Fraud detection ควรจะใส่กับเดบิตด้วยนะ บัตรเครดิตของแฟนก็โดนแต่ Fraud detection ทำงานก็เลยรอดไป

ของ Citi Bank มี Fraud Alert ให้นะ หากนานๆทีไปใช้ทำธุรกรรมตปท. แป๊ปเดียวมีจนท. Call Center โทรมาหาเลย ว่าตะกี๊มีการรูดใช้บัตรซื้อของตปท.จริงหรือเปล่า หรือ ถ้ามีการรูดจำนวนเงินเดิมๆติดต่อกันเกิน 5-10 ครั้ง บัตรโดนล็อคเลย เพราะเคยเติมเงินทีละ 10 บาท เข้ามือถือเพื่อเพิ่มจำนวนวัน เลยรู้

ถ้าแค่สุ่มเลขบัตรแล้วตัดเงินได้นี่ แสดงว่าระบบทั้งระบบมีปัญหาตั้งแต่รากฐานเลยนะ

เอาตรงๆ ว่าผมไม่เชื่อ

สุ่มเลขหน้าบัตร เดือนปีหมดอายุ เลขหลังบัตรอีก สุ่มอีท่าไหนเนี่ย

สุ่มจนถูกนี่ Brute-force เข้ามางี้

Fraud detection ที่เคยเห็นแล้วประทับใจจริงๆ คือ AMEX แบบเจอ รูดผิดปรกติ หรือ โดนรูดข้ามประเทศเค้าจะ cancel ก่อนแล้ว โทรหาเจ้าของบัตร ในเวลาอึดใจ .. แต่อันนั้นเข้าใจว่า คนใช้น้อยเพราะเป็น charge card แล้วเงินลงทุนเรื่อง เอามนุษย์มาดูแล transaction เค้าเยอะมาก

การสุ่ม ส่วนตัวไม่เชื่อว่าเกิดจากเหตุนี้ ไม่งั้นทั่งโลกคงสะเทือนไปนานแล้ว โดนกันทั่งโลก ไงโดนแค่ไทยถ้ามันจะง่ายขนาดนั้นแค่สุ่ม น่าจะเกิดจากการรั่วแต่ตรงจุดไหนแค่นั้นเอง

ที่ต้องรีบออกมาแจ้ง คงแก้เขิลไป พลางๆ

อันนี้สงสัยเองว่า ทำไมถึงไม่ยอมให้ user ทำการเปลี่ยน cvv ได้ด้วยตัวเอง เหมือนเป็น Private Key หรือ Password อย่างนึง

ติดที่ระบบส่วนไหนกันน่ะ

ชื่อ-สกุล + เลขบัตร + cvv + วันหมดอายุ มันสุ่มได้เหรอ?

ผมไม่เชื่อนะ ถ้าบอกว่าเมนเฟรมถูกเจาะล่ะก็พอฟังขึ้น

บัตรไทย แพทเทิร์นมันคงตายตัวอะ บัตรเดบิตวันหมดอายุค่อนข้างคงที่ เลข 6-8 เลขแรกก็แทบจะ เป็นค่าคงที่

ฺเรียนทีม BOT
ลูกค้าต้องการ 2 Factor Authentication ช่วยพลักและดันด้วยครับ

ได้ sms ว่าโดนสุ่มเลข expiry เหมือนกัน

ถึงกับต้องไปหาข้อมูลเพิ่มเลย สรุปว่า เป็นไปได้จริงๆด้วย
Technique Allows Researchers To Crack Credit Card Numbers in 6 Seconds

สุ่มเลขบัตรไม่น่าจะยาก เพราะ entropy ไม่มาก ยิ่งถ้าบัตรที่ธนาคารออกเป็น Sequential ก็ยิ่งง่าย วันหมดอายุก็จะง่ายด้วยเพราะออกมาติดๆกัน

เท่าที่ไล่อ่านคนในกลุ่มที่โดน หลายๆคนเล่าตรงกันว่าก่อนน้าที่จะโดน มีการตัดบัตรยอดน้อยๆ แล้วคืนเงิน ซึ่งพฤติกรรมมันเหมือนเวลาเราไป Verify บัตรหรือใช้บัตรยื่นยันตัวตน มันก็จะตัดๆคืนๆเพื่อทดสอบว่าบัตรใช้ได้จริงมั้ย

จริงๆมันน่าจะผิดตั้งแต่ธนาคารต่างๆออก ATM พ่วงเดบิตนี่แหละครับ เชื่อว่าคนจำนวนมากยังไม่รู้เลยว่าบัตร ATM ตัวเองเป็นเดบิตด้วย จริงๆควรจะปิดเป็น default และเปิดเมื่อลูกค้าขอ นี่ผมไปทำ ATM ทุกที่ผมต้องบอกปิดเดบิตเองตลอด

คือเอาจริงๆก็งงใจนะ คนไทยไม่ได้ใช้บัตรเครดิตเป็นรายแรกๆในโลก สหรัฐอเมริกาหรือเกาหลีก็น่าจะมีผู้ถือบัตรฯมากกว่าไทยไม่รู้กี่เท่า หรือจริงๆ เค้าก็โดนกันไปแล้ว แล้วเค้ารอดได้อย่างไร

แล้วถ้าสุ่มบัตร มันก็ต้องโดนคนถือบัตรประเทศอื่นบ้างสิ มันต้องเป็นทั่วโลก ทำไมเห็นแต่ข่าวในไทย หรือเรามันวางใจไม่กัน?

คือถ้า Payment Gateway ที่ยอมให้ยิงกระหน่ำ brute force เดา CVV ได้ ทางต้นทางเค้าต้องตัดการเชื่อมต่อแล้ว บัตรเดียวโดนรายวินาทีนี่ แล้วโดนไป 4-5 วัน ยังยืนให้ยิงได้ นี่ยอมใจริงๆ

ถ้าเป็นตนร้าย ถ้าเราไม่มีหมายเลขบัตรในมือ ไม่มีวันหมดอายุหน้าบัตร ไม่มี CVV เราก็ต้องยิง Payment Gateway มันต้องยิงแหลก แล้วต้องเปิดฟาร์มเต็มทีเลยไม่จำกัดเฉพาะบัตรไทยหรอก แล้วคงไม่จำกัดแค่หมื่นใบในไทยแน่ๆ เพราะถ้ามีคนรู้ตัวโดนบล็อก IP/token มันก็จบแล้ว มันจะเป็น one-time event

ถ้าเป็นการสุ่มเลขบัตรจริง มันควรจะมี transaction ที่ผิดพลาดเกิดขึ้นบ่อยๆ ที่ระบบของธนาคารนะ ซึ่งถ้าแบงก์ตรวจสอบกรณีนี้ไม่ได้ อันตรายสุดๆ

ผมใช้เดบิตกรุงไทยเมื่อ 2-3 ปีก่อน เอาไปซื้อ ebook จาก Google Play Book ซึ่งไม่มีตะกร้า ซื้อเป็นสิบเล่มก็ทำรายการเป็นสิบรอบติดต่อกัน (แต่ก็ไม่ได้ถี่แบบที่เป็นข่าวนะ มันก็เว้นช่วงให้นิ้วกดบ้าง) บัตรมันก็ล๊อค ก็ต้องไปปลดกับทางธนาคารนะครับ

ผมสงสัยมากว่าทำไมเคสนี้มันถึงไม่มีแบบนั้นบ้าง ปล่อยให้รูดจนหมดได้ไง แถมรายการถี่แบบผิดมนุษย์แบบนี้ด้วย ยิ่งถ้าอ้างว่าสุ่มเลขบัตรก็แปลว่าน่าจะใช้การ Brute force ซึ่งน่าจะตรวจจับได้ง่ายยิ่งกว่าอีก และธนาคารควรจะรู้ก่อนผู้ใช้ด้วยซ้ำว่ามีการโจมตีเกิดขึ้น และควรจะมี action อะไรบางอย่างจากธนาคารก่อนที่ผู้ใช้จะเริ่มโวยวายด้วยซ้ำ (อย่างน้อยถ้าแก้หรือป้องกันไม่ได้ก็แจ้งเตือนผู้ใช้ก็ยังดี) ที่สำคัญคือมันไม่ได้เกิดเหตุ ณ วันที่เป็นข่าววันเดียว แต่มันเกิดมาตั้งแต่ต้นเดือนแล้ว ยังไงธนาคารก็ต้องรับรู้เรื่องนี้ก่อนวันที่เป็นข่าวแน่ๆ

แต่การที่ไม่มีธนาคารไหนทำอะไรจนกระทั่งเป็นข่าวแบบนี้ผมว่าเป็นอะไรที่น่าสงสัยพิกล

เคยเอาบัตรเสริมแม่ไปรูดซื้อของแพงไป แพลนตั้งใจจะแอบเอาเข้าบ้านไม่ให้แม่เห็นเดี๋ยวต้องโดนด่าแน่ๆ กลับมาถึงบ้านปุ๊บโดนเทศนาจัดเต็มเลยจ้าาา แม่มาเฉลยทีหลังว่าจนท.เค้าโทรมาคอนเฟิร์มว่าได้ทำธุรกรรมนี้จริงไหม แต่แม่ก็อนุมัติไปเพราะได้ยินลูกบ่นอยากได้มาหลายวัน ? ก็เลยถึงบางอ้อว่า อ๋ออ เค้ามีระบบเช็คอยู่ แต่ก็คิดว่าคง monitor เฉพาะจำนวนเงินมากๆแน่

เดี๋ยวนี้คนส่วนใหญ่มี smartphone ควรให้ยืนยันการจ่ายเงินด้วย digital signature เป็นช่องทางหลัก โดย private key ของอุปกรณ๋ของผู้ใช้ก็เข้ารหัสไว้อีกชั้นหนึ่งด้วย และให้ผู้ใช้ตั้งรหัสปลดล็อกได้เองด้วยรหัสผ่านที่ปลอดภัย ไม่ควรจำกัดว่าต้องเป็นตัวเลขเท่านั้นความยาว 6 ตัวเท่านั้น
การจ่ายด้วยเลขบัตรเครดิตและข้อมูลที่ปรากฏบนบัตร ไม่ปลอดภัย ควรจัดเป็น deprecated และยกเลิกในอนาคต ไม่ควรใช้ต่อนานเกินไป

มันมีบัตรไหนไม๊ ที่ให้เรา approve ทุก transaction ผ่าน app
ถ้าไม่ approve ในเวลาที่กำหนด ยกเลิกรายการ
หรืออย่างน้อย รายการที่เป็น online หรือรายการที่ไม่มีการอ่านชิพจากบัตรโดยตรง ต้อง approve ทั้งหมดก็ยังดี
ถ้าเจ้าไหนมี จะวิ่งไปใช้เลย