DOJ ชี้ดีพเฟกซีอีโอ-ทนายขโมยเงิน 129 ล้านดอลลาร์

คดีอาชญากรรมไซเบอร์ครั้งใหญ่กำลังสะท้อนให้เห็นว่าเทคโนโลยีปัญญาประดิษฐ์ไม่ได้ถูกใช้เพื่อสร้างสรรค์งานเท่านั้น แต่ยังถูกนำไปใช้หลอกลวงองค์กรระดับโลกด้วย โดยคดี DOJ ชี้ดีพเฟกซีอีโอ-ทนายขโมยเงิน 129 ล้านดอลลาร์ เกี่ยวข้องกับผู้ต้องหาชาวต่างชาติ 3 ราย ซึ่งถูกกล่าวหาว่าใช้เสียงและภาพปลอมของผู้บริหารบริษัทกับทนายความ เพื่อหลอกพนักงานให้โอนเงินสำหรับธุรกรรมลับที่ไม่มีอยู่จริง

กระทรวงยุติธรรมสหรัฐฯ หรือ DOJ ระบุว่า เหยื่อของแผนการนี้มีทั้งโรงพยาบาล ธนาคาร บริษัทฟินเทค กองทุนรวม และธุรกิจจากหลายอุตสาหกรรม มูลค่าความเสียหายรวมที่ถูกกล่าวหาอยู่ที่อย่างน้อย 129 ล้านดอลลาร์ เงินที่ถูกโอนเข้าสู่บัญชีของเครือข่ายผู้ต้องสงสัยยังถูกเปลี่ยนเป็นคริปโตเคอร์เรนซี ก่อนแบ่งให้ผู้ร่วมขบวนการเพื่อปกปิดเส้นทางการเงิน

DOJ ชี้ดีพเฟกซีอีโอ-ทนายขโมยเงิน 129 ล้านดอลลาร์

ตามเอกสารคำฟ้อง ผู้ต้องหาประกอบด้วย Jacob Soall อายุ 41 ปี จากสเปนและสหราชอาณาจักร, Sharon Hazan อายุ 54 ปี จากอิสราเอล และ Guy Sheetrit อายุ 42 ปี จากอิสราเอลและสหรัฐอาหรับเอมิเรตส์ ทั้งหมดถูกตั้งข้อหาหลายกระทง ตั้งแต่สมคบคิดฉ้อโกงทางการเงิน การฉ้อโกงผ่านระบบโอนเงิน การขโมยตัวตนอย่างร้ายแรง ไปจนถึงการฟอกเงิน

ข้อหาฉ้อโกงทางการเงินและฟอกเงินแต่ละกระทงอาจมีโทษจำคุกสูงสุด 20 ปี ส่วนข้อหาขโมยตัวตนอย่างร้ายแรงแต่ละกระทงมีโทษจำคุก 2 ปี อย่างไรก็ตาม ผู้ต้องหาทั้งหมดยังถือเป็นผู้บริสุทธิ์จนกว่าศาลจะมีคำพิพากษาถึงที่สุด โดยกระบวนการส่งตัวผู้ต้องหาจากสเปนและสหราชอาณาจักรไปยังสหรัฐฯ ยังอยู่ระหว่างดำเนินการ

DOJ ชี้ดีพเฟกซีอีโอ-ทนายขโมยเงิน 129 ล้านดอลลาร์ ทำงานอย่างไร

แผนการหลอกลวงเริ่มต้นจากอีเมลที่ดูเหมือนส่งโดยประธานเจ้าหน้าที่บริหารของบริษัท โดยมักใช้บริการลงนามเอกสารอิเล็กทรอนิกส์ เช่น DocuSign เพื่อสร้างความน่าเชื่อถือ ผู้รับอีเมลมักเป็นพนักงานฝ่ายบัญชีหรือฝ่ายการเงินที่มีอำนาจอนุมัติการโอนเงินจำนวนมาก

อีเมลดังกล่าวอาจแจ้งว่าบริษัทกำลังทำข้อตกลงซื้อกิจการหรือธุรกรรมลับ และขอให้พนักงานลงนามในข้อตกลงรักษาความลับ หรือ NDA จากนั้นผู้หลอกลวงจะสั่งให้ติดต่อทนายความเพื่อจัดการประชุมด้านกฎหมายและการปฏิบัติตามกฎระเบียบ

ในการโทรศัพท์หรือประชุมวิดีโอ ผู้ต้องสงสัยถูกกล่าวหาว่าใช้ AI เลียนแบบเสียงของผู้บริหาร และบางครั้งยังเลียนแบบรูปลักษณ์ของบุคคลนั้นด้วย เมื่อพนักงานเริ่มเชื่อถือ ผู้บริหารปลอมจะส่งต่อให้ทนายความปลอม ซึ่งมักใช้ชื่อและตัวตนของทนายความจริงจากสำนักงานกฎหมายชั้นนำในยุโรป

ทนายความปลอมจะอธิบายว่าธุรกรรมดังกล่าวมีความลับสูง และใช้เหตุผลเรื่องข้อมูลภายในหรือความเสี่ยงด้านการซื้อขายหลักทรัพย์ เพื่อกดดันไม่ให้พนักงานตรวจสอบกับเพื่อนร่วมงาน เมื่อผู้รับสารเชื่อแล้ว ก็จะได้รับคำสั่งให้โอนเงินไปยังบัญชีที่ผู้ก่อเหตุควบคุม

ความเสียหายกระทบหลายอุตสาหกรรม

เอกสารฟ้องร้องไม่ได้เปิดเผยชื่อบริษัทผู้เสียหายทั้งหมด แต่ระบุรายละเอียดความเสียหายจากหลายเหตุการณ์ ตัวอย่างเช่น ระบบโรงพยาบาลในรัฐมิสซูรีสูญเงินประมาณ 4.83 ล้านดอลลาร์ในเดือนพฤศจิกายน 2024 ขณะที่ธนาคารในโรดไอแลนด์สูญเงินประมาณ 2.68 ล้านดอลลาร์ในช่วงเวลาเดียวกัน

ระบบโรงพยาบาลในแคลิฟอร์เนียถูกกล่าวหาว่าสูญเงินประมาณ 2.97 ล้านดอลลาร์ในเดือนธันวาคม 2024 ส่วนบริษัทฟินเทคในสหราชอาณาจักรถูกนำเงินไปประมาณ 11.58 ล้านดอลลาร์ในเดือนมีนาคม 2025 นอกจากนี้ บริษัทกองทุนรวมในแมสซาชูเซตส์สูญเงินประมาณ 4.64 ล้านดอลลาร์ และบริษัทอาหารสัตว์ในฟลอริดาสูญเงินราว 5.24 ล้านดอลลาร์

มีอย่างน้อยหนึ่งกรณีที่การโอนเงินไม่สำเร็จ พนักงานของธนาคารเพื่อการลงทุนรายใหญ่ในนิวยอร์กอนุมัติการจ่ายเงินประมาณ 2.85 ล้านดอลลาร์แล้ว แต่ฝ่ายปฏิบัติการหลังบ้านตรวจพบความผิดปกติและหยุดรายการไว้ได้ เหตุการณ์นี้แสดงให้เห็นว่าการตรวจสอบซ้ำโดยบุคคลหรือทีมงานอีกชุดสามารถช่วยลดความเสียหายได้อย่างมาก

ทำไมดีพเฟกจึงเป็นภัยต่อองค์กร

การปลอมแปลงด้วย AI ทำให้กลโกงมีความแนบเนียนกว่าฟิชชิงแบบเดิม ผู้โจมตีไม่จำเป็นต้องส่งเพียงข้อความหรืออีเมลที่มีลิงก์อันตราย แต่สามารถสร้างสถานการณ์แบบหลายขั้นตอน ตั้งแต่การสร้างอีเมล การโทรยืนยัน การประชุมออนไลน์ ไปจนถึงการใช้ใบหน้าและเสียงที่ดูเหมือนบุคคลจริง

• สร้างความเร่งด่วน: ผู้หลอกลวงมักอ้างว่าธุรกรรมต้องเสร็จภายในเวลาจำกัด
• อ้างความลับ: การห้ามปรึกษาเพื่อนร่วมงานทำให้เหยื่อไม่มีโอกาสตรวจสอบข้อมูล
• ใช้ตัวตนที่น่าเชื่อถือ: การเลียนแบบผู้บริหารและทนายความช่วยลดความสงสัยของพนักงาน
• แบ่งการโจมตีเป็นหลายช่วง: แต่ละขั้นตอนถูกออกแบบให้ดูเป็นกระบวนการทางธุรกิจตามปกติ
• เปลี่ยนเงินเป็นคริปโต: ผู้ก่อเหตุใช้สินทรัพย์ดิจิทัลเพื่อทำให้การติดตามเส้นทางเงินมีความซับซ้อนขึ้น

องค์กรควรป้องกันการหลอกลวงด้วย AI อย่างไร

องค์กรไม่ควรพึ่งพาเสียง ใบหน้า หรืออีเมลเพียงอย่างเดียวในการยืนยันคำสั่งโอนเงิน โดยเฉพาะธุรกรรมที่เกี่ยวข้องกับเงินจำนวนมากหรือข้อตกลงที่อ้างว่าเป็นความลับ ควรกำหนดขั้นตอนตรวจสอบที่ชัดเจนและบังคับใช้กับทุกคน รวมถึงผู้บริหารระดับสูง

• ใช้การยืนยันตัวตนผ่านช่องทางที่กำหนดไว้ล่วงหน้า เช่น โทรกลับไปยังหมายเลขในระบบบริษัท
• กำหนดให้การโอนเงินจำนวนมากต้องมีผู้อนุมัติอย่างน้อยสองคน
• ตรวจสอบชื่อบัญชีธนาคาร ประเทศปลายทาง และรายละเอียดธุรกรรมก่อนส่งเงิน
• ไม่ใช้ข้อมูลติดต่อที่แนบมากับอีเมลหรือข้อความต้องสงสัยเป็นช่องทางยืนยัน
• ฝึกอบรมพนักงานให้รู้จักเสียง ภาพ และวิดีโอที่สร้างหรือดัดแปลงด้วย AI
• จัดทำช่องทางรายงานเหตุผิดปกติโดยไม่ลงโทษผู้แจ้ง เพื่อให้หยุดธุรกรรมได้เร็ว

เหตุการณ์นี้ยังคล้ายกับกลโกงในอุตสาหกรรมคริปโตที่ใช้บัญชี Telegram หรือบัญชีโซเชียลมีเดียซึ่งถูกยึดครอง เพื่อชักชวนเหยื่อเข้าร่วมการประชุมปลอม หรือหลอกให้ติดตั้งซอฟต์แวร์ที่มีมัลแวร์ แม้ผู้ใช้จะเปิดใช้ระบบยืนยันตัวตนสองขั้นตอนแล้ว ก็ยังอาจถูกหลอกผ่านกระบวนการทางสังคมและการปลอมแปลงบุคคลที่น่าเชื่อถือได้

บทเรียนสำคัญจากคดี DOJ ชี้ดีพเฟกซีอีโอ-ทนายขโมยเงิน 129 ล้านดอลลาร์ คือ ความปลอดภัยไม่ได้ขึ้นอยู่กับเทคโนโลยีเพียงอย่างเดียว แต่ต้องอาศัยวัฒนธรรมการตรวจสอบภายในองค์กรด้วย ทุกคำสั่งโอนเงินที่เร่งด่วนและห้ามบอกใครควรถูกมองว่าเป็นสัญญาณเตือน การหยุดตรวจสอบสักไม่กี่นาทีอาจช่วยรักษาเงินหลายล้านดอลลาร์ และทำให้ขบวนการหลอกลวงถูกเปิดโปงได้เร็วขึ้น

ในมุมมองของผู้เขียน องค์กรควรถือว่าดีพเฟกเป็นความเสี่ยงทางธุรกิจรูปแบบใหม่ และเริ่มซ้อมรับมืออย่างจริงจังตั้งแต่วันนี้ เพราะเมื่อเสียงและใบหน้าสามารถปลอมได้ การยืนยันผ่านขั้นตอนที่เชื่อถือได้ย่อมสำคัญกว่าความรู้สึกว่าเสียงในสายคุ้นเคยเพียงใด

ที่มา – DOJ Says Deepfaked CEOs and Lawyers Helped Steal $129 Million From Hospitals, Banks, and Others