สมาคมธนาคารออกจดหมายชี้แจงถึงข่าวการแฮกบัญชีนิติบุคคลที่มีข่าวตั้งแต่วันที่ 26 ธันวาคมที่ผ่านมา โดย บริษัทบัญชีในจังหวัดอุดรธานีถูกสั่งโอนเงินกว่า 2 ล้านบาท แบ่งเป็นการโอนครั้งละ 49,999 บาทจำนวนมาก
ทางสมาคมธนาคารระบุว่าแอปพลิเคชั่นฝั่งนิติบุคคลนั้นต่างจากบุคคลทั่วไปที่ถูกล็อกให้สแกนใบหน้าเมื่อโอนเงินเกินครั้งละ 50,000 บาท หรือวันละเกิน 200,000 บาท แต่แอปฝั่งนิติบุคคลนั้นมมีกระบวนการโอนสามขั้น คือ Maker, Checker, และ Authorizer ที่มีความซับซ้อนสูงและความปลอดภัยขั้นสูง
จดหมายระบุว่าตอนนี้ยังไม่พบพฤติกรรมและหลักฐานแอปดูดเงินผ่านแอปพลิเคชั่นฝั่งนิติบุคคล และทางธนาคารจะให้ความร่วมมือกับเจ้าหน้าที่เพื่อสอบสวนหาคนผิดต่อไป
คดีนี้ผู้เสียหายระบุว่าธนาคารไม่ได้แจ้งเตือนทางอีเมล โดยมีสองธนาคารที่พบว่ามีการโอนมากผิดปกติจึงระงับการโอน ขณะที่ธนาคารอีกแห่งหนึ่งปล่อยให้มีการโอนจำนวนมากจนมูลค่าความเสียหายสูง
เงื่อนไขการแจ้งเตือนลูกค้าเมื่อมีรายการโอนเงินเป็นเงื่อนไขหนึ่งที่ธนาคารกลางสิงคโปร์ระบุว่า หากธนาคารไม่สามารถแจ้งเตือนได้ จะต้องรับผิดชอบความเสียหายไว้เอง
ที่มา - จดหมายข่าวสมาคมธนาคาร ผ่านทาง TTB
Comments
โอนออกมันก็มี maker checker จริงถ้าทำผ่านหน้า web ธนาคาร
แต่ถ้าผ่าน api มันก็ทำได้เลยนี่ (แต่งงว่าถ้าทำผ่าน payment api มันทำได้ถึง 2 ล้านอยู่แล้วไม่ต้องแบ่ง)
เคสนี้ให้เดา อาจจะเป็นคนใน
สำหรับธนาคารที่โดนโอน 49,999*50 ผมก็ไม่เข้าใจว่าติดเงื่อนไขอะไรทำไมต้องโอนทีละ 49999 แต่ไม่ได้ติดสแกนหน้าแน่นอน (เดาว่าติดวงเงินโอนต่างธนาคาร หรือหลบเลี่ยงการถูกตรวจจับ?) แอพธนาคารนี้สามารถโอนได้สูงสุด 2ล้าน/ครั้ง/วัน โดยไม่ต้องสแกนหน้า ไม่มี Maker, Checker, และ Authorizer ใช้เพียงรหัส 8ตัว เรื่องอีเมลแจ้งเตือน เดาว่าโดนเปลี่ยนเมลไปเรียบร้อย ในแอพกดเปลี่ยนเมลเองได้
นอกเรื่อง ประทับใจ CIMB เคยโอนออก 500,000*4ครั้งติดต่อกัน (ช่วงประมาณ 4 ทุ่ม) ขนาดโอนไปชื่อบัญชีเดียวกันแต่ต่างธนาคาร จนท.รีบโทรมาสอบถาม เลยบอกไปว่าถูกต้องและจะโอนแบบเดิมอีก3วันไม่ต้องกังวล เจ้าหน้าที่รับทราบและบันทึกไว้ ทำให้อุ่นใจได้ระดับหนึ่งว่าอย่างน้อยธนาคารนี้ยังเป็นห่วงลูกค้าอยู่บ้าง
เปลี่ยนเมลควรจะ OTP ทั้งเมลเดิม เมลใหม่และอาจจะใข้ factor อื่น ๆ ร่วมด้วย
ถ้าธนาคารไม่แจ้งเตือนอันนี้ผิดแน่นอน แต่กลัวว่าเคสนี้จะเป็นความขัดแย้งภายในบริษัทผู้เสียหายเอง แล้วมาโบ้ยให้แอพธนาคารเป็นจำเลยฝ่ายเดียว
จะว่าไปแล้วธนาคาร c ตามข้อมูลลิงก์ที่แนบในข่าวคือถนนคารไหนกันหนอ