ประกาศ 4/2568 บังคับใช้แล้ว แอป Mobile Banking ของคุณพร้อมหรือยัง?
ประกาศ ธปท. ที่ 4/2568 กำหนดมาตรฐานขั้นต่ำด้านความมั่นคงปลอดภัยของบริการ Mobile Banking สำหรับสถาบันการเงินตาม พ.ร.บ.ธุรกิจสถาบันการเงินทุกแห่ง ทั้งการจำกัด 1 บัญชีผู้ใช้งานบน 1 อุปกรณ์ การยืนยันตัวตนด้วยการเปรียบเทียบใบหน้าเมื่อโอนเงินมูลค่าสูง การงดแนบลิงก์ใน SMS และอีเมล ตลอดจนมาตรการด้านแอปพลิเคชัน อุปกรณ์ และข้อมูล เราแจกแจงทุกมาตรการ พร้อมวิธีพิสูจน์ว่ามาตรการทำงานได้จริงก่อนรอบตรวจของ ธปท. ครั้งถัดไป
ประกาศ ธปท. ที่ 4/2568 คืออะไร?
ธปท. ออกประกาศฉบับนี้โดยอาศัยอำนาจตามมาตรา 39 และมาตรา 41 แห่ง พ.ร.บ.ธุรกิจสถาบันการเงิน พ.ศ. 2551 เพื่อรับมือการสวมรอยทำธุรกรรมแทนผู้ใช้บริการ (Unauthorized Payment Fraud) เช่น กรณีมิจฉาชีพติดตั้ง malware เพื่อควบคุมอุปกรณ์หรือแอปพลิเคชันแล้วโอนเงินโดยผู้ใช้บริการไม่ได้ยินยอม และยกเลิกแนวนโยบายเดิมตามหนังสือเวียน ว. 1922/2562
อ้างอิง: ประกาศ ธปท. ที่ 4/2568 ข้อ 5.3
ประกาศ 4/2568 บังคับใครบ้าง?
ประกาศฉบับนี้ใช้บังคับกับสถาบันการเงินตามกฎหมายว่าด้วยธุรกิจสถาบันการเงินทุกแห่ง (ข้อ 4) ที่ให้บริการ Mobile Banking แก่ผู้ใช้บริการที่เป็นบุคคลธรรมดา ส่วนสถาบันการเงินเฉพาะกิจและผู้ประกอบธุรกิจบริการเงินอิเล็กทรอนิกส์อยู่ภายใต้เกณฑ์อื่นของ ธปท.
มาตรการตามประกาศ 4/2568 จัดเป็น 6 กลุ่ม
ประกาศแบ่งมาตรการเป็น 2 ส่วน คือ การป้องกันการสวมรอยทำธุรกรรมแทนผู้ใช้บริการ (ข้อ 5.3.1) และการรักษาความมั่นคงปลอดภัยของบริการ Mobile Banking (ข้อ 5.3.2) เราจัดกลุ่มมาตรการเหล่านี้เป็น 6 ด้าน ดังนี้
1 บัญชี 1 อุปกรณ์ และอุปกรณ์ที่ปลอดภัย
ผู้ใช้บริการมีได้ 1 บัญชีผู้ใช้งานต่อ 1 แอป Mobile Banking ของแต่ละสถาบัน และใช้งานบน 1 อุปกรณ์เท่านั้น (5.3.1 (3)) แอปต้องไม่ทำงานบนอุปกรณ์ที่ถูก root หรือ jailbreak (5.3.2 (3.1)) และต้องหลีกเลี่ยงการให้บริการบนอุปกรณ์ที่ใช้ระบบปฏิบัติการซึ่งหน่วยงานด้านความมั่นคงปลอดภัยที่เป็นที่ยอมรับ เช่น TB-CERT กำหนดว่ามีความเสี่ยง หากยังให้บริการต้องแจ้งเตือนผู้ใช้บริการและจำกัดยอดโอนไม่เกินวันละ ฿5,000 (5.3.2 (3.3))
การเปรียบเทียบใบหน้าและวงเงินธุรกรรม
ต้องยืนยันตัวตนด้วยการเปรียบเทียบใบหน้าร่วมกับการตรวจจับการปลอมแปลงชีวมิติ เช่น liveness detection เมื่อโอนเงินครั้งละตั้งแต่ ฿50,000 เมื่อยอดโอนรวมครบทุก ฿200,000 ใน 1 วัน และเมื่อปรับเพิ่มวงเงินโอนต่อวันเป็นตั้งแต่ ฿50,000 (5.3.1 (4)) เพดานวงเงินถอนและโอนต่อวันต้องเหมาะสมกับระดับความเสี่ยงของกลุ่มผู้ใช้บริการ เช่น ผู้ใช้บริการอายุต่ำกว่า 15 ปี ไม่เกิน ฿50,000 ต่อวัน โดยการขอยกเว้นต้องผ่านกระบวนการพิจารณาที่รัดกุม (5.3.1 (5))
ข้อกำหนดเรื่องการแนบลิงก์
งดแนบลิงก์ทุกรูปแบบใน SMS และอีเมล รวมถึงข้อความลักษณะ URL ที่คลิกไม่ได้ รูปภาพ และ QR code (5.3.1 (1) และคำถาม-คำตอบข้อ 2) สำหรับสื่อสังคมออนไลน์ ให้งดแนบลิงก์ที่ขอข้อมูลยืนยันตัวตนหรือข้อมูลส่วนบุคคล เช่น ชื่อผู้ใช้งาน รหัสผ่าน OTP รหัส PIN เลขบัตรประชาชน หรือวันเดือนปีเกิด หากผู้ใช้บริการร้องขอเอง สถาบันแนบลิงก์ได้เป็นรายครั้ง และต้องแจ้งย้ำว่าส่งให้ตามคำร้องขอในครั้งนั้นเท่านั้น
แอปปลอมและแอปที่มีพฤติกรรมเสี่ยง
ต้องติดตามและรับมืออย่างทันการณ์ต่อแอปที่ปลอมแปลงหรือแอบอ้างเป็นแอปของสถาบันบน official app store เช่น Google Play Store และ Apple App Store รวมถึงมีกระบวนการรับมือแอปปลอมนอกแพลตฟอร์มดังกล่าว (5.3.1 (2)) และต้องไม่ให้แอปทำงานขณะที่มีแอปอื่นที่มีพฤติกรรมเสี่ยง เช่น ขอสิทธิช่วยเหลือคนพิการ (accessibility services) โดยไม่จำเป็น ควบคุมเครื่องจากระยะไกล หรือปิดบังหรือขโมยข้อมูลบนหน้าจอ (5.3.2 (3.2))
ความสมบูรณ์ของแอป (App Integrity) และกรอบเวลาปิดช่องโหว่
ตรวจสอบการดัดแปลงแอปทุกครั้งที่ผู้ใช้บริการเข้าใช้งาน และไม่อนุญาตให้ใช้แอปที่ถูกดัดแปลง (5.3.2 (2.3)) ทำ source code obfuscation (2.5) ไม่ให้บริการบนแอปเวอร์ชันเก่า (2.2) ขอสิทธิบนอุปกรณ์เท่าที่จำเป็นและทบทวนทุกครั้งที่เปลี่ยนแปลงอย่างมีนัยสำคัญ (2.1) และจัดการ session ให้ปลอดภัยจาก session hijacking (2.4) เมื่อพบช่องโหว่ใหม่ต้องปิดภายในกรอบเวลาที่เหมาะสม หรือภายในระยะเวลาที่ ธปท. กำหนด (5.3)
การปกป้องข้อมูลและช่องทางสื่อสาร
หลีกเลี่ยงการจัดเก็บข้อมูลสำคัญไว้บนอุปกรณ์ หากจำเป็นต้องเข้ารหัสด้วยวิธีที่ปลอดภัยตามมาตรฐานสากลและทำลายข้อมูลเมื่อสิ้นสุดการใช้งาน (5.3.2 (1.1)) ปิดบังรหัสผ่านและปิดบังหน้าจอเมื่อย่อแอป (1.2) ใช้ช่องทางสื่อสารที่ปลอดภัยพร้อม certificate pinning หรือวิธีอื่นที่เทียบเท่า และเข้ารหัสข้อมูลสำคัญในระดับแอปพลิเคชันระหว่างรับ-ส่ง (1.3)
เราทดสอบอะไรบ้างในแอป Mobile Banking
ประกาศ 4/2568 กำหนดมาตรการควบคุม ไม่มีข้อกำหนดเรื่องการทดสอบ เราพิสูจน์แต่ละมาตรการด้วยการทดสอบตามแนวทาง OWASP MASTG ซึ่งเป็นวิธีของ Reconix ที่จับคู่กับประกาศเป็นรายข้อ
หน้าที่ที่ต่อเนื่องหลังเปิดให้บริการ
4 ข้อต่อไปนี้สร้างภาระงานหลังเปิดให้บริการ และต้องมีหลักฐานพร้อมเมื่อ ธปท. ขอ
ปิดช่องโหว่ใหม่ให้ทันเวลา
เมื่อพบช่องโหว่ใหม่ สถาบันการเงินต้องเร่งจัดให้มีแนวทางป้องกันและปิดช่องโหว่ภายในกรอบเวลาที่เหมาะสม หรือภายในระยะเวลาที่ ธปท. กำหนด (ข้อ 5.3)
การผ่อนผันพิจารณาเป็นรายกรณี
สถาบันที่ปฏิบัติตามไม่ได้ต้องยื่นขอผ่อนผันต่อ ธปท. พร้อมเหตุผลความจำเป็นและแผนการดำเนินการ ธปท. พิจารณาภายใน 30 วันทำการนับแต่ได้รับเอกสารครบถ้วน และอาจกำหนดเงื่อนไขเพิ่มเติมได้ (ข้อ 5.4)
บริการแบบ app-in-app อยู่ในขอบเขต
มาตรการใช้บังคับทั้งกรณีผู้ใช้บริการเข้าใช้ผ่านแอปของสถาบันการเงินเอง และผ่านแอปของผู้ให้บริการอื่น (คำถาม-คำตอบข้อ 1)
ระบบปฏิบัติการที่มีความเสี่ยง
หากยังให้บริการบนระบบปฏิบัติการที่ถูกระบุว่ามีความเสี่ยง ต้องแจ้งเตือนผู้ใช้บริการกลุ่มนี้ และจำกัดยอดโอนไม่เกินวันละ ฿5,000 (ข้อ 5.3.2 (3.3))
เกณฑ์ ธปท. ที่เกี่ยวข้อง
ประกาศ 4/2568 กำหนดมาตรการควบคุม ส่วนการทดสอบเจาะระบบประจำปีและเกณฑ์แอปเงินอิเล็กทรอนิกส์อยู่ในประกาศ ธปท. ฉบับอื่น
ประกาศ ธปท. ที่ สกช. 5/2566 เรื่อง หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศของสถาบันการเงินและสถาบันการเงินเฉพาะกิจ
กำหนดให้ทดสอบเจาะระบบโดยผู้เชี่ยวชาญภายในหรือภายนอกที่มีความเป็นอิสระ อย่างน้อยครอบคลุมระบบที่เชื่อมต่อกับเครือข่ายสาธารณะ (Internet facing) อย่างน้อยปีละ 1 ครั้ง และเมื่อมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ (เอกสารแนบ 2 ข้อ 6.7) คำถาม-คำตอบข้อ 3 ระบุระบบ Mobile Banking ไว้ด้วย และต้องทดสอบความปลอดภัยก่อนเริ่มใช้งานจริง (ข้อ 7.2) ใช้บังคับกับทั้งสถาบันการเงินและสถาบันการเงินเฉพาะกิจ
ประกาศ ธปท. ที่ 18/2568 สำหรับแอปเงินอิเล็กทรอนิกส์
กำหนดมาตรการสำหรับผู้ประกอบธุรกิจบริการเงินอิเล็กทรอนิกส์ที่แอปโอนเงินไปยังบัญชีของผู้ให้บริการรายอื่นได้ เช่น certificate pinning การทำ anti-tampering การทำ obfuscation และการไม่ให้แอปทำงานบนอุปกรณ์ที่ถูก root หรือ jailbreak พร้อมต้องปิดช่องโหว่ใหม่ภายในกรอบเวลาที่เหมาะสม (ข้อ 4 และ 5.2.2)
พ.ร.บ.ธุรกิจสถาบันการเงิน พ.ศ. 2551
ธปท. ออกประกาศ 4/2568 โดยอาศัยอำนาจตามมาตรา 39 และมาตรา 41 แห่งพระราชบัญญัตินี้ และประกาศใช้บังคับกับสถาบันการเงินตามพระราชบัญญัตินี้ทุกแห่ง (ข้อ 2 และข้อ 4)
เราตรวจสอบ Compliance ตามประกาศ 4/2568 อย่างไร
เราจับคู่ทุกมาตรการในประกาศ 4/2568 กับการทดสอบจริง ทุกข้อค้นพบมี proof of concept และรวมการทดสอบซ้ำ 1 ครั้งหลังการแก้ไข
Checklist ความพร้อมตามประกาศ 4/2568
ใช้ Checklist นี้ประเมินความพร้อมขององค์กรเทียบกับแต่ละมาตรการในประกาศ 4/2568 รวมถึงการทดสอบเจาะระบบประจำปีตามประกาศ สกช. 5/2566
เอกสารอ้างอิงอย่างเป็นทางการ
ศึกษาเอกสารกฎระเบียบฉบับเต็มจากแหล่งข้อมูลอย่างเป็นทางการ
บริการที่เกี่ยวข้อง
เสริมความแข็งแกร่งด้าน Compliance ด้วยบริการประเมินความปลอดภัยเฉพาะทาง
คำถามที่พบบ่อย
สิ่งที่คุณควรรู้เกี่ยวกับประกาศ ธปท. ที่ 4/2568 และการปฏิบัติตามเกณฑ์ความมั่นคงปลอดภัยของ Mobile Banking
ปิดช่องว่าง Compliance ตามประกาศ 4/2568
รับการประเมินที่จับคู่กับทุกมาตรการในประกาศ 4/2568 ทุกข้อค้นพบมี proof of concept และรวมการทดสอบซ้ำ 1 ครั้งหลังการแก้ไข ก่อนรอบตรวจครั้งถัดไปของ ธปท.
Reconix คือผู้เชี่ยวชาญการทดสอบเจาะระบบเชิงรุกที่เน้นการพิสูจน์ในประเทศไทย ให้บริการธุรกิจดิจิทัลภายใต้การกำกับดูแลทุกขนาด