หน้า ๓๔

เล่ม ๑๔๒ ตอนพิเศษ ๒๖๗ ง ราชกิจจานุเบกษา ๗ สิงหาคม ๒๕๖๘

ประกาศธนาคารแห่งประเทศไทย

ที่ ๑๙/๒๕๖๘

เรื่อง มาตรฐานและมาตรการเพื่อป้องกันอาชญากรรมทางเทคโนโลยี
สำหรับสถาบันการเงิน

๑. เหตุผลในการออกประกาศ

สืบเนื่องจากอาชญากรรมทางเทคโนโลยีส่งผลให้ประชาชนจำนวนมากได้รับความเดือดร้อน ต้องสูญเสียเงินให้กับมิจฉาชีพเป็นมูลค่าสูงมาก ภาครัฐจึงได้มีการตราพระราชกำหนดมาตรการป้องกัน และปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. ๒๕๖๖ เพื่อคุ้มครองประชาชนที่ถูกหลอกลวง ผ่านโทรศัพท์หรือวิธีการทางอิเล็กทรอนิกส์จนสูญเสียไปซึ่งทรัพย์สิน และต่อมาได้มีการปรับปรุง พระราชกำหนดดังกล่าว โดยมีการเพิ่มเติมมาตรการในการป้องกันและปราบปรามอาชญากรรม ทางเทคโนโลยีให้ครอบคลุมรูปแบบและวิธีการที่หลากหลายมากยิ่งขึ้นในการหลอกลวงประชาชน ของมิจฉาชีพ รวมทั้งกำหนดให้สถาบันการเงิน ผู้ประกอบธุรกิจ ผู้ให้บริการเครือข่ายโทรศัพท์ ผู้ให้บริการโทรคมนาคมอื่น ผู้ให้บริการอื่นที่เกี่ยวข้อง หรือผู้ให้บริการสื่อสังคมออนไลน์ มีส่วนร่วม รับผิดชอบในความเสียหายที่เกิดจากอาชญากรรมทางเทคโนโลยีให้แก่ผู้เสียหายตามสัดส่วนเท่าที่ ผู้ประกอบการดังกล่าวแต่ละรายมีส่วนเกี่ยวข้องกับสาเหตุที่ทำให้เกิดความเสียหาย เว้นแต่บุคคลดังกล่าว จะพิสูจน์ได้ว่าได้ปฏิบัติตามมาตรฐานหรือมาตรการเพื่อป้องกันอาชญากรรมทางเทคโนโลยีที่กำหนดโดย หน่วยงานกำกับดูแลที่เกี่ยวข้องแล้ว ทั้งนี้ เพื่อเป็นการผลักดันให้สถาบันการเงิน ผู้ประกอบธุรกิจ ผู้ให้บริการเครือข่ายโทรศัพท์ ผู้ให้บริการโทรคมนาคมอื่น ผู้ให้บริการอื่นที่เกี่ยวข้อง หรือผู้ให้บริการ สื่อสังคมออนไลน์ ต้องยกระดับมาตรฐานหรือมาตรการป้องกันอาชญากรรมทางเทคโนโลยี พร้อมทั้ง ดูแลรับผิดชอบการให้บริการทางเทคโนโลยีแก่ประชาชนผู้ใช้บริการตามสมควรแก่ประเภทของแต่ละธุรกิจ พระราชกำหนดดังกล่าวจึงกำหนดให้หน่วยงานกำกับดูแลกำหนดมาตรฐานและมาตรการเพื่อป้องกัน อาชญากรรมทางเทคโนโลยี

ธนาคารแห่งประเทศไทยจึงกำหนดหลักเกณฑ์เพื่อเป็นมาตรฐานและมาตรการในการป้องกัน อาชญากรรมทางเทคโนโลยีสำหรับสถาบันการเงินที่กำหนดตามพระราชกำหนดดังกล่าว ได้แก่ ธนาคารพาณิชย์ และสถาบันการเงินของรัฐที่มีกฎหมายเฉพาะจัดตั้งขึ้นตามกฎหมายว่าด้วยธุรกิจสถาบันการเงิน

๒. อำนาจตามกฎหมาย

อาศัยอำนาจตามมาตรา ๔/๑ แห่งพระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรม ทางเทคโนโลยี พ.ศ. ๒๕๖๖ และที่แก้ไขเพิ่มเติม

หน้า ๓๕

เล่ม ๑๔๒ ตอนพิเศษ ๒๖๗ ง ราชกิจจานุเบกษา ๗ สิงหาคม ๒๕๖๘

๓. ขอบเขตการบังคับใช้
ประกาศฉบับนี้ให้ใช้บังคับกับสถาบันการเงินตามกฎหมายว่าด้วยมาตรการป้องกันและปราบปราม
อาชญากรรมทางเทคโนโลยี

๔. เนื้อหา
๔.๑ คำจำกัดความ
ในประกาศฉบับนี้
“พระราชกำหนด” หมายความว่า พระราชกำหนดมาตรการป้องกันและปราบปราม
อาชญากรรมทางเทคโนโลยี พ.ศ. ๒๕๖๖ และที่แก้ไขเพิ่มเติม
“สถาบันการเงิน” หมายความว่า ธนาคารพาณิชย์และสถาบันการเงินของรัฐ
ที่มีกฎหมายเฉพาะจัดตั้งขึ้น ทั้งนี้ ตามกฎหมายว่าด้วยธุรกิจสถาบันการเงิน
“ลูกค้า” หมายความว่า บุคคลธรรมดา นิติบุคคล หรือบุคคลที่มีการตกลงกัน
ทางกฎหมาย ซึ่งสร้างความสัมพันธ์ทางธุรกิจหรือทำธุรกรรมกับสถาบันการเงิน
“บริการ Mobile Banking” หมายความว่า การให้บริการทางการเงินและการชำระเงิน
ผ่านแอปพลิเคชันของสถาบันการเงินที่มีการให้บริการแก่ผู้ใช้บริการบนอุปกรณ์เคลื่อนที่ซึ่งให้บริการ
ถอนเงิน โอนเงิน หรือการชำระค่าสินค้าและบริการ อย่างใดอย่างหนึ่ง
“ผู้ใช้บริการ” หมายความว่า บุคคลธรรมดาที่ใช้บริการทางการเงินและการชำระเงิน
ผ่านบริการ Mobile Banking บนอุปกรณ์เคลื่อนที่
“ระบบหรือกระบวนการเปิดเผยหรือแลกเปลี่ยนข้อมูล” หมายความว่า ระบบหรือ
กระบวนการเปิดเผยหรือแลกเปลี่ยนข้อมูลตามมาตรา ๔ วรรคหนึ่ง แห่งพระราชกำหนด
“ผู้ประกอบธุรกิจ” หมายความว่า ผู้ประกอบธุรกิจตามกฎหมายว่าด้วยระบบการชำระเงิน
และผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลตามกฎหมายว่าด้วยการประกอบธุรกิจสินทรัพย์ดิจิทัล
“บัญชีม้า” หมายความว่า บัญชีเงินฝากหรือบัญชีเงินอิเล็กทรอนิกส์ ซึ่งถูกนำมาใช้หรือ
อาจถูกนำมาใช้เป็นเครื่องมือในการรับเงินและถ่ายโอนเงินที่ได้มาจากอาชญากรรมทางเทคโนโลยี
“บัญชีม้าดำ” หมายความว่า บัญชีเงินฝากหรือบัญชีเงินอิเล็กทรอนิกส์ของบุคคล
ที่มีรายชื่อเป็นบุคคลที่มีความเสี่ยงสูงซึ่งควรได้รับการเฝ้าระวังอย่างใกล้ชิดตามกฎกระทรวงการตรวจสอบ
เพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า พ.ศ. ๒๕๖๓ กรณีบัญชีม้า (รหัส HR - 03 - 01 รหัส HR - 03 - 02)
ทั้งนี้ ให้หมายถึงเฉพาะรายชื่อบุคคลที่เกี่ยวข้องกับการกระทำความผิดตามกฎหมายว่าด้วยมาตรการ
ป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี
“บัญชีม้าเทาเข้ม” หมายความว่า บัญชีเงินฝากหรือบัญชีเงินอิเล็กทรอนิกส์ของบุคคล
ที่มีรายชื่อเป็นม้าเทาเข้มในระบบหรือกระบวนการเปิดเผยหรือแลกเปลี่ยนข้อมูล
“บัญชีม้าเทาอ่อน” หมายความว่า บัญชีเงินฝากหรือบัญชีเงินอิเล็กทรอนิกส์ของบุคคล
ที่มีรายชื่อเป็นม้าเทาอ่อนในระบบหรือกระบวนการเปิดเผยหรือแลกเปลี่ยนข้อมูล

หน้า ๗๖

เล่ม ๑๔๒ ตอนพิเศษ ๒๖๗ ง ราชกิจจานุเบกษา ๗ สิงหาคม ๒๕๖๘

“ช่องทางดิจิทัล” หมายความว่า การให้บริการทางอินเทอร์เน็ต (Internet Banking) และอุปกรณ์เคลื่อนที่ (Mobile Banking)

“สาขา” หมายความว่า การให้บริการที่มีสถานที่ทำการที่แน่นอนและให้บริการโดยพนักงานของสถาบันการเงิน

๔.๒ หลักเกณฑ์

สถาบันการเงินต้องถือปฏิบัติตามหลักเกณฑ์ที่กำหนดในประกาศนี้ เพื่อป้องกันอาชญากรรมทางเทคโนโลยี ซึ่งจะช่วยลดความเสียหายที่จะเกิดขึ้นกับประชาชน และรักษาความเชื่อมั่นในระบบสถาบันการเงินและระบบการชำระเงินของประเทศ โดยในกรณีที่ความเสียหายดังกล่าวเกี่ยวข้องโดยตรงกับการที่สถาบันการเงินไม่ปฏิบัติตามหลักเกณฑ์ซึ่งเป็นมาตรฐานหรือมาตรการเพื่อป้องกันอาชญากรรมทางเทคโนโลยีตามประกาศนี้ สถาบันการเงินต้องมีส่วนรับผิดชอบในความเสียหายที่เกิดจากอาชญากรรมทางเทคโนโลยีตามสัดส่วนแห่งพฤติการณ์ของสถาบันการเงิน ลูกค้า ผู้ประกอบธุรกิจ รวมทั้งบุคคลอื่น ตามที่แต่ละบุคคลจะมีส่วนเกี่ยวข้องกับสาเหตุที่ทำให้เกิดความเสียหาย

๔.๒.๑ การป้องกันการสวมรอยทำธุรกรรมแทนผู้ใช้บริการ (unauthorized payment fraud)

สถาบันการเงินต้องมีการป้องกันการสวมรอยทำธุรกรรมแทนผู้ใช้บริการและรักษาความมั่นคงปลอดภัยแอปพลิเคชันที่ให้บริการ Mobile Banking ที่มีการให้บริการแก่ลูกค้าที่เป็นบุคคลธรรมดา เพื่อป้องกันความเสี่ยงจากอาชญากรรมทางเทคโนโลยี ดังนี้

(๑) ไม่แนบลิงก์ที่เป็นเหตุให้เกิดความเสียหายแก่ผู้ใช้บริการผ่านช่องทางข้อความสั้น (SMS) ช่องทางอีเมล และช่องทางสื่อสังคมออนไลน์ (social media)

(๒) จำกัดการใช้บริการ Mobile Banking ของผู้ใช้บริการไว้เพียง ๑ บัญชีผู้ใช้งานต่อ ๑ บริการ Mobile Banking ของแต่ละสถาบันการเงิน และจำกัดการใช้บริการดังกล่าว โดยให้ใช้งานบน ๑ อุปกรณ์เคลื่อนที่ของผู้ใช้บริการเท่านั้น

(๓) จัดให้มีกระบวนการยืนยันตัวตนผู้ใช้บริการเพิ่มเติม โดยใช้เทคโนโลยีเปรียบเทียบใบหน้า (face comparison) ร่วมกับการตรวจจับการปลอมแปลงชีวมิติ (presentation attack detection) ที่สามารถป้องกันการใช้รูปภาพ วิดีโอ หรือการปลอมแปลงชีวมิติในรูปแบบต่าง ๆ ได้ เช่น การใช้เทคโนโลยี liveness detection เพื่อให้มั่นใจว่าผู้ใช้บริการเป็นผู้ทำธุรกรรมด้วยตนเอง ในกรณีที่มีการทำธุรกรรมผ่านบริการ Mobile Banking ในขั้นตอน ดังต่อไปนี้

(๓.๑) การทำธุรกรรมโอนเงินในครั้งที่มีมูลค่าตั้งแต่ ๕๐,๐๐๐ บาทขึ้นไป หรือ

(๓.๒) การทำธุรกรรมโอนเงินมูลค่ารวมกันครบทุก ๒๐๐,๐๐๐ บาท ในรอบระยะเวลา ๑ วัน หรือ

หน้า ๓๗

เล่ม ๑๔๒ ตอนพิเศษ ๒๖๗ ง ราชกิจจานุเบกษา ๗ สิงหาคม ๒๕๖๘

(๓.๓) การปรับเพิ่มวงเงินการทําธุรกรรมโอนเงินต่อวัน ให้สามารถโอนได้ ตั้งแต่ ๕๐,๐๐๐ บาทขึ้นไป

(๔) ให้ตรวจสอบการเปลี่ยนแปลงแก้ไขแอปพลิเคชันของบริการ Mobile Banking ในทันทีที่ผู้ใช้บริการเข้าใช้งานบริการดังกล่าวทุกครั้ง (anti - tampering) และไม่อนุญาตให้ผู้ใช้บริการใช้งานแอปพลิเคชันหากพบว่ามีการเปลี่ยนแปลงแก้ไขแอปพลิเคชัน

(๕) ไม่อนุญาตให้แอปพลิเคชันของบริการ Mobile Banking ทํางาน บนอุปกรณ์เคลื่อนที่ในขณะที่มีแอปพลิเคชันอื่นซึ่งมีพฤติกรรมการทํางานที่เสี่ยงจะก่อให้เกิดการสวมรอย ทําธุรกรรมแทนผู้ใช้บริการกําลังทํางาน ได้แก่ แอปพลิเคชันที่ขอสิทธิช่วยเหลือคนพิการ (accessibility services) โดยไม่จําเป็น แอปพลิเคชันที่สามารถควบคุมอุปกรณ์เคลื่อนที่จากระยะไกลได้ (remote control) แอปพลิเคชันที่มีการปิดบังหรือขโมยข้อมูลที่แสดงบนหน้าจอของผู้ใช้งาน

๔.๒.๒ การรู้จักลูกค้า (Know Your Customer: KYC) เพื่อป้องกันบัญชีม้า

สถาบันการเงินต้องมีกระบวนการรู้จักลูกค้า (Know Your Customer : KYC) เพื่อเปิดบัญชีเงินฝาก ทั้งในการแสดงตนของลูกค้า (Identification) และการพิสูจน์ตัวตนลูกค้า (Verification) เพื่อป้องกันการสวมรอยหรือขโมยข้อมูลไปใช้เปิดบัญชีม้า ดังนี้

(๑) การแสดงตนของลูกค้า (Identification)

สถาบันการเงินต้องได้รับข้อมูลและเอกสารหลักฐานการแสดงตนที่บ่งชี้ ถึงตัวลูกค้าตามประเภทของลูกค้า โดยปฏิบัติตามหลักเกณฑ์ของกฎหมายว่าด้วยการป้องกันและ ปราบปรามการฟอกเงิน ซึ่งข้อมูลและเอกสารหลักฐานการแสดงตนดังกล่าวให้หมายรวมถึงข้อมูล และเอกสารอิเล็กทรอนิกส์ตามกฎหมายว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ด้วย

(๒) การพิสูจน์ตัวตนลูกค้า (Verification)

สถาบันการเงินต้องนําข้อมูลและเอกสารหลักฐานการแสดงตนของลูกค้า ตามข้อ ๔.๒.๒ (๑) มาตรวจสอบความถูกต้อง ความแท้จริง และความเป็นปัจจุบัน รวมถึงต้องพิสูจน์ ว่าเป็นลูกค้ารายนั้นจริง โดยให้สถาบันการเงินถือปฏิบัติตามหลักเกณฑ์การพิสูจน์ตัวตนลูกค้า ดังนี้

(๒.๑) การพิสูจน์ตัวตนลูกค้าด้วยสถาบันการเงินเอง

(๒.๑.๑) การพิสูจน์ตัวตนลูกค้าแบบพบเห็นลูกค้าต่อหน้า

(Face - to - Face)

ในการพิสูจน์ตัวตนลูกค้าแบบพบเห็นลูกค้าต่อหน้า (Face - to - Face) สถาบันการเงินจะเป็นผู้ดําเนินการตรวจสอบความถูกต้อง ความแท้จริงและ ความเป็นปัจจุบันของข้อมูลและเอกสารหลักฐานการแสดงตนที่ได้รับจากการระบุตัวตนหรือการแสดงตน ของลูกค้า รวมถึงพิสูจน์ว่าเป็นลูกค้าหรือบุคคลที่ได้รับมอบอํานาจทอดสุดท้ายจากนิติบุคคล (หากมี) รายนั้นจริง โดยข้อมูลที่ใช้พิสูจน์ตัวตนลูกค้าต้องได้จากแหล่งข้อมูลที่น่าเชื่อถือ เช่น กรณีการใช้ บัตรประจําตัวประชาชนแบบอเนกประสงค์ (Smart Card) เป็นเอกสารหลักฐานการแสดงตน

หน้า ๗๘

เล่ม ๑๔๒ ตอนพิเศษ ๒๖๗ ง ราชกิจจานุเบกษา ๗ สิงหาคม ๒๕๖๘

สถาบันการเงินต้องตรวจสอบข้อมูลจากเครื่องอ่านบัตรประจำตัวประชาชนแบบอเนกประสงค์ (Smart Card Reader) และตรวจสอบสถานะของบัตรประจำตัวประชาชนผ่านระบบการตรวจสอบทางอิเล็กทรอนิกส์ ของหน่วยงานภาครัฐ นอกจากนี้ สถาบันการเงินอาจพิจารณานำเทคโนโลยีเปรียบเทียบข้อมูลชีวมิติ ของลูกค้า (Biometric Comparison) มาเพิ่มประสิทธิภาพในการพิสูจน์ตัวตนลูกค้าได้ กรณีการใช้ เอกสารหลักฐานการแสดงตนอื่น ให้ปฏิบัติตามหลักเกณฑ์ของกฎหมายว่าด้วยการป้องกันและ ปราบปรามการฟอกเงิน

(๒.๑.๒) การพิสูจน์ตัวตนลูกค้าแบบไม่พบเห็นลูกค้าต่อหน้า (Non Face - to - Face)

ในการพิสูจน์ตัวตนลูกค้าแบบไม่พบเห็นลูกค้าต่อหน้า (Non Face - to - Face) สถาบันการเงินจะต้องตรวจสอบความถูกต้อง ความแท้จริง และความเป็นปัจจุบัน ของข้อมูลและเอกสารหลักฐานการแสดงตนที่ได้จากการแสดงตนของลูกค้า รวมถึงพิสูจน์ว่าเป็นลูกค้า หรือบุคคลที่ได้รับมอบอำนาจทอดสุดท้ายจากนิติบุคคล (หากมี) รายนั้นจริง จากแหล่งข้อมูลที่น่าเชื่อถือ เช่น กรณีการใช้บัตรประจำตัวประชาชนเป็นเอกสารหลักฐานการแสดงตน สถาบันการเงินต้องตรวจสอบ ข้อมูลจากเครื่องอ่านบัตรประจำตัวประชาชนแบบอเนกประสงค์และตรวจสอบสถานะของบัตรประจำตัว ประชาชนผ่านระบบการตรวจสอบทางอิเล็กทรอนิกส์ของหน่วยงานภาครัฐ นอกจากนั้น สถาบันการเงิน ต้องถ่ายรูปลูกค้า รวมถึงต้องใช้เทคโนโลยีเพื่อพิสูจน์ความเป็นบุคคลและสังเกตพฤติกรรมลูกค้า (เช่น เทคโนโลยี Liveness Detection) และเทคโนโลยีเปรียบเทียบข้อมูลชีวมิติของลูกค้า (Biometric Comparison) เพื่อพิสูจน์ว่าเป็นลูกค้ารายนั้นจริงทดแทนการพบเห็นลูกค้าต่อหน้า

(๒.๒) การพิสูจน์ตัวตนลูกค้าด้วยระบบการพิสูจน์และยืนยันตัวตน ทางดิจิทัล

สถาบันการเงินสามารถตรวจสอบความถูกต้อง ความแท้จริง และความเป็นปัจจุบันของข้อมูลและเอกสารหลักฐานการแสดงตน รวมถึงการพิสูจน์ว่าเป็นลูกค้าหรือ บุคคลที่ได้รับมอบอำนาจทอดสุดท้ายจากนิติบุคคล (หากมี) รายนั้นจริง ผ่านระบบการพิสูจน์และ ยืนยันตัวตนทางดิจิทัล เช่น ผ่าน National Digital ID Platform (NDID Platform) หรือระบบอื่น ที่สถาบันการเงินได้หารือและเห็นร่วมกันกับ ธปท. ว่ามีมาตรฐานในการพิสูจน์ตัวตนที่ไม่ต่ำกว่าการพิสูจน์ ตัวตนลูกค้าด้วยสถาบันการเงินเองแทนการพิสูจน์ตัวตนลูกค้าหรือประกอบการพิสูจน์ตัวตนลูกค้า ตามข้อ ๔.๒.๒ (๒.๑) ข้างต้นก็ได้

๔.๒.๓ การตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า

สถาบันการเงินต้องประเมินความเสี่ยงลูกค้าและตรวจสอบเพื่อทราบข้อเท็จจริง เกี่ยวกับลูกค้าตามหลักเกณฑ์ของกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงิน ดังนี้

หน้า ๓๙

เล่ม ๑๔๒ ตอนพิเศษ ๒๖๗ ง ราชกิจจานุเบกษา ๗ สิงหาคม ๒๕๖๘

(๑) เมื่อปรากฏว่าลูกค้ารายใดเป็นเจ้าของบัญชีม้าดำ หรือบัญชีม้าเทาอ่อนซึ่งถือได้ว่าเป็นปัจจัยที่อาจทำให้เกิดความเสี่ยงสูงเกี่ยวกับตัวลูกค้า ทั้งกรณี ความสัมพันธ์ทางธุรกิจดำเนินไปอย่างผิดปกติ และกรณีลูกค้าอาจเกี่ยวข้องกับการกระทำความผิด อาชญากรรมทางเทคโนโลยี ซึ่งพฤติการณ์ของการกระทำความผิดดังกล่าวเป็นความผิดมูลฐาน ตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงิน ให้สถาบันการเงินกำหนดระดับความเสี่ยง ของลูกค้าที่เป็นเจ้าของบัญชีม้าดำ บัญชีม้าเทาเข้ม และบัญชีม้าเทาอ่อน เป็นลูกค้าที่มีความเสี่ยงด้าน การฟอกเงินในระดับความเสี่ยงสูง ทั้งนี้ เพื่อเป็นการป้องกันอาชญากรรมทางเทคโนโลยี

(๒) การตรวจสอบเพื่อทราบข้อเท็จจริงของลูกค้าที่มีความเสี่ยงสูงข้างต้น ในระดับเข้มข้นตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงิน ให้สถาบันการเงินหาข้อมูล จากแหล่งข้อมูลที่น่าเชื่อถือหรือขอข้อมูลเพิ่มเติมจากลูกค้าเกี่ยวกับแหล่งที่มาของเงินหรือทรัพย์สิน แหล่งที่มาของฐานะความมั่นคง หรือวัตถุประสงค์ในการทำธุรกรรมแต่ละครั้ง รวมถึงข้อมูลเกี่ยวกับ การประกอบกิจการของลูกค้า อาชีพ ชื่อและสถานที่ตั้งของที่ทำงาน หรือลายมือชื่อของผู้ทำธุรกรรม

(๓) ในกรณีที่สถาบันการเงินไม่สามารถตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับ ลูกค้าตามข้อ ๔.๒.๓ (๒) ข้างต้นได้ ให้สถาบันการเงินดำเนินการตามกฎหมายว่าด้วยการป้องกัน และปราบปรามการฟอกเงิน กล่าวคือ ปฏิเสธการสร้างความสัมพันธ์ทางธุรกิจ ไม่ทำธุรกรรม ยุติความสัมพันธ์ทางธุรกิจ หรือไม่ทำธุรกรรมเป็นครั้งคราวกับลูกค้าดังกล่าว โดยในการดำเนินการข้างต้น ให้สถาบันการเงินพิจารณาดำเนินการในแนวทางที่เป็นประโยชน์ในการป้องกันและปราบปรามอาชญากรรม ทางเทคโนโลยี และต้องไม่เป็นไปในแนวทางสนับสนุนหรือเป็นประโยชน์ต่อการก่ออาชญากรรม ทางเทคโนโลยี ทั้งนี้ การดำเนินการดังกล่าวให้มีรายละเอียดที่แตกต่างกันตามประเภทของบัญชีม้าดำ บัญชีม้าเทาเข้ม และบัญชีม้าเทาอ่อนตามที่กำหนดในข้อ ๔.๒.๔ (๔)

๔.๒.๔ การจำกัดความเสียหายและการจัดการบัญชีม้า

สถาบันการเงินต้องดำเนินการจำกัดความเสียหายและจัดการบัญชีม้า ดังนี้

(๑) จัดให้มีการแจ้งเตือนลูกค้าที่เป็นบุคคลธรรมดาผ่านช่องทางใดช่องทางหนึ่ง ทันทีเมื่อมีเงินออกจากบัญชีเงินฝากจากการทำธุรกรรมผ่านช่องทางดิจิทัล โดยไม่เรียกเก็บค่าใช้จ่าย เช่น การแจ้งเตือนผ่านบริการ Mobile Banking (In - App Notifications) บัญชีทางการบนแพลตฟอร์ม ส่งข้อความ (เช่น LINE Official Account) ข้อความสั้น (SMS) อีเมล

(๒) ให้สถาบันการเงินระงับการทำธุรกรรม ยกเลิกการระงับการทำธุรกรรม แจ้งสถาบันการเงินหรือผู้ประกอบธุรกิจที่รับโอนถัดไป รวมทั้งนำข้อมูลเข้าสู่ระบบหรือกระบวนการ เปิดเผยหรือแลกเปลี่ยนข้อมูล ตามข้อปฏิบัติที่ศูนย์ปฏิบัติการเพื่อป้องกันและปราบปรามอาชญากรรม ทางเทคโนโลยี (ศปอท.) กำหนด

หน้า ๘๐

เล่ม ๑๔๒ ตอนพิเศษ ๒๖๗ ง ราชกิจจานุเบกษา ๗ สิงหาคม ๒๕๖๘

(๓) กรณีได้รับแจ้งรายชื่อบุคคลที่เกี่ยวข้องกับการกระทำความผิดอาชญากรรมทางเทคโนโลยีตามประกาศในมาตรา ๘/๕ (๖) แห่งพระราชกำหนด จากศูนย์ปฏิบัติการเพื่อป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี (ศปอท.) ให้สถาบันการเงินดำเนินการตามมาตรา ๔/๒ แห่งพระราชกำหนด โดยในการดำเนินการตามมาตรา ๔/๒ ข้างต้น ให้สถาบันการเงินพิจารณาดำเนินการในแนวทางที่เป็นประโยชน์ในการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี และต้องไม่เป็นไปในแนวทางสนับสนุนหรือเป็นประโยชน์ต่อการก่ออาชญากรรมทางเทคโนโลยี และหากศูนย์ปฏิบัติการเพื่อป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี (ศปอท.) กำหนดข้อปฏิบัติเกี่ยวกับมาตรา ๔/๒ แห่งพระราชกำหนดให้สถาบันการเงินปฏิบัติตามข้อปฏิบัติของศูนย์ปฏิบัติการเพื่อป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี (ศปอท.) นั้น

(๔) เมื่อสถาบันการเงินได้ปรับระดับความเสี่ยงลูกค้าเป็นลูกค้าที่มีความเสี่ยงสูงตามข้อ ๔.๒.๓ แล้ว ให้สถาบันการเงินดำเนินการตามประเภทของบัญชีม้า ดังนี้

(๔.๑) บัญชีม้าต่ำ

(๔.๑.๑) ไม่ทำธุรกรรมกับลูกค้า โดยระงับการทำธุรกรรมทั้งไม่ให้เงินเข้าและออกจากบัญชีเงินฝากทุกบัญชีของลูกค้านั้นทุกช่องทางให้บริการ เว้นแต่บัญชีที่สถาบันการเงินได้ดำเนินการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าที่มีความเสี่ยงสูงในระดับเข้มข้น (Enhanced Customer Due Diligence: EDD) โดยให้ถือว่าเอกสารจากกองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (สอท.) เป็นข้อมูลและหลักฐานสำคัญที่บ่งชี้ได้ว่าเป็นบัญชีที่ลูกค้าสามารถใช้เป็นบัญชีเพื่อการดำรงชีพ สถาบันการเงินจึงทำธุรกรรมกับลูกค้าเฉพาะบัญชีนั้นได้

(๔.๑.๒) ปฏิเสธการเปิดบัญชีเงินฝากให้กับลูกค้านั้น เว้นแต่สถาบันการเงินจะได้ดำเนินการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าที่มีความเสี่ยงสูงในระดับเข้มข้น (Enhanced Customer Due Diligence: EDD) โดยให้ถือว่าเอกสารจากกองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (สอท.) เป็นข้อมูลและหลักฐานสำคัญที่บ่งชี้ได้ว่าให้เปิดบัญชีเงินฝากเพื่อการดำรงชีพได้

ทั้งนี้ หากสำนักงานป้องกันและปราบปรามการฟอกเงินเพิกถอนรายชื่อลูกค้ารายใดออกจากรายชื่อบุคคลที่มีความเสี่ยงสูงซึ่งควรได้รับการเฝ้าระวังอย่างใกล้ชิดตามกฎกระทรวงการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า พ.ศ. ๒๕๖๓ ให้สถาบันการเงินสามารถทำธุรกรรมและเปิดบัญชีกับลูกค้ารายดังกล่าวได้

(๔.๒) บัญชีม้าเทาเข้ม

(๔.๒.๑) ไม่ทำธุรกรรมกับลูกค้า โดยระงับการทำธุรกรรมทั้งไม่ให้เงินเข้าและออกจากบัญชีเงินฝากทุกบัญชีของลูกค้านั้นทุกช่องทางให้บริการ เว้นแต่บัญชีที่สถาบันการเงินได้ดำเนินการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าที่มีความเสี่ยงสูงในระดับเข้มข้น (Enhanced Customer Due Diligence: EDD) โดยให้ถือว่าเอกสารจากกองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (สอท.) เป็นข้อมูลและหลักฐานสำคัญที่บ่งชี้ได้ว่าเป็นบัญชีที่ลูกค้าสามารถใช้เป็นบัญชีเพื่อการดำรงชีพ สถาบันการเงินจึงทำธุรกรรมกับลูกค้าเฉพาะบัญชีนั้นได้

หน้า ๘๑

เล่ม ๑๔๒ ตอนพิเศษ ๒๖๗ ง ราชกิจจานุเบกษา ๗ สิงหาคม ๒๕๖๘

(๔.๒.๒) ปฏิเสธการเปิดบัญชีเงินฝากให้กับลูกค้านั้น เว้นแต่สถาบันการเงินจะได้ดำเนินการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าที่มีความเสี่ยงสูงในระดับชั้นขั้น (Enhanced Customer Due Diligence: EDD) โดยให้ถือว่าเอกสารจากกองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (สอท.) เป็นข้อมูลและหลักฐานสำคัญที่บ่งชี้ได้ว่าให้เปิดบัญชีเงินฝากเพื่อการดำรงชีพได้

ทั้งนี้ ให้ดำเนินการจนกว่าจะปลดรายชื่อลูกค้าจากระบบหรือกระบวนการเปิดเผยหรือแลกเปลี่ยนข้อมูล

(๔.๓) บัญชีมีาเทาอ่อน

(๔.๓.๑) ไม่ทำธุรกรรมกับลูกค้า โดยระงับการทำธุรกรรมทั้งนี้ไม่ให้เงินเข้าและออกจากบัญชีเงินฝากทุกบัญชีของลูกค้านั้นทุกช่องทางให้บริการ เว้นแต่บัญชีที่สถาบันการเงินได้ดำเนินการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าที่มีความเสี่ยงสูงในระดับชั้นขั้น (Enhanced Customer Due Diligence: EDD) ตามข้อ ๔.๒.๓ (๒) แบบพบหน้าลูกค้าที่สาขาของสถาบันการเงินแล้วพบว่ามีข้อมูลและหลักฐานที่สามารถชี้แจงได้ว่าบัญชีใดไม่เกี่ยวข้องกับอาชญากรรมทางเทคโนโลยี สถาบันการเงินจึงทำธุรกรรมกับลูกค้าเฉพาะบัญชีนั้นได้

(๔.๓.๒) ปฏิเสธการเปิดบัญชีเงินฝากให้กับลูกค้านั้น เว้นแต่สถาบันการเงินจะได้ดำเนินการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าที่มีความเสี่ยงสูงในระดับชั้นขั้น (Enhanced Customer Due Diligence: EDD) ตามข้อ ๔.๒.๓ (๒) แบบพบหน้าลูกค้าที่สาขาของสถาบันการเงินแล้วพบว่ามีข้อมูลและหลักฐานที่สามารถชี้แจงได้ว่าลูกค้านั้นไม่เกี่ยวข้องกับอาชญากรรมทางเทคโนโลยี

ทั้งนี้ ให้ดำเนินการจนกว่าจะปลดรายชื่อลูกค้าจากระบบหรือกระบวนการเปิดเผยหรือแลกเปลี่ยนข้อมูล

หากบุคคลที่เป็นเจ้าของบัญชีมีาต่ำ บัญชีมีาเทาขั้ม และบัญชีมีาเทาอ่อน รายใดได้รับการประกาศรายชื่อโดยศูนย์ปฏิบัติการเพื่อป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี (ศปอท.) ว่าเป็นบุคคลที่เกี่ยวข้องกับการกระทำความผิดอาชญากรรมทางเทคโนโลยีตามมาตรา ๘/๕ (๖) ให้สถาบันการเงินดำเนินการตามข้อ ๔.๒.๔ (๓) แทนการดำเนินการตามข้อ ๔.๒.๔ (๔) ตามแต่กรณี

๔.๒.๕ กระบวนการรับแจ้งเหตุที่เกี่ยวข้องกับอาชญากรรมทางเทคโนโลยี

สถาบันการเงินต้องจัดให้มีช่องทางติดต่อเร่งด่วน (hotline) ทางโทรศัพท์หรือวิธีการทางอิเล็กทรอนิกส์ที่ลูกค้าสามารถติดต่อเจ้าหน้าที่ของสถาบันการเงินเพื่อแจ้งเหตุที่เกี่ยวข้องกับอาชญากรรมทางเทคโนโลยีได้ทั้งในและนอกเวลาทำการ

หน้า ๘๒
เล่ม ๑๔๒ ตอนพิเศษ ๒๖๗ ง ราชกิจจานุเบกษา ๗ สิงหาคม ๒๕๖๘

๕. วันเริ่มต้นบังคับใช้
ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ประกาศ ณ วันที่ ๒๕ กรกฎาคม พ.ศ. ๒๕๖๘
เศรษฐพุฒิ สุทธิวาทนฤพุฒิ
ผู้ว่าการ
ธนาคารแห่งประเทศไทย