AMLR กำหนดให้มีการตรวจสอบตัวตนที่สอดคล้องกับ eIDAS ระบบเทคโนโลยีของคุณพร้อมแล้วหรือยัง?

กฎระเบียบใหม่ของสหภาพยุโรป (EU) เกี่ยวกับการป้องกันการฟอกเงิน ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 10 กรกฎาคม 2027 จะเปลี่ยนแปลงวิธีการที่สถาบันการเงิน บริษัทคริปโต และองค์กรอื่น ๆ ดำเนินการในด้านการรับลูกค้าใหม่ การปฏิบัติตามกฎระเบียบ และการจัดการความเสี่ยง ชุดกฎระเบียบนี้มีวัตถุประสงค์เพื่อลดความไม่สอดคล้องกันระหว่างประเทศสมาชิก ลดภาระทางการบริหาร และปรับปรุงความปลอดภัยและประสบการณ์ผู้ใช้ (UX) ผ่านการตรวจสอบตัวตนทางอิเล็กทรอนิกส์

จุดสำคัญของชุดกฎระเบียบใหม่นี้คือมาตรฐานทางเทคนิคด้านกฎระเบียบ (RTS) ซึ่งกำลังอยู่ในขั้นตอนการร่าง RTS จะกำหนดข้อกำหนดเกี่ยวกับวิธีที่สถาบันการเงินที่ดำเนินการในสหภาพยุโรปต้องดำเนินการตรวจสอบลูกค้าอย่างละเอียด การประเมินความเสี่ยง และกระบวนการลงทะเบียนลูกค้าทางดิจิทัล

บล็อกนี้จะวิเคราะห์ปัจจัยที่ผลักดันให้เกิดการเปลี่ยนแปลงด้านกฎระเบียบ ความหมายของข้อกำหนดเหล่านี้ต่อธุรกิจในสหภาพยุโรป และมาตรการที่องค์กรสามารถดำเนินการได้ทันทีเพื่อหลีกเลี่ยงความเสี่ยงจากการไม่ปฏิบัติตามกฎระเบียบในอนาคตอันใกล้

ปัจจัยที่ผลักดันให้มีการควบคุมการป้องกันการฟอกเงิน (AML) ที่เข้มงวดยิ่งขึ้น

การเปลี่ยนแปลงเหล่านี้เป็นการตอบสนองต่อความซับซ้อนที่เพิ่มขึ้นของกิจกรรมการฟอกเงินและการสนับสนุนทางการเงินแก่ผู้ก่อการร้ายในสหภาพยุโรปและนอกสหภาพยุโรป ด้วยความช่วยเหลือจากปัญญาประดิษฐ์แบบสร้างเนื้อหา (generative AI) เครื่องมือดีพเฟค (deepfake) และเครือข่าย "อาชญากรรมแบบบริการ" (crime-as-a-service) ผู้กระทำผิดสามารถหลีกเลี่ยงระบบตรวจสอบตัวตนแบบเดิมและเปิดบัญชีปลอมได้ 

ข้อมูลประจำตัวปลอมภายในระบบ KYC สามารถถูกนำไปใช้ในการฟอกเงิน การสนับสนุนการก่อการร้าย และการหลีกเลี่ยงมาตรการคว่ำบาตร ผู้กระทำผิดสามารถขยายการกระทำนี้ได้ — บุคคลเพียงคนเดียวสามารถเปิดบัญชีได้หลายบัญชีโดยใช้ข้อมูลประจำตัวที่ถูกขโมยหรือสร้างขึ้นเทียมกันหลายชุด

จุดอ่อนของระบบการตรวจสอบตัวตนที่อ่อนแอได้ถูกเปิดเผยเมื่อต้นปี 2026 เมื่อผู้ร้ายเพียงคนเดียวเปิดบัญชีธนาคาร 46 บัญชีกับ ABM AMRO โดยใช้ข้อมูลตัวตนที่ถูกขโมยและเทคโนโลยี deepfake เพื่อหลีกเลี่ยงระบบตรวจสอบตัวตนแบบ ID + Selfie

การเปลี่ยนสู่กระบวนการรับสมัครสมาชิกที่สอดคล้องกับ eIDAS

การตอบสนองของหน่วยงานกำกับดูแลต่อเรื่องนี้คือการกำหนดให้มีการควบคุมการยืนยันตัวตนที่เข้มงวดขึ้นในขั้นตอนการลงทะเบียนผู้ใช้ โดยยึดตามมาตรฐาน eIDAS ร่าง RTS กำหนดให้ eID เป็นวิธีการยืนยันตัวตนของผู้ใช้เป็นค่าเริ่มต้น และลดบทบาทของเอกสารทางกายภาพและการยืนยันตัวตนผ่านการโทรวิดีโอให้เป็นตัวเลือกสำรอง — ซึ่งสถาบันต้องชี้แจงเหตุผลต่อหน่วยงานกำกับดูแลทุกครั้งที่ใช้งาน

กฎระเบียบเกี่ยวกับบริการระบุตัวตน การยืนยันตัวตน และความน่าเชื่อถือทางอิเล็กทรอนิกส์ (eIDAS) กำหนดกรอบการทำงานสำหรับการใช้ eID ในกระบวนการลงทะเบียนทางไกล โดยระดับความมั่นใจ (LoA) ของกฎระเบียบนี้ใช้เพื่อประเมินระดับความมั่นใจในตัวตนที่อ้างสิทธิ์ — AMLR ยอมรับ eID ที่อยู่ในระดับความมั่นใจ Substantial และ High โดยระดับ High เป็นมาตรฐานการตรวจสอบตัวตนที่เข้มงวดที่สุดในสหภาพยุโรป (EU)

ด้วยกำหนดเวลาที่ใกล้เข้ามาในเดือนกรกฎาคม 2027 ธุรกิจในสหภาพยุโรปกำลังเผชิญกับแรงกดดันที่จะต้องปรับปรุงระบบจัดการข้อมูลประจำตัวให้ทันสมัยเพื่อปฏิบัติตามข้อกำหนด เนื่องจากกระบวนการรับรองคุณภาพต้องใช้เวลาหลายเดือน การนำระบบจัดการข้อมูลประจำตัวที่ยังไม่ได้รับการรับรองว่าตรงกับระดับการรับรองของ eIDAS มาใช้ จึงก่อให้เกิดความเสี่ยงที่จะไม่ปฏิบัติตามข้อกำหนด และอาจต้องรับโทษเมื่อถึงกำหนดเวลา

การร่วมมือกับผู้ให้บริการระบบระบุตัวตนที่ได้รับการรับรองตามมาตรฐานโมดูลาร์ทั้งระดับ High และ Substantial ไม่เพียงแต่ช่วยขจัดความเสี่ยงนี้ แต่ยังช่วยให้คุณสามารถปรับระดับการรับรองให้สอดคล้องกับความเสี่ยงที่เกี่ยวข้องกับธุรกรรม ข้อมูลระบุตัวตน หรือปัจจัยทางบริบท — เพื่อสร้างสมดุลระหว่างความเร็ว ประสบการณ์ผู้ใช้ (UX) และความปลอดภัย

ความยืดหยุ่นในการรับมือกับภัยคุกคามต่ออัตลักษณ์เป็นสิ่งสำคัญยิ่ง

แม้ร่าง RTS จะระบุว่า การตรวจสอบตัวตนต้องเป็นไปตามมาตรฐาน eIDAS แต่ยังไม่ได้กำหนดข้อกำหนดเฉพาะเกี่ยวกับความสามารถในการป้องกันการปลอมแปลงตัวตน การขาดมาตรฐานความปลอดภัยขั้นพื้นฐานนี้ ทำให้สถาบันการเงินมีความเสี่ยงที่จะนำโซลูชันมาใช้ ซึ่งไม่สามารถต้านทานภัยคุกคามด้านตัวตนที่รุนแรงที่สุดในปัจจุบันได้ การโจมตีต่อระบบตรวจสอบตัวตนระยะไกลมีอยู่สองรูปแบบ: 

• การโจมตีแบบนำเสนอ: ผู้โจมตีจะซื้อ ขโมย หรือปลอมแปลงเอกสารระบุตัวตนแบบกายภาพเพื่อหลอกระบบตรวจสอบเอกสาร จากนั้นถือเอกสารที่พิมพ์ออกมา หน้ากาก หรือวิดีโอ deepfake ที่เล่นบนหน้าจอยื่นไปหน้ากล้อง
• การโจมตีแบบฉีดข้อมูล: ผู้โจมตีจะข้ามผ่านกล้องไปโดยสิ้นเชิง โดยฉีดภาพเอกสารปลอมและใบหน้าสังเคราะห์เข้าไปโดยตรงในกระแสข้อมูล โดยทั่วไปจะใช้กล้องเสมือนหรือสภาพแวดล้อมเสมือน 

แม้ว่าการโจมตีแบบ presentation attack จะยังคงมีอยู่เป็นจำนวนมาก แต่รูปแบบการโจมตีเหล่านี้ได้รับการเข้าใจอย่างดี มีขอบเขตที่จำกัด และมีวิธีการตรวจจับการโจมตีแบบ presentation attack (PAD) หลายวิธีที่ได้รับการตรวจสอบแล้วว่าใช้งานได้จริง ในทางตรงกันข้าม การโจมตีแบบ injection attack ขยายตัวอย่างรวดเร็วและพัฒนาในรูปแบบที่ทำให้ระบบป้องกันเดิมไม่สามารถรับมือได้ ในปี 2026 iProov Threat Intelligence รายงานว่า การโจมตีแบบ injection attack ที่มุ่งเป้าไปที่ระบบ iOS เพิ่มขึ้นถึง 1,151% โดย iOS เป็นแพลตฟอร์มที่ก่อนหน้านี้ถูกมองว่าปลอดภัย เนื่องจากระบบนิเวศแบบปิดของ Apple

เมื่อรวมกับ deepfakes ที่สร้างขึ้นด้วย AI และข้อมูลประจำตัวที่สร้างขึ้นเทียม การโจมตีแบบ injection กำลังกลายเป็นวิธีการหลักที่ผู้โจมตีใช้เพื่อหลีกเลี่ยงระบบป้องกันการตรวจสอบตัวตน — ซึ่งส่วนใหญ่พึ่งพาหลักการ PAD ขั้นพื้นฐาน — และเปิดบัญชีปลอม ซึ่งส่งผลให้มาตรการควบคุมการป้องกันการฟอกเงิน (AML) ถูกบ่อนทำลาย

การตรวจจับการโจมตีแบบฉีดข้อมูล

โซลูชันด้านการระบุตัวตนสามารถพิสูจน์ความสามารถในการตรวจจับการโจมตีแบบฉีด (IAD) ได้ผ่านการทดสอบและการตรวจสอบความถูกต้องอย่างอิสระที่สอดคล้องกับมาตรฐาน CEN TS 18099 เป็นมาตรฐานทางเทคนิคปัจจุบันสำหรับการตรวจจับการโจมตีแบบฉีด โดยแบ่งระดับ IAD เป็น Substantial และ High ส่วน Ingenium ซึ่งเป็นห้องปฏิบัติการทดสอบ ได้กำหนดระดับ IAD เพิ่มเติมอีก 5 ระดับ โดยระดับ 2 เทียบเท่ากับระดับ High ของ CEN

แม้ AMLR RTS ยังไม่ได้กำหนดการตรวจจับการโจมตีแบบฉีดข้อมูล (injection attack detection) เป็นข้อกำหนด แต่การก้าวสู่ระบบ IAD ที่สามารถพิสูจน์ได้คือทิศทางหลักในการปฏิบัติตามมาตรฐานการยืนยันตัวตนระดับโลก NIST SP 800-63-4 ซึ่งจะมีผลบังคับใช้ในปี 2025 กำหนดอย่างชัดเจนว่าระบบการยืนยันตัวตนจากระยะไกลต้องนำมาตรการควบคุมมาใช้เพื่อป้องกันเนื้อหาที่สร้างโดย AI และการโจมตีแบบฉีดข้อมูล

ดังนั้น แม้ว่า IAD อาจยังไม่เป็นข้อกำหนดที่ระบุไว้อย่างชัดเจนในกฎระเบียบ AML แต่สถาบันการเงินสามารถเตรียมความพร้อมในการปฏิบัติตามกฎระเบียบได้ก่อนใคร โดยการร่วมมือกับผู้ให้บริการด้านข้อมูลประจำตัวที่สามารถแสดงให้เห็นถึงการปฏิบัติตามทั้ง IAD และ PAD ตามมาตรฐานที่ได้รับการยอมรับ

iProov สามารถช่วยคุณเตรียมตัวรับมือกับชุดมาตรการป้องกันการฟอกเงิน (AML) ที่จะมาในเร็วๆ นี้ได้อย่างไร

iProov ได้รับการรับรองตามมาตรฐาน eIDAS แบบโมดูลาร์ในระดับความมั่นใจสูง (iProov Dynamic Liveness) และระดับความมั่นใจพอสมควร (iProov Express Liveness) Dynamic Liveness ได้รับการตรวจสอบความถูกต้องตามมาตรฐาน Ingenium Level 4 (CEN TS 18099) ซึ่งเป็นระดับ IAD ที่ได้รับการตรวจสอบความถูกต้องอย่างอิสระสูงที่สุดจากผู้จำหน่ายเทคโนโลยีชีวมิติทั้งหมด ณ เวลาที่เขียนบทความนี้ 

จองการสาธิตเพื่อเข้าใจว่าเราสามารถช่วยคุณได้อย่างไร