ตลอดหลายปีที่ผ่านมา SMS OTP แทบจะกลายเป็นส่วนหนึ่งที่มองไม่เห็นของการทำธุรกรรมธนาคารในประเทศไทย ล็อกอิน รอรับรหัส กรอกตัวเลข แล้วทำรายการต่อ
แต่ประสบการณ์ที่คุ้นเคยนี้กำลังเปลี่ยนไป
ธนาคารพาณิชย์หลายแห่งในประเทศไทยได้ทยอยเพิ่มการยืนยันตัวตนด้วยไบโอเมตริกและการสแกนใบหน้าเข้ามาเสริมในธุรกรรมโมบายแบงก์กิ้งที่มีความเสี่ยงสูงหรือมูลค่าสูง โดยเป็นไปตามแนวทางที่ธนาคารแห่งประเทศไทย (ธปท.) กำหนดไว้ตั้งแต่เดือนกุมภาพันธ์/กรกฎาคม 2566
แทนที่จะให้ลูกค้าพึ่งพารหัสที่ได้รับทาง SMS เพียงอย่างเดียว ธนาคารต่าง ๆ เริ่มนำโทเคนดิจิทัลและวิธีการยืนยันตัวตนรูปแบบอื่นมาใช้มากขึ้น เพื่อช่วยป้องกันการฟิชชิงและความเสี่ยงจากการเข้าควบคุมบัญชีโดยไม่ได้รับอนุญาต
ทำไมธนาคารไทยจึงก้าวข้าม SMS OTP?
จุดอ่อนหลักของ SMS OTP ไม่ใช่ตัวเทคโนโลยีการส่งข้อความ แต่คือความเสี่ยงจากปัจจัยมนุษย์เมื่อผู้ใช้งานถูกหลอกล่อด้วยกลโกงทางจิตวิทยา (Social Engineering) หรือลิงก์ฟิชชิงให้ยินยอมส่งมอบรหัส OTP แก่มิจฉาชีพ
นอกจากนี้ ภัยคุกคามจากการทำ SIM Swap Fraud หรือการแอบอ้างสลับซิมการ์ด ยังเปิดโอกาสให้มิจฉาชีพสามารถดักรับรหัส OTP ได้โดยตรง
มาตรการของ ธปท. จึงผลักดันให้สถาบันการเงินยกระดับระบบความปลอดภัยไปสู่วิธีการยืนยันตัวตนที่ผูกติดกับอุปกรณ์ tepercaya (Device Binding) และข้อมูลทางชีวมิติที่ไม่สามารถโอนย้ายหรือปลอมแปลงได้ง่าย
เปรียบเทียบวิธีการยืนยันตัวตนในระบบธนาคารยุคใหม่
| วิธีการยืนยันตัวตน | หลักการทำงาน | บทบาทในสถาปัตยกรรมความปลอดภัย |
|---|---|---|
| Silent Mobile Authentication | ตรวจสอบและยืนยันเบอร์มือถือผ่านเครือข่ายค่ายโทรศัพท์ในเบื้องหลังโดยไม่ต้องกรอกรหัส | การเข้าสู่ระบบประจำวัน, การเปิดใช้งานแอปพลิเคชันแบบไร้รอยต่อ (Zero Friction) |
| โทเคนดิจิทัล (mToken) | อนุมัติรายการในแอปพลิเคชัน (In-app Approval) ที่ผูกกับรหัสฮาร์ดแวร์ของอุปกรณ์ | การอนุมัติโอนเงินและทำธุรกรรมทางการเงินทั่วไป |
| สแกนใบหน้า & ไบโอเมตริก | ตรวจสอบคุณลักษณะทางชีวมิติเปรียบเทียบกับฐานข้อมูลอัตลักษณ์ที่ขึ้นทะเบียนไว้ | โอนเงินมูลค่าสูง (เกิน 50,000 บาท), ปรับเพิ่มวงเงิน, ลงทะเบียนอุปกรณ์ใหม่ |
| SMS / Voice OTP (Fallback) | ส่งรหัสตัวเลขใช้ครั้งเดียวผ่าน SMS หรือสายโทรศัพท์อัตโนมัติ | ช่องทางสำรองสำหรับอุปกรณ์ที่ไม่รองรับหรือในกรณีฉุกเฉิน |
กลไกการทำงานของ Silent Mobile Authentication
Silent Mobile Authentication (SMA) ทำการยืนยันหมายเลขโทรศัพท์มือถือของผู้ใช้ผ่านเครือข่ายผู้ให้บริการมือถือโดยตรง โดยไม่จำเป็นต้องให้ผู้ใช้กรอกรหัส OTP ด้วยตนเอง
ระบบช่วยตัดขั้นตอนยุ่งยากเดิม ๆ ออกไป:
ระบุเบอร์มือถือ → ตรวจสอบผ่านเครือข่ายค่ายมือถือ → ยืนยันตัวตนสำเร็จ
การตัดขั้นตอนกรอกรหัสช่วยปิดช่องโหว่จากการถูกหลอกเอา OTP ผ่านหน้าเว็บฟิชชิงอย่างสิ้นเชิง มอบประสบการณ์การใช้งานที่รวดเร็วควบคู่กับความปลอดภัยระดับสูง
โซลูชัน 8×8 CPaaS และ Descope CIAM สำหรับธุรกิจการเงินในไทย
ธนาคาร สถาบันการเงิน และฟินเทคในประเทศไทยสามารถประยุกต์ใช้โซลูชันแบบครบวงจรจาก 8×8 เพื่อยกระดับความปลอดภัยตามแนวทาง ธปท.:
- 8×8 Silent Mobile Authentication: ยืนยันตัวตนเบอร์มือถือในเบื้องหลังผ่านการเชื่อมต่อตรงกับเครือข่ายผู้ให้บริการมือถือในไทย
- Descope CIAM (Customer Identity & Access Management): แพลตฟอร์มบริหารจัดการอัตลักษณ์แบบ no-code สำหรับตั้งค่าการล็อกอินไร้รอยต่อ (Passwordless), ระบบ MFA ตามระดับความเสี่ยง และการป้องกันบอท
- ระบบความปลอดภัย Omni Shield: ตรวจสอบและป้องกันทราฟฟิกการยืนยันตัวตนจากการถูกโจมตีด้วย SMS Pumping และการปั่นทราฟฟิกปลอม
ปรึกษาทีมงาน 8×8 CPaaS เพื่อออกแบบสถาปัตยกรรมการยืนยันตัวตนที่ปลอดภัยและสอดคล้องกับมาตรการของ ธปท.
คำถามที่พบบ่อย (FAQ)
- ธปท. สั่งยกเลิกการใช้ SMS OTP ทั้งหมดใช่หรือไม่? ไม่ใช่ ธปท. กำหนดให้เพิ่มการยืนยันด้วยไบโอเมตริกสำหรับการโอนเงินมูลค่าสูง (เกิน 50,000 บาท/ครั้ง หรือ 200,000 บาท/วัน) และการปรับเพิ่มวงเงิน โดย SMS OTP ยังสามารถใช้เป็นช่องทางยืนยันตัวตนทั่วไปหรือช่องทางสำรองได้
- Silent Mobile Authentication แตกต่างจาก โทเคนดิจิทัล (mToken) อย่างไร? mToken เป็นการอนุมัติรายการในแอปพลิเคชันที่ผูกกับอุปกรณ์ ส่วน Silent Mobile Authentication เป็นการตรวจสอบและยืนยันเบอร์มือถือผ่านสัญญาณเครือข่ายโทรศัพท์โดยตรงในเบื้องหลัง
- กลยุทธ์การยืนยันตัวตนที่เหมาะสมที่สุดสำหรับฟินเทคในไทยคืออะไร? การใช้สถาปัตยกรรมแบบตามระดับความเสี่ยง (Risk-based Authentication): ใช้ Silent Mobile Authentication สำหรับการเข้าใช้งานประจำวัน, ใช้ไบโอเมตริก/สแกนใบหน้าสำหรับธุรกรรมมูลค่าสูง และมี SMS OTP เป็นช่องทางสำรอง
