ภัยไซเบอร์จาก AI ธนาคารใหญ่ยุโรปถูก ECB ขอแผนรับมือส่งผู้กำกับ

ECB บอกว่าความเสี่ยงที่เกิดขึ้นไม่ใช่ความเสี่ยงใหม่ทั้งหมด แต่ขยายความเร็วและขนาดของความเสี่ยงเดิมอย่างมาก ความรับผิดชอบหลักจึงอยู่ที่คณะกรรมการบริหารของธนาคาร ซึ่งอาจต้องทบทวนการลงทุนด้านไอที การจัดสรรทรัพยากร และเกณฑ์ความเสี่ยงที่ยอมรับได้ ECB ยังย้ำให้ธนาคารรีบแก้ข้อบกพร่องที่ผู้กำกับเคยพบจากการตรวจในสถานที่ การตรวจเฉพาะเรื่อง และการทดสอบภาวะวิกฤตด้านไซเบอร์ปี 2024 เพราะจุดอ่อนที่ค้างอยู่อาจร้ายแรงขึ้นเมื่อภัยเร็วขึ้น

สิ่งที่ธนาคารต้องส่งคือแผนปฏิบัติการที่ระบุมาตรการ ทรัพยากร ผู้รับผิดชอบ และกรอบเวลา ส่งให้ทีมกำกับดูแลร่วม (Joint Supervisory Team) ของตนเอง แผนนี้ต้องต่อยอดจากกลยุทธ์ความเสี่ยงไซเบอร์ที่ธนาคารมีอยู่ และครอบคลุมทั้งเรื่องเร่งด่วนและเรื่องระยะยาว ในระยะสั้นจดหมายให้เน้น 3 เรื่อง

• เร่งการบริหารช่องโหว่และการอัปเดตแพตช์ให้ทำได้ในปริมาณมาก
• เพิ่มการเฝ้าระวัง ตรวจจับ และใช้ AI ช่วยป้องกัน
• ตรวจว่าการบริหารความเสี่ยงจากผู้ให้บริการภายนอกยังเพียงพอ

ECB ระบุว่าควรให้ความสำคัญกับระบบที่เชื่อมออกอินเทอร์เน็ตและทรัพย์สินไอทีที่เปิดสู่ภายนอกก่อน รวมถึงซอฟต์แวร์ของบุคคลที่สามและส่วนประกอบโอเพนซอร์ส ส่วนมาตรการเชิงโครงสร้างระยะยาว ได้แก่ การป้องกันหลายชั้นและสุขอนามัยไซเบอร์ การปรับปรุงระบบเก่าที่หมดอายุการสนับสนุน และการพัฒนากลไกตอบสนองและฟื้นตัว ซึ่งรวมถึงการบริหารภาวะวิกฤตและการแบ่งปันข้อมูล

หลังรับแผนแล้ว ทีมกำกับดูแลจะคุยกับธนาคารและติดตามความคืบหน้ารายแห่ง ขณะที่ ECB จะวิเคราะห์แผนทั้งหมดในภาพรวมเพื่อหาแนวโน้มและจุดที่ต้องปรับปรุง แล้วแจ้งข้อสรุปให้ธนาคารทราบ

ECB ยังขยายเวลาเก็บแบบสอบถามความเสี่ยงด้านไอที (IT Risk Questionnaire) ประจำปี เป็นตั้งแต่ ก.ย. 2569 จนถึง ก.พ. 2570 และจะพิจารณาปรับงานตรวจอื่นเป็นรายกรณี เช่น งานแก้ไขข้อเสนอแนะเดิมที่ไม่เกี่ยวกับเรื่องหลักแต่ต้องใช้แรงของฝ่ายไอทีมาก เพื่อให้ธนาคารมีแรงไปทุ่มกับเรื่องนี้

จดหมายระบุด้วยว่าคณะกรรมการความเสี่ยงเชิงระบบแห่งยุโรป (European Systemic Risk Board: ESRB) เผยแพร่คำเตือนเรื่องความเสี่ยงไซเบอร์เชิงระบบจากโมเดล AI ระดับแถวหน้าในวันเดียวกัน และ ECB ทำงานร่วมกับเวทีระหว่างประเทศ เช่น G7 คณะกรรมการบาเซิลว่าด้วยการกำกับดูแลธนาคาร และคณะกรรมการเสถียรภาพทางการเงิน (Financial Stability Board) ท้ายจดหมายบอกว่า ECB จะส่งจดหมายอีกฉบับเรื่องความเสี่ยงจากคอมพิวเตอร์ควอนตัมต่อการเข้ารหัสแบบเดิม โดยการเปลี่ยนไปใช้การเข้ารหัสที่ทนควอนตัมอาจใช้เวลานานกว่า แต่ต้องเริ่มตั้งแต่ตอนนี้

เอลเดอร์สันเตือนว่า AI รุ่นใหม่เปลี่ยนโครงสร้างความเสี่ยง

ในงาน Goldman Sachs European Financials Conference 2026 เอลเดอร์สันเรียกร้องให้ธนาคารในยุโรปยกระดับความยืดหยุ่นเชิงปฏิบัติการ (operational resilience) คือความสามารถในการรักษาบริการสำคัญให้เดินต่อได้แม้ถูกกดดันหนัก

ข้อมูลของ ECB ระบุว่าธนาคารขนาดใหญ่ภายใต้การกำกับในยุโรปมากกว่า 85% ใช้ AI แล้ว เอลเดอร์สันยอมรับว่า AI ช่วยงานปฏิบัติการและการบริหารความเสี่ยงได้ แต่ก็เพิ่มขีดความสามารถของผู้ไม่หวังดีด้วย เขาอ้างถึงโมเดล AI ขั้นสูงที่เรียกว่า Mythos ว่าไม่ใช่การพัฒนาทีละขั้นตามปกติ แต่เป็นการเปลี่ยนโครงสร้างของความเสี่ยงไซเบอร์ เพราะมีความสามารถ 3 ด้านที่เหนือเครื่องมือเดิม

ด้านแรกคือค้นพบและใช้ช่องโหว่ได้เร็วและมากกว่าเดิม ด้านที่สองคือนำช่องโหว่เล็กๆ มาต่อกันเป็นการโจมตีร้ายแรง ด้านที่สามคือถอดแพตช์แก้ไขย้อนกลับมาเป็นโปรแกรมโจมตีได้อย่างรวดเร็ว ผลคือต้นทุนของการโจมตีอาจลดลงมาก ส่วนเวลาที่ฝ่ายป้องกันมีก็สั้นลง เอลเดอร์สันใช้ภาพจากดนตรีว่าธนาคารเคยทำงานจังหวะ andante แต่ตอนนี้ต้องเร่งเป็น presto

ความยืดหยุ่นไม่ได้วัดแค่เงินทุน

เอลเดอร์สันชี้ว่าธนาคารที่มีเงินกองทุนและสภาพคล่องเพียงพอก็ยังอาจให้บริการไม่ได้ หากระบบล่มหรือขาดแผนสำรองที่ดี เขายกตัวอย่าง 3 กรณี กรณีแรกคือการโจมตีด้วยมัลแวร์เรียกค่าไถ่ (ransomware) ที่สาขานิวยอร์กของธนาคารไอซีบีซี (ICBC) เมื่อปี 2023 กระทบการชำระราคาในตลาดพันธบัตรรัฐบาลสหรัฐฯ และมีรายงานว่าธนาคารต้องใช้วิธีแมนนวล

กรณีที่สองคือเหตุการณ์ CrowdStrike ปี 2024 ที่การอัปเดตผิดพลาดทำให้ระบบบนแพลตฟอร์มปฏิบัติการหลักล่ม กระทบหลายภาคธุรกิจรวมถึงบริการการเงิน กรณีที่สามเกี่ยวกับ AI โดยตรง คือคนร้ายใช้อัตลักษณ์ปลอมที่สร้างด้วย AI สร้างลูกค้าปลอมหลายพันรายเพื่อขอสินเชื่อ ทำให้ธนาคารแห่งหนึ่งเสียหายหลายล้าน เขายังบอกว่าจำนวนการโจมตีไซเบอร์ที่ธนาคารภายใต้การกำกับรายงานเข้ามาเพิ่มขึ้นในช่วงหลายปีที่ผ่านมา

ฝั่งผู้กำกับไม่ได้เริ่มจากศูนย์ ในปี 2024 ECB ทดสอบภาวะวิกฤตด้านไซเบอร์กับธนาคาร 109 แห่ง โดย 28 แห่งถูกประเมินเชิงลึกเรื่องการตอบสนองและฟื้นตัวจากเหตุที่รุนแรงแต่เกิดได้จริง ผลทดสอบเกือบสามในสี่ส่วนได้รับการแก้ไขแล้ว กฎหมายความยืดหยุ่นด้านปฏิบัติการดิจิทัล (Digital Operational Resilience Act: DORA) ที่เริ่มมีผลเมื่อปี 2025 ก็ให้ธนาคารปรับปรุงการบริหารความเสี่ยงไอทีอย่างต่อเนื่อง เพิ่มการกำกับผู้ให้บริการสำคัญจากภายนอก เช่น ผู้ให้บริการคลาวด์ และให้ผู้กำกับทดสอบว่าสถาบันการเงินรับมือการโจมตีที่จำลองจากภัยจริงได้หรือไม่ จดหมายของ ECB ก็ระบุว่าข้อกำหนดของ DORA ยังใช้ได้เต็มที่กับภัยรูปแบบใหม่นี้

ธนาคารเล็กต้องทำแค่ไหนและผู้กำกับยังห่วงอะไร

เอลเดอร์สันบอกว่าธนาคารต้องลงทุนหลายปีทั้งด้านคน ระบบ และธรรมาภิบาล และกำไรที่แข็งแรงในตอนนี้คือโอกาสที่จะลงทุน เขายอมรับว่าธนาคารขนาดกลางและเล็กอาจมีงบไอทีสู้ธนาคารใหญ่ได้ยาก แต่ทุกธนาคารยังต้องมีความยืดหยุ่นในระดับที่เพียงพอ ECB สนับสนุนการผ่อนปรนตามสัดส่วนในบางด้าน เช่น การขยับเพดานสินทรัพย์ 5,000 ล้านยูโรของกลุ่มสถาบันขนาดเล็กและไม่ซับซ้อน แต่ต้องไม่ทำให้การบริหารความเสี่ยงหย่อนลง

บุคให้สัมภาษณ์เมื่อวันที่ 2 มิ.ย. 2569 ว่าความเสี่ยงอีกด้านคือหลายธนาคารพึ่งผู้ให้บริการไอทีรายเดียวกัน หากรายนั้นถูกโจมตี ผลอาจลามเป็นระบบ เธอบอกว่าการทดสอบภาวะวิกฤตด้านไซเบอร์รอบใหม่ยังไม่อยู่ในวาระของ ECB แต่เน้นให้ธนาคารป้องกันตัวเองด้วยเทคโนโลยีที่มีอยู่ และให้คณะกรรมการบริหารถือเรื่องความยืดหยุ่นด้านไซเบอร์เป็นเรื่องเชิงกลยุทธ์

เอลเดอร์สันสรุปว่าไม่ได้ต้องการสร้างความตื่นตระหนก แต่ต้องการให้เกิดความรู้สึกเร่งด่วน คือลงมือเร็ว ลงทุนตั้งแต่ตอนนี้ และอย่ารอให้เหตุการณ์ครั้งหน้ามาเปิดจุดอ่อน

ที่มา: คำปราศรัย Strengthening operational resilience for the age of AI ของแฟรงก์ เอลเดอร์สัน จดหมาย Addressing AI-enabled cybersecurity threats ของคลอเดีย บุค ถึงซีอีโอธนาคารที่ ECB กำกับ และบทสัมภาษณ์คลอเดีย บุค ที่เผยแพร่โดย ECB Banking Supervision