ธนาคารสิงคโปร์เตรียมเลิกใช้ OTP แก้ปัญหาลูกค้าโดน phishing

By lew

on 15 July 2024 - 11:37 Tag: Singapore, Banking, Security

Singapore

สมาคมธนาคารสิงคโปร์ประกาศมาตรการเตรียมนำไปสู่การยกเลิกใช้งาน OTP ทั้งระบบ โดยเริ่มจากผู้ใช้ที่เปิดแอป digital token ไว้แล้วภายในสามเดือนข้างหน้าจะไม่สามารถใช้งาน OTP ได้อีก แต่สำหรับผู้ที่ยังไม่ได้ลงแอปนั้นธนาคารจะพยายามผลักดันให้ติดตั้งแอปต่อไป

One-Time Passwords (OTPs) เคยเป็นมาตรฐานที่ดีสำหรับการล็อกอินขั้นที่สอง มันช่วยลดความเสี่ยงที่ผู้ใช้จะถูกขโมยรหัสผ่านได้อย่างมาก อย่างไรก็ดี คนร้ายปรับรูปแบบการโจมตีโดยอาศัยเว็บ phishing ที่สามารถหลอกเหยื่อให้ใส่ OTP ไปยังคนร้าย หรือหากใช้ SMS OTP ก็มีความเสี่ยงที่จะถูกขโมยหมายเลขโทรศัพท์เพิ่มเข้ามา ทุกวันนี้แนวทางการล็อกอินขั้นที่สองต้องพิจารณาถึงการโจมตตี phishing เสมอ เช่น U2F หรือ FIDO ที่ตรวจสอบ URL ของเว็บที่ใช้งานอยู่ตลอดเวลา

Digital Token เปิดทางให้ผู้ใช้สามารถยืนยันการล็อกอินหรือธุรกรรมอื่นๆ ผ่านทางแอปพลิเคชั่นธนาคารได้ โดยผู้ใช้เพียงกดยืนยันการทำธุรกรรมผ่านหน้าจอแอปพลิเคชั่น โดยตัวแอปพลิเคชั่นสามารถยืนยันตัวตนผู้ใช้ที่กดอนุญาตการทำธุรกรรมด้วยลายนิ้วมือ, ใบหน้า, หรือ PIN ได้อีกชั้น ผู้ใช้จะเห็นว่าธุรกรรมที่กำลังยืนยันนั้นเป็นอะไร ทำให้ลดความเสี่ยงในการถูก phishing ที่คนร้ายสามารถนำ OTP ไปทำธุรกรรมอะไรก็ได้

แม้ว่าทางสมาคมธนาคารสิงคโปร์จะขีดเส้นตายไว้ที่สามเดือนข้างหน้า แต่แต่ละธนาคารอาจจะมีกำหนดการต่างกันไป เช่น UOB นั้นกำหนดยกเลิกการใช้ OTP สิ้นเดือนกรกฎาคมนี้

ที่มา - Association of Banks in Singapore

Hiring! บริษัทที่น่าสนใจ

Carmen Software

Hotel Financial Solutions

Next Innovation (Thailand) Co., Ltd.

We are web design with consulting & engineering services driven the future stronger and flexibility.

KKP Dime

KKP Dime บริษัทในเครือเกียรตินาคินภัทร

Kiatnakin Phatra Financial Group

Financial Service

Fastwork Technologies

Fastwork.co เว็บไซต์ที่รวบรวม ฟรีแลนซ์ มืออาชีพจากหลากหลายสายงานไว้ในที่เดียวกัน

Thoughtworks Thailand

Thoughtworks เป็นบริษัทที่ปรึกษาด้านเทคโนโยลีระดับโลกที่คว้า Great Place to Work 3 ปีซ้อน

Iron Software

Iron Software is an American company providing a suite of .NET libraries by engineer for engineers.

CLEVERSE

Cleverse is a Venture Builder. Our team builds several tech companies.

Nipa Cloud

#1 OpenStack cloud provider in Thailand with our own data center and software platform.

Bangmod Enterprise

The leader in Cloud Server and Hosting in Thailand.

CIMB THAI Bank

MOVING FORWARD WITH YOU - CIMB is the leading ASEAN Bank

Bangkok Bank

Bangkok Bank is one of Southeast Asia's largest regional banks, a market leader in business banking

MuvMi (Urban Mobility Tech Co.,Ltd.)

Shape the future of urban mobility towards affordable, clean, and safe solutions

T.N. Digital Solution Co., Ltd.

TNDS has been involving in every first move of banking’s major digital transformation.

KBTG - KASIKORN Business-Technology Group

KBTG - "The Technology Company for Digital Business Innovation"

Siam Commercial Bank Public Company Limited

"Let's start a brighter career future together"

Icon Framework co.,Ltd.

Global Standard Platform for Real Estate แพลตฟอร์มสำหรับธุรกิจอสังหาริมทรัพย์ครบวงจร มาตรฐานระดับโลก

REFINITIV

The Financial and Risk business of Thomson Reuters is now Refinitiv

H LAB

Re-engineering healthcare systems through intelligent platforms and system design.

The Gang Technology Co., Ltd.

We're a Digital Agency that helps our customers transform their business into digital with ease.

LTMH

LTMH มุ่งเน้นการพัฒนาผลิตภัณฑ์ที่สามารถช่วยพันธมิตรของเราให้บรรลุเป้าหมาย

Seven Peaks

We Drive Digital Transformation

Wisesight (Thailand) Co., Ltd.

The Best Choice For Handling Social Media · High Expertise in Social Data · Most Advanced and Secure

MOLOG Tech

We are Modern Logistic Platform, Specialize in WMS, OMS and TMS.

Data Wow Co.,Ltd

We enable our clients to realize increased productivity by solving their most complex issues by Data

LINE Company Thailand

LINE, the world's hottest mobile messaging platform, offers free text and voice messaging + Call

LINE MAN Wongnai

Join our journey to becoming No.1 food platform in Thailand

น่าสนใจ

KuLiKo Mon, 15/07/2024 - 12:17

น่าสนใจ แต่ถ้ามือถือพังไปก็ลาก่อย

กลับไปสาขาครับ เช่นเดียวกับ

lew Mon, 15/07/2024 - 12:35

กลับไปสาขาครับ เช่นเดียวกับ HW OTP พัง

ต่อให้ยังมี otp

forl Mon, 15/07/2024 - 12:37

ต่อให้ยังมี otp แต่ถ้ามีเหตุเช่น มือถือพัง ซิมหาย เบอร์หาย ก็ต้องไปธนาคารไม่ต่างกันครับ

เคยมือถือพังนะครับ

tom789 Mon, 15/07/2024 - 12:55

เคยมือถือพังนะครับ แล้วทุกแอพต้องยืนยันผ่านมือถือหมด ต้องไปซื้อเครื่องใหม่เลย

การไปธนาคารเลยก็ปลอดภัยดี

hisoft Mon, 15/07/2024 - 13:44

การไปธนาคารเลยก็ปลอดภัยดี แต่ถ้ามีเหตุให้ไปธนาคารไม่ได้ สาขาอยู่ไกล (เช่น ไม่ได้อยู่ในไทย) นี่ก็จอดเหมือนกัน

จริงๆ ประเทศเล็กๆ แบบสิงคโปร์น่าจะพอเอาระบบ National Digital ID ไปใช้ได้บ้าง (e.g.)

จริงๆ

lew Mon, 15/07/2024 - 14:22

จริงๆ หลายเคสยอมให้ยืนยันตัวตนใหม่ออนไลน์นะครับ อาจจะเป็น video call แต่ IAL อาาจจะต่ำกว่า ทำธุรกรรมบางประเภทไม่ได้

ตอนที่เพิ่งเปลี่ยนโทรศัพท์ตอน

hisoft Mon, 15/07/2024 - 15:12

ตอนที่เพิ่งเปลี่ยนโทรศัพท์ตอนเดือน 3 นี่เข้าสาขาถี่มากเลยฮะ หลายธนาคารเรียกให้เข้าไปเพื่อยืนยัน บางธนาคารถึงกับต้องเข้าไป dip บัตรประชาชนใหม่เพราะเปลี่ยนบัตรมาปีที่แล้ว ธนาคารไม่มีข้อมูลล่าสุดก็ไม่ยอมให้ทำอะไรเลยจนกว่าจะเข้าไปเอาบัตรเสียบที่สาขา

มันเป็นความสะดวกที่มาพร้อมควา

forl Mon, 15/07/2024 - 12:38

มันเป็นความสะดวกที่มาพร้อมความเสี่ยงล่ะนะ ถ้า OTP มันก็สะดวกดี แต่มันก็เสี่ยงตามความสะดวกที่ได้มา

ในเมืองไทยเห็นหลัก ๆ ก็

FutureLifePlus Mon, 15/07/2024 - 12:41

ในเมืองไทยเห็นหลัก ๆ ก็ UCHOOSE มี ไม่แน่ใจว่าแอปธนาคารอื่นมีแบบนี้เหมือนกันมั้ย

ผมอยากให้ธนาคารไทยรองรับ 2FA

Iamz Mon, 15/07/2024 - 15:27

ผมอยากให้ธนาคารไทยรองรับ 2FA แบบ hardware token มาก จะเอาให้ทุกคนในบ้านใช้เลย

ลงทุนสูงไปหน่อย

Ooh Mon, 15/07/2024 - 15:46

ลงทุนสูงไปหน่อย

หมายถึงต้นทุนฝั่งธนาคารหรือลู

Iamz Mon, 15/07/2024 - 18:04

หมายถึงต้นทุนฝั่งธนาคารหรือลูกค้าครับ ฝั่งธนาคารแค่ทำให้รองรับไม่น่าต้นทุนสูง ส่วนฝั่งลูกค้าก็ให้เป็นทางเลือก ใครมีก็เพิ่มเข้าไปได้ ใครไม่มีก็ใช้แบบตอนนี้เหมือนเดิม

ลงทุนสูงเลยหล่ะ

Ford AntiTrust Mon, 15/07/2024 - 21:38

ลงทุนสูงเลยหล่ะ เพราะมันต้องซื้อ license ตัว iam เพิ่มสำหรับส่วนนี้ เพราะระบบ iam พวกนี้คิด license เป็นจำนวน user ครับ ไม่ใช่แบบเหมา (ยังไม่รวม M/A รายปีอีก ราคาก็ตามจำนวน user ใน iam ด้วย)

นี่อยู่เอสโตเนีย ระบบ

hisoft Mon, 15/07/2024 - 17:29

นี่อยู่เอสโตเนีย ระบบ national ID คือบัตรประจำตัว (smartcard เหมือนๆ ของไทย) และแอปโทรศัพท์ (มีระบบซิมโทรศัพท์ด้วยแต่ยังไม่เคยใช้) เป็น 2FA อัตโนมัติที่มีทุกคนเลย (2FA เพราะนอกจากมีของอย่างตัวบัตรหรือแอปที่ติดตั้งไว้แล้วต้องมี PIN ด้วย PIN1 - สำหรับยืนยันตัว PIN2 สำหรับลงลายเซ็น) เข้าแอปธนาคารไม่ว่าเจ้าไหนก็ใช้อันนี้ login (รวมไปถึงสารพัดระบบ แอป supermarket หรือเลือกตั้งออนไลน์ก็ยังใช้)

แล้วถึงเอาไป login แอปธนาคารได้ (ไม่ว่าด้วยช่องทางใด) พอจะโอนเงินไปที่แปลกก็ต้องลงลายเซ็นด้วย PIN2 อีก (เหมือนเวลาเราไปสาขาแล้วต้องเซ็นใบถอนเพราะลายเซ็นจาก PIN2 มีกำกับว่ามีผลในทางกฎหมาย แต่ออนไลน์)

แล้วแอปไม่ใช่ login แบบกดยืนยันเฉยๆ เป็นการ generate public/private keypair เหมือนในตัว smartcard เลยแล้วมี certificate chain ไล่มาจากทางรัฐอีกที เวลาจะเอาแอปนี้ไปลงเครื่องใหม่ login ด้วย user/password ไม่ได้ต้องเอาบัตรไป login แล้วใช้ PIN2 ลงลายเซ็นด้วยว่าจะสร้าง keypair & cert ใหม่มาใช้

เนี่ย แล้วคือมีทั้งแอปทั้งเว็บ ไม่ตรวจแคปจอ ไม่ตรวจ accessibility service จะใช้อะไรจะทำกันยังไงก็ทำไป ช่องทางดัก login ไปใช้ขโมยเงินนี่กันได้ค่อนข้างดีจากตัวโครงสร้างพื้นฐานเค้า
ถึงอย่างนั้น scammer ก็ยังเยอะนะฮะไม่ใช่ไม่มี แต่เป็นหลอกให้โอนเงินดื้อๆ 🥲 เผลอไม่มีสติไป login online ให้เค้าก็เสียได้เหมือนกัน

อยู่เอสโตเนีย

Tasksenger Mon, 15/07/2024 - 18:18

อยู่เอสโตเนีย นี่เทพด้านระบบสารสนเทศภาครัฐเลยนี่ครับ เขามีระบบอะไรน่าสนใจที่แตกต่างจากที่ไทยบ้างครับ เคยดูข่าวเรื่องสังคมดิจิทัลในเอสโตเนีย แต่มันเป็นภาพรวมๆ ไม่ได้ลงรายละเอียด มีอะไรที่น่าสนใจที่ทำให้ประเทศเขาพัฒนาได้เร็วได้ในระยะแค่ 30 ปีบ้างครับ แชร์หน่อยจะเป็นพระคุณอย่างสูง

เยอะมากจนยังหาเวลาเล่าเป็นเรื

hisoft Mon, 15/07/2024 - 19:22

เยอะมากจนยังหาเวลาเล่าเป็นเรื่องเป็นราวไม่ได้ฮะ 😅 แต่ถ้าสรุปสั้นๆ (จะพยายาม)

national digital ID ที่เล่าไปคร่าวๆ แล้ว หลังได้บัตรแล้วแทบทำทุกอย่างออนไลน์ได้ นี่คือตั้งบริษัทและเซ็นสัญญาเช่าที่และอื่นๆ ออนไลน์ได้หมด พวกสัญญาก็อย่างที่บอกว่า back โดยเทค รัฐไม่ได้เก็บไม่ได้รับผิดชอบให้ ไม่ได้ผูกอยู่กับรัฐ (จริงๆ บัตรนี่ใช้ลงลายเซ็นใน Microsoft Word ได้เลยด้วยซ้ำ แต่ไม่มีผลทางกฎหมาย สาเหตุหลักเค้าบอกเพราะไม่มี server timestamp)
การกระจายป้องกันการผูกขาดค่อนข้างสูง
- สมมติไปรพ. ที่รพ. เหมือนจะออกใบสั่งยาให้อย่างเดียว ไม่ได้ขายยาตรงๆ (แต่ไม่แน่ใจขนาดนั้น ยังไม่เคยฮะ) ตัวใบสั่งยาจะอยู่ในระบบของภาครัฐ เราไปร้านยาแล้วบอกมาซื้อยาตามใบสั่ง ร้านยาจะ query ข้อมูลเราออกมา เราเองก็ดูข้อมูลพวกนี้ได้ที่ระบบกลางของรัฐเหมือนกัน (น่าจะ https://eesti.ee จะเห็นข้อมูลเกือบทั้งหมดของเราที่รัฐมี ชื่อ รูป ที่อยู่ ใบยา ประกัน ใบขับขี่ บัตร พาสปอร์ต บริษัท ภาษีก็เหมือนจะเห็นไม่รู้ต้องไปดูอีกเว็บมั้ย)
- ไม่ต้องห่วงว่าเจ้าตัวจะต้องไปเอง เราเซ็นให้สิทธิ์คนอื่นได้ แบบเรื่องข้อมูลมิเตอร์ไฟข้างล่างนี่เจ้าของบ้านก็มอบสิทธิ์ให้เรามาดูเองได้เลย
- โครงข่ายอินเทอร์เน็ต fiber optic มาถึงตึก ผ่านอะไรไม่รู้มาถึงห้องมีช่องแลนอยู่แล้ว เวลาจะติดก็กดเลือกแพ็คเกจออนไลน์ รอไม่เกิน 15 นาทีเสียบ LAN เข้า router (หรือคอม) ใช้ได้เลย เป็นโครงข่ายกลาง เลือกผู้ให้บริการเองอีกที แบบละเอียดหน่อย
- ไฟฟ้า คล้ายๆ กัน มีโครงข่ายกลางในพื้นที่ เลือกคนขายไฟฟ้าต่างหาก อันนี้ยาวมาก

คลิปนี้ไม่ได้ละเอียดแต่คิดว่าเข้าใจง่าย