ผู้ขายแจ้งเปลี่ยนเลขบัญชี ทางอีเมล ตรวจอย่างไรก่อนโอนเงิน

บทความนี้อธิบายว่าทำไมคำขอเปลี่ยนเลขบัญชีของผู้ขายจึงต้องตรวจทุกครั้ง สัญญาณของอีเมลปลอม ขั้นตอนตรวจก่อนแก้ข้อมูล การแบ่งหน้าที่ระหว่างคนแก้ข้อมูลกับคนอนุมัติจ่าย และสิ่งที่ควรทำทันทีเมื่อโอนเงินไปแล้ว

อีเมลขอเปลี่ยนเลขบัญชี เสี่ยงตรงไหน

ถ้าฝ่ายบัญชีแก้เลขบัญชีตามอีเมลที่ไม่ได้มาจากผู้ขายจริง เงินค่าสินค้างวดถัดไปจะเข้าบัญชีของคนอื่น และผู้ขายตัวจริงก็ยังไม่ได้รับเงิน

การหลอกแบบนี้บางแห่งเรียกว่า Business Email Compromise หรือ BEC คือคนร้ายใช้อีเมลที่ดูเหมือนมาจากคู่ค้า แล้วขอให้โอนเงินไปบัญชีใหม่ อีเมลอาจมาจากโดเมนที่สะกดคล้ายของจริง หรือมาจากกล่องอีเมลจริงของผู้ขายที่ถูกคนอื่นเข้าใช้ ในกรณีหลัง ที่อยู่ผู้ส่งจะตรงกับที่เคยติดต่อกันทุกตัวอักษร

ดังนั้นการดูว่าอีเมลมาจากที่อยู่เดิมหรือไม่ยังไม่พอ การตรวจที่ได้ผลคือยืนยันผ่านช่องทางอื่นที่กิจการรู้อยู่แล้วว่าเป็นของผู้ขายจริง

สัญญาณของอีเมลปลอมที่ควรหยุดดู

สัญญาณเหล่านี้ไม่ได้แปลว่าอีเมลปลอมเสมอไป แต่เจอข้อใดข้อหนึ่งควรหยุดและตรวจก่อนทำอะไรต่อ

• ที่อยู่อีเมลสะกดต่างไปเล็กน้อย เช่น (สมมติ) ผู้ขายใช้ billing@abcsupply.example มาตลอด แต่ฉบับนี้มาจาก billing@abcsuppIy.example (ตัว I ใหญ่แทนตัว l) หรือ billing@abcsupply-th.example
• ที่อยู่ตอบกลับ (Reply-To) ไม่ตรงกับผู้ส่ง กดตอบแล้วอีเมลไปอีกที่อยู่หนึ่ง
• เร่งให้โอนด่วน เช่น บอกว่าบัญชีเดิมถูกระงับ ต้องโอนวันนี้ ไม่อย่างนั้นจะหยุดส่งของ
• ขอให้เก็บเป็นความลับ หรือขอให้คุยทางอีเมลอย่างเดียว ไม่สะดวกรับโทรศัพท์
• ชื่อบัญชีใหม่ไม่ตรงกับชื่อผู้ขาย เช่น ผู้ขายเป็นบริษัท แต่บัญชีใหม่เป็นชื่อบุคคล หรือเป็นบัญชีของธนาคารในประเทศอื่นทั้งที่เคยโอนในประเทศมาตลอด
• ใบแจ้งหนี้ที่แนบมาหน้าตาเหมือนเดิม แต่เลขบัญชีเปลี่ยน หรือส่งใบแจ้งหนี้เป็นไฟล์ที่แก้ไขได้ เช่น ไฟล์ Word แทนไฟล์ PDF ที่เคยได้
• คำขอมาก่อนวันครบกำหนดจ่ายไม่นาน หรือมาพร้อมกับใบแจ้งหนี้ยอดสูงกว่าปกติ
• เบอร์โทรในลายเซ็นอีเมลเปลี่ยน จากเบอร์ที่เคยมี

ขั้นตอนตรวจ ก่อนแก้เลขบัญชีผู้ขาย

ขั้นตอนด้านล่างเป็นแนวปฏิบัติที่ดีด้านการควบคุมภายใน ไม่ใช่ข้อกำหนดของกฎหมาย กิจการควรเขียนไว้เป็นลายลักษณ์อักษรและใช้กับคำขอทุกครั้ง ไม่ว่ายอดเงินจะมากหรือน้อย

1. ไม่แก้ข้อมูลจากข้อความที่ได้รับ อีเมล ข้อความแชต หรือจดหมายแจ้งเปลี่ยนเลขบัญชี ให้ถือเป็นแค่ "คำขอ" ยังไม่ใช่ข้อมูลที่ใช้จ่ายเงินได้ และไม่ตอบกลับอีเมลฉบับนั้นเพื่อถามยืนยัน เพราะถ้าเป็นอีเมลปลอม คนที่ตอบก็คือคนร้าย
2. โทรกลับเบอร์ที่มีในระบบเดิม ใช้เบอร์ที่บันทึกไว้ในทะเบียนผู้ขาย สัญญา หรือเอกสารที่ได้มาก่อนคำขอนี้ ไม่ใช้เบอร์ในอีเมลแจ้งเปลี่ยน ในลายเซ็นอีเมล หรือในเอกสารที่แนบมา ถ้าเป็นไปได้ให้คุยกับผู้ติดต่อที่ฝ่ายบัญชีเคยคุยด้วย ก่อนโทรให้ดูว่าเบอร์นี้ถูกแก้ในทะเบียนเมื่อไร ถ้าเพิ่งถูกแก้ไม่นาน ให้ใช้เบอร์จากสัญญาหรือเอกสารที่เก่ากว่านั้น หรือเบอร์กลางของบริษัทผู้ขายที่ค้นจากเว็บไซต์ของผู้ขายเอง ไม่ใช่จากลิงก์ในอีเมล
3. ถามให้ผู้ขายบอกข้อมูลเอง ให้ผู้ขายบอกเลขบัญชีใหม่ ชื่อบัญชี และธนาคารเอง แล้วเทียบกับที่อีเมลแจ้ง ไม่อ่านเลขให้เขายืนยันว่า "ใช่"
4. ขอเอกสารประกอบ เช่น หนังสือแจ้งเปลี่ยนบัญชีที่ลงนามโดยผู้มีอำนาจของผู้ขาย และสำเนาหน้าสมุดบัญชีที่ชื่อบัญชีตรงกับชื่อผู้ขาย เอกสารช่วยให้ตรวจชื่อบัญชีได้ แต่ปลอมได้เหมือนกัน จึงใช้ประกอบการโทรกลับ ไม่ใช้แทน
5. บันทึกผลการยืนยัน จดวันที่ เวลา เบอร์ที่โทร ชื่อคนที่คุยด้วย และชื่อพนักงานที่โทร แนบไว้กับคำขอ
6. ให้ผู้มีอำนาจอนุมัติก่อนแก้ คนอนุมัติควรเห็นทั้งคำขอ เอกสาร และบันทึกการโทรกลับ ระดับผู้อนุมัติของรายการแบบนี้ไม่ควรขึ้นกับยอดเงิน วิธีจัดระดับผู้อนุมัติดูได้ที่บทความ ตารางอำนาจอนุมัติ
7. แก้ข้อมูลในทะเบียนผู้ขาย แล้วให้อีกคนตรวจ คนที่ไม่ได้แก้เทียบข้อมูลในระบบกับเอกสารที่อนุมัติ ก่อนจ่ายเงินครั้งแรกเข้าบัญชีใหม่
8. ยืนยันอีกครั้งหลังจ่ายครั้งแรก โทรหาผู้ขายตามเบอร์เดิมเพื่อยืนยันว่าได้รับเงินในบัญชีใหม่แล้ว ถ้าผู้ขายบอกว่ายังไม่ได้รับ จะได้รู้ตัวเร็ว

คำขอเปลี่ยนเบอร์โทรหรืออีเมลผู้ติดต่อของผู้ขายควรผ่านขั้นตอนเดียวกัน เพราะถ้าเบอร์ในทะเบียนถูกแก้เป็นเบอร์ของคนร้ายก่อน การโทรกลับในครั้งต่อไปจะไม่มีความหมาย

แยกคนแก้ข้อมูลผู้ขาย กับคนอนุมัติจ่าย

ถ้าคนคนเดียวทั้งแก้เลขบัญชีผู้ขาย ทำรายการจ่าย และกดโอนเงินได้ ความผิดพลาดหรือการทุจริตจะผ่านไปโดยไม่มีใครเห็น

แบบประเมินความเพียงพอของระบบการควบคุมภายในของสำนักงาน ก.ล.ต. ข้อ 10.5 ถามว่ากิจการแบ่งแยกหน้าที่สามด้านออกจากกันโดยเด็ดขาดหรือไม่ เพื่อให้ตรวจสอบซึ่งกันและกัน คือ หน้าที่อนุมัติ หน้าที่บันทึกรายการบัญชีและข้อมูลสารสนเทศ และหน้าที่ดูแลจัดเก็บทรัพย์สิน แบบประเมินนี้เป็นเครื่องมือประเมินตนเองที่ทำขึ้นสำหรับบริษัทจดทะเบียน ไม่ใช่กฎหมายที่บังคับกิจการทั่วไป แต่หลักการใช้กับงานจ่ายเงินได้ เช่น

• คนแก้ข้อมูลหลักผู้ขาย (เพิ่มผู้ขาย แก้เลขบัญชี แก้เบอร์ผู้ติดต่อ) ไม่ควรเป็นคนอนุมัติจ่ายเงิน
• คนทำรายการจ่าย ไม่ควรเป็นคนอนุมัติรายการของตัวเอง
• คนกดโอนเงินในระบบธนาคาร ควรโอนตามรายการที่อนุมัติแล้วเท่านั้น และไม่ควรแก้ข้อมูลผู้รับเงินในระบบธนาคารเองได้โดยไม่มีคนอนุมัติ
• สิทธิในโปรแกรมบัญชี ควรกำหนดให้ตรงกับการแบ่งหน้าที่ข้างบน ไม่ให้ผู้ใช้คนเดียวมีสิทธิครบทุกขั้น

ถ้าโปรแกรมบัญชีมีรายงานประวัติการแก้ไขข้อมูลผู้ขาย ควรให้คนที่ไม่ได้แก้ข้อมูลเปิดดูเป็นประจำ เช่น ทุกเดือน และลงชื่อกำกับไว้ เรื่องการคุมสิทธิผู้ใช้และการแก้ข้อมูลหลักในระบบ อ่านต่อได้ที่บทความ IT Audit สำหรับนักบัญชี

กิจการที่มีพนักงานไม่กี่คน

ในกิจการเล็ก การแยกหน้าที่ให้ครบทุกขั้นอาจทำไม่ได้ ให้ใช้การควบคุมที่เจ้าของกิจการทำเองแทน เช่น

• เจ้าของกิจการเป็นคนโทรกลับยืนยันกับผู้ขายเอง หรืออย่างน้อยฟังผลการโทรและเห็นบันทึกก่อนอนุมัติ
• เจ้าของกิจการเป็นคนอนุมัติรายการโอนเงินในระบบธนาคาร และดูชื่อผู้รับเงินก่อนอนุมัติทุกครั้ง ถ้าระบบของธนาคารแสดงชื่อบัญชีผู้รับก่อนยืนยัน ให้เทียบกับชื่อผู้ขายในทะเบียน
• เจ้าของกิจการดูรายการเดินบัญชีธนาคารของกิจการเองทุกเดือน เทียบชื่อผู้รับเงินกับผู้ขายที่ควรได้รับเงิน
• ผู้ทำบัญชีหรือสำนักงานบัญชีแจ้งเจ้าของกิจการทุกครั้งที่เห็นผู้ขายรายเดิมได้รับเงินเข้าบัญชีที่ต่างจากเดิม

ถ้าโอนเงินไปแล้ว ทำอะไรทันที

ต้องรีบ เพราะเงินที่เข้าบัญชีปลายทางแล้วอาจถูกโอนต่อภายในเวลาไม่นาน

1. ติดต่อธนาคารของกิจการทันที แจ้งว่าการโอนรายการนี้เกิดจากการถูกหลอก และขอให้ระงับธุรกรรม ผู้แจ้งควรเป็นกิจการในฐานะเจ้าของบัญชี โดยผู้มีอำนาจของกิจการ
2. ร้องทุกข์ต่อพนักงานสอบสวนให้เร็วที่สุด ภายใน 72 ชั่วโมงตามที่ธนาคารแจ้ง เพราะการระงับธุรกรรมเป็นเพียงการระงับชั่วคราว
3. แจ้งผู้ขายตัวจริงผ่านเบอร์เดิม บอกว่าเกิดอะไรขึ้น เพราะเขายังไม่ได้รับเงิน และกล่องอีเมลของเขาอาจถูกคนอื่นเข้าใช้อยู่
4. หยุดรายการจ่ายที่รออยู่ ตรวจว่ามีรายการจ่ายอื่นที่ตั้งไว้เข้าบัญชีเดียวกันหรือไม่ และย้อนดูว่ามีผู้ขายรายอื่นที่ถูกแก้เลขบัญชีในช่วงเดียวกันหรือไม่
5. เก็บหลักฐาน เก็บอีเมลฉบับจริงไว้ในกล่องอีเมล ไม่ลบ ไม่ส่งต่อแทนการเก็บ รวมถึงไฟล์แนบ หลักฐานการโอน และบันทึกว่าใครทำอะไรเมื่อไร ถ้าแจ้งธนาคารทางโทรศัพท์ ให้ขอสำเนาบันทึกการรับแจ้ง หรือจดเลขรับเรื่อง วันเวลา และชื่อเจ้าหน้าที่ที่รับแจ้ง
6. ตรวจกล่องอีเมลของกิจการเอง ถ้ามีเหตุให้สงสัยว่าอีเมลของกิจการถูกเข้าใช้ ให้เปลี่ยนรหัสผ่านและตรวจการตั้งค่าส่งต่ออีเมลอัตโนมัติ

เรื่องการระงับธุรกรรม พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 มาตรา 7 กำหนดว่า เมื่อผู้เสียหายซึ่งเป็นผู้ถือบัญชีเงินฝากแจ้งสถาบันการเงินว่ามีการทำธุรกรรมโดยบัญชีของตนที่เข้าข่ายเกี่ยวข้องกับอาชญากรรมทางเทคโนโลยี ให้สถาบันการเงินระงับการทำธุรกรรมนั้นไว้ชั่วคราว ส่งข้อมูลผ่านระบบแลกเปลี่ยนข้อมูลเพื่อให้สถาบันการเงินผู้รับโอนทุกทอดทราบและระงับด้วย และแจ้งให้ผู้เสียหายไปร้องทุกข์ต่อพนักงานสอบสวนภายใน 72 ชั่วโมง มาตรา 8 ให้แจ้งทางโทรศัพท์หรือวิธีการทางอิเล็กทรอนิกส์ก็ได้

พระราชกำหนดเดียวกันนิยามอาชญากรรมทางเทคโนโลยีรวมถึงความผิดฐานฉ้อโกงที่ใช้ระบบคอมพิวเตอร์เป็นเครื่องมือ กรณีของกิจการจะเข้าข่ายหรือไม่ ขึ้นกับข้อเท็จจริงที่แจ้งต่อธนาคารและพนักงานสอบสวน กิจการไม่ควรรอให้แน่ใจก่อนจึงค่อยแจ้ง

ทบทวนการควบคุมของกิจการ

แบบประเมินของ ก.ล.ต. ข้อ 8.1 ถามว่ากิจการประเมินโอกาสที่จะเกิดการทุจริตหรือไม่ โดยยกตัวอย่างการทำให้สูญเสียทรัพย์สิน และการได้มาหรือใช้ไปซึ่งทรัพย์สินโดยไม่ถูกต้อง การโอนเงินเข้าบัญชีที่ไม่ใช่ของผู้ขายเป็นความเสี่ยงที่ควรอยู่ในรายการที่กิจการประเมิน

คำถามที่ใช้ทบทวนได้ทันที เช่น

• ใครแก้เลขบัญชีผู้ขายในโปรแกรมบัญชีได้บ้าง และใครแก้ข้อมูลผู้รับเงินในระบบธนาคารได้บ้าง
• ปีที่ผ่านมามีการแก้เลขบัญชีผู้ขายกี่ครั้ง ทุกครั้งมีบันทึกการโทรกลับและผู้อนุมัติหรือไม่
• เบอร์ที่ใช้โทรกลับมาจากทะเบียนผู้ขายเดิมจริงหรือไม่
• พนักงานใหม่ในฝ่ายบัญชีรู้ขั้นตอนนี้หรือไม่

ขั้นตอนเหล่านี้ตรงกับองค์ประกอบด้านการประเมินความเสี่ยง กิจกรรมการควบคุม ข้อมูลและการสื่อสาร และการติดตาม ในการควบคุมภายใน 5 องค์ประกอบตามกรอบ COSO

ข้อควรระวัง

ความผิดพลาดที่ทำให้เงินเข้าบัญชีคนร้าย มักเป็นข้อใดข้อหนึ่งต่อไปนี้

• อย่าตอบกลับอีเมลเพื่อถามยืนยัน ถ้าอีเมลปลอม คนที่ตอบยืนยันคือคนร้าย
• อย่าโทรเบอร์ที่อยู่ในอีเมลหรือเอกสารแจ้งเปลี่ยน เบอร์นั้นอาจเป็นของคนร้าย ใช้เบอร์ที่มีอยู่ก่อนคำขอเท่านั้น
• อย่าเชื่อเพียงเพราะที่อยู่อีเมลตรงกับของเดิม อีเมลจากกล่องจริงของผู้ขายก็อาจถูกคนอื่นส่งได้
• อย่าแก้เลขบัญชีเฉพาะในการจ่ายครั้งนี้ โดยไม่ผ่านขั้นตอนแก้ข้อมูลผู้ขาย การจ่ายแบบนี้ข้ามทั้งการโทรกลับและการอนุมัติ
• อย่าข้ามขั้นตอนเพราะถูกเร่ง การเร่งเป็นสัญญาณหนึ่งของอีเมลปลอม จึงต้องทำครบทุกขั้นเหมือนคำขออื่น

บทความนี้เรียบเรียงจากแบบประเมินความเพียงพอของระบบการควบคุมภายในของ ก.ล.ต. และพระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี ณ ปี 2569 ขั้นตอนตรวจเป็นคำแนะนำ ไม่ใช่ข้อกฎหมาย ชื่อและโดเมนในตัวอย่างเป็นของสมมติ แนะนำให้ตรวจสอบตัวบทล่าสุดที่ราชกิจจานุเบกษา และเมื่อเกิดเหตุให้ติดต่อธนาคารของกิจการก่อนเสมอ

เปิดอ่านเอกสารต้นฉบับ: พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 (ราชกิจจานุเบกษา), ฉบับที่ 2 พ.ศ. 2568 (ราชกิจจานุเบกษา) และ แบบประเมินความเพียงพอของระบบการควบคุมภายใน สำนักงาน ก.ล.ต. (ไฟล์ PDF)