Cyber Security ฝั่งบัญชี: BEC Fraud รั่วไหล ประกันไซเบอร์คุ้มครองไหม?

เช้าวันศุกร์ปลายเดือนมีนาคม 2567 ผู้จัดการฝ่ายการเงินของบริษัทนำเข้าเครื่องจักรในสมุทรปราการได้รับอีเมลจาก "CEO" (ซึ่งกำลังเดินทางไปดูงานที่เยอรมนี) สั่งให้โอนเงินมัดจำ 3.5 ล้านบาทด่วนไปยังซัพพลายเออร์รายใหม่ในฮ่องกงเพื่อล็อกคิวการผลิต ผู้จัดการตรวจสอบโดเมนอีเมลดูเหมือนจะถูกต้อง จึงอนุมัติการโอนเงินทันที

วันจันทร์ถัดมา CEO ตัวจริงกลับเข้าออฟฟิศและยืนยันว่าไม่เคยส่งอีเมลดังกล่าว บริษัทสูญเงิน 3.5 ล้านบาทในพริบตาจากการฉ้อโกงแบบ BEC (Business Email Compromise)

ตามรายงานของ FBI (IC3 Report) ภัยคุกคามประเภท BEC ก่อให้เกิดความเสียหายทางเศรษฐกิจทั่วโลกกว่า 2.9 พันล้านดอลลาร์ในปีที่ผ่านมา ซึ่งสูงกว่าความเสียหายจาก Ransomware หลายเท่าตัว

---

BEC Fraud คืออะไร และทำไมถึงหลุดรอด Cybersecurity?

วิศวกรรมสังคม (Social Engineering) นำหน้าเทคโนโลยี

BEC Fraud คือการที่แฮ็กเกอร์พยายามปลอมตัวเป็นผู้บริหาร ซัพพลายเออร์ หรือทนายความ เพื่อหลอกลวงให้พนักงานที่ถืออำนาจทางการเงินโอนเงินไปยังบัญชีของคนร้าย

การโจมตีนี้มักไม่ใช้มัลแวร์ ไม่มีการเจาะระบบเซิร์ฟเวอร์ที่ซับซ้อน แต่ใช้กลวิธีทางจิตวิทยาและ Social Engineering ร่วมกับการปลอมแปลงที่อยู่อีเมล (Email Spoofing) หรือแม้กระทั่งการแฮ็กเข้าบัญชีอีเมลจริงของผู้บริหารเพื่อเฝ้าดูจังหวะที่เหมาะสม

ระบบ Firewall หรือ Antivirus รุ่นล่าสุดมักตรวจจับอีเมลเหล่านี้ไม่ได้ เพราะมันดูเหมือนการสื่อสารของมนุษย์ปกติ

---

ประกัน Cyber คุ้มครองเคสหลอกให้โอนเงินหรือไม่?

ความเข้าใจผิดเกี่ยวกับ Cyber Policy มาตรฐาน

กรมธรรม์ Cyber Insurance พื้นฐานมักคุ้มครองแค่:

• การถูกขโมยข้อมูล (Data Breach)
• ค่าใช้จ่ายในการกู้คืนระบบ
• ความรับผิดต่อบุคคลภายนอกกรณีข้อมูลส่วนบุคคลรั่วไหล (PDPA)

แต่ความสูญเสียจาก "เงินที่ถูกโอนออกไปโดยความสมัครใจ (แม้จะถูกหลอก)" มักถูกจัดเป็นข้อยกเว้นในกรมธรรม์ไซเบอร์แบบสแตนดาร์ด! บริษัทประกันจะอ้างว่าระบบไม่ได้ถูกแฮ็ก แต่เป็น "ความล้มเหลวของกระบวนการเบิกจ่ายภายใน (Human Error)"

ส่วนขยายที่คุณ "ต้อง" มี: Social Engineering Extension

หากบริษัทของคุณมีกระบวนการโอนเงินจำนวนมากเป็นประจำ คุณต้องซื้อส่วนขยาย (Extension) ที่เรียกว่า Social Engineering Fraud (SEF) หรือ Cyber Crime Coverage เพิ่มเติมเข้าไปในกรมธรรม์ Cyber หรือกรมธรรม์ ประกันทุจริตพนักงาน (Fidelity Guarantee)

เงื่อนไขสำคัญที่บริษัทประกันมักเรียกร้องก่อนการรับประกัน SEF ได้แก่:

1. การตรวจสอบยืนยัน 2 ขั้นตอน (Dual Authentication / Call-back Procedure): เมื่อมีการเปลี่ยนเลขที่บัญชีของคู่ค้า หรือการสั่งโอนเงินเร่งด่วน พนักงานบัญชี ต้อง โทรศัพท์ไปยืนยันกับบุคคลนั้นตามเบอร์โทรศัพท์เดิมที่มีอยู่ในฐานข้อมูล (ไม่อนุญาตให้ใช้เบอร์จากในอีเมลใหม่)
2. การแยกอำนาจหน้าที่ (Segregation of Duties): คนสร้างคำสั่งโอนต้องไม่ใช่คนเดียวกับผู้อนุมัติขั้นสุดท้าย (Maker-Checker Rule)

หากบริษัทละเลย Warranty เหล่านี้ขณะเกิดเหตุ บริษัทประกันมีสิทธิ์ปฏิเสธการจ่ายค่าสินไหมทดแทนอย่างสิ้นเชิง

---

Checklist: ป้องกัน BEC Fraud สำหรับแผนกบัญชี

1. ตั้งกฎ Call-Back 100%: ทุกการแจ้งเปลี่ยนบัญชีธนาคาร ต้องโทรยืนยันเท่านั้น
2. ซื้อ Social Engineering Extension: ตรวจสอบโครงสร้างกรมธรรม์ Cyber ของคุณเดี๋ยวนี้ว่าระบุความคุ้มครองส่วนนี้หรือไม่
3. จัดอบรม Phishing Awareness: ให้แผนกการเงินและบัญชีเห็นตัวอย่างจริงของอีเมลหลอกลวง
4. จำกัดสิทธิ์ในระบบ ERP: จำกัดยอดอนุมัติโอนเงินสูงสุดต่อขีดจำกัดของผู้บริหารแต่ละระดับ
5. สร้างระบบ Flagging สำหรับอีเมลภายนอก: ให้อีเมลที่ส่งจากนอกองค์กรมีแถบป้ายเตือน [EXTERNAL] โดดเด่นเสมอ

---

การบริหารความเสี่ยงไม่ใช่แค่การซื้อประกัน แต่คือการวางรากฐานความมั่นคงให้ธุรกิจของคุณ — Siam Advice Firm พร้อมเป็นที่ปรึกษาเคียงข้างคุณ ด้วยประสบการณ์ในการบริหารความเสี่ยงภาคอุตสาหกรรมและ B2B อย่างครบวงจร

หากต้องการปรึกษาเพิ่มเติม สามารถติดต่อเราได้ที่ LINE: @siamadvicefirm ครับ