สิงคโปร์รั้งอันดับสองของโลกด้านบัตรชำระเงินที่ถูกขโมย ขณะที่การซื้อขายบนดาร์กเว็บขยายตัว

การใช้เทคโนโลยีดิจิทัลอย่างแพร่หลายในสิงคโปร์เพิ่มความเสี่ยง ไม่ใช่จุดอ่อน

สิงคโปร์อยู่ในอันดับสองของโลกเมื่อพิจารณาจากสัดส่วนบัตรชำระเงินที่ถูกขโมยและนำไปขายในตลาดดาร์กเว็บ ตามหลังสหรัฐฯ และแซงหน้าสเปน ข้อมูลนี้มาจากการวิเคราะห์บันทึกข้อมูลบัตรราว 50,700 รายการที่แพลตฟอร์มประเมินความเสี่ยงภัยคุกคามรวบรวมไว้ในเดือนพฤษภาคม 2025 ในกลุ่มตัวอย่าง บัตรที่ถูกขโมยมากกว่า 60 เปอร์เซ็นต์เป็นของผู้ใช้ในสหรัฐฯ ราว 11 เปอร์เซ็นต์เป็นของผู้ใช้ในสิงคโปร์ และประมาณ 10 เปอร์เซ็นต์เป็นของผู้ใช้ในสเปน

ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่าอันดับดังกล่าวสะท้อนขนาดและระดับการใช้ดิจิทัล ไม่ได้หมายความว่าระบบธนาคารของสิงคโปร์ไม่ปลอดภัยเป็นพิเศษ สิงคโปร์มีอัตราการชำระเงินออนไลน์ การใช้กระเป๋าเงินดิจิทัลบนมือถือ และการซื้อขายออนไลน์ข้ามพรมแดนสูงที่สุดแห่งหนึ่งในเอเชีย การมีร่องรอยดิจิทัลมากขึ้นเปิดโอกาสให้มิจฉาชีพเก็บข้อมูลบัตรได้มากขึ้น แม้ธนาคารและร้านค้าจะมีมาตรการควบคุมที่เข้มงวดก็ตาม

ราคาในตลาดเหล่านี้เพิ่มขึ้นในช่วงสองปีที่ผ่านมา นิวซีแลนด์มีราคาพุ่งสูงที่สุด มากกว่า 444 เปอร์เซ็นต์ โดยมีรายงานว่าราคาในอาร์เจนตินาและโปแลนด์ก็เพิ่มขึ้นมากเช่นกัน แม้ราคาสูงขึ้น ข้อมูลบัตรที่ถูกขโมยก็ยังมีราคาไม่แพงสำหรับมิจฉาชีพระดับล่าง บัตรหนึ่งใบมักมีราคาใกล้เคียงกับตั๋วชมภาพยนตร์ ราคาเฉลี่ยทั่วโลกอยู่ที่ราว 9 ดอลลาร์สหรัฐฯ แต่แตกต่างกันมากในแต่ละประเทศ ในเอเชีย บัตรญี่ปุ่นมีราคาเฉลี่ยสูงที่สุดที่ประมาณ 22.80 ดอลลาร์สหรัฐฯ ตามด้วยคาซัคสถานที่ 16.87 ดอลลาร์สหรัฐฯ และไทยที่ 15.08 ดอลลาร์สหรัฐฯ บัตรที่ออกในสิงคโปร์มีราคาเฉลี่ยราว 13.19 ดอลลาร์สหรัฐฯ เพิ่มขึ้นประมาณ 29 เปอร์เซ็นต์จากปี 2023 ส่วนในยุโรป ราคาในสเปน ฝรั่งเศส และสวิตเซอร์แลนด์กระจุกอยู่ที่ราว 11-12 ดอลลาร์สหรัฐฯ

ตลาดบัตรที่ถูกขโมยทำงานอย่างไร

ดาร์กเว็บคือกลุ่มบริการที่ซ่อนอยู่ ซึ่งใช้ซอฟต์แวร์ปกปิดตัวตนและตำแหน่งที่ตั้ง มีตลาดที่ผู้ขายลงประกาศขายหมายเลขบัตรที่ถูกขโมย วันหมดอายุ และบางครั้งขายข้อมูลครบชุดที่มีรหัส CVV ที่อยู่เรียกเก็บเงิน และลายนิ้วมืออุปกรณ์ ข้อมูลเหล่านี้ได้มาจากมัลแวร์ในอุปกรณ์ของผู้บริโภค หน้าเว็บฟิชชิงที่เลียนแบบเว็บไซต์ธนาคารและร้านค้า การเจาะระบบของร้านค้า และผู้ให้บริการประมวลผลการชำระเงินภายนอกที่ถูกเจาะระบบ

บัตรในตลาดเหล่านี้ขายทั้งแบบยกชุดและแยกใบ ผู้ขายมักติดป้ายกำกับประกาศตามธนาคารผู้ออกบัตร ประเทศ และการรองรับการยืนยันตัวตนแบบ 3D Secure ผู้ซื้อจะทดลองทำธุรกรรมเล็กน้อยก่อน แล้วจึงพยายามซื้อบัตรของขวัญ ตั๋วเครื่องบิน หรือสินค้าที่นำไปขายต่อได้ งานวิจัยในอุตสาหกรรมระบุว่า รายละเอียดบัตรจำนวนมากที่ลงประกาศยังใช้ได้เป็นเวลาหลายเดือน ทำให้มิจฉาชีพมีเวลามากพอที่จะเปลี่ยนข้อมูลเป็นเงิน หากการเรียกเก็บเงินเพื่อทดสอบในช่วงแรกไม่กระตุ้นระบบตรวจจับการฉ้อโกง

อุปทาน อุปสงค์ และราคา

ราคาขึ้นอยู่กับอุปสงค์และอุปทานอย่างตรงไปตรงมา หากมีข้อมูลบัตรจำนวนมาก หรือธนาคารมีระบบควบคุมการฉ้อโกงที่เข้มงวด บัตรก็จะมีราคาถูกกว่า หากข้อมูลมีจำกัดและการตรวจสอบป้องกันการฉ้อโกงเข้มงวด บัตรจะมีราคาแพงขึ้น เพราะการฉ้อโกงให้สำเร็จต้องเตรียมการและใช้ความอดทนมากกว่า กลไกนี้อธิบายได้ว่าทำไมบัตรญี่ปุ่นจึงมีราคาแพงที่สุดกลุ่มหนึ่ง และเหตุใดประเทศที่มีบัตรลงขายจำนวนมากอย่างสิงคโปร์จึงมีราคาเฉลี่ยปานกลาง แม้มีสัดส่วนสูงในกลุ่มตัวอย่างทั้งหมด

เหตุใดสิงคโปร์จึงมีสัดส่วนบัตรที่ถูกขโมยสูง

สิงคโปร์เป็นศูนย์กลางทางการเงินและโลจิสติกส์ที่มีผู้ถือบัตรจำนวนมาก และร้านค้าแทบทุกแห่งยอมรับการชำระเงินแบบไร้สัมผัส ผู้บริโภคซื้อสินค้าออนไลน์จากร้านค้าในประเทศและต่างประเทศ จ่ายค่าเดินทางและค่าอาหารด้วยกระเป๋าเงินดิจิทัลบนมือถือ และเดินทางบ่อย สิ่งเหล่านี้ทำให้เกิดธุรกรรมที่ถูกต้องตามกฎหมายจำนวนมหาศาล รวมถึงโปรไฟล์บัตรที่จัดเก็บไว้ในบริการหลากหลายรูปแบบ มิจฉาชีพเก็บข้อมูลในวงกว้างจากชุดเครื่องมือฟิชชิงที่มุ่งเป้าไปยังธนาคารในภูมิภาค และจากมัลแวร์ที่กวาดข้อมูลเข้าสู่ระบบและข้อมูลกรอกอัตโนมัติที่บันทึกไว้ในเบราว์เซอร์

การใช้การชำระเงินผ่านมือถือแบบโทเคนที่แพร่หลายยังทำให้รูปแบบการฉ้อโกงเปลี่ยนไป เมื่อธนาคารและร้านค้าสกัดกั้นการฉ้อโกงที่ไม่ต้องแสดงบัตร มิจฉาชีพก็หันไปใช้ช่องทางอื่น เช่น เพิ่มบัตรที่ถูกขโมยลงในกระเป๋าเงินบนโทรศัพท์ หรือหลอกร้านค้าระหว่างทำธุรกรรมต่อหน้า สัดส่วนบัตรที่ออกในสิงคโปร์ซึ่งพบในร้านค้าผิดกฎหมายสะท้อนพื้นที่โจมตีที่กว้าง ไม่ใช่การขาดมาตรการป้องกัน

ระบบป้องกันการฉ้อโกงจำกัดการทำกำไร

ธนาคารในสิงคโปร์ใช้มาตรการป้องกันหลายชั้น ระบบติดตามธุรกรรมจะตรวจจับหมวดหมู่ร้านค้าหรือตำแหน่งที่ตั้งที่ผิดปกติ ระบบ 3D Secure กำหนดให้การซื้อสินค้าออนไลน์จำนวนมากผ่านการยืนยันตัวตนเพิ่มเติม การแจ้งเตือนมาถึงภายในไม่กี่วินาที ทำให้ผู้ถือบัตรและธนาคารมีโอกาสอายัดบัตรได้อย่างรวดเร็ว มาตรการเหล่านี้ ประกอบกับสิทธิในการขอคืนเงินจากรายการเรียกเก็บที่มีปัญหาที่เข้มแข็ง เพิ่มต้นทุนและความเสี่ยงให้มิจฉาชีพ นี่เป็นเหตุผลหนึ่งที่บัตรซึ่งออกในสิงคโปร์ แม้พบได้ทั่วไปบนดาร์กเว็บ แต่ไม่ได้มีราคาสูงสุดในตลาด

จากฟิชชิงสู่การแตะจ่ายหลอกลวง: มิจฉาชีพเปลี่ยนข้อมูลเป็นเงินอย่างไร

ฟิชชิงยังเป็นจุดเริ่มต้นของหลายกรณี ผู้โจมตีส่งข้อความปลอมแจ้งการจัดส่งหรือเตือนความปลอดภัยจากธนาคาร แล้วล่อเหยื่อไปยังหน้าเข้าสู่ระบบที่ขโมยข้อมูลบัตรและบัญชี มัลแวร์ขโมยข้อมูล เช่น Racoon, Azorult และตระกูลอื่น ๆ แอบเก็บข้อมูลเข้าสู่ระบบและข้อมูลในแบบฟอร์มที่บันทึกไว้ในเบราว์เซอร์ ข้อมูลระบุตัวตนที่ถูกขโมย รวมถึงหมายเลขบัตรประจำตัวประชาชนและภาพเซลฟีที่เก็บไว้เพื่อใช้ตรวจสอบรู้จักลูกค้า ถูกเผยแพร่ในเว็บบอร์ดใต้ดิน ข้อมูลเหล่านี้ช่วยให้มิจฉาชีพเปิดบัญชีม้า ฟอกเงิน และพยายามเข้าควบคุมบัญชี

การใช้กระเป๋าเงินดิจิทัลบนมือถือในทางมิชอบและการฉ้อโกงในร้านค้า

กลวิธีที่แพร่หลายขึ้นคือการนำข้อมูลบัตรที่ถูกขโมยไปเชื่อมกับ Apple Pay หรือ Google Pay บนโทรศัพท์ใช้แล้วทิ้งเพื่อซื้อสินค้าในร้าน นักวิเคราะห์เรียกส่วนหนึ่งของระบบนี้ว่า ghost tapping เพราะมิจฉาชีพอาจส่งต่อสัญญาณไร้สัมผัส หรือตั้งค่าบัตรที่ถูกขโมยไว้ล่วงหน้าแล้วส่งโทรศัพท์ให้ผู้ซื้อที่ถูกเกณฑ์มา เครือข่ายอาชญากรรมประสานงานตั้งแต่การเกณฑ์บัญชีม้าและวางแผนการตระเวนซื้อสินค้า ไปจนถึงการนำสินค้าไปขายต่อผ่าน Telegram หรือแพลตฟอร์มอีคอมเมิร์ซ รายงานระบุว่าเกิดความเสียหายจากการค้าปลีกมูลค่าสูงในสิงคโปร์ โดยบัญชีม้าปลอมตัวเป็นนักท่องเที่ยวและเคลื่อนย้ายระหว่างร้านอย่างรวดเร็ว ในช่วงปลายปี 2024 ตำรวจบันทึกคดีฟิชชิงบัตรเครดิตและกลโกงกระเป๋าเงินดิจิทัลบนมือถืออย่างน้อย 656 คดี สร้างความเสียหาย 1.2 ล้านดอลลาร์สิงคโปร์ในช่วงสามเดือน

คดีล่าสุดในสิงคโปร์เผยให้เห็นรูปแบบการก่อเหตุ

ศาลพิจารณาคดีหลายคดีที่มีรูปแบบคล้ายกับวิธีการเหล่านี้ ในคดีหนึ่ง ชายชาวจีนวัย 29 ปีถูกจำคุก 30 เดือน ฐานใช้ข้อมูลบัตรที่ถูกขโมยซื้อ iPhone 16 จำนวน 20 เครื่อง มูลค่ารวมกว่า 40,000 ดอลลาร์สิงคโปร์ภายในสามวัน เขาได้รับโทรศัพท์ที่มีแอปสำหรับโหลดข้อมูลบัตรที่ถูกขโมยจากการฟิชชิงเข้ามาจากระยะไกล มีการซื้อสินค้าจากร้านอุปกรณ์อิเล็กทรอนิกส์รายใหญ่ นำโทรศัพท์ไปขายต่อแลกเงินสด และส่งเงินให้ผู้ควบคุมเครือข่าย

อีกคดีหนึ่ง หญิงชาวมาเลเซียวัย 25 ปีถูกตัดสินโทษฐานช่วยขาย iPhone ที่ซื้อด้วยข้อมูลบัตรซึ่งโหลดไว้ในกระเป๋าเงินดิจิทัลบนมือถือ คู่ของเธอซื้อสินค้าหลายครั้งจากร้าน Apple โดยใช้บัตรเสมือนที่เชื่อมโยงกับเหยื่อ การแจ้งเตือนจากธนาคารทำให้เหยื่อทราบเรื่อง และตำรวจเข้าขัดขวางก่อนทั้งคู่จะเดินทางออกนอกประเทศพร้อมเงินที่เหลือ คดีเหล่านี้สะท้อนให้เห็นว่าเครือข่ายอาชญากรรมข้ามชาติส่งผู้ปฏิบัติการไปตระเวนซื้อสินค้ามูลค่าสูงอย่างรวดเร็ว

ความเสี่ยงจากคนในและการจัดการข้อมูลที่หละหลวม

ความเสี่ยงยังเกิดขึ้นภายในองค์กรด้วย อดีตพนักงานธนาคารในสิงคโปร์ถูกตัดสินว่ามีความผิดฐานเปิดเผยข้อมูลลูกค้ามากกว่า 1,000 ราย หลังถูกหลอกโดยผู้โทรที่แอบอ้างเป็นตำรวจต่างชาติ แม้เหตุการณ์อีกกรณีหนึ่งที่บริษัทจัดจำหน่ายรถยนต์รายใหญ่จะไม่เกี่ยวข้องกับหมายเลขบัตรเครดิตหรือบัตรเดบิต แต่การรั่วไหลที่เปิดเผยข้อมูลลูกค้า 147,000 รายแสดงให้เห็นว่าข้อมูลส่วนบุคคลแพร่กระจายอย่างไรเมื่อผู้โจมตีเจาะเข้าสู่ระบบได้ เอกสารและข้อมูลระบุตัวตนช่วยให้มิจฉาชีพผ่านการตรวจสอบยืนยันหรือคำถามท้าทายเพื่อหลอกลวงทางสังคมได้

ธนาคาร ร้านค้า และหน่วยงานกำกับดูแลกำลังรับมืออย่างไร

ธนาคารยังคงเพิ่มความเข้มงวดในการควบคุมการเพิ่มบัตรเข้าไปในกระเป๋าเงินดิจิทัลบนมือถือ ระบบวิเคราะห์ความเสี่ยงของอุปกรณ์จะตรวจสอบว่าโทรศัพท์ที่ขอโทเคนเคยถูกใช้งานมาก่อนหรือไม่ ผ่านการเจลเบรกหรือไม่ และคำขอสอดคล้องกับโปรไฟล์ลูกค้าหรือไม่ ธนาคารผู้ออกบัตรบางแห่งให้ลูกค้ายืนยันการเชื่อมกระเป๋าเงินใหม่ผ่านแอปธนาคารแทน SMS เพื่อลดความเสี่ยงจากการหลอกลวงทางสังคม การวิเคราะห์ข้อมูลแบบเรียลไทม์และโมเดลแมชชีนเลิร์นนิงช่วยสกัดกั้นรายการซื้อที่น่าสงสัยตั้งแต่ขั้นตอนอนุมัติธุรกรรม

ร้านค้ากำลังเพิ่มความเข้มงวดในการตรวจสอบ ณ จุดขาย การฝึกอบรมพนักงานเน้นสัญญาณเตือน เช่น การพยายามทำรายการไม่สำเร็จซ้ำ ๆ ลูกค้าเปลี่ยนใช้โทรศัพท์หรือบัตรหลายใบ และการพยายามแบ่งการซื้อสินค้ามูลค่าสูงออกเป็นธุรกรรมย่อยหลายรายการ ร้านค้าสามารถขอตรวจบัตรประจำตัวเมื่อซื้ออุปกรณ์อิเล็กทรอนิกส์ราคาแพง ประสานงานใกล้ชิดกับธนาคารผู้รับชำระเงิน และเตรียมหลักฐานจากกล้องวงจรปิดไว้สำหรับการสอบสวนอย่างรวดเร็ว ผู้ให้บริการชำระเงินกำลังปรับกฎเพื่อตรวจจับชุดร้านค้าและอุปกรณ์ที่มีความเสี่ยง ซึ่งบ่งชี้ถึงการตระเวนซื้อสินค้าอย่างเป็นขบวนการ

การบังคับใช้กฎหมายและความร่วมมือข้ามพรมแดน

ปฏิบัติการร่วมที่มีธนาคาร เครือข่ายบัตร สายการบิน และตำรวจเข้าร่วม ได้ผลในการปราบปรามการฉ้อโกงบางประเภท ในปฏิบัติการ Airport Action Days ก่อนหน้านี้ เจ้าหน้าที่ควบคุมตัวนักเดินทางหลายสิบคนที่พยายามใช้ข้อมูลบัตรที่ถูกขโมยซื้อตั๋วเครื่องบิน INTERPOL ประสานงานปฏิบัติการทั่วเอเชียจากศูนย์นวัตกรรมในสิงคโปร์ ปัจจุบันยังมีความร่วมมือร่วมกันในลักษณะเดียวกันกับตำรวจของแต่ละประเทศ เพื่อสกัดกั้นชุดเครื่องมือฟิชชิง ช่องทางจัดหาบัญชีม้า และตลาดใต้ดินที่ซื้อขายบัตรที่ถูกขโมย

สิ่งที่ผู้บริโภคทำได้ทันที

ผู้ออกบัตรส่วนใหญ่คืนเงินสำหรับรายการซื้อบัตรที่ไม่ได้รับอนุญาต แต่ความรวดเร็วเป็นสิ่งสำคัญ การตรวจพบตั้งแต่เนิ่น ๆ จำกัดความเสียหายและลดเวลาที่มิจฉาชีพจะทดลองใช้และนำข้อมูลของคุณไปใช้ซ้ำ ขั้นตอนต่อไปนี้ช่วยลดโอกาสที่ข้อมูลจะถูกขโมย และช่วยให้ตรวจพบการฉ้อโกงได้อย่างรวดเร็ว

• เปิดการแจ้งเตือนธุรกรรมแบบเรียลไทม์ในแอปธนาคารสำหรับบัตรทุกใบ รวมถึงธุรกรรมผ่านกระเป๋าเงินดิจิทัลและการซื้อสินค้าออนไลน์
• ตรวจสอบใบแจ้งยอดทุกสัปดาห์ และโต้แย้งรายการเรียกเก็บที่จำไม่ได้ทันที
• ใช้รหัสผ่านที่คาดเดายากและไม่ซ้ำกันสำหรับบัญชีธนาคารและบัตร และจัดเก็บไว้ในโปรแกรมจัดการรหัสผ่านที่เชื่อถือได้
• อย่าบันทึกหมายเลขบัตรหรือรหัสผ่านไว้ในเว็บเบราว์เซอร์ มัลแวร์ขโมยข้อมูลมุ่งเป้าไปยังพื้นที่จัดเก็บข้อมูลกรอกอัตโนมัติของเบราว์เซอร์
• เปิดใช้การยืนยันตัวตนสองขั้นตอนสำหรับบัญชีธนาคาร อีเมล และบัญชีซื้อสินค้าออนไลน์ ควรยืนยันผ่านแอปธนาคารแทน SMS
• ใช้หมายเลขบัตรเสมือนหรือโทเคนสำหรับการซื้อแต่ละครั้ง หากธนาคารมีบริการ โดยเฉพาะเมื่อซื้อจากร้านค้าที่ไม่ค่อยใช้บริการ
• ล็อก อายัด หรือตั้งวงเงินธุรกรรมของบัตรในแอปธนาคารเมื่อไม่ได้ซื้อสินค้า ปิดการใช้งานธุรกรรมจากต่างประเทศหรือธุรกรรมที่ไม่ต้องแสดงบัตร เว้นแต่จำเป็น
• อัปเดตโทรศัพท์และคอมพิวเตอร์ ติดตั้งแพตช์ความปลอดภัยทันที และหลีกเลี่ยงร้านแอปหรือการดาวน์โหลดที่ไม่เป็นทางการ
• ปกป้องบัญชีอัตลักษณ์ดิจิทัลระดับชาติ เช่น SingPass เปลี่ยนรหัสผ่านหากสงสัยว่าถูกฟิชชิง และแจ้งเหตุหากพบว่าบัญชีถูกบุกรุกโดยเร็ว
• ระมัดระวังข้อความเกี่ยวกับการจัดส่ง การคืนเงิน หรือคำเตือนด้านความปลอดภัย เข้าถึงธนาคารโดยพิมพ์ที่อยู่เว็บไซต์ทางการหรือใช้แอป แทนการแตะลิงก์ในข้อความ

ประเด็นสำคัญ

• สิงคโปร์คิดเป็นราว 11 เปอร์เซ็นต์ของบัตรชำระเงินที่ถูกขโมยซึ่งมีการซื้อขายในชุดข้อมูลเดือนพฤษภาคม 2025 ตามหลังสหรัฐฯ และแซงหน้าสเปน
• ราคาบัตรที่ออกในสิงคโปร์ซึ่งถูกขโมยอยู่ที่เฉลี่ยราว 13.19 ดอลลาร์สหรัฐฯ เพิ่มขึ้นประมาณ 29 เปอร์เซ็นต์จากปี 2023 ขณะที่บัตรญี่ปุ่นมีราคาสูงถึงราว 22.80 ดอลลาร์สหรัฐฯ
• ผู้เชี่ยวชาญระบุว่าอันดับของสิงคโปร์เป็นผลจากการใช้ดิจิทัลและปริมาณธุรกรรมที่สูง ไม่ใช่มาตรการควบคุมของธนาคารที่อ่อนแอ
• เทคนิคฉ้อโกงมีทั้งฟิชชิง มัลแวร์ขโมยข้อมูล และการใช้กระเป๋าเงินดิจิทัลบนมือถือในทางมิชอบ เพื่อให้บัญชีม้าที่ถูกเกณฑ์มาซื้อสินค้าในร้านค้าได้
• การดำเนินคดีในประเทศเผยให้เห็นเครือข่ายอาชญากรรมข้ามชาติที่ซื้อ iPhone และสินค้าอื่น ๆ ด้วยข้อมูลบัตรที่ถูกขโมย แล้วนำไปขายต่อแลกเงินสด
• ธนาคารและร้านค้ากำลังเพิ่มความเข้มงวดในการยืนยันตัวตนเมื่อตั้งค่ากระเป๋าเงินดิจิทัล และยกระดับการตรวจสอบ ณ จุดขาย ขณะที่หน่วยงานบังคับใช้กฎหมายประสานงานปฏิบัติการข้ามพรมแดน
• ผู้บริโภคลดความเสี่ยงได้ด้วยการเปิดการแจ้งเตือน ใช้รหัสผ่านอย่างรอบคอบ เปิดการยืนยันตัวตนสองขั้นตอน และหลีกเลี่ยงการบันทึกข้อมูลบัตรไว้ในเบราว์เซอร์