สิงคโปร์จะยกระดับมาตรการรักษาความปลอดภัยหลังการหลอกลวงแบบฟิชชิ่ง

การหลอกลวงแบบฟิชชิ่งทาง SMS ที่นําไปสู่การสูญเสีย 13.7 ล้านดอลลาร์สิงคโปร์ได้กระตุ้นให้มีการนํามาตรการรักษาความปลอดภัยเพิ่มเติมมาใช้ รวมถึงความจําเป็นที่ผู้ให้บริการ SMS จะต้องตรวจสอบกับรีจิสทรีก่อนส่งข้อความ และเพื่อให้ธนาคารพัฒนาอัลกอริทึม AI ที่ "หลากหลายยิ่งขึ้น" เพื่อตรวจจับธุรกรรมที่น่าสงสัย

สิงคโปร์กําลังเพิ่มมาตรการรักษาความปลอดภัยเพื่อสนับสนุนโครงสร้างพื้นฐานด้านการธนาคารและการสื่อสารในท้องถิ่น ซึ่งรวมถึงความจําเป็นที่ผู้ให้บริการ SMS ต้องตรวจสอบกับทะเบียนก่อนที่จะส่งข้อความ ธนาคารยังคาดว่าจะพัฒนาโมเดลปัญญาประดิษฐ์ (AI) ที่ "หลากหลายมากขึ้น" เพื่อตรวจจับธุรกรรมที่น่า สงสัย

การป้องกันเพิ่มเติมเกิดขึ้นหลังจากการหลอกลวงแบบฟิชชิ่งทาง SMS เมื่อเร็ว ๆ นี้ ซึ่งกวาดล้างเงิน 13.7 ล้านดอลลาร์สิงคโปร์ (10.17 ล้านดอลลาร์) จากบัญชีของลูกค้าธนาคาร OCBC 790 ราย นักต้มตุ๋นได้จัดการรายละเอียด SMS Sender ID เพื่อส่งข้อความที่ดูเหมือนจะมาจาก OCBC กระตุ้นให้เหยื่อแก้ไขปัญหาเกี่ยวกับบัญชีธนาคารของตน จากนั้นพวกเขาถูกเปลี่ยนเส้นทางไปยังเว็บไซต์ฟิชชิ่งและได้รับคําสั่งให้ป้อนรายละเอียดการเข้าสู่ระบบธนาคาร รวมถึงชื่อผู้ใช้ PIN และรหัสผ่านแบบใช้ครั้งเดียว (OTP)  

รัฐมนตรีว่าการกระทรวงการคลัง Lawrence Wong อธิบายเหตุการณ์ดังกล่าวว่าเป็นการหลอกลวงฟิชชิ่งที่ร้ายแรงที่สุดของประเทศที่เกี่ยวข้องกับ SMS ปลอมแปลงโดยแอบอ้างเป็นธนาคาร กล่าวว่าจะมีการดําเนินการหลายขั้นตอนเพื่อลดความเสี่ยงของการหลอกลวงดังกล่าวได้ดียิ่งขึ้น สิ่งเหล่านี้จะครอบคลุมระบบนิเวศทั้งหมด รวมถึงธนาคาร โทรคมนาคม การบังคับใช้กฎหมาย และการศึกษาผู้บริโภค Wong กล่าวเมื่อวันอังคารระหว่างแถลงการณ์ระดับรัฐมนตรีในรัฐสภา รัฐมนตรีว่าการกระทรวงยังเป็นรองประธานคณะกรรมการการเงินของสิงคโปร์ (MAS) 

การหลอกลวงของ OCBC ทําให้ MAS กําหนด มาตรการ รักษาความปลอดภัยใหม่เมื่อเดือนที่แล้ว ซึ่งกําหนดให้ธนาคารลบไฮเปอร์ลิงก์ออกจากอีเมลหรือข้อความ SMS ที่ส่งถึงผู้บริโภค และใช้ความล่าช้า 12 ชั่วโมงในการเปิดใช้งานโทเค็นซอฟต์แวร์ มือถือ

หว่องตั้งข้อสังเกตว่า MAS เมื่อเดือนตุลาคมปีที่แล้วกําลังหารือกับธนาคารในท้องถิ่นเพื่อเน้นย้ําถึงช่องว่างที่ปรากฏขึ้นจาก "การทบทวนการกํากับดูแลที่มุ่งเน้น" ของหน่วยงานกํากับดูแล ซึ่งดําเนินการในไตรมาสที่สามของปี 2021 การทบทวนนี้ เริ่มต้นขึ้นเนื่องจากการเพิ่มขึ้นของคดีหลอกลวงในช่วงสองปีที่ผ่านมา

หว่องกล่าวว่าธนาคารได้รับคําแนะนําในการแก้ไขช่องว่าง และพวกเขากําหนดไทม์ไลน์ในการปรับใช้มาตรการต่างๆ ซึ่งบางส่วนจําเป็นต้องมีการเปลี่ยนแปลงอย่างกว้างขวางในระบบไอทีของตน ด้วยการหลอกลวงแบบฟิชชิ่งที่พุ่งสูงขึ้นเมื่อเดือนธันวาคมปีที่แล้ว เขากล่าวว่า OCBC เร่งดําเนินการตามมาตรการเหล่านี้บางอย่าง เช่น การขยายระยะเวลาการทําความเย็น ซึ่งในระหว่างที่ไม่สามารถทําธุรกรรมที่มีความเสี่ยงสูงได้ 

รัฐมนตรีว่าการกระทรวงกล่าวว่า มีขั้นตอนเพิ่มเติมในการดําเนินการ

ธนาคารจะทํางานเพื่อเสริมความสามารถในการตรวจสอบการฉ้อโกงเพื่อระบุธุรกรรมที่น่าสงสัยและผิดปกติได้ดียิ่งขึ้น รวมถึงธุรกรรมบัตรเครดิต แม้ว่าธนาคารส่วนใหญ่จะมีพารามิเตอร์ตามกฎอยู่แล้ว แต่ก็จําเป็นต้องขยายพารามิเตอร์เหล่านี้เพื่อคํานึงถึงสถานการณ์การ หลอกลวงที่หลากหลายของแบรนด์

"นอกเหนือจากพารามิเตอร์ที่กําหนดไว้ล่วงหน้าแล้ว MAS จะคาดหวังให้ธนาคารพัฒนาอัลกอริทึมที่หลากหลายมากขึ้นโดยใช้ AI และแมชชีนเลิร์นนิงเพื่อตรวจจับธุรกรรมที่น่าสงสัย" "อัลกอริทึมดังกล่าวควรอิงตามแหล่งข้อมูลหลายแหล่ง รวมถึงโปรไฟล์ลูกค้าและช่องโหว่ รูปแบบการทําธุรกรรมในอดีต กิจกรรมบัญชี และการระบุอุปกรณ์มือถือ"

เขาเน้นย้ําว่าระบบตรวจสอบการฉ้อโกงขั้นสูงจะไม่สามารถตรวจจับการหลอกลวงได้ ทุกครั้ง

ธนาคารในสิงคโปร์จะเพิ่มความสามารถในการบล็อกธุรกรรมที่น่าสงสัยได้เร็วขึ้นและติดต่อลูกค้าเพื่อตรวจสอบความถูกต้อง ธุรกรรมจะถูกปลดบล็อกและดําเนินการก็ต่อเมื่อได้รับการยืนยันจากลูกค้าเท่านั้น อีกครั้งในขณะที่ธนาคารมีความสามารถเหล่านี้อยู่แล้วในปัจจุบันเขาตั้งข้อสังเกตว่าสิ่งเหล่านี้ไม่สอดคล้องกันในธุรกรรม ประเภทต่างๆ

นอกจากนี้ MAS ยังมองหาความเป็นไปได้ในการอนุญาตให้ลูกค้าระงับบัญชีของตนเองโดยไม่จําเป็นต้องติดต่อธนาคาร 

ธนาคารจะแนะนําการยืนยันเพิ่มเติมจากลูกค้านอกเหนือจากการแจ้งเตือนสําหรับการเปลี่ยนแปลงที่สําคัญที่เกิดขึ้นกับบัญชีหรือธุรกรรมที่มีความเสี่ยงสูงเช่นการเปลี่ยนแปลงรายละเอียดของเจ้าของบัญชีและการเปิดใช้งานโทเค็นบนอุปกรณ์อื่น 

สิ่งเหล่านี้จะมาพร้อมกับความไม่สะดวกเพิ่มเติมสําหรับลูกค้าที่ทําธุรกรรมที่ถูกต้องตามกฎหมาย แต่จําเป็นเพื่อเพิ่มความปลอดภัยของธนาคารดิจิทัลและผู้ใช้จะต้องปรับตัว Wong กล่าว 

ธนาคารท้องถิ่นจะพิจารณาขยายการใช้ไบโอเมตริกซ์เป็นวิธีการตรวจสอบสิทธิ์นอกเหนือจากรหัสผ่านและ OTP รัฐมนตรีว่าการกระทรวงกล่าวว่าสิ่งนี้จะเพิ่มความปลอดภัยอีกชั้นหนึ่งที่นักต้ม ตุ๋นไม่สามารถฟิชชิ่งได้ง่าย

ธนาคารจะเร่งการก้าวไปสู่การใช้แอพธนาคารบนมือถือเพื่อยืนยันตัวตน ของลูกค้า

นอกจากนี้ยังมีการทบทวนการใช้ OTP ที่ใช้ SMS และมาตรการที่จําเป็นเพื่อลดความเสี่ยงในการใช้งาน 

มาตรการรักษาความปลอดภัยที่จําเป็นในโครงสร้างพื้นฐาน

ขั้นตอนต่อไปอยู่ในขั้นตอนที่เกี่ยวข้องกับผู้เสนอรายอื่นในระบบนิเวศโดยเฉพาะผู้ให้บริการโทรคมนาคม

รัฐมนตรีว่าการกระทรวงการสื่อสารและสารสนเทศ Josephine Teo ให้ความเห็นเกี่ยวกับความจําเป็นในการเสริมสร้างการป้องกันผ่านเครือข่ายโทรคมนาคมว่า "เพื่อต่อสู้กับฟิชชิ่งและการปลอมแปลงโดยนักต้มตุ๋น เราควรขัดขวางวิธีการปฏิบัติงานของพวกเขาให้ได้มากที่สุด นอกเหนือจากการป้องกันที่เพิ่มขึ้นในระบบธนาคารเพื่อป้องกันการหลอกลวงไม่ให้ประสบความสําเร็จอย่างง่ายดายแล้ว ยังจําเป็นต้องมีมาตรการต้นน้ําเพื่อขัดขวางการเข้าถึงของนักต้มตุ๋นต่อผู้ที่อาจตกเป็นเหยื่อ"

 ประการแรกผู้ให้บริการ SMS และโทรคมนาคมจะต้องตรวจสอบกับทะเบียนผู้ส่งประจําตัวประชาชนแห่งชาติและส่งข้อความก็ต่อเมื่อรายละเอียดผู้ส่งตรงกับบันทึกการลงทะเบียน Teo กล่าวเมื่อวันอังคารในระหว่างแถลงการณ์ระดับรัฐมนตรีของเธอในรัฐสภา ซึ่งหมายความว่าข้อความ SMS ที่ปลอมแปลง ID ที่ลงทะเบียนไว้จะไม่ถึงเป้าหมาย ที่ตั้งใจไว้

การนําร่องเปิดตัวเมื่อเดือนสิงหาคมปีที่แล้วเพื่อให้องค์กรสามารถลงทะเบียนส่วนหัว SMS Sender ID ที่พวกเขาต้องการปกป้องด้วยรีจิสทรี การทําเช่นนี้จะช่วยให้แน่ใจว่าข้อความที่ส่งผ่านการใช้ SMS Sender ID ที่ได้รับการป้องกันโดยไม่ได้รับอนุญาตจะถูกบล็อก 

จากข้อมูลของ Teo ทุกองค์กรต้องมี UEN (หมายเลขนิติบุคคลเฉพาะ) ที่ถูกต้องหากต้องการส่งข้อความ SMS ผ่าน ID ที่ลงทะเบียนไปยังสมาชิกโทรศัพท์ในสิงคโปร์ 

เธอเสริมว่า MAS ได้กําหนดให้ธนาคารรายย่อยรายใหญ่ทุกแห่งต้องลงทะเบียนรายละเอียด ID ผู้ส่งกับสํานักทะเบียน หน่วยงานของรัฐทั้งหมดก็จะทําเช่นเดียวกัน 

เธอกล่าวว่ารัฐบาลกําลังสํารวจความเป็นไปได้ในการกําหนดให้ผู้ใช้ ID ตัวอักษรและตัวเลขทุกคนต้องลงทะเบียน สิ่งนี้จะป้องกันไม่ให้นักต้มตุ๋นส่งข้อความ SMS โดยใช้ ID ดังกล่าวโดยไม่ต้องเข้าร่วมการลงทะเบียน ก่อน

Teo กล่าวว่ามาตรการเหล่านี้จะต้องใช้เวลาในการดําเนินการและเกี่ยวข้องกับค่าใช้จ่ายเพิ่มเติมสําหรับธุรกิจ ผู้ที่เลือกที่จะไม่ลงทะเบียนรายละเอียด Sender ID จะมีข้อความ SMS แสดงเฉพาะหมายเลขโทรศัพท์เท่านั้น จากนั้นลูกค้าจะต้องบันทึกหมายเลขในรายชื่อผู้ติดต่อเพื่อรับรู้ข้อความในอนาคตจากองค์กร 

หน่วยงานกํากับดูแลอุตสาหกรรม Infocomm Media Development Authority จะพิจารณาผลกระทบดังกล่าวในการตัดสินใจว่าจะกําหนดให้ลงทะเบียน ID ที่เป็นตัวอักษรและตัวเลขทั้งหมดหรือไม่ 

เธอเรียกร้องให้ธุรกิจต่างๆ ประเมินการใช้ SMS เพื่อดึงดูดลูกค้า เนื่องจากสื่อนี้ใช้เทคโนโลยีเก่าและไม่ได้ออกแบบมาเพื่อการสื่อสารที่ปลอดภัย เธอเรียกร้องให้ "ยับยั้งชั่งใจมากขึ้น" ในการใช้แพลตฟอร์มเพื่อส่งข้อมูลที่ละเอียดอ่อนหรือเป็นความลับ หรือสําหรับธุรกรรมที่มี มูลค่าสูง

มาตรการอื่นๆ ก็มีการวางแผนเช่นกัน รวมถึงความพยายามของผู้ให้บริการโทรคมนาคมในการรวมการวิเคราะห์เพิ่มเติมเพื่อบล็อกการโทรหลอกลวงที่น่าสงสัยมากขึ้น สิ่งนี้อาจนําไปสู่การบล็อกการโทร 55 ล้านสายต่อเดือน เพิ่มขึ้นจาก 15 ล้านสาย หรือหนึ่งในเจ็ดของสายเรียกเข้าต่างประเทศทั้งหมดไปยังสิงคโปร์ ซึ่งปัจจุบันถูกบล็อกในแต่ละเดือน

เว็บไซต์ฟิชชิ่งจะยังคงถูกขึ้นบัญชีดําต่อไป เว็บไซต์หลอกลวงประมาณ 12,000 แห่งถูกบล็อกเมื่อปีที่แล้ว เพิ่มขึ้นจาก 500 เว็บไซต์ที่ถูกบล็อกในปี 2020 ตามข้อมูลของ Teo

สภาป้องกันอาชญากรรมแห่งชาติจะเริ่มช่องทาง WhatsApp ภายในไตรมาสที่สามของปีนี้ เพื่อรวบรวมข้อมูลสาธารณะเกี่ยวกับเว็บไซต์และข้อความ หลอกลวง

Wong กล่าวว่า: "ไม่มีมาตรการเดียวที่สามารถรับประกันความปลอดภัยของธนาคารดิจิทัลได้ เทคนิคที่ใช้โดยนักต้มตุ๋นมีการพัฒนาอย่างต่อเนื่องและเพิ่มความซับซ้อน นี่คือเหตุผลที่ในการต่อสู้กับการหลอกลวง ธนาคารจําเป็นต้องใช้มาตรการร่วมกันในการป้องกัน การตรวจจับ การตอบสนอง และการกู้คืน และทบทวนและปรับเทียบมาตรการเหล่านี้ใหม่อย่างต่อเนื่อง"

เขาเสริมว่าลูกค้า อุตสาหกรรม และผู้ให้บริการโครงสร้างพื้นฐานต้องตื่นตัวเพื่อป้องกันการหลอกลวงขนาดใหญ่ซ้ําอีก เช่น ที่เกี่ยวข้องกับ OCBC 

"ความกว้างของปัญหาที่หยิบยกขึ้นมาเน้นย้ําว่าเราจําเป็นต้องใช้แนวทางระบบนิเวศเพื่อเสริมสร้างการป้องกันร่วมกันของเราจากการหลอกลวงแบบฟิชชิ่งและการหลอกลวงโดยทั่วไป" "ทุกคนในระบบนิเวศนี้ต้องมีส่วนร่วมในบทบาทของตน"

ในการหลอกลวงฟิชชิ่งของ OCBC จนถึงปัจจุบัน กอง กําลังตํารวจสิงคโปร์ได้ระงับบัญชีธนาคาร 121 บัญชีที่นี่และกู้คืนเงินประมาณ 2 ล้านดอลลาร์สิงคโปร์ เงินของเหยื่ออีก 2.2 ล้านดอลลาร์สิงคโปร์ถูกติดตามไปยังบัญชีธนาคารในต่างประเทศ 89 บัญชี ที่อยู่ IP ในประเทศอย่างน้อย 107 รายการและที่อยู่ต่างประเทศ 171 รายการเชื่อมโยงกับการเข้าถึงบัญชีธนาคาร ทางอินเทอร์เน็ตของเหยื่อโดยไม่ได้รับอนุญาต

เว็บไซต์ฟิชชิ่งจํานวนมากที่ใช้ในการหลอกลวง OCBC โฮสต์บน บริษัท เว็บโฮสติ้งในต่างประเทศตามที่รัฐมนตรีว่าการกระทรวงมหาดไทย Desmond Tan กล่าว เขากล่าวว่า SPF กําลังทํางานร่วมกับตํารวจสากลและหน่วยงานบังคับใช้กฎหมายต่างประเทศเพื่อสอบสวนผู้รับเงินที่โอนไปต่างประเทศรวมถึงโฮสต์ของเว็บไซต์หลอกลวง