AI Deepfake 'Boss Scam' กำลังขับเคลื่อนการพุ่งขึ้น 40% ของการฉ้อโกงทางดิจิทัล — และทำไมธนาคารของคุณถึงหยุดมันไม่ได้

ระบบอัตโนมัติระดับอุตสาหกรรม การฉ้อโกงเปลี่ยนจากการโจมตีมูลค่าสูงเพียงครั้งเดียวไปสู่การโจมตีแบบอัตโนมัติที่เน้นปริมาณ การฉ้อโกงแบบแอบอ้างบุคคลอื่นเติบโตกว่า 1,400% ในปี 2025 เพียงปีเดียว การเปลี่ยนแปลงนี้รุนแรงมากจนจำนวนเหยื่อเพิ่มขึ้นแม้ในกรณีที่มูลค่าความเสียหายรวมคงที่ — ซึ่งเป็นสัญญาณของการฉ้อโกงที่ถูกทำให้เป็นอุตสาหกรรมด้วย AI ที่ปรับให้เหมาะสมกับปริมาณ

การฉ้อโกงด้วยตัวตนสังเคราะห์ (Synthetic Identity Fraud) สร้างความเสียหายให้กับอุตสาหกรรมบริการทางการเงินทั่วโลกประมาณ 22,000 ล้านดอลลาร์สหรัฐฯ ในปี 2024, 31,000 ล้านดอลลาร์สหรัฐฯ ในปี 2025 และคาดการณ์ว่าจะเกิน 40,000 ล้านดอลลาร์สหรัฐฯ ในปี 2026 โดยที่เทคโนโลยี Deepfake คือตัวขับเคลื่อนหลัก การฉ้อโกงที่ซับซ้อนซึ่งใช้ตัวตนที่สร้างด้วย AI เพิ่มขึ้น 180% เมื่อเทียบกับปีก่อนหน้า

ปัจจุบัน Deepfake คิดเป็น 11% ของกิจกรรมฉ้อโกงทั้งหมดทั่วโลก ตามข้อมูลที่รวบรวมโดย Vectra AI การฉ้อโกงตัวตนด้วย Deepfake กำลังอยู่ในเส้นทางที่จะเพิ่มขึ้น 495% ในปี 2026 เมื่อเทียบกับปี 2025 เพียงภาคการเงินเท่านั้นที่เผชิญกับการพยายามฉ้อโกงด้วย Deepfake เพิ่มขึ้น 2,137% นับตั้งแต่ปี 2022

'Boss Scam' ใช้ AI โคลนเสียงและวิดีโอปลอมได้อย่างไร?

ในรูปแบบ 'Boss Scam' มิจฉาชีพจะแอบอ้างเป็นผู้บริหารระดับสูงของบริษัท — ซีอีโอ, กรรมการผู้จัดการ, หรือซีเอฟโอ — เพื่อหลอกให้ทีมการเงินอนุมัติการโอนเงินด่วน กลวิธีที่ใช้มีหลายรูปแบบ:

การโคลนเสียงด้วย AI อาชญากรใช้ตัวอย่างเสียงสั้นๆ (มักจะนำมาจากการประชุมทางโทรศัพท์รายงานผลประกอบการสาธารณะ, การประชุมที่ถูกบันทึกไว้, หรือคลิปจากโซเชียลมีเดีย) เพื่อสังเคราะห์เสียงที่ดูน่าเชื่อถือ เสียงโคลนนี้ถูกนำไปใช้ในการโทรศัพท์หรือส่งข้อความเสียงเพื่อสั่งให้ลูกน้องโอนเงิน ในเดือนมกราคม 2026 นักธุรกิจชาวสวิสสูญเสียเงินหลายล้านฟรังก์สวิส หลังจากได้รับโทรศัพท์หลายสายที่ใช้เสียงโคลนด้วย AI แอบอ้างเป็นคู่ค้าทางธุรกิจที่ไว้ใจได้

วิดีโอคอล Deepfake คดีของบริษัท Arup เป็นตัวอย่างที่โด่งดังที่สุด แต่ก็ไม่ใช่กรณีเดียว ในเดือนมีนาคม 2025 ผู้อำนวยการฝ่ายการเงินในสิงคโปร์อนุมัติการโอนเงินประมาณ 42 ล้านดอลลาร์สหรัฐฯ หรือราว 1,470 ล้านบาท หลังจากได้รับคำสั่งจากคนที่ดูเหมือนซีเอฟโอของบริษัทระหว่างวิดีโอคอล ผู้โจมตีใช้ AI สร้างวิดีโอและเสียงเลียนแบบของซีเอฟโอและผู้บริหารคนอื่นๆ

การแอบอ้างเป็นสมาชิกในครอบครัวกรณีฉุกเฉิน อีกรูปแบบหนึ่งคือการใช้การโคลนเสียงแอบอ้างเป็นญาติ — มักจะเป็นลูกหรือหลาน — โดยอ้างว่าประสบอุบัติเหตุทางรถยนต์, ถูกจับกุม, ถูกลักพาตัว, หรือมีเหตุฉุกเฉินทางการแพทย์ เพื่อเรียกร้องเงินด่วน ความเสียหายที่ได้รับการบันทึกจากการฉ้อโกง Deepfake ในรูปแบบครอบครัวฉุกเฉินนั้นเกิน 5 ล้านดอลลาร์สหรัฐฯ หรือราว 175 ล้านบาท

กลวิธีหลายช่องทาง มิจฉาชีพใช้ WhatsApp, อีเมล, Microsoft Teams, และการโทรศัพท์เพื่อสร้างความรู้สึกถึงอำนาจและความเร่งด่วน พวกเขามักจะค้นหาข้อมูลที่เปิดเผยต่อสาธารณะเพื่อทำให้การแอบอ้างดูน่าเชื่อถือยิ่งขึ้น และกดดันเหยื่อด้วยความเร่งด่วนปลอมและการรักษาความลับที่ต้องปิดเป็นความลับ ในเดือนกรกฎาคม 2026 อัยการสหรัฐฯ ฟ้องร้องจำเลย 14 รายในคดีฉ้อโกง Deepfake มูลค่า 47 ล้านดอลลาร์สหรัฐฯ หรือราว 1,645 ล้านบาท ที่กำหนดเป้าหมายผู้สูงอายุมากกว่า 1,200 คน โดยการแอบอ้างเป็นเจ้าหน้าที่ธนาคารและสมาชิกในครอบครัว

ทำไมระบบยืนยันตัวตนของธนาคารถึงล้มเหลว?

ธนาคารและบริษัทฟินเทคใช้เวลากว่าทศวรรษในการสร้างระบบยืนยันตัวตนทางไกลโดยใช้รูปแบบง่ายๆ คือ ให้แสดงบัตรประจำตัวประชาชน, ถ่ายเซลฟี่, และอาจจะทำการตรวจสอบความมีชีวิต (liveness check) สั้นๆ ในปี 2026 รูปแบบนี้กำลังล้มเหลวในแบบที่วัดผลได้

การยืนยันตัวตนแบบแสดงบัตร + เซลฟี่กำลังถูกเจาะทะลุ การยืนยันตัวตนแบบมาตรฐานนี้พ่ายแพ้ต่อเครื่องมือสลับใบหน้าและการฉีดกล้อง การโจมตีแบบฉีด (Injection attacks) — ที่ผู้โจมตีป้อนวิดีโอ Deepfake ที่บันทึกไว้ล่วงหน้าเข้าไปในฟีดกล้องสดโดยตรง — เพิ่มขึ้นถึง 783% ในปี 2024 เพียงปีเดียว การสลับใบหน้าด้วย Deepfake สามารถเลี่ยงการตรวจสอบความมีชีวิตมาตรฐานได้ถึง 58% ของเวลาทั้งหมด

ตัวตนสังเคราะห์หลบเลี่ยงขั้นตอนการเปิดบัญชี มิจฉาชีพดัดแปลงรูปภาพบนบัตรประจำตัวที่สูญหายหรือถูกขโมย และใช้ Deepfake เพื่อผ่านการตรวจสอบยืนยันตัวตนทางไกล จากนั้นก็เปิดบัญชีที่ใช้สำหรับการกู้ยืม, การฉ้อโกงบัตรเครดิต, และการฟอกเงิน ปัจจุบัน 1 ในทุกๆ 100 ความพยายามในการยืนยันตัวตนเกี่ยวข้องกับ Deepfake ในบางรูปแบบ

การโจมตีแบบฉีดและเล่นซ้ำกลายเป็นสินค้าหาง่าย ผู้โจมตีใช้เครื่องมืออย่าง OBS Virtual Camera หรือไดรเวอร์ที่กำหนดเองเพื่อส่งสตรีมวิดีโอที่บันทึกไว้ล่วงหน้าหรือสร้างด้วย AI เข้าสู่เซสชันการยืนยันตัวตน ซอฟต์แวร์เหล่านี้ถูกขายกันเป็นเครื่องมือทั่วไป

ขนาดที่ใหญ่เกินกว่าจะรับมือ ความพยายามฉ้อโกงด้วย Deepfake ในสหรัฐฯ เพิ่มขึ้น 1,100% ในไตรมาสแรกของปี 2025 เพียงไตรมาสเดียว ประมาณการว่ากว่า 85% ของคดีฉ้อโกงตัวตนในตอนนี้ใช้เครื่องมือ Generative AI รายงานการฉ้อโกงตัวตนปี 2026 ของ Entrust พบว่า Deepfake มีส่วนเกี่ยวข้องกับ 1 ใน 5 ของความพยายามฉ้อโกงทางชีวมิติ และการถ่ายเซลฟี่ปลอมด้วย Deepfake เพิ่มขึ้น 58% ในปี 2025

คำเตือนของ ก.ล.ต. ไทย (ก.ล.ต.) เกี่ยวกับ 'Boss Scam' (กรกฎาคม 2026)

สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์แห่งประเทศไทย (ก.ล.ต.) ได้ออกหนังสือเวียนเตือนภัยอย่างเป็นทางการเมื่อวันที่ 17 กรกฎาคม พ.ศ. 2569 โดยแจ้งเตือนบริษัทจดทะเบียนและผู้ประกอบการที่อยู่ภายใต้การกำกับดูแลทั้งหมดเกี่ยวกับ 'Boss Scam' ประเด็นสำคัญจากคำเตือน:

• ก.ล.ต. ระบุว่ามิจฉาชีพกำลังใช้เทคโนโลยี Deepfake ในการโคลนเสียงและสร้างวิดีโอคอลที่สร้างด้วย AI เพื่อแอบอ้างเป็นผู้บริหารระดับสูงและหลอกลวงฝ่ายการเงินให้โอนเงิน
• คำเตือนดังกล่าวเกิดขึ้นหลังจากได้รับสัญญาณเตือนจากศูนย์ประสานงานการรักษาความปลอดภัยทางไซเบอร์ของไทย
• ก.ล.ต. เรียกร้องให้บริษัทต่างๆ ดำเนินกระบวนการยืนยันตัวตนที่เข้มงวดยิ่งขึ้นสำหรับการโอนเงินทั้งหมด รวมถึงการยืนยันผ่านช่องทางอื่นนอกเหนือจากช่องทางที่ได้รับการติดต่อมา (เช่น โทรกลับไปยังเบอร์โทรที่รู้จักและยืนยันแล้วอย่างอิสระ) และการอนุมัติจากหลายคนสำหรับการชำระเงินที่สูงกว่าเกณฑ์ที่กำหนด
• ก.ล.ต. เตือนว่ามิจฉาชีพจะค้นหาข้อมูลที่เปิดเผยต่อสาธารณะเพื่อสร้างการแอบอ้างที่น่าเชื่อถือ และมักจะกดดันเหยื่อด้วยความเร่งด่วนปลอมและการรักษาความลับที่ต้องปิด

คำเตือนของ ก.ล.ต. ไทยเป็นส่วนหนึ่งของแนวโน้มที่กว้างขึ้น ในไตรมาสที่ 4 ปี 2025 สำนักงานปราบปรามการฟอกเงินของสหรัฐฯ (FinCEN) ได้ออกคำเตือนไปยังสถาบันการเงินเกี่ยวกับการใช้ Deepfake ในการฉ้อโกงตัวตน รัฐสภายุโรป, องค์กรตำรวจสากล (INTERPOL), และหน่วยงานกำกับดูแลระดับชาติอีกหลายแห่งก็ได้ออกคำเตือนที่คล้ายกัน

สิ่งที่บริษัทต่างๆ สามารถทำได้ตอนนี้

ผู้เชี่ยวชาญด้านความปลอดภัยและหน่วยงานกำกับดูแลต่างแนะนำชุดมาตรการควบคุมเดียวกันนี้:

• การยืนยันผ่านช่องทางอื่น (Out-of-band verification) อย่าอนุมัติการโอนเงินโดยอาศัยเพียงการโทรศัพท์, วิดีโอคอล, หรืออีเมล ให้โทรกลับหาบุคคลนั้นด้วยเบอร์โทรที่รู้จักและยืนยันแล้วอย่างอิสระ — ไม่ใช่เบอร์ที่โทรเข้ามาหาคุณ
• การอนุมัติจากหลายคน (Multi-person approval) กำหนดให้ต้องมีอย่างน้อยสองคนอนุมัติการชำระเงินที่สูงกว่าเกณฑ์ที่กำหนด
• วงเงินการทำธุรกรรม (Transaction limits) กำหนดวงเงินต่อวันหรือต่อรายการที่ต้องมีการยกระดับการอนุมัติ
• การฝึกอบรมพนักงาน (Staff training) ทีมการเงินต้องตระหนักว่าเสียงหรือใบหน้าที่คุ้นเคยในการโทรนั้นไม่ใช่หลักฐานการยืนยันตัวตนที่เชื่อถือได้อีกต่อไป
• การยืนยันตัวตนอย่างต่อเนื่อง (Continuous KYC) รูปแบบ 'ตรวจสอบครั้งเดียวตอนเปิดบัญชี' แบบเก่านั้นไม่เพียงพออีกต่อไป การตรวจสอบตัวตนและพฤติกรรมอย่างต่อเนื่องกำลังกลายเป็นสิ่งจำเป็น

ดังที่ผู้สังเกตการณ์ในวงการคนหนึ่งกล่าวว่า "ความไว้วางใจกำลังถูกทำให้เป็นอาวุธในยุคดิจิทัล ด้วยการโคลนเสียง, เทคโนโลยี Deepfake และแพลตฟอร์มอาชญากรรมในรูปแบบบริการที่เข้าถึงได้ง่าย ผู้สืบสวนจึงต้องการแพลตฟอร์มนิติเวชแบบบูรณาการ, การแบ่งปันข่าวกรองแบบเรียลไทม์ และกรอบงานพยานหลักฐานใหม่ๆ"

ข้อสรุปนั้นเรียบง่ายแต่ก็อึดอัด: สัญญาณทางประสาทสัมผัสที่เราเคยพึ่งพามาโดยตลอดเพื่อรู้ว่าเรากำลังคุยกับใคร — เสียงที่คุ้นเคย, ใบหน้าที่คุ้นเคย — ไม่น่าเชื่อถืออีกต่อไปแล้ว องค์กรต่างๆ จำเป็นต้องสร้างกระบวนการยืนยันตัวตนที่ตั้งอยู่บนสมมติฐานว่าทุกช่องทางการสื่อสารอาจถูกบุกรุกได้