Android ตัดสายธนาคารปลอมเอง: มือถือถามแอปแบงก์ก่อน ถ้าไม่ใช่สายจริงจะวางให้ — เริ่มจากบราซิล ไทยยังรอ

มือถือ Android รุ่นใหม่เริ่ม วางสายธนาคารปลอมให้เอง ก่อนที่เราจะได้ยินเสียง “ผมจากฝ่ายความปลอดภัยของธนาคาร” ครับ Google ประกาศเมื่อ 12 พฤษภาคม 2026 ว่าฟีเจอร์ Verified financial calls หรือการยืนยันสายสถาบันการเงิน จะเริ่มปล่อยบนเครื่อง Android 11 ขึ้นไป โดยช่วงแรกทำงานกับ Revolut, Itaú และ Nubank แล้วค่อยขยายธนาคารอื่นในปีเดียวกัน

สรุป 30 วินาที: เกิดอะไรขึ้น

บล็อกความปลอดภัยของ Android อธิบายว่ามิจฉาชีพใช้ call spoofing หรือการปลอมหมายเลขผู้โทร ให้หน้าจอแสดงเบอร์ธนาคารที่คุ้นเคย จากนั้นหลอกให้โอนเงินหรือเปิดเผยข้อมูลบัญชี Google ประเมินความเสียหายจากการฉ้อโกงแบบนี้ทั่วโลกไว้ราว 980 ล้านดอลลาร์สหรัฐต่อปี โดยอ้างเอกสารของ Europol เรื่อง Caller ID Spoofing

วิธีป้องกันใหม่คือ ถ้าเราติดตั้งแอปธนาคารที่เข้าร่วมแล้วเคยลงชื่อเข้าใช้ Android จะทำงานเงียบๆ ด้านหลัง เมื่อมีสายที่ดูเหมือนมาจากธนาคารนั้น ระบบจะถามแอปว่าธนาคารกำลังโทรหาเราจริงไหม ถ้าแอปตอบว่าไม่มีสายจริง ระบบจะตัดสายทันที ธนาคารยังกำหนดเบอร์บางชุดเป็น inbound-only ได้ คือเบอร์ที่ลูกค้าโทรเข้าได้ แต่ธนาคารไม่เคยใช้โทรออก สายที่ปลอมเป็นเบอร์ชุดนี้จะถูกตัดทันทีเช่นกัน

เอกสารช่วยเหลือของ Android ย้ำว่าความพร้อมใช้ขึ้นกับธนาคาร ประเทศ และผู้ให้บริการ และยังไม่ใช่ทุกธนาคารหรือทุกสายที่รองรับ NewsBytes สรุปเมื่อ 3 ตุลาคม 2026 ว่าตอนนี้เริ่มกับแบงก์ในบราซิลเป็นหลัก แต่ Google บอกว่าจะมีธนาคารเพิ่มเร็วๆ นี้

ทำไมเรื่องนี้เกี่ยวกับคุณ

คนไทยเจอสายแอบอ้างธนาคารและหน่วยงานรัฐมานานครับ หลายเคสเริ่มจากเบอร์ที่ดูคุ้นตาบนหน้าจอ แล้วพาไปติดตั้งแอป แชร์หน้าจอ หรือโอนเงิน “เพื่อยืนยันบัญชี” ฟีเจอร์นี้ไม่ได้ทำให้ไทยปลอดภัยในวันเดียว เพราะธนาคารไทยยังไม่อยู่ในรายชื่อเปิดตัว แต่เรื่องนี้สำคัญด้วยสามเหตุผล

หนึ่ง ถ้าคุณใช้ Android อยู่ แนวทางนี้บอกทิศทางว่า Google จะดึงแอปธนาคารเข้ามาช่วยยืนยันสาย ไม่ใช่พึ่งแค่บล็อกเบอร์ที่ผู้ใช้รายงาน สอง แอปธนาคารที่ติดตั้งและล็อกอินอยู่กลายเป็นกุญแจสำคัญ ถ้าเราถอนแอปทิ้งเพื่อประหยัดที่ หรือใช้แอปปลอมจากนอกสโตร์ การป้องกันแบบนี้จะไม่มีอะไรให้ถาม สาม Google ปล่อยมาตรการเกี่ยวกันในชุดเดียวกัน เช่น ซ่อนรหัส OTP ซึ่งเป็นรหัสใช้ครั้งเดียวจากข้อความ เป็นเวลา 3 ชั่วโมง จากแอปส่วนใหญ่ และอัปเกรด Live Threat Detection ที่เตือนพฤติกรรมแอปน่าสงสัย

ลองนึกภาพว่าคุณกำลังคุยกับพ่อแม่เรื่องสายธนาคาร ถ้าวันหนึ่งธนาคารไทยเข้าร่วม ขั้นตอนที่ช่วยได้คือให้มือถือมีแอปทางการติดตั้งและเข้าสู่ระบบไว้ ไม่ใช่แค่กดไม่รับทุกสายที่ขึ้นชื่อแบงก์

ทำงานยังไง

สายปลอมที่ดูเหมือนเบอร์จริง

Spoofing ในที่นี้คือการทำให้หน้าจอแสดงหมายเลขที่ไม่ใช่ต้นทางจริง Android Help อธิบายว่ามิจฉาชีพอาจใช้เบอร์ทางการของธนาคารเพื่อสร้างความเชื่อถือ แล้วเร่งให้โอนเงินไปบัญชีที่ควบคุมได้

เปรียบง่ายๆ เหมือนมีคนโทรมาอ้างว่าเป็นร้านข้าวตามสั่งแถวบ้าน โดยเบอร์ที่ขึ้นหน้าจอตรงกับป้ายหน้าร้านเป๊ะ แต่จริงๆ คือคนที่ยืมพลังเสียงจากโทรศัพท์สาธารณะคนละซอย ถ้าเราเปิดแอปสั่งอาหารของร้านนั้นแล้วร้านตอบว่าไม่มีการโทรออกตอนนี้ เราก็รู้ทันทีว่าสายนี้ไม่ใช่ร้านจริง มือถือ Android ทำบทบาทคล้ายพนักงานหน้าร้านที่หันไปถามครัวก่อนเปิดประตูให้คนแปลกหน้าครับ

สองวิธีหลักที่ Google ใช้

จากเอกสารทางการ มีสองกลไก

1. Real-time call verification หรือการยืนยันสายแบบเรียลไทม์ มือถือถามแอปธนาคาร ถ้ายืนยันว่าเป็นสายจริง สายก็ต่อตามปกติ ถ้ายืนยันไม่ได้ ระบบตัดสาย
2. Inbound-only number protection เบอร์ที่ธนาคารระบุว่าไม่เคยใช้โทรออก ถ้ามีสายเข้าจากเบอร์นั้น ถือว่าเป็นการปลอมและตัดทันที

หลังตัดสาย Android จะส่งการแจ้งเตือนกลุ่ม Security & privacy ว่ามีสายที่น่าจะเป็นการฉ้อโกงถูกบล็อกไว้ Itaú ที่ร่วมนำร่องในบราซิล ระบุว่าเริ่มตั้งแต่วันที่ 12 พฤษภาคม บน Android 11 ขึ้นไป และสายที่ถูกตัดจะไม่ดังให้ผู้ใช้ แต่ยังเห็นในประวัติการโทร ธนาคารย้ำด้วยว่า Itaú ไม่เคยขอให้ลูกค้าโอนเงิน หรือให้รหัสผ่าน iToken หรือข้อมูลบัตรระหว่างสาย

ชุดป้องกันรอบข้างที่มาพร้อมกัน

บล็อก Google ยังพูดถึงมาตรการใกล้เคียงที่คนใช้มือถือทุกวันควรรู้

• ซ่อน OTP จากแอปส่วนใหญ่เป็นเวลา 3 ชั่วโมง เพื่อลดโอกาสที่แอปอันตรายอ่านรหัสจากข้อความ
• Live Threat Detection ที่ใช้ AI บนเครื่องวิเคราะห์พฤติกรรมแอป และเตือนเรื่อง SMS forwarding หรือ accessibility overlay ที่อาจใช้หลอกให้กดผิด
• บน Android 17 และบางเครื่อง Advanced Protection จะจำกัดการเข้าถึงบริการ accessibility จากแอปที่ไม่ได้ระบุว่าเป็นเครื่องมือช่วยการเข้าถึง

จุดหักมุมคือ ฟีเจอร์ตัดสายธนาคารไม่ได้แทนที่กฎพื้นฐานครับ แม้สายจะดังและผ่านการยืนยัน ธนาคารจริงก็ยังไม่ควรขอรหัสผ่านหรือให้โอนระหว่างสาย ถ้าสงสัย ให้วางสายแล้วโทรกลับด้วยเบอร์จากแอปหรือหลังบัตร ไม่ใช่เบอร์ที่ปลายสายอ่านให้

เรื่องเงิน / ผลกระทบ

ตัวเลข 980 ล้านดอลลาร์ต่อปี จาก Google เป็นภาพรวมทั่วโลก ไม่ใช่ตัวเลขความเสียหายในไทย และไม่ได้แปลว่าฟีเจอร์นี้จะลดตัวเลขได้เท่าไหร่ในวันเปิดตัวครับ สำหรับผู้ใช้ทั่วไป ต้นทุนที่เห็นชัดคือเวลาและความเสี่ยง ไม่ใช่ค่าสมัคร เพราะ Google ระบุว่าทำงานเงียบๆ ถ้ามีแอปที่รองรับติดตั้งและล็อกอินอยู่ ไม่ต้องไปเปิดสวิตช์แยกในหลายขั้นตอน

ฝั่งธนาคารที่ยังไม่เข้าร่วม ลูกค้ายังพึ่งการไม่เชื่อสายเข้า การเช็กในแอป และการโทรกลับเบอร์ทางการเหมือนเดิม ส่วนคนที่ถอนแอปธนาคารออกเพื่อลดแอปในเครื่อง อาจต้องชั่งว่าความสะดวกกับการมีแอปทางการไว้ยืนยันสายในอนาคต คุ้มกันแค่ไหน

ผลกระทบทางอ้อมที่น่าสนใจคือ OTP ที่ถูกซ่อน 3 ชั่วโมง ช่วยลดความเสี่ยงจากแอปที่ขอสิทธิ์อ่านข้อความ แต่ก็อาจทำให้แอปที่ถูกต้องบางตัวอ่านรหัสอัตโนมัติได้น้อยลงในช่วงนั้น ถ้าคุณเคยพึ่งการเติมรหัสอัตโนมัติจาก SMS อาจต้องคัดลอกเองบ้างเป็นครั้งคราว

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

ธนาคารไทยยังไม่มีในรายชื่อเปิดตัว Google พูดชัดว่าเริ่มกับ Revolut, Itaú และ Nubank แล้วค่อยขยายในปีนี้ แต่ไม่ได้ระบุชื่อธนาคารไทยหรือตารางเวลาเอเชียตะวันออกเฉียงใต้ NewsBytes ย้ำภาพเดียวกันว่าตอนนี้โฟกัสบราซิลเป็นหลัก

หน้า Settings จะเห็นเมนูเมื่อไหร่ Android Help บอกว่าไปที่ Settings → Security & privacy → More security and privacy → Verified financial calls แต่จะเจอหน้านี้ได้ก็ต่อเมื่อมีแอปการเงินอย่างน้อยหนึ่งตัวที่รองรับฟีเจอร์นี้แล้ว ถ้ายังไม่เห็นเมนู ไม่ได้แปลว่าเครื่องพัง แต่อาจแปลว่ายังไม่มีแอปที่รองรับบนเครื่องนั้น

Itaú กับ Google เล่ามุมต่างกันเล็กน้อย Google พูดถึงทั้งการถามแอปแบบเรียลไทม์และการตั้งเบอร์ inbound-only ส่วนรายงานความร่วมมือของ Itaú เน้นหนักว่าธนาคารแมปเบอร์ inbound ของศูนย์บริการเข้ากับระบบ Google เพื่อตัดสายที่ออกจากเบอร์เหล่านั้นทันที ทั้งสองแหล่งไม่ขัดกัน แต่ขอบเขตที่ผู้ใช้จะรู้สึกได้ขึ้นกับว่าธนาคารส่งสัญญาณแบบไหน

ยังไม่ชัดว่าเมื่อไหร่จะมาไทย และยังไม่ชัดว่าธนาคารไทยต้องทำอะไรบ้างฝั่งแอป Google ชี้ไปที่เอกสารนักพัฒนาสำหรับธนาคารที่สนใจ แต่ยังไม่มีรายการสาธารณะของธนาคารที่กำลังคิวในภูมิภาคนี้

แล้วเราควรทำอะไร

คนใช้ Android ทั่วไป

1. อัปเดตระบบให้เป็นเวอร์ชันล่าสุดที่เครื่องรองรับ โดยเฉพาะถ้าอยู่ Android 11 ขึ้นไป
2. ติดตั้งแอปธนาคารจาก Google Play หรือช่องทางทางการของธนาคาร และลงชื่อเข้าใช้ให้สำเร็จ ไม่ใช้ APK จากลิงก์ในแชท
3. ลองเปิด Settings หาเมนู Verified financial calls ถ้ายังไม่เจอ ให้จดไว้ว่ายังไม่มีแอปที่รองรับบนเครื่องนี้
4. กฎเดิมยังใช้ได้ทุกวัน: ธนาคารไม่ขอรหัสผ่าน OTP หรือให้โอนระหว่างสายเข้า วางสายแล้วเปิดแอปเช็กเอง
5. ระวังแอปที่ขอสิทธิ์อ่าน SMS หรือ accessibility โดยไม่จำเป็น เพราะชุดป้องกันรอบข้างของ Google มุ่งเป้าพฤติกรรมพวกนี้อยู่

คนช่วยพ่อแม่หรือผู้สูงอายุ

ชวนติดตั้งแอปธนาคารทางการให้เรียบร้อย และฝึกกดวางสายเมื่อมีคนเร่งโอน ถ้าวันหนึ่งธนาคารไทยเข้าร่วม มือถือที่มีแอปและล็อกอินอยู่จะได้เปรียบคนที่ใช้แต่เบอร์ในสมุดโทรศัพท์

ทีม IT / ผู้ดูแลความปลอดภัยองค์กร

ติดตามว่าธนาคารคู่ค้าหรือ fintech ที่พนักงานใช้จะรองรับ Verified financial calls เมื่อไหร่ และทบทวนนโยบายติดตั้งแอปธนาคารบนเครื่องงาน อย่าลืมเรื่อง OTP ที่ถูกซ่อน 3 ชั่วโมงซึ่งอาจกระทบสคริปต์อ่าน SMS อัตโนมัติในบางระบบทดสอบ

ผมมองว่าประเด็นจริงไม่ใช่ Android เก่งกว่า iPhone ในเรื่องนี้ แต่คือมือถือเริ่มดึงแอปธนาคารมาเป็นพยานยืนยันสาย ไม่ปล่อยให้หน้าจอเบอร์อย่างเดียวตัดสินความน่าเชื่อถือ ถ้าธนาคารไทยยังไม่เข้าคิว คนไทยยังต้องเป็นพยานคนนั้นเองผ่านการวางสายและเช็กในแอป

สิ่งที่ควรจับตาต่อ: รายชื่อธนาคารที่เข้าร่วมรอบถัดไปในปี 2026 และว่าธนาคารไทยจะประกาศความร่วมมือเมื่อไหร่ คุณเคยได้สายที่ขึ้นชื่อธนาคารแล้วเร่งให้โอนภายในไม่กี่นาทีไหมครับ แล้วตอนนั้นเช็กยังไง?

Recap

• เกิดอะไรขึ้น: Google ปล่อย Verified financial calls บน Android 11+ ให้มือถือถามแอปธนาคารก่อน แล้วตัดสาย spoof ได้
• ตัวเลขที่ต้องจำ: Google อ้างความเสียหายทั่วโลกจากสายปลอมแนวนี้ราว 980 ล้านดอลลาร์ต่อปี; เปิดตัวกับ Revolut, Itaú, Nubank
• ใครเห็นต่าง / ข้อมูลขัดกันตรงไหน: Google เล่าสองกลไก (ถามแอป + inbound-only) ส่วน Itaú เน้นแมปเบอร์ inbound; ทั้งคู่ไม่ขัดกันแต่โฟกัสต่าง
• ยังไม่รู้อะไร: วันเข้าไทย รายชื่อธนาคารเอเชีย และว่าแอปธนาคารไทยจะรองรับเมื่อไหร่
• กระทบคนไทย/คุณยังไง: ยังใช้กฎวางสาย+เช็กแอปได้เลยวันนี้; เก็บแอปธนาคารทางการไว้จะได้เปรียบเมื่อฟีเจอร์ขยาย
• สิ่งที่ต้องจับตาต่อ: ธนาคารรอบถัดไปในปี 2026 และประกาศจากธนาคารไทยถ้ามี
• แหล่งอ้างอิง: Google Blog · Android Help · NewsBytes · Itaú/ABES