เมื่อวานนี้ตำรวจ สน.ประเวศ ได้แถลงข่าวจับกุมวัยรุ่นไทยสองคน อายุ 18 ปี และ 19 ปี ในข้อหาโจรกรรมเงินทาง E-Banking ของผู้เสียหายเป็นจำนวนมากถึง 1.8 ล้านบาท
จากการแถลงข่าวพอสรุปวิธีการโจรกรรมคือ ผู้ต้องหานำสำเนาบัตรประจำตัวประชาชนของผู้เสียหาย (ดำมาก) ไปแจ้งผู้ให้บริการโทรศัพท์ว่าซิมการ์ดหายแล้วขอซิมการ์ดใหม่ (โดยผู้เสียหายใช้โทรศัพท์ 2 ซิม) ทำให้ซิมเก่าที่ผู้เสียหายใช้อยู่ถูกระงับทันที โดยไม่มีความผิดปกติเกิดขึ้น (เพราะอีกซิมใช้ได้)
หลังจากนั้นผู้ต้องหาจึงทำการเปิดบัญชีธนาคารใหม่ แล้วทำการโอนเงินผ่านระบบ E-Banking ซึ่งจะส่งรหัส OTP (One Time Password) เข้าซิมการ์ดโทรศัพท์ที่เปิดใหม่ซึ่งอยู่ในมือผู้ต้องหาแล้ว ทำให้สามารถโอนเงินไปได้หลายครั้ง รวมทั้งหมดประมาณ 1.8 ล้านบาท โดยใช้เวลาเพียง 20 นาที
ตำรวจคาดว่าการโจรกรรมครั้งนี้ไม่ได้มีแค่วัยรุ่นสองคน แต่ทำเป็นขบวนการ โดยวัยรุ่นอาจเป็นแค่คนรับจ้างเปิดบัญชีธนาคารเท่านั้น อยู่ในขั้นตอนการสืบสวนต่อไป ส่วนผู้เสียหายได้เตรียมยื่นฟ้องผู้ให้บริการโทรศัพท์และธนาคารแล้ว
- ประเด็นที่น่าสงสัยคือ
- สำเนาบัตรประจำตัวประชาชนนั้นดำมาก, มองเห็นภาพไม่ชัดแม้แต่รูปผู้เสียหาย เหตุใดจึงขอซิมการ์ดใหม่ได้?
- กลุ่มผู้ต้องหารู้ ชื่อผู้ใช้งานและรหัสผ่าน ของธนาคารเพื่อทำ E-Banking ได้อย่างไร?
Get latest news from Blognone
Follow @twitterapi
Hiring! บริษัทที่น่าสนใจ
Blognone Jobs Premium
Cloudnone
- ถึงคลาวด์เคราะห์: ทำอย่างไรเมื่อบริการคลาวด์ที่ใช้ถูกยกเลิก | Cloudnone EP. 21
- รู้จักอาชีพ Site Reliability Engineer สำคัญยังไง? | Cloudnone EP. 20
- อธิบาย CrowdStrike ทางเทคนิค ทำไมถึงทำพีซีจอฟ้าเป็นล้านๆ เครื่อง | Cloudnone EP.19
- Kubernetes [Part 2] ยี่ห้อไหนดี งานไหนต้องใช้ แล้วเลือกยังไง? | Cloudnone EP.18
- สงคราม AI 2024: OpenAI ชิงปาดหน้า Google วันเดียว | Cloudnone EP.17
Comments
อันนี้ผมว่าไม่ต้องอึงก็ได้มังครับ
lewcpe.com, @wasonliw
อึ้งครับ ไม่ใช่อึง ^^
Writer no.59 เพื่อสังคมแห่งการแบ่งปันความรู้
เวเลา -> เวลา
ที่มา -ไทยรัฐออนไลน์ (เว้นตรงขีดด้วยครับ)
เก่งจัง #ไม่ใช่
เด็กไทยไม่แพ้ชาติใดในโลก #ไม่ใช่อยู่ดี
บัตรประชาชนเป็นแบบ smart card เหมือนประเทศโลกที่ 1 เหมือนจะทันสมัย แต่ทำธุรกรรมยังต้องถ่ายสำเนาบัตรกันอยู่แบบประเทศโลกที่ 3 ประเทศไทยเท่านั้น
โลกที่ 1 เขาก็ถ่ายกันครับ
จริงช่องโหว่อีกทีคือถ้าเราไม่มีบัตรประชาชนของเจ้าของเบอร์และตอบคำถามเกี่ยวกับเบอร์ไม่ได้เขาจะให้ไปแจ้งความว่าซิมหายซึ้งบางทีก็ไม่ได้ถามอะไรมากมาย แล้วก็เอาใบแจ้งความไปขอซิมใหม่ได้เลยด้วยนะครับ น่ากลัวมาก -..-
ก็โดนข้อหาแจ้งความเท็จเพิ่มอีก 1 ข้อหาไงครับ
และในทางทฤษฎีแม้จะเจรจายอมความกับเจ้าทุกได้ แต่ก็จะโดนข้อหาแจ้งความเท็จซึ่งเป็นความผิดอันยอมความไม่ได้อยู่ดี
A smooth sea never made a skillful sailor.
ได้ซิมกันง่ายนี่หลายเรื่องแล้วนะ ระบบออกแบบมาดี แต่ช่องโหว่อยู่ที่คนทั้งนั้น ยิ่งเดี๋ยวนี้ทำงานแบบขอไปทียิ่งน่ากลัวยิ่งขึ้น ;(
my blog
ถึงฝั่งผู้ให้บริการก็ยอมกันง่ายเกินไป แต่ก็ต้องโทษลูกค้าที่เวลามีนู่นนี่ไม่ครบแล้วโวยวายจะเอาด้วยแหละครับ
จริง
เคยเจออยู่ ยืนอยู่ข้างๆกันเลยตอนไปขอเอกสารราชการของต่างประเทศ (สถานฑูต)
เค้าบอกว่าให้กรอกตามนี้ เอาดินสอกาไว้ให้ พี่แกก็กรอกไม่ครบ เซ็นต์เอกสารก็ไม่เซ็นต์มา เอกสารอะไรก็ไม่ครบสักอย่าง
ที่เจ๋งที่สุดคือ แผ่นที่ต้องส่งเรื่องไปเมืองนอก มีรอยตีนประทับอีก
พอเจ้าหน้าที่เค้าไม่ให้ก็ด่าเค้าว่า เรื่องมาก วุ่นวาย
ผมคนไทย ไปยืนอยู่ตรงนั้น อายแทนจริงๆ
+1 ครับเห็นด้วยอย่างยิ่ง
Social Engineering
positivity
ทำไมตอนผมไปทำซิมใหม่ AIS เขาถึงขอแค่บัตรประชาชนเพื่อยืนยัน ไม่เห็นต้องทำสำเนาอะไรเลย (จำไม่ได้ว่าเจ้าหน้าที่ถ่ายสำเนามาให้เซนมั้ย)อนึงเพราะผมเอาซิมเดิมไปเปลี่ยนหรือเปล่านะ แต่ตอนมือถือถาย ก็แบบนี้นี่หว่า?
ผมขอเปลี่ยนเป็น micro-sim พนักงานก็ถ่ายบัตรฯ มาให้เซ็นชื่อครับ
ผมพึ่งไปเปิดซิมรายเดือน DTAC มาไม่กี่วัน ของผมเขาขอบัตร ปชช ผมไปถ่ายเอกสารครับ แถมให้เซ็นต์สำเนาถูกต้องด้วย
หลังๆ ตั้งแต่มีปัญหา OTP เยอะขึ้นนี่บังคับถ่ายแล้วครับ ที่ AIS ก็จะมีประกาศชี้แจงแปะเหมือนกัน
เหมือนกับผู้ร้ายรู้ข้อมูลทุกอย่างก่อน ขาดแค่เรื่องการแจ้ง otp มือถือ เลยต้องทำเรื่องขอซิมการ์ดใหม่
ซึ่งการทำข้อมูลหลุดนั้นน่ากลัวกว่า
มันต้องรู้ user name กับ password เพื่อเข้าบัญชีผู้เสียหายด้วยนี่ หรืออีกทางถ้าเปิดบัญชีใหม่ให้เป็นชื่อผู้เสียหายมันก็ยากอีก ตกลงทำยังไง ไม่เข้าใจ เหมือนเขียนมาสั้นๆ ทำให้ทุกคนคิดว่ามันไม่ปลอดภัยหรือเปล่า
ไม่มีลายเซ็น
+1 อย่างน้อยก็ต้องรู้ชื่อผู้ใช้กับรหัสผ่านของบัญชี หรือไม่ก็อีเมล์เพื่อรีเซตรหัส
การ reset ข้อมูล username/password ของธนาคาหลายๆ ที่สามารำทได้ผ่านโทรศัพท์ และข้อมูลส่วนตัวหลายๆ ส่วน ซึ่งข้อมูลหลายๆ อย่างสามารถหาได้จากใน internet ไม่ว่าจะเบอร์โทรศัพท์บ้าน ที่อยู่ปัจจุบัน ที่อยู่จัดส่งเอกสาร หรือวันเดือนปีเกิด ถ้าได้ข้อมูลครบ หรือคาดเดาการขอข้อมูลได้ และตรงตามที่ call center สอบถามมา ก็ขอเปลี่ยนแปลงข้อมูลเหล่านี้ได้ผ่านทางโทรศัพท์เลยครับ
ใช่ครับ แค่โทรไปขอ reset ก็ได้ครับ
โดยจะส่งone time passwordมาเข้าที่ email ครับ
ส่วนสำเนาบัตร เหมือนว่าจะแอบถ่ายรูปไว้แล้วไปสั่งพิมพ์เอา
ผมว่าต้องมีอะไรที่หลุดออกไป เช่นเคยทำคอมหาย ที่เข้าถึงemailได้เลยรึเปล่า
เดี๋ยวนี้เริ่มยากขึ้นเรื่อยๆ ครับ วันก่อนผม โทรไปขอ password ใหม่ กับ TMB ถามผมประมาณ 15 คำถาม มีถึงกีเกิดแบบไทย ยอดเงินถอดล่าสุด และอีกมากมาย
ไม่มีลายเซ็น
หลังๆ เริ่มดีขึ้นครับ แต่ก็มีการปล่อยปะละเลยเช่นกันครับ ยังไม่ 100% ครับ
เหมือนเรื่อง now you see me เลย
ของธนาคารกรุงเทพเหนื่อยมาก ต้องเดินไปที่สาขาเลย
กรอกเอกสารอะไรไม่รู้มากหมาย แถมรหัสผ่านใหม่จะส่งมาทางไปรษณีย์
แต่ก็รู้สึกปลอดภัยดี
ก็ไม่ซักทีเดียวครับ
ล่าสุดผมขอรหัสใหม่ เพราะของเก่าเคยใช้มานานมา และ ผูกกับเบอร์มือถือเก่า (เก่ามาอีกเหมือนกัน และ ไม่ได้ใช้แล้ว) ซึ่งทำให้ผมไม่สามารถใช้บริการได้ เพราะเบอร์มือถือเดิมไม่ได้ใช้แล้ว และ รหัสผ่านต่าง ๆ จำไม่ได้แล้ว
กรอกเอกสารของรหัสใหม่ ผมรอประมาณ 2 อาทิตย์ไม่ได้ซักที มีแต่ SMS บอกว่า เปลี่ยนเป็นผูกเข้ากับเบอร์ปัจจุบันทึ่พึ่งแจ้งไป
ก็เลยลองไปทำเรื่องขอรหัสใหม่ที่ตู้ผ่านบัตร ATM คราวนี้ทำได้ซะงั้น
สรุปแล้วก็เลยงงว่า ไม่ต้องรอรหัสแรกเข้าที่ส่งให้ที่บ้านแล้ว กรอกเอกสาร รหัสได้ หรือ ไม่ได้ ช่างมัน ไปทำรายการซ้ำที่ตู้ แล้วก็จะได้รหัสส่งมาทาง SMS เป็นรหัสแรกเข้า แล้วก็เข้าไปทำรายการเปลี่ยนรหัสใหม่ซ้ำอีกที
เลยรู้สึกว่า มันก็เป็นช่องโหว่อยู่นะครับ
ถ้าทำได้ น่าจะตามเงินได้ง่ายด้วยมั๊ง แบบนี้เกลียดใครก็โอนไปให้คนนั้น ---แค่คิดนะครับแล้วเพื่อนๆมีคนที่อยากโอนไปให้มั๊ยอิๆ
วิธีน่าจะเป็นแบบนี้
ได้เลขบัญชีธนาคาร และชื่อบัญชี
เมื่อได้แล้ว เสาะหาสำเนาบัตรประชาชน แล้วไปขอซิม
โทรไปบอกกับธนาคารว่า ลืมรหัสผ่าน กับ username
ธนาคารจะสอบถามข้อมูลพื้นฐาน วดป ถ้าตอบถูกก็จะได้รหัสและ
username พร้อมกับตั้งใหม่
จากนั้นก็โอนเข้าบัญชีตัวเอง โดยใช้รหัส OTP ที่ส่งมา
กุญแจจึงอยู่ที่บัญชีธนาคาร และการขอซิมใหม่
ที่ทำมาอย่างลำบาก ทั้งหมด ก็โดนจับที่โอนเข้าบัญชีตัวเองอยู่ดี
ไม่มีลายเซ็น
ระบบความปลอดภัยใดๆ ที่มีคนไปเกี่ยวข้อง ระบบนั้นไม่ปลอดภัย
วิธีนี้มันไม่ยาก แถมทำซ้ำได้ง่ายซะด้วย
สังคมอยู่ยากจริงครับ
อาศัยความรู้จากกระทู้นี้มั้งครับ
http://pantip.com/topic/30799070
รอบก่อนที่มีข่าวเนียนกว่านี้หน่อยตรงที่ ปลอมบัตรประชาชนกับสมัครบัญชีใหม่แล้วรวมบัญชี ไม่ต้องไปหา user password ให้ยากเลย
กรณีแบบนี้เห็นทำกันมาสักพักหนึ่งแล้ว
ปลอมไปส่ง SMS ให้เจ้าของเบอร์ติดคุกตายก็ได้ใช่ไหม
ก็อาจจะได้ครับ แต่ขั้นตอนยากวุ่นวายกว่านี้เยอะ
จริงๆถ้าทำกับนักการเมืองเผลอจะได้งานทำเพราะถือว่าใช้คอมโอนเงิน
สงสัยครับ ถ้ากรณีนี้เป็น mobile banking ซึ่งปกติจะไม่มี user name ใช้ตรวจสอบจาก cellular เอา พอเปลี่ยนซิมแล้ว ซิมใหม่จะสามารถใช้เข้า mobile banking ได้เลยรึเปล่า
จากที่ทราบๆ มา ต้องลงทะเบียนซิมใหม่ครับ
bank ในยุโรปเปิดบัญชีธนาคาร ถ้าขอใช้ ebanking เค้าจะแจก token ให้ใช้เลย บ้านเรายังใช้ระบบ user/pass กันอยู่เลย จริงๆ น่าจะมีได้แล้ว เข้าใจว่าต้นทุนแพงแต่อย่างน้อยน่าจะเป็นตัวเลือกสำหรับคนที่พอมีกำลัง
กลยุทธง่ายๆ เลยนะเนี่ย แต่วางแผนตื้นไปหน่อยนะเนี่ย