ข่าวผู้ใช้งานระบบธนาคาร On-line ผ่าน Internet ถูกขโมยเงินจากบัญชี มีให้ได้ยินอยู่เรื่อยๆ ทำให้เกิดความสับสนว่าการเงินบน Internet นั้น เชื่อถือได้หรือไม่ คนเป็นขโมยมันเก่งแค่่ไหน มาตราฐานความปลอดภัยธนาคารดีพอไหม ตัวเราผู้ใช้งานต้องเก่งด้วยหรือเปล่า ผมตั้งใจทำเรื่องนี้ให้ทุกคนเข้าใจ และบอกต่อกับทุกคนเพื่อใช้ป้องกันตัว เป็นความรู้ด้านปลอดภัยพื้นฐานต้องมี เสมือนใบขับขี่เพื่อไปใช้งาน Internet อย่างปลอดภัย สำหรับตนเองและคนรอบตัว ในเรื่องนี้พูดถึงธนาคาร แต่นำไปใช้ได้กับใช้งานแบบอื่นๆ ด้วย

ธนาคาร On-line บน Internet จำเป็นไหม

หลายคนใช้เงินสดเพื่อการใช้จ่ายประจำวัน เช่น ซื้อของกิน ของใช้ต่างๆ เป็นต้น ส่วนเงินที่มีอยู่จริงๆ ผ่านระบบธนาคารทั้งรายรับและรายจ่าย ทุกวันนี้เรารับเงินเดือนผ่านบัญชีเงินฝาก จ่ายบิลต่างๆ ผ่านระบบหักบัญชี หากต้องจ่ายเงินให้ใคร ก็โอนเข้าบัญชี จะธนาคารเดียวกัน ต่างธนาคาร หรือต่างประเทศก็โอนไปได้ง่ายดาย เพียงมีชื่อธนาคารและเลขบัญชีของผู้รับ แล้วเวลาเราอยากรู้ว่ามีเงินเข้ามาสมัยก่อน ก็เอาสมุดไปปรับยอด พอมาตอนหลังก็ไปใช้ ATM ดังนั้น จะเห็นว่าเรามีอำนาจในการบริหารบัญชีธนาคารด้วยตัวเอง แล้วก็มาถึงยุคของ Internet ในบ้านเรา มีบริการธนาคารบน Internet ประมาณปี 2544 เราใช้ธนาคารบน Internet เป็นเครื่องมือจัดการทางการเงินของเรา ด้วยบริการตัวอย่างดังต่อไปนี้

1. ตรวจสอบยอดเงินในบัญชี (Balance Inquiry)
2. โอนเงินแบบทันทีทำครั้งละรายการ หรือการสั่งให้โอนเป็นประจำ (Transfer and Recurring)
3. จ่ายใบเสร็จต่างๆ (Bill Payment)
4. บริการเสริมอื่นๆ เช่น ซื้อขายกองทุน เป็นต้น

ธนาคารแห่งประเทศไทย (BOT1, BOT e-money) เป็นหน่วยงานควบคุมและตรวจสอบ ธนาคารต่างๆ เพื่อสร้างความมั่นใจว่าบริการนั้นมีมาตราฐานความปลอดภัยสำหรับประชาชนทั่วไป

การดูแลความปลอดภัยของธนาคารผู้ให้บริการบน Internet

การดูแลความปลอดภัยของธนาคารผู้ให้บริการบน Internet ธนาคารต่างๆ อาศัยหลัก 3 ข้อ ในการสร้างระบบ ธนาคารบน Internet คือ

1. คน (People)  – การพัฒนาความรู้ของเจ้าหน้าที่ให้สร้างบริการที่มีคุณภาพ ถูกต้อง และปลอดภัย
2. กระบวนการทำงาน (Process) – การสร้างขั้นตอนการใช้บริการที่รัดกุมและปลอดภัย
3. เทคโนโลยี (Technology)  – การพัฒนา Application (software) และใช้ Hardware ช่วยดูแลความปลอดภัย

ผู้ใช้บริการอย่างเรา คงพอได้รับรู้ทั้ง 3 ส่วนนี้กันบ้าง เช่น การมี function ความปลอดภัยเรียกว่า One Time Password (OTP) ในรายการเพิ่มบัญชีผู้รับโอนเงิน, การมี function ใหม่ที่เพิ่มความสะดวกกว่าเดิม เป็นต้น

ถึงตรงนี้คงเกิดความข้องใจว่า ถ้าธนาคารทำระบบมาดี แล้วข่าวโดน hack ที่ออกมา เกิดขึ้นได้อย่างไร?

ทำความเข้าใจกับคนที่จะขโมยเงินจากบัญชี (ขโมย Cyber)

พวกขโมยนี่ ถ้าให้ไปขโมยเงินที่ธนาคารต้องเจอกับ เจ้าหน้าที่รักษาความปลอดภัย กล้องวงจรปิด ทำยาก แต่ถ้าไปขโมยเงินจากบ้าน เทียบกับธนาคาร ที่บ้านง่ายกว่า ประชาชนทั่วไปจึงมีจุดอ่อนให้พวกนี้หาประโยชน์ เราตกลงกันก่อนว่าการใช้ ธนาคารบน Internet นั้น ต้องมี ชื่อบัญชี, รหัสผ่าน และเครื่องโทรศัพท์ เป็นของ 3 สิ่งหลักที่ต้องรักษาไว้ หากใครได้ 3 สิ่งนี้จากเราไป เขาโอนเงินออกจากบัญชีไปได้ โดยไม่เกี่ยวกับขโมยที่จะกล่าวถึงในส่วนต่อไป (เข้าใจตรงกันนะ)

ในภาพด้านล่าง แสดงถึงเครื่อง PC/Computer ที่ใช้งานทั่วไป มี Web Browser เป็นเครื่องมือท่องโลก Internet แล้วก็มีสิ่งเล็กๆ ที่เรียกว่า Hacker (กล่องสีแดง) หลอกลวงด้วยวิธีต่างๆ ให้เราเผลอไปติดโปรแกรมที่หวังเล่นงานเรา เรียกว่า Malicious software จะเรียก โทรจัน หรือ Virus อะไรก็ตาม #เอาที่สบายใจ แต่วันไหนมาติดเครื่องเรา เมื่อนั้นคง #ร้องไห้หนักมาก ในวงกลมที่มีตัวเลข เป็นวิธีป้องกันตัว รายละเอียดจะอธิบายด้านล่าง

Virus/Malware/ม้าโทรจัน ไม่ดีทั้งนั้น

Virus คอมพิวเตอร์ คือ โปรแกรมร้ายที่มาซ่อนตัวอยู่ในเครื่องเรา รอจังหวะเมื่อเครื่อง PC ของเรามีจุดอ่อน (Security Vulnerability) ตรงกับที่มีเขียนโปรแกรมไว้มันก็จะเล่นงานเรา จุดอ่อนนี้ อาจเป็นความบกพร่องของ software ที่อยู่ใน PC แต่จำไว้เสมอว่าเครื่องอยู่ดีๆ ไม่มีมาทำอะไรเครื่องเราได้ สาเหตุของ Virus เกิดจากการเชื่อมต่อกับภายนอก อาจเป็น USB Drive ที่มาจากเครื่องติด Virus แต่มันเป็นเรื่องเล็กน้อย เมื่อเทียบกับภัยที่เกิดขึ้นจาก การต่อเครื่องเข้า Internet อันนี้เรื่องใหญ่จริง แต่เราจำเป็นต้องใช้ Internet ถ้าเราไม่รู้จักวิธีป้องกันตนหรือการลดความเสี่ยง เรื่องเสี่ยงที่เราทำกันจนชินในยุค Social Network ได้แก่

1. การ Logon เข้า Computer ด้วย user ที่มีสิทธิทำอะไรได้ทุกอย่าง หรือเรียกว่าเป็น administrator
2. การกด link ไป web site ที่มาจาก Facebook, Line, E-mail หรืออะไรก็ได้ ตั้งหัวข้อน่าสนใจไว้ ก็อยากกดไปดู
3. การ download software จาก web site ที่ไม่มีความน่าเชื่อถือเลย แล้วเอามาติดตั้งในเครื่อง ปกติ download อะไรก็ต้องศึกษาว่ามันจำเป็น แล้วเป็นของเจ้าของ software นั้นจริงๆ
4. การเอาเครื่องไปต่อกับ wifi free แล้วบางทีมันสั่งให้ accept เงื่อนไขก็กดๆ ไป
5. มี PC เครื่องเดียวทำทุกอย่างในโลกที่ PC ทำได้ ตั้งแต่ทำงาน บันทึก โหลดหนัง อ่านพวกกระทู้พวกที่ไม่มีป้องกันเรื่อง security

ทีนี้มาดูเหตุการณ์ สมมุติ จากเรื่องจริง คือ มีคนใช้ PC ที่ทำงานเข้าไปอ่านกระทู้ แล้วมีส่ง link บอกว่า clip เด็ด กดไปเรื่อยๆ มันบอกให้ download อะไรก็ไม่รู้แล้วให้ กด yes เชื่อไหมว่ามีคนกด ลงดูภาพประกอบด้านล่าง ถ้าหลังจากกด yes มันเอาโปรแกรมร้ายๆ เรียกมันว่า malicious software ทำเหมือน virus มาติด web browser ผลต่อจากนี้ เครื่องเราจะถูกควบคุมจาก เครื่องสีแดงของ hacker หรือเรียกว่า hacker มีช่องทางดูเครื่องเรา มันมีโปรแกรมแบบหนึ่งเรียกว่า keystroke logging คือ ถ้าเรากดปุ่มอะไรบน PC ของเรา ไอ้ virus ร้ายนี้ก็จะส่งไปบอกที่เครื่อง hacker นึกไว้เลยว่าเครื่องเราโดนคุมแล้ว มันอยากทำอะไรมันทำได้หมด

ลองดูลำดับการขโมยต่อไปนี้ หลังจาก Hacker เอา virus มาวางในเครื่องคนดี

	คนดี – เจ้าของเครื่อง	คนร้าย – Hacker
1	เข้า web site	Virus ร้ายที่แอบในเครื่องคนดี บอกคนร้ายว่าเห็นเข้า web site ที่สนใจ ->> เตือนว่า เหยื่อ มาแล้ว
2	ใส่ เลขประจำตัวและรหัสผ่าน	คนร้ายเห็นข้อมูล รีบจดไว้
		ขั้นตอนนี้ คนร้าย อาจจะไปแอบเข้าจากเครื่องที่ร้านเกมส์ ทีหลังก็ได้
3	ทำรายการสำคัญ ต้องใส่รหัสผ่านพิเศษ	คนร้ายเห็นรหัสผ่าน คนร้ายสั่งให้ virus ทำเครื่องคนดี hang
		ขั้นตอนนี้ คนร้าย รีบวิ่งไปร้านเกมส์ เอารหัสพิเศษไปใช้

#เรามาถึงจุดนี้ได้อย่างไร? เป็นคนดี ใช้ Computer ในยุค Internet แสนยาก

อ่านมาถึงตรงนี้คงพอเห็นภาพ ปัญหาส่วนใหญ่ เกิดจาก “เรา” ผู้ใช้งาน Computer ที่อาจละเลยเรื่องความปลอดภัย ยึดแต่ความสะดวก ดังนั้น ขอเสนอหนทางสว่าง เอาแค่ 5 ข้อดังนี้

1. เปลี่ยน พฤติกรรม

• ไม่เอาเครื่องที่ทำธุรกรรมการเงิน ไปใช้งานที่เสี่ยงโดน hack  เช่น เข้า web site ธนาคารบ่อยๆ เป็นต้น ไม่เอาไปใช้ โหลดโปรแกรมเถื่อนๆ ดูรูปที่ไม่เหมาะสม  หรือใครส่ง link อะไรมาให้ก็กดไปเรื่อย

2. แยกเครื่องไปเลย

• ถ้าเครื่อง Computer ใช้ทำธุรกรรมการเงิน มูลค่าสูง เครื่องสมัยนี้ก็ไม่ได้แพงมาก ถ้าเทียบกับความเสี่ยงถูก hack จะลองแยกเครื่องต่างหากไปเลย ก็น่าสนใจ

3. โปรแกรม Anti-virus

• หาโปรแกรม Anti-virus มาลง เมื่อลงแล้วก็คอยดูว่ามัน update หรือเปล่า ต้อง up ไว้อย่าละเลย สำคัญมาก

4. เครื่อง Computer ทุกเครื่อง มีการ update เรื่องความปลอดภัย

• ไม่ว่า Windows, Mac หรือ Linux เป็น software และ software ถูกตัวมีข้อผิดพลาด ด้านความปลอดภัยได้ ต้องดูว่าเมื่อ Windows, Mac, Linux เตือนให้ลง update ก็พยายามอ่านดูให้ดีแล้วก็ทำตาม ย้ำว่า Windows/Mac/Linux เตือนนะ ไม่ใช่เข้า web อะไรไม่รู้เตือนมาแล้วก็กดไปเรื่อย ไม่ทำ ไม่ทำ

5. USB อาจนำ Virus มาสู่เครื่องเรา

• รับ USB มาจากใคร ก่อนเสียบดูหน่อยว่า virus มันเตือนอะไรเราหรือเปล่า

Reference:

https://www.youtube.com/watch?v=N_V5pMS4IxU https://www.youtube.com/watchv=HKeD4T6HhNU

http://usa.kaspersky.com/internet-security-center/threats/malware-classifications#.Vbn67e8w-M8

http://usa.kaspersky.com/internet-security-center/threats/malware-creators#.Vbn8le8w92s

https://en.wikipedia.org/wiki/Malware

http://channel.nationalgeographic.com/american-blackout/articles/cyber-attack/

https://www.safeinternetbanking.be/en/fraud-techniques/identity-theft

http://windows.microsoft.com/en-US/windows7/Tips-for-protecting-your-computer-from-viruses

http://www.pcmag.com/article2/0,2817,2468700,00.asp

http://malwaretips.com/blogs/remove-browser-redirect-virus/

http://malwaretips.com/blogs/remove-browser-redirect-virus/