ธปท.ตีกรอบคุมแบงก์ ร่วมรับผิดชอบลูกค้าเสียหายภัยการเงิน

ภัยทางการเงิน เป็นปัญหาระดับชาติที่บั่นทอนเศรษฐกิจไทยมาตลอด แต่ละปีมีคนไทยถูกมิจฉาชีพหลอกลวงในรูปแบบต่าง ๆ สูญเสียเงินจำนวนมาก ล่าสุดจากความร่วมมือของหลายหน่วยงาน ได้มีการยกระดับการดูแลปัญหานี้ในมิติที่เข้มข้นขึ้น ผ่านการบังคับใช้พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี (ฉบับที่ 2) ที่ลงประกาศในราชกิจจานุเบกษา เมื่อวันที่ 13 เม.ย. 2568 ที่ผ่านมา

สาระสำคัญของกฎหมายดังกล่าว มีการกำหนดให้สถาบันการเงิน ผู้ประกอบธุรกิจบริการการชำระเงิน (e-Money) ผู้ให้บริการโทรคมนาคม (Telco) ผู้ให้บริการสื่อสังคมออนไลน์ (Social Platform) และผู้ประกอบธุรกิจสินทรัพย์ดิจิทัล (Digital Asset) ยกระดับการดูแลลูกค้า และมีส่วนร่วมรับผิดชอบในความเสียหาย หากละเลยการปฏิบัติตามมาตรฐานที่หน่วยงานกำกับดูแลกำหนดจนเป็นเหตุให้ลูกค้าเกิดความเสียหาย หรือ Shared Responsibility ดังนั้น ทางธนาคารแห่งประเทศไทย (ธปท.) ในฐานะหน่วยงานกำกับดูแล จึงต้องวางเกณฑ์การปฏิบัติให้ชัดเจน

พ.ค.ออกเกณฑ์แนวปฏิบัติแบงก์

ดร.รุ่ง มัลลิกะมาส รองผู้ว่าการ ด้านเสถียรภาพสถาบันการเงิน ธปท. กล่าวว่า ธปท.จะมีการกำหนดมาตรฐานของภาคธนาคารในการร่วมรับผิดชอบตาม พ.ร.ก.อาชญากรรมทางเทคโนโลยี โดยคาดว่าจะประกาศได้ภายในต้นเดือน พ.ค.นี้ ขณะที่ พ.ร.ก.ดังกล่าวได้กำหนดความชัดเจนของหน้าที่และความรับผิดชอบ ภายในระบบนิเวศที่จะต้องรับผิดชอบ

ซึ่งประกาศ Shared Responsibility ดังกล่าว หากแบงก์ทำไม่ครบ หรือย่อหย่อน จะต้อง “Shared” หรือร่วมรับผิดชอบ แต่การ Shared คงไม่ได้เป็นการรับผิดชอบทั้งหมด โดยทุกคนต้องทำตามหน้าที่และมาตรการที่กำหนดไว้ ซึ่งประชาชนก็ต้องมีส่วนร่วมรับผิดชอบด้วย

“พ.ร.ก.นี้เป็นการสร้างแรงจูงใจให้ทุกภาคส่วนมีหน้าที่และความรับผิดชอบร่วมกันจัดการภัยทางการเงิน หากละเลยหน้าที่และทำให้เกิดความเสียหายจะต้องมีส่วนร่วมรับผิดชอบ โดยในส่วนของผู้ให้บริการโทรคมนาคม (Telco) และ Social Media มีบทบาทหลักในการป้องกันมิจฉาชีพเข้าถึงประชาชน ส่วนสถาบันการเงิน อี-มันนี่ หรือธุรกิจสินทรัพย์ดิจิทัล ก็มีหน้าที่ปกป้องและติดตามเงินของประชาชน ในขณะที่ประชาชนเองก็ต้องมีสติ อย่าหลงเชื่อ และไม่ทำให้อุปกรณ์มือถืออยู่ในความเสี่ยง ต้องยกระดับการดูแลตัวเอง และอย่าหวังพึ่งพาให้ใครคนใดคนหนึ่งรับผิดชอบ”

จัดการภัยการเงินเชิงรุกต่อเนื่อง

ดร.รุ่งกล่าวอีกว่า ในช่วงที่ผ่านมา ธปท.ได้มีมาตรการการป้องกันภัยทุจริตทางการเงินออกมาให้สถาบันการเงินปฏิบัติต่อเนื่อง ทั้งการป้องกันลูกค้าโดนสวมรอยทำธุรกรรมแทน หรือ “แอปดูดเงิน” ที่มีการให้สแกนหน้าก่อนโอน ขณะที่มาตรการป้องกัน “การถูกหลอกลวงและโอนเงินไปให้มิจฉาชีพด้วยตนเอง” ก็มีมาตรการจัดการบัญชีม้าระดับบุคคล และมาตรการจัดการบัญชีม้านิติบุคคลออกมา

ซึ่งผลจากการยกระดับมาตรการพบว่า ในปี 2567 มีจำนวนเคสที่ถูกหลอกลวงจำนวน 6.9 แสนราย มูลค่าความเสียหาย 42,884 ล้านบาท โดย ณ เดือน ก.พ. 2568 อยู่ที่ 38,464 ราย มูลค่าความเสียหาย 2,389 ล้านบาท ซึ่งมูลค่าความเสียหายจากการที่ประชาชนถูกหลอกลวงมากที่สุด คือ หลอกให้ลงทุน 33.1% ของมูลค่าความเสียหายทั้งหมด

และหากดูความเสียหายจาก “แอปดูดเงิน” พบว่า ในไตรมาสที่ 1 ปี 2568 เหลือ 0 เคส ต่อเนื่องมาหลายเดือน และลดลงเมื่อเทียบกับไตรมาสที่ 1 ปี 2566 ที่มีจำนวน 5,443 เคส อย่างไรก็ดี มูลค่าความเสียหายจากกรณีหลอกให้โอนเอง ยังคงมีความเสียหายเกิดขึ้นเฉลี่ยอยู่ที่ 5,000 ล้านบาทต่อไตรมาส ซึ่งส่วนใหญ่กรณีหลอกให้โอนเองจะเป็นการหลอกให้ลงทุน และหลอกให้รัก

ตีกรอบ 3 หลักการ “รับผิดชอบร่วม”

ดร.รุ่งกล่าวว่า สำหรับการกำหนดเกี่ยวกับการรับผิดชอบร่วม สิ่งที่ ธปท.คาดหวังจะอยู่บน 3 หลักการ คือ 1.ป้องกันไม่ให้ประชาชนเป็นเหยื่อ โดยมิจฉาชีพสวมรอยใช้งานได้ยากขึ้น ซึ่งเกณฑ์ที่ออกจะต้องชัดเจนไม่ให้เกิดข้อถกเถียง 2.จำกัดความเสียหายและจัดการบัญชี เมื่อเกิดเหตุการณ์ลูกค้าจะต้องรู้ตัวเร็ว และมิจฉาชีพนำบัญชีม้าไปใช้ได้ยากขึ้น และ 3.ดูแลประชาชน ต้องมีวิธีบริหารจัดการที่ลูกค้าสามารถแจ้งเหตุได้รวดเร็ว

“การกำหนดมาตรการมีการศึกษาและดูตามต่างประเทศ แต่ก็ต้องให้เหมาะสมกับบริบทของประเทศไทยด้วย เช่น Shared Responsibility ในกรณีที่เกิดจากแอปดูดเงินและโอนเอง แบงก์จะต้องร่วมแชร์ด้วย แต่สิงคโปร์ หรือมาเลเซีย จะแชร์เฉพาะแอปดูดเงิน หรือกรณีอังกฤษจะแชร์ในทุกกรณี ทั้งแอปดูดเงิน โอนเอง หรืออื่น ๆ ในส่วนของไทยจะแชร์ตามสัดส่วน แต่ศาลจะเป็นผู้ตัดสิน ส่วนระยะเวลาที่ผู้เสียหายในการได้รับเงิน จะต้องรอเวลาชัดเจนอีกครั้ง”

เกณฑ์แบงก์ต้องดำเนินตามประกาศ

นางสาวอรมนต์ จันทพันธ์ ผู้อำนวยการ ธปท. กล่าวว่า มาตรการที่จะออกมาภายในเดือน พ.ค.นี้ จะครอบคลุม 3 หลักการ ได้แก่ ป้องกันไม่ให้ประชาชนเป็นเหยื่อ การป้องกันการสวมรอยเปิดบัญชี และการสวมรอยใช้งาน Mobile Banking เช่น 1.มีกระบวนการรู้จักลูกค้า (KYC : Know Your Customer) ที่เข้มข้น 2.ไม่แนบลิงก์ที่เป็นเหตุให้เกิดความเสียหายผ่าน SMS และอีเมล์

3.ลูกค้าสามารถใช้บริการ Mobile Banking ของแต่ละสถาบันการเงินได้เพียง 1 ชื่อบัญชีผู้ใช้งาน และใช้ได้กับ 1 อุปกรณ์เคลื่อนที่เท่านั้น 4.มีกระบวนการยืนยันตัวตนในการทำธุรกรรมที่มีความเสี่ยงผ่าน Mobile Banking สำหรับการทำธุรกรรมโอนเงินที่มีมูลค่าตั้งแต่ 50,000 บาทขึ้นไป หรือการทำธุรกรรมโอนเงินมูลค่ารวมกันครบทุก 200,000 บาทใน 1 วัน หรือการปรับเพิ่มวงเงินการทำธุรกรรมโอนเงินต่อวัน

5.ตรวจสอบการเปลี่ยนแปลงแอปพลิเคชั่นของสถาบันการเงินทุกครั้งที่ผู้ใช้บริการเข้าใช้งาน และไม่อนุญาตให้ใช้งานแอปพลิเคชั่นที่ถูกเปลี่ยนแปลง 6.ไม่อนุญาตให้แอปพลิเคชั่นของสถาบันการเงินทำงานบนอุปกรณ์เคลื่อนที่ในขณะที่มีแอปพลิเคชั่นอื่นที่มีพฤติกรรมเสี่ยง เช่น แอปพลิเคชั่นที่ควบคุมอุปกรณ์เคลื่อนที่จากระยะไกล แอปพลิเคชั่นที่ปิดบังหรือขโมยข้อมูลบนหน้าจอ

ขณะที่การจำกัดความเสียหายและจัดการบัญชีม้า ประกอบด้วย 1.แจ้งเตือนการทำธุรกรรมทุกครั้ง เมื่อมีการโอนเงินออกจากบัญชี ผ่านช่องทางใดช่องทางหนึ่ง เช่น Mobile Banking, LINE, SMS, อีเมล์ โดยไม่เรียกเก็บค่าใช้จ่าย 2.ระงับการทำธุรกรรมและนำส่งข้อมูลตามแนวทางที่ศูนย์ปฏิบัติการเพื่อป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี (ศปอท.) กำหนด ภายใต้อำนาจหน้าที่ที่ พ.ร.ก.กำหนดไว้

3.เมื่อได้รับรายชื่อบุคคลที่เป็นเจ้าของบัญชีม้าดำ จากสำนักงานป้องกันและปราบปรามการฟอกเงิน (ปปง.) หรือรายชื่อบุคคลที่เป็นเจ้าของบัญชีม้าเทาเข้ม หรือเทาอ่อน จากระบบ Central Fraud Registry (CFR) ให้ดำเนินการสอดคล้องกับระดับความเสี่ยง เช่น ระงับเงินเข้าและออกทุกบัญชีของบุคคลที่เป็นเจ้าของบัญชีม้า รวมทั้งปฏิเสธการเปิดบัญชีใหม่กับบุคคลที่เป็นเจ้าของบัญชีม้า

ด้านการดูแลประชาชน จะต้องมีกระบวนการรับแจ้งเหตุภัยทุจริตดิจิทัลที่รวดเร็ว สถาบันการเงินต้องจัดให้มีช่องทางติดต่อเร่งด่วน (Hotline) ทางโทรศัพท์ หรือวิธีการทางอิเล็กทรอนิกส์ที่ผู้เสียหายสามารถติดต่อเจ้าหน้าที่ของสถาบันการเงินทั้งในและนอกเวลาทำการ อย่างไรก็ดี ในส่วนของกระบวนการเยียวยาความเสียหาย มองว่าทุกหน่วยงานมีการดูแลเข้มงวดและเข้มข้นขึ้น เชื่อว่าเกณฑ์กระบวนการจะต้องออกมาเร็วมากที่สุด

“หากเทียบเกณฑ์ต่างประเทศ กรณีการสวมรอยเป็นเจ้าของบัญชี ในสิงคโปร์ จะมีการกำหนดการหน่วงธุรกรรม (Cooling off Period) หากลูกค้าเปลี่ยนซิมมือถือซึ่งเกิดจากกิจกรรมที่มีความเสี่ยง จะกำหนดให้ห้ามโอนเงินออกภายใน 12-24 ชั่วโมง ซึ่งของไทยจะมีเกณฑ์ Face Scan ส่วนบัญชีม้า สิงคโปร์ หากพบว่าบัญชีเหยื่อมีเงินโอนออกเกิน 50% จะมีการหน่วงธุรกรรม ส่วนเรามีเกณฑ์มาตรการ Mobile Banking Security และจัดการบัญชีม้า”

แบงก์จ่อตั้งอนุกรรมการตัดสินร่วมแชร์

แหล่งข่าวจากสถาบันการเงินกล่าวว่า เชื่อว่าทุกธนาคารได้ปฏิบัติตามมาตรการภายใต้ พ.ร.ก.ป้องกันภัยไซเบอร์ ฉบับที่ 2 ครบเกือบทั้งหมดแล้ว ทั้งในส่วนของเกณฑ์ Mobile Banking Security และจัดการบัญชีม้า ซึ่งอาจจะมีรายละเอียดบางส่วนที่จะต้องรอให้สมาคมธนาคารไทย (TBA) กำหนดเป็นมาตรฐาน เช่น การระงับการใช้บริการด้วยตนเอง (Kill Switch) จะทำวิธีไหน เพื่อไม่ให้ผู้ใช้งานเกิดความสับสน

ส่วนสัดส่วนความรับผิดชอบ หากแต่ละหน่วยงานไม่สามารถทำตามเกณฑ์หรือประกาศของแต่ละหน่วยงานกำกับได้ ซึ่ง พ.ร.ก.ฉบับที่ 2 จะเพิ่มความรับผิดชอบ Mobile Operator ด้วย เนื่องจากที่ผ่านมาแม้ว่าแอปดูดเงินจะหายไปค่อนข้างมาก และธนาคารเลิกส่ง SMS แนบลิงก์แล้ว แต่จะเห็นว่ายังคงมีข้อความ SMS หลอกลวงยังมีการส่งมาเรื่อย ๆ ซึ่งภายใต้ พ.ร.ก.ฉบับนี้จะให้ Mobile Operator หรือ Telco มีส่วนรับผิดชอบด้วย เช่น เหยื่อโดนดูดเงิน 300 บาท หากตรวจสอบมาจากลิงก์ที่ส่งผ่านเข้ามาได้ ธนาคารทำตามเกณฑ์ และผู้ใช้กด กรณีนี้ Telco และเหยื่อโดนคนละ 150 บาท เป็นต้น

“สุดท้ายแล้ว เจ้าหน้าที่ตำรวจจะเป็นผู้นำหลักฐานไปตรวจสอบว่าสาเหตุที่เกิดขึ้น เกิดจากอะไร เหยื่อทำอะไร หรือโทรศัพท์โดนมัลแวร์ หรืออื่น ๆ ซึ่งต้องรอกฎหมายรอง เพื่อดูว่าเจ้าหน้าที่จะส่งต่อข้อมูลให้ใคร หากส่งให้ศาล เชื่อว่าจะต้องมีการตั้งคณะอนุกรรมการที่มีความเชี่ยวชาญ เพราะเป็นเรื่องที่ต้องอาศัยความเชี่ยวชาญเฉพาะด้านในการตรวจสอบด้วย”