เมื่อ AI กลายเป็นอาวุธมิจฉาชีพ: สรุปความเสี่ยงและภัยไซเบอร์ในไทย

อาชญากรไซเบอร์กำลังหันมาใช้ปัญญาประดิษฐ์ (AI) เป็นเครื่องมือโจมตีเหยื่ออย่างเป็นระบบมากขึ้น FBI รายงานว่าในปี พ.ศ. 2568 ชาวอเมริกันสูญเสียกว่า 29,600 ล้านบาท (893 ล้านดอลลาร์) จากอาชญากรรมที่เกี่ยวข้องกับ AI สถานการณ์ในประเทศไทยไม่ต่างกันนัก ข้อมูลล่าสุดระบุว่าไทยติดอันดับ 9 ของโลกด้านความเสียหายจากการหลอกลวงออนไลน์ โดยในปี พ.ศ. 2568 คนไทยสูญเสียเงินรวมกว่า 27,000 ล้านบาท เฉพาะกลุ่มคนวัยทำงานอายุ 20–49 ปี ถูกหลอกถึง 405,929 ราย คิดเป็นมูลค่าความเสียหาย 23,400 ล้านบาท

ประเทศไทยสถิติคดีออนไลน์สะสมในช่วง 3 ปี (มีนาคม พ.ศ. 2565 – มกราคม พ.ศ. 2568) ชี้ว่ามีคดีเกิดขึ้นกว่า 800,000 คดี สร้างความเสียหายรวมกว่า 81,000 ล้านบาท หรือเฉลี่ยถึง 76 ล้านบาทต่อวัน และภัยเหล่านี้กำลังอัปเกรดตัวเองด้วย AI อย่างต่อเนื่อง

Chris Whyte ศาสตราจารย์จากมหาวิทยาลัย Virginia Commonwealth ชี้ว่า AI กำลังก้าวไปในทิศทางที่เข้าถึงได้ง่ายขึ้น ราคาถูกลง และมีประสิทธิภาพสูงขึ้นในการก่อเหตุโจมตี ต่อไปนี้คือคำแนะนำจากผู้เชี่ยวชาญในการรับมือกับกลโกงไซเบอร์ยุคใหม่

Deepfake เมื่อหน้าและเสียงถูกปลอมได้แบบ Real-Time

Deepfake คือเทคโนโลยีจำลองใบหน้า เสียง ตลอดจนวิดีโอของเหตุการณ์ที่ไม่เคยเกิดขึ้นจริง ข้อมูลจากรายงาน Gallup ระบุว่าในปีที่ผ่านมา ราว 12% ของเหยื่อกลโกงในสหรัฐฯ ยืนยันว่าการหลอกลวงที่ตนตกเป็นเหยื่อเกี่ยวข้องกับ AI หรือ Deepfake โดยเฉพาะการปลอมตัวเป็นดาราหรือผู้บริหาร ซึ่ง FBI เรียกว่าสร้าง "โอกาสหลอกลวงที่มีเดิมพันสูง" ยอดความเสียหายจากกลโกงการลงทุนที่ใช้ AI ในสหรัฐฯ เพียงประเภทเดียวพุ่งสูงกว่า 20,900 ล้านบาท (632 ล้านดอลลาร์) ในปีที่ผ่านมา

บริบทไทย: ในเดือนพฤศจิกายน พ.ศ. 2568 ตำรวจจับกุมกลุ่มมิจฉาชีพชาวจีนที่ใช้ AI Deepfake หลอกแม้กระทั่งระบบยืนยันตัวตนด้วยใบหน้า (Biometric) ของธนาคาร กลุ่มนี้ใช้ "AI หลอก AI" เพื่อข้ามผ่านระบบ Liveness Detection ที่ธนาคารใช้ป้องกัน เช่น การสั่งให้กะพริบตา หันซ้าย-ขวา หรืออ้าปาก แม้ครั้งนี้จะยังไม่ได้มุ่งหลอกประชาชนโดยตรง แต่ผู้เชี่ยวชาญเตือนว่าเทคนิคนี้มีความเสี่ยงสูงที่จะถูกนำมาใช้ในวงกว้างในปี พ.ศ. 2569

Whyte แนะนำว่า หากพบว่าผู้ที่วิดีโอคอลมาขอเงินหรือขอเข้าถึงบัญชี ให้ทดสอบด้วยการขอให้หมุนตัวหรือขยับอย่างรวดเร็ว เพราะ "ฟิลเตอร์ AI จะยากที่จะรักษาสภาพให้สมบูรณ์ 100%" หากถูกบีบให้เคลื่อนไหวแบบธรรมชาติ

Voice Cloning "เสียงลูก" ที่ไม่ใช่ลูก

Laurel Cook นักวิจัยด้านการตลาดและสุขภาวะดิจิทัล มหาวิทยาลัย West Virginia อธิบายว่า AI สามารถนำเสียงมาสร้างกลโกงในรูปแบบ "distress scam" โดยแอบอ้างเป็นคนใกล้ชิดที่กำลังเดือดร้อนเพื่อกดดันให้โอนเงินด่วน Whyte ระบุว่าเสียงเพียงไม่กี่วินาทีก็เพียงพอให้สร้างเสียงที่เหมือนต้นฉบับได้ถึง 85% และมีเพียง 60% ของเวลาเท่านั้นที่คนทั่วไปสามารถแยกแยะได้ว่ากำลังฟังเสียงอัตโนมัติ ไม่ใช่เสียงมนุษย์จริงๆ

บริบทไทย: เมื่อวันที่ 19 ธันวาคม พ.ศ. 2568 ตำรวจสอบสวนกลาง (CIB) ออกคำเตือนว่ามิจฉาชีพใช้ AI Voice Cloning เลียนแบบเสียงคนในครอบครัว โทรศัพท์มาหลอกเรียกค่าไถ่หรือขอเงินด่วน โดยส่วนใหญ่มักพุ่งเป้าไปที่กลุ่มผู้สูงอายุและพ่อแม่ที่มีลูกหลานอยู่ไกลบ้าน

พ.ต.อ. เนติ วงษ์กุหลาบ รองผู้บังคับการ กองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยี (CIB) เปิดเผยว่า กลลวงที่พบบ่อยในปี พ.ศ. 2568 คือมิจฉาชีพจะโทรมาอ้างว่า "เปลี่ยนเบอร์ใหม่" และขอให้เหยื่อลบเบอร์เก่าทิ้ง จากนั้นปล่อยเวลาผ่านไป 1–2 วัน ก่อนโทรกลับมาพร้อมเรื่องราวความเดือดร้อน โดยมักอ้างว่าเป็นลูกหรือญาติที่ต้องการเงินด่วน โดยหลอกเงินตั้งแต่หลักหมื่นจนถึงหลักแสนบาท

นักอาชญาวิทยาอิสระ วรภัทร ศิริกีรตยานนท์ ให้ความเห็นว่า กลลวง "ปลอมเป็นคนในครอบครัว" ยังคงได้ผลเพราะสภาพเศรษฐกิจและสังคมบีบให้คนต้องทำงานห่างไกลจากบ้าน ช่องว่างของการอยู่ห่างกันนี้เองที่มิจฉาชีพอาศัยเป็น "ข้ออ้าง" เพื่อสร้างความน่าเชื่อถือ

Cook และ CIB แนะนำตรงกันคือให้กำหนด "คำลับ" ที่รู้กันเฉพาะในครอบครัว และหากได้รับสายจากเบอร์แปลกที่อ้างว่าเป็นคนรู้จัก ให้วางสายแล้วโทรกลับผ่านเบอร์เก่าที่บันทึกไว้เสมอ

รหัสผ่าน ภัยที่แนบเนียนกว่าที่คิด

Siwei Lyu ผู้อำนวยการสถาบัน AI และวิทยาศาสตร์ข้อมูล มหาวิทยาลัย Buffalo อธิบายว่า AI ทำให้การเดารหัสผ่าน "มีประสิทธิภาพมากขึ้น" เพราะตรวจจับรูปแบบจากรหัสผ่านที่เคยรั่วไหลได้ และยังสามารถนำข้อมูลส่วนตัวของเหยื่อมาสร้างการเดาที่แม่นยำขึ้นอีกด้วย

บริบทไทย: ปฏิบัติการ "Cut Down Scam" ของตำรวจสอบสวนกลาง (CIB) ร่วมกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เปิดเผยว่า มีข้อมูลส่วนบุคคลคนไทยกว่า 9 ล้านรายชื่อที่ถูกแฮกและรวบรวมไว้ในตลาดมืด เชื่อว่าถูกนำไปใช้ในการหลอกลวงและชักชวนให้เล่นพนันออนไลน์ ข้อมูลที่รั่วไหลเหล่านี้คือวัตถุดิบที่ทำให้ AI สามารถเดารหัสผ่านได้แม่นยำมากขึ้น

Whyte แนะนำให้เปิดใช้งาน Multi-Factor Authentication (MFA) และตั้งรหัสผ่านยาวกว่า 12 ตัวอักษร โดยอาจใช้ "วลี" เช่น บรรทัดจากเพลงที่จำได้ แทนการตั้งตามเงื่อนไข checklist เช่น ตัวพิมพ์ใหญ่ + ตัวเลข + อักขระพิเศษ เพราะเงื่อนไขเหล่านั้นกลายเป็น "แผนที่" ที่ช่วยแฮกเกอร์ได้เช่นกัน

การยืนยันตัวตนปลอม และกลโกงในโลกองค์กร

Lyu เตือนว่า "CAPTCHA ปลอม" จะขอให้ผู้ใช้พิมพ์คำสั่ง ดาวน์โหลดซอฟต์แวร์ หรือเปลี่ยนการตั้งค่าความปลอดภัย แทนที่จะเป็นการคลิกกล่องหรือเลือกภาพตามปกติ มิจฉาชีพยังอาจล่อให้ผู้ใช้อนุมัติแอปอันตรายที่เข้าถึงอีเมล รายชื่อผู้ติดต่อ และไฟล์สำคัญ

บริบทเอเชีย: ในปี พ.ศ. 2568 มิจฉาชีพในสิงคโปร์แอบอ้างเป็น CFO ของบริษัทข้ามชาติ และจัดการประชุมออนไลน์โดยใช้ Deepfake ปลอมทั้งใบหน้า น้ำเสียง และการเคลื่อนไหว ทำให้ผู้อำนวยการฝ่ายการเงินสั่งอนุมัติโอนเงินกว่า 16.5 ล้านบาท (499,000 ดอลลาร์) ตำรวจสิงคโปร์ระบุว่านี่คือกรณี Deepfake ที่น่าเชื่อถือที่สุดเท่าที่เคยเจอ สำหรับองค์กรและบุคคลในไทย ผู้เชี่ยวชาญแนะนำให้ตรวจสอบแอปที่เชื่อมต่อกับบัญชี Google และ Microsoft เป็นประจำ รวมถึงดูรายการอุปกรณ์ที่มีสิทธิ์เข้าถึงบัญชีโซเชียลมีเดียด้วย

บทสรุป: สติคือเกราะป้องกันที่ดีที่สุด

ในช่วงไตรมาสแรกของปี พ.ศ. 2568 มีการหลอกลวงจาก Deepfake ทั่วโลกมากกว่า 163 เหตุการณ์ สร้างมูลค่าความเสียหายกว่า 6,600 ล้านบาท (200 ล้านดอลลาร์) และตัวเลขดังกล่าวยังคงเพิ่มขึ้นต่อเนื่อง

แม้ซอฟต์แวร์ตรวจจับ AI จะถูกแนะนำมาใช้งาน แต่ผู้เชี่ยวชาญเตือนว่าไม่มีวิธีใดที่สมบูรณ์แบบ 100% สิ่งที่ดีที่สุดที่ทุกคนทำได้ในขณะนี้คือ ตั้งรหัสลับกับคนในครอบครัว เปิดใช้ MFA บนทุกบัญชี ตรวจสอบเบอร์โทรและลิงก์ก่อนทุกครั้ง และโทรกลับผ่านช่องทางที่รู้จักเสมอเมื่อมีการขอเงินด่วน