การหลอกโอนเงินด้วยเสียงหรือวิดีโอปลอมของผู้บริหาร (deepfake CEO fraud) ป้องกันได้ด้วยขั้นตอนยืนยันคำสั่งที่ไม่พึ่งการจำหน้าหรือเสียง เพราะเทคโนโลยีทำให้หน้าและเสียงปลอมได้แล้ว คดีที่รู้จักมากที่สุดเกิดที่ฮ่องกง รัฐบาลฮ่องกงรายงานว่าปลายเดือน ม.ค. 2024 มิจฉาชีพปลอมเป็น CFO ของสำนักงานใหญ่ในอังกฤษผ่านวิดีโอคอลที่อัดไว้ล่วงหน้าจากคลิปสาธารณะ พนักงานโอนเงินไปห้าบัญชี เสียหายราว 200 ล้านดอลลาร์ฮ่องกง CIO ของ Arup ซึ่งเป็นบริษัทที่ถูกหลอกเรียกเหตุนี้ว่า "technology-enhanced social engineering" และยืนยันว่าระบบของบริษัทไม่ถูกเจาะ ในไทย ThaiCERT เตือนเมื่อ 2 ต.ค. 2025 ว่ามีงานวิจัยที่โคลนเสียงแบบเรียลไทม์ได้จากเสียงต้นฉบับเพียงไม่กี่นาที และ CP ALL ระบุใน One Report 2025 ว่าการใช้ AI เลียนเสียงผู้บริหารเพื่อสั่งโอนเงินจากสาขาเป็นความเสี่ยงของบริษัท คำแนะนำจากหน่วยงานทางการตรงกันคือยืนยันผ่านช่องทางที่สอง เช่น วางสายแล้วโทรกลับเบอร์ที่ค้นเองหรือบันทึกไว้ก่อน ไม่ใช่เบอร์ที่ผู้สั่งให้มา บทความนี้มีลำดับเหตุการณ์ของคดีจริง คำแนะนำของหน่วยงาน และแม่แบบขั้นตอนยืนยันคำสั่งโอนเงินที่ฝ่ายการเงินนำไปใช้ได้
ข้อมูลตรวจจากเอกสารของรัฐบาลฮ่องกง FBI ThaiCERT และธนาคารแห่งประเทศไทยเมื่อ 3 พ.ย. 2026 บทความนี้ไม่ใช่คำปรึกษากฎหมาย
คดีที่ฮ่องกงเกิดขึ้นอย่างไร
| ขั้น | สิ่งที่เกิดขึ้น |
|---|---|
| 1 | พนักงานได้อีเมลฟิชชิงจากคนที่อ้างเป็น CFO สำนักงานใหญ่ในอังกฤษ เรื่องธุรกรรมลับ |
| 2 | พนักงานถูกเชิญเข้าวิดีโอคอลแบบกลุ่ม ภาพและเสียงสร้างจากคลิปสาธารณะของคนที่ถูกปลอม |
| 3 | วิดีโอคอลอัดไว้ล่วงหน้า ไม่มีการโต้ตอบจริงระหว่างพนักงานกับมิจฉาชีพ |
| 4 | มิจฉาชีพให้คำสั่งแล้วจบการประชุมโดยอ้างเหตุ จากนั้นติดต่อต่อทางอื่น |
| 5 | พนักงานอนุมัติโอนเงินเข้าห้าบัญชีในฮ่องกง เสียหายราว 200 ล้านดอลลาร์ฮ่องกง |
บทเรียนจากคดีนี้คือการเห็นหน้าและได้ยินเสียงในวิดีโอคอลไม่ใช่การยืนยันตัวตนอีกต่อไป Rob Greig CIO ของ Arup เล่าว่าหลังเหตุการณ์เขาลองสร้าง deepfake ของตัวเองแบบเรียลไทม์ด้วยซอฟต์แวร์โอเพนซอร์สใช้เวลาราว 45 นาที
หน่วยงานทางการแนะนำอะไร
| หน่วยงาน | คำแนะนำ |
|---|---|
| ตำรวจฮ่องกง | สังเกตความผิดปกติของภาพ ใช้เนื้อหาการสนทนาทดสอบอีกฝ่าย และยืนยันด้วยการโทรศัพท์เมื่อมีคำขอโอนเงินผ่านวิดีโอหรือเสียง |
| FBI (2022) | ใช้ช่องทางที่สองหรือการยืนยันสองขั้นเพื่อตรวจคำขอเปลี่ยนข้อมูลบัญชี และระวังแพลตฟอร์มประชุมที่ปกติไม่ได้ใช้ |
| FBI (2024) | วางสาย ค้นเบอร์ขององค์กรที่อ้างถึงเอง แล้วโทรกลับโดยตรง |
| ThaiCERT (2025) | ใช้ MFA ฝึกพนักงานให้ตั้งคำถามกับคำขอผิดปกติแม้เสียงคุ้นเคย ยืนยันด้วยรหัสหรือช่องทางอื่น และจำกัดคลิปเสียงผู้บริหารที่เผยแพร่สาธารณะ |
รายงาน IC3 ปี 2025 ของ FBI นับความเสียหายจาก Business Email Compromise ได้ 3,046 ล้านดอลลาร์จาก 24,768 เรื่องร้องเรียน ในจำนวนนี้ราว 30 ล้านดอลลาร์เป็นกรณีที่เกี่ยวกับ AI และ FBI ระบุว่าเสียงโคลนถูกใช้สั่งโอนเงินได้
แม่แบบขั้นตอนยืนยันคำสั่งโอนเงิน
| สถานการณ์ | ขั้นตอนที่ต้องทำ |
|---|---|
| ได้คำสั่งโอนเงินด่วนผ่านโทรศัพท์ วิดีโอคอล หรือแชท | วางสายแล้วโทรกลับเบอร์ที่บันทึกไว้ในระบบก่อนหน้า ไม่ใช้เบอร์หรือลิงก์ที่มากับคำสั่ง |
| คำขอเปลี่ยนเลขบัญชีของคู่ค้า | ยืนยันกับคู่ค้าผ่านช่องทางที่ทำธุรกรรมกันมาก่อน และรอตามระยะเวลาที่กำหนดก่อนโอนครั้งแรก |
| ผู้บริหารขอให้เก็บเป็นความลับและข้ามขั้นตอน | ถือเป็นสัญญาณเตือน ขั้นตอนยืนยันต้องใช้กับทุกระดับรวมถึงผู้บริหารสูงสุด |
| ยอดเงินเกินเกณฑ์ที่กำหนด | ให้ผู้อนุมัติคนที่สองยืนยันแยกกันอีกช่องทาง |
| สงสัยว่าถูกหลอกหรือโอนไปแล้ว | แจ้งธนาคารและแจ้งความทันที แล้วรายงานตามแผนรับมือเหตุขององค์กร |
ขั้นตอนนี้ได้ผลเมื่อผู้บริหารประกาศเองว่าจะไม่สั่งโอนเงินนอกขั้นตอน และจะไม่ถือโทษพนักงานที่โทรกลับเพื่อยืนยัน พนักงานจะกล้าตรวจก็ต่อเมื่อรู้ว่าการตรวจคือสิ่งที่องค์กรต้องการ การซ้อมรับมือเหตุดูที่แม่แบบแผนรับมือเหตุจาก AI
เกณฑ์ในไทยที่เกี่ยวข้อง
- พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี (ฉบับที่ 2) พ.ศ. 2568 ตั้งศูนย์ ศปอท. และให้สถาบันการเงิน ผู้ให้บริการโทรคมนาคม และแพลตฟอร์มสื่อสังคมร่วมรับผิดชอบความเสียหาย เว้นแต่พิสูจน์ได้ว่าปฏิบัติตามมาตรฐานที่กำหนดแล้ว
- ประกาศธนาคารแห่งประเทศไทยที่ 57/2568 เรื่องหลักเกณฑ์การบริหารจัดการภัยทุจริตดิจิทัล มีผล 17 ธ.ค. 2568 นิยามลูกค้าครอบคลุมทั้งบุคคลธรรมดาและนิติบุคคล บริษัทจึงควรถามธนาคารว่ามีช่องทางแจ้งเหตุด่วนและการแจ้งเตือนธุรกรรมแบบใดให้ลูกค้าองค์กร
ความเสี่ยงด้านความปลอดภัยของ AI ด้านอื่นดูที่ความปลอดภัยของ AI ในองค์กร และแนวปฏิบัติของ สกมช. ดูที่แนวปฏิบัติความมั่นคงปลอดภัย AI ของ สกมช.
แหล่งอ้างอิง
- LCQ9: Combating frauds involving deepfake รัฐบาลฮ่องกง (26 มิ.ย. 2024)
- Arup chief on the lessons learned from a $25m deepfake crime World Economic Forum (4 ก.พ. 2025)
- I-021622-PSA, I-120324-PSA และ IC3 Annual Report 2025 FBI
- Researchers Warn AI Can Clone Voices Within Minutes ThaiCERT (2 ต.ค. 2025)
- One Report 2025 ซีพี ออลล์ · ประกาศ ธปท. ที่ 57/2568 ธนาคารแห่งประเทศไทย · พ.ร.ก. (ฉบับที่ 2) พ.ศ. 2568 ราชกิจจานุเบกษา
อ่านต่อ
ถ้าจะอบรมฝ่ายการเงินและผู้บริหารให้รู้ทันภัยจาก AI ดูหลักสูตร AI Security for Organizations