พร้อมเพย์: กลโกง QR และแนวปฏิบัติที่ดีสำหรับร้านค้าออนไลน์

ในระบบพร้อมเพย์ (PromptPay) ผู้ที่สแกน QR คือผู้จ่ายเงินเสมอ ดังนั้นการถูกขอให้สแกน QR “เพื่อรับเงินคืน” จึงเป็นสัญญาณของมิจฉาชีพ ตามที่ตำรวจและไทยพีบีเอสได้เตือนไว้ สำหรับร้านค้าออนไลน์ จุดที่ต้องระวังที่สุดคือ QR ที่แสดงในหน้าชำระเงิน เพราะเป็นตัวกำหนดว่าเงินจะเข้าบัญชีใด และชื่อผู้รับเงินที่แอปธนาคารแสดงก่อนกดยืนยันคือด่านสุดท้ายของลูกค้า

พร้อมเพย์และ Thai QR ทำงานอย่างไร

พร้อมเพย์เป็นโครงสร้างพื้นฐานการชำระเงินแบบทันทีที่ธนาคารแห่งประเทศไทย (ธปท.) ผลักดัน และเปิดให้บริการตั้งแต่ปี 2559 ผู้รับเงินสามารถใช้เลขประจำตัวประชาชน หมายเลขโทรศัพท์มือถือ หรือหมายเลขอื่นที่ลงทะเบียนไว้แทนเลขบัญชี โดยหนึ่งหมายเลขผูกได้กับบัญชีเดียวเท่านั้น

QR ที่ใช้เป็นไปตามมาตรฐาน Thai QR Code Payment ซึ่ง ธปท. กำหนดไว้ในแนวนโยบายเมื่อเดือนเมษายน 2562 โดยพัฒนาจากมาตรฐาน QR สำหรับการชำระเงินของ EMVCo ภายในรหัสมีช่องข้อมูลที่ระบุรูปแบบการรับเงิน ช่องหนึ่งใช้สำหรับโอนเงินไปยังหมายเลขพร้อมเพย์ เช่น เบอร์มือถือ เลขประจำตัว หรือเลขบัญชี อีกช่องหนึ่งสงวนไว้สำหรับผู้ประกอบการที่ลงทะเบียน Biller ID หรือ Merchant ID ซึ่งผู้ให้บริการต้องตรวจสอบก่อนเปิดให้รับเงิน นอกจากนี้ยังมีช่องสำหรับจำนวนเงินและเลขอ้างอิงของรายการ

แนวนโยบายฉบับเดียวกันกำหนดให้ผู้ให้บริการต้องให้ความรู้เรื่อง QR ปลอม แจ้งสถานะการชำระเงินแบบทันที และมีวิธีตรวจสอบความถูกต้องของข้อมูลใน QR เช่น การตรวจสอบและแสดงชื่อผู้รับเงินหรือร้านค้าจากระบบ ชื่อนี้เองคือสิ่งที่ลูกค้าเห็นก่อนกดยืนยัน

กลโกงที่มีการรายงานไว้

• QR “เพื่อรับเงินคืน”: เมื่อเดือนตุลาคม 2568 ไทยพีบีเอสเผยแพร่คำเตือนจากกองบัญชาการตำรวจสอบสวนกลาง (CIB) ว่ามิจฉาชีพโทรหาลูกค้าโดยแอบอ้างเป็นร้านค้าที่ลูกค้าเคยซื้อสินค้า มีข้อมูลการซื้อที่ถูกต้อง และเสนอคืนเงินเพราะสินค้าล็อตนั้นมีปัญหา แต่ QR ที่ส่งมาแท้จริงแล้วเป็นการโอนเงินไปยังบัญชีต่างประเทศ พร้อมแลกสกุลเงินทันที ทำให้ติดตามเงินได้ยาก
• สลับบทบาทผู้จ่ายกับผู้รับ: เมื่อเดือนกันยายน 2567 ไทยพีบีเอสซึ่งอ้างอิงข้อมูลจากตำรวจ ย้ำว่า QR พร้อมเพย์มีไว้สำหรับรับเงิน และผู้ที่สแกนคือผู้จ่าย มิจฉาชีพมักอ้างตรงกันข้ามเพื่อหลอกให้เหยื่อสแกน
• บัญชีม้า: รายงานเดียวกันระบุสัญญาณอันตราย เช่น ผู้ขายออนไลน์ที่ชื่อบัญชีไม่ตรงกับผู้รับเงินที่ควรเป็น และบัญชีที่เปิดด้วยเอกสารของผู้อื่น

กรณีแรกควรได้รับความสนใจจากร้านค้าทุกแห่ง เพราะมิจฉาชีพใช้ชื่อร้านและข้อมูลลูกค้าของคุณ แม้ระบบของคุณจะไม่มีช่องโหว่เลย แบรนด์ของคุณก็ยังได้รับความเสียหาย

ความเสี่ยงในหน้าชำระเงินออนไลน์อยู่ตรงไหน

ในร้านค้าออนไลน์ QR ถูกสร้างโดยระบบของร้านหรือผู้ให้บริการชำระเงิน แต่ไปแสดงผลในเบราว์เซอร์ของผู้ซื้อ ร่วมกับทุกสิ่งที่หน้าเว็บโหลดมา ทั้งปลั๊กอิน เครื่องมือการตลาด แชต และสคริปต์ของบุคคลที่สาม หากมีโค้ดอันตรายทำงานอยู่ในหน้านั้น ก็สามารถเปลี่ยน QR ของร้านเป็น QR อื่นที่ใช้งานได้จริง ยอดเงินเท่ากัน แต่ชี้ไปยังบัญชีม้า ผู้ซื้อเห็นชื่อที่ดูน่าเชื่อถือแล้วกดยืนยัน ร้านไม่ได้รับเงิน ขณะที่ลูกค้ามั่นใจว่าจ่ายแล้ว

ในโลกของบัตรชำระเงิน จุดบอดนี้มีกฎกำกับอยู่แล้ว ข้อกำหนด PCI DSS 6.4.3 และ 11.6.1 ให้ควบคุมสคริปต์ในหน้าชำระเงิน และตรวจจับการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตในสิ่งที่ไปถึงเบราว์เซอร์ของลูกค้า โดยสภามาตรฐานความปลอดภัย PCI (PCI Security Standards Council) ได้เผยแพร่แนวทางเฉพาะสำหรับสองข้อนี้เมื่อเดือนมีนาคม 2568 หลักคิดเดียวกันนี้ใช้ได้กับ QR พร้อมเพย์เช่นกัน

แนวปฏิบัติที่ดีสำหรับร้านค้าออนไลน์

1. รับเงินด้วย QR ร้านค้า ที่ผูกกับ Biller ID หรือ Merchant ID ของกิจการ ไม่ใช้พร้อมเพย์ส่วนตัวของหุ้นส่วนหรือพนักงาน
2. สร้าง QR แยกตามคำสั่งซื้อ พร้อมจำนวนเงินและเลขอ้างอิง แล้วกระทบยอดเงินเข้าทุกรายการด้วยเลขอ้างอิงนั้น
3. แสดงชื่อที่จะปรากฏในแอปธนาคารเป็นข้อความ และขอให้ลูกค้าตรวจสอบก่อนกดยืนยัน
4. ปล่อยคำสั่งซื้อเมื่อธนาคารหรือผู้ให้บริการยืนยันแล้วเท่านั้น ไม่ใช่จากสลิปที่ลูกค้าส่งมา
5. แจ้งให้ชัดเจนว่าร้านไม่เคยขอให้ลูกค้าสแกน QR เพื่อรับเงินคืน และการคืนเงินจะกลับไปทางช่องทางเดิมที่ใช้ชำระ
6. ลดสคริปต์ในหน้าชำระเงิน และอัปเดตแพลตฟอร์ม ธีม และปลั๊กอินอยู่เสมอ พร้อมลบสิ่งที่ไม่ได้ใช้
7. เฝ้าติดตามหน้าชำระเงินที่ใช้งานจริง โดยเทียบ QR ที่แสดงกับ QR ที่ระบบออกให้ และถือว่าคำร้องเรียนแบบ “จ่ายแล้วแต่คำสั่งซื้อไม่ผ่าน” เป็นสัญญาณด้านความปลอดภัย
8. รู้ว่าจะแนะนำผู้เสียหายไปที่ใด: ตามคำเตือนของ CIB สามารถแจ้งความออนไลน์ได้ที่ thaipoliceonline.go.th หรือโทรสายด่วน 1441

ดูว่าอะไรบ้างที่อาจถูกสลับในการเรียกเก็บเงินผ่านพร้อมเพย์ และอะไรที่อยู่นอกขอบเขตของการป้องกันบนหน้าเว็บ ได้ที่ การป้องกันสำหรับการชำระเงินด้วยพร้อมเพย์

Proteside ตรวจสอบในเบราว์เซอร์ของผู้ซื้อว่า QR, PromptPay ID และจำนวนเงินที่แสดงในหน้าชำระเงินตรงกับที่ร้านของคุณออกให้ทุกประการ และบล็อกการสลับใด ๆ ก่อนการยืนยันชำระเงิน พร้อมแจ้งเตือนคุณและสร้างหลักฐานสำหรับ PCI DSS ใช้งานได้กับทุกแพลตฟอร์มอีคอมเมิร์ซและผู้ให้บริการชำระเงิน ทดลองใช้ฟรี 14 วัน