ก่อน SMS จะถูกส่งออกไป iTWiST คัดกรองผู้ส่งอย่างไร? เพื่อป้องกัน SMS หลอกลวง

SMS เป็นช่องทางการสื่อสารที่องค์กรจำนวนมากใช้ส่งข้อมูลตรงไปยังหมายเลขโทรศัพท์ของลูกค้า ไม่ว่าจะเป็นการแจ้งเตือน การยืนยันตัวตนด้วย OTP การแจ้งสถานะบริการ การนัดหมาย หรือการสื่อสารทางการตลาด 

แต่ในอีกด้านหนึ่ง SMS ก็อาจถูกผู้ไม่หวังดีหรือ Scammer นำไปใช้เป็นเครื่องมือในการส่ง SMS หลอกลวง (SMS Scam) เช่น การแอบอ้างชื่อองค์กร การส่งลิงก์ปลอม หรือการใช้ชื่อผู้ส่งที่ทำให้ผู้รับเข้าใจผิดว่าเป็นข้อความจากองค์กรที่ตนรู้จัก

การป้องกันปัญหา SMS หลอกลวงจึงไม่ควรเริ่มต้นหลังจากข้อความถูกส่งออกไปแล้ว

สำหรับ iTWiST กระบวนการคัดกรองเริ่มตั้งแต่ ก่อนเปิดบัญชีให้ลูกค้า ก่อนอนุญาตให้ใช้ Sender Name และก่อนนำ Sender Name นั้นไปใช้ส่ง SMS จริง

1. ตรวจสอบก่อนว่าใครคือผู้ขอใช้บริการ

สำหรับบริการ Business SMS ที่ต้องการใช้ Sender Name หรือชื่อผู้ส่งแทนหมายเลขโทรศัพท์ iTWiST กำหนดให้ผู้ขอใช้บริการเป็นนิติบุคคล และต้องจัดส่งเอกสารประกอบสำหรับการตรวจสอบ เช่น

หน้าหนังสือรับรองบริษัท

ข้อมูลดังกล่าวช่วยให้สามารถตรวจสอบได้ว่าองค์กรที่มาขอใช้บริการมีตัวตนจริง และ Sender Name ที่ขอเปิดใช้งานมีความเกี่ยวข้องกับองค์กรใด

หลักการนี้สอดคล้องกับแนวทางของ กสทช. ที่กำหนดให้ผู้ให้บริการตรวจสอบและยืนยันตัวตนของผู้ขอใช้บริการให้ชัดเจน เพื่อให้สามารถตรวจสอบย้อนกลับได้หากพบการนำบริการไปใช้ในทางที่ผิด

ดังนั้น การเปิดบัญชี Business SMS จึงไม่ใช่เพียงการสร้าง Username แล้วสามารถเริ่มส่งข้อความได้ทันที

คำถามแรกที่ต้องตอบให้ได้คือ

“ใครคือผู้ที่จะส่ง SMS?”

2. Sender Name ต้องสัมพันธ์กับบริษัท สินค้า หรือบริการจริง

การมีบริษัทจดทะเบียนถูกต้องไม่ได้หมายความว่าจะสามารถขอใช้ Sender Name เป็นชื่ออะไรก็ได้

ตัวอย่างเช่น หากบริษัทหนึ่งขอใช้ชื่อ

ABCService
ABCShop
ABCFinance

iTWiST จะพิจารณาว่าชื่อดังกล่าวมีความสัมพันธ์กับธุรกิจ สินค้า หรือบริการของบริษัทจริงหรือไม่

หลักฐานที่ใช้ประกอบการพิจารณาอาจเป็น

• เว็บไซต์อย่างเป็นทางการของบริษัท
• Facebook Page หรือ Social Media ขององค์กร
• ชื่อผลิตภัณฑ์หรือบริการที่บริษัททำตลาดอยู่
• สื่อประชาสัมพันธ์หรือสื่อทางการตลาดของบริษัท

หลักการสำคัญคือ

Sender Name ต้องสามารถอธิบายที่มา และต้องเชื่อมโยงกลับไปยังองค์กรที่ขอใช้งานได้

วิธีนี้ช่วยลดความเสี่ยงที่ผู้ขอใช้บริการจะสร้าง Sender Name ขึ้นมาเพื่อทำให้ผู้รับเข้าใจผิด หรือใช้ชื่อที่คล้ายกับองค์กรอื่นเพื่อเพิ่มความน่าเชื่อถือให้กับ SMS หลอกลวง

แนวทางของ กสทช. ก็กำหนดให้มีการตรวจสอบความซ้ำซ้อนของ Sender Name รวมถึงชื่อที่เหมือนหรือคล้ายกับ Sender Name ของหน่วยงานหรือองค์กรรายใหญ่ ก่อนนำไปให้บริการ

3. ถ้าต้องการใช้ชื่อ Brand ของผู้อื่น ต้องมีหลักฐานการได้รับอนุญาต

ในทางธุรกิจ บริษัทที่เป็นผู้ส่ง SMS ไม่จำเป็นต้องเป็นเจ้าของ Brand เสมอไป

ตัวอย่างเช่น

บริษัทพัฒนาระบบอาจส่ง SMS ให้ลูกค้า
บริษัท Logistics อาจส่ง SMS ในนามของเจ้าของสินค้า
Agency อาจเป็นผู้ดำเนินแคมเปญให้ Brand
บริษัท Outsource อาจเป็นผู้ดูแลระบบแจ้งเตือนให้กับองค์กรอื่น

ในกรณีเหล่านี้ หากต้องการใช้ชื่อ Brand ของลูกค้าเป็น Sender Name iTWiST จะขอ หนังสืออนุญาตหรือหลักฐานแสดงสิทธิจากเจ้าของ Brand

ก่อนดำเนินการเปิด Sender Name

ขั้นตอนนี้มีความสำคัญอย่างมากต่อการป้องกันการแอบอ้าง

เพราะหากเพียงมีบริษัทจดทะเบียนก็สามารถขอใช้ Sender Name ของธนาคาร บริษัทขนาดใหญ่ หรือ Brand ที่ประชาชนรู้จักได้โดยไม่มีการตรวจสอบ ชื่อผู้ส่งซึ่งควรช่วยให้ผู้รับรู้ว่าใครเป็นผู้ส่งข้อความ อาจกลับกลายเป็นเครื่องมือสร้างความน่าเชื่อถือให้กับ Scammer ได้

4. ก่อนเปิดใช้งาน ต้องแจ้งว่า “จะใช้ SMS ทำอะไร”

นอกจากตรวจสอบบริษัทและ Sender Name แล้ว iTWiST จะสอบถาม วัตถุประสงค์ในการใช้งาน SMS พร้อมขอตัวอย่างรูปแบบข้อความที่จะใช้ส่งจริง

ตัวอย่างการใช้งาน เช่น

• แจ้งสถานะการจัดส่งสินค้า
• แจ้งเตือนวันนัดหมาย
• แจ้งข้อมูลเกี่ยวกับบริการ
• ส่ง OTP
• แจ้งข่าวสารแก่สมาชิก
• ส่งข้อความประชาสัมพันธ์
• แจ้งเตือนธุรกรรมหรือสถานะต่าง ๆ

ข้อมูลเหล่านี้ช่วยให้สามารถตรวจสอบความสัมพันธ์ระหว่าง

บริษัท → Sender Name → วัตถุประสงค์ → เนื้อหา SMS

ได้ตั้งแต่ก่อนเริ่มให้บริการ

ตัวอย่างเช่น หากองค์กรประกอบธุรกิจประเภทหนึ่ง แต่ขอ Sender Name ที่ไม่เกี่ยวข้องกับธุรกิจ และแจ้งตัวอย่างข้อความที่มีวัตถุประสงค์แตกต่างออกไปอย่างชัดเจน ก็เป็นเหตุให้ต้องตรวจสอบเพิ่มเติมก่อนเปิดใช้งาน

การขอตัวอย่างข้อความจึงไม่ได้มีไว้เพียงเพื่อดูรูปแบบ SMS

แต่เป็นอีกชั้นหนึ่งของการตรวจสอบว่า สิ่งที่ลูกค้าบอกว่าจะส่ง สอดคล้องกับตัวตนของผู้ส่งหรือไม่

5. หาก SMS มี Link ต้องแจ้ง Domain หรือ URL ที่จะใช้

หนึ่งในรูปแบบที่พบได้กับ SMS หลอกลวงคือการส่งข้อความพร้อม Link เพื่อพาผู้รับออกจาก SMS ไปยังเว็บไซต์หรือช่องทางอื่น

ดังนั้นกรณีที่ลูกค้าประสงค์จะส่ง SMS แนบลิงก์ iTWiST จะขอข้อมูลเกี่ยวกับ

• Domain หรือ URL ที่ต้องการใช้
• วัตถุประสงค์ของ Link
• ปลายทางของ Link

เพื่อนำข้อมูลเข้าสู่กระบวนการตรวจสอบและลงทะเบียนตามแนวทางที่กำหนด

มาตรการของ กสทช. กำหนดให้ Sender Name ที่ใช้ส่ง SMS ต้องได้รับการลงทะเบียน และกรณีบริการ SMS แบบ Application to Person หรือ A2P ที่มีการแนบลิงก์ จะต้องมีการตรวจสอบลิงก์ตามกระบวนการที่กำหนดร่วมกับสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ หรือ สกมช.

ในหนังสือที่สำนักงาน กสทช. ส่งถึงบริษัท ไอทวิสท จำกัดโดยตรง ยังระบุให้ผู้ให้บริการรวบรวม URL พร้อมวัตถุประสงค์และปลายทางของแต่ละ Link เพื่อเข้าสู่กระบวนการตรวจสอบก่อนนำไปใช้งานด้วย

ดังนั้น การส่ง SMS ที่มี Link จึงไม่ใช่เพียงการนำ URL ใดก็ได้มาใส่ไว้ในข้อความแล้วส่งออกไป

6. Sender Name ต้องผ่านกระบวนการลงทะเบียนก่อนใช้งาน

หลังจากตรวจสอบ

บริษัท
Sender Name
ความสัมพันธ์กับ Brand
วัตถุประสงค์
ตัวอย่างข้อความ
และ Link ที่จะใช้

ข้อมูลที่เกี่ยวข้องจะถูกนำเข้าสู่กระบวนการ ลงทะเบียนและขอเปิดใช้งาน Sender Name ตามขั้นตอนของผู้ให้บริการเครือข่ายโทรศัพท์เคลื่อนที่และ กสทช.

จุดนี้เป็นอีกความแตกต่างที่สำคัญระหว่าง Business SMS กับระบบส่งข้อความที่ผู้ใช้สามารถตั้งชื่อผู้ส่งขึ้นมาเองได้ทันที

การมี Username ของ iTWiST ไม่ได้หมายความว่าผู้ใช้งานจะสามารถกำหนด Sender Name อะไรก็ได้แล้วส่ง SMS ออกไป

Sender Name ต้องเป็นชื่อที่ได้รับการตรวจสอบและเปิดใช้งานก่อน

แนวทางของ กสทช. ยังกำหนดให้ Sender Name มีการยืนยันสถานะการใช้งานเป็นประจำทุกปี เพื่อให้ฐานข้อมูลของ Sender Name ที่ใช้งานอยู่สามารถตรวจสอบได้อย่างต่อเนื่อง

แล้วถ้าพบ SMS หลอกลวง หรือมีการใช้ Sender Name ผิดวัตถุประสงค์?

มาตรการไม่ได้สิ้นสุดลงเมื่อ Sender Name ได้รับการเปิดใช้งาน

หากตรวจพบการนำ Sender Name ไปใช้ส่งข้อความที่มีลักษณะหลอกลวงประชาชน ชักชวนเล่นพนัน ข้อความผิดกฎหมาย หรือการใช้ Link ที่ไม่เป็นไปตามเงื่อนไข แนวทางของ กสทช. กำหนดให้ผู้ให้บริการดำเนินการปิดกั้น Sender Name และ/หรือผู้ส่งโดยทันที

สำหรับกรณีที่พิสูจน์ได้ว่าคู่สัญญาเป็นต้นทางของการส่งข้อความที่มีลักษณะกระทำผิด แนวทางยังครอบคลุมถึงการยกเลิกการให้บริการ การไม่อนุญาตให้นำ Sender Name ดังกล่าวกลับมาใช้งาน และการจัดส่งข้อมูลให้หน่วยงานที่เกี่ยวข้องดำเนินการตามกฎหมายต่อไป

แผนผังของ กสทช. ยังแสดงกระบวนการตั้งแต่การลงทะเบียน Sender Name การตรวจสอบ SMS แนบลิงก์ ไปจนถึงการระงับ Sender Name และการติดตามต้นทางเมื่อพบ SMS หลอกลวงอย่างเป็นขั้นตอน

SMS Spam กับ SMS หลอกลวง จึงไม่ควรถูกมองว่าเป็นเรื่องเดียวกันทั้งหมด

เมื่อพูดถึงข้อความที่ผู้รับไม่ต้องการ เรามักพบคำหลายคำ เช่น SMS Spam, SMS Scam, SMS หลอกลวง หรือ Smishing

แต่สำหรับผู้ให้บริการ สิ่งสำคัญไม่ได้อยู่เพียงการตรวจสอบข้อความที่ปลายทางเท่านั้น

สิ่งสำคัญคือการพยายามทำให้สามารถย้อนกลับไปได้ว่า

ใครเป็นผู้ส่งข้อความนั้น

เพราะการป้องกัน Scammer ที่ต้นทางย่อมมีประโยชน์มากกว่าการรอให้ SMS หลอกลวงถูกส่งไปถึงประชาชนจำนวนมากแล้วจึงเริ่มตรวจสอบ

ความปลอดภัยของ SMS เริ่มจากการรู้ว่า “ใครเป็นคนส่ง”

ระบบเทคโนโลยีสามารถช่วยตรวจจับข้อความหรือ Link ที่มีปัญหาได้

แต่หนึ่งในพื้นฐานสำคัญของการลดปัญหา SMS หลอกลวงคือการทำให้เส้นทางของ SMS สามารถตรวจสอบย้อนกลับได้ว่า

ใครเป็นผู้ส่ง
ส่งในนามองค์กรใด
ใช้ Sender Name อะไร
Sender Name นั้นเกี่ยวข้องกับองค์กรอย่างไร
ส่ง SMS เพื่อวัตถุประสงค์ใด
และหากมี Link ปลายทางของ Link คือที่ใด

นี่คือเหตุผลที่กระบวนการเปิดใช้ Business SMS อาจต้องมีการขอเอกสารและข้อมูลมากกว่าการสมัครใช้บริการออนไลน์ทั่วไป

เพราะสำหรับ iTWiST

การส่ง SMS ไม่ได้เริ่มต้นที่ปุ่ม Send

แต่เริ่มต้นตั้งแต่การตรวจสอบว่า

“ใครคือผู้ที่กำลังจะกดปุ่ม Send”

คำถามที่พบบ่อยเกี่ยวกับ SMS หลอกลวง และ Sender Name

Sender Name คืออะไร?

Sender Name คือชื่อผู้ส่งที่แสดงบนหน้าจอโทรศัพท์ของผู้รับแทนหมายเลขโทรศัพท์ เช่น ชื่อบริษัท ชื่อองค์กร ชื่อผลิตภัณฑ์ หรือชื่อบริการ

สำหรับ Business SMS การใช้ Sender Name จะต้องผ่านกระบวนการตรวจสอบและลงทะเบียนก่อนนำไปใช้งาน

บริษัทสามารถขอ Sender Name เป็นชื่ออะไรก็ได้หรือไม่?

ไม่ได้

iTWiST จะตรวจสอบความสัมพันธ์ระหว่าง Sender Name กับบริษัท สินค้า บริการ หรือ Brand ที่ขอใช้งาน หากเป็น Brand ขององค์กรอื่นจะต้องมีหลักฐานแสดงสิทธิหรือการอนุญาตจากเจ้าของ Brand

SMS ที่มี Link สามารถส่งได้หรือไม่?

สามารถมีการใช้งาน SMS แนบลิงก์ได้ แต่ Link ที่ใช้ต้องเข้าสู่กระบวนการตรวจสอบตามมาตรการที่เกี่ยวข้อง โดยผู้ขอใช้บริการควรแจ้ง Domain หรือ URL วัตถุประสงค์ และปลายทางของ Link ก่อนใช้งาน

ถ้าพบว่ามีการใช้ Sender Name ส่ง SMS หลอกลวง จะทำอย่างไร?

แนวทางของ กสทช. กำหนดให้ผู้ให้บริการปิดกั้น Sender Name และ/หรือผู้ส่งที่มีลักษณะกระทำผิดโดยทันที และเมื่อพิสูจน์ทราบต้นทางแล้ว ยังมีมาตรการเกี่ยวกับการยกเลิกบริการและการดำเนินการกับผู้กระทำผิดตามขั้นตอนที่กำหนด