผมฟัง”
ฉันจำใจอ่านให้ฟัง บัตรถูกปลดบล็อก แต่พอลองจ่ายอีกครั้งก็โดนบล็อกอีก สุดท้ายต้องวิ่งกลับบ้านไปเอากระเป๋าสตางค์แล้ววิ่งกลับมา พนักงาน Apple ให้ฉันเข้าไปตอนก่อนร้านปิดประมาณ 1 นาที
เรื่องนี้เกิดขึ้นราว 6 เดือนก่อน แต่แอป Citi ยังแสดงว่าบัตรถูกบล็อกและ “จำเป็นต้องคุยด่วน” อยู่ ทว่าการชำระเงินก็ยังทำได้ต่อเหมือนไม่ได้ถูกบล็อก
ฉันปล่อย สถานะค้างเติ่ง นี้ไว้เพื่อดีบักว่ากำลังเกิดอะไรขึ้น และแทบไม่ได้ใช้บัตรนี้อีกเลย ยกเว้นตอนที่เครื่องปลายทางไม่รับ Amex จริง ๆ
ที่ทำงานเก่าของฉันต้องลงทะเบียนบริษัทเราในระบบบัญชีเจ้าหนี้ของลูกค้า ซึ่งเป็นระบบที่ US Bank ดำเนินการ
เขาบอกว่าจะส่งคำแนะนำการลงทะเบียนมาทางไปรษณีย์ และหนึ่งสัปดาห์ต่อมาจดหมายก็มาถึง โดยเขียนว่าให้ไปที่ “https://bit.ly/...” เพื่อเริ่มตั้งค่า แน่นอนว่าฉันคิดว่าเป็นฟิชชิง
แต่พอลองคิดดูว่าใครกันที่จะส่งแพ็กเก็ตลงทะเบียนมาได้ถูกสถานที่และถูกเวลา ก็เห็นว่าคงต้องเป็นคนวงในเท่านั้น
ฉันโทรหา US Bank แล้วเขายืนยันว่าแพ็กเก็ตนั้นถูกต้องจริง และการใช้ ลิงก์ bitly ก็เป็นเรื่องที่ถูกต้อง น่าขันจริง ๆ
หลังธุรกรรมล้มเหลว จู่ ๆ ก็มีสายโทรเข้ามา และเมื่อฉันไม่ให้ข้อมูลที่เขาขอ เขาก็ล็อกบัญชีฉัน การปลดล็อกต้องส่งเอกสารทางกายภาพที่มีค่าใช้จ่าย
การสมัครกับธนาคารอื่นทำได้ง่ายมาก และพวกเขาก็เสียลูกค้า 15 ปีไป ทำได้ดีมาก Sainsbury’s Bank
เป็นฟีเจอร์ที่ดี แต่ปัญหาพื้นฐานคือผู้คนเชื่อถือ ระบบโทรศัพท์ ที่ไม่ปลอดภัยอย่างสิ้นเชิงมากเกินไป
ทุกคนควรต้องมี “บทสนทนานั้น” กับพ่อแม่สูงอายุ ต้องโน้มน้าวพวกเขาว่าถ้าไม่ใช่บทสนทนาที่ตัวเองเริ่มก่อน ก็อย่าทำธุรกรรมใด ๆ ทางโทรศัพท์หรืออีเมลเด็ดขาด
บริษัทที่ถูกต้องตามปกติจะไม่โทรมาบอกให้จ่ายเงิน ขอสิทธิ์เข้าถึงคอมพิวเตอร์ หรือขอโค้ดความปลอดภัย
ให้ตัดสายเสมอ แล้วโทรกลับไปยังหมายเลขทางการ แม้มันจะรู้สึกเหมือนเป็นเรื่องคอขาดบาดตายจริง ๆ ก็ตาม ใบ้ให้ก็ได้ว่า มันไม่ใช่
พ่อแม่ของฉันเคยถูกหลอกมาก่อน จึงระแวดระวังอยู่ แต่ฉันก็ยังไม่คิดว่าพวกเขาระวังพอ
เพราะอายุ พวกเขาจึงตกเป็นเป้าหมายมากด้วย ครั้งล่าสุดที่ไปเยี่ยม โทรศัพท์ดังทุกหนึ่งหรือสองชั่วโมง และทั้งหมดเป็นสายหลอกลวงหรือสแปม ครั้งหน้าอาจมีการโจมตีที่ฉลาดกว่านี้ได้ผลก็ได้
การหลอกลวงจากผู้โทรภายนอก แบบนี้คงจะดำเนินต่อไปจนกว่าคนรุ่นนั้นจะหมดไป สัญชาตญาณที่ว่า “โทรศัพท์เชื่อถือได้” นั้นแรงเกินไป
แน่นอนว่าในรุ่นของฉัน พวกมิจฉาชีพก็คงจะหาอะไรสักอย่างที่พวกเราเชื่อโดยสัญชาตญาณแล้วนำมาใช้ประโยชน์
รายชื่อแบบนั้นถูกแชร์กัน เพราะถือว่ามีโอกาสตกเป็นเหยื่อการหลอกครั้งถัดไปสูงกว่าหมายเลขสุ่ม
ฉันได้รับอีเมลจากร้านค้าปลีกและธนาคารเป็นประจำที่แจ้งว่า “เราจะไม่มีวันโทรมาขอเงินหรือข้อมูลส่วนตัว”
และบอกว่าถ้าไม่แน่ใจ ให้ตัดสายแล้วโทรไปยังหมายเลขทางการขององค์กรนั้น
วิธีหาหมายเลขทางการอย่างรวดเร็วคือดูที่ด้านหลังบัตรเดบิตหรือบัตรเครดิต ควรมีพิมพ์ไว้ตรงนั้น
ช่องลายเซ็นบนบัตรไม่ควรเซ็นชื่อ แต่ควรเขียนข้อความอย่าง “SEE ID” แทน
อย่างที่มีคนบอกว่า “Privacy & settings — ตำแหน่งปัจจุบัน — เป็นที่ที่ดูเป็นธรรมชาติ แต่ก็ควรแสดงในที่อื่นด้วย” ขั้นถัดไปน่าจะเป็นการส่ง การแจ้งเตือนแบบพุชของแอป ก่อนเริ่มสาย และมีแบนเนอร์ที่เห็นได้ทันทีหลังล็อกอินเข้าแอป
ถ้ามีสัญญาณภาพตามจุดต่าง ๆ ในแอปว่า “ตอนนี้ไม่ควรอยู่ในสายโทรศัพท์” ก็อาจลดโอกาสที่ผู้โจมตีจะทำสำเร็จได้
โดยปกติใช้สำหรับปิดเสียงสื่อเมื่อรับโทรศัพท์ แต่ถ้าเป็นแอปที่ละเอียดอ่อน ก็อาจแสดงบนหน้าหลักได้ว่ามีเจ้าหน้าที่ฝ่ายสนับสนุนลูกค้าตัวจริงกำลังพยายามติดต่ออยู่หรือไม่
รายละเอียดการโทรอย่างหมายเลขโทรศัพท์คงไม่ได้มาง่าย ๆ แต่ถ้ามีสิทธิ์ที่เหมาะสม ก็ดูเป็นไปได้ที่จะดูแล รายการหมายเลขหลอกลวง ที่อาศัยการรายงานจากผู้ใช้ และส่งการแจ้งเตือนเมื่อมิจฉาชีพที่รู้จักโทรเข้ามา
ธนาคารของฉันมีฟีเจอร์คล้าย ๆ กันมาหลายปีแล้ว
เมื่อมีคนโทรมา เขาจะบอกให้เปิดแอปมือถือ แล้วจะมี การแจ้งเตือนในแอป ในรูปแบบแบนเนอร์ของตัวแอปเอง ประมาณว่า “กด OK เพื่อยืนยันว่าคนที่คุณกำลังคุยสายอยู่ตอนนี้เป็นคนของเราจริง”
ก่อนกดยืนยัน อีกฝ่ายจะยังเข้าถึงรายละเอียดบัญชีไม่ได้
พออายุมากขึ้น ฉันกลัวว่าจะสูญเสียความไวพอที่จะปกป้องตัวเองจาก การหลอกลวงทางธนาคาร แบบนี้ ไม่รู้เหมือนกันว่าทางแก้คืออะไร
ถ้าลูกค้าสังเกตได้ว่าผู้โจมตีไม่ได้ขอให้ยืนยันแล้วเริ่มสงสัย ก็คงช่วยได้ แต่คนแบบนั้นน่าจะมีน้อย และมิจฉาชีพก็มักกล่อมให้คลายกังวลได้ด้วยข้ออ้างที่ฟังขึ้น
สงสัยว่าฟีเจอร์นี้ทำงานไหมตอนที่ฉันเป็นฝ่ายโทรหา Monzo เอง ถ้าหลังจากให้ข้อมูลแล้วในแอปมีสัญลักษณ์แบบเดียวกันขึ้นมา ก็จะเปิดช่องให้เกิด การโจมตีแบบคนกลาง
ในกรณีนั้น ผู้โจมตีจะทำให้ตัวเองดูชอบธรรมได้ และทำให้การโจมตีกลายเป็นอันตรายยิ่งกว่าเดิมมาก
ในบรรดาหมายเลขที่หาได้ ไม่มีหมายเลขไหนที่ต่อถึงมนุษย์เลย และวนให้ใช้แชตในแอปอย่างไม่รู้จบ แต่แชตนั้นก็ไม่ใช่แชตสดจริง ๆ เท่าไร ออกแนว “ฝากข้อความไว้ แล้วเราจะมาดูวันจันทร์” มากกว่า
Monzo เคยอายัดบัญชีธนาคารทั้งหมดของฉันเกือบ 5 วัน ด้วยเหตุผลว่าติดมาตรการป้องกันการฉ้อโกง
ในทางทฤษฎีมันยอดเยี่ยม แต่ถ้าคุยกับใครไม่ได้เลยจริง ๆ ก็เลวร้ายมาก
ธนาคารที่ดีที่สุดคือธนาคารที่ไม่โทรหรือส่งข้อความผ่านเครือข่ายโทรศัพท์/มือถือเดิม ๆ และไม่ใช้อีเมลด้วย ควรใช้ การสื่อสารในแอปที่ปลอดภัย เสมอ
การเข้าถึงควรใช้การผูกอุปกรณ์อย่างปลอดภัย รหัสผ่าน/PIN และไบโอเมตริก ส่วนการตั้งค่าเริ่มต้นและการรีเซ็ตข้อมูลรับรองควรใช้ โทเค็น FIDO2 (Yubikey) ที่ลงทะเบียนล่วงหน้าและจัดส่งอย่างปลอดภัย ร่วมกับวิดีโอ KYC ในแอป
ไม่ควรพึ่งพาช่องทางอื่นในการรีเซ็ตข้อมูลรับรอง ควรให้ความรู้ผู้ใช้ตั้งแต่วันแรกว่าจะไม่มีการติดต่อผ่านวิธีอื่นใด เพื่อสร้างความคาดหวังที่ปลอดภัย
ภายในแอปควรกำหนดให้ธุรกรรมทางการเงินทุกครั้งต้องยืนยันเพิ่มเติม และฝั่งเซิร์ฟเวอร์ควรมีวงเงินโอนต่อรายการและต่อวัน
สำหรับการโอนเงินมูลค่าสูง ควรบังคับให้เพิ่มผู้รับเงินเข้าบัญชีและมีช่วงพักรอ 1–2 วัน พร้อมแจ้งผู้ใช้ในช่วงนั้นและให้โอกาสมากพอที่จะเข้าแทรกแซงหากคิดว่าเป็นความผิดพลาดหรือการฉ้อโกง
การชำระเงินทันทีที่มีแรงเสียดทานต่ำควรอนุญาตเฉพาะกับที่อยู่ร้านค้าที่ผ่านการตรวจสอบและลงทะเบียนไว้ล่วงหน้าเท่านั้น
การโอนทันทีระหว่างบุคคลควรมีการจำกัดความเร็ว และต้องมีกรอบกฎหมายที่ทำให้เรียกคืนเงินและดำเนินคดีได้เมื่อเกิดการฉ้อโกง
การโอนนอกเครือข่าย เช่น การโอนเงินระหว่างประเทศแบบทันที ต้องบังคับให้ตรวจสอบผู้รับและเพิ่มเข้าบัญชีผู้จ่ายเงิน รวมทั้งควรมีกองทุนคุ้มครองการฉ้อโกงที่ช่วยให้เรียกคืนได้รวดเร็ว และกรอบกฎหมายสำหรับการดำเนินคดีระหว่างประเทศ
หากไม่มีการคุ้มครองเหล่านี้ แล้วเพิ่มแค่ ความเร็วของธุรกรรมธนาคาร ก็ย่อมนำไปสู่ความเสียหายจากการฉ้อโกงที่มากกว่าระดับที่เคยยอมรับกันมาโดยหลีกเลี่ยงไม่ได้
พวกเขามักจัดการทุกอย่างที่ทำได้ทางออนไลน์ ซึ่งถูกกว่าสำหรับฝั่งนั้น สะดวกกว่าสำหรับฉัน และยังมีเหตุผลต่าง ๆ ที่ไล่มาข้างต้นด้วย
โทรศัพท์น่าจะเกิดขึ้นเฉพาะกรณีชายขอบที่หายากมาก เช่น ลูกค้าสูงอายุหรือลูกค้าที่มีความพิการ ธุรกรรมซับซ้อน หรือการยืนยันตัวตนล้มเหลว
อาจจะไม่โทรเลยก็ได้ หรืออาจใส่ฟีเจอร์นี้ไว้เผื่อกรณีที่หายากมาก ๆ แต่คำอธิบายว่า “ถ้าเราโทร สีจะเปลี่ยน” ดูเป็นเรื่องที่โน้มน้าวคนที่กำลังคุยกับมิจฉาชีพที่กดดันหนักได้มากกว่า “เราไม่มีวันโทรหาคุณ”
ในบทความเกี่ยวกับอุตสาหกรรมทวงหนี้ที่เคยขึ้นที่นี่ ก็มีประโยคทำนองว่า “ถ้ารู้ว่าคนจำนวนมากไม่เข้าใจธนาคาร เทคโนโลยี และคณิตศาสตร์พื้นฐานแค่ไหน คุณคงตกใจ”
ที่บอกว่า “อย่าพึ่งพาช่องทางอื่นในการรีเซ็ตข้อมูลรับรอง” แล้วถ้าบ้านลูกค้าไฟไหม้จนโทรศัพท์กับ Yubikey หายไปพร้อมกันจะทำอย่างไร?
กรอบกฎหมายสำหรับการเรียกคืนและดำเนินคดีในการโอนทันทีระหว่างบุคคล ไม่ใช่เรื่องที่ธนาคารเดียวจะกำหนดได้
ถ้าการโอนเงินมูลค่าสูงต้องเพิ่มผู้รับเงินและรอช่วงพัก 1–2 วัน ก็จะมีคนโต้ว่า “ทำไมคุณถึงเป็นคนตัดสินว่าฉันทำอะไรกับเงินของตัวเองได้หรือไม่ได้”
ในชีวิตจริงก็มีกรณีที่ต้องส่งเงินก้อนใหญ่กะทันหันให้ผู้รับที่ไม่เคยรู้จักมาก่อน เช่น ซื้อรถมือสอง
โทเค็น FIDO2 ที่ลงทะเบียนล่วงหน้านั้นดีมากจริง ๆ แต่ในบรรดาธนาคารที่ฉันเคยใช้ ไม่มีที่ไหนรองรับ FIDO เลย ไม่เคยได้ยินว่ามีธนาคารแบบนั้นด้วย ถ้ามีก็อาจจะไปเปิดบัญชี
มีธนาคารหรือบริษัทไหนที่พยายามหลอกลูกค้าเชิงรุกเพื่อการฝึกบ้างไหม? ประมาณว่าโทรไปหา แล้วโยนสัญญาณอันตรายบางอย่างให้เห็น จากนั้นก็ให้ความรู้
โดยเฉพาะกับลูกค้าสูงอายุ การซ้อมเสมือนจริงแบบหวาดเสียว ก่อนจะเกิดความเสียหายจริง อาจช่วยลดความเสี่ยงจากการถูกหลอกได้
ถ้ามีตัวเลือกให้ปิดอีเมลพวกนี้ได้คงดีไม่น้อย แต่ตอนนี้มันแค่เพิ่มเสียงรบกวนในกล่องจดหมาย
แน่นอนว่าอีเมลเหมือนการหลอกลวงจากธนาคารกลับเข้ากล่องจดหมาย ส่วนอีเมลหลอกลวงจริง ๆ กลับไปอยู่ในโฟลเดอร์สแปม
ถ้าคลิกลิงก์ ก็จะถูกมอบหมายให้เรียน การอบรมฟิชชิง ภาคบังคับของบริษัท ขอบคุณเรื่องนี้เลยทำให้ระวังตัวมากขึ้น
เพียงแต่มันไม่ได้ทำเพื่อการศึกษา แต่ทำเป็นส่วนหนึ่งของงานปกติ และถ้าปฏิเสธ “สิ่งที่ไม่ควรทำอย่างยิ่ง” ที่น่าสงสัยและเต็มไปด้วยสัญญาณอันตรายมาก ๆ ก็จะทำเรื่องที่ต้องการไม่ได้
ผมเคยถูกขอให้บอก PIN ของออนไลน์แบงก์กิ้งบางส่วนหรือทั้งหมดทางโทรศัพท์ และเคยถูกขอให้กรอก PIN บัตรเครดิตลงในเว็บไซต์สุ่มที่น่าสงสัยซึ่งเป็นส่วนหนึ่งของ 3DSecure
เป็นคนละธนาคารกัน และทั้งสองกรณีเป็นขั้นตอนจริง แถมเกิดซ้ำด้วย
เป็นไอเดียที่ดี แต่มีปัญหาอยู่อย่างหนึ่ง ถ้ากำลังคุยสายและไม่ได้ใช้ Wi‑Fi โมเด็มจะถูกผูกไว้กับการโทร ทำให้ อินเทอร์เน็ตไม่ทำงาน
เท่าที่รู้ถ้ามี VoLTE ก็จะไม่เกิดเรื่องแบบนี้ แต่ก็หมายความว่าฟีเจอร์นี้อาจใช้ไม่ได้กับคนจำนวนมาก