By: lew 
on 29 December 2018 - 23:23
Tags:
Topics:
วันนี้มีผู้ใช้ Pantip หมายเลข 1578957 เล่าถึงประสบการณ์ถูกคนร้ายหลอกให้กดยอมรับการตัดบัญชีโดยตรง (direct debit) จากบัญชีธนาคาร เพื่อเติมเงินบัญชี True Money โดยคนร้ายสมัครโดยใช้หมายเลขโทรศัพท์ของคนร้ายเอง แต่ใช้ข้อมูลของเจ้าของกระทู้เพื่อขอตัดเงินบัญชีธนาคาร เมื่อเจ้าของกระทู้พลาดกดตอบรับ ก็เป็นการให้สิทธิ์คนร้ายดูดเงินไปทั้งหมด
ความผิดพลาดคงมีทั้งตัวเหยื่อเองที่ไม่ได้ทำความเข้าใจก่อนกด "ยอมรับ", ทางธนาคารที่ออกแบบหน้าจอไม่ชัดเจนว่ากำลังให้สิทธิ์อะไรไป, รวมถึงทาง True Money ที่ยอมให้ผูกบัญชีโดยที่หมายเลขโทรศัพท์ไม่ตรงกับหมายเลขเจ้าของบัญชี โดยล่าสุดเจ้าของกระทู้ก็ระบุว่า ได้รับเงินคืนเรียบร้อยแล้ว
การผูกบัญชี direct debit เองแม้จะมีความสะดวกในการใช้งาน และหลายครั้งก็มีโปรโมชั่นจูงใจให้สมัครใช้งาน แต่ทุกคนควรระวังว่าบริการเหล่านี้มีอำนาจในการดูดเงินออกบัญจากบัญชีได้ทั้งหมด ที่สำคัญคือการยกเลิกการผูกบัญชีต้องเดินทางไปยังสาขาเพื่อส่งแบบฟอร์ม (แม้ว่าตอนสมัครจะสมัครออนไลน์ได้ก็ตาม) ตัวผมเองแม้จะผูกบัญชีไว้เพื่อใช้งานแต่พอเปลี่ยนใจแล้วไปส่งแบบฟอร์มยกเลิก พบว่าการผูกบัญชียังไม่ยกเลิกไปโดยไม่ได้รับติดต่อว่ามีปัญหาอะไร (ทางธนาคารกสิกรไทยเคยระบุว่า "ทั้งนี้จะขึ้นอยู่กับบริษัทปลายทาง")
การใช้งานที่มีความเสี่ยงเช่นนี้ควรใช้งานกันด้วยความระมัดระวังครับ
ที่มา - Pantip: 38408223
Get latest news from Blognone
Follow @twitterapi
Hiring! บริษัทที่น่าสนใจ
Blognone Jobs Premium
Cloudnone
- Kubernetes คืออะไร [Part 1] เกิดขึ้นมาอย่างไร? ทำไมต้องใช้มัน? | Cloudnone EP.14
- CI/CD ยังไงดี ตั้งเซิร์ฟเวอร์เอง vs เช่าคลาวด์ | Cloudnone EP.13
- รู้จักโน้ตบุ๊กบนคลาวด์ เช่าใช้งาน Jupyter Notebook ที่ไหนดี | Cloudnone Ep.12
- สรุปข่าวใหญ่ปี 23 และคาดการณ์เทรนด์ปี 24 ในวงการ Cloud | Cloudnone EP.11
- สรุปของใหม่และสาระสำคัญจาก AWS re:Invent 2023 | Cloudnone Special EP
Comments
ผมเช็ครอบล่าสุดกับบัญชีที่ผูกไว้ ใน K PLUS เองก็ยังไม่มีแจ้งว่าผูกอะไรไว้บ้าง (หรือผมหาไม่เจอเอง?) ไม่ต้องไปถึงการยกเลิกการผูกที่ควรทำได้จากในแอปเลย
lewcpe.com, @wasonliw
ผมไม่เคยคิดจะใช้ APP ของธนาคารผ่านโทรศัพท์
เหตุเพราะ มันทำธุรกรรมง่ายเกินไป
ผมมองว่าการใช้ง่ายหรือยากไม่ได้เกี่ยวกับระดับความปลอดภัยครับ การที่ทำธุรกรรมยุ่งยากไม่ได้แปลว่ามันปลอดภัยเสมอไป และการทำธุรกรรมได้ง่ายก็ถือเป็นเรื่องดี แต่ควรมาพร้อมกับความปลอดภัยด้วยเช่นกัน
เวลาออกแบบระบบ มันมี trade-off ครับ
กรณีนี้คือ
ลดขั้นตอนการทำธุรกรรม แต่ก็แลกด้วยลดความปลอดภัย/ความถูกต้องไปด้วยครับ
App เครือ CP อีกละเหรอ บ่อยเนาะ
ไม่ได้ใช้ kbank นะครับ อาศัยอ่านเอาผิดถูกยังไงขออภัยนะครับ
ผมไม่โทษ 3rd party นะครับ ผิดเต็มๆคือ kbank ที่ไป trust 3rd party คือตัวเองเป็นธนาคารแต่ไม่รอบคอบ ทรูมารีเควสขอเชื่อมต่อตัดตรงได้เลยหรอและ Trust มันขนาดนั้นเลยหรือไง มันควรออกแบบให้เวลาจะขอเชื่อมต่อ ต่างฝ่ายต้องกรอก key กันเองไหม ทรูก็ต้องกรอกคีย์ที่อนุญาตจากเคแบ้งค์ เคแบ้งก็ก็ต้องกรอกคีย์ที่ได้จากทรูอะไรงี้ ไม่ใช่แค่ทรูขอเชื่อมมาอนุญาตเลย หลักฐานหรือใบสัครก็ยอมรับจากทรูเลย คือเห้ยคุณเป็นธนาคารนะเว้ย ไปยอมรับจากค่ายมือถือที่เปิดเบอร์ก็ไม่ตรวจสอบบัตรให้ตรงจนมีเรื่องมีราวมาเนี่ยนะ ความปลอดภัยอยู่ไหน และตอนยกเลิกอีกขึ้นกับบริษัทปลายทาง... คือควรจะยกเลิกผ่านแอพมือถือได้เองเลยไหม รู้สึกแย่กับมาตรฐานธนาคาร
ผมมองว่า process ควร "กลับข้าง" กันครับ
จะผูกบัญชี (ซึ่งทำได้นะ มันมีความจำเป็นเหมือนกัน) ควร "ไปสาขา" พนักงานต้องแจ้งต่อหน้าว่านี่คือการให้สิทธิ์ผูกบัญชี ปลายทางมีสิทธิ์ถอนเงินออกไป แจ้งต่อหน้าแล้วค่อยเซ็น
กลับกันคือการยกเลิก นี่ควรกดทีเดียวในแอปแล้วหลุดเลย วันไหนเราไม่ไว้ใจแอปไหนแล้ว กดสองที ยืนยัน PIN/fingerprint อีกรอบต้องหลุดเลย
lewcpe.com, @wasonliw
ไม่จำเป็นต้องกลับขาครับ แต่จะผูกจะถอน ควรทำแค่ฝั่งธนาคารเท่านั้น พอไปสืบดูกสิกรใช้แค่ข้อมูลที่ไม่เป็นความลับอะไรเลยในการให้ทรูส่งคำสั่งไปขอผูกตัดตรง ปลอดภัยสุดๆ
เลขบัตรประชาชน << ใครเคยเห็นหรือเคยมีหรือได้เลขมาจากที่ไหนๆ บริการไหนๆ เพื่อน ญาติ ยามหน้าตึก
หมายเลขบัญชีกสิกร << อันนี้ยากหน่อย แต่มันก็ไม่ยากเกิน ใครขายของ ใครเข้าถึงเอกสาร hr เพื่อนที่เคยโอนเงิน ใครที่เคยโอนเงิน
เบอร์มือถือที่ใช้กับกสิกร << ส่วนใหญ่ก็เบอร์ตัวเองนั่นแหละ แจกเบอร์ใครไปมั่ง มันต้องเป็นเบอร์ที่ active อยู่เพราะต้องติดต่อธนาคารเผื่อรับ sms
อีเมล์ << ไม่ได้ลับอะไรเล้ยยยย รับส่งเมลต้องมีเมลแยกของธนาคารเลยไหม
เท่าที่ดูคือข้อมูลไว้เชื่อมต่อ มันเป็นข้อมูล public ที่เราต้องไปแจกคนอื่นทั้งนั้น
อันนี้จริง ลูกค้าควร authen ก่อนผูก
แต่ในแง่ "ความง่าย" แล้วผมยืนยันเหมือนเดิมครับ การอนุญาตให้คนอื่นมาถอนเงินแทนเราได้ต้อง "ยากกว่า" การถอนสิทธิ์ออก การลดสิทธิ์ต้องง่ายเสมอ
lewcpe.com, @wasonliw
สาขาอาจลำบากครับ อนาคตคงน้อยลงหาสาขายาก (ฮาๆ) ตอนเชื่อมต่ออาจต้องทำยากๆ หน่อยแต่ไม่จำเป็นต้องสาขา เช่น ต้องกรอก key ที่ 3rd party ไปขอมาจาก kbank เพื่อยืนยันผ่านในมือถือ แต่เวลายกเลิกก็กดยกเลิกไปได้เลยผ่านมือถือ ทั้งนี้ก็ต้องผ่านช่องทางของธานาคารเท่านั้น
ทำรายการผ่านตู้ ATM มั้ยครับ อย่างน้อยก็ยังยืนยันด้วยตัวบัตร (ถ้าใช้แบบ chip ก็พอยืนยันได้ว่าบัตรจริง ไม่ได้ skim มา) และรหัส ATM อีก 6 หลัก
ส่วนจะยืนยันความเป็นเจ้าของด้วย OTP อีกที (ที่สามารถดักได้ถ้าติด malware) หรือเปล่าก็ต้องเป็น Process ที่ธนาคารต้องไปคิดถึงความรอบคอบรัดกุม
เรื่องการผูกวิธีปัจจุบันอาจจะง่ายหน่อย (เพราะการ design ui ไม่ดี) แต่ยังไงก็ควรให้อยู่ในระดับที่สามารถนั่งทำที่บ้านเองได้โดยไม่ต้องออกไปไหนครับ
ถ้าจะปรับปรุงแบบที่ไม่เพิ่มความยุ่งยากมากไป ฝั่ง kplus ควรขึ้นให้กรอกเบอร์ tm wallet ที่จะเอามาผูก เพื่อยืนยันอีกครั้งครับ
แต่สิ่งเลวร้ายที่สุดสำหรับกรณีนี้คือ ไม่สามารถถอนการผูกได้ด้วยตนเอง ไปสาขาก็ยังถอนไม่ได้นี่ล่ะ
อันนี้ไม่เห็นด้วยเสมอไป คิดว่าไม่จำเป็นต้อง "ทำต่อหน้าเจ้าหน้าที่" (face-to-face) นี่คงเป็นปกติ แต่ธุรกรรมบางอย่างที่สำคัญมาก (อย่างเคสนี้) ควรพิจารณาให้ต้องทำตามจุดที่กำหนด อย่างตู้ kiosk
มันเป็นธุรกรรมที่โดยทั่วไปไม่มีใครทำบ่อย น่าจะใกล้เคียงกับการเปิด-ปิดบัญชี
lewcpe.com, @wasonliw
scb ผูกกับ wallet ต้องใช้เลขหน้าบัตร กับรหัสบัตรเอทีเอ็มด้วย ผมว่าปลอดภัยกว่า kbank พอสมควรครับ
เห็นด้วยครับ ฝั่งธนาคารพยายามทำให้ง่ายมากที่สุดที่จะให้เกิดธุรกรรมบนแพลตฟอร์มของตัวเอง จนความปลอดภัยหายไปหมด
ทำไมผมกลับมองว่า KBank ใช้ข้อมูลง่ายไป ถ้าเปรียบเทียบกับธนาคารอื่นๆที่อยู่ใน True Money Wallet คือ SCB,BBL,KTB 3 ธนาคารนี้ให้ใช้ข้อมูลเลขหน้าบัตร ATM เเละรหัส ATM ในการผูกเลยซึ่งเป็นข้อมูลที่หาได้ยาก แต่ KBank กลับใช้แค่บัญชีและเลขบัตรประชาชนแค่นั้นเองก็ส่งไปกดอนุมัติที่แอพแล้ว
เท่าที่ผมอ่านในกระทู้ต้นฉบับ กำลังมองว่ากระบวนการที่กสิกรใช้มันคล้ายๆ กับกระบวนการล็อกอินแบบ OAuth นะ (ถ้าไม่รู้จัก ให้คิดถึงเวลาเราล็อกอินเว็บต่างๆ ด้วย Facebook หรือ Google) คือ ขึ้นให้ผู้ใช้ยืนยันก่อนมอบสิทธิ์ให้ผู้ขอ ซึ่งกระบวนการนี้ "อาจจะ" ปลอดภัยเพียงพอ แต่ปัญหาคือ UI ที่ใช้ยืนยันมันใช้ศัพท์ภาษาอังกฤษ คนที่ไม่รู้จักก็จะไม่เข้าใจว่าคืออะไร แถม จขกท. เค้าบอกเองว่า
ก็อาจจะแปลว่า K-plus อาจส่งการแจ้งเตือนมากเกินไป อาจเข้าข่าย security fatigue ก็ได้ (ซึ่งอันนี้ผมไม่ทราบ ไม่เคยใช้ K-plus เหมือนกัน)
ในความเห็นผม UI ดังกล่าวควรจะชี้แจงให้ชัดเจนว่า
- กำลังจะกดยืนยันอะไร (หักบัญชีอัตโนมัติ)
- โดยผู้ให้บริการอะไร (True Money Wallet)
- ผลกระทบมีอะไรบ้าง (True Money Wallet สามารถหักบัญชีของท่านได้โดยไม่ต้องยืนยันกับท่านอีก)
- อื่นๆ เช่น "True Money Wallet ไม่มีความเกี่ยวข้องกับธนาคารกสิกรไทย" หรือ "ท่านสามารถยกเลิกสิทธิ์นี้ได้ตลอดเวลาผ่าน...."
- "กด 'อนุญาต' หากท่านเชื่อถือ True Money Wallet เท่านั้น"
บวกกับก่อนอนุญาตให้ส่ง OTP มาที่มือถืออีกซักทีนึง น่าจะช่วยได้พอสมควรแล้วมั้งครับ
OAuth นี่ถ้าเว็บที่ดี เขาแจ้งชัดเลยนะครับ
ประมาณว่า "ท่านกำลังให้สิทธิ์เว็บ BN เพื่อเข้าถึงข้อมูลโปรโฟล์, ให้สิทธิ์ในการโพสแทนตัวท่าน" อะไรประมาณนี้
lewcpe.com, @wasonliw
ผมว่าต่ำกว่า OAuth ครับ จุดเริ่มต้นของ login Facebook มันอยู่ที่ Facebook เปรียบเสมือนคุณกดสั่งผ่านเฟสคุณ ถ้าไม่มีเซสซั่นมันก็จะเด้งหน้าต่างของเฟสบุ๊คมาให้กรอก ถ้ามีก็จะบอกว่าแอพนี้ต้องการอะไรไว้ แต่ของ kplus จุดเริ่มต้นอยู่ที่ทรู ไม่มีการเชื่อมต่อมาหา kplus เลย ยกเว้นแต่แจ้งให้กดยอมรับ
สมมติว่าเฟสบุ๊คทำตัวเสมือนกสิกร เวลา login ระบบมันไม่โอนหน้าต่างเชื่อมต่อหาเฟสนะ ผมแค่กรอกข้อมูลส่วนตัวนิดหน่อยผ่านแอพนั้นๆที่ไม่ใช่เฟส มันก็จะไปเด้งหาเจ้าของเฟสเพื่อให้กดยอมรับพร้อมกับแจ้งข้อความนิดหน่อยให้เจ้าของเฟส ผมว่ากระบวนการมันแปลกไปสักหน่อย
ยกตัวอย่างง่ายๆถ้าผมมีข้อมูลคุณเพียงพอ ผมก็แค่ก็ส่งการเชื่อมต่อมาเรื่อยๆ รอคุณพลาดกดยอมรับผมก็ได้เงิน เพราะจุดเริ่มต้นมันไม่ได้มาจากคุณเอง
เห็นด้วยล้านเปอร์เซ็นต์
คือจุดเริ่มต้นมันก็ใช้ข้อมูลที่หาได้ง่ายๆละ (เลขบัตร เบอร์โทร อีแมล)
ต่างจากการใช้พวก Password ใน google , facebook
แต่ระบบดันมาจบที่ Open authen ก็เละแล้วครับ
Promptpay ธนาคารกรุงศรีอยุธยาสมัครออนไลน์ผ่านตู้ ATM ได้ แต่เวลายกเลิกต้องไปติดต่อสาขา รอเป็นชั่วโมงกว่าจะได้คิวทำรายการ
ไม่ได้เกี่ยวกะข่าวนี้ แต่จะบอกว่า mobile app กสิกร อันใหม่ ก็ยังห่วยไม่หาย ความงงมีอยู่ในทุกอนู
login เข้าแอพด้วย face/touch id มาแล้ว จะโอนเงินก็ต้องมานั่งกดรหัสอีก เพื่อ...
ทั้งๆที่การใช้ face/touch id นอกจากความสะดวก/ปลอดภัย มันช่วยในเหตุการณ์ที่ต้องไปกดรหัสนอกสถานที่ ที่เสี่ยงกับการเห็นโดยผู้อื่น เช่น หน้าร้าน หน้าตู้ ฯลฯ
นี่ต้องมากดอีกรอบ เครื่องใครหน้าจอใหญ่ก็เห็นชัดๆกันไปเลยว่ารหัสอะไร ยิ่งถ้าเป็นพวกที่ใช้รหัสเดียวกับ lock โทรศัพท์ด้วยแล้วยิ่งไปกันใหญ่
ไม่รู้ใช้ตรรกะอะไรคิด หรืออาจจะไม่ได้คิด เพราะดูๆ UI ส่วนต่างๆ ก็ยังป่วยเหมือนเดิม เปลี่ยนแค่ interface
สมัยก่อน แอพอื่นๆห่วย ก็ต้องทนใช้ของกสิกรไป เพราะมันดีสุดในเวลานั้น แต่ตอนนี้ กลายเป็นแอพดาดๆ
เหมือนคนทำเป็นกลุ่มเดิม ย่ำอยู่กับที่ ถ้าเป็นกลุ่มใหม่ ก็คงเป็นผู้บริหารเดิม วิสัยทัศน์ไม่ได้พัฒนาเลย
เจ้าที่เขากลับไปคิดไปยกเครื่องใหม่อย่างพวก SCB นับวันยิ่งทิ้ง KBANK ไปไกล
ปล.แล้วตู้ ATM ที่เงินหมด ก็ควรจะขึ้นหน้าแรกค้างไว้เลยว่าเงินหมด ไม่ใช้ขึ้นโฆษาต้อนรับอย่างดี ใส่บัตรโน่นนี่แล้วค่อยมาบอกว่าเงินหมด เพื่อ...
ใช้กดเงินไม่ใช้บัตรก็มีปัญหาว่าถ้ากดไม่แล้วไม่มีธนบัตรใบนั้นก็จะบอกว่าไม่มีธนบัตรที่ต้องการไม่ได้แต่ไม่บอกว่ามีธนบัตรแบบไหนกดได้บ้าง แต่ถ้ากดแบบใช้บัตรดันบอก... ไอเราก็กดไปเถอะ KBTG ไม่มีคนดูแล UX เลยหรือไงนะทำมากี่ทีก็ดีแค่หน้าตา...
+1 โคตรหงุดหงิด ผมเลยหาอยู่ว่าจะย้ายไปใช้เจ้าไหนดี เพราะไม่เคยมีปัญหากับ scb แต่ kbank น๊า 4-5 รอบละเรื่องกดไม่ได้เพราะธนบัตรไม่พอ
ปัญหานี้ผมก็เจอครับ พอจะไปกดเงินที่เหลือ 60 บาท มันไม่มีธนบัตรใบละ 20 ในตู้
ว่าจะไปลอง ไม่ดีกว่า รอแบงค์เปิดแล้วไปทำหน้าเคาห์เตอร์น่าจะโอสุด
ระวังเจอหน้าเคาร์เตอร์บอก "ต้องโทรเข้า call center แล้วเลือกบริการ k pkus เพื่อสอบถามหรือดำเนินการค่ะ" จบนะ!
เรื่องโอนเงินแล้วต้องใส่รหัสอีกรอบนี่ผมว่าค่อนข้างปลอดภัยกว่าแบงค์อื่นๆ นะครับ โดนเฉพาะสำหรับคนใช้ touch id เพราะมันกดแทนกันได้ง่ายๆ เลย
แต่ผมกลับเห็นว่ามันน่ารำคาญเหมือนอย่างข้างบนว่านะครับ
เพราะถ้าเราอยากใส่รหัส เราคงไม่ต้องไปตั้งค่าให้มันเรียกใช้ สแกนนิ้วแทนหรอก ก็ปล่อยให้ใส่รหัสตามค่าดีฟอลด์ก็ได้
ความสะดวกแปรผกผันกับความปลอดภัยครับ
บางทีก็ไม่ได้เข้าแอพมาโอนเงินไงครับ แค่อยากเข้ามาเช็คยอด ดูยอดบัตรเครดิตเฉยๆ ก็แค่สแกนนิ้วเข้ามา สะดวกกว่ากดรหัส
ถ้ามันง่ายเกินไปมันก็อาจจะกลายเป็นปัญหาแบบข่าวในต้นเรื่องนี้ก็ได้ครับ สุดท้ายคนที่โดนด่าก็เป็นคนที่ทำแอปหรือธนาคาร การป้องกันความผิดพลาดจาก user คือหนึ่งในกระบวนการที่จำเป็นในการออกแบบ
ผมว่ายิ่งเจอเคสหลุดแบบนี้ ยิ่งต้องเพิ่มนะครับ
ถ้าเอาออกไปแล้ว แล้วมีเคสผัวขโมยเงินเมียตอนหลับ เพราะแอบใช้นิ้วของเมีย login ได้ อย่างงี้ธนาคารก็โดนอีก
ถ้าจะให้ดี ให้คนใช้เลือกได้น่าจะดีครับ
สำหรับผมที่มองว่าคนในบ้านทั้งหมดไว้ใจได้ ไอ้ที่ต้องกดรหัสเพิ่มกลายเป็นไม่ปลอดภัยแทนครับ
KBankกับTrue
ก็สมน้ำสมเนื้อกันดีนะครับ
เคยใช้บริการ2เจ้านี้อยู่พักนึง พอเลิกออกมาได้ก็สุขภาพจิตดีขึ้นเยอะเลยครับ
ทำไมมีแต่คนสงสัยการจับคู่ ของคู่นี้จริงจัง 555
นอกเรื่องนิดครับ ผมคิดว่าถ้าแงะดูจริงจัง อาจจะเจอรูรั่วของ app kbank ก็ได้นะ
เท่าที่ลองสังเกตเหมือน transaction มันไม่รวมเป็นชิ้นเดียวในการทำงานยังไงไม่รู้ ล่าสุดเจอ bug ประหลาด ช่วงที่ net มือถือไม่ค่อยดีโอนเงินเสร็จแล้วเหมือน net จะตัดไปแป๊ปนึง ตัวสลิปไม่บันทึกเฉย - -"
ของผมผูกบัญชีกสิกรกับtruemoney แต่ไม่ได้ห่วงเพราะบัญชีกสิกรไม่ได้ฝากเงินแล้วอยากเติมก็โอนจากบัญชีหลักตัวเองเข้าไป เพราะกสิกรบริการห่วยไม่เห็นดีอย่างที่บอก
ระบบมีให้ยืนยัน และเจ้าของบัญชีตอบรับไปเอง .... ทำไมไม่อ่าน และคิดซะหน่อย ว่าให้ยืนยันเรื่องอะไร เราทำรายการนี้จริงหรือไม่
ถ้าข้อความแจ้งการยืนยัน ไม่บ่งบอกรายละเอียดที่ทำความเข้าใจได้ง่าย ผมก็โทษผู้ออกแบบระบบนะครับ ว่ามีความจงใจทำให้ผู้รับสารสับสน
ยิ่งถ้ามีแต่ภาษาอังกฤษล้วนๆยิ่งอาจผิดกฎหมายเมืองไทยหลายฉบับ หนังสือสัญญาระหว่างบุคคลกับเอกชนในไทย ต้องมีภาษาไทยเสมอครับ
“หนังสือสัญญาระหว่างบุคคลกับเอกชนในไทย ต้องมีภาษาไทยเสมอครับ” ไม่น่าจะใช่นะครับ ผมเคยดูแลสัญญาทางการเงินของ MNCs หลายแห่ง ที่ทำธุรกิจในไทย รวมทั้ง syndicated loan ที่วงเงินมหาศาล ไม่เคยจำได้ว่าต้องมีคู่สัญญาเป็นเวอร์ชันภาษาไทยนะครับ เพราะกว่าจะต่อรองถ้อยคำภาษาอังกฤษกันได้ลงตัวก็ยากมากๆๆแล้ว ถ้าเพิ่มภาษาไทยมาอีกคงไม่จบ
คุณ Fourpoint ไม่ได้พูดถึง B2B หน่ะครับ แต่พูดถึง B2C ตามพระราชบัญญัติคุ้มครองผู้บริโภค
Russia is just nazi who accuse the others for being nazi.
someone once said : ผมก็ด่าของผมอยู่นะ :)
ผมอยากจะบอกให้ฐานะเรียนมาทางนี้โดยตรงนะครับ
ในทางปฏิบัติ สัญญาภาษาอังกฤษใช้ในศาลไทยไม่ได้ ต้องไปแปลมาแล้วยื่นต่อศาลโอกาสแปลผิดเพียบ แปลผิดนี่คู่กรณีเขาอ่านรู้เรื่องนะครับ
ดังนั้นเวลาร่างสัญญามักจะให้ทำฉบับภาษาไทยด้วยบางสัญญามีแปลไทยในสัญญาเลยและระบุในสัญญาว่าตีความตามภาษาไทยครับในกรณีที่ให้ใช้บังคับกับกฎหมายไทย
ผมร่างสัญญาแบบ ไทย + อังกฤษมาแล้วครับของบริษัทใหญ่ด้วย ตัวภาษาอังกฤษนี่มีไว้ให้ฝรั่งอ่านเฉยๆแต่ถ้าให้ศาลอ่านต้องฉบับภาษาไทยเท่านั้น ศาลไม่แปลให้คุณนะครับ
ถ้าไม่เชื่อเอาสัญญาภาษาอังกฤษไปยื่นต่อศาลตอนฟ้องได้เลยครับโดนว่ามาแน่นอน สรุปคือในทางปฏิบัติยังไงก็ต้องมีตัวภาษาไทยครับถ้าคิดจะขึ้นศาลไทย
เพื่อแก้ปัญหาพวกบริษัทหลายๆแห่งจะจ้างบริษัทที่ดูแลด้านกฎหมายให้ร่างสัญญาเป็นภาษาอังกฤษก่อน แล้วแปลเป็นสัญญาเป็นไทยแล้วยังต้องตรวจสอบว่าที่แปลมาตรงกับเจตนาของคู่สัญญาหรือไม่
แล้วทำกันเป็นปกติด้วยครับพูดจากประสบการณ์ตรง เช่นกัน
แต่ก็จะมีบางสำนักงานที่ร่างมาเป็นภาษาอังกฤษ สุดท้ายคู่สัญญาก็ต้องไปจ้างสำนักงานกฎหมายแปลสัญญาออกเป็นภาษาไทยเหมือนเดิมครับ
ย้ำศาลไทยไม่รับเอกสารภาษาอื่นถ้าคุณไม่ได้ทำฉบับแปลมาให้ศาล ถึงขั้นแพ้คดีเลยนะครับขอบอก
สุดท้ายก็ต้องทำฉบับภาษาไทยอยู่ดีเพราะเขาต้องการให้ตอนฟ้องศาลสะดวกขึ้นครับ
เคสนี้ อ่านยังไง จขกท ก็ผิดเต็มๆ ความผิดของ KBank มีแค่ให้ข้อมูลที่ไม่ informative อ่านแล้วไม่เข้าใจ
KBank โดน force ให้ต้องจ่ายเงินชดเชย (ทั้งที่ไม่ใช่ความผิดระบบตัวเอง) เพราะเรื่องปรากฏในที่สาธารณะ และจากการโพสต์ repeat ซ้ำๆ ในช่วงแรกของ จขกท ทำให้คนส่วนใหญ่เข้าใจว่า KBank หละหลวม (ซึ่งไม่จริง มีคน repeat process ให้ดูหลาย post เลย)
ถึงจะพูดว่ายอมรับ ว่าตัวเองพลาดที่กด Authentic โดยไม่อ่าน แต่ถ้ามีคนแสดงความไม่พอใจ จขกทก็มีผสมโรง เช่น ใน คห 38-1
"ใช่คะไม่คิดเลยว่าจะเกิดกับตัว ขอย้อนกลับไปยุค1.0ที่เดินเข้าออกทำธุรกรรมด้วยตัวเองทุกอย่างจะดีกว่าคะ เราติดใจแค่ว่าทำไมธนาคารถึงให้คนอื่นเอาบัญชีเราไปได้"
ติดใจที่ธนาคารให้โอนเงินออก จากการที่อนุญาตเองเนี่ยนะ แล้วใช้คำติดตลาดอย่าง แฮกค์ เพื่อให้ดูน่ากลัว เป็นที่ตระหนกของคนอ่านที่ไม่จับใจความให้ดี
ถ้าจะให้ดี เค้าควรโพสต์ขอบคุณ KBank ในบรรทัดแรกๆ ด้วยซ้ำว่า ธนาคารได้ชดเชยเงินคืนกลับมาให้หมด (หลังโพสต์ลง social แล้ว)
ระบบมันให้กดยืนยันง่ายไปครับ ดูเผินๆก็เหมือนหน้าจอโฆษณาที่ kbank ชอบส่งมาทุกวัน แถมถ้าเผลอกดไปแล้วดันไม่มีวิธียกเลิกอีก
มันเหมือน sms บนหน้าเว็บพลาดกดง่ายไป
ต่อให้จขกท.ยอมรับว่าผิดเอง แต่เค้าก็มีสิทธิแสดงความไม่พอใจนี่ครับ เค้ามีสิทธิโทษเคแบงค์เต็มที่ เพราะกระบวนการมันหละหลวมมาก ใช้ข้อมูลเปิดก็ผูกระบบได้
และการที่จขกท.จะยอมรับ หรือไม่ยอมรับว่าเป็นความบกะร่องของตัวเอง ผมในฐานะคนนอกก็โทษระบบอยู่ดีครับ
ระบบมันแบกความคาดหวัง และความน่าเขื่อถือไว้นะครับ มันส่งผลกระทบต่อคนจำนวนมากด้วย
ถ้าจขกท.ยอมรับแล้วเรื่องจบ เคแบงค์ก็เงียบๆ ไป เพราะปัญหามาจากลูกค้า ก็ต้องรอให้เกิดกับคนอื่นต่อไป แต่นี่เคแบงค์เลือกแก้ปัญหาทั่ตัวเองก่อนเลย ผมว่าน่าชื่นชมมาก
ผมไม่ได้มองว่าโดน force ด้วยครับ
เห็นด้วยครับ ระบบหละหลวมมาก
ระบบที่เกี่ยวข้องกับเงินทอง คนออกแบบระบบต้องคิดไว้ก่อนเลย ว่าต้องมีมิจฉาชีพ พยายามหาช่องโหว่แน่ๆ
ใช้ทรู แค่โอนเงินเข้ากระเป๋าตังค์ เห็นระบบใหม่ๆ ไม่ค่อยกล้าให้ยิงตรงสักเท่าไร กลัวมีปัญหา แล้วแก้ไขเองลำบาก
ผมว่าระบบแบบนี้น่าจะจำกัดให้ทำเฉพาะจากหน้าเว็บพร้อม OTP และคำเตือนของขั้นตอนที่จะทำด้วยนะ หรืออย่างน้อยก๋ให้ทำที่ ATM ใกล้บ้านก็ยังดี พร้อมทั้งภาษาไทยและอังกฤษด้วย
ความล้มเหลว คือจุดเริ่มต้นสู่ความหายนะ มีผลกระทบมากกว่าแค่เสียเงิน เวลา อนาคต และทรัพยากรที่เสียไป - จงอย่าล้มเหลว
.
ผมว่า app kbank ไม่ได้เข้าง่ายขนาดนั้นนะครับ เพราะต้องใช้เน็ตจากเบอร์ที่ลงทะเบียนไว้ บวกกับ pin เดิมอีก ง่ายตรงไหนหรอครับ?
แล้วกรณีที่มีการถามรหัสก่อนโอนเงิน เพราะการยืนยันด้วยลายนิ้วมือกับใบหน้า สามารถปลอมแปลงกันได้ครับ เรื่องแบบนี้คนที่อยู่ในด้านไอทีน่าจะต้องรู้อยู่แล้วนะครับ?
ก็ไม่ได้คุยกันเรื่อง "เข้าแอป" นี่ครับ คุยกันเรื่องการ "อนุญาตให้ผู้อื่นถอนเงินไปใช้งาน" ซึ่งการออกแบบควรแสดงให้ชัดเจนกว่าการเข้าแอปตามปกติมากๆ
lewcpe.com, @wasonliw
ขอเสริม ปัญญาที่เจอกับตัวคือ ธนาคาร ไม่มีการ validate email ลูกค้า ผมใช้ gmail สมัครบริการตั้งแต่ เริ่มเปิดให้บริการ เลยได้ email ที่คล้องกับชื่อตรงๆ
แล้วชื่อซ้ำกับ๕นอื่นแยอะ ไม่รู้ว่าระบบธนาคาร ทำไง ได้เมล์มาเพียบ ตั้งแต่เตือน login โอนเงิน เมื่อก่อนได้ครบทุกแบงค์เลย แยอะสุดคือ tmb
ผมก็โดนครับ Hotmail หัวอกเดียวกัน ได้ชื่อตรงๆ แล้วชื่อผมมันได้ทั้งผู้หญิงผู้ชาย
ที่ไหนไม่ Validate mail นี่มาเต็ม ที่เกมทั้งสมัครงาน รำคาญมาก
ในเมื่อมันกดยอมรับง่าย มันก็ควรยกเลิกง่าย ไม่ใช่วุ่นวายแบบนี้
สมาชิกในนี้หลายคนคิดว่ากระบวนการมันควรกลับกันครับ
ยกเลิกควรยกเลิกได้ง่ายๆ และควรไปยากตอนกระบวนการผูก
ส่วนวิธีการคิดของธนาคารคือ ทำให้คนผูกง่ายๆ เพื่อให้เกิดธุรกรรมง่ายๆ และยกเลิกยากๆ คนจะได้ไม่ยกเลิก
สำหรับผม มันควรจะทำได้ง่ายพร้อมปลอดภัยทั้งตอนสมัครและตอนยกเลิกมากกว่า
ใช้ OTP, ยืนยันผ่านโทรศัพท์ หรือทำผ่าน ATM ก็ว่าไป
ปล. อยากเห็นตู้ทำสมุดบัญชี/บัตรเดบิต/บัตรเครดิต/ออกสินเชื่ออัตโนมัติพร้อมระบบยืนยันบุคคล มากกว่าไปสาขานะตอนนี้
ขั้นตอน:
- ไปสร้างบัญชี/ทำบัตร/ขอสินเชื่อหน้าตู้
- สอดหลักฐานเข้าตู้ส่งไปธนาคาร
- ทำการยืนยันข้อมูลส่วนบุคคล (ลายนิ้วมือ, ใบหน้า และ ID Card)
กรณีเปิดบัญชีพ่วงหรือไม่พ่วงบัตร
- รอระบบสร้างสมุดบัญชีพร้อมเซ็นต์บนหน้าจอหรือปั้มลายนิ้วมือยืนยันความเป็นเจ้าของพร้อมบัตรเดบิต
- ใส่เงินค่าธรรมเนียม (กรณีมีทำบัตรเดบิต) และเงินฝากขั้นต่ำ พร้อมรับสมุดบัญชี (และบัตรเดบิตพร้อมรหัสในซอง และสลิปยืนยันการเปิดบัญชี หากมี)
กรณีทำบัตรเครดิต/ขอสินเชื่อ
- รับสลิประบุหมายเลขยืนยัน และเวลาออกผลการทำธุรกรรม
- รอทางธนาคารโทรมายืนยัน แล้วรับเลข OTP ไปยืนยันหน้าตู้
- หากทำบัตรเครดิต > รอเครื่องออกบัตรพร้อมสลักชื่อ นามสกุลของผู้ขอบัตรพ่วงชองระบุรหัสบัตร
- หากทำเรื่องขอสินเชื่อ > ยืนยันข้อมูลและจำนวนเงินที่ได้จากการขอสินเชื่อ แล้วเลือกเป็นโอนเข้าธนาคาร, รับเงินที่หน้าตู้เลย กรณีเงินจำนวนไม่มาก หรือรับเงินสดที่สาขา กรณีเงินจำนวนมาก
การยกเลิกบัญชีและบัตร
- ทำที่หน้าตู้ พร้อมยืนยันตัวตน
- ใส่สมุดปัญชี/บัตรเดบิต/บัตรเครดิต ยืนยันการยกเลิก
- ใส่เงินค้างชำระทั้งหมด กรณีมีหนี้ในบัตรเครดิต
- ระบบจะยกเลิกบัญชีและบัตรให้ พร้อมเจาะรูบัตรและสมุด หากลูกค้าเลือกจะรับคืน หรือทำลายสมุดและบัตรหากไม่ต้องการรับคืน
- รับเงินคืน กรณีมาเงินเหลือในบัญชีเงินฝาก
ถ้าที่กล่าวมานี้สามารถทำได้ ผมว่าแค่ปัญหาที่เกิดข้างต้นก็สามารถป้องกันได้ตั้งแต่ต้นแล้วนะครับ
ความล้มเหลว คือจุดเริ่มต้นสู่ความหายนะ มีผลกระทบมากกว่าแค่เสียเงิน เวลา อนาคต และทรัพยากรที่เสียไป - จงอย่าล้มเหลว
ประเด็นที่เป็นปัญหาจากข่าวนี้คือกระบวนการเป็นแบบที่คุณบอกอ่ะครับ มิจฉาชีพเอาเลขที่บัญชีของผู้เสียหายไปผูกกับบริการของทรู
จากนั้นฝั่งแอพธนาคารก็จะแสดงกล่องข้อความให้ยืนยัน ซึ่งผู้เสียหายก็ทำพลาดด้วยการกดยืนยันไป เงินเลยออกไปหมด
มิจฉาชีพขอแค่คนพลาดไม่กี่คนครับ ลองสุ่มไปเรื่อยๆ ไม่เสียอะไรอยู่แล้ว แต่เมื่อเกิดปัญหาขึ้น มูลค่าความเสียหายมันเกิดมากกว่าเงินที่ผู้เสียหายต้องเสียไปเยอะครับ ทั้งทางตรงและทางอ้อม
ถ้าแบบนั้น ทางธนาคารก็ควรจะตรวจสอบความเป็นเจ้าของของเบอร์ที่จะผูกก่อน ถ้าตรงกับข้อมูลเจ้าของบัญชีค่อยผูก ทำงานร่วมกับผู้ให้บริการโทรศัพท์เลย ถึงจะปลอดภัยครับ
ความล้มเหลว คือจุดเริ่มต้นสู่ความหายนะ มีผลกระทบมากกว่าแค่เสียเงิน เวลา อนาคต และทรัพยากรที่เสียไป - จงอย่าล้มเหลว
ผมคิดว่า (อันนี้เป็นความเห็นนะครับ ไม่ใช่ fact) น่าจะเกินขอบเขตที่ธนาคารทำได้ เพราะเกินขอบเขตของผู้บริการที่จะให้ข้อมูลลูกค้าแก่ third party ครับ
อีกอย่าง ในขั้นตอนฝั่งธนาคาร ที่มิจฉาชีพผูกบริการภายนอกที่สามารถถอนเงินออกจากบัญชีได้นั้นใช้เพียงเลขบัญชีธนาคารเป้าหมายเท่านั้น แม้จะขอดบอร์โทรศัพท์ด้วย แต่ไม่มีการ validate ใดๆ ก็เปรียบเสมือนไม่ได้ใช้เบอร์โทรมา validate อ่ะครับ
ในโลกของ developer ผมว่ากฎข้อแรกของ input validation คือ อย่าเชื่อ input ใดๆ อ่ะครับ
ปล. ส่วนนึงผมเชื่อว่ากระบวนการมันมี human error อยู่หลายจุดมาก ถ้าธนาคารมีจุดมุ่งหมายจะให้ความปลอดภัยแก่บัญชีก็ควรจะปะอุดช่องโหว่ที่เปิดช่องแก่ human error ครับ
ผมมองว่ามันอยู่ในช่วงเปลี่ยนผ่านทางเทคโนโลยีอ่ะนะ หลายคนไม่รู้ว่าตัวเองทำอะไรด้วยซ้ำ แค่ OK, Yes, Agree ไปเรื่อยๆ
สำหรับเคสนี้ แค่ส่ง OTP ไปที่เบอร์ทรูที่ขอผูกก็ไม่โดนแล้วครับ เพราะเจ้าของบัญชีตัวจริงจะไปรู้ OTP ได้ไง
หรือต่อให้มิจฉาชีพ forward OTP มาให้เจ้าของบัญชี เจ้าของเองก็ต้องเอะใจอยู่แล้วว่าทำไมต้องกรอก โอกาสเผลอกดก็ลดลงไปมากครับ
ผมงงตรงที่บอกว่า "เจ้าของบัญชีตัวจริงจะไปรู้ OTP ได้ไง" อ่ะครับ รบกวนอธิบายหน่อยครับ
ส่ง OTP ไปที่เจ้าของ True Money ที่ขอผูก (ฝั่งโจมตี) แล้วให้กรอกในแอปฝั่งถูกผูก (เหยื่อ) ทำให้เจ้าของบัญชีธนาคาร (เหยื่อ) ไม่รู้ OTP ที่ส่งไปหาเจ้าของ True Money น่ะครับ
เข้าใจแล้ว ขอบคุณที่ช่วยอธิบายครับ
เห็นด้วยกับคุณ @lancaster ครับ