ธปท. จ่อเลิก OTP ทาง SMS เวลาโอนเงิน แอปการเงินจะเข้มขึ้นตรงไหน
ร่างนี้ยังไม่บังคับใช้ แต่ถ้าผ่าน คนใช้ internet banking บัตรเครดิต และแอปสินเชื่อจะเจอการยืนยันตัวแบบใหม่ ลิงก์ทาง SMS จากผู้ให้บริการจะหายไป และโทรศัพท์บางเครื่องอาจโอนเงินไม่ได้ตามเดิม
ไปที่หัวข้อ
หลายคนยังคุ้นกับการรอรหัส OTP ทาง SMS เวลาโอนเงิน พิมพ์รหัสแล้วรายการก็ผ่าน แต่ถ้าร่างหลักเกณฑ์ฉบับใหม่ของธนาคารแห่งประเทศไทยผ่าน รหัสแบบนั้นจะใช้กับการโอนเงินไม่ได้อีก
ธนาคารแห่งประเทศไทย หรือ ธปท. เปิดรับฟังความเห็นต่อร่างหลักเกณฑ์ Digital Channel Security ตั้งแต่ 7 ตุลาคม ถึง 6 พฤศจิกายน 2026 ร่างนี้ยังไม่บังคับใช้ และรายละเอียดยังเปลี่ยนได้
นี่คือโจทย์ที่ ธปท. พยายามแก้ ร่างฉบับเต็ม ระบุว่ากฎปี 2025 คุมแอปมือถือของธนาคารและ e-Money แล้ว มิจฉาชีพจึงย้ายไปโจมตี internet banking และแอปของผู้ให้บริการที่ไม่ใช่สถาบันการเงิน
รหัสที่วิ่งผ่านเครือข่ายโทรศัพท์คือจุดอ่อน
ร่างนี้ห้าม OTP ทาง SMS และอีเมลในรายการสำคัญ
รายการที่ว่าคือการโอนเงิน การเบิกถอนเงินสด การเบิกวงเงินสินเชื่อ การเบิกวงเงินบัตรเครดิต การรับเงินที่ตู้ ATM และการเพิ่มวงเงินโอน ธปท. ให้เหตุผลว่าต้องกันการดักจับ OTP และการสวมรอยออกซิมใหม่
ลองนึกภาพว่ามีคนไปออกซิมใหม่ด้วยเบอร์ของคุณ รหัสที่ธนาคารส่งมาจะเด้งเข้าเครื่องเขาแทน นี่คือการโจมตีที่เรียกว่า SIM swap
ของที่ใช้แทนได้ตามร่างคือ OTP ในแอปที่ลงทะเบียนไว้ล่วงหน้า passkey หรือกุญแจดิจิทัลที่ผูกกับอุปกรณ์ และ token แบบอุปกรณ์หรือแบบซอฟต์แวร์ พูดง่าย ๆ คือ รหัสต้องเกิดจากของที่อยู่ในมือเรา ส่วน SMS ยังใช้แจ้งเตือนหลังทำรายการได้
ถ้าร่างผ่าน คุณจะเจอ 5 อย่างนี้
ธปท. ให้ผู้ให้บริการทำอย่างน้อยตามนี้
- สแกนหน้าตอนโอนก้อนใหญ่: แอปต้องเปรียบเทียบใบหน้าเมื่อโอนครั้งละ 50,000 บาทขึ้นไป เมื่อโอนสะสมครบทุก 200,000 บาทใน 1 วัน และเมื่อเพิ่มวงเงินโอนต่อวันตั้งแต่ 50,000 บาทขึ้นไป
- หนึ่งบัญชีผู้ใช้ หนึ่งเครื่อง: แต่ละบริการให้มี 1 บัญชีผู้ใช้บนโทรศัพท์ 1 เครื่อง และช่วงแรกหลังย้ายเครื่อง ผู้ให้บริการอาจจำกัดวงเงินหรือให้ทำได้เฉพาะรายการเสี่ยงต่ำ
- ไม่มีลิงก์ทาง SMS และอีเมล: ผู้ให้บริการต้องงดแนบลิงก์ เว้นแต่คุณขอเองเป็นรายครั้ง ส่วนบนโซเชียลห้ามลิงก์ที่ขอรหัสผ่าน OTP หรือเลขบัตรประชาชน
- แอปอาจไม่ยอมเปิด: เครื่องที่ root หรือ jailbreak จะใช้แอปไม่ได้ และแอปการเงินจะไม่ทำงานถ้ามีแอปที่ควบคุมเครื่องจากระยะไกลหรือแอบดูหน้าจอเปิดอยู่
- โทรศัพท์รุ่นเก่าอาจโอนได้น้อยลง: ถ้าระบบปฏิบัติการถูกจัดว่าเสี่ยง ผู้ให้บริการอาจให้โอนได้แค่เข้าบัญชีตัวเอง หรือจำกัดไม่เกินวันละ 5,000 บาท
ร่างนี้ยังมีข้อยกเว้น คนพิการทางสายตาอาจไม่ต้องสแกนหน้าถ้ามีวิธีลดความเสี่ยงอื่น และการโอนระหว่างบัญชีตัวเองหรือการโอนอัตโนมัติประจำที่ยืนยันแล้วครั้งแรกอาจได้รับการยกเว้นเช่นกัน
กฎนี้จะกว้างกว่าแอปธนาคาร
Tilleke & Gibbins สำนักงานกฎหมาย รายงานว่านี่คือร่างรอบที่สอง ปรับจากร่างแรกเมื่อเดือนกรกฎาคม 2026
ร่างนี้ครอบคลุมทั้งธนาคาร สถาบันการเงินเฉพาะกิจ e-Money บัตรเครดิต สินเชื่อส่วนบุคคลภายใต้การกำกับ และสินเชื่อรายย่อยเพื่อการประกอบอาชีพภายใต้การกำกับ แปลว่าแอปบัตรเครดิตและแอปเงินกู้ที่อยู่ในการกำกับก็ต้องทำตาม
ถ้าออกเป็นประกาศตามร่าง กฎจะมีผล 30 วันหลังประกาศในราชกิจจานุเบกษา ส่วนการยืนยันตัวตนหลายปัจจัยของการถอนเงินสดและการเบิกวงเงินมีผลหลัง 90 วัน ร่างเว้นวันที่ประกาศไว้ในเดือนมกราคม 2027
ผู้ให้บริการที่ทำไม่ทันยื่นขอผ่อนผันได้ภายใน 7 วันหลังกฎมีผล ธนาคารแต่ละแห่งจึงอาจเปลี่ยนไม่พร้อมกัน และร่างไม่ได้กำหนดว่าใครต้องเลิก SMS วันไหน
สิ่งที่ทำได้ก่อน 6 พฤศจิกายน
มี 4 อย่างที่ทำได้เลยโดยไม่ต้องรอกฎ
- ส่งความเห็น: ดาวน์โหลดแบบฟอร์มจากหน้ารับฟังความเห็นของ ธปท. ได้ถึง 6 พฤศจิกายน และถามเพิ่มได้ที่ tsd-techpolicy@bot.or.th
- เช็กว่ายังพึ่ง SMS ที่ไหนอยู่: ถ้า internet banking หรือบัตรเครดิตของคุณยังส่ง OTP ทาง SMS ลองถามผู้ให้บริการว่ามีแอปหรือ passkey ให้ใช้หรือยัง
- อัปเดตโทรศัพท์และแอปการเงิน: ร่างให้ผู้ให้บริการงดบริการแอปรุ่นเก่าที่อาจมีช่องโหว่ และจำกัดเครื่องที่ใช้ระบบปฏิบัติการเสี่ยง
- เลิกกดลิงก์ที่อ้างว่ามาจากธนาคาร: เปิดแอปหรือพิมพ์เว็บเอง เพราะ ธปท. ระบุว่าลิงก์คือช่องทางที่มิจฉาชีพใช้หลอกขอข้อมูลและติดตั้ง malware
คำถามที่พบบ่อย
ตอนนี้ OTP ทาง SMS ยังใช้ได้ไหม
ยังใช้ได้ตามที่ธนาคารแต่ละแห่งเปิดให้ใช้ เพราะนี่เป็นเพียงร่างที่เปิดรับฟังความเห็นถึง 6 พฤศจิกายน 2026 และยังไม่มีผลบังคับ
ถ้าไม่สะดวกสแกนหน้าจะทำอย่างไร
ร่างเปิดทางให้ผู้ให้บริการยกเว้นได้ในกรณีที่มีข้อจำกัดด้านเทคโนโลยี เช่น คนพิการทางสายตา โดยต้องมีวิธีลดความเสี่ยงอื่นแทน ควรถามผู้ให้บริการของคุณ
โอนเงินเล็กน้อยต้องสแกนหน้าทุกครั้งไหม
ตามร่าง การสแกนหน้าเริ่มที่ 50,000 บาทต่อครั้ง หรือเมื่อโอนสะสมครบทุก 200,000 บาทใน 1 วัน แต่ผู้ให้บริการอาจกำหนดเข้มกว่านี้ได้เพราะเป็นเกณฑ์ขั้นต่ำ
