บริษัทส่งออกโดนแฮ็กเกอร์สวมรอยอีเมลเปลี่ยนเลขบัญชี (Invoice Fraud): Cyber Insurance ช่วยได้ไหม?

ฝ่ายต่างประเทศของโรงงานแปรรูปอาหารทะเลไทย ได้รับอีเมลประสานงานจากซัพพลายเออร์แพ็กเกจจิ้งชาวไต้หวันที่คบค้ากันมา 10 ปี เนื้อความในอีเมลยังใช้ประโยคคำพูดสนิทสนมและมีการทักทายเรื่องลูกสาวที่เพิ่งเรียนจบเหมือนเดิมทุกอย่าง

ท้ายอีเมลนั้น แผง Invoice ใบเรียกเก็บเงินงวดสุดท้ายมูลค่า 400,000 ดอลลาร์สหรัฐ (ประมาณ 13 ล้านบาท) ถูกแนบมา พร้อมระบุหมายเหตุเล็กๆ ว่า "เรามีการปรับโครงสร้างธนาคารภายใน รบกวนช่วยโอนเงินงวดนี้เข้าบัญชีธนาคารแห่งใหม่ในประเทศฮ่องกง แทนบัญชีเดิมในไต้หวันด้วย"

บัญชีฝั่งไทยไม่เอะใจ กดคำสั่งโอนเงิน SWIFT 13 ล้านเข้าบัญชีตามที่ขอ สามวันถัดมา คู่ค้าคนจริงจากไต้หวันโทรมาทวงเงิน... ทุกคนจึงตระหนักได้ว่า อีเมลนั้นคือสแกมเมอร์ที่เจาะระบบอีเมลฝังตัวดักจดหมายอยู่นานนับเดือน!

การหลอกลวงแบบ Business Email Compromise (BEC) หรือ Invoice Fraud คือสาเหตุอันดับ 1 ที่ดูดเงินข้ามชาติของธุรกิจ B2B โดยไม่ต้องพึ่งซอฟต์แวร์ยิงไวรัสอะไรเลย! ประกันภัยไซเบอร์ (Cyber Insurance) มีลูกเล่นอะไรมารับมือ?

---

Social Engineering Fraud (ลวงขโมยโดยใช้มนุษยวิทยาจิตวิทยา)

เคลส BEC อย่างการปลอมอีเมลคู่ค้าตีเนียน หรือแฮกเมลซีอีโอสั่งบัญชีโอนเงิน ถือเป็นหมวดความผิดฐาน "Social Engineering (วิศวกรรมสังคม)"

ในยุคแรกๆ กรมธรรม์ Cyber Insurance ปฏิเสธการจ่ายเคสลักษณะนี้แบบ 100% กรมธรรม์อ้างว่า "ไซเบอร์คุ้มครองคอมพิวเตอร์พังหรือระบบโดนไขรหัส แต่การที่มีคนเดินไปธนาคารและกรอกตัวเลขสั่งโอนเงินเองด้วยความเต็มใจและถูกหลอก... มันคือความโง่ของคน ไม่ใช่ไวรัส!" ประกันไซเบอร์จึงดึงสะพานหนี

---

Cyber Extension & Commercial Crime คือความหวังใหม่

แต่เมื่อโลกวิวัฒนาการ โดนด่าและกดดันหนักเข้า ตลาดประกันภัยจึงคลอดเครื่องมือเยียวยา โดยจัดโครงสร้างผสมผสานเพื่อให้ตอบโจทย์บริษัทส่งออก:

1. Social Engineering / Fraudulent Instruction (ส่วนขยายใน Cyber หรือ Crime)

ปัจจุบัน คุณสามารถรบเร้าให้โบรกเกอร์แอดเพิ่มส่วนขยาย "การถูกล่อลวงโอนเงินทางธุรกรรม" สอดแทรกเข้าไปในฐานสัญญากรมธรรม์ Cyber ได้! ประกันจะยินยอมชดเชย "เงินสดฉบับจริง (Funds)" ที่พนักงานหน้ามืดโอนหลงกลข้ามพรมแดนไปให้กับแฮกเกอร์

2. วงเงินคุ้มครองแบบจำกัด (Sub-Limit)

นี่เป็นสิ่งที่เจ้าของบริษัทต้องจดไว้ตัวโตๆ! ประกันไซเบอร์จะ ไม่ยอมให้ฟูลลิมิต กับกรณีโง่โอนเงินเองแบบนี้ สมมติคุณซื้อประกันไซเบอร์วงเงินหล่อๆ 50 ล้านบาท หากคุณโดนไวรัสทำลายระบบ ประกันอาจจ่าย 50 ล้าน แต่หากเป็นเคส Social Engineering โดนหลอกโอนเงิน ประกันมัก ถูกซอยลิมิตจิ๋ว (Sub-limit) เอาไว้แค่ที่ 1-2 ล้านบาทเท่านั้น เพื่อสั่งสอนให้องค์กรคุณต้องวางระบบปกป้องการโอนเงินหน้างานควบคู่ไปด้วย

---

เงื่อนไขการอนุมัติโอนเงิน (Call-Back Procedure)

นี่คือกติกาเหล็กที่ประกันจะขอดูตอนที่คุณโดนหลอกโอนเงิน: หากอีเมลข้ามชาติมีการ "ขอเปลี่ยนหมายเลขบัญชีธนาคาร" หรือโอนเงินก๊อกใหญ่เกินเพดานที่กำหนด ประกันจะสืบถามว่า "บริษัทคุณ มีนโยบายโทรศัพท์กลับ (Call-Back Verification) หาคู่ค้าคนเดิม ด้วยเบอร์แฟกซ์หรือเบอร์โทรเก่าที่เคยรู้จัก เพื่อคอนเฟิร์มด้วยเสียงมนุษย์หรือไม่?"

หากพนักงานบัญชีตอบว่า "เปล่าค่ะ เชื่ออีเมล 100% เลยกดโอน" ... ประกันแสนดีของคุณมีสิทธิ์ที่จะเพิกเฉยไม่จ่ายเงินชดเชย เพราะถือว่ามาตรการหละหลวมขั้นสุด!

---

การบริหารความเสี่ยงไม่ใช่แค่การซื้อประกัน แต่คือการวางรากฐานความมั่นคงให้ธุรกิจของคุณ — Siam Advice Firm พร้อมเป็นที่ปรึกษาเคียงข้างคุณ ด้วยประสบการณ์ในการบริหารความเสี่ยงภาคอุตสาหกรรมและ B2B อย่างครบวงจร

หากต้องการปรึกษาเพิ่มเติม สามารถติดต่อเราได้ที่ LINE: @siamadvicefirm ครับ