Bangkok Blueprint in Action ตกผลึกต้านภัยการเงินดิจิทัลสู่พิมพ์เขียว

คอลัมน์ : ร่วมด้วยช่วยคิด 
ผู้เขียน : ดร.นครินทร์ อมเรศ ธนาคารแห่งประเทศไทย

ผลลัพธ์เชิงประจักษ์ของการร่วมแรงร่วมใจต้านภัยการเงินดิจิทัล คือ ตัวเลขความเสียหาย 9 เดือนแรกในปี 2569 ลดลงจากช่วงเดียวกันของปีก่อนถึง 36% ขณะที่จำนวนคดีลดลง 13% การที่มูลค่าความเสียหายลดลงมากกว่าจำนวนคดีแสดงให้เห็นถึงขนาดความเสียหายต่อคดีที่เล็กลง หรือการที่มิจฉาชีพต้องออกแรงหลอกเหยื่อมากขึ้นและไม่สามารถหลอกเหยื่อช้า ๆ ได้เหมือนก่อน 

ในโอกาสนี้ นักวิจัยจากธนาคารแห่งประเทศไทย และสถาบันวิจัยเศรษฐกิจป๋วย อึ๊งภากรณ์ ได้ทำการศึกษาเชิงลึกเพื่อทบทวนแนวทางการทำงานผ่านเลนส์ของผู้ทำงานในภาคปฏิบัติควบคู่ไปกับมุมมองจากภาควิชาการ ทั้งในส่วนของไทย ฮ่องกง มาเลเซีย และสิงคโปร์ จนกระทั่งตกผลึกเป็นรายงาน The Bangkok Blueprint in Action: Regional Experiences and Policy Lessons for Fraud-Resilient Financial Services ซึ่งเผยแพร่คู่กับ The Bangkok Blueprint for Fraud-Resilient Financial Services ที่กองทุนการเงินระหว่างประเทศ (IMF) และกลุ่มธนาคารโลก (WBG) ร่วมกันจัดทำขึ้นและเปิดตัวในการประชุมประจำปีสภาผู้ว่าการกองทุนการเงินระหว่างประเทศและกลุ่มธนาคารโลกที่กรุงเทพมหานคร

รายงานพิมพ์เขียวมีข้อสรุปว่าภัยการเงินดิจิทัลได้ยกระดับจากความเสี่ยงด้านปฏิบัติการของสถาบันการเงินแต่ละแห่ง กลายเป็นโจทย์เชิงระบบที่กระทบความเชื่อมั่นต่อระบบการชำระเงินและลดทอนคุณประโยชน์ของการเงินดิจิทัลโดยรวม 

เหตุผลมาจากลักษณะร่วมสามประการที่พบในทั้งสี่เขตเศรษฐกิจ คือ 1) มิจฉาชีพผสานจิตวิทยาการหลอกลวงเข้ากับเทคโนโลยี ทั้งปัญญาประดิษฐ์ Deepfake และบริการหลอกลวงสำเร็จรูป (Fraud as a service) จึงหลอกได้ตรงใจเหยื่อทุกกลุ่มด้วยต้นทุนที่ต่ำลงเรื่อย ๆ 2) การหลอกลวงเกิดข้ามสาขาผู้ให้บริการและข้ามพรมแดน ครอบคลุมตั้งแต่การติดต่อผ่านโทรศัพท์หรือโฆษณาบนสื่อสังคมออนไลน์ แล้วอาศัยระบบชำระเงินเพื่อโอนเงินผ่านบัญชีม้าออกนอกระบบภายในไม่กี่นาที ขณะที่การกำกับดูแลยังแยกส่วนกันตามสาขาผู้ให้บริการและตามเขตเศรษฐกิจ และ 3) ความเสียหายที่แท้จริงไม่ได้จำกัดแค่เม็ดเงิน ข้อมูลสำรวจระดับประเทศของไทยพบว่าผู้ตกเป็นเหยื่อราวหนึ่งในสี่สูญเสียความเชื่อมั่นต่อระบบออนไลน์ และราวหนึ่งในสิบเลิกใช้แอปพลิเคชั่นทางการเงิน ความไว้วางใจที่ถดถอยนี้ย้อนกลับมาบั่นทอนประสิทธิผลของมาตรการป้องกันอีกด้วย

ข้อสรุปอีกประการหนึ่ง คือ แม้ 4 เขตเศรษฐกิจจะเลือกเส้นทางต่างกัน ฮ่องกงใช้เครือข่ายความร่วมมือหลายชั้น มาเลเซียรวมศูนย์การตอบสนอง สิงคโปร์ยกเป็นวาระแห่งชาติ ส่วนไทยอาศัยกฎหมายกำหนดหน้าที่ทั่วทั้งระบบนิเวศ แต่บทเรียนที่พบมี 11 ข้อ โดยเฉพาะการป้องกันและบริหารจัดการตั้งแต่ต้นน้ำมีความคุ้มค่ากว่าการไล่ตามเงินคืน เพราะข้อมูลธุรกรรมจากระบบติดตามเส้นทางการเงินของไทย Central Fraud Registry ชี้ว่าเงินออกจากบัญชีม้าแถวแรกด้วยค่ามัธยฐานเพียง 2 นาที และครึ่งหนึ่งหลุดออกนอกระบบธนาคารภายใน 3 นาที ขณะที่เหยื่อใช้เวลาราว 30 ชั่วโมงกว่าจะแจ้งความ จึงไม่มีกระบวนการที่มนุษย์จะเข้าแทรกแซงได้ทันกาล 

บทเรียนถัดมาคือ ไม่มียาวิเศษขนานเดียวจะรักษาได้ทุกโรค ต้องผสานเทคโนโลยีเข้ากับการออกแบบเชิงพฤติกรรม เห็นได้เมื่อยกระดับความปลอดภัยทางเทคนิคแล้วจำนวนคดีแอป
ดูดเงินในไทยลดจากราว 7,400 คดีต่อไตรมาสเหลือศูนย์ตั้งแต่ปี 2568 เป็นต้นมา มิจฉาชีพก็หันไปหลอกให้เหยื่อกดโอนเงินด้วยตนเอง และบทเรียนที่ชัดเจนที่สุดจากประสบการณ์ไทยคือ การแลกเปลี่ยนข้อมูลเป็นหัวใจของการดำเนินการ เพราะธุรกรรมระหว่างเหยื่อและบัญชีม้าถึง 84% เป็นการโอนข้ามสถาบันการเงิน จึงไม่มีธนาคารใดเห็นเส้นทางการเงินตลอดทั้งสาย การมีทะเบียนกลางบนโครงสร้างพื้นฐานการชำระเงินของประเทศ พร้อมกฎหมายคุ้มครองผู้ปฏิบัติงาน จึงยกระดับให้การตรวจจับของธนาคารแห่งหนึ่งกลายเป็นการป้องกันร่วมของทั้งระบบการเงินได้

รายงานดังกล่าวยังระบุถึงความท้าทายที่ยังเหลืออยู่เจ็ดประการ โดยสามประการแรกอยู่ที่ต้นน้ำของระบบการเงิน 1) การสกัดภัยตั้งแต่ต้นทางในภาคโทรคมนาคมและแพลตฟอร์มออนไลน์ยังอยู่ระหว่างดำเนินการ 2) การแลกเปลี่ยนข้อมูลที่ลื่นไหลในภาคการเงินยังไม่ทะลุทะลวงข้ามไปสู่ผู้ให้บริการโทรคมนาคม แพลตฟอร์ม และหน่วยงานต่างประเทศ และ 3) ช่องว่างระหว่างความตระหนักรู้ กับพฤติกรรมของผู้บริโภคยังกว้าง ความรู้ทั่วไปเรื่องความปลอดภัยไซเบอร์ป้องกันได้น้อยกว่าการเข้าใจกลไกการหลอกเฉพาะทาง และเมื่อถูกหลอกแล้ว ผู้เสียหายในไทยเพียง 11.4% แจ้งหน่วยงานรัฐ เพราะไม่รู้ช่องทาง อับอาย หรือไม่คิดว่าจะได้เงินคืน

อีก 4 ประการอยู่ปลายน้ำและข้ามแดน 4) การเยียวยาผู้เสียหายที่ยังเป็นจุดอ่อนหลัก เพราะแม้จะระงับเงินได้ทันราว 21% ของความเสียหาย แต่ขั้นตอนคืนเงินให้ผู้เสียหายยังล่าช้า 5) ความร่วมมือระหว่างประเทศยังออกแบบไว้สำหรับคดีใหญ่ที่ใช้เวลาเป็นเดือน ไม่ใช่การหลอกลวงรายย่อยที่เงินข้ามพรมแดนในหลักวินาที 6) รอยต่อระหว่างเงินบาทกับคริปโตและเงินสดยังมีช่องว่างที่ติดตามจับได้ยาก โดยข้อมูลไทยปี 2568 แสดงชัดเจนว่าทุกครั้งที่ปิดช่องทางหนึ่ง เงินจะย้ายไปอีกช่องทางหนึ่งภายในไม่กี่สัปดาห์ และ 7) นโยบายส่วนใหญ่แทบไม่เคยถูกประเมินผลอย่างเป็นระบบ รายงานจึงเสนอว่า การต่อสู้กับภัยการเงินดิจิทัลต้องปรับกระบวนการอย่างต่อเนื่อง โดยกำหนดรูปแบบการประเมินผลไว้ตั้งแต่ต้นมือ และปรับน้ำหนักการทำงานไปสู่มาตรการป้องกันก่อนเกิดเหตุตามระดับความเสี่ยง และขยายแนวป้องกันออกไปนอกภาคธนาคารผ่านกรอบความร่วมมือป้องกันภาคการเงินจากกิจกรรมผิดกฎหมายอย่างครบวงจรทั้งเงินสด ทองคำ เงินตราต่างประเทศ และสินทรัพย์ดิจิทัล

โดยในวันที่ 13 ตุลาคม ผู้เขียนได้ร่วมเวทีเสวนาเรื่องภัยหลอกลวงที่สถาบันการเงินต้องเผชิญ จัดโดย Institute of International Finance (IIF) ให้แก่ผู้นำรุ่นใหม่จากสถาบันการเงินใน 31 ประเทศ และได้แลกเปลี่ยนข้อเสนอสามลำดับ คือ 1) ปิดช่องทาง อาทิ มาตรฐานความปลอดภัยโมบายแบงกิ้งปี 2566 ที่ห้ามส่งลิงก์ทาง SMS จำกัดหนึ่งบัญชีต่อหนึ่งอุปกรณ์และสแกนใบหน้าก่อนโอนเงินเกิน 50,000 บาท ทำให้ภัยที่เจาะระบบโดยเจ้าของบัญชีไม่รู้ตัวแทบหมดไป 2) ตามบัญชีม้า และแลกเปลี่ยนข้อมูลที่จุดตัดแต่ละจุด ขยายขอบเขตการจัดการบัญชีม้าทีละขั้น จากบัญชีสู่ตัวบุคคลสู่นิติบุคคล และจากธนาคารสู่ผู้ให้บริการเงินอิเล็กทรอนิกส์และสินทรัพย์ดิจิทัล ทำให้อายุใช้งานของบัญชีม้าลดจาก 3.4 วันเหลือครึ่งวันภายในเจ็ดเดือนของปี 2568 และ 3) การให้น้ำหนักการปลดล็อกบัญชีผู้บริสุทธิ์ภายใน 4 ชั่วโมง และระงับเฉพาะยอดที่พิพาท ควบคู่กับการกวาดบัญชีม้า

คำถามที่ผู้นำรุ่นใหม่จากทั่วโลกสนใจที่สุดคือ จะรักษาสมดุลระหว่างความเร็วของระบบการชำระเงินกับความปลอดภัยอย่างไร 

คำตอบ คือ ไม่จำเป็นต้องชะลอการทำงานของระบบการชำระเงิน แต่ควรยกระดับความปลอดภัยของระบบ โดยเฉพาะการตรวจจับความเสี่ยงในระดับบัญชีก่อนที่จะเกิดการทำธุรกรรม ซึ่งควรสร้างความร่วมมือให้ขยายขอบเขตไปถึงต้นน้ำตั้งแต่การติดต่อกับหมายเลขที่ถูกแจ้งว่าเป็นมิจฉาชีพภายใต้กรอบกฎหมายคุ้มครองข้อมูลส่วนบุคคล ในเวทีเดียวกัน ดร.ธรรมรักษ์ หมื่นจักร์ ได้อธิบายเจตนารมณ์ของ Bangkok Blueprint และ คุณสุปรีชา ลิมปิกาญจนโกวิท ซึ่งเป็นผู้ทรงคุณวุฒิที่ให้ความเห็นต่อรายงานพิมพ์เขียวนี้ ได้สะท้อนมุมมองจากแนวหน้าว่าความร่วมมือรัฐ-เอกชนที่ได้ผลจริงมีลักษณะเป็นอย่างไร และธนาคารพาณิชย์กำลังใช้ปัญญาประดิษฐ์เป็นเครื่องมือจัดการอย่างไร บทสนทนาในวันนั้นจึงครบเครื่องทั้งมุมนโยบาย มุมปฏิบัติ และมุมธุรกิจ 

เมื่อผลลัพธ์ตกผลึกเป็นพิมพ์เขียว สิ่งที่ไทยและอีกสามเขตเศรษฐกิจในภูมิภาคส่งต่อให้ประชาคมโลกจึงไม่ใช่สูตรสำเร็จ แต่เป็นบันทึกของการลงมือทำที่วัดผลได้ ตั้งแต่ตัวเลขความเสียหายที่ลดลง การปรับตัวของมิจฉาชีพหลังมีการออกมาตรการภายในไม่กี่สัปดาห์ ไปจนถึงการยอมรับข้อจำกัดและการเสนอแนวทางเดินหน้าต่อในเส้นทางการต่อสู้ที่ยังคงต้องเดินทางกันไปอีกยาวไกล โดยผู้ร่วมทางไม่ได้มีเพียงแต่ผู้ปฏิบัติงานแต่รวมถึงผู้ใช้บริการการเงินดิจิทัล 

ทั้งนี้ การปฏิบัติตามพิมพ์เขียวไม่ได้แสดงว่าภัยจะหมดไป แต่กลไกการเรียนรู้ผ่านบทเรียนเชิงลึกจะช่วยให้ผู้ปฏิบัติงานทั่วโลกมีชุดเครื่องมือที่พร้อมใช้งาน โจทย์ข้างหน้าจึงอยู่ที่การขยายแนวป้องกันขึ้นไปต้นน้ำและข้ามพรมแดน ทำให้การเยียวยาไปถึงผู้เสียหายรายย่อยได้จริง และประเมินผลทุกมาตรการอย่างตรงไปตรงมา เพื่อให้ระบบการเงินดิจิทัลไทยยังคงเป็นระบบที่เปิดและปลอดภัย เพราะในที่สุดแล้ว สิ่งที่พวกเรากำลังพิทักษ์รักษาไม่ใช่แค่เงินในบัญชี แต่คือความไว้วางใจที่พวกเรามีต่อระบบการเงินดิจิทัล