Tags:
Topics: 
Node Thumbnail

วันนี้มีผู้ใช้ Pantip หมายเลข 1578957 เล่าถึงประสบการณ์ถูกคนร้ายหลอกให้กดยอมรับการตัดบัญชีโดยตรง (direct debit) จากบัญชีธนาคาร เพื่อเติมเงินบัญชี True Money โดยคนร้ายสมัครโดยใช้หมายเลขโทรศัพท์ของคนร้ายเอง แต่ใช้ข้อมูลของเจ้าของกระทู้เพื่อขอตัดเงินบัญชีธนาคาร เมื่อเจ้าของกระทู้พลาดกดตอบรับ ก็เป็นการให้สิทธิ์คนร้ายดูดเงินไปทั้งหมด

ความผิดพลาดคงมีทั้งตัวเหยื่อเองที่ไม่ได้ทำความเข้าใจก่อนกด "ยอมรับ", ทางธนาคารที่ออกแบบหน้าจอไม่ชัดเจนว่ากำลังให้สิทธิ์อะไรไป, รวมถึงทาง True Money ที่ยอมให้ผูกบัญชีโดยที่หมายเลขโทรศัพท์ไม่ตรงกับหมายเลขเจ้าของบัญชี โดยล่าสุดเจ้าของกระทู้ก็ระบุว่า ได้รับเงินคืนเรียบร้อยแล้ว

การผูกบัญชี direct debit เองแม้จะมีความสะดวกในการใช้งาน และหลายครั้งก็มีโปรโมชั่นจูงใจให้สมัครใช้งาน แต่ทุกคนควรระวังว่าบริการเหล่านี้มีอำนาจในการดูดเงินออกบัญจากบัญชีได้ทั้งหมด ที่สำคัญคือการยกเลิกการผูกบัญชีต้องเดินทางไปยังสาขาเพื่อส่งแบบฟอร์ม (แม้ว่าตอนสมัครจะสมัครออนไลน์ได้ก็ตาม) ตัวผมเองแม้จะผูกบัญชีไว้เพื่อใช้งานแต่พอเปลี่ยนใจแล้วไปส่งแบบฟอร์มยกเลิก พบว่าการผูกบัญชียังไม่ยกเลิกไปโดยไม่ได้รับติดต่อว่ามีปัญหาอะไร (ทางธนาคารกสิกรไทยเคยระบุว่า "ทั้งนี้จะขึ้นอยู่กับบริษัทปลายทาง")

การใช้งานที่มีความเสี่ยงเช่นนี้ควรใช้งานกันด้วยความระมัดระวังครับ

ที่มา - Pantip: 38408223

No Description

Get latest news from Blognone

Comments

By: lew
FounderJusci's WriterMEconomicsAndroid
on 29 December 2018 - 23:28 #1089563
lew's picture

ผมเช็ครอบล่าสุดกับบัญชีที่ผูกไว้ ใน K PLUS เองก็ยังไม่มีแจ้งว่าผูกอะไรไว้บ้าง (หรือผมหาไม่เจอเอง?) ไม่ต้องไปถึงการยกเลิกการผูกที่ควรทำได้จากในแอปเลย


lewcpe.com, @public_lewcpe

By: rattananen
AndroidWindows
on 30 December 2018 - 00:01 #1089564

ผมไม่เคยคิดจะใช้ APP ของธนาคารผ่านโทรศัพท์
เหตุเพราะ มันทำธุรกรรมง่ายเกินไป

By: alonerii
AndroidUbuntuWindows
on 30 December 2018 - 00:10 #1089565 Reply to:1089564

ผมมองว่าการใช้ง่ายหรือยากไม่ได้เกี่ยวกับระดับความปลอดภัยครับ การที่ทำธุรกรรมยุ่งยากไม่ได้แปลว่ามันปลอดภัยเสมอไป และการทำธุรกรรมได้ง่ายก็ถือเป็นเรื่องดี แต่ควรมาพร้อมกับความปลอดภัยด้วยเช่นกัน

By: rattananen
AndroidWindows
on 30 December 2018 - 00:18 #1089566 Reply to:1089565

เวลาออกแบบระบบ มันมี trade-off ครับ
กรณีนี้คือ
ลดขั้นตอนการทำธุรกรรม แต่ก็แลกด้วยลดความปลอดภัย/ความถูกต้องไปด้วยครับ

By: macxide
iPhoneAndroid
on 30 December 2018 - 01:34 #1089569

App เครือ CP อีกละเหรอ บ่อยเนาะ

By: komkit0710
Windows PhoneSUSEWindows
on 30 December 2018 - 01:59 #1089570

ไม่ได้ใช้ kbank นะครับ อาศัยอ่านเอาผิดถูกยังไงขออภัยนะครับ

ผมไม่โทษ 3rd party นะครับ ผิดเต็มๆคือ kbank ที่ไป trust 3rd party คือตัวเองเป็นธนาคารแต่ไม่รอบคอบ ทรูมารีเควสขอเชื่อมต่อตัดตรงได้เลยหรอและ Trust มันขนาดนั้นเลยหรือไง มันควรออกแบบให้เวลาจะขอเชื่อมต่อ ต่างฝ่ายต้องกรอก key กันเองไหม ทรูก็ต้องกรอกคีย์ที่อนุญาตจากเคแบ้งค์ เคแบ้งก็ก็ต้องกรอกคีย์ที่ได้จากทรูอะไรงี้ ไม่ใช่แค่ทรูขอเชื่อมมาอนุญาตเลย หลักฐานหรือใบสัครก็ยอมรับจากทรูเลย คือเห้ยคุณเป็นธนาคารนะเว้ย ไปยอมรับจากค่ายมือถือที่เปิดเบอร์ก็ไม่ตรวจสอบบัตรให้ตรงจนมีเรื่องมีราวมาเนี่ยนะ ความปลอดภัยอยู่ไหน และตอนยกเลิกอีกขึ้นกับบริษัทปลายทาง... คือควรจะยกเลิกผ่านแอพมือถือได้เองเลยไหม รู้สึกแย่กับมาตรฐานธนาคาร

By: lew
FounderJusci's WriterMEconomicsAndroid
on 30 December 2018 - 02:03 #1089571 Reply to:1089570
lew's picture

ผมมองว่า process ควร "กลับข้าง" กันครับ

จะผูกบัญชี (ซึ่งทำได้นะ มันมีความจำเป็นเหมือนกัน) ควร "ไปสาขา" พนักงานต้องแจ้งต่อหน้าว่านี่คือการให้สิทธิ์ผูกบัญชี ปลายทางมีสิทธิ์ถอนเงินออกไป แจ้งต่อหน้าแล้วค่อยเซ็น

กลับกันคือการยกเลิก นี่ควรกดทีเดียวในแอปแล้วหลุดเลย วันไหนเราไม่ไว้ใจแอปไหนแล้ว กดสองที ยืนยัน PIN/fingerprint อีกรอบต้องหลุดเลย


lewcpe.com, @public_lewcpe

By: komkit0710
Windows PhoneSUSEWindows
on 30 December 2018 - 02:22 #1089573 Reply to:1089571

ไม่จำเป็นต้องกลับขาครับ แต่จะผูกจะถอน ควรทำแค่ฝั่งธนาคารเท่านั้น พอไปสืบดูกสิกรใช้แค่ข้อมูลที่ไม่เป็นความลับอะไรเลยในการให้ทรูส่งคำสั่งไปขอผูกตัดตรง ปลอดภัยสุดๆ

เลขบัตรประชาชน << ใครเคยเห็นหรือเคยมีหรือได้เลขมาจากที่ไหนๆ บริการไหนๆ เพื่อน ญาติ ยามหน้าตึก

หมายเลขบัญชีกสิกร << อันนี้ยากหน่อย แต่มันก็ไม่ยากเกิน ใครขายของ ใครเข้าถึงเอกสาร hr เพื่อนที่เคยโอนเงิน ใครที่เคยโอนเงิน

เบอร์มือถือที่ใช้กับกสิกร << ส่วนใหญ่ก็เบอร์ตัวเองนั่นแหละ แจกเบอร์ใครไปมั่ง มันต้องเป็นเบอร์ที่ active อยู่เพราะต้องติดต่อธนาคารเผื่อรับ sms

อีเมล์ << ไม่ได้ลับอะไรเล้ยยยย รับส่งเมลต้องมีเมลแยกของธนาคารเลยไหม

เท่าที่ดูคือข้อมูลไว้เชื่อมต่อ มันเป็นข้อมูล public ที่เราต้องไปแจกคนอื่นทั้งนั้น

By: lew
FounderJusci&#039;s WriterMEconomicsAndroid
on 30 December 2018 - 02:27 #1089575 Reply to:1089573
lew's picture

อันนี้จริง ลูกค้าควร authen ก่อนผูก

แต่ในแง่ "ความง่าย" แล้วผมยืนยันเหมือนเดิมครับ การอนุญาตให้คนอื่นมาถอนเงินแทนเราได้ต้อง "ยากกว่า" การถอนสิทธิ์ออก การลดสิทธิ์ต้องง่ายเสมอ


lewcpe.com, @public_lewcpe

By: komkit0710
Windows PhoneSUSEWindows
on 30 December 2018 - 02:36 #1089576 Reply to:1089575

สาขาอาจลำบากครับ อนาคตคงน้อยลงหาสาขายาก (ฮาๆ) ตอนเชื่อมต่ออาจต้องทำยากๆ หน่อยแต่ไม่จำเป็นต้องสาขา เช่น ต้องกรอก key ที่ 3rd party ไปขอมาจาก kbank เพื่อยืนยันผ่านในมือถือ แต่เวลายกเลิกก็กดยกเลิกไปได้เลยผ่านมือถือ ทั้งนี้ก็ต้องผ่านช่องทางของธานาคารเท่านั้น

By: bosszz
Android
on 30 December 2018 - 15:49 #1089640 Reply to:1089576
bosszz's picture

ทำรายการผ่านตู้ ATM มั้ยครับ อย่างน้อยก็ยังยืนยันด้วยตัวบัตร (ถ้าใช้แบบ chip ก็พอยืนยันได้ว่าบัตรจริง ไม่ได้ skim มา) และรหัส ATM อีก 6 หลัก
ส่วนจะยืนยันความเป็นเจ้าของด้วย OTP อีกที (ที่สามารถดักได้ถ้าติด malware) หรือเปล่าก็ต้องเป็น Process ที่ธนาคารต้องไปคิดถึงความรอบคอบรัดกุม

By: lancaster
ContributorUbuntuWindows
on 30 December 2018 - 19:23 #1089649 Reply to:1089640

เรื่องการผูกวิธีปัจจุบันอาจจะง่ายหน่อย (เพราะการ design ui ไม่ดี) แต่ยังไงก็ควรให้อยู่ในระดับที่สามารถนั่งทำที่บ้านเองได้โดยไม่ต้องออกไปไหนครับ

ถ้าจะปรับปรุงแบบที่ไม่เพิ่มความยุ่งยากมากไป ฝั่ง kplus ควรขึ้นให้กรอกเบอร์ tm wallet ที่จะเอามาผูก เพื่อยืนยันอีกครั้งครับ

แต่สิ่งเลวร้ายที่สุดสำหรับกรณีนี้คือ ไม่สามารถถอนการผูกได้ด้วยตนเอง ไปสาขาก็ยังถอนไม่ได้นี่ล่ะ

By: lew
FounderJusci&#039;s WriterMEconomicsAndroid
on 31 December 2018 - 13:43 #1089680 Reply to:1089649
lew's picture

อันนี้ไม่เห็นด้วยเสมอไป คิดว่าไม่จำเป็นต้อง "ทำต่อหน้าเจ้าหน้าที่" (face-to-face) นี่คงเป็นปกติ แต่ธุรกรรมบางอย่างที่สำคัญมาก (อย่างเคสนี้) ควรพิจารณาให้ต้องทำตามจุดที่กำหนด อย่างตู้ kiosk

มันเป็นธุรกรรมที่โดยทั่วไปไม่มีใครทำบ่อย น่าจะใกล้เคียงกับการเปิด-ปิดบัญชี


lewcpe.com, @public_lewcpe

By: pd2002 on 31 December 2018 - 16:15 #1089687 Reply to:1089576

scb ผูกกับ wallet ต้องใช้เลขหน้าบัตร กับรหัสบัตรเอทีเอ็มด้วย ผมว่าปลอดภัยกว่า kbank พอสมควรครับ

By: whitebigbird
Contributor
on 30 December 2018 - 12:57 #1089624 Reply to:1089573
whitebigbird's picture

เห็นด้วยครับ ฝั่งธนาคารพยายามทำให้ง่ายมากที่สุดที่จะให้เกิดธุรกรรมบนแพลตฟอร์มของตัวเอง จนความปลอดภัยหายไปหมด

By: topkst0550 on 30 December 2018 - 02:27 #1089574

ทำไมผมกลับมองว่า KBank ใช้ข้อมูลง่ายไป ถ้าเปรียบเทียบกับธนาคารอื่นๆที่อยู่ใน True Money Wallet คือ SCB,BBL,KTB 3 ธนาคารนี้ให้ใช้ข้อมูลเลขหน้าบัตร ATM เเละรหัส ATM ในการผูกเลยซึ่งเป็นข้อมูลที่หาได้ยาก แต่ KBank กลับใช้แค่บัญชีและเลขบัตรประชาชนแค่นั้นเองก็ส่งไปกดอนุมัติที่แอพแล้ว

By: peat_psuwit
ContributorAndroidUbuntuWindows
on 30 December 2018 - 03:17 #1089577

เท่าที่ผมอ่านในกระทู้ต้นฉบับ กำลังมองว่ากระบวนการที่กสิกรใช้มันคล้ายๆ กับกระบวนการล็อกอินแบบ OAuth นะ (ถ้าไม่รู้จัก ให้คิดถึงเวลาเราล็อกอินเว็บต่างๆ ด้วย Facebook หรือ Google) คือ ขึ้นให้ผู้ใช้ยืนยันก่อนมอบสิทธิ์ให้ผู้ขอ ซึ่งกระบวนการนี้ "อาจจะ" ปลอดภัยเพียงพอ แต่ปัญหาคือ UI ที่ใช้ยืนยันมันใช้ศัพท์ภาษาอังกฤษ คนที่ไม่รู้จักก็จะไม่เข้าใจว่าคืออะไร แถม จขกท. เค้าบอกเองว่า

มีข้อความแจ้งเตือนมาในK-plusค่ะว่าให้เรายืนยันการสมัครแต่รายละเอียดไม่ชัดเจนเรานึกว่าเป็นข้อความของระบบธนาคาร

ก็อาจจะแปลว่า K-plus อาจส่งการแจ้งเตือนมากเกินไป อาจเข้าข่าย security fatigue ก็ได้ (ซึ่งอันนี้ผมไม่ทราบ ไม่เคยใช้ K-plus เหมือนกัน)

ในความเห็นผม UI ดังกล่าวควรจะชี้แจงให้ชัดเจนว่า
- กำลังจะกดยืนยันอะไร (หักบัญชีอัตโนมัติ)
- โดยผู้ให้บริการอะไร (True Money Wallet)
- ผลกระทบมีอะไรบ้าง (True Money Wallet สามารถหักบัญชีของท่านได้โดยไม่ต้องยืนยันกับท่านอีก)
- อื่นๆ เช่น "True Money Wallet ไม่มีความเกี่ยวข้องกับธนาคารกสิกรไทย" หรือ "ท่านสามารถยกเลิกสิทธิ์นี้ได้ตลอดเวลาผ่าน...."
- "กด 'อนุญาต' หากท่านเชื่อถือ True Money Wallet เท่านั้น"

บวกกับก่อนอนุญาตให้ส่ง OTP มาที่มือถืออีกซักทีนึง น่าจะช่วยได้พอสมควรแล้วมั้งครับ

By: lew
FounderJusci&#039;s WriterMEconomicsAndroid
on 30 December 2018 - 12:08 #1089618 Reply to:1089577
lew's picture

OAuth นี่ถ้าเว็บที่ดี เขาแจ้งชัดเลยนะครับ

ประมาณว่า "ท่านกำลังให้สิทธิ์เว็บ BN เพื่อเข้าถึงข้อมูลโปรโฟล์, ให้สิทธิ์ในการโพสแทนตัวท่าน" อะไรประมาณนี้


lewcpe.com, @public_lewcpe

By: komkit0710
Windows PhoneSUSEWindows
on 30 December 2018 - 13:28 #1089630 Reply to:1089577

ผมว่าต่ำกว่า OAuth ครับ จุดเริ่มต้นของ login Facebook มันอยู่ที่ Facebook เปรียบเสมือนคุณกดสั่งผ่านเฟสคุณ ถ้าไม่มีเซสซั่นมันก็จะเด้งหน้าต่างของเฟสบุ๊คมาให้กรอก ถ้ามีก็จะบอกว่าแอพนี้ต้องการอะไรไว้ แต่ของ kplus จุดเริ่มต้นอยู่ที่ทรู ไม่มีการเชื่อมต่อมาหา kplus เลย ยกเว้นแต่แจ้งให้กดยอมรับ

สมมติว่าเฟสบุ๊คทำตัวเสมือนกสิกร เวลา login ระบบมันไม่โอนหน้าต่างเชื่อมต่อหาเฟสนะ ผมแค่กรอกข้อมูลส่วนตัวนิดหน่อยผ่านแอพนั้นๆที่ไม่ใช่เฟส มันก็จะไปเด้งหาเจ้าของเฟสเพื่อให้กดยอมรับพร้อมกับแจ้งข้อความนิดหน่อยให้เจ้าของเฟส ผมว่ากระบวนการมันแปลกไปสักหน่อย

ยกตัวอย่างง่ายๆถ้าผมมีข้อมูลคุณเพียงพอ ผมก็แค่ก็ส่งการเชื่อมต่อมาเรื่อยๆ รอคุณพลาดกดยอมรับผมก็ได้เงิน เพราะจุดเริ่มต้นมันไม่ได้มาจากคุณเอง

By: kentaonline
iPhoneWindows PhoneBlackberry
on 30 December 2018 - 13:33 #1089631 Reply to:1089630

เห็นด้วยล้านเปอร์เซ็นต์

คือจุดเริ่มต้นมันก็ใช้ข้อมูลที่หาได้ง่ายๆละ (เลขบัตร เบอร์โทร อีแมล)
ต่างจากการใช้พวก Password ใน google , facebook
แต่ระบบดันมาจบที่ Open authen ก็เละแล้วครับ

By: Nube on 30 December 2018 - 08:36 #1089590
Nube's picture

Promptpay ธนาคารกรุงศรีอยุธยาสมัครออนไลน์ผ่านตู้ ATM ได้ แต่เวลายกเลิกต้องไปติดต่อสาขา รอเป็นชั่วโมงกว่าจะได้คิวทำรายการ

By: carrot on 30 December 2018 - 08:41 #1089591

ไม่ได้เกี่ยวกะข่าวนี้ แต่จะบอกว่า mobile app กสิกร อันใหม่ ก็ยังห่วยไม่หาย ความงงมีอยู่ในทุกอนู

login เข้าแอพด้วย face/touch id มาแล้ว จะโอนเงินก็ต้องมานั่งกดรหัสอีก เพื่อ...

ทั้งๆที่การใช้ face/touch id นอกจากความสะดวก/ปลอดภัย มันช่วยในเหตุการณ์ที่ต้องไปกดรหัสนอกสถานที่ ที่เสี่ยงกับการเห็นโดยผู้อื่น เช่น หน้าร้าน หน้าตู้ ฯลฯ

นี่ต้องมากดอีกรอบ เครื่องใครหน้าจอใหญ่ก็เห็นชัดๆกันไปเลยว่ารหัสอะไร ยิ่งถ้าเป็นพวกที่ใช้รหัสเดียวกับ lock โทรศัพท์ด้วยแล้วยิ่งไปกันใหญ่

ไม่รู้ใช้ตรรกะอะไรคิด หรืออาจจะไม่ได้คิด เพราะดูๆ UI ส่วนต่างๆ ก็ยังป่วยเหมือนเดิม เปลี่ยนแค่ interface

สมัยก่อน แอพอื่นๆห่วย ก็ต้องทนใช้ของกสิกรไป เพราะมันดีสุดในเวลานั้น แต่ตอนนี้ กลายเป็นแอพดาดๆ

เหมือนคนทำเป็นกลุ่มเดิม ย่ำอยู่กับที่ ถ้าเป็นกลุ่มใหม่ ก็คงเป็นผู้บริหารเดิม วิสัยทัศน์ไม่ได้พัฒนาเลย

เจ้าที่เขากลับไปคิดไปยกเครื่องใหม่อย่างพวก SCB นับวันยิ่งทิ้ง KBANK ไปไกล

ปล.แล้วตู้ ATM ที่เงินหมด ก็ควรจะขึ้นหน้าแรกค้างไว้เลยว่าเงินหมด ไม่ใช้ขึ้นโฆษาต้อนรับอย่างดี ใส่บัตรโน่นนี่แล้วค่อยมาบอกว่าเงินหมด เพื่อ...

By: Hadakung
iPhoneWindows PhoneAndroidWindows
on 30 December 2018 - 11:01 #1089611 Reply to:1089591

ใช้กดเงินไม่ใช้บัตรก็มีปัญหาว่าถ้ากดไม่แล้วไม่มีธนบัตรใบนั้นก็จะบอกว่าไม่มีธนบัตรที่ต้องการไม่ได้แต่ไม่บอกว่ามีธนบัตรแบบไหนกดได้บ้าง แต่ถ้ากดแบบใช้บัตรดันบอก... ไอเราก็กดไปเถอะ KBTG ไม่มีคนดูแล UX เลยหรือไงนะทำมากี่ทีก็ดีแค่หน้าตา...

By: KuLiKo
iPhoneWindows PhoneAndroidWindows
on 30 December 2018 - 11:50 #1089615 Reply to:1089611

+1 โคตรหงุดหงิด ผมเลยหาอยู่ว่าจะย้ายไปใช้เจ้าไหนดี เพราะไม่เคยมีปัญหากับ scb แต่ kbank น๊า 4-5 รอบละเรื่องกดไม่ได้เพราะธนบัตรไม่พอ

By: whitebigbird
Contributor
on 30 December 2018 - 12:59 #1089625 Reply to:1089615
whitebigbird's picture

ปัญหานี้ผมก็เจอครับ พอจะไปกดเงินที่เหลือ 60 บาท มันไม่มีธนบัตรใบละ 20 ในตู้

By: porple on 30 December 2018 - 13:16 #1089628 Reply to:1089611

ว่าจะไปลอง ไม่ดีกว่า รอแบงค์เปิดแล้วไปทำหน้าเคาห์เตอร์น่าจะโอสุด

By: gondolaz
AndroidUbuntuWindows
on 31 December 2018 - 19:44 #1089694 Reply to:1089628
gondolaz's picture

ระวังเจอหน้าเคาร์เตอร์บอก "ต้องโทรเข้า call center แล้วเลือกบริการ k pkus เพื่อสอบถามหรือดำเนินการค่ะ" จบนะ!

By: nuttdam
ContributoriPhoneWindowsIn Love
on 30 December 2018 - 19:12 #1089648 Reply to:1089591

เรื่องโอนเงินแล้วต้องใส่รหัสอีกรอบนี่ผมว่าค่อนข้างปลอดภัยกว่าแบงค์อื่นๆ นะครับ โดนเฉพาะสำหรับคนใช้ touch id เพราะมันกดแทนกันได้ง่ายๆ เลย

By: gondolaz
AndroidUbuntuWindows
on 31 December 2018 - 19:48 #1089695 Reply to:1089648
gondolaz's picture

แต่ผมกลับเห็นว่ามันน่ารำคาญเหมือนอย่างข้างบนว่านะครับ
เพราะถ้าเราอยากใส่รหัส เราคงไม่ต้องไปตั้งค่าให้มันเรียกใช้ สแกนนิ้วแทนหรอก ก็ปล่อยให้ใส่รหัสตามค่าดีฟอลด์ก็ได้

By: whitebigbird
Contributor
on 31 December 2018 - 21:25 #1089701 Reply to:1089695
whitebigbird's picture

ความสะดวกแปรผกผันกับความปลอดภัยครับ

By: olan16
AndroidWindowsIn Love
on 31 December 2018 - 23:03 #1089706 Reply to:1089695
olan16's picture

บางทีก็ไม่ได้เข้าแอพมาโอนเงินไงครับ แค่อยากเข้ามาเช็คยอด ดูยอดบัตรเครดิตเฉยๆ ก็แค่สแกนนิ้วเข้ามา สะดวกกว่ากดรหัส

By: nrml
ContributorIn Love
on 2 January 2019 - 11:15 #1089780 Reply to:1089695
nrml's picture

ถ้ามันง่ายเกินไปมันก็อาจจะกลายเป็นปัญหาแบบข่าวในต้นเรื่องนี้ก็ได้ครับ สุดท้ายคนที่โดนด่าก็เป็นคนที่ทำแอปหรือธนาคาร การป้องกันความผิดพลาดจาก user คือหนึ่งในกระบวนการที่จำเป็นในการออกแบบ

By: olan16
AndroidWindowsIn Love
on 31 December 2018 - 04:58 #1089666 Reply to:1089591
olan16's picture

ผมว่ายิ่งเจอเคสหลุดแบบนี้ ยิ่งต้องเพิ่มนะครับ
ถ้าเอาออกไปแล้ว แล้วมีเคสผัวขโมยเงินเมียตอนหลับ เพราะแอบใช้นิ้วของเมีย login ได้ อย่างงี้ธนาคารก็โดนอีก

By: xnone
AndroidWindows
on 2 January 2019 - 11:34 #1089789 Reply to:1089666

ถ้าจะให้ดี ให้คนใช้เลือกได้น่าจะดีครับ
สำหรับผมที่มองว่าคนในบ้านทั้งหมดไว้ใจได้ ไอ้ที่ต้องกดรหัสเพิ่มกลายเป็นไม่ปลอดภัยแทนครับ

By: MaxxIE
iPhoneAndroidUbuntuWindows
on 30 December 2018 - 08:47 #1089592
MaxxIE's picture

KBankกับTrue

ก็สมน้ำสมเนื้อกันดีนะครับ

เคยใช้บริการ2เจ้านี้อยู่พักนึง พอเลิกออกมาได้ก็สุขภาพจิตดีขึ้นเยอะเลยครับ

By: kentaonline
iPhoneWindows PhoneBlackberry
on 30 December 2018 - 13:41 #1089633 Reply to:1089592

ทำไมมีแต่คนสงสัยการจับคู่ ของคู่นี้จริงจัง 555

By: PandaBaka
iPhoneAndroidWindows
on 30 December 2018 - 09:36 #1089597
PandaBaka's picture

นอกเรื่องนิดครับ ผมคิดว่าถ้าแงะดูจริงจัง อาจจะเจอรูรั่วของ app kbank ก็ได้นะ
เท่าที่ลองสังเกตเหมือน transaction มันไม่รวมเป็นชิ้นเดียวในการทำงานยังไงไม่รู้ ล่าสุดเจอ bug ประหลาด ช่วงที่ net มือถือไม่ค่อยดีโอนเงินเสร็จแล้วเหมือน net จะตัดไปแป๊ปนึง ตัวสลิปไม่บันทึกเฉย - -"

By: Gored on 30 December 2018 - 09:39 #1089598
Gored's picture

ของผมผูกบัญชีกสิกรกับtruemoney แต่ไม่ได้ห่วงเพราะบัญชีกสิกรไม่ได้ฝากเงินแล้วอยากเติมก็โอนจากบัญชีหลักตัวเองเข้าไป เพราะกสิกรบริการห่วยไม่เห็นดีอย่างที่บอก

By: nisitko
AndroidWindows
on 30 December 2018 - 10:21 #1089608
nisitko's picture

ระบบมีให้ยืนยัน และเจ้าของบัญชีตอบรับไปเอง .... ทำไมไม่อ่าน และคิดซะหน่อย ว่าให้ยืนยันเรื่องอะไร เราทำรายการนี้จริงหรือไม่

By: Fourpoint
Windows PhoneAndroidSymbian
on 30 December 2018 - 11:16 #1089613 Reply to:1089608

ถ้าข้อความแจ้งการยืนยัน ไม่บ่งบอกรายละเอียดที่ทำความเข้าใจได้ง่าย ผมก็โทษผู้ออกแบบระบบนะครับ ว่ามีความจงใจทำให้ผู้รับสารสับสน

ยิ่งถ้ามีแต่ภาษาอังกฤษล้วนๆยิ่งอาจผิดกฎหมายเมืองไทยหลายฉบับ หนังสือสัญญาระหว่างบุคคลกับเอกชนในไทย ต้องมีภาษาไทยเสมอครับ

By: hail_to_the_thief
iPhone
on 30 December 2018 - 20:48 #1089653 Reply to:1089613

“หนังสือสัญญาระหว่างบุคคลกับเอกชนในไทย ต้องมีภาษาไทยเสมอครับ” ไม่น่าจะใช่นะครับ ผมเคยดูแลสัญญาทางการเงินของ MNCs หลายแห่ง ที่ทำธุรกิจในไทย รวมทั้ง syndicated loan ที่วงเงินมหาศาล ไม่เคยจำได้ว่าต้องมีคู่สัญญาเป็นเวอร์ชันภาษาไทยนะครับ เพราะกว่าจะต่อรองถ้อยคำภาษาอังกฤษกันได้ลงตัวก็ยากมากๆๆแล้ว ถ้าเพิ่มภาษาไทยมาอีกคงไม่จบ

By: McKay
ContributorAndroidWindowsIn Love
on 31 December 2018 - 02:54 #1089665 Reply to:1089653
McKay's picture

คุณ Fourpoint ไม่ได้พูดถึง B2B หน่ะครับ แต่พูดถึง B2C ตามพระราชบัญญัติคุ้มครองผู้บริโภค


In Soviet Warcraft, Argus comes to you.

By: Khow
Windows PhoneAndroid
on 2 January 2019 - 18:34 #1089862 Reply to:1089653

ผมอยากจะบอกให้ฐานะเรียนมาทางนี้โดยตรงนะครับ
ในทางปฏิบัติ สัญญาภาษาอังกฤษใช้ในศาลไทยไม่ได้ ต้องไปแปลมาแล้วยื่นต่อศาลโอกาสแปลผิดเพียบ แปลผิดนี่คู่กรณีเขาอ่านรู้เรื่องนะครับ
ดังนั้นเวลาร่างสัญญามักจะให้ทำฉบับภาษาไทยด้วยบางสัญญามีแปลไทยในสัญญาเลยและระบุในสัญญาว่าตีความตามภาษาไทยครับในกรณีที่ให้ใช้บังคับกับกฎหมายไทย

ผมร่างสัญญาแบบ ไทย + อังกฤษมาแล้วครับของบริษัทใหญ่ด้วย ตัวภาษาอังกฤษนี่มีไว้ให้ฝรั่งอ่านเฉยๆแต่ถ้าให้ศาลอ่านต้องฉบับภาษาไทยเท่านั้น ศาลไม่แปลให้คุณนะครับ

ถ้าไม่เชื่อเอาสัญญาภาษาอังกฤษไปยื่นต่อศาลตอนฟ้องได้เลยครับโดนว่ามาแน่นอน สรุปคือในทางปฏิบัติยังไงก็ต้องมีตัวภาษาไทยครับถ้าคิดจะขึ้นศาลไทย
เพื่อแก้ปัญหาพวกบริษัทหลายๆแห่งจะจ้างบริษัทที่ดูแลด้านกฎหมายให้ร่างสัญญาเป็นภาษาอังกฤษก่อน แล้วแปลเป็นสัญญาเป็นไทยแล้วยังต้องตรวจสอบว่าที่แปลมาตรงกับเจตนาของคู่สัญญาหรือไม่
แล้วทำกันเป็นปกติด้วยครับพูดจากประสบการณ์ตรง เช่นกัน
แต่ก็จะมีบางสำนักงานที่ร่างมาเป็นภาษาอังกฤษ สุดท้ายคู่สัญญาก็ต้องไปจ้างสำนักงานกฎหมายแปลสัญญาออกเป็นภาษาไทยเหมือนเดิมครับ

ย้ำศาลไทยไม่รับเอกสารภาษาอื่นถ้าคุณไม่ได้ทำฉบับแปลมาให้ศาล ถึงขั้นแพ้คดีเลยนะครับขอบอก
สุดท้ายก็ต้องทำฉบับภาษาไทยอยู่ดีเพราะเขาต้องการให้ตอนฟ้องศาลสะดวกขึ้นครับ

By: Nozomi
ContributorWindows PhoneAndroidSymbian
on 30 December 2018 - 11:58 #1089616
Nozomi's picture

เคสนี้ อ่านยังไง จขกท ก็ผิดเต็มๆ ความผิดของ KBank มีแค่ให้ข้อมูลที่ไม่ informative อ่านแล้วไม่เข้าใจ

KBank โดน force ให้ต้องจ่ายเงินชดเชย (ทั้งที่ไม่ใช่ความผิดระบบตัวเอง) เพราะเรื่องปรากฏในที่สาธารณะ และจากการโพสต์ repeat ซ้ำๆ ในช่วงแรกของ จขกท ทำให้คนส่วนใหญ่เข้าใจว่า KBank หละหลวม (ซึ่งไม่จริง มีคน repeat process ให้ดูหลาย post เลย)

ถึงจะพูดว่ายอมรับ ว่าตัวเองพลาดที่กด Authentic โดยไม่อ่าน แต่ถ้ามีคนแสดงความไม่พอใจ จขกทก็มีผสมโรง เช่น ใน คห 38-1

"ใช่คะไม่คิดเลยว่าจะเกิดกับตัว ขอย้อนกลับไปยุค1.0ที่เดินเข้าออกทำธุรกรรมด้วยตัวเองทุกอย่างจะดีกว่าคะ เราติดใจแค่ว่าทำไมธนาคารถึงให้คนอื่นเอาบัญชีเราไปได้"

ติดใจที่ธนาคารให้โอนเงินออก จากการที่อนุญาตเองเนี่ยนะ แล้วใช้คำติดตลาดอย่าง แฮกค์ เพื่อให้ดูน่ากลัว เป็นที่ตระหนกของคนอ่านที่ไม่จับใจความให้ดี
ถ้าจะให้ดี เค้าควรโพสต์ขอบคุณ KBank ในบรรทัดแรกๆ ด้วยซ้ำว่า ธนาคารได้ชดเชยเงินคืนกลับมาให้หมด (หลังโพสต์ลง social แล้ว)

By: lancaster
ContributorUbuntuWindows
on 30 December 2018 - 12:34 #1089621 Reply to:1089616

ระบบมันให้กดยืนยันง่ายไปครับ ดูเผินๆก็เหมือนหน้าจอโฆษณาที่ kbank ชอบส่งมาทุกวัน แถมถ้าเผลอกดไปแล้วดันไม่มีวิธียกเลิกอีก

By: Hadakung
iPhoneWindows PhoneAndroidWindows
on 30 December 2018 - 15:08 #1089636 Reply to:1089616

มันเหมือน sms บนหน้าเว็บพลาดกดง่ายไป

By: whitebigbird
Contributor
on 31 December 2018 - 15:56 #1089685 Reply to:1089616
whitebigbird's picture

ต่อให้จขกท.ยอมรับว่าผิดเอง แต่เค้าก็มีสิทธิแสดงความไม่พอใจนี่ครับ เค้ามีสิทธิโทษเคแบงค์เต็มที่ เพราะกระบวนการมันหละหลวมมาก ใช้ข้อมูลเปิดก็ผูกระบบได้

และการที่จขกท.จะยอมรับ หรือไม่ยอมรับว่าเป็นความบกะร่องของตัวเอง ผมในฐานะคนนอกก็โทษระบบอยู่ดีครับ

ระบบมันแบกความคาดหวัง และความน่าเขื่อถือไว้นะครับ มันส่งผลกระทบต่อคนจำนวนมากด้วย

ถ้าจขกท.ยอมรับแล้วเรื่องจบ เคแบงค์ก็เงียบๆ ไป เพราะปัญหามาจากลูกค้า ก็ต้องรอให้เกิดกับคนอื่นต่อไป แต่นี่เคแบงค์เลือกแก้ปัญหาทั่ตัวเองก่อนเลย ผมว่าน่าชื่นชมมาก

ผมไม่ได้มองว่าโดน force ด้วยครับ

By: bodinmon
AndroidWindows
on 1 January 2019 - 00:55 #1089707 Reply to:1089685
bodinmon's picture

เห็นด้วยครับ ระบบหละหลวมมาก

ระบบที่เกี่ยวข้องกับเงินทอง คนออกแบบระบบต้องคิดไว้ก่อนเลย ว่าต้องมีมิจฉาชีพ พยายามหาช่องโหว่แน่ๆ

By: TeamKiller
ContributoriPhone
on 30 December 2018 - 15:18 #1089637
TeamKiller's picture

ใช้ทรู แค่โอนเงินเข้ากระเป๋าตังค์ เห็นระบบใหม่ๆ ไม่ค่อยกล้าให้ยิงตรงสักเท่าไร กลัวมีปัญหา แล้วแก้ไขเองลำบาก

By: IDCET
Contributor
on 30 December 2018 - 16:18 #1089642

ผมว่าระบบแบบนี้น่าจะจำกัดให้ทำเฉพาะจากหน้าเว็บพร้อม OTP และคำเตือนของขั้นตอนที่จะทำด้วยนะ หรืออย่างน้อยก๋ให้ทำที่ ATM ใกล้บ้านก็ยังดี พร้อมทั้งภาษาไทยและอังกฤษด้วย

By: thirapat44 on 31 December 2018 - 09:26 #1089667

.

By: thirapat44 on 31 December 2018 - 09:25 #1089668

ผมว่า app kbank ไม่ได้เข้าง่ายขนาดนั้นนะครับ เพราะต้องใช้เน็ตจากเบอร์ที่ลงทะเบียนไว้ บวกกับ pin เดิมอีก ง่ายตรงไหนหรอครับ?

แล้วกรณีที่มีการถามรหัสก่อนโอนเงิน เพราะการยืนยันด้วยลายนิ้วมือกับใบหน้า สามารถปลอมแปลงกันได้ครับ เรื่องแบบนี้คนที่อยู่ในด้านไอทีน่าจะต้องรู้อยู่แล้วนะครับ?

By: lew
FounderJusci&#039;s WriterMEconomicsAndroid
on 31 December 2018 - 13:40 #1089679 Reply to:1089668
lew's picture

ก็ไม่ได้คุยกันเรื่อง "เข้าแอป" นี่ครับ คุยกันเรื่องการ "อนุญาตให้ผู้อื่นถอนเงินไปใช้งาน" ซึ่งการออกแบบควรแสดงให้ชัดเจนกว่าการเข้าแอปตามปกติมากๆ


lewcpe.com, @public_lewcpe

By: ttaiw
AndroidUbuntu
on 31 December 2018 - 12:09 #1089677

ขอเสริม ปัญญาที่เจอกับตัวคือ ธนาคาร ไม่มีการ validate email ลูกค้า ผมใช้ gmail สมัครบริการตั้งแต่ เริ่มเปิดให้บริการ เลยได้ email ที่คล้องกับชื่อตรงๆ
แล้วชื่อซ้ำกับ๕นอื่นแยอะ ไม่รู้ว่าระบบธนาคาร ทำไง ได้เมล์มาเพียบ ตั้งแต่เตือน login โอนเงิน เมื่อก่อนได้ครบทุกแบงค์เลย แยอะสุดคือ tmb

By: xnone
AndroidWindows
on 2 January 2019 - 11:56 #1089798 Reply to:1089677

ผมก็โดนครับ Hotmail หัวอกเดียวกัน ได้ชื่อตรงๆ แล้วชื่อผมมันได้ทั้งผู้หญิงผู้ชาย
ที่ไหนไม่ Validate mail นี่มาเต็ม ที่เกมทั้งสมัครงาน รำคาญมาก

By: acitmaster
AndroidUbuntuWindowsIn Love
on 2 January 2019 - 10:24 #1089763
acitmaster's picture

ในเมื่อมันกดยอมรับง่าย มันก็ควรยกเลิกง่าย ไม่ใช่วุ่นวายแบบนี้

By: whitebigbird
Contributor
on 2 January 2019 - 11:03 #1089775 Reply to:1089763
whitebigbird's picture

สมาชิกในนี้หลายคนคิดว่ากระบวนการมันควรกลับกันครับ

ยกเลิกควรยกเลิกได้ง่ายๆ และควรไปยากตอนกระบวนการผูก

ส่วนวิธีการคิดของธนาคารคือ ทำให้คนผูกง่ายๆ เพื่อให้เกิดธุรกรรมง่ายๆ และยกเลิกยากๆ คนจะได้ไม่ยกเลิก

By: IDCET
Contributor
on 2 January 2019 - 11:26 #1089784 Reply to:1089763

สำหรับผม มันควรจะทำได้ง่ายพร้อมปลอดภัยทั้งตอนสมัครและตอนยกเลิกมากกว่า

ใช้ OTP, ยืนยันผ่านโทรศัพท์ หรือทำผ่าน ATM ก็ว่าไป

ปล. อยากเห็นตู้ทำสมุดบัญชี/บัตรเดบิต/บัตรเครดิต/ออกสินเชื่ออัตโนมัติพร้อมระบบยืนยันบุคคล มากกว่าไปสาขานะตอนนี้

ขั้นตอน:
- ไปสร้างบัญชี/ทำบัตร/ขอสินเชื่อหน้าตู้
- สอดหลักฐานเข้าตู้ส่งไปธนาคาร
- ทำการยืนยันข้อมูลส่วนบุคคล (ลายนิ้วมือ, ใบหน้า และ ID Card)

กรณีเปิดบัญชีพ่วงหรือไม่พ่วงบัตร
- รอระบบสร้างสมุดบัญชีพร้อมเซ็นต์บนหน้าจอหรือปั้มลายนิ้วมือยืนยันความเป็นเจ้าของพร้อมบัตรเดบิต
- ใส่เงินค่าธรรมเนียม (กรณีมีทำบัตรเดบิต) และเงินฝากขั้นต่ำ พร้อมรับสมุดบัญชี (และบัตรเดบิตพร้อมรหัสในซอง และสลิปยืนยันการเปิดบัญชี หากมี)

กรณีทำบัตรเครดิต/ขอสินเชื่อ
- รับสลิประบุหมายเลขยืนยัน และเวลาออกผลการทำธุรกรรม
- รอทางธนาคารโทรมายืนยัน แล้วรับเลข OTP ไปยืนยันหน้าตู้
- หากทำบัตรเครดิต > รอเครื่องออกบัตรพร้อมสลักชื่อ นามสกุลของผู้ขอบัตรพ่วงชองระบุรหัสบัตร
- หากทำเรื่องขอสินเชื่อ > ยืนยันข้อมูลและจำนวนเงินที่ได้จากการขอสินเชื่อ แล้วเลือกเป็นโอนเข้าธนาคาร, รับเงินที่หน้าตู้เลย กรณีเงินจำนวนไม่มาก หรือรับเงินสดที่สาขา กรณีเงินจำนวนมาก

การยกเลิกบัญชีและบัตร
- ทำที่หน้าตู้ พร้อมยืนยันตัวตน
- ใส่สมุดปัญชี/บัตรเดบิต/บัตรเครดิต ยืนยันการยกเลิก
- ใส่เงินค้างชำระทั้งหมด กรณีมีหนี้ในบัตรเครดิต
- ระบบจะยกเลิกบัญชีและบัตรให้ พร้อมเจาะรูบัตรและสมุด หากลูกค้าเลือกจะรับคืน หรือทำลายสมุดและบัตรหากไม่ต้องการรับคืน
- รับเงินคืน กรณีมาเงินเหลือในบัญชีเงินฝาก

ถ้าที่กล่าวมานี้สามารถทำได้ ผมว่าแค่ปัญหาที่เกิดข้างต้นก็สามารถป้องกันได้ตั้งแต่ต้นแล้วนะครับ

By: whitebigbird
Contributor
on 2 January 2019 - 11:52 #1089792 Reply to:1089784
whitebigbird's picture

สำหรับผม มันควรจะทำได้ง่ายพร้อมปลอดภัยทั้งตอนสมัครและตอนยกเลิกมากกว่า

ใช้ OTP, ยืนยันผ่านโทรศัพท์ หรือทำผ่าน ATM ก็ว่าไป

ประเด็นที่เป็นปัญหาจากข่าวนี้คือกระบวนการเป็นแบบที่คุณบอกอ่ะครับ มิจฉาชีพเอาเลขที่บัญชีของผู้เสียหายไปผูกกับบริการของทรู

จากนั้นฝั่งแอพธนาคารก็จะแสดงกล่องข้อความให้ยืนยัน ซึ่งผู้เสียหายก็ทำพลาดด้วยการกดยืนยันไป เงินเลยออกไปหมด

มิจฉาชีพขอแค่คนพลาดไม่กี่คนครับ ลองสุ่มไปเรื่อยๆ ไม่เสียอะไรอยู่แล้ว แต่เมื่อเกิดปัญหาขึ้น มูลค่าความเสียหายมันเกิดมากกว่าเงินที่ผู้เสียหายต้องเสียไปเยอะครับ ทั้งทางตรงและทางอ้อม

By: IDCET
Contributor
on 2 January 2019 - 11:57 #1089799 Reply to:1089792

ถ้าแบบนั้น ทางธนาคารก็ควรจะตรวจสอบความเป็นเจ้าของของเบอร์ที่จะผูกก่อน ถ้าตรงกับข้อมูลเจ้าของบัญชีค่อยผูก ทำงานร่วมกับผู้ให้บริการโทรศัพท์เลย ถึงจะปลอดภัยครับ

By: whitebigbird
Contributor
on 2 January 2019 - 12:15 #1089804 Reply to:1089799
whitebigbird's picture

ผมคิดว่า (อันนี้เป็นความเห็นนะครับ ไม่ใช่ fact) น่าจะเกินขอบเขตที่ธนาคารทำได้ เพราะเกินขอบเขตของผู้บริการที่จะให้ข้อมูลลูกค้าแก่ third party ครับ

อีกอย่าง ในขั้นตอนฝั่งธนาคาร ที่มิจฉาชีพผูกบริการภายนอกที่สามารถถอนเงินออกจากบัญชีได้นั้นใช้เพียงเลขบัญชีธนาคารเป้าหมายเท่านั้น แม้จะขอดบอร์โทรศัพท์ด้วย แต่ไม่มีการ validate ใดๆ ก็เปรียบเสมือนไม่ได้ใช้เบอร์โทรมา validate อ่ะครับ

ในโลกของ developer ผมว่ากฎข้อแรกของ input validation คือ อย่าเชื่อ input ใดๆ อ่ะครับ

ปล. ส่วนนึงผมเชื่อว่ากระบวนการมันมี human error อยู่หลายจุดมาก ถ้าธนาคารมีจุดมุ่งหมายจะให้ความปลอดภัยแก่บัญชีก็ควรจะปะอุดช่องโหว่ที่เปิดช่องแก่ human error ครับ

ผมมองว่ามันอยู่ในช่วงเปลี่ยนผ่านทางเทคโนโลยีอ่ะนะ หลายคนไม่รู้ว่าตัวเองทำอะไรด้วยซ้ำ แค่ OK, Yes, Agree ไปเรื่อยๆ

By: lancaster
ContributorUbuntuWindows
on 2 January 2019 - 23:53 #1089888 Reply to:1089804

สำหรับเคสนี้ แค่ส่ง OTP ไปที่เบอร์ทรูที่ขอผูกก็ไม่โดนแล้วครับ เพราะเจ้าของบัญชีตัวจริงจะไปรู้ OTP ได้ไง

หรือต่อให้มิจฉาชีพ forward OTP มาให้เจ้าของบัญชี เจ้าของเองก็ต้องเอะใจอยู่แล้วว่าทำไมต้องกรอก โอกาสเผลอกดก็ลดลงไปมากครับ

By: whitebigbird
Contributor
on 3 January 2019 - 09:24 #1089933 Reply to:1089888
whitebigbird's picture

ผมงงตรงที่บอกว่า "เจ้าของบัญชีตัวจริงจะไปรู้ OTP ได้ไง" อ่ะครับ รบกวนอธิบายหน่อยครับ

By: hisoft
ContributorWindows PhoneWindows
on 3 January 2019 - 11:06 #1089956 Reply to:1089933
hisoft's picture

ส่ง OTP ไปที่เจ้าของ True Money ที่ขอผูก (ฝั่งโจมตี) แล้วให้กรอกในแอปฝั่งถูกผูก (เหยื่อ) ทำให้เจ้าของบัญชีธนาคาร (เหยื่อ) ไม่รู้ OTP ที่ส่งไปหาเจ้าของ True Money น่ะครับ

By: whitebigbird
Contributor
on 3 January 2019 - 11:58 #1089974 Reply to:1089956
whitebigbird's picture

เข้าใจแล้ว ขอบคุณที่ช่วยอธิบายครับ

เห็นด้วยกับคุณ @lancaster ครับ