วิดีโอคอลอย่างเดียวตรวจตัวตนไม่ได้เสมอไป

* รูปภาพใช้เพื่อประกอบเนื้อหาเท่านั้น อาจไม่ใช่ภาพเหตุการณ์จริงหรือภาพจริงจากเรื่องในบทความ ขอบคุณภาพประกอบจาก https://graphic.in.th

การเห็นใบหน้าคนคุ้นเคยบนหน้าจอ ไม่ใช่หลักฐานยืนยันตัวตนที่แข็งแรงเหมือนเดิมอีกต่อไป ระบบไลฟ์เฟซสวอปสามารถนำใบหน้าจากภาพนิ่งหรือคลิปวิดีโอของเป้าหมายมาประกอบกับภาพจากกล้องของผู้โจมตี แล้วส่งภาพนั้นออกมาเป็นวิดีโอสดระหว่างการสนทนาได้

เทคโนโลยีนี้ทำงานด้วยการตรวจจับตำแหน่งสำคัญบนใบหน้า เช่น ดวงตา จมูก แนวกราม และริมฝีปาก จากนั้นระบบจะประมวลผลใบหน้าเป้าหมายให้ขยับตามท่าทางของคนที่อยู่หน้ากล้องจริง เมื่อคนร้ายพูด หันหน้า หรือกะพริบตา ใบหน้าที่แสดงบนหน้าจอก็อาจขยับตามได้ในเวลาใกล้เคียงเหตุการณ์จริง

ภาพที่เห็นจึงไม่จำเป็นต้องเป็นวิดีโอที่เตรียมไว้ล่วงหน้าเสมอไป แหล่งภาพอาจมาจากบัญชีสาธารณะ รูปโปรไฟล์ คลิปสั้น หรือวิดีโอเก่าที่มีใบหน้าชัดเจน ยิ่งมีภาพหลายมุมและมีเสียงพูดมาก ระบบยิ่งมีข้อมูลสำหรับสร้างภาพเลียนแบบที่ต่อเนื่องขึ้น

การคอลผ่านแอปสนทนาวิดีโอไม่ได้หมายความว่าแพลตฟอร์มนั้นโดนเจาะระบบเสมอไป ผู้โจมตีอาจใช้โปรแกรมภายนอก กล้องเสมือน หรือเครื่องมือประมวลผลภาพ แล้วส่งสัญญาณวิดีโอปลอมเข้าไปในการคอลตามปกติ ฝั่งผู้รับจึงเห็นภาพที่เคลื่อนไหว มีเสียง และมีฉากหลังสมจริงเหมือนการสนทนาทั่วไป

คุณภาพของการปลอมยังขึ้นกับแสง มุมกล้อง ความเร็วอินเทอร์เน็ต การหันหน้า มือที่บังใบหน้า แว่น ผม และการเคลื่อนไหวเร็ว ๆ ภาพบางช่วงอาจมีขอบหน้าเบลอ สีผิวไม่ต่อเนื่อง ปากกับเสียงเหลื่อมกัน หรือรายละเอียดบริเวณหูและเส้นผมผิดธรรมชาติ แต่ข้อบกพร่องเหล่านี้อาจเกิดขึ้นเพียงเสี้ยววินาที จนผู้รับสายไม่ทันสังเกต

การขอให้ปลายสายกะพริบตา ยิ้ม หันหน้า หรือยกมือขึ้น จึงช่วยเพิ่มข้อมูลสำหรับการสังเกตได้เพียงระดับหนึ่ง ไม่ใช่เครื่องยืนยันที่แน่นอน เพราะระบบรุ่นใหม่สามารถเลียนแบบการเคลื่อนไหวหลายรูปแบบ และผู้โจมตีอาจใช้วิดีโอของคนจริงมาประกอบกับการสนทนา

ความเสี่ยงสูงขึ้นเมื่อการคอลมาพร้อมแรงกดดัน เช่น อ้างว่าเกิดอุบัติเหตุ ต้องจ่ายเงินด่วน บัญชีมีปัญหา ต้องย้ายเงินเพื่อความปลอดภัย หรือมีเจ้าหน้าที่กำลังรอการยืนยันข้อมูล คนร้ายใช้ใบหน้าที่คุ้นเคยเพื่อทำให้สมองลดการตรวจสอบ แล้วใช้ความเร่งรีบพาไปสู่การโอนเงินหรือเปิดเผยข้อมูลสำคัญ

รูปแบบหนึ่งอาจเริ่มจากข้อความสั้น ๆ ก่อน จากนั้นขอคุยผ่านวิดีโอเพื่อสร้างความน่าเชื่อถือ อีกแบบอาจปลอมเป็นผู้บริหาร เพื่อนร่วมงาน ญาติ เจ้าหน้าที่ธนาคาร หรือบุคคลที่มีอำนาจตัดสินใจ เป้าหมายมักไม่ใช่การพูดคุยนาน แต่คือการทำให้ผู้รับสายทำบางอย่างทันที

สัญญาณเตือนที่ควรหยุดตรวจสอบ ได้แก่ การเร่งให้โอนเงิน การขอเก็บเรื่องเป็นความลับ การเปลี่ยนบัญชีรับเงินกะทันหัน การขอรหัสใช้ครั้งเดียว การขอให้ติดตั้งแอปควบคุมเครื่อง การขอแชร์หน้าจอ หรือการปฏิเสธการโทรกลับผ่านหมายเลขเดิม แม้ใบหน้าและเสียงจะดูคุ้นเคยก็ตาม

วิธีตรวจสอบที่ปลอดภัยกว่าคือหยุดการสนทนาแล้วโทรกลับไปยังหมายเลขที่บันทึกไว้ก่อนหน้า ไม่ใช้หมายเลขหรือลิงก์ที่ปลายสายส่งมา หากเป็นญาติ ให้ติดต่อคนใกล้ตัวอีกคนเพื่อถามเหตุการณ์เดียวกัน หากเป็นเรื่องงาน ให้ใช้ช่องทางภายในที่องค์กรกำหนดและยืนยันกับผู้รับผิดชอบอีกชั้น

การถามคำถามลับที่ไม่เคยเผยแพร่บนสื่อสังคมช่วยได้มากกว่าการถามข้อมูลทั่วไป เช่น เหตุการณ์ในครอบครัวที่รู้กันเฉพาะกลุ่ม ชื่อเล่นของสัตว์เลี้ยง หรือสถานที่นัดหมายที่กำหนดไว้ล่วงหน้า แต่ไม่ควรใช้คำถามเดียวตลอดไป เพราะข้อมูลอาจหลุดออกมาได้

ครอบครัวสามารถกำหนดคำรหัสสำหรับเหตุฉุกเฉินและตกลงขั้นตอนยืนยันก่อนโอนเงินได้ เช่น ต้องโทรกลับจากหมายเลขเดิม ต้องให้บุคคลอีกคนรับรู้ หรือรอการยืนยันเป็นลายลักษณ์อักษร การมีขั้นตอนที่ตกลงไว้ล่วงหน้าช่วยลดการตัดสินใจภายใต้ความตกใจ

สำหรับองค์กร ควรแยกการประชุมออกจากการอนุมัติการเงิน ไม่อนุมัติรายการสำคัญจากคำสั่งในวิดีโอคอลเพียงครั้งเดียว และกำหนดให้มีการยืนยันผ่านระบบงานหรือผู้อนุมัติคนที่สอง การเห็นผู้บริหารบนหน้าจอไม่ควรแทนที่กระบวนการควบคุมภายใน

ข้อมูลที่ไม่ควรส่งระหว่างคอล ได้แก่ รหัสผ่าน รหัสใช้ครั้งเดียว เลขบัตรประชาชน ภาพบัตรธนาคาร รหัสเข้าระบบ ลายมือชื่อ และภาพหน้าจอแอปการเงิน ธนาคารหรือหน่วยงานที่น่าเชื่อถือไม่มีเหตุผลให้ขอรหัสลับเพื่อโอนเงินออกจากบัญชี

ควรตั้งค่าบัญชีสื่อสังคมให้เห็นข้อมูลส่วนตัวเท่าที่จำเป็น หลีกเลี่ยงการเผยแพร่คลิปที่เห็นใบหน้าชัดพร้อมเสียงพูดยาว ๆ และตรวจสอบสิทธิ์ของแอปที่เข้าถึงกล้อง ไมโครโฟน และคลังรูปภาพเป็นระยะ การลดวัตถุดิบที่ผู้โจมตีนำไปใช้ช่วยลดโอกาสการเลียนแบบ

หากสงสัยว่ากำลังคุยกับคนปลอม ให้จบสายโดยไม่ต้องถกเถียง เก็บภาพหน้าจอ ชื่อบัญชี หมายเลขโทรศัพท์ เวลา ลิงก์ และรายละเอียดการโอนเงินไว้ จากนั้นติดต่อธนาคารทันทีเพื่อขอระงับหรือเฝ้าระวังธุรกรรม พร้อมแจ้งเหตุผ่านช่องทางตำรวจไซเบอร์และระบบแจ้งความออนไลน์

หากมีการติดตั้งแอปแปลกปลอม ให้ตัดการเชื่อมต่ออินเทอร์เน็ตจากเครื่องนั้น เปลี่ยนรหัสผ่านด้วยอุปกรณ์ที่เชื่อถือได้ และแจ้งธนาคารหรือผู้ให้บริการบัญชีโดยเร็ว ไม่ควรลบหลักฐานก่อนจัดเก็บข้อมูล เพราะรายละเอียดเล็ก ๆ อาจช่วยติดตามเส้นทางการหลอกลวงได้

แก่นของการป้องกันไม่ใช่การพยายามจับผิดใบหน้าให้เก่งขึ้น แต่คือการไม่ให้ภาพบนหน้าจอเป็นหลักฐานเพียงชิ้นเดียว การยืนยันผ่านช่องทางที่รู้จัก การใช้คำรหัส การชะลอการโอนเงิน และการมีผู้ตรวจสอบอีกคน ยังเป็นแนวป้องกันที่ใช้ได้แม้เทคโนโลยีเลียนแบบจะพัฒนาเร็วขึ้น

วิดีโอคอลทำให้การสื่อสารสะดวก แต่ไม่ได้รับรองว่าคนปลายสายเป็นเจ้าของใบหน้า เสียง หรือบัญชีจริง ทุกคำขอที่เกี่ยวข้องกับเงิน ข้อมูลลับ และการติดตั้งโปรแกรม ควรผ่านการตรวจสอบซ้ำเสมอ โดยเฉพาะเมื่ออีกฝ่ายพยายามทำให้ตัดสินใจภายในเวลาไม่กี่นาที