แต้มสะสม แลก "คะแนนบุญ" เศรษฐกิจคู่ขนาน "เงินเงา" ในเงื้อมมือ "มิจฉาชีพ"  

แม้การใช้ "แต้มสะสม" จากการใช้จ่ายผ่านบัตรเครดิต และผู้เป็นสมาชิกของกลุ่มค้าปลีก ร้านสะดวกซื้อ กลุ่มพลังงาน และกลุ่มโทรคมนาคม จะใช้เป็นส่วนลด และแลกเป็น "เงินบริจาค" เข้ามูลนิธิ องค์กรสาธารณกุศลต่าง ๆ ผ่านระบบการโอนในแอปมือถือ ทำให้คน “มือไว-ใจร้อน” กด แลก หรือบริจาคได้อย่างรวดเร็ว ซึ่งทันทีที่เข้าสู่ระบบภาษี สรรพากรก็จะตรวจสอบโดยอัตโนมัติ ทว่ายังมีปัญหาอีกด้านหนึ่งที่มองข้ามไม่ได้ คือ คะแนนดังกล่าว อาจถูกนำไปใช้ในการฟอกเงิน หากมีกลุ่มเครือ ข่ายอาชญากรแฝงเข้าใช้ประโยชน์จากบัญชีที่ถูก "บุกรุก" หรือ "แทรกแซง"

Alex Vakulov นักวิจัยด้านความปลอดภัยไซเบอร์ (Cybersecurity Researcher) และคอลัมนิสต์ด้านเทคโนโลยี นำเสนอบทความเรื่อง "Loyalty program fraud: How points can become a shadow currency" หรือ “เมื่อคะแนนสะสมกลายเป็น "สกุลเงินเงา" ไว้อย่างน่าสนใจว่า โปรแกรมสะสมคะแนน (Loyalty Programs) ถูกสร้างขึ้นเพื่อกระชับความสัมพันธ์กับลูกค้า แต่ในทางปฏิบัติมันได้สร้าง "ระบบเศรษฐกิจคู่ขนาน" ขึ้นมา แม้คะแนนสะสมจะไม่ใช่เงินสดตามกฎหมาย แต่มีคุณสมบัติที่มิจฉาชีพต้องการครบถ้วน คือ สะสมได้ โอนย้ายได้ แลกเป็นสินค้าได้ และนำไปขายต่อเป็นเงินจริงได้ ทำให้ระบบสะสมคะแนนกลายเป็นเครื่องมือทางการเงินที่มีช่องโหว่ให้ถูกโจมตี

"แม้ยอดคงเหลือในระบบสะสมคะแนน (Loyalty Balance) จะไม่ถูกจัดประเภทในทางกฎหมายให้เป็นเงินสดในหลายเขตอำนาจศาล ทว่าสินทรัพย์ดังกล่าว ยังคงมีคุณลักษณะที่เอื้อต่อการทุจริต คือ สามารถสะสม โอนถ่ายได้ทั้งทางตรงและทางอ้อม แปลงสภาพเป็นสินค้า และนำไปจำหน่ายต่อเพื่อเปลี่ยนเป็นเงินได้ เมื่อเกิดวงจรการแปลงมูลค่า (Conversion Loop) ระบบสะสมคะแนน ก็ไม่ได้ทำหน้าที่เป็นเพียงกลไกทางการตลาดอีกต่อไป หากแต่มีพฤติการณ์เทียบเคียงได้กับตราสารทางการเงิน (Financial Instrument) ที่มีพื้นผิวการโจมตี (Attack Surface) หรือช่องโหว่เชิงระบบซึ่งต้องได้รับการเฝ้าระวัง"

โดยการทำงานของมิจฉาชีพจะได้คะแนนมาด้วย 2 วิธีหลัก คือ การขโมยบัญชีลูกค้า และการปั่นข้อมูลหลอกระบบ วิธีแรก คือ การยึดบัญชีลูกค้า (Account Takeover) และใช้การสุ่มเบอร์โทรศัพท์และรหัสผ่านที่รั่วไหล (Credential Stuffing) รวมทั้ง ใช้ข้อมูลจากมัลแวร์ขโมยข้อมูล (Stealer logs) เพื่อดึง Session Cookies มาสวมรอยเข้าบัญชีโดยไม่ต้องใส่รหัสผ่าน ทำให้การตั้งรหัสผ่านที่รัดกุมเพียงอย่างเดียวป้องกันไม่ได้

ส่วนวิธีที่ 2 คือ การแทรกแซงระบบผ่านอุปกรณ์ในร้านค้า โดยมิจฉาชีพแอบเชื่อมต่ออุปกรณ์คอมพิวเตอร์ขนาดเล็กเข้ากับอุปกรณ์ในร้านที่ต่ออินเทอร์เน็ตอยู่ เช่น ตู้คิดเงินอัตโนมัติ เครื่องเช็กราคา ตาชั่งดิจิทัล หรือเราเตอร์ จากนั้นจึงส่งคำสั่งปลอมไปหลอกระบบหลังบ้านว่า "มีการซื้อสินค้าเกิดขึ้นจริง" ทำให้ระบบแจกคะแนนเข้าบัญชีโดยไม่ต้องจ่ายเงิน ซึ่งบาง ครั้งอาจมีคนใน (Insider) ให้ความร่วมมือ

Alex Vakulov อธิบายแนวทางในการเสริมสร้างความปลอดภัยเพื่อรับมือกับความเสี่ยงดังกล่าวว่า หากลดมูลค่าคะแนน หรือจำกัดสิทธิการแลก อาจทำลายความรู้สึกของลูกค้า จึงควรเน้นแก้ที่ต้นตอของปัญหาด้วยวิธีการดังนี้

1. ตรวจจับระดับธุรกรรมและแชร์ข้อมูล มองการโกงคะแนนเป็นอาชญากรรมทางการเงิน เชื่อมโยงข้อมูลระหว่างระบบ Loyalty, จุดชำระเงิน และฝ่ายบริการลูกค้า รวมถึงแชร์ข้อมูลคนโกงกับพันธมิตรในอุตสาหกรรม

2. เฝ้าระวังข่าวกรองในตลาดมืด ติดตามช่องทางออนไลน์ของกลุ่มมิจฉาชีพเพื่อดูสัญญาณการซื้อขายคะแนนล็อตใหญ่ ซึ่งจะช่วยแจ้งเตือนล่วงหน้าก่อนเกิดความเสียหาย

3. ตรวจสอบระบบและแหล่งที่มาของข้อมูล ตรวจสอบความปลอดภัยของการเชื่อมต่อระหว่างอุปกรณ์หน้าร้านกับเซิร์ฟเวอร์หลัก ตรวจสอบยอดคะแนนเทียบกับยอดขายจริง และการทดสอบเจาะระบบ (Penetration Testing)

4. ควบคุมการปรับแก้ข้อมูลของพนักงาน การบันทึกประวัติ (Log) ทุกครั้งที่พนักงานแก้ไขหรือเพิ่มคะแนนด้วยมือ พร้อมระบุเหตุผล เพื่อป้องกันการทุจริตจากคนใน

และ 5.คัดกรองพันธมิตรทางการตลาด (KYC ) ตรวจสอบประวัติและแหล่งเผยแพร่ของอินฟลูเอนเซอร์หรือตัวแทนที่รับโค้ดส่วนลดไปแจก เพื่อป้องกันโค้ดรั่วไหลเข้าสู่ตลาดมืด

ท่ามกลางความวิตกกังวลของทั่วโลกต่อการถูกโจมตีทางไซเบอร์ และการถูกเจาะระบบจากการแลกแต้มคะแนนสะสมจากการใช้จ่ายเพื่อแลกส่วนลด ใช้แทนเงินสด แลกของกำนัล แลกส่วนลดค่าอาหาร-เครื่องดื่ม หรือแลกแต้มเพื่อบริจาคให้องค์กรสาธารณกุศล ซึ่งไทยก็มีความตื่นตัวในประเด็นดังกล่าวเช่นกัน

ด้วยว่าการแลกหรือบริจาคแต้ม ส่วนใหญ่มักจะใช้วิธีล็อกอินเข้าสู่ระบบผ่านแอป ซึ่งระบบจะตัดแต้มจากบัญชีสมาชิกของทันทีโดยไม่ต้องใช้บัตรประชาชนยื่นซ้ำ กรณีหากต้องการใช้ข้อมูลเพื่อลดหย่อนภาษี ระบบจะอิงตามข้อมูลชื่อ-นามสกุลและที่อยู่ เลขบัตรประชาชนอยู่แล้ว บางกรณี อาจต้องยืนยันตัวตน ผ่านหมายเลข 13 หลัก และหมายเลขหลังบัตรประชาชน เพื่อความปลอดภัยสูงสุดและป้องกันการสวมรอย

แม้ทุกหน่วยงานจะมีระบบยืนยันการตรวจสอบ "หลังบ้าน" มีมาตรฐานความปลอดภัยสูง แต่ใครจะรับประกันได้อย่างไรว่าจะไม่ถูก "มิจฉาชีพ" เข้าไปเจาะระบบนำข้อมูลบัญชีรายชื่อออกมาใช้ประโยชน์ ทั้งการโอนย้ายและนำไปขายในตลาดมืด

เจ้าหน้าที่เฝ้าระวังความปลอดภัยไซเบอร์ของไทย หน่วยงานรัฐแห่งหนึ่ง ให้มุมมองเรื่องการขอบริจาคแต้มคะแนนสะสมจาก บัตรเครดิต สมาชิกกลุ่มร้านค้าปลีกและร้านสะดวกซื้อ ที่อาจถูกนำไปใช้ในการฟอกเงินว่า ในไทยยังไม่พบความผิดปกติ และหน่วยงานเกี่ยวข้องก็มีการเฝ้าระวังอย่างต่อเนื่อง เพราะระบบการเงินดิจิทัลในโลกปัจจุบัน ก็มีความเป็นไปได้ แม้ยอดคะแนนสะสมของแต่ละบุคคลจะมีจำนวนน้อย แต่เครือข่ายอาชญากรสามารถเจาะระบบเข้ามาใช้ประโยชน์จากการแลกแต้มคะแนนจากบัญชีที่ถูกบุกรุก ซึ่งมีอยู่หลายร้อยหรือหลายพันบัญชี โดยแก๊งอาชญากรจะเปลี่ยนรางวัลดิจิทัลที่มีมูลค่าต่ำ ให้กลายเป็นสินทรัพย์ทางการเงินที่มีมูลค่าสูงที่ไม่สามารถตรวจสอบที่มา-ที่ไปได้

แต่จากวิเคราะห์ด้านการสืบสวนทางการเงิน มีความเป็นไปได้ว่า กลุ่มมิจฉาชีพอาจสร้างกลไกเฉพาะทำงานผ่านกรอบการฟอกเงินหลายลำดับขั้นตอน ไม่ว่าจะเป็นการเริ่มต้นจัดวางตำแหน่ง การซ้อนชั้น และการบูรณาการ ดังนั้นเพื่อความไม่ประมาทหน่วยงานที่เกี่ยวข้องจำเป็นต้องเฝ้าระวังและตามให้ทันต่อสถานการณ์

แหล่งข่าวอธิบายว่า สำหรับวิธีการเริ่มต้น แก๊งอาชญากรจะรวบรวมคะแนนสะสมจากผู้บริโภคให้ได้มากที่สุด ด้วยวิธีการพื้นฐาน คือให้ผู้บริโภคทั่วไปเป็นผู้รวบรวมคะแนนสะสมให้ และชักจูงโน้มน้าวผ่านช่องทางโซเชียลให้บริจาคโดยจัดตั้งมูลนิธิปลอมขึ้นมา หรือแอบอ้างชื่อมูลนิธิที่มีอยู่จริงและดูน่าเชื่อถือมีการเชิญชวนให้สมาชิกของโครงการคะแนนสะสมนำคะแนนที่กำลังจะหมดอายุหรือไม่ได้ใช้งานมา "บริจาค" เพื่อช่วยเหลือช่วยเหลือผู้ประสบภัย หรืออื่น ๆ ให้เป็นแหล่งที่มาที่ถูกต้องตามกฎหมาย ซึ่งคะแนนดังกล่าวจะถูกแยกออกจาก "ผู้รับผลประโยชน์ขั้นสุดท้าย"

ขั้นตอนต่อมา เป็นการรับซื้อคะแนนโดยตรง บางกรณี อาชญากรอาจเสนอเงินสดจำนวนหนึ่งเพื่อแลกกับคะแนนสะสม เช่น รับซื้อคะแนนที่มีมูลค่าเทียบเท่า 100 บาท ด้วยเงินสด 30 บาท เป็นการจ่ายเงินตอบแทนทันทีให้กับผู้ใช้ที่ยอมร่วมมือ แม้ว่ามูลค่าที่ได้รับจะต่ำกว่าความเป็นจริงก็ตาม

การกระจายยอดออกเป็นส่วนย่อย อย่างมีโครงสร้าง(Structuring) อาชญากรจะรวมแต้มคะแนนน้อย ๆ จากผู้ใช้หลายพันคน วิธีการนี้จะช่วยหลีกเลี่ยงการตรวจจับของระบบป้องกันการฉ้อโกงภายใน หรือระบบอัตโนมัติที่คอยตรวจสอบความผิด ปกติเมื่อมีการใช้งานบัญชีในปริมาณมากหรือรวดเร็วเกินไป ซึ่งมักใช้ในระบบของร้านสะดวกซื้อเพื่อตรวจจับกิจกรรมที่น่าสงสัย

ถัดจากนั้น เป็นการสร้างชั้นข้อมูลเพื่อปกปิดร่องรอย เมื่อคะแนนสะสมตกอยู่ภายใต้การควบคุมของแก๊งอาชญากรผ่านทางองค์กรบังหน้าหรือบัญชีตัวแทน เป้าหมายสำคัญ จะมีการตัดเส้นทางการตรวจสอบระหว่างผู้บริจาคคะแนนกับปลายทางที่ได้รับผลประโยชน์ โดยใช้วิธีการ โอนคะแนนภายใน

คะแนนตรงนี้ จะถูกนำมารวมกันและทยอยโอนย้ายอย่างเป็นระบบผ่านเครือข่ายบัญชีตัวกลางที่มีความซับซ้อน...มีการใช้รหัสผ่านซ้ำ เพื่อโจมตีทางไซเบอร์แบบอัตโนมัติ ที่อาชญากรนำชื่อผู้ใช้และรหัสผ่านที่ถูกขโมย จากการรั่วไหลของข้อมูล หรือซื้อจากดาร์กเว็บ แล้วนำไปแทรกในแบบฟอร์มล็อกอินของเว็บไซต์และบริการอื่นๆ

นอกจากนี้อาจมีการใช้วงจรแบบวนซ้ำซ้อน ซึ่งแก๊งอาชญากรอาจใช้เทคนิคสคริปต์อัตโนมัติโยกย้ายหรือโอนคะแนนอย่างรวดเร็วระหว่างเครือข่าย บัญชีสมาชิกปลอม หรือบัญชีที่ถูกลบุกรุกหลายบัญชี โดยผสมแต้มที่ถูกขโมยกับแต้มที่ถูกต้องในหลายระดับของบัญชี

"ผู้ฉ้อโกงจะสร้างเครือข่ายธุรกรรมที่ซับซ้อนซึ่งออกแบบมาเพื่อปกปิดที่มาที่ผิดกฎหมายของคะแนนสะสม โดยนำคะแนนที่ได้มาอย่างผิดกฎหมายไปปะปนกับคะแนนที่เกิดจากการซื้อสินค้าจริง เพื่อสร้างความสับสนให้กับเจ้าหน้าที่ตรวจสอบการทุจริตขององค์กร หรือทำให้ระบบตรวจจับขององค์กรธุรกิจที่เกี่ยวข้องล้มเหลว"

ส่วนขั้นตอนสุดท้าย จะเป็นการเปลี่ยนเป็นเงินสด เป็นช่วงเวลาที่คะแนนสะสมถูกเปลี่ยนกลับเข้าสู่ระบบการเงินปกติ ในรูปแบบของเงินตราที่ถูกต้องตามกฎหมาย

แหล่งข่าวให้ข้อมูลว่า กระบวนการดังกล่าวจะเกิดผ่าน 3 ช่องทางหลัก จากการเปลี่ยนสินค้าเป็นเงินสดอย่างรวดเร็ว คะแนนจะถูกนำไปแลกเป็นสินค้าอุปโภคบริโภคที่เป็นที่ต้องการสูงและขนย้ายได้ง่าย ซึ่งมีขายในร้านสะดวกซื้อ เช่น บุหรี่ เครื่องดื่มแอลกอฮอล์ ฯลฯ จากนั้นสินค้าเหล่านี้จะถูกนำไปขายต่อในตลาดมืดหรือตลาดรอง ผ่านแพลตฟอร์มอีคอมเมิร์ซออนไลน์ หรือผ่านช่องทางรับซื้อของอาชญากร เพื่อเปลี่ยนเป็นเงินสด โดยเงินสดที่ได้มาสามารถนำไปฝากเข้าบัญชีธนาคารในฐานะรายได้จากการขายปลีกที่ถูกกฎหมาย

การเปลี่ยนบัตรของขวัญและบัตรเติมเงินเป็นเงินสด หากคะแนนสะสมอนุญาตให้นำคะแนนไปแลกเป็นบัตรของขวัญจากผู้ให้บริการภายนอก เช่น บัตรเติมเกม บัตรสำหรับแพลตฟอร์มอีคอมเมิร์ซ หรือบัตรเติมเงินที่มีเครือข่ายการชำระเงินรองรับ คะแนนก็จะถูกเปลี่ยนเป็นมูลค่าทางการเงินทันที

โดยบัตรเหล่านี้อาจถูกนำไปใช้ซื้อสินค้าเพื่อนำไปขายต่อ หรือนำไปขายโดยตรงบนแพลตฟอร์มแลกเปลี่ยนบัตรของขวัญระหว่างบุคคลในราคาที่ต่ำกว่ามูลค่าจริงเล็กน้อย เพื่อแลกเป็นสกุลเงินดิจิทัล หรือเงินโอนผ่านธนาคาร เพื่อให้ตรวจสอบที่มาได้ รวมทั้งการผสมกลมกลืนกับธุรกิจ ร้านกาแฟ ร้านค้าปลีก กลุ่มอาชญากรสามารถใช้เงินสดโดยนำบัตรของขวัญหรือสินค้าที่แลกมาได้ ไปใช้เป็นสต็อกสินค้าในร้านของตนเอง เมื่อลูกค้าเข้ามาซื้อสินค้าดังกล่าว เงินที่ได้รับเข้าสู่ระบบบัญชีของร้านก็จะถูกฟอกให้เป็นเงินที่สะอาดได้เช่นกัน

นอกจากนี้ สิ่งที่ยังต้องเฝ้าระวัง คือ การโอนแต้มบริจาค ไปยังมูลนิธิ และองค์กรสาธารณกุศล ทั้งไทยและต่างประเทศ ซึ่งไม่ได้มีการจดทะเบียนขึ้นบัญชีกับหน่วยงานรัฐตามกฎหมาย เพราะไม่มีใครทราบว่าจะกลุ่มมิจฉาชีพจะแอบใช้เพื่อเจาะระบบล้วงข้อมูลผู้บริจาค หรือตั้งขึ้นแอบอ้างตั้งขึ้นมาเพื่อการฟอกเงินเงาเหล่านี้ขึ้นมาหรือไม่ !!!

อ่านข่าว

ครบกำหนดกักโรค "บุ๋ม" ยื่นชื่อแม่-ลูกสาวเข้าเยี่ยม 13 พ.ย.

ปอศ.เผย "กระเป๋าหรูบุ๋ม" ส่อเป็นของแท้ อัญมณี 53 ชิ้น รอผู้เชี่ยวชาญตรวจ

"วิกฤตศรัทธามูลนิธิ" นักวิชาการจี้รัฐ ยกเครื่องระบบ "ตรวจสอบเงินบริจาค"

หมายเหตุ ข้อมูลส่วนหนึ่งจาก : https://www.cxnetwork.com/customer-loyalty/articles/loyalty-program-fraud