ตัวอย่างการทุจริตในองค์กรช่วงโควิด-19 และวิธีป้องกันเบื้องต้น
การทุจริตหรือฉ้อโกง คือการกระทำที่มีเจตนาเอาทรัพย์สินหรือเงินจากผู้อื่นด้วยอุบาย หลอกลวง หรือวิธีการที่ไม่เป็นธรรมอื่น ๆ
การทุจริตในองค์กร คือการทุจริตต่อบริษัท ซึ่งอาจกระทำโดยบุคลากรภายในองค์กรหรือบุคคลอื่นภายนอกองค์กร การทุจริตที่เกิดขึ้นภายในองค์กร หมายถึง เหตุการณ์ที่พนักงาน ผู้จัดการ หรือเจ้าของบริษัทกระทำการทุจริตต่อบริษัทของตนเอง เช่น ขโมยหรือใช้ทรัพย์สินของบริษัทในทางที่ผิด การทุจริตจากภายนอกองค์กร คือ การทุจริตที่กระทำโดยบุคคลภายนอก โดยรวมถึง การให้สินบน การโกง การเจาะหรือแฮกเข้าระบบของบริษัท การขโมยและการประกัน การกู้ยืม และการฉ้อโกงการชำระเงิน ทั้งนี้ คาดว่าองค์กรต่าง ๆ ทั่วโลก สูญเสียรายได้รวมร้อยละ 5 จากการทุจริต
ความเข้าใจทั่วไปเกี่ยวกับธรรมชาติของมนุษย์และอาชญากรรม อาจทำให้เราเชื่อว่าทุจริตเกิดขึ้นจากพนักงานที่มีเจตนาไม่ดีและไม่มีศีลธรรม อย่างไรก็ตาม หลังจากมีการวิเคราะห์คดีทุจริตในองค์กรกว่า 1,000 คดี ผู้ที่เชี่ยวชาญด้านการทุจริตพบว่า มีปัจจัยอื่น ๆ ที่เป็นแรงจูงใจสำคัญที่ก่อให้เกิดการทุจริต ปัจจัยเหล่านี้อยู่ในทฤษฎีสามเหลี่ยมการทุจริต
ทฤษฎีสามเหลี่ยมการทุจริตประกอบด้วย โอกาส แรงกดดัน และการหาเหตุผลเข้าข้างตนเอง ยกตัวอย่างการทุจริตง่าย ๆ เช่น ลิ้นชักเก็บเงินในบริษัทของแจ็คที่ไม่เคยมีการป้องกัน ไม่มีการเฝ้าดูแล รวมถึงไม่มีการสรุปรวมยอด แจ็คจึงมีโอกาส เมื่อเขาไม่ค่อยมีเงินสด และวันนี้เป็นวันเกิดแฟนของเขา และเขายังไม่ได้ซื้อของขวัญให้แฟน เขาจึงมีแรงกดดัน เงินเพียงไม่กี่ร้อยดอลลาร์คงไม่กระทบบริษัทมากนัก และคงไม่มีใครจับได้ เขาได้ค่าจ้างต่ำเกินไป ทั้งยังทำงานหนักมาก แถมเจ้านายของเขาก็ยังเป็นคนงี่เง่า แจ็คจึงมีเหตุผลให้กับตัวเอง ปัจจัยทั้งสามตามทฤษฎีสามเหลี่ยมการทุจริต ทำให้แจ็คมีแรงกระตุ้นจะกลายเป็นผู้ทุจริตองค์กร แม้โดยทั่วไปเขาจะเป็นพนักงานที่ทำงานด้วยศีลธรรมและเจตนาดีก็ตาม
ทฤษฎีสามเหลี่ยมการทุจริตจะช่วยให้เราเข้าใจเรื่องการทุจริตที่อาจเกิดขึ้นในช่วงโควิด-19 ได้อย่างไร
โอกาส – ในขณะที่ทำงานจากที่บ้าน หลายบริษัทต้องปรับใช้วิธีการทำงานรูปแบบใหม่ โดยมีการควบคุมน้อยลง
แรงกดดัน – พวกเราทุกคนทราบดีว่าเราต้องเผชิญกับแรงกดดันหลากหลายชนิด ไม่ว่าจะเป็นแรงกดดันจากความไม่แน่นอน เงินเดือนที่น้อยลง ปัญหาที่เกิดขึ้นในครอบครัว และระดับความวิกตกกังวลที่เกิดขึ้น
การหาเหตุผลเข้าข้างตนเอง – ในขณะทำงานจากที่บ้าน พนักงานอาจรู้สึกว่ามีปฏิสัมพันธ์กับนายจ้างและเพื่อนร่วมงานน้อยลง หรือรู้สึกไม่พอใจนายจ้างกับมาตรการที่ใช้ในช่วงโรคระบาด อย่างเช่น การลดเงินเดือน หรือการปลดออกจากงาน ซึ่งสาเหตุเหล่านี้ทำให้พนักงานหาเหตุผลเข้าข้างตัวเองเพื่อกระทำการทุจริตได้ง่ายขึ้น
สมาคมต่อต้านการทุจริตสากล (ACFE) เป็นองค์กรต่อต้านการทุจริตที่ใหญ่ที่สุดในโลกและเป็นผู้ให้บริการฝึกอบรมและการให้ความรู้เกี่ยวกับการต่อต้านการทุจริต (ทั้งยังเป็นผู้จัดทำสถิติส่วนใหญ่ที่นำเสนอในบทความนี้) ทั้งนี้ ACFE พบว่ามีการทุจริตเพิ่มขึ้นอย่างมีนัยสำคัญจากผลกระทบในช่วงโควิด-19 โดยเฉพาะอย่างยิ่งการยักยอกเงินโดยพนักงาน การทุจริตทางออนไลน์ การฉ้อโกงการชำระเงิน และการโจรกรรมข้อมูลส่วนบุคคลอันเกิดจากการกำกับดูแลที่น้อยลง สมาชิกของ ACFE ยังได้รายงานอีกว่า มีความยากลำบากในการตรวจสอบการทุจริตเนื่องจากการเดินทางที่จำกัดและไม่สามารถเข้าถึงหลักฐานได้อย่างเพียงพอ
แม้ว่าโควิด-19 จะก่อให้เกิดโอกาสในการทุจริตและการทุจริตรูปแบบใหม่ ๆ แต่พื้นฐานของการทุจริตและการที่บริษัทต่าง ๆ สามารถใช้ในการป้องกันการทุจริตก็ยังคงเหมือนเดิม หัวข้อที่จะกล่าวถึงดังต่อไปนี้คือวิธีการที่บริษัทสามารถใช้ได้เพื่อลดความเสี่ยงในการตกเป็นเหยื่อของการทุจริต
- สายด่วน – ร้อยละ 43 ของการทุจริตถูกตรวจพบผ่านสายด่วน องค์กรที่มีสายด่วนสามารถตรวจพบการทุจริตได้เร็วกว่าและสามารถจำกัดความสูญเสียที่จะเกิดขึ้นได้ ซึ่งแสดงให้เห็นถึงความสำคัญในการมีวิธีการรายงานที่ชัดเจนเพื่อให้พนักงาน ผู้จัดหา และบุคคลอื่น ๆ สามารถรายงานข้อสงสัยต่าง ๆ ในการทุจริต ผู้ทำการทุจริตส่วนมากมักจะใช้จ่ายสุรุ่ยสุร่าย ใช้เงินเกินกำลัง และเพื่อนร่วมงานอาจสังเกตเห็นสิ่งเหล่านี้และรายงานความน่าสงสัยได้ ทั้งนี้ ปัจจัยในการก่อการทุจริตอื่น ๆ ยังรวมถึงปัญหาทางการเงิน ความสัมพันธ์ที่ใกล้ชิดอย่างผิดปกติกับผู้ขายหรือลูกค้า และการติดยาเสพติด
- การฝึกอบรบและให้ความรู้เรื่องการทุจริต – พนักงานมักจะรายงานข้อมูลมากขึ้นหลังจากได้รับการฝึกอบรม นอกจากนี้ ยังมีแนวโน้มน้อยลงที่พนักงานจะทำการทุจริตหากได้ตระหนักถึงหลักจรรยาบรรณและนโยบายการต่อต้านการทุจริตและการควบคุมภายใน หัวข้อการฝึกอบรมจะรวมถึงการทุจริต การทุจริตในรูปแบบต่าง ๆ และกระบวนการรายงานการทุจริต
- ผู้นำองค์กรเป็นแบบอย่าง – ปัจจัยหลายประการในการหาเหตุผลเข้าข้างตัวเองเพื่อกระทำการทุจริตเกิดจากการจัดการที่ไม่ดี ผู้บริหารและเจ้าของต้องเป็นตัวอย่างที่ดี โดยประพฤติตนตามหลักจรรยาบรรณและปฏิบัติต่อพนักงานและผู้ขายอย่างเป็นธรรม
- แผนการรับมือต่อเหตุการณ์ทุจริต – บริษัทควรมีแผนการรับมือกับการทุจริตหรือข้อกล่าวหาที่เกี่ยวกับการทุจริต ซึ่งอาจรวมถึงบริษัทสืบสวนทุจริตภายนอกบริษัทที่สามารถให้การสนับสนุนในการสอบสวนและการปฏิบัติตามขั้นตอนต่าง ๆ ตามกฎหมายได้ เมื่อตรวจพบการทุจริต เป็นสิ่งจำเป็นอย่างยิ่งที่จะต้องรวบรวมหลักฐานให้ถูกต้องตามหลักนิติวิยาศาสตร์ เพื่อให้หลักฐานสามารถนำไปใช้ในการดำเนินคดีตามกฎหมายได้ หลักฐานควรได้รับการตรวจสอบอย่างละเอียดก่อนจะพิจารณาว่าสามารถใช้ดำเนินคดีกับผู้กระทำการทุจริตได้หรือไม่ บริษัทต่าง ๆ มักจะรีบเผชิญหน้ากับผู้กระทำการทุจริตก่อนที่จะรวบรวมหลักฐานทั้งหมดอย่างเพียงพอ เพื่อแสดงจุดยืนของบริษัท เพราะฉะนั้นต้องระวังข้อนี้ให้ดี
- การควบคุมภายใน – บริษัทส่วนใหญ่จะไม่มีลิ้นชักเก็บเงินที่มีการดูแลซึ่งช่วยให้แจ็คทำการทุกจริตได้อย่างง่ายดาย แต่หลาย ๆ บริษัทจะมีช่องโหว่ทำนองเดียวกันซึ่งพนักงานสามารถรับรู้ได้เมื่อทำงานไปเรื่อย ๆ การควบคุมภายในที่เข้มงวด ซึ่งรวมถึงการแบ่งแยกหน้าที่ อุปกรณ์ป้องกันและการเข้าตรวจสอบโดยไม่แจ้งล่วงหน้า จะช่วยลดปัจจัยที่สร้างโอกาสให้เกิดการทุจริตตามทฤษฎีสามเหลี่ยมได้ ทั้งนี้ มีผู้ตรวจสอบภายนอกจำนวนมากที่ให้บริการตรวจสอบการควบคุมภายใน
- การประเมินความเสี่ยงของการทุจริต – การประเมินความเสี่ยงเป็นการดำเนินการเชิงรุกในการระบุและบรรเทาจุดอ่อนของบริษัทที่เสี่ยงต่อการทุจริตทั้งภายในและภายนอก โดยการประเมินสามารถทำได้ภายในองค์กรหรือรับการสนับสนุนจากที่ปรึกษาภายนอกองค์กร
- การสอบบัญชีโดยผู้ตรวจสอบภายนอก – การตรวจสอบบัญชีหรืองบการเงินของบริษัทโดยผู้ตรวจสอบบัญชีภายนอกเป็นวิธีการสำคัญวิธีการหนึ่งในการตรวจหาการทุจริต โดยเฉพาะอย่างยิ่งในองค์กรใหญ่ ทั้งนี้ ควรให้ผู้ตรวจสอบบัญชีระบุความเสี่ยงของการทุจริตด้วยในระหว่างการสอบบัญชีแต่ละครั้ง
- การคัดกรองก่อนจ้างงาน – การคัดกรองนี้รวมถึงการตรวจสอบหน้าที่การงานที่ผ่านมาของพนักงาน ประวัติอาชญากรรมและประวัติส่วนตัว ตรวจสอบการศึกษา และ ตรวจสอบบุคคลอ้างอิง องค์กรควรทำให้แน่ใจว่ากระบวนการจ้างงานทั้งหมดของตนเป็นไปตามกฎหมายปกป้องข้อมูล และไม่มีการเข้าถึงข้อมูลของผู้สมัครงานโดยไม่ได้รับอนุญาต และใช้บริการจากบริษัทคัดกรองที่เป็นมืออาชีพ
ดังคำกล่าวที่ว่า “กันไว้ดีกว่าแก้” การปรับใช้วิธีการต่อต้านการทุจริตเหล่านี้จะลดความเสี่ยงที่องค์กรของคุณอาจตกเป็นเหยื่อของการทุจริต นอกจากนี้ยังช่วยให้แน่ใจว่า หากคุณเป็นเหยื่อของการทุจริต การแก้ไขปัญหาจะดำเนินการอย่างรวดเร็วและเป็นไปในทิศทางที่เหมาะสม และก่อให้เกิดความเสียหายน้อยที่สุด
ประวัติผู้เขียนบทความ
ปีเตอร์ ฮอร์มชอว์ มีประสบการณ์กว่า 20 ปี ในการสืบสวนด้านธุรกิจและเป็นผู้ก่อตั้งและกรรมการบริษัท โอไร้อัน อินเว็สทิเกชั่น จำกัด – ซึ่งเป็นบริษัทสืบสวนด้านธุรกิจและสำนักงานกฎหมายที่จดทะเบียนในกรุงเทพฯ โดยมีพนักงานสอบสวน ทนายความ ผู้เชี่ยวชาญด้านนิติคอมพิวเตอร์ และผู้เชี่ยวชาญด้านอื่น ๆ มากกว่า 100 คน ปีเตอร์สำเร็จการศึกษาระดับปริญญาตรี สาขาปรัชญาและการเมือง และปริญญาโทบริหารธุรกิจ และเป็นผู้ตรวจสอบการทุจริตที่ได้รับการรับรอง
Read Moreการฉ้อโกงการโอนเงินทางอีเมลของแฮกเกอร์ (BEC) -หลีกเลี่ยงการตกเป็นเหยื่อ
Orion Forensics ได้เห็นการเพิ่มขึ้นอย่างมากในเคสที่พนักงานที่รับผิดชอบในการการชำระเงินในนามของบริษัทถูกหลอกให้โอนเงินเข้าบัญชีธนาคารภายใต้การควบคุมของบุคคลที่เป็นอันตราย (Business Email Compromise) หรือ แฮกเกอร์นั่นเอง ในช่วง 13 วันแรกของปีนี้ (พ.ศ. 2565) เราได้รับการติดต่อเกี่ยวกับกรณีดังกล่าวแล้ว 3 กรณีในต้นปีนี้
การฉ้อโกงประเภทนี้เกิดขึ้นได้อย่างไร และคุณสามารถทำอะไรได้บ้างเพื่อป้องกันไม่ให้บริษัทของคุณตกเป็นเหยื่อของการฉ้อโกงทางอีเมล
ผู้ฉ้อโกงมักจะสามารถเข้าถึงห่วงโซ่อีเมลโดยไม่ได้รับอนุญาตได้หลายวิธี โดยเป็นเรื่องยากที่จะระบุว่ามาจากช่องทางใหน ซึ่งรวมถึง
- องค์กรของคุณอาจถูกแฮ็คเครือข่ายบริษัท Company network หรือเครือข่ายผู้ขายของคุณ Vendor’s network
- การเข้าถึงโดยไม่ได้รับอนุญาตโดยพนักงานที่เป็นอันตราย
- การหลอกหลวงทาง Social Media เช่นผู้ไม่ประสงค์ดี ติดตามเฝ้ามองพฤติกรรมผ่านทาง Social Media หรือ phishing emails (ฟิชชิ่งอีเมล เช่น พนักงานหรือผู้บริหารอาจกดหรือคลิกลิ๊งแปลกๆที่ได้รับทางอีเมลย์ หลังจากนั้นคอมพิวเตอร์จะถูกติดตั้งซอฟแวร์จากผู้ไม่ประสงค์ดีเพื่อจับตามอง หากผู้ใช้งานกำลังคุยกันเรื่องจ่ายเงินหรือโอนเงิน
- ผู้ไม่ประสงค์ดี อาจได้รายละเอียด เช่น username or Password ของผู้ใช้งานคอมพิวเตอร์เครื่องนั้น จากการติดตั้งมัลแวร์ ลงบนคอมพิวเตอร์ หรือ ผู้ใช้งานที่ ล๊อกอิน ใช้เครือข่าย WIFI ที่ไม่ปลอดภัยหรือฟรี ตามห้างร้านต่างๆ โดยไม่มี VPN
ดังนั้น อาจเป็นเรื่องที่ค่อนข้างยากที่จะระบุว่า ผู้ไม่ประสงค์ดี เจาะเข้าคอมพิวเตอร์ ของผู้ใช้งานคอมเครื่องนั้นหรือเหยื่อได้อย่างไร และช่องทางใหน ซึ่งต้องดูเป็นแต่ละกรณีไป
เมื่อได้รับการเข้าถึงห่วงโซ่อีเมลแล้ว ผู้ไม่ประสงค์ดีได้จับตามองและหากเหยื่อกำลังพูดถึงการโอนเงิน ไม่ประสงค์ดีจำทำการสร้างอีเมลที่เกือบจะเหมือนกับอีเมลของเหยื่อที่เป็นบุคคลที่คาดว่าจะได้รับการโอนเงิน จากนั้นผู้ไม่ประสงค์ดีจะส่งอีเมลจากอีเมล ปลอมโดยใช้ข้ออ้าง เช่น “บัญชีธนาคารของเรากำลังตรวจสอบ ดังนั้นคุณต้องชำระเงินเข้าบัญชีอื่นของเรา” ผู้ไม่ประสงค์ดี มักจะจับตามองอีเมลบุคคลอื่นๆภายในห่วงโซ่อีเมลอีกด้วย เพื่อผลักดันให้มีการชำระเงินโดยเร็วที่สุด โดยสร้างอีเมลปลอมเช่นกัน ตอนนี้ผู้ไม่ประสงค์ดีได้เข้าควบคุมการสนทนาแล้ว ผู้ที่ตกเป็นเหยื่อส่วนใหญ่มองไม่เห็นความแตกต่างเล็กน้อยระหว่างอีเมลจริงกับอีเมลปลอม ด้วยเหตุนี้ อีเมลเพิ่มเติมทั้งหมดจึงถูกเปลี่ยนเส้นทางจากผู้รับที่แท้จริงไปยังผู้หลอกลวง เมื่อชำระเงินแล้ว จะได้รับเงินคืนได้ยากอย่างยิ่ง ดังนั้นการป้องกันจึงเป็นนโยบายที่ดีที่สุด
หากคุณพบว่าตัวเองตกเป็นเหยื่อของการฉ้อโกงประเภทนี้ Orion Forensics Lab อาจสามารถช่วยรวบรวมพยานหลักฐานและเตรียมหลักฐานเพื่อให้คุณสามารถรายงานหลักฐานที่พบแก่เจ้าหน้าที่ตำรวจ คือ
- เก็บสำเนาอิเล็กทรอนิกส์ของอีเมลต้นฉบับทั้งหมดในห่วงโซ่อีเมล และโดยเฉพาะอย่างยิ่งอีเมลที่ขอชำระเงินไปยังบัญชีธนาคารใหม่และอีเมลติดตามผลจากผู้ไม่ประสงค์ดี
สิ่งสำคัญคือต้องเก็บสำเนาอิเล็กทรอนิกส์ของอีเมลที่ได้รับต้นฉบับและไม่ใช่อีเมลที่ส่งต่อไปยังพนักงานภายในองค์กร เหตุผลก็คืออีเมลมีข้อมูลของผู้ไม่ประสงค์ดีซ่อนอยู่ซึ่งมักจะไม่เห็นเมื่อดูอีเมลผ่านโปรแกรมรับส่งเมล ข้อมูลนี้เรียกว่าข้อมูลส่วนหัวของอีเมลและมีรายละเอียดของคอมพิวเตอร์ทุกเครื่องที่อีเมลส่งผ่านจากผู้ส่งไปยังผู้รับ ส่วนหัวของอีเมลจะประกอบด้วยข้อมูลเวลาและวันที่และอาจเป็นที่อยู่อินเทอร์เน็ตโปรโตคอล (IP) ของผู้ส่ง อุปกรณ์จะต้องได้รับการจัดสรรที่อยู่ IP เพื่อให้อุปกรณ์เชื่อมต่ออินเทอร์เน็ตได้ ที่อยู่ IP นี้จะถูกจัดสรรให้กับลูกค้าโดยผู้ให้บริการอินเทอร์เน็ต (ISP) ดังนั้น หากเราสามารถระบุที่อยู่ IP เริ่มต้นของอีเมลและข้อมูลเวลาและวันที่ เราสามารถระบุได้ว่าผู้ให้บริการอินเทอร์เน็ตรายใดเป็นผู้รับผิดชอบในการจัดสรรที่อยู่ IP และจากประเทศใด การบังคับใช้กฎหมายสามารถยื่นคำร้องทางกฎหมายต่อ ISP เพื่อขอรายละเอียดว่าใครได้รับการจัดสรรที่อยู่ IP ให้ ณ เวลาและวันที่ส่งอีเมล
เมื่อคุณส่งต่ออีเมลภายใน ข้อมูลส่วนหัวของอีเมลเดิมอาจสูญหายได้ ซึ่งเป็นสาเหตุสำคัญที่ต้องรักษาอีเมลเดิมที่ได้รับในรูปแบบอิเล็กทรอนิกส์
กรณีศึกษา – ตัวอย่างกรณีที่เราสามารถช่วยเหลือลูกค้าของเราได้
ตัวอย่างที่ 1 – บริษัทไทยแห่งหนึ่งขอให้เราตรวจสอบอีเมลที่ได้รับจากผู้ฉ้อโกงเพื่อพยายามระบุว่าอีเมลดังกล่าวถูกบุกรุกจากเครื่อข่ายลูกค้าหรือคู่ค้าในสหรัฐอเมริกา เราสามารถแสดงให้เห็นว่าผู้ฉ้อโกงใช้รายละเอียดการเข้าสู่ระบบอีเมลของคู่ค้าในสหรัฐอเมริกาเพื่อเข้าสู่ระบบบัญชีอีเมลผ่านเว็บเมลจากไนจีเรีย และด้วยเหตุนี้อาจระบุได้ว่าคู่ค้าอาจถูกเข้าถึงอีเมลย์ โดยผู้ไม่ประสงค์ดี
ตัวอย่างที่ 2 – ผู้ไม่ประสงค์ดี ได้สร้างที่อยู่อีเมลปลอมซึ่งคล้ายกับที่อยู่อีเมลที่ถูกต้องของลูกค้าของเราเพื่อทำการฉ้อโกง ด้วยเหตุนี้ บริษัทอื่นจึงสรุปว่าเครือข่ายของลูกค้าเราถูกบุกรุก จากนั้นพวกเขาก็นำลูกค้าของเราขึ้นศาลเพื่อฟ้องร้องเรื่องความล้มเหลวในการดูแลเครือข่ายคอมพิวเตอร์ที่ปลอดภัย จากหลักฐานที่มีอยู่ บริษัทอื่นไม่สามารถสรุปได้ Orion ได้ขึ้นศาลในฐานะพยานผู้เชี่ยวชาญของลูกค้าของเราโดยระบุว่าจากหลักฐานที่มีอยู่ทั้งหมดในขณะนั้น เป็นไปไม่ได้ที่จะสรุปว่าระบบอีเมลโดนแฮก เกิดขึ้นได้อย่างไร และบริษัทใดถูกบุกรุก
หากคุณต้องการความช่วยเหลือ โปรดอย่าลังเลที่จะติดต่อ Orion Forensics เพื่อดูว่าเราจะสามารถช่วยได้อย่างไร
หลักสูตรอบรม 1 วัน จัดอบรมให้ความรู้ด้านความปลอดภัยในโลกไซเบอร์แก่พนักงานหรือผู้บริหารของคุณ คลิก
Read More