Business Email Compromise (BEC) คืออะไร?
เมื่ออีเมลปลอมสั่งโอนเงินธุรกิจคุณ
บ่ายวันศุกร์ ฝ่ายบัญชีได้รับอีเมลจาก "กรรมการผู้จัดการ" ที่กำลังเดินทาง สั่งให้โอนเงินมัดจำ Supplier เจ้าใหม่ 850,000 บาทด่วน ลายเซ็นถูกต้องทุกตัวอักษร — สามวันต่อมาถึงรู้ว่าไม่เคยมีอีเมลนี้อยู่จริง และเงินโอนเข้าบัญชีมิจฉาชีพไปแล้ว นี่คือ Business Email Compromise (BEC) ภัยที่ไม่ต้องแฮกระบบเลย แค่หลอกให้ "คนโอนเงินเอง"
Business Email Compromise คืออะไร?
BEC คือการโจมตีที่แฮกเกอร์ปลอมตัวเป็นผู้บริหาร เจ้าของธุรกิจ หรือ Supplier ที่น่าเชื่อถือ ผ่านทางอีเมล เพื่อหลอกให้พนักงานโอนเงินหรือเปิดเผยข้อมูลสำคัญ
ต่างจาก Phishing ทั่วไปตรงที่ BEC ไม่มีลิงก์ปลอมหรือมัลแวร์แนบมาให้สังเกต — อาศัยความไว้ใจ ความเร่งด่วน และตำแหน่งอำนาจของผู้ส่ง (สมมติ) เป็นอาวุธหลัก
รูปแบบของ BEC ที่ SME ไทยเจอบ่อย
| รูปแบบ | วิธีการ | เป้าหมาย |
|---|---|---|
| CEO Fraud | ปลอมเป็นผู้บริหารสั่งโอนเงินด่วน | ฝ่ายบัญชี/การเงิน |
| Fake Invoice / Supplier Swap | ปลอมเป็น Supplier แจ้งเปลี่ยนเลขบัญชี | ฝ่ายจัดซื้อ/บัญชี |
| Payroll Diversion | ปลอมเป็นพนักงานขอเปลี่ยนบัญชีรับเงินเดือน | ฝ่าย HR/บัญชีเงินเดือน |
| Attorney/Legal Impersonation | ปลอมเป็นทนายเร่งโอนเงินเรื่องด่วนลับ | ผู้บริหารระดับสูง |
| Data Theft BEC | ปลอมเป็นผู้บริหารขอข้อมูลพนักงาน | HR |
ทำไม BEC ถึงหลอกคนได้ง่ายกว่าที่คิด
1. Domain Spoofing หรือ Look-alike Domain
อีเมลผู้ส่งอาจดูคล้ายของจริงมาก เช่น บริษัทจริงใช้ @company.com แต่มิจฉาชีพจดโดเมนคล้ายกันอย่าง @compqny.com หรือ @company-th.com ซึ่งคนอ่านผ่านๆ มักไม่ทันสังเกต
2. Account Takeover — แฮกอีเมลจริงได้
กรณีร้ายแรงกว่านั้นคือแฮกเกอร์เข้าบัญชีอีเมลจริงของผู้บริหารหรือ Supplier ได้สำเร็จ แล้วส่งอีเมลจากบัญชีจริงเลย — ตรวจจับยากที่สุดเพราะทุกอย่างคือของจริง 100%
3. อาศัยจังหวะและความเร่งรีบ
มักเลือกส่งช่วงบ่ายวันศุกร์ ก่อนวันหยุดยาว หรือช่วงที่ผู้บริหารตัวจริงเดินทาง เพื่อให้พนักงานรีบตัดสินใจโดยไม่ทันยืนยัน
4. ศึกษาโครงสร้างองค์กรมาก่อน
มิจฉาชีพมักหาข้อมูลจาก LinkedIn เว็บไซต์บริษัท หรือข่าวประชาสัมพันธ์ เพื่อรู้ว่าใครดูแลการเงิน และเขียนอีเมลให้สมจริงที่สุด
8 สัญญาณเตือน BEC ที่ต้องสังเกตให้ออก
🚩 Red Flags
- 1. ที่อยู่อีเมลผิดเพี้ยนเล็กน้อยตรวจสอบ Domain ให้ละเอียด ไม่ใช่แค่ชื่อที่แสดง
- 2. ขอให้เก็บเป็นความลับผู้บริหารจริงแทบไม่เคยขอให้ปกปิดธุรกรรมจากทีมงานคนอื่น
- 3. เร่งด่วนผิดปกติ"ต้องโอนภายในวันนี้" หรือ "ติดต่อทางอื่นไม่ได้ตอนนี้"
- 4. ขอเปลี่ยนบัญชีปลายทางกะทันหันSupplier เดิมแจ้งเปลี่ยนเลขบัญชีทางอีเมลเพียงอย่างเดียว
- 5. โทนภาษาหรือลายเซ็นผิดจากปกติผู้บริหารไม่เคยเขียนแบบนี้มาก่อน
- 6. ติดต่อกลับทางโทรศัพท์ไม่ได้ข้ออ้าง "โทรไม่สะดวก" ควรเป็นสัญญาณเตือน
- 7. ข้ามขั้นตอนอนุมัติปกติไม่มี PO หรือลายเซ็นอนุมัติหลายคนตามกระบวนการ
- 8. Reply-To ไม่ตรงกับผู้ส่งตรวจสอบก่อน Reply ทุกครั้ง
Checklist: ก่อนโอนเงินตามคำขอทางอีเมลทุกครั้ง
✅ ตรวจสอบ Domain ผู้ส่งอย่างละเอียด ทุกตัวอักษร
✅ เช็คกับกระบวนการอนุมัติปกติของบริษัท ว่าครบขั้นตอนหรือไม่
✅ สงสัยไว้ก่อนหากมีการขอเปลี่ยนบัญชีธนาคารกะทันหัน
✅ ปรึกษาเพื่อนร่วมงานอีกคนก่อนตัดสินใจ โดยเฉพาะยอดเงินก้อนใหญ่
วิธีป้องกันธุรกิจจาก BEC
สำหรับองค์กร SME
1. ตั้ง Policy "ยืนยัน 2 ช่องทางเสมอ" — ไม่ว่าจะเร่งด่วนแค่ไหน คำขอโอนเงินหรือเปลี่ยนบัญชีปลายทางต้องยืนยันด้วยโทรศัพท์หรือพบหน้าเสมอ ไม่ใช่แค่ทางอีเมล
2. เปิดใช้ MFA บนอีเมลผู้บริหารและฝ่ายการเงินทุกคน — ป้องกัน Account Takeover ซึ่งเป็นกรณี BEC ที่อันตรายที่สุด → อ่านวิธีตั้งค่า MFA ที่นี่
3. ใช้ Email Security Gateway ที่ตรวจจับ Domain Spoofing — ตั้งค่า DMARC/SPF/DKIM เพื่อบล็อกอีเมลปลอมจาก Look-alike Domain
4. อบรมพนักงานฝ่ายบัญชีและจัดซื้อโดยเฉพาะ — ฝ่ายที่มีอำนาจอนุมัติการเงินคือเป้าหมายหลักของ BEC
5. จำกัดข้อมูลที่เปิดเผยต่อสาธารณะ — ระวังการโพสต์ตารางเดินทางผู้บริหารหรือโครงสร้างองค์กรบน Social Media
6. ใช้ Password Manager คู่กับ MFA — ลดความเสี่ยง Account Takeover จากรหัสผ่านที่ใช้ซ้ำ → รู้จัก Password Manager สำหรับ SME
สำหรับพนักงานทุกคน
ถ้าตกเป็นเหยื่อ BEC แล้ว ต้องทำอะไรทันที?
ภายใน 1 ชั่วโมงแรก
ภายใน 24 ชั่วโมง
FAQ: คำถามที่ SME ถามบ่อย
Q: BEC ต่างจาก Phishing ทั่วไปอย่างไร?
A: Phishing มักมีลิงก์ปลอมหรือไฟล์แนบอันตรายให้สังเกต ส่วน BEC เป็นข้อความล้วนๆ ที่อาศัยการปลอมตัวเป็นบุคคลที่น่าเชื่อถือ ระบบ Filter ทั่วไปจับได้ยากกว่ามาก
Q: มี MFA แล้วยังเสี่ยง BEC ไหม?
A: ลดความเสี่ยงได้มากในกรณี Account Takeover แต่ยังต้องมี Policy "ยืนยัน 2 ช่องทาง" คู่ไปด้วย เพราะ Domain Spoofing ไม่จำเป็นต้องแฮกบัญชีจริง
Q: เงินที่โอนไปแล้วเรียกคืนได้ไหม?
A: มีโอกาสถ้าแจ้งธนาคารเร็วมากภายในไม่กี่ชั่วโมง แต่ยิ่งช้าโอกาสยิ่งลดลงมาก
Q: ธุรกิจเล็กๆ จะโดน BEC ไหม?
A: เจอได้เสมอ เพราะมิจฉาชีพเลือกเป้าหมายจากกระบวนการอนุมัติที่หละหลวม ไม่ใช่แค่ขนาดของธุรกิจ
Q: ควรเชื่ออีเมลจาก Supplier ที่ขอเปลี่ยนบัญชีธนาคารไหม?
A: ไม่ควรเชื่อทันที ต้องโทรยืนยันกับ Supplier โดยตรงผ่านเบอร์ที่มีอยู่แล้วก่อนโอนเงินทุกครั้ง
ไม่แน่ใจว่าองค์กรของคุณป้องกัน BEC ได้ดีพอหรือยัง?
CyberAlpha ให้บริการประเมิน Email Security และออกแบบ Policy ป้องกัน BEC ที่เหมาะกับกระบวนการทำงานของธุรกิจคุณโดยเฉพาะ
ขอคำปรึกษาฟรี ดู Email Security Solutions