สรุปสั้น
การหลอกโอนเงินแบบปลอมเป็นผู้บริหาร (CEO fraud) คือ กลลวงที่มิจฉาชีพแอบอ้างเป็นซีอีโอขอให้ฝ่ายบัญชีโอนเงินด่วนเพื่อธุรกรรมลับ ซึ่งเป็นหนึ่งในภัยทางการเงินที่สร้างความเสียหายสูงที่สุดต่อธุรกิจ เมื่อวันที่ 5 พฤศจิกายน 2569 อัยการสหรัฐฯ ประจำเขตใต้ของนิวยอร์กประกาศฟ้อง 3 ผู้ต้องหา คือ นาย Jacob Soall อายุ 41 ปี Sharon Hazan อายุ 54 ปี และนาย Guy Sheetrit อายุ 42 ปี ฐานฉ้อโกงทางสาย ขโมยตัวตนโดยมีเหตุฉกรรจ์ และฟอกเงิน จากแผนที่ใช้ AI ปลอมเป็นซีอีโอและทนายความหลอกบริษัทหลายพันแห่งทั่วโลกนานกว่าปีครึ่ง ความเสียหายรวมราว 129 ล้านดอลลาร์ ผู้ต้องหามาจากสเปน สหราชอาณาจักร อิสราเอล และสหรัฐอาหรับเอมิเรตส์ และถูกจับระหว่างมิถุนายนถึงกันยายน
กลไก คือ ส่งอีเมลในนามซีอีโอถึงฝ่ายบัญชีขอความช่วยเหลือเรื่องธุรกรรมลับ แล้วนัดโทรหรือวิดีโอคอลที่ใช้ AI เลียนเสียงและบางครั้งเลียนหน้าของซีอีโอ จากนั้นส่งต่อให้ “ทนายความ” จากสำนักงานกฎหมายใหญ่ ซึ่ง คือ ผู้ต้องหาที่ปลอมตัว สั่งให้โอนเงินไปบัญชีทั่วโลก คดีนี้แสดงว่าการเห็นหน้าหรือได้ยินเสียงผู้บริหารไม่ใช่หลักฐานยืนยันตัวตนอีกต่อไป องค์กรควรกำหนดให้การโอนเงินที่ผิดปกติต้องยืนยันผ่านช่องทางที่สองที่รู้จักอยู่แล้วเสมอ
รายละเอียดข่าว
เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 6 พฤศจิกายน 2569 โดยอ้างสำนักข่าว AP ว่าคำฟ้องยื่นต่อศาลแขวงสหรัฐฯ ในนิวยอร์ก เหยื่อที่ระบุในเอกสารศาลมีทั้งระบบโรงพยาบาลในมิสซูรีและแคลิฟอร์เนีย ธนาคารในโรดไอแลนด์ บริษัทฟินเทคในสหราชอาณาจักร บริษัทกองทุนรวมในแมสซาชูเซตส์ และบริษัทอาหารสัตว์ในฟลอริดา ผู้ต้องหามีฉายาอย่าง “Rocky Balboa”, “Superman Cash” และ “Fat Boy” ผู้ต้องหา Hazan เคยถูกตัดสินว่าผิดฐานสมคบฉ้อโกงธนาคารในศาลนิวยอร์กเมื่อปี 2551
ตามข้อมูลของอัยการ นาย Soall รับบทปลอมเป็นทนายความจากสหราชอาณาจักรเป็นหลัก และมี “บทพูดเขียนด้วยมือชื่อ Lawyer Call” ที่ใช้ทำให้ตัวเองดูเหมือนทนายจริงขณะพูดกับเหยื่อ นาย James C. Barnacle Jr. ผู้ช่วยผู้อำนวยการ FBI ระบุว่าคดีนี้แสดงให้เห็นว่าเทคโนโลยีขั้นสูงถูกใช้ก่ออาชญากรรมฉ้อโกงขนาดใหญ่ได้อย่างไร หากถูกตัดสินว่าผิด แต่ละข้อหามีโทษสูงสุด 20 ปี ยกเว้นข้อหาขโมยตัวตนโดยมีเหตุฉกรรจ์ที่มีโทษ 2 ปี ข้อจำกัดของข้อมูล คือ สำนวนคดียังถูกปิดผนึกในระบบออนไลน์ ณ เย็นวันที่ 5 พฤศจิกายน และคำฟ้องเป็นข้อกล่าวหาที่ยังไม่ได้พิสูจน์ในศาล
วิธีการโจมตี
เปิดด้วยอีเมลปลอมจากซีอีโอ — กลุ่มเล็งฝ่ายบัญชีของบริษัท ส่งอีเมลที่อ้างว่ามาจากซีอีโอขอความช่วยเหลือเรื่องธุรกรรมการเงินที่เป็นความลับ การอ้างว่าเป็นความลับทำให้พนักงานไม่กล้าถามคนอื่นในองค์กร
ยืนยันด้วยเสียงและหน้าที่ AI สร้าง — เพื่อให้เหยื่อเชื่อ กลุ่มนัดโทรหรือวิดีโอคอล แล้วใช้ AI เลียนเสียงและบางครั้งเลียนภาพของซีอีโอ วิธีนี้ทำลายขั้นตอนตรวจสอบแบบเดิมที่พนักงานใช้ คือ การโทรไปคุยหรือเห็นหน้าผู้บริหาร
ส่งต่อให้ทนายความปลอม — ซีอีโอปลอมบอกให้พนักงานติดต่อทนายความจากสำนักงานกฎหมายใหญ่ ซึ่งกลุ่มเตรียมปลอมตัวไว้แล้ว ทนายปลอมสั่งให้โอนเงินก้อนใหญ่ไปบัญชีธนาคารในหลายประเทศ การมีบุคคลที่สามที่ดูมีอำนาจทางกฎหมายช่วยลดความสงสัยของพนักงาน
แปลงเป็นคริปโตเพื่อฟอกเงิน — เงินที่ได้ถูกแปลงเป็นคริปโตเคอร์เรนซีเพื่อปกปิดที่มา แล้วแบ่งให้ผู้ต้องหาทั้งสามและคนอื่นที่เกี่ยวข้อง
ผลกระทบ
ผู้เสียหายโดยตรง คือ บริษัทหลายพันแห่งทั่วโลกที่ถูกเล็ง และอย่างน้อยหลายรายที่โอนเงินจริงจนความเสียหายรวมราว 129 ล้านดอลลาร์ เหยื่อครอบคลุมตั้งแต่โรงพยาบาล ธนาคาร ฟินเทค ไปจนถึงบริษัทสินค้าอุปโภค ซึ่งบอกว่ากลลวงนี้ไม่เลือกอุตสาหกรรม เงินที่แปลงเป็นคริปโตแล้วมักตามคืนได้ยาก
ในภาพกว้าง คดีนี้ยืนยันว่า AI เลียนเสียงและวิดีโอถูกใช้หลอกโอนเงินในระดับอุตสาหกรรมแล้ว ขั้นตอนที่หลายองค์กรใช้ยืนยันคำสั่งโอนเงิน เช่น โทรกลับหรือขอวิดีโอคอล จะไม่ได้ผลถ้าเป็นการคุยผ่านช่องทางที่ผู้หลอกลวงเป็นคนจัดให้ ฝ่ายบัญชีจึงเป็นแนวป้องกันหน้าแรกที่ต้องมีกระบวนการรองรับ ไม่ใช่แค่การฝึกให้สังเกต
คำแนะนำ
- องค์กร — ทำทันที: กำหนดให้คำขอโอนเงินที่ผิดปกติ ด่วน หรืออ้างความลับ ต้องยืนยันผ่านช่องทางที่สองที่รู้จักอยู่แล้ว เช่น โทรกลับเบอร์ในทะเบียนพนักงาน ไม่ใช่เบอร์หรือลิงก์ที่ได้จากอีเมลหรือการโทรนั้น
- องค์กร — ทำทันที: บังคับให้การโอนเงินมูลค่าสูงหรือไปยังผู้รับรายใหม่ต้องอนุมัติจากสองคนขึ้นไป และห้ามข้ามขั้นตอนแม้คำสั่งอ้างว่ามาจากซีอีโอ
- ฝ่ายบัญชี: ตั้งรหัสหรือคำถามยืนยันที่ตกลงกันล่วงหน้ากับผู้บริหารสำหรับคำสั่งทางการเงิน และถือว่าเสียงหรือภาพในวิดีโอคอลไม่ใช่หลักฐานยืนยันตัวตน
- ฝ่ายบัญชี: ตรวจสอบตัวตนของทนายความหรือที่ปรึกษาภายนอกผ่านเว็บไซต์หรือเบอร์ทางการของสำนักงานนั้นเอง ก่อนทำตามคำสั่งโอนเงิน
- ถ้าโอนเงินไปแล้ว: แจ้งธนาคารทันทีเพื่อขอระงับหรือเรียกเงินคืน และแจ้งตำรวจ ยิ่งแจ้งเร็วยิ่งมีโอกาสตามเงินก่อนถูกแปลงเป็นคริปโต