บัตรเครดิตแบบ ‘แตะเพื่อจ่าย’ ใช้งานง่าย แต่ก็เพิ่มความเสี่ยงเงินหายออกจากบัญชีได้ถ้าไม่ระวัง

ไม่นานมานี้ มีการเปิดเผยถึงข้อมูลของการโจมตีด้วยมัลแวร์ Prilex ที่มุ่งจู่โจมไปที่การจ่ายเงินผ่าน บัตรเครดิตแบบ ‘แตะเพื่อจ่าย’ โดยมีเป้าหมายเพื่อขโมยข้อมูลทางการเงินของบัตรเครดิต และนำไปสร้างบัตรเครดิตปลอม (cloning) ที่สามารถใช้งานได้จริง

บัตรเครดิตแบบ ‘แตะเพื่อจ่าย’ (Tap-to-pay Contactless Credit Card)

ก่อนอื่น มาทำความเข้าใจก่อนว่าอะไรคือรูปแบบการชำระเงินด้วย บัตรเครดิตแบบ ‘แตะเพื่อจ่าย’ และมีที่มาอย่างไร

การแพร่ระบาดเชื้อไวรัส Covid-19 ในช่วงหลายปีที่ผ่านมา ทำให้เกิดการรณรงค์ลดการสัมผัสเพื่อเลี่ยงการติดเชื้อ นำมาสู่สังคมไร้เงินสด (Cashless Society) ทำให้การจ่ายเงินแบบ สแกน QR code พร้อมเพย์ และบัตรเครดิต กลายเป็นที่นิยมอย่างมาก

การชำระเงินด้วยบัตรเครดิตแบบแตะเพื่อจ่าย เป็นอีกช่องทางที่ได้รับความนิยมเนื่องจากความสะดวกในการใช้งาน ที่เพียงนำบัตรเครดิตของลูกค้าไปแตะบนเครื่องตัดบัตร ยอดเงินก็จะถูกตัดไปชำระค่าบริการทันที 

เครื่องตัดบัตรที่เราคุ้นหน้าคุ้นตากัน ล้วนมีการทำงานโดยใช้เทคโนโลยีการสื่อสารระยะสั้น (Near Field Communication – NFC) ที่ทำงานโดยใช้คลื่นวิทยุไร้สายในการสื่อสารกับวัตถุที่อยู่ใกล้กัน เพื่อทำการรับ-ส่ง ข้อมูลซึ่งกันและกัน

ตัวอย่างเช่น เมื่อนำบัตรเครดิตแตะลงบนเครื่องตัดบัตรแล้ว จะมีการส่งข้อมูลบนบัตรเครดิตของเราให้กับเครื่องตัดบัตรเพื่อรับข้อมูล ก่อนจะหักยอดชำระค่าบริการของเราออกไป 

ตัวอย่างการทำงานของอุปกรณ์รับข้อมูลแบบ NFC กับวัตถุประเภทต่างๆ (ที่มา: Kaspersky)

รูปแบบการโจมตีผ่านการจ่ายเงินแบบแตะเพื่อจ่าย (Tap-to-Pay)

ขั้นตอนการส่งข้อมูลไปยังเครื่องตัดบัตรนี้เองที่เป็นช่องทางให้เกิดการขโมยข้อมูลโดยใช้มัลแวร์รูปแบบต่าง ๆ ได้ หนึ่งในนั้นคือ Prilex

สำหรับ Prilex เป็นมัลแวร์ที่พัฒนาต่อยอดมาจากมัลแวร์โจมตีเครื่อง ATM (ATM-Focused Malware) กลายมาเป็นมัลแวร์โจมตีจุดชำระเงิน (PoS Malware) 

การทำงานของมันคือก่อกวนให้เกิดช่องโหว่ในขณะทำธุรกรรมทางการเงิน เช่น ที่เครื่องตัดบัตรเครดิต โดยเป้าหมายหลักของ Prilex ก็เพื่อขโมยข้อมูลของเหยื่อ ณ จุดชำระเงิน ไม่ว่าจะเป็นการชำระเงินด้วยบัตรเครดิตแบบแตะเพื่อจ่าย หรือการสแกนจ่าย เป็นต้น

Prilex จะเข้าไปแฝงตัวอยู่ในเครื่องอ่านข้อมูล NFC หรือเครื่องตัดบัตร ซึ่งเมื่อมีการชำระเงินผ่านเครื่องตัดบัตรนั้น เครื่องจะทำการโชว์ข้อความที่แสดงถึงความขัดข้องในการทำธุรกรรม ดังภาพที่แสดงด้านล่าง  

ข้อความปลอมจาก Prilex ที่โชว์ขึ้นเพื่อให้นำบัตรตัวจริงใส่เข้าไปในเครื่องตัดบัตร แสดงข้อความ “Contactless error, insert your card” (ที่มา: Kaspersky)

ข้อความดังกล่าวจะบังคับให้เหยื่อ นำบัตรเครดิตใส่เข้าไปในเครื่องแล้วกรอกรหัสยืนยันการทำธุรกรรม หลังจากกรอกรหัสแล้ว ข้อมูลการทำธุรกรรมและข้อมูลต่างๆ บนบัตรเครดิต จะถูกส่งไปยังแฮกเกอร์ ก่อนที่ตัวแฮ็กเกอร์จะส่งข้อมูลปลอมไปให้เครื่องตัดบัตรแทน ทำให้การทำธุรกรรมดำเนินต่อไปได้อย่างราบรื่น  

ด้วยวิธีนี้เองแฮกเกอร์จึงสามารถเก็บข้อมูลการทำธุรกรรม และข้อมูลบนบัตรเครดิตของเหยื่อไปได้อย่างแนบเนียน โดยที่เหยื่อไม่รู้สึกเอะใจแม้แต่น้อย!!

ภาพการส่งข้อมูลบัครเครดิตไปยัง Prilex ก่อนการส่งต่อไปยัง POS หรือเครื่องตัดบัตรเครดิต (ที่มา: Kaspersky) 

จากนั้นจะนำข้อมูลบัตรเครดิตที่ขโมยมาได้ไปทำการโคลนบัตรเครดิตใบใหม่ขึ้นมา ซึ่งสามารถใช้ทำธุรกรรมได้เหมือนบัตรเครดิตจริง ๆ

โดยมีกรณีศึกษาของธนาคารจากประเทศเยอรมนี ที่มีคนร้ายใช้บัตรเครดิตปลอมรูดเงินออกจากธนาคารไปได้ เป็นจำนวนเงินมากกว่า 1.5 ล้านเหรียญ หรือราว 51 ล้านบาท

การขโมยเงินจากธนาคาร OLB ในประเทศเยอรมนี โดยการโคลนนิ่งบัตรเดบิต 

ช่วงปลายเดือนสิงหาคม 2019 เกิดกรณีการถอนเงินจากบัตรเดบิตของธนาคาร  Oldenburgische Landesbank (OLB) ไปจำนวนมากถึง 1.65 ล้านเหรียญ หรือราว ๆ 57 ล้านบาท โดยมีหลักฐานแสดงว่าบัตรเดบิตดังกล่าวได้ถูกนำไปใช้ทำการถอนเงินในประเทศบราซิล 

หลังจากเหตุการณ์ดังกล่าวเกิดขึ้น ได้มีการตรวจสอบจากธนาคารและพบว่าบัตรเดบิตเหล่านั้นเป็นบัตรที่โคลนนิ่ง หรือปลอมแปลงมาจากบัตรเดบิตของจริงซึ่งคาดว่าเกิดจากการโจรกรรมข้อมูลโดยใช้ Prilex 

ทางธนาคารได้ทำการอายัดบัตรเดบิตที่มีความเกี่ยวข้อง และให้เงินชดเชยกับผู้เสียหายทั้งหมด 2,000 คน อีกทั้งได้ออกมาให้คำยืนยันกับสื่อแล้วว่าธนาคารไม่ได้ถูกแฮคหรือเจาะระบบอย่างแน่นอน

บัตรเครดิตอาจถูกดึงเงินออกไปโดยไม่รู้ตัว!

อย่างไรก็ดีมีการศึกษาจาก เลห์-แอนน์ กัลโลเวย์ (Leigh-Anne Galloway) และ ทิม ยูนูซอฟ (Tim Yunusov) จากบริษัทไซเบอร์ Positive Technologies แสดงความน่ากังวลของการใช้บัตรเครดิตแบบ แตะเพื่อจ่าย ที่ทำให้คนร้ายสามารถแอบดึงเงินของเราไปได้แบบไม่รู้ตัว

จากการศึกษาพบว่าคนร้ายสามารถสร้างเครื่องอ่านบัตรเครดิตปลอม เพื่อใช้แอบขโมยเงินในบัญชีของเราได้ โดยอาจอาศัยเพียงช่วงเวลาสั้น ๆ เพื่อแอบแตะบัตร เช่น ขณะที่ยืนชิดกันในที่คับแคบ หรือขณะที่เราวางกระเป๋าเงินที่มีบัตรเครดิตไว้บนโต๊ะที่โล่งแจ้ง

คนร้ายจะใช้เครื่องอ่านบัตรเครดิตปลอมมาแตะกับบัตรเครดิตของเรา เพื่อดึงเงินออกจากบัญชี โดยที่ไม่ต้องใช้รหัส OTP หรือการยืนยันตัวตนอื่น ๆ ของเราเลยในการทำธุรกรรม เนื่องจากเครื่องตัดบัตรปลอมนั้นจะส่งข้อความปลอมไปยังตัวบัตรเครดิต ว่าไม่ต้องการการยืนยันตัวตนจากเจ้าของบัตร

จากสถานการณ์ดังกล่าว ทำให้คนร้ายสามารถดึงเงินออกจากบัญชีเราทีละน้อย ๆ เป็นจำนวนหลายครั้งเพื่อความแนบเนียน และกว่าเจ้าของบัตรจะรู้ตัว ก็อาจสูญเสียเงินเป็นจำนวนมากแล้วนั่นเอง

เราสามารถป้องกันตัวจากการถูกโจรกรรมข้อมูลบนบัตรเครดิตได้หรือไม่?

ในการใช้งานบัตรเครดิตแบบแตะเพื่อจ่าย ควรมีความระมัดระวังในการทำธุรกรรม ณ สถานที่แปลกตา หรือมีคนน้อยเพื่อลดความเสี่ยงของการบังเอิญไปใช้งานกับเครื่องตัดบัตรที่ถูกมัลแวร์ Prilex แฝงตัวอยู่

ในส่วนของตัวบัตรเครดิตเอง ควรถูกเก็บไว้อย่างมิดชิดในบรรจุภัณฑ์ที่สามารถป้องกันการรับสัญญาณวิทยุไร้สายได้ เช่น กระเป๋าบล็อกสัญญาณวิทยุ RFID เป็นต้น เพื่อป้องกันการถูกตัดบัตรในที่สาธารณะ

นอกจากนี้ยังควรเพิ่มความปลอดภัยโดยการเข้ารหัสแบบหลายชั้น (Multifactor Authentication) และอัปเดตข้อมูลระบบ/เฟิร์มแวร์ ให้ทันสมัยอย่างสม่ำเสมอ เพื่อเสริมความปลอดภัยให้กับข้อมูลของตัวผู้ใช้เอง และเพื่อเลี่ยงการตกเป็นเหยื่อของการถูกโจรกรรมข้อมูลทางด้านไซเบอร์

ที่มา fintech, securelist, etda, trend micro, techrepublic, zdnet, kaspersky, cyfence, forbes

พิสูจน์อักษร : สุชยา เกษจำรัส