Deepfake และ AI Scam คืออะไร?
เมื่อแฮกเกอร์ให้ AI Agent ลงมือแทนตัวเอง SME ไทยต้องรู้ทันแค่ไหน

แฮกเกอร์ใช้ AI Agent โอเพนซอร์สชื่อ Hermes สั่งให้ทำงานในโหมด "YOLO" — สำรวจระบบ ยกระดับสิทธิ์ ค้นหาไฟล์และช่องโหว่ในเครือข่ายกระทรวงการคลังโดยอัตโนมัติ นักวิจัยยังพบคำสั่งให้ AI Agent สำรวจโฟลเดอร์ที่มีเอกสาร PDF, DOC, XLS และข้อมูลบุคลากรของสำนักงานปลัดกระทรวงการคลังด้วย

ตัวเลขที่ต้องรู้ก่อนอ่านต่อ

Deepfake และ AI Scam คืออะไรกันแน่

Deepfake คือเทคโนโลยี AI ที่สร้างภาพ วิดีโอ หรือเสียงปลอมของคนจริงให้สมจริงจนแยกไม่ออกด้วยตาเปล่า ส่วน AI Scam ในความหมายกว้างคือการใช้ปัญญาประดิษฐ์เข้ามาช่วยหลอกลวง ตั้งแต่เขียนข้อความหลอกลวงที่เนียนขึ้น ไปจนถึงกรณีล่าสุดอย่างเคสกระทรวงการคลังที่ AI ลงมือแฮกเองได้บางส่วน โดยแทบไม่ต้องมีคนคอยสั่ง

สำหรับ SME ภัยจาก AI ที่ต้องระวังแบ่งเป็น 3 กลุ่มหลัก:

1. Voice Cloning — โคลนเสียงคนที่คุณไว้ใจ

แค่มีคลิปเสียง 3 วินาทีจากคลิปสัมภาษณ์ วิดีโอประชุม หรือคลิปที่โพสต์ในโซเชียล มิจฉาชีพก็โคลนเสียงเจ้าของธุรกิจ กรรมการ หรือหัวหน้าฝ่ายบัญชีได้แล้ว ใช้โทรสั่งพนักงานให้โอนเงินด่วน เหมือนเคสที่นักธุรกิจในสวิตเซอร์แลนด์ต้นปี 2026 ถูกหลอกโอนเงินหลายล้านฟรังก์สวิสไปบัญชีในเอเชีย เพราะเชื่อว่าคุยโทรศัพท์กับคู่ค้าจริง ทั้งที่เสียงนั้นเป็นเสียงโคลน

2. Deepfake วิดีโอ — ปลอมทั้งหน้าตาในวิดีโอคอล

นี่คือระดับที่อันตรายกว่าเดิมมาก เพราะคนส่วนใหญ่เชื่อสิ่งที่ "เห็น" มากกว่าสิ่งที่ "อ่าน" เคสฮ่องกงข้างต้นคือตัวอย่างสุดโต่ง — พนักงานฝ่ายการเงินเข้าประชุมวิดีโอคอลที่มีคนอื่นในจอ 5-6 คน ซึ่งเป็นภาพปลอมทั้งหมด สร้างจากคลิปประชุมเก่าที่หาได้ในระบบขององค์กร

3. AI Agent ที่ลงมือโจมตีเอง — ภัยรูปแบบใหม่ที่โตเร็วที่สุด

เคสกระทรวงการคลังไทยคือหลักฐานว่าภัยนี้ไม่ใช่เรื่องอนาคตอีกแล้ว นักวิจัยจาก Hunt.io ยังพบว่าเมื่อ 2 สัปดาห์ก่อนหน้านั้น มีกลุ่มที่คาดว่าเป็นแฮกเกอร์จีนใช้ Claude Code และ DeepSeek โจมตีระบบการเงินใน 4 ประเทศพร้อมกันในลักษณะเดียวกัน — AI Agent ทำให้แฮกเกอร์คนเดียวโจมตีได้เหมือนมีทีมงานทั้งทีม และทำได้ตลอด 24 ชั่วโมงโดยไม่ต้องพัก

ทำไม SME ไทยต้องสนใจ ไม่ใช่แค่หน่วยงานรัฐหรือบริษัทใหญ่

หลายคนอ่านข่าวกระทรวงการคลังแล้วคิดว่า "เป้าหมายระดับนั้นไม่เกี่ยวกับธุรกิจเล็กๆ แบบเรา" แต่ตัวเลขในไทยบอกตรงกันข้าม

สคส. (PDPC) ระบุในโอกาสครบรอบ 4 ปีขององค์กรว่า ความเสียหายจากอาชญากรรมออนไลน์ในไทยเพียง 4 เดือนแรกของปี 2569 สูงถึง 7.48 พันล้านบาท ท่ามกลาง "ภูมิทัศน์ความเสี่ยงทางดิจิทัลที่ซับซ้อนอย่างไม่เคยเป็นมาก่อน" ซึ่งรวมทั้งการใช้ AI ในทางผิดและเทคโนโลยี Deepfake โดยเฉพาะ

Deepfake CEO Fraud: BEC เวอร์ชัน 2.0

ธุรกิจไทยหลายรายเริ่มรู้จัก Business Email Compromise (BEC) — อีเมลปลอมสั่งโอนเงินอยู่แล้ว แต่ Deepfake CEO Fraud คือวิวัฒนาการขั้นถัดไปที่หลอกได้แนบเนียนกว่าเดิมมาก เพราะเพิ่ม "หลักฐานเสียงและภาพ" เข้าไปยืนยันความน่าเชื่อถือของอีเมลปลอม

ป้องกันอย่างไร: มาตรการที่ SME ทำได้จริงโดยไม่ต้องใช้งบสูง

1. ตั้ง "คำสั่งโอนเงินต้องมีขั้นตอนยืนยัน" ที่ AI ปลอมไม่ได้

ห้ามอนุมัติการโอนเงินก้อนใหญ่จากคำสั่งทางเสียงหรือวิดีโอคอลเพียงอย่างเดียว ให้มีขั้นตอนยืนยันที่สอง เช่น โทรกลับไปยังเบอร์ที่บันทึกไว้ล่วงหน้า (ไม่ใช่เบอร์ที่โทรเข้ามา) หรือกำหนดรหัสยืนยันภายในที่ใช้พูดในทุกธุรกรรมสำคัญ

2. ตั้งกฎ "Two-Person Rule" สำหรับธุรกรรมใหญ่

กำหนดว่าธุรกรรมเกินวงเงินที่ตั้งไว้ต้องมีผู้อนุมัติ 2 คนขึ้นไปเสมอ ไม่ว่าใครจะเป็นคนสั่งก็ตาม เพราะการหลอกให้คนคนเดียวเชื่อ ง่ายกว่าหลอกให้คน 2 คนเชื่อพร้อมกันมาก

3. อบรมพนักงานฝ่ายบัญชีและการเงินเป็นพิเศษ

พนักงานกลุ่มนี้คือเป้าหมายอันดับ 1 ของ Deepfake CEO Fraud ควรรู้ตัวอย่างเคสจริงและซ้อมสถานการณ์จำลอง ดู แนวทางอบรมพนักงานด้าน Cybersecurity

4. จำกัดข้อมูลเสียง-ภาพของผู้บริหารที่เผยแพร่สาธารณะ

ไม่ได้แปลว่าห้ามทำคอนเทนต์หรือออกสื่อ แต่ควรตระหนักว่าคลิปสัมภาษณ์ยาวๆ ที่มีเสียงชัดคือวัตถุดิบให้มิจฉาชีพ พิจารณาว่าคลิปไหนจำเป็นต้องเปิดสาธารณะจริงๆ

5. ปิดช่องทางที่ AI Agent แฮกเกอร์ใช้เจาะระบบ

เคสกระทรวงการคลังใช้ AI ทำ system enumeration, privilege escalation และหาช่องโหว่อัตโนมัติ — มาตรการพื้นฐานอย่าง เปิด MFA ทุกบัญชี, ปิดบัญชีพนักงานเก่า และหลักการ Zero Trust ยังคงเป็นเกราะป้องกันที่ได้ผล เพราะ AI Agent ก็ยังต้องอาศัยช่องโหว่พื้นฐานแบบเดิมในการเจาะเข้าระบบ

6. เตรียมแผนรับมือไว้ล่วงหน้า

ถ้าพบว่าโอนเงินให้มิจฉาชีพไปแล้ว ความเร็วในการแจ้งธนาคารและตำรวจภายในไม่กี่ชั่วโมงแรกคือปัจจัยชี้ขาดว่าจะอายัดเงินทันหรือไม่ ดู วิธีสร้าง Incident Response Plan ฉบับ SME

เช็กลิสต์: ธุรกิจคุณพร้อมรับมือ Deepfake Scam แค่ไหน

คำถามที่พบบ่อย

Q: AI Agent ที่โจมตีกระทรวงการคลังไทย ขโมยข้อมูลไปได้จริงหรือไม่?
A: จากรายงานของ Hunt.io ยังไม่พบหลักฐานว่ามีการดึงข้อมูล (exfiltrate) ออกจากระบบ แต่พบว่าเครื่องมือถูกวางไว้พร้อมขยายการเข้าถึงต่อ และ AI Agent ถูกสั่งให้สำรวจโฟลเดอร์ที่มีเอกสารสำคัญไว้แล้ว

Q: ธุรกิจเล็กจะโดน Deepfake วิดีโอคอลแบบเคสฮ่องกงได้จริงหรือ ดูเป็นเรื่องไกลตัว?
A: เคสฮ่องกงเกิดกับบริษัทข้ามชาติขนาดใหญ่ก็จริง แต่เทคโนโลยีเดียวกันตอนนี้มีต้นทุนต่ำลงมากจนใครก็เข้าถึงได้ ความเสี่ยงของ SME ไม่ใช่การถูกเลือกเป้าหมายแบบละเอียด แต่คือการถูกใช้เทคนิคเดียวกันในรูปแบบที่ง่ายกว่า เช่น โทรศัพท์เสียงโคลนแทนวิดีโอคอลแบบเต็มรูปแบบ

Q: จะรู้ได้อย่างไรว่ากำลังคุยกับเสียงหรือวิดีโอปลอม?
A: ไม่มีวิธีสังเกตด้วยตาเปล่าที่แม่นยำ 100% เพราะเทคโนโลยีพัฒนาเร็วมาก วิธีที่ได้ผลที่สุดคือ "ไม่เชื่อจากช่องทางเดียว" ต้องยืนยันซ้ำผ่านช่องทางอื่นที่รู้จักกันมาก่อนเสมอ โดยเฉพาะเรื่องเงิน

Q: ถ้าไม่มีงบซื้อระบบตรวจจับ Deepfake ทำอะไรได้บ้าง?
A: มาตรการที่ได้ผลที่สุดไม่ใช่เทคโนโลยีราคาแพง แต่คือ "กระบวนการ" — Two-Person Rule, เบอร์โทรยืนยันที่ตั้งไว้ล่วงหน้า และการอบรมพนักงาน ซึ่งแทบไม่มีต้นทุน แต่สกัดกลโกงประเภทนี้ได้เป็นส่วนใหญ่

สรุป

บทความที่เกี่ยวข้อง

แหล่งอ้างอิง

• Dark Reading — AI Agent Drives Espionage Attack on Thai Ministry of Finance
• Hunt.io — Thailand Ministry of Finance Targeted With Hermes AI Agent
• CNN — Finance worker pays out $25 million after video call with deepfake 'chief financial officer'
• Thairath — เผยแค่ 4 เดือนปี 2569 มูลค่าความเสียหายจากอาชญากรรมออนไลน์ในไทยพุ่ง 7.48 พันล้าน (สคส.)
• เดลินิวส์ — ที่ 9 โลก! ไทยติดอันดับเสียภัยไซเบอร์พุ่ง สกมช. เตือนปี 26 ระวัง AI Deepfake
• Adaptive Security — Understanding Deepfake Voice Fraud: AI Voice Cloning Risks