ธนาคารฝรั่งเศสแห่งหนึ่งขาดทุน 100 ล้านยูโร เพราะบัญชีของตัวเองบอกเช่นนั้น

Crédit Mutuel Arkéa สูญเสียเงินราว 100 ล้านยูโรให้แก่มิจฉาชีพที่ไม่ได้บุกเข้าไปในตู้นิรภัย — พวกเขาใช้บัญชีของธนาคารเองในการส่งเงิน มันเป็นเครื่องเตือนใจที่มีประโยชน์ว่า ความล้มเหลวของซอฟต์แวร์ที่แพงที่สุดนั้นแทบไม่ใช่ความล้มเหลวที่ทำให้ข้อมูลรั่วไหล แต่เป็นความล้มเหลวที่อนุมัติการชำระเงิน

Crédit Mutuel Arkéa ธนาคารระดับภูมิภาคของฝรั่งเศส เปิดเผยเมื่อวันที่ 4 พฤศจิกายนว่า ตนถูกโจมตีทางไซเบอร์ โดยมีธุรกรรมฉ้อโกงประมาณ 100 ล้านยูโร — หรือราว 112 ล้านดอลลาร์สหรัฐ ตามอัตราแลกเปลี่ยนปัจจุบัน เงินไม่ได้ออกไปทางห้องนิรภัย แต่ออกไปผ่านบัญชีของธนาคารเอง โอนไปยังธนาคารอื่น แล้วแปลงเป็นคริปโตเคอร์เรนซีบนแพลตฟอร์มเฉพาะทาง

เงินส่วนหนึ่งถูกอายัดแล้ว ธนาคารกล่าวว่ามาตรการติดตามทวงคืนเพิ่มเติมกำลังดำเนินอยู่ บัญชีลูกค้าไม่ถูกเจาะ และอาร์เกอกล่าวว่าลูกค้าไม่ได้รับความเสียหาย

เกิดอะไรขึ้นจริง

กลไกสำคัญกว่าจำนวน ตามรายงานของสำนักข่าวเอเอฟพี ผู้โจมตีเข้าถึงบัญชีของอาร์เกอาเองที่อยู่ภายในธนาคาร และใช้บัญชีเหล่านั้นเพื่อสร้างคำสั่งโอนไปยังธนาคารอื่น จากนั้นเงินโอนเหล่านั้นถูกย้ายเข้าสู่คริปโตบนแพลตฟอร์มซื้อขายเฉพาะทาง

อาร์เกอาปฏิเสธอย่างชัดเจนว่าเป็นความผิดพลาดของมนุษย์ โดยเรียกเหตุการณ์นี้ว่า "การโจมตีที่ซับซ้อนจากภายนอก"

สำนักงานอัยการปารีสได้เปิดการสอบสวนอย่างเป็นทางการเกี่ยวกับการโจมตีแบบมีองค์กรต่อระบบประมวลผลข้อมูลอัตโนมัติ ซึ่งเป็นข้อหาตามกฎหมายฝรั่งเศสที่ครอบคลุมการบุกรุกประเภทนี้

ธนาคารยังกล่าวอีกว่ายอดสุดท้ายยังอยู่ระหว่างการประเมิน และยอดดังกล่าวไม่มากพอที่จะคุกคามสุขภาพทางการเงินของกลุ่ม บริษัท Arkéa รายงานกำไรสุทธิ 230 ล้านยูโรในครึ่งแรกของปีนี้

ในขณะเดียวกัน ZachXBT นักสืบสวนบล็อกเชนอิสระ ได้เผยแพร่รายละเอียดของการฉ้อโกงบนบัญชีโซเชียลมีเดียของเขาเมื่อต้นสัปดาห์นี้ โดยกล่าวว่าเงินที่ถูกขโมยถูกส่งผ่านหลายบัญชีที่เปิดบนกระดานแลกเปลี่ยนคริปโต

ความล้มเหลวอยู่ที่การอนุญาต ไม่ใช่การรักษาความลับ

อ่านลำดับเหตุการณ์นั้นอีกครั้ง เพราะมันพลิกแบบจำลองทางความคิดที่องค์กรส่วนใหญ่ยังคงยึดถือเกี่ยวกับความเสี่ยงไซเบอร์

ไม่มีใครขโมยฐานข้อมูล ไม่มีใครเผยแพร่ข้อมูลลูกค้า การถูกเจาะระบบครั้งนี้ไม่ได้เกี่ยวกับการรักษาความลับเลยแม้แต่น้อย — แต่เกี่ยวกับ การอนุญาต ผู้โจมตีต้องการให้ระบบของธนาคารเชื่อว่าคำสั่งโอนเงินนั้นชอบด้วยกฎหมาย และ ณ จุดหนึ่ง ระบบเหล่านั้นก็เชื่อเช่นนั้น

นั่นคือหมวดหมู่ที่มีต้นทุนสูง การสูญหายของข้อมูลเป็นปัญหาด้านกฎหมายและชื่อเสียงที่มีแนวทางรับมือซึ่งเป็นที่รู้กันดีอยู่แล้ว การชำระเงินแบบพุชที่ได้รับอนุญาตคือเงินที่ออกไปแล้ว บนระบบที่ออกแบบมาให้ย้อนกลับไม่ได้ และเหตุผลเดียวที่ใคร ๆ กู้คืนอะไรได้ก็คือ เงินส่วนหนึ่งถูกอายัดไว้ก่อนที่จะถูกนำไปฟอกเงินต่อ

แพลตฟอร์มธนาคารทุกแห่งสร้างขึ้นบนสมมติฐานง่าย ๆ ว่า หากคำสั่งมาถึงผ่านช่องทางที่ถูกต้อง ลงนามโดยตัวตนที่ถูกต้อง คำสั่งนั้นก็เป็นของจริง ผู้โจมตีเรียนรู้ว่าเส้นทางที่ถูกที่สุดไปสู่เงินไม่ใช่การเอาชนะตัวล็อก — แต่คือการกลายเป็นบุคคลที่ตัวล็อกเปิดให้

นี่ก็เป็นเหตุผลว่าทำไมประโยค “เราไม่ได้ถูกเจาะระบบ ไม่มีข้อมูลลูกค้าถูกเปิดเผย” จึงเป็นได้ทั้งความจริงและไม่ตรงประเด็นในเวลาเดียวกัน อาร์เกอาสามารถพูดเช่นนั้นได้อย่างซื่อสัตย์และยังคงสูญเงิน 100 ล้านยูโร

ทำไมขาคริปโตจึงกลายเป็นมาตรฐานไปแล้ว

ครึ่งหลังของเรื่องนี้ว่าด้วยวิธีที่เงินที่ถูกขโมยถูกฟอกในปี 2026 และมันเร็วกว่าเมื่อก่อน

เงินเหล่านั้นถูกแปลงเป็นคริปโตเคอร์เรนซีบนแพลตฟอร์มเฉพาะทาง ผู้สอบสวนกล่าวว่าจากตรงนั้น เงินดังกล่าวถูกกระจายไปยังบัญชีแลกเปลี่ยนหลายบัญชี คริปโตน่าสนใจสำหรับปฏิบัติการอาชญากรรมด้วยเหตุผลสามประการ ได้แก่ การชำระบัญชีรวดเร็ว การโอนข้ามพรมแดนได้โดยไม่มีธนาคารตัวแทนคอยซักถาม และห่วงโซ่บัญชีแลกเปลี่ยนสร้างระยะห่างระหว่างการโจรกรรมกับการถอนเงิน

มันไม่ได้เป็นแบบไม่ระบุตัวตน — การวิเคราะห์บล็อกเชนคือวิธีที่ ZachXBT และคนอื่น ๆ สามารถอธิบายเส้นทางได้อย่างแม่นยำ — แต่มันรวดเร็ว และความรวดเร็วคือสิ่งที่ขโมยต้องการก่อนที่ทีมตรวจจับการฉ้อโกงของธนาคารจะโทรศัพท์ครั้งแรกเสร็จ

นั่นคือเหตุผลว่าทำไมการอายัดเงินอย่างรวดเร็วจึงสำคัญพอ ๆ กับการป้องกันการโอนครั้งแรก ความหน่วงในการตรวจจับ ไม่ใช่ความแข็งแกร่งของขอบเขตป้องกัน เป็นตัวกำหนดว่าเงินจำนวนนี้ได้กลับคืนมามากน้อยเพียงใด

สิ่งนี้หมายความว่าอย่างไรหากคุณซื้อซอฟต์แวร์

ผู้อ่านส่วนใหญ่ของบทความนี้จะไม่มีวันได้บริหารธนาคาร แต่คำถามเชิงโครงสร้างเดียวกันนี้อยู่ภายใต้ทุกระบบที่เคลื่อนย้ายเงิน อนุมัติคำร้อง ปล่อยคำสั่ง หรือเปลี่ยนแปลงบันทึกในนามของใครบางคน: อะไรทำให้ระบบนี้เชื่อว่าคำสั่งหนึ่งถูกต้องตามกฎหมาย และคุณจะรู้ได้เร็วแค่ไหนหากมันผิด?

มีสี่สิ่งที่ควรตรวจสอบในระบบใด ๆ ที่คุณกำลังซื้อหรือสร้าง

ข้อมูลรับรองเพียงชุดเดียวที่ถูกบุกรุกสามารถอนุมัติการโอนเงินจำนวนมากได้หรือไม่? หากการเข้าสู่ระบบที่ถูกต้องเพียงครั้งเดียวสามารถริเริ่มการชำระเงินที่ไม่สามารถย้อนกลับได้ ความปลอดภัยของระบบก็คือความปลอดภัยของการเข้าสู่ระบบครั้งนั้นเพียงครั้งเดียว วงเงินอนุมัติ การยืนยันโดยบุคคลที่สองสำหรับคำสั่งที่มีมูลค่าสูง และการยืนยันผ่านช่องทางอื่น ไม่ใช่ระบบราชการ — สิ่งเหล่านี้คือความแตกต่างระหว่างเรื่องน่ารำคาญกับความสูญเสียระดับเก้าหลัก

คำสั่งสามารถถูกปลอมแปลงผ่านช่องทางที่เชื่อถือได้หรือไม่? การโจมตีที่น่าสนใจไม่ได้ดูเหมือนการโจมตี พวกมันมาในรูปของคำขอที่จัดรูปแบบอย่างถูกต้องจากแหล่งที่ระบบเชื่อถืออยู่แล้ว หากการออกแบบของคุณตั้งสมมติฐานว่าสิ่งใดก็ตามที่เข้ามาทางช่องทางภายในเป็นของแท้ คุณก็ได้ย้ายปัญหาด้านความปลอดภัยไปให้ใครก็ตามที่สามารถเข้าถึงช่องทางนั้น

นานแค่ไหนกว่าจะมีใครสังเกตเห็น? ความเสียหายของ Arkéa ถูกจำกัดด้วยจำนวนเงินที่ถูกอายัด และนั่นขึ้นอยู่กับเวลา การตรวจจับความผิดปกติที่แจ้งเตือนภายในไม่กี่นาทีแทนที่จะเป็นหลายวัน มีค่ามากกว่าการป้องกันอีกชั้นหนึ่งที่ไม่มีใครเฝ้าดู

เส้นทางกู้คืนเป็นของจริง หรือแค่บนกระดาษ? "เรามีแผน" ไม่ใช่การควบคุม บัญชีใดบ้างที่สามารถอายัดได้ ผ่านคู่สัญญารายใด ภายในกรอบเวลาใด และใครมีอำนาจตัดสินใจเรียกใช้อำนาจนั้นตอนตีสอง — นั่นจึงจะเป็นการควบคุมก็ต่อเมื่อได้ซ้อมมาก่อนแล้ว

ประโยคที่เรากลับมาหาเสมอ

เหตุการณ์เช่นนี้มักถูกเล่าเป็นเรื่องราวด้านเทคโนโลยี แต่ที่ถูกต้องกว่านั้น มันคือเรื่องราวเกี่ยวกับความไว้วางใจที่ถูกวางไว้ผิดที่ ผิดเวลา โดยซอฟต์แวร์ที่ทำตามสิ่งที่ถูกสั่งอย่างตรงเป๊ะ

นั่นคือช่องว่างที่งานด้านความปลอดภัยมีอยู่เพื่อปิด และเป็นช่องว่างที่เราสร้างระบบขึ้นมาป้องกันตั้งแต่คอมมิตแรก ที่ ABN Asia คุณไม่ได้เพียงได้รับซอฟต์แวร์ แต่คุณได้รับซอฟต์แวร์ที่ปลอดภัย — ผ่านการจำลองภัยคุกคามก่อนที่จะกำหนดรายการฟีเจอร์ ทดสอบกับเส้นทางที่มุ่งร้ายตลอดจนเส้นทางที่ราบรื่น และเสริมความแข็งแกร่งก่อนที่มันจะไปถึงมือคุณ

ธนาคารที่มีกำไรครึ่งปี 230 ล้านยูโร มีระบบที่ซับซ้อน และมีหน่วยงานด้านความปลอดภัยเต็มรูปแบบ ก็ยังสามารถสูญเสีย 100 ล้านยูโรได้ในคืนเดียว คำถามที่ควรถามเกี่ยวกับสแตกของคุณไม่ใช่ว่าคุณเป็นเป้าหมายหรือไม่ แต่คือระบบของคุณจะทำอย่างไรหากคำสั่งนั้นดูเหมือนของจริง

แหล่งข่าว: รายงานของสำนักข่าวเอเอฟพีเกี่ยวกับการเปิดเผยของ Crédit Mutuel Arkéa เมื่อวันที่ 4 พฤศจิกายน 2026; แถลงการณ์ของธนาคารและสำนักงานอัยการปารีส; รายงานสาธารณะโดยนักสืบสวนบล็อกเชน ZachXBT.

โปรดทราบว่าเวอร์ชันภาษาไทยได้รับการช่วยเหลือจาก AI ดังนั้นอาจมีข้อผิดพลาดเล็กน้อย

ผู้เขียน

Ai-Banking-NetworkSecurity (ABN), ABN ASIA ถูกก่อตั้งขึ้นโดยคนที่มีรากฐานลึกในวงการวิชาการ มีประสบการณ์การทำงานในสหรัฐอเมริกา ดัตช์ ฮังการี ญี่ปุ่น เกาหลีใต้ สิงคโปร์ และเวียดนาม ABN Asia เป็นที่เราพบกันของวิทยาลัยและเทคโนโลยี ด้วยโซลูชันขั้นสูงและบริการพัฒนาซอฟต์แวร์ที่มีความสามารถ เราช่วยธุรกิจเติบโตและเข้าสู่ฉากโลก ความมุ่งมั่นของเรา: ด่วนขึ้น ดีขึ้น น่าเชื่อถือมากขึ้น ในกรณีส่วนมาก: ราคาถูกด้วย

หากคุณต้องการบริการ IT การให้คำปรึกษาดิจิทัล โซลูชันซอฟต์แวร์ใช้ได้หรือหากคุณต้องการส่งคำขอข้อเสนอ (RFPs) อย่าลังเลที่จะติดต่อเรา คุณสามารถติดต่อเราได้ที่ [email protected] เราพร้อมช่วยเหลือคุณด้านทุกความต้องกรทางเทคโนโลยีของคุณทุกเมื่อ