รู้จัก BIN attack ขโมยเงินออนไลน์

โดย SUNITSA BOONMA 20 กุมภาพันธ์ 2567

รู้จัก BIN attack โจรกรรมข้อมูลบัตรเดบิต บัตรเครดิตที่มิจฉาชีพใช้ “ดูดเงิน”

ช่วงที่ผ่านมามีข่าวหลายคนโดนดูดเงินจากบัตรเครดิตหรือบัญชีธนาคาร เหตุการณ์นี้ไม่ได้เกิดจากการที่สถาบันการเงินถูกเจาะระบบหรืออะไร จริงๆ แล้วเป็นการโกงผ่านบัตรจ่ายเงิน ไม่ว่าจะเป็นบัตรเครดิตหรือบัตรเดบิต แต่ที่หลายคนคิดว่าบัญชีถูก “ดูดเงิน” เพราะตามธรรมชาติของบัตรเดบิต เวลาจ่ายแล้วก็จะมาหักเงินในบัญชีเราทันที

สิ่งแรกที่ทำให้หลายคนสับสน คือ “ฉันไม่เคยมีบัตรพวกนี้” ซึ่งก็ต้องบอกว่า เวลาเราไปเปิดบัญชีธนาคาร ถ้าเราได้บัตร ATM มาด้วย บัตรพวกนั้นส่วนใหญ่จะเป็นบัตรเดบิต และบัตรของเราอาจโดนผู้อื่นนำไปใช้ได้หลายทาง ดังนี้

เอาบัตรไปให้พนักงานรูดแล้วพนักงานจดข้อมูลบัตรไว้ เอาไปใช้เองภายหลัง
โดนหลอกให้คลิกลิงก์ SMS หรืออีเมลปลอม แล้วให้กรอกข้อมูลส่วนตัว
เอาข้อมูลบัตรไปใส่ในร้านค้าออนไลน์ (ผูกบัตร) แล้วร้านค้าถูกเจาะระบบ ข้อมูลรั่ว ถูกเอาข้อมูลบัตรเหล่านี้ออกไป หรือร้านค้าทุจริตโดยการนำข้อมูลบัตรเหล่านี้ไปขาย
ฐานข้อมูลของธนาคารถูกเจาะ

วิธีการที่พบได้บ่อยคือ ข้อ 1 ถึง 3 ซึ่งพอผู้เสียหายร้องเรียน ธนาคารก็ไปจัดการตรวจสอบและคืนเงินให้ ส่วนข้อ 4 สมาคมธนาคารไทยได้ออกมายืนยันแล้วว่าไม่มี แล้วที่เป็นข่าวในช่วงที่ผ่านมานั้นเกิดอะไรขึ้น? จริงๆ แล้วมิจฉาชีพมีอีกวิธี คือการทำ BIN attack

BIN attack คืออะไร

BIN attack ก็คือการที่มิจฉาชีพใช้โปรแกรมสุ่มเลขบัตรไปเรื่อยๆ แล้วลองกดซื้อของดู ถ้าไม่ได้ก็ลองเลขใหม่ ถ้าได้ก็เก็บข้อมูลบัตรนั้นไว้ เพราะสามารถเอาไปใช้ได้อีกหลายรอบจนกว่าเจ้าของหรือสถาบันการเงินจะรู้ตัว

การทำ BIN attack นี้ ไม่ซับซ้อนเหมือนที่หลายคนเข้าใจ (ว่าต้องทราบทั้งเลขบัตร ชื่อผู้ถือบัตร วันหมดอายุ รหัสหลังบัตร และมี OTP) เพราะข้อมูลที่จำเป็นจริงๆ คือเลขบัตรและวันหมดอายุเท่านั้น ข้อมูลเพื่อตรวจสอบอื่น ๆ เป็นส่วนที่ร้านค้าสามารถเลือกได้เองว่าจะใช้หรือไม่ (เพราะร้านค้าเป็นคนรับความเสี่ยงในกรณีที่เกิดการสวมรอยใช้บัตร)

ร้านค้าส่วนหนึ่งไม่ได้ให้ลูกค้ากรอกข้อมูลอื่นๆ โดยเฉพาะกรณีที่ธุรกรรมมีมูลค่าไม่มากเพื่อความสะดวกของลูกค้า เมื่อมิจฉาชีพพบร้านค้าออนไลน์ที่ระบบการตรวจสอบไม่เข้มงวดมากนัก ก็สามารถลองสุ่มเลขบัตรเพื่อใช้งานได้ หากสำเร็จก็จะทำต่อไปเรื่อย ๆ

การป้องกัน BIN attack

หลายธนาคารมีการป้องกัน BIN attack คือเมื่อพบรายการชำระเงินที่ถูกปฏิเสธหลายครั้งติดต่อกันจากร้านค้า (เพราะมิจฉาชีพสุ่มเลขแล้วผิด) ระบบเตือนจะทำงาน และอาจจะหยุดการให้บริการร้านค้านั้นชั่วคราวเพื่อตรวจสอบเพิ่มเติม โดยสถาบันการเงินหรือผู้ให้บริการแต่ละรายสามารถปรับการตั้งค่าได้ เช่น ตั้งค่าจำนวนการกรอกข้อมูลของบัตรผิด หากเกินกี่ครั้งต่อนาทีจะหยุดให้บริการร้านค้านั้นชั่วคราว หรือถ้ามีการใช้บัตรซ้ำ ๆ ถี่ ๆ เกินกี่ครั้ง จะระงับการใช้บัตรนั้นไปก่อน

หลังจากเกิดเหตุการณ์ในช่วงที่ผ่านมา สถาบันการเงินบางแห่งที่ยังตั้งค่าไว้ไม่เข้มงวดพอก็ได้ปรับการตั้งค่าต่างๆ ข้างต้นให้มีความเข้มงวดมากขึ้น และเพิ่มการแจ้งเตือนลูกค้าผ่านช่องทางต่าง ๆ หากพบธุรกรรมผิดปกติ สถาบันการเงินจะคืนเงินให้ผู้ที่ได้รับความเสียหายในกรณีนี้ภายใน 5 วัน รวมถึงเร่งหารือกับผู้ให้บริการเครือข่ายบัตรในการพัฒนาระบบการป้องกันที่มีประสิทธิภาพมากขึ้นต่อไป

สำหรับประชาชนก็สามารถดูแลความปลอดภัยให้ตัวเองเพิ่มขึ้นได้อีก โดยหมั่นตรวจสอบความเคลื่อนไหวของรายการในบัตร เพื่อดูว่ามีรายการผิดปกติบ้างหรือไม่ และอาจกำหนดวงเงินของบัตรให้ไม่สูงมาก หากต้องใช้จ่ายรายการใหญ่ ๆ ก็สามารถโทรไปหาธนาคารเจ้าของบัตรเพื่อขอเพิ่มวงเงินชั่วคราวได้ รวมถึงอาจกำหนดให้บัตรบางใบใช้จ่ายออนไลน์ไม่ได้ นอกจากนี้ ไม่ควรผูกบัญชีบัตรกับร้านค้าออนไลน์ เพื่อลดความเสี่ยงที่ข้อมูลบัตรจะรั่วไหลผ่านร้านค้าเหล่านั้น