“โดนหลอกสแกนหน้า” น่ากลัวยังไง มีโอกาสเกิดแค่ไหน ?

ล่าสุดเราเห็นข่าวที่ส่งต่อกันมาว่าให้ “ระวังมิจฉาชีพหลอกให้สแกนใบหน้าเพื่อยืนยันตัวตนธนาคาร” แวบแรกที่เห็น ในหัวก็เกิดคำถามทันทีว่า “หลอกสแกนหน้าอีกแล้ว มีโอกาสเกิดขึ้นได้แค่ไหน?”

ก่อนตอบคำถามนั้น ขอวางบริบทก่อนสักนิด ปี 2567 ที่ผ่านมา ไทยสูญเงินไปกว่า 60,000 ล้านบาท จากการหลอกลวงออนไลน์ มีโทรศัพท์หลอกกว่า 38 ล้านสาย และ SMS หลอกกว่า 130 ล้านข้อความ นับว่าสูงที่สุดในรอบ 5 ปี ตัวเลขนี้ช่วยให้เข้าใจว่าสแกนใบหน้าเป็นเพียงส่วนหนึ่งของปัญหาที่ใหญ่กว่ามาก

การสแกนใบหน้า คืออะไร?

ปกติแล้วการสแกนใบหน้าในมือถือ แบ่งได้หลัก ๆ เป็น 2 ประเภท คือ 2 มิติ และ 3 มิติ ซึ่งมีรายละเอียดที่แตกต่างกัน

สแกนแบบ 2 มิติ (2D) แบบนี้ใช้กล้องหน้าอ่านภาพใบหน้าในมุมมองแบน ๆ แล้วเทียบลักษณะโดยรวม เช่น ตา จมูก ปาก และสัดส่วนใบหน้า พูดให้เห็นภาพคือเหมือนเราถ่ายหน้าตัวเองออกมาแล้วพิมพ์ลงบนกระดาษ A4 ข้อดีคือใช้แค่ซอฟต์แวร์ + กล้องอย่างเดียวก็สแกนหน้าได้ ข้อเสียคือมีโอกาสถูกหลอกได้ง่ายกว่า

สแกนใบหน้าแบบ 3 มิติ (3D) แบบนี้จะมีความละเอียดมากกว่าเดิม เพราะใช้ กล้อง + เซนเซอร์ + ซอฟต์แวร์ ในการสแกน พูดให้เห็นภาพก็จะเหมือนกับ “ภาพปั้นนูนสูง” ที่รู้ว่าตรงไหนนูนมากนูนน้อย ข้อดีคือปลอดภัยกว่า สแกนใบหน้าได้จากทุกมุม ข้อเสียคือราคาอุปกรณ์ค่อนข้างสูง

แล้วมีอะไรอีกที่ต้องรู้ ? ปัจจุบันธนาคารไทยส่วนใหญ่ไม่ได้ใช้แค่ 2D หรือ 3D เพียงอย่างเดียว แต่เพิ่ม Liveness Detection เข้ามาด้วย ซึ่งก็คือการตรวจว่าหน้าที่กล้องเห็นอยู่นั้นเป็น “คนจริง ๆ ที่กำลังอยู่ตรงหน้า” ไม่ใช่รูปถ่ายหรือวิดีโอ เช่น ให้กะพริบตา หันหน้า หรือพูดตามคำสั่ง โดย ธปท. กำหนดให้ใช้ระบบนี้สำหรับธุรกรรมที่เกิน 50,000 บาท หรือการเปิดบัญชีผ่านแอปโดยไม่ต้องมาที่สาขา

ซึ่งส่วนใหญ่มิจฉาชีพมักจะหลอกสแกนใบหน้าในรูปแบบ 2 มิติมากกว่า เพราะไม่ต้องทำอะไรให้ยุ่งยาก แค่ให้เหยื่อวิดีโอคอลแล้วแอบอัดไว้ หรือให้เหยื่อถ่ายวิดีโอใบหน้าหลาย ๆ มุมส่งมา

ส่วนระบบที่มี Liveness Detection นั้นยากกว่าจริง แต่ไม่ได้หมายความว่าเจาะไม่ได้เลย ปัจจุบันมีเครื่องมือ deepfake แบบ real-time ที่ทำงานได้เกิน 25 เฟรมต่อวินาที และราคาถูกลงเรื่อย ๆ ซึ่งใช้หลอกระบบยืนยันตัวตนได้โดยไม่ต้องแตะตัวมือถือหรือ OS ของเหยื่อเลย อย่างไรก็ตาม การโจมตีแบบนี้ยังค่อนข้างซับซ้อนสำหรับมิจฉาชีพทั่วไปในไทย

ทำไมมิจฉาชีพถึงอยากได้ใบหน้าของเรา ?

มิจฉาชีพอยากได้ใบหน้าของเราเพราะ ใบหน้าคือกุญแจที่เปิดความน่าเชื่อถือได้สองทาง ทางแรกคือใช้ยืนยันตัวตนแทนเรา ไม่ว่าจะเปิดบัญชีม้า สมัครสินเชื่อเถื่อน หรือทำธุรกรรมโดยไม่ต้องมีตัวเราอยู่ด้วย ทางที่สองคือปลอมเป็นเราเพื่อหลอกคนอื่น ไม่ว่าจะวิดีโอคอลหาพ่อแม่ ปลอมเป็นเพื่อน หรือแอบอ้างเป็นเจ้าหน้าที่ที่ดูน่าเชื่อถือ เพราะคนส่วนใหญ่ “เห็นหน้า = เชื่อ” โดยอัตโนมัติ พูดง่าย ๆ คือใบหน้าของเราไม่ได้มีค่าเพราะมันล็อกเงินในบัญชีไว้ แต่เพราะมันล็อก ความไว้วางใจของคนรอบข้างเราไว้ต่างหาก

หลอกสแกนใบหน้า มีโอกาสเกิดขึ้นแค่ไหน?

เพื่อตอบคำถามนี้ เราลองย้อนไปหาข่าวที่เคยเกิดขึ้นในไทย เอาจริง ๆ สถิติตัวเลขค่อนข้างหายาก เพราะไม่ได้มีการแยกชัดเจนว่าอาชญากรรมที่เกิดจากการสแกนใบหน้ามีมากน้อยแค่ไหน (ซึ่งการที่ไม่มีข้อมูลไม่ได้แปลว่าเกิดน้อย เพียงแต่ยังไม่ถูกนับแยกไว้)

จากที่ไล่เก็บข้อมูลจากข่าวที่เกิดขึ้น พบว่ามีเคสไม่เยอะมากหากเทียบกับการหลอกลวงรูปแบบอื่น แยกเป็น 2 รูปแบบหลัก ๆ คือ

• หลอกสแกนใบหน้าเพื่อเปิดบัญชีม้า ซิมผี สมัครสินเชื่อเถื่อน รูปแบบนี้มิจฉาชีพต้องการข้อมูลใบหน้าคู่กับข้อมูลส่วนตัวอื่น ๆ เช่น บัตรประชาชนและเบอร์โทรศัพท์ เพื่อสร้าง identity ปลอมในปริมาณมาก
• หลอกสแกน ส่งวิดีโอใบหน้า แล้วเอาไปปลอมแปลงหน้า (Deep Fake) เพื่อหลอกคนอื่นต่อ

แล้วหลอกสแกนหน้าแบบไหน ถึงน่ากลัว?

ถ้าเป็นแอปกู้เงินเถื่อนหรือเงินกู้นอกระบบ อันนี้ต้องระวัง เพราะแม้ตัวแอปจะผิดกฎหมาย แต่ความเสียหายในทางปฏิบัติยังเกิดขึ้นได้จริง เช่น ถูกนำข้อมูลส่วนตัวไปข่มขู่ โทรรบกวนคนรู้จัก หรือขายข้อมูลต่อในตลาดมืด อย่างไรก็ตาม แค่ข้อมูลใบหน้าอย่างเดียวยังไม่พอที่จะอนุมัติสินเชื่อ ต้องมีข้อมูลส่วนตัวอื่นพ่วงด้วย

แต่ที่น่ากลัวจริง ๆ คือการถูกสแกนใบหน้าแล้วขโมยตัวตนของเราเพื่อเอาไปหลอกคนใกล้ตัวโอนเงิน รูปแบบนี้มีโอกาสเกิดขึ้นมากที่สุดและสร้างความเสียหายได้จริง เช่น

• ปลอมเป็นลูกหลาน แล้ววิดีโอคอลไปหลอกลวงพ่อแม่ให้โอนเงิน
• ปลอมเป็นตำรวจหรือเจ้าหน้าที่ เพื่อเพิ่มความสมจริงในการกดดันเหยื่อ
• Clone เสียง + ใบหน้าพร้อมกัน ซึ่งเป็นรูปแบบที่พบมากขึ้นในต่างประเทศ ทำให้การแยกแยะยากมาก แม้แต่คนที่ระมัดระวังตัวอยู่แล้ว
• หลอกให้ส่ง OTP ในการจ่ายเงิน โดยใช้ความน่าเชื่อถือของใบหน้าที่ปลอมขึ้นมา

นี่ไม่ใช่การหลอกสแกนหน้าเพื่อดูดเงินออกจากบัญชีโดยตรง แต่เป็นหนึ่งใน “วิธีเพิ่มความสมจริง” ในการหลอกให้เหยื่อโอนเงินออกจากบัญชีเอง

มีโอกาสเกิดขึ้นแค่ไหน ?

การหลอกสแกนใบหน้ามีโอกาสเกิดขึ้นได้ แต่ถ้าถามว่าเยอะไหม ก็ต้องบอกว่าไม่ค่อยเยอะหากเทียบกับการหลอกลวงแบบอื่น ภัยโดยตรงจากสแกนหน้า เช่น การดูดเงินออกจากบัญชี ยังทำได้ยากเพราะระบบธนาคารไทยป้องกันได้ดีพอสมควร แต่ภัยทางอ้อม อย่างการเอาใบหน้า + เสียงไปปลอมตัวหลอกคนใกล้ชิด มีแนวโน้มสูงขึ้นเรื่อย ๆ และเป็นรูปแบบที่หลอกง่ายที่สุดเพราะเหยื่อ “เห็นหน้าคนที่ไว้ใจ”

กลุ่มที่ต้องระวังเป็นพิเศษคือ ผู้สูงอายุ ที่มักถูกหลอกด้วยการแอบอ้างเป็นเจ้าหน้าที่ และ วัยทำงาน 25–34 ปี ที่ใช้งานแพลตฟอร์มออนไลน์สูงและเป็นกลุ่มเสี่ยงหลักจากการวิจัยในไทย

ถ้าโดนหลอกแล้ว ทำอย่างไร?

ถ้าสงสัยว่าถูกหลอกให้ส่งข้อมูลใบหน้าหรือข้อมูลส่วนตัวไปแล้ว ให้ทำทันที

1. โทรแจ้งธนาคาร เพื่อระงับบัญชีชั่วคราวหรือตั้งค่าการแจ้งเตือนพิเศษ
2. แจ้ง AOC (Anti Online Scam Operation Center) โทร 1441 ซึ่งเปิด 24 ชั่วโมง
3. แจ้งความกับตำรวจไซเบอร์ ผ่านเว็บไซต์ thaipoliceonline.com หรือสถานีตำรวจใกล้บ้าน
4. แจ้งเตือนคนใกล้ชิด โดยเฉพาะพ่อแม่หรือผู้สูงอายุในครอบครัว ว่าอาจมีคนพยายามโทรหาในชื่อหรือหน้าของเรา