ธุรกิจบริการจะจัดเก็บ ส่งและตรวจทานการชําระเงินอย่างต่อเนื่อง และธุรกรรมทุกรายการเหล่านี้ก็อาจเป็นเป้าหมายของการฉ้อโกง โรงแรมจะเก็บข้อมูลบัตรของลูกค้าไว้ในระบบเพื่ออัปเกรดห้อง ชำระค่ามินิบาร์ และการเช็คเอาต์ล่าช้า ขณะที่ร้านอาหารต้องจัดการกับการรูดบัตรหลายพันรายการต่อวัน โดยมักใช้เทอร์มินัลที่เชื่อมต่อในหลายตําแหน่งที่ตั้ง ขณะที่สปาและรีสอร์ทได้รับเงินมัดจำล่วงหน้าหลายเดือน ธุรกรรมเหล่านี้สร้างโอกาสให้มิจฉาชีพขโมยรายละเอียดของบัตร ดักจับธุรกรรม หรือใช้จุดอ่อนในระบบการจองของธุรกิจ

เมื่อมีการละเมิดเกิดขึ้น จะทําให้เกิดค่าใช้จ่ายสําหรับธุรกิจ สร้างปัญหาด้านการปฏิบัติตามข้อกําหนด รวมทั้งทําลายภาพลักษณ์ของแบรนด์และความภักดีของลูกค้า ตัวอย่างเช่น บริษัทด้านบริการในสหรัฐฯ ตกลงที่จะชําระเงิน 52 ล้านดอลลาร์สหรัฐในปี 2024 หลังเกิดเหตุการณ์การละเมิดข้อมูลซึ่งส่งผลกระทบต่อลูกค้ากว่า 300 ล้านรายทั่วโลก

ด้านล่างนี้ เราจะอธิบายความเสี่ยงที่ธุรกิจบริการต้องเผชิญ และวิธีการจัดการก่อนที่จะกลายเป็นปัญหา รวมถึงวิธีล็อกข้อมูลการชำระเงินโดยไม่ทำให้ประสบการณ์ของลูกค้าล่าช้าลง

บทความนี้ให้ข้อมูลอะไรบ้าง

• ทําไมระบบรักษาความปลอดภัยด้านการชําระเงินจึงสําคัญต่ออุตสาหกรรมการบริการ
  
• อันตรายที่สำคัญที่สุดต่อข้อมูลการชําระเงินในธุรกิจบริการคืออะไร
  
• ธุรกิจบริการจะรักษาระบบการชําระเงินให้ปลอดภัยได้อย่างไร
  

ทําไมระบบรักษาความปลอดภัยด้านการชําระเงินจึงสําคัญต่ออุตสาหกรรมการบริการ

อุตสาหกรรมการบริการต้องเผชิญกับความท้าทายเฉพาะตัวเกี่ยวกับความปลอดภัยของการชําระเงิน ธุรกรรมทุกรายการเป็นส่วนหนึ่งของประสบการณ์ของผู้ใช้ ตั้งแต่การจองห้องพักไปจนถึงการเปิดแท็บบาร์ ไปจนถึงการเช็คเอาต์จากรีสอร์ท ในธุรกิจค้าปลีกหรืออีคอมเมิร์ซ การชําระเงินด้านการบริการมักจะผูกกับการเข้าพักระยะยาว ธุรกรรมที่มีมูลค่าสูง และข้อมูลส่วนบุคคลประเภทต่างๆ

ต่อไปนี้คือสิ่งที่ทำให้การรักษาความปลอดภัยในการชำระเงินเป็นเรื่องสำคัญอย่างยิ่งสำหรับธุรกิจบริการ

กรอบเวลาการชําระเงินที่นานขึ้น

เมื่อลูกค้าชําระเงินในโรงแรม บัตรของลูกค้าจะคงอยู่ในระบบนานหลายวัน (หรือนานกว่านั้น) ซึ่งพบไม่บ่อยในอุตสาหกรรมอื่นๆ ซึ่งนำไปสู่กรอบเวลาที่ยาวนานขึ้นที่อาจเกิดการละเมิด

ข้อมูลการชําระเงินได้รับการจัดเก็บไว้ในหลายช่องทาง

โรงแรมและรีสอร์ทยอมรับการชำระเงินด้วยบัตรที่แผนกต้อนรับ และยังรับเงินมัดจำทางออนไลน์ ประมวลผลค่าใช้จ่ายอื่นๆ ระหว่างการเข้าพัก ชำระค่าใช้จ่ายผ่านแอป และจัดการโปรแกรมสะสมคะแนนที่จัดเก็บข้อมูลบัตร ช่องทางการชําระเงินเพิ่มเติมแต่ละช่องทางอาจเพิ่มความเสี่ยงต่อการโจมตีได้

ธุรกรรมที่มีมูลค่าสูงสร้างเป้าหมายที่ใหญ่ขึ้น

ร้านอาหารฟาสต์ฟู้ดที่ประมวลผลคําสั่งซื้อมูลค่า 10 ดอลลาร์สหรัฐมักไม่ดึงดูดการฉ้อโกงเท่ากับการสํารองห้องพักที่หรูหราซึ่งประมวลผลการชําระเงินถึง 5,000 ดอลลาร์สหรัฐ อาชญากรทางไซเบอร์มักไปทุกที่ที่มีเงิน และธุรกิจบริการ โดยเฉพาะธุรกิจที่ต้องจัดการการจองห้องพักระดับพรีเมียม บัญชีขององค์กร หรือการเข้าพักระยะยาว ถือเป็นเป้าหมายที่ล้ำค่า การละเมิดเพียงครั้งเดียวอาจเปิดเผยข้อมูลการชําระเงินจํานวนมากได้ในคราวเดียว บางครั้งอาจเกิดขึ้นในหลายตําแหน่ง หากระบบไม่ได้แบ่งส่วนอย่างถูกต้อง

อาชญากรรมอาจมุ่งเป้าหมายข้อมูลส่วนตัวด้วย

การรักษาความปลอดภัยการชำระเงินในอุตสาหกรรมบริการไม่ได้จำกัดอยู่แค่การปกป้องหมายเลขบัตรเท่านั้น ซึ่งรวมถึงการปกป้องโปรไฟล์ของแขกทั้งหมด อาทิ ชื่อ อีเมล หมายเลขโทรศัพท์ ที่อยู่บ้าน รายละเอียดหนังสือเดินทาง และบางครั้งอาจรวมถึงพฤติกรรมการเดินทางด้วย ข้อมูลส่วนบุคคลประเภทนี้ถือเป็นเหมืองทองสําหรับการขโมยตัวตน แม้ว่าผู้โจมตีจะไม่สามารถใช้หมายเลขบัตรเครดิตที่ถูกขโมยไปได้ แต่พวกเขาก็ยังสามารถขายข้อมูลส่วนตัวของแขกเพื่อทำการหลอกลวงหรือฟิชชิ่งได้

ความเสียหายต่อชื่อเสียงซึ่งยากที่จะแก้ไข

ธุรกิจบริการสร้างขึ้นบนพื้นฐานของความไว้วางใจ การเข้าพักในโรงแรมหรือรีสอร์ทและการพูดคุยกับพนักงานโดยตรงจะช่วยสร้างประสบการณ์ที่เป็นส่วนตัวให้กับลูกค้ามากกว่าการซื้อของทางออนไลน์ การละเมิดอาจทำให้ลูกค้าสูญเสียความมั่นใจในรูปแบบที่ส่วนลดและแคมเปญประชาสัมพันธ์ก็ไม่สามารถแก้ไขได้เสมอไป

อันตรายที่สำคัญที่สุดต่อข้อมูลการชําระเงินในธุรกิจบริการคืออะไร

ธุรกิจบริการต้องอาศัยการโต้ตอบระหว่างมนุษย์ เทคโนโลยีรุ่นเก่า และระยะเวลาการชำระเงินที่ยาวนาน ซึ่งต่างจากอีคอมเมิร์ซที่การชำระเงินส่วนใหญ่จะทำทางออนไลน์และอัตโนมัติ องค์ประกอบเหล่านี้สร้างช่องโหว่ที่อาชญากรจะฉกฉวยประโยชน์ได้ นี่คือกลยุทธ์ที่อาชญากรไซเบอร์ใช้มากที่สุดในการเข้าถึงธุรกิจบริการ

การละเมิดระบบการจองของบุคคลที่สาม

แม้ว่าโรงแรมจะล็อกระบบการชำระเงินของตัวเอง แต่ระบบมักจะเชื่อมต่อกับแพลตฟอร์มของบุคคลที่สามสำหรับการจอง บริการสปา การรับประทานอาหาร หรือคำขอใช้บริการเจ้าหน้าที่อำนวยความสะดวก การผสานการทํางานทุกอย่างอาจกลายเป็นจุดอ่อน ผู้โจมตีอาจพบว่าจุดเข้าถึงที่ง่ายที่สุดคือผู้จำหน่ายรายเล็กที่ถูกมองข้ามและมีการรักษาความปลอดภัยที่น้อยกว่า

การบงการพนักงาน

ธุรกิจบริการมีอัตราการลาออกของพนักงานสูง การจัดหาพนักงานตามฤดูกาล และพนักงานที่อาจได้รับการฝึกอบรมเกี่ยวกับการบริการลูกค้ามากกว่าการรักษาความปลอดภัย อาชญากรรมไซเบอร์สามารถใช้ประโยชน์จากปัญหานี้ผ่านวิศวกรรมทางสังคมได้ เช่น การแอบอ้างเป็นผู้จัดการโรงแรม ฝ่ายสนับสนุนด้านไอที หรือแม้แต่แขกเพื่อหลอกพนักงานให้ส่งข้อมูลประจำตัวในการเข้าสู่ระบบ หรือหลีกเลี่ยงโปรโตคอลความปลอดภัย

การฉ้อโกงโดยบุคคลภายใน

ในร้านอาหาร บาร์ และโรงแรม พนักงานอาจสามารถเข้าถึงเครื่องชำระเงินได้โดยตรง นั่นหมายความว่าบุคคลภายในที่มีเจตนาไม่ดีสามารถเข้าถึงข้อมูลการชำระเงินของลูกค้าได้ และดำเนินการฉ้อโกงที่ร้ายแรงกว่า โดยขโมยข้อมูลของลูกค้าหลายพันรายในคราวเดียว

การโจมตีระบบบันทึกการขาย (POS)

ธุรกิจบริการหลายแห่งอาศัยระบบ POS ที่เชื่อมต่อกันในหลายสถานที่ หากมัลแวร์ติดไวรัสในเครื่องหนึ่งเครื่อง ก็สามารถแพร่กระจายไปยังระบบ POS อื่นๆ บนเครือข่ายได้อย่างรวดเร็ว การโจมตีเหล่านี้มีความอันตรายเป็นพิเศษ เนื่องจากไม่ได้แค่ขโมยข้อมูลในที่เดียวเท่านั้น แต่ยังเปลี่ยนจุดชำระเงินทุกจุดให้กลายเป็นแหล่งรั่วไหลได้อีกด้วย ตัวอย่างเช่น ในปี 2015 บริษัทที่ให้บริการในสหรัฐอเมริกาพบว่าระบบติดมัลแวร์ที่ขโมยข้อมูลบัตรเครดิตซึ่งอาจส่งผลกระทบต่อโรงแรมหลายร้อยแห่ง

ธุรกิจบริการจะรักษาระบบการชําระเงินให้ปลอดภัยได้อย่างไร

คำแนะนำทั่วไปสำหรับการปรับปรุงความปลอดภัยในการชำระเงิน เช่น การเข้ารหัสธุรกรรมหรือการรักษามาตรฐานความปลอดภัยข้อมูลอุตสาหกรรมบัตรชำระเงิน (PCI DSS) ถือเป็นสิ่งสำคัญ แต่สำหรับธุรกิจบริการนั้นยังไม่เพียงพอ โรงแรมหรือร้านอาหารที่ปฏิบัติตามรายการตรวจสอบเพียงอย่างเดียวยังคงมีความเสี่ยง การรักษาความปลอดภัยที่แท้จริงหมายถึงการออกแบบการชำระเงินเพื่อลดความเสี่ยงและจุดอ่อน และเพื่อทำให้การกระทำของอาชญากรยากขึ้น โดยไม่รบกวนประสบการณ์ของลูกค้าหรือลดความสะดวกสบาย

ต่อไปนี้คือแนวทางการปฏิบัติ

ซ่อนข้อมูลการชําระเงินก่อนที่อาชญากรจะขโมยข้อมูลได้

การแปลงเป็นโทเค็นจะทนที่รายละเอียดการชําระเงินที่ละเอียดอ่อนด้วยสตริงแบบสุ่มของอักขระที่เรียกว่า "โทเค็น" หากผู้โจมตีละเมิดระบบของคุณ ก็จะไม่พบหมายเลขบัตรเครดิต แต่เห็นเพียงโทเค็นที่ไร้ประโยชน์ การแปลงเป็นโทเค็นช่วยให้มั่นใจได้ว่าแม้ว่าอาชญากรจะบุกรุกเข้ามา แต่ก็ไม่มีอะไรมีค่าที่พวกเขาสามารถขโมยไปได้ ดังนั้นโปรดใช้ผู้ให้บริการชําระเงินที่มีฟีเจอร์แปลงเป็นโทเค็นในตัว

จํากัดผู้ที่ (และสิ่งที่) เข้าถึงข้อมูลการชําระเงิน

การละเมิดจํานวนมากเกิดขึ้นเนื่องจากผู้โจมตีค้นพบจุดอ่อนที่อยู่นอกเหนือจากระบบประมวลผลการชําระเงินหลัก ซึ่งอาจเป็นการเข้าสู่ระบบของพนักงานที่ไม่มีการป้องกัน การผสานการทํางานแบบเก่า หรือผู้ให้บริการที่เป็นบริษัทอื่นซึ่งมีระบบรักษาความปลอดภัยที่มีปัญหา ธุรกิจบริการสามารถลดความเสี่ยงได้ดังนี้

• จํากัดสิทธิ์เพื่อให้เฉพาะสิ่งที่แต่ละบทบาทต้องการจริงๆ เท่านั้น

• ไม่อนุญาตให้ระบบ POS แชร์เครือข่ายกับ Wi-Fi ของผู้ใช้ที่ไม่ได้เข้าสู่ระบบบัญชี

• ไม่จัดเก็บข้อมูลการชําระเงินไว้ในระบบเดียวกันกับข้อมูลโปรแกรมสมาชิกของลูกค้า

• ตรวจสอบมาตรการรักษาความปลอดภัยของผู้ให้บริการบุคคลที่สาม

ออกแบบระบบอัจฉริยะเพื่อป้องกันข้อผิดพลาดของพนักงาน

ไม่ว่าจะเป็นการคลิกอีเมลฟิชชิ่งหรือตกเป็นเหยื่อโทรศัพท์จากแฮ็กเกอร์ที่แอบอ้างตัวเป็นฝ่ายสนับสนุนไอที บางครั้งข้อผิดพลาดของมนุษย์ก็เป็นวิธีที่ง่ายที่สุดสำหรับผู้โจมตี แทนที่จะฝึกอบรมพนักงานให้มีความระมัดระวังมากขึ้นเท่านั้น ควรออกแบบระบบที่ทำให้มีโอกาสเกิดข้อผิดพลาดน้อยลงตั้งแต่แรก:

• ใช้การตรวจสอบสิทธิ์แบบ 2 ปัจจัย (2FA) เพื่อเข้าสู่ระบบการชําระเงิน แม้รหัสผ่านของพนักงานจะถูกขโมย แต่ 2FA จะบล็อกการเข้าถึง

• จํากัดการเข้าถึงอีเมลในระบบ POS หากคอมพิวเตอร์ที่แผนกต้อนรับหรือเทอร์มินัลของร้านอาหารไม่สามารถตรวจสอบอีเมลได้ ฟิชชิ่งก็จะไม่ใช่ปัญหาอีกต่อไป

แทนที่ฮาร์ดแวร์ที่ไม่ล้าสมัยก่อนที่จะอาชญากรจะฉกฉวยประโยชน์

ในธุรกิจบริการ ฮาร์ดแวร์ก็เปราะบางเหมือนซอฟต์แวร์ โรงแรมและภัตตาคารต่างก็ใช้เทอร์มินัล POS, เครื่องอ่านบัตร และระบบการ์ดคีย์ ซึ่งทั้งหมดนี้ต้องมีการอัปเดตอย่างต่อเนื่อง ฮาร์ดแวร์ที่ล้าสมัยทำให้ผู้โจมตีสามารถขโมยข้อมูลบัตร ติดตั้งมัลแวร์ หรือเจาะการเข้ารหัสที่อ่อนแอได้ง่ายขึ้น ต่อไปนี้คือข้อควรพิจารณา

• อัปเกรดเทอร์มินัล POS ให้เป็นแบบโมเดลที่รองรับการเข้ารหัสจากปลายทาง (E2EE) และ EMV (บัตรแบบมีชิป)

• เปลี่ยนเครื่องอ่านบัตรหรือคีออสก์ที่ไม่ได้รับการอัปเดตเฟิร์มแวร์ล่าสุด

• รับ Tap to Pay และการชําระเงินผ่านอุปกรณ์เคลื่อนที่ (เช่น กระเป๋าเงินดิจิทัล) เพื่อลดการพึ่งพาบัตรใบจริง ซึ่งมีความเสี่ยงต่อการละเมิดมากกว่า