AI ทำให้แฮกธนาคารง่ายขึ้น IMF เตือนภัยไซเบอร์ ระบบการเงินโลกต้องรับมือให้ทันใน 12 เดือน

ในวงเสวนาเรื่อง AI กับความเสี่ยงไซเบอร์ในระบบการเงิน ที่ IMF จัดขึ้น มีผู้ร่วมวง 4 คน ได้แก่ Michael Sellitto หัวหน้าฝ่ายนโยบายเอเชียแปซิฟิกของ Anthropic ผู้พัฒนาโมเดล Claude, Marlene Amstad ประธานหน่วยงานกำกับดูแลตลาดการเงินของสวิตเซอร์แลนด์ (FINMA), Paulo Picchetti รองผู้ว่าการธนาคารกลางบราซิล และ Andrea Maechler รองผู้จัดการทั่วไปของธนาคารเพื่อการชำระหนี้ระหว่างประเทศ (BIS) ทั้งสี่คนคุยกันว่า AI ทำให้ภัยไซเบอร์เปลี่ยนไปยังไง และระบบการเงินโลกพร้อมรับมือแค่ไหน

หัวหน้าฝ่ายนโยบายของ Anthropic บอกว่าทุกวันนี้ AI ทำให้การแฮกง่ายขึ้นมาก งานเจาะระบบที่เคยต้องใช้ทีมทำกันเป็นเดือน ตอนนี้คนคนเดียวทำเสร็จได้ในไม่กี่ชั่วโมง แต่ก่อนคนที่มีฝีมือถึงขั้นเจาะระบบแบบนี้ได้มีอยู่แค่ราว 1 หมื่นคนทั่วโลก ตอนนี้ใครมีเครื่องมือ AI ก็ทำได้ และเครื่องมือพวกนี้หาง่ายขึ้นทุกวัน ส่วนเครื่องมือรักษาความปลอดภัยยังพัฒนาตามไม่ทัน

ด้านประธาน FINMA เสริมว่ามิจฉาชีพไม่จำเป็นต้องใช้ AI ระดับสูงเลย แค่ปลอมอีเมล ปลอมเสียงคนรู้จักหรือทำคลิปดีปเฟกก็ทำได้ง่ายกว่าเมื่อก่อนมาก วิธีหลอกพวกนี้มีมานานแล้ว สิ่งที่น่ากลัวคือ AI ทำให้หลอกได้เร็วขึ้น และหลอกคนได้ทีละมาก ๆ ในคราวเดียว

AI ยังพัฒนาเร็วแบบก้าวกระโดด หัวหน้าฝ่ายนโยบายของ Anthropic เปรียบความเร็วนี้กับการระบาดของโควิด วันนี้มีคนติด 5 คน พรุ่งนี้อาจกลายเป็น 25 คน ตัวอย่างคือ Claude ที่จากเดิมปีก่อนแทบไม่ได้เขียนโค้ดให้บริษัทเลย แต่ปัจจุบันกลับรับหน้าที่นี้ไปแล้วกว่า 50% และอาจถึง 80-90% ปลายปีนี้ ยิ่งไปกว่านั้นสัดส่วนที่ Claude เป็นผู้นำในการสร้างโมเดลรุ่นถัดไปก็เพิ่มจาก 0% เมื่อต้นปี มาเป็น 25% ในปัจจุบัน และอาจขยับไปรับงานเกือบทั้งหมดในปีหน้า 

ด้วยความสามารถที่โตเร็วเกินคาด ต้นปีที่ผ่านมา Anthropic จึงตัดสินใจไม่ปล่อยโมเดลใหม่ให้คนทั่วไปใช้ เพราะโมเดลนี้หาช่องโหว่ในระบบคอมพิวเตอร์ได้เก่งมาก และอาจตกไปเป็นเครื่องมือของอาชญากร บริษัทเลือกให้ผู้เชี่ยวชาญภายนอกมาช่วยทดสอบก่อน แล้วเปิดโครงการ Glasswing ในเดือนเมษายน เพื่อให้ฝ่ายป้องกันได้สแกนหาและอุดรอยรั่วก่อนที่แฮกเกอร์จะลงมือ

ผลจากโครงการพบช่องโหว่ราว 130,000 จุด ในจำนวนนี้ราว 30,000 จุดอยู่ในระดับร้ายแรง แต่ผ่านมาหลายเดือนแล้ว ช่องโหว่ส่วนใหญ่ก็น่าจะยังไม่ได้แก้ เพราะ AI ช่วยหาจุดอ่อนได้เร็วก็จริง แต่การแก้ยังต้องใช้ทั้งคนและเวลาอยู่ดี

แล้วการโดนแฮกแค่จุดเดียว จะลุกลามเป็นวิกฤตการเงินได้อย่างไร ?

ประธาน FINMA อธิบายว่าทุกวันนี้ AI เข้าไปอยู่ในแทบทุกขั้นตอนการทำงานของสถาบันการเงินแล้ว FINMA สำรวจสถาบันการเงินในสวิสเกือบ 150 แห่ง พบว่าจากเดิมที่ใช้ AI แค่บางงาน ตอนนี้ใช้กันทั้งองค์กร จุดที่แฮกเกอร์เจาะเข้ามาได้จึงกระจายอยู่ทุกส่วน

เธอบอกว่าเรื่องเล็กลามเป็นเรื่องใหญ่ได้ 3 ทาง ทางแรกคือระบบหลักของธนาคารโดนเจาะ จนโอน ฝาก ถอนไม่ได้ ทางที่สองคือโปรแกรมที่หลายแห่งใช้เหมือนกันโดนเจาะ ทุกแห่งที่ใช้ก็โดนไปพร้อมกัน เหมือนกรณี MOVEit ปี 2023 ซึ่งเป็นโปรแกรมส่งไฟล์ที่องค์กรทั่วโลกใช้ พอโดนแฮก องค์กรที่ใช้อยู่ก็โดนตามกันหลายแห่ง ทางที่สามคือข่าวลือ แค่มีข่าวว่าธนาคารไหนโดนแฮก คนก็อาจแห่ไปถอนเงินทั้งที่ระบบยังปกติ

รองผู้จัดการทั่วไปของ BIS ชี้ว่า จุดอ่อนใหญ่ของระบบการเงินคือ ธนาคารหลายแห่งใช้โปรแกรมเดียวกันและจ้างบริษัทไอทีเจ้าเดียวกัน ถ้าเจ้านั้นมีจุดอ่อน โจรก็ใช้จุดเดียวเจาะได้หลายธนาคารพร้อมกัน แถมธนาคารยังเชื่อมกันผ่านระบบโอนเงินเดียวกัน ถ้าเจ้าไหนป้องกันไม่ดี เจ้าอื่นก็พลอยเสี่ยงไปด้วย

บราซิลเจอเรื่องนี้มากับตัว บราซิลมีระบบโอนเงินชื่อ Pix (คล้ายพร้อมเพย์ของบ้านเรา) รองผู้ว่าการธนาคารกลางบราซิลเล่าว่า ธนาคารกลางเปิดให้บริษัทหลายแห่งเข้ามาเชื่อมต่อกับระบบเพื่อกระตุ้นการแข่งขัน แต่บางบริษัทมีระบบรักษาความปลอดภัยไม่ดีพอ จึงกลายเป็นช่องให้แฮกเกอร์เจาะเข้ามาขโมยเงินผู้ใช้ได้ เขาบอกด้วยว่า ทุกวันนี้แทบไม่มีโจรถือปืนไปปล้นธนาคารในบราซิลแล้ว เพราะหันไปปล้นทางออนไลน์ที่ทำได้ง่ายกว่าและเสี่ยงโดนจับน้อยกว่ามาก

ด้านประธาน FINMA มองว่าสถานการณ์นี้ทำให้หน่วยงานกำกับดูแลทำงานยากขึ้นเยอะ เพราะจุดอ่อนมักไม่ได้อยู่ที่ตัวธนาคารโดยตรง แต่อยู่ที่ผู้ให้บริการภายนอกที่ธนาคารจ้าง รวมถึงบริษัทที่รับงานช่วงต่อกันเป็นทอด ๆ ซึ่งหน่วยงานกำกับเข้าไปตรวจได้ยาก การโจมตีที่แต่ก่อนอาจใช้เวลาเป็นวัน ตอนนี้จบได้ในไม่กี่นาที การตั้งรับแบบเดิมจึงไม่ทันการณ์อีกต่อไป

ฝั่งป้องกันก็ไม่ได้อยู่เฉย ธนาคารกลางบราซิลใช้วิธีทางสถิติจับการฉ้อโกงมานานแล้ว และตอนนี้นำ AI มาช่วยจับสัญญาณผิดปกติ เพื่อรีบเตือนธนาคารต่าง ๆ ให้รับมือได้ทัน ขณะที่รองผู้จัดการทั่วไปของ BIS เสริมว่า ถึงหลายคนจะเคยมองว่าธนาคารกลางปรับตัวช้าเหมือนไดโนเสาร์ แต่ช่วงโควิดก็พิสูจน์แล้วว่าปรับตัวได้เร็ว แผนรับมือภัยไซเบอร์มีพร้อมอยู่แล้ว เพียงแต่ต้องซ้อมให้บ่อยและเร็วขึ้น เธอยอมรับว่าธนาคารกลางขนาดเล็กกับขนาดใหญ่ยังห่างกันอยู่จริง เพราะ AI ดี ๆ ต้องใช้เงินทุนสูง ธนาคารกลางขนาดเล็กจึงเข้าถึงได้ยากกว่า แต่เชื่อว่าถ้าเครื่องมือ AI ฝั่งป้องกันเข้าถึงได้ง่ายขึ้น ช่องว่างนี้น่าจะลดลง

ท้ายที่สุด ทุกคนในวงเสวนาเห็นตรงกันว่า ระบบการเงินโลกต้องเร่งรับมือเรื่องนี้ภายใน 12 เดือนข้างหน้าก่อนที่แฮกเกอร์จะนำหน้าระบบรักษาความปลอดภัยไปไกลกว่านี้ สิ่งที่ต้องรีบทำคือ ธนาคารต้องรู้ให้ชัดว่าระบบของตัวเองพึ่งพาบริษัทไหนอยู่บ้าง รวมถึงบริษัทที่รับงานช่วงต่อ ถ้ามีใครถูกโจมตีก็ต้องรีบส่งสัญญาณเตือนให้เครือข่ายรู้ทันที และทุกภาคส่วนต้องร่วมมือและแชร์ข้อมูลกัน จะต่างคนต่างป้องกันระบบของตัวเองเหมือนที่ผ่านมาไม่ได้อีกแล้ว