เสียงเจ้าของร้านถูกโคลนหลอกลูกค้าเก่าให้โอนเงินคืน

ลูกค้าประจำที่ซื้อกับร้านคุณมาสามสี่ปีโทรกลับมาด้วยน้ำเสียงงง ๆ ถามว่าเมื่อวานที่คุณโทรไปแจ้งว่าสินค้ารอบก่อนมีปัญหา ต้องขอเลขบัญชีเพื่อโอนเงินคืนให้นั้น คือเรื่องอะไรกันแน่ ทั้งที่คุณไม่เคยโทรหาเขาเลยสักครั้ง

เขายืนยันหนักแน่นว่าเสียงที่ได้ยินคือเสียงคุณจริง ๆ น้ำเสียง จังหวะการพูด ไปจนถึงคำติดปากที่คุณใช้บ่อยเวลาคุยกับลูกค้าก็เหมือนกันจนแยกไม่ออก เขาจึงไม่ได้สงสัยอะไร กดโอนเงินไปตามเลขบัญชีที่คนโทรบอก กว่าจะรู้ตัวว่าโดนหลอกก็ตอนที่บังเอิญโทรมาคุยกับคุณเรื่องอื่นในอีกสองวันถัดมา

เหตุการณ์แบบนี้เริ่มเกิดถี่ขึ้นกับธุรกิจขนาดเล็กที่มีคลิปเสียงหรือคลิปวิดีโอของเจ้าของและพนักงานอยู่บนโลกออนไลน์พอสมควร และมักเป็นร้านที่ทำตามคำแนะนำเรื่องทำคอนเทนต์ให้คนเจอง่ายมาอย่างสม่ำเสมอ ยิ่งพูดหน้ากล้องบ่อย ยิ่งมีวัตถุดิบให้คนร้ายเอาไปใช้มากขึ้นตามไปด้วย

คุณอาจรู้สึกว่าเรื่องนี้ไกลตัว เพราะภาพจำเรื่องมิจฉาชีพสายเทคโนโลยีมักเป็นแก๊งคอลเซ็นเตอร์ปลอมเป็นตำรวจหรือธนาคาร แต่รอบนี้ต่างออกไปตรงที่คนร้ายไม่ได้ปลอมเป็นใครก็ได้ เขาปลอมเป็นคุณ คนที่ลูกค้าไว้ใจอยู่แล้วโดยไม่ต้องเสียเวลาสร้างความน่าเชื่อถือขึ้นมาใหม่เลยแม้แต่นิดเดียว

กลไกเบื้องหลัง เสียงที่คุณอยากให้คนเจอ กลายเป็นวัตถุดิบของคนร้าย

สิ่งที่ต้องเข้าใจก่อนคือเทคโนโลยีตัวนี้เรียกว่าการโคลนเสียง หรือ voice cloning หมายถึงการเอาตัวอย่างเสียงจริงของคนคนหนึ่งไปให้ระบบเรียนรู้ลักษณะเฉพาะของเสียง แล้วสร้างเสียงพูดประโยคใหม่ที่ไม่เคยพูดจริงออกมา ฟังแล้วเหมือนเจ้าของเสียงพูดเองทุกประการ

เรื่องที่น่ากังวลไม่ใช่ว่าเทคโนโลยีนี้มีอยู่ เพราะมันถูกพัฒนามาเพื่อประโยชน์หลายอย่าง เช่น ทำเสียงพากย์ ทำผู้ช่วยเสียงสำหรับคนพิการทางสายตา แต่เรื่องที่น่ากังวลคือระบบพวกนี้ใช้ตัวอย่างเสียงต้นทางน้อยกว่าที่คนทั่วไปคิดไว้มาก และตัวอย่างเสียงที่ว่านั้นหาได้ง่ายจากที่สาธารณะ

ธุรกิจที่ตั้งใจทำคอนเทนต์เพื่อให้ลูกค้าใหม่เจอง่าย มักผลิตวัตถุดิบเสียงพวกนี้ไว้เยอะโดยไม่รู้ตัว คลิปแนะนำร้าน คลิปพูดหน้ากล้องอธิบายสินค้า คลิปตอบคำถามลูกค้าในรีวิว หรือแม้แต่ข้อความเสียงที่ส่งตอบลูกค้าทางไลน์เป็นประจำ ทุกอย่างนี้คือเสียงจริงของคุณที่เปิดเผยต่อสาธารณะ

อีกฝั่งหนึ่งที่ทำให้เรื่องนี้อันตรายขึ้นไปอีกคือข้อมูลลูกค้าเก่า คนร้ายไม่ได้สุ่มโทรหาใครก็ได้ เขาต้องมีชื่อ เบอร์โทร และประวัติว่าเคยซื้ออะไรกับคุณมาก่อน เพื่อให้คำโกหกฟังดูสมจริง เช่น อ้างถึงสินค้ารุ่นที่ลูกค้าเคยซื้อจริง หรือวันที่ใกล้เคียงกับตอนที่ลูกค้าสั่งของจริง

ข้อมูลชุดนี้หลุดออกไปได้หลายทาง บางครั้งมาจากระบบจัดการลูกค้าที่พนักงานเก่าเข้าถึงได้ไม่จำกัดแม้ลาออกไปแล้ว บางครั้งมาจากเครื่องมือแชตบอตหรือระบบตอบลูกค้าอัตโนมัติที่เก็บบทสนทนาไว้บนเซิร์ฟเวอร์ของผู้ให้บริการภายนอกโดยไม่มีใครตรวจสอบว่าเก็บนานแค่ไหนและใครดูได้บ้าง

เมื่อวัตถุดิบสองอย่างนี้มาเจอกัน คือเสียงจริงของคุณกับรายชื่อลูกค้าเก่าที่มีประวัติซื้อขาย คนร้ายก็ประกอบเป็นสคริปต์การโทรที่ทั้งฟังดูเป็นคุณและอ้างถึงเรื่องจริงที่ลูกค้าจำได้ ความน่าเชื่อถือจึงสูงกว่าการหลอกแบบสุ่มมาก

ผมอยากให้เข้าใจตรงนี้ให้ชัดว่าเรื่องนี้ไม่ได้แปลว่าการทำคอนเทนต์เสียงหรือวิดีโอเป็นเรื่องผิด เพราะมันยังจำเป็นต่อการให้คนเจอร้านคุณอยู่ดี สิ่งที่ต้องเปลี่ยนคือวิธีดูแลข้อมูลลูกค้าและวิธีที่ร้านคุณสื่อสารเรื่องเงินกับลูกค้า ไม่ใช่การเลิกพูดหน้ากล้อง

มีอีกจุดหนึ่งที่หลายร้านมองข้าม คือความถี่ในการอัปเดตข้อมูลติดต่อธุรกิจ ถ้าเบอร์โทรและช่องทางติดต่อจริงของร้านคุณเขียนไว้ชัดเจนตรงกันทุกที่ ลูกค้าจะมีจุดอ้างอิงในการโทรกลับเช็คได้เร็ว แต่ถ้าข้อมูลกระจัดกระจายหรือไม่อัปเดต ลูกค้าจะหาทางเช็คยากขึ้นและมีแนวโน้มเชื่อสายที่โทรเข้ามาก่อน

ตรวจร้านตัวเองก่อน ว่าตอนนี้เสี่ยงแค่ไหน

ก่อนจะไปแก้อะไร ให้เดินไล่เช็กหัวข้อในตารางนี้ด้วยตัวเอง ใช้เวลาประมาณสี่สิบนาที ไม่ต้องมีความรู้ด้านไอทีก็ทำได้ เพราะเป็นการเช็กจากสิ่งที่มีอยู่จริงในร้านคุณ

ถ้าตกตั้งแต่สามข้อแรกที่เกี่ยวกับการเข้าถึงข้อมูล ให้แก้สามข้อนั้นก่อนเป็นอันดับแรก เพราะการที่ข้อมูลลูกค้ากระจายอยู่ในมือคนที่ไม่เกี่ยวข้องแล้วคือสาเหตุตั้งต้นของปัญหา ต่อให้แก้เรื่องนโยบายแจ้งลูกค้าดีแค่ไหน ถ้าข้อมูลยังหลุดได้ง่ายก็ไม่มีประโยชน์

ขั้นตอนที่ทำเองได้ ไม่ต้องจ้างใคร

หนึ่ง ทำข้อตกลงรหัสยืนยันกับลูกค้าประจำ

ใช้เวลาประมาณสองชั่วโมงในการวางระบบ แล้วเป็นงานที่ทำต่อเนื่องเมื่อมีลูกค้าประจำรายใหม่เพิ่มเข้ามา สิ่งที่ต้องมีคือรายชื่อลูกค้าประจำที่ซื้อซ้ำบ่อย

วิธีทำคือกำหนดคำถามยืนยันตัวตนง่าย ๆ ที่ใช้เฉพาะตอนมีเรื่องเกี่ยวกับเงิน เช่น ถามเลขที่ใบเสร็จล่าสุด หรือถามชื่อพนักงานที่เคยดูแลเขาครั้งก่อน แล้วประกาศให้ลูกค้าประจำรู้ว่าถ้าโทรมาเรื่องคืนเงินหรือขอข้อมูลบัญชีโดยไม่ผ่านขั้นตอนนี้ ให้สงสัยไว้ก่อน

เหตุผลที่ต้องทำแบบนี้คือคนร้ายมีเสียงเหมือนคุณได้ แต่ไม่มีทางรู้รายละเอียดเฉพาะที่อยู่ในระบบภายในร้านคุณเท่านั้น การตั้งจุดตรวจสอบง่าย ๆ แบบนี้ตัดโอกาสของคนร้ายไปได้มากโดยไม่ต้องลงทุนอะไรเพิ่ม

ดูยังไงว่าได้ผล ลองถามลูกค้าประจำสักสามสี่คนว่าถ้ามีคนโทรมาอ้างเป็นร้านคุณแล้วขอโอนเงินคืน เขาจะรู้ได้ยังไงว่าเป็นเรื่องจริง ถ้าตอบได้ตรงกับขั้นตอนที่คุณตั้งไว้ แปลว่าสื่อสารถึงแล้ว

สอง จำกัดสิทธิ์เข้าถึงข้อมูลลูกค้าเก่าให้เหลือเท่าที่จำเป็น

ใช้เวลาประมาณสามชั่วโมง ต้องมีรายชื่อบัญชีทั้งหมดที่เข้าระบบเก็บข้อมูลลูกค้าได้ ทั้งระบบขาย ระบบแชต และไฟล์เอกสารต่าง ๆ

ไล่ดูทีละบัญชีว่าคนที่ยังใช้สิทธิ์นั้นอยู่ ยังทำงานกับร้านคุณจริงหรือไม่ พนักงานที่ลาออกไปแล้วต้องถูกตัดสิทธิ์ทันที รวมถึงบัญชีที่ให้เอเจนซีหรือฟรีแลนซ์เข้ามาช่วยงานชั่วคราวแล้วลืมปิดหลังงานจบ

ถ้าระบบที่ใช้อยู่รองรับการแบ่งสิทธิ์ ให้ตั้งค่าว่าใครดูได้แค่ข้อมูลที่จำเป็นต่อหน้าที่ตัวเอง ไม่ใช่ทุกคนเห็นข้อมูลลูกค้าทั้งหมดเหมือนกันหมด เพราะยิ่งคนเข้าถึงได้เยอะ โอกาสที่ข้อมูลจะรั่วออกไปโดยไม่ตั้งใจก็ยิ่งสูง

ดูยังไงว่าได้ผล ทำรายชื่อผู้มีสิทธิ์เข้าถึงข้อมูลลูกค้าไว้เป็นเอกสารเดียว แล้วทบทวนทุกครั้งที่มีคนเข้าออกจากทีม ถ้าทำได้สม่ำเสมอ แปลว่าระบบเริ่มนิ่ง

สาม เขียนนโยบายเรื่องเงินไว้ให้ลูกค้าเห็นชัด

ใช้เวลาประมาณหนึ่งชั่วโมงในการเขียน แล้วนำไปติดในที่ที่ลูกค้าเจอได้ง่าย เช่น หน้าเว็บ เพจ และข้อความอัตโนมัติในไลน์

ใจความสำคัญที่ต้องมีคือประโยคที่บอกตรง ๆ ว่าร้านจะไม่มีวันโทรขอเลขบัญชี รหัส OTP หรือข้อมูลบัตรทางโทรศัพท์ไม่ว่ากรณีใด และการคืนเงินทุกครั้งจะทำผ่านช่องทางที่ลูกค้าเป็นฝ่ายติดต่อร้านเข้ามาเองเท่านั้น ไม่ใช่ร้านโทรหาก่อน

การเขียนไว้ล่วงหน้าแบบนี้สำคัญกว่าที่คิด เพราะถ้าเกิดเหตุขึ้นจริง ลูกค้าที่เคยอ่านนโยบายนี้มาก่อนจะตั้งข้อสงสัยทันทีที่มีคนโทรมาขอสิ่งที่ประกาศไว้ว่าจะไม่ขอ ต่างจากลูกค้าที่ไม่เคยรู้อะไรมาก่อนเลย

ดูยังไงว่าได้ผล เช็กว่านโยบายนี้ปรากฏอยู่ในอย่างน้อยสามช่องทางที่ลูกค้าเจอบ่อย และลองถามลูกค้าใหม่สักสองสามคนว่าเคยเห็นข้อความนี้ไหม

สี่ ทบทวนว่าเครื่องมือภายนอกที่ใช้เก็บข้อมูลลูกค้ามีความเสี่ยงตรงไหน

ใช้เวลาประมาณสองชั่วโมง ต้องมีรายชื่อเครื่องมือทั้งหมดที่ร้านคุณใช้แล้วมีข้อมูลลูกค้าไหลเข้าไป เช่น ระบบแชตบอต ระบบจองคิว หรือปลั๊กอินร้านค้าออนไลน์

สำหรับแต่ละตัว ให้เช็กว่าตั้งค่าการเก็บข้อมูลไว้อย่างไร เก็บนานแค่ไหน ลบได้ไหม และผู้ให้บริการมีประวัติเรื่องข้อมูลรั่วมาก่อนหรือไม่ ถ้าเช็กเองไม่ถนัด ให้อ่านหน้านโยบายความเป็นส่วนตัวของเครื่องมือนั้นแบบคร่าว ๆ ก็พอ

ถ้าเจอเครื่องมือไหนที่ไม่ได้ใช้งานจริงแล้วแต่ยังเชื่อมต่อกับข้อมูลลูกค้าอยู่ ให้ถอดการเชื่อมต่อออก เพราะเครื่องมือที่ไม่มีใครดูแลต่อคือจุดที่มักถูกมองข้ามที่สุด

ดูยังไงว่าได้ผล ทำรายชื่อเครื่องมือที่เชื่อมกับข้อมูลลูกค้าไว้เป็นเอกสารเดียว แล้วทบทวนทุกสามเดือนว่ายังจำเป็นอยู่ไหม

ห้า ซ้อมสถานการณ์กับพนักงานว่าถ้าเจอเหตุแบบนี้ต้องทำยังไง

ใช้เวลาประมาณหนึ่งชั่วโมง เหมาะทำตอนประชุมทีมประจำเดือน ไม่ต้องมีอุปกรณ์อะไรเพิ่ม

ให้ลองสมมติสถานการณ์ว่ามีลูกค้าโทรมาถามเรื่องที่พนักงานไม่เคยรู้มาก่อน เช่น เรื่องคืนเงินที่ไม่มีในระบบ แล้วให้พนักงานฝึกตอบว่าจะทำอย่างไร ต้องรู้ว่าใครในทีมคือคนที่ต้องแจ้งต่อทันที และต้องรู้ว่าจะสื่อสารกับลูกค้าที่ตกใจอย่างไรโดยไม่ทำให้เขากลัวเกินจำเป็น

เรื่องนี้สำคัญเพราะถ้าเกิดเหตุจริง ความเร็วในการตอบสนองของทีมมีผลมากกว่าที่คิด ยิ่งรู้ตัวเร็วและแจ้งลูกค้าคนอื่นให้ระวังเร็วเท่าไหร่ ความเสียหายก็ยิ่งจำกัดวงแคบลงเท่านั้น

ดูยังไงว่าได้ผล ถามพนักงานแบบสุ่มหลังซ้อมไปสักสัปดาห์หนึ่งว่าถ้าเจอเหตุแบบนี้ต้องทำอะไรเป็นอย่างแรก ถ้าตอบได้ตรงกันทุกคน แปลว่าซึมซับแล้ว

อะไรที่ยังไม่ต้องรีบทำ

เมื่อได้ยินเรื่องแบบนี้ หลายคนอยากจะรีบทำอะไรสักอย่างทันที แต่บางอย่างยังไม่จำเป็นและอาจทำให้เสียเวลาไปกับสิ่งที่ไม่ได้ช่วยลดความเสี่ยงจริง

ยังไม่ต้องรีบเลิกทำคอนเทนต์ที่มีเสียงหรือหน้าคุณ เพราะคอนเทนต์แบบนี้ยังจำเป็นต่อการให้ลูกค้าใหม่เจอร้านคุณ การเลิกทำไปเลยแก้ปัญหาไม่ตรงจุด สิ่งที่ต้องแก้คือการดูแลข้อมูลลูกค้าและวางระบบยืนยันตัวตน ไม่ใช่การหยุดสื่อสารกับคนอ่าน

ยังไม่ต้องรีบซื้อซอฟต์แวร์ตรวจจับเสียงปลอมราคาแพง เครื่องมือกลุ่มนี้มีอยู่จริงและอาจมีประโยชน์ในอนาคต แต่ตอนนี้ยังเป็นของใหม่ที่ราคาสูงเมื่อเทียบกับธุรกิจขนาดเล็ก และมาตรการป้องกันด้วยขั้นตอนยืนยันตัวตนที่ทำเองได้ยังให้ผลตรงกว่าในตอนนี้

ยังไม่ต้องรีบเปลี่ยนเบอร์โทรธุรกิจทุกครั้งที่มีข่าวสแกม การเปลี่ยนเบอร์บ่อยทำให้ลูกค้าประจำสับสนและหาร้านไม่เจอ ปัญหาไม่ได้อยู่ที่ตัวเบอร์ แต่อยู่ที่ขั้นตอนตรวจสอบก่อนโอนเงิน แก้ตรงนั้นให้แน่นก่อนแล้วค่อยพิจารณาเรื่องเบอร์ทีหลัง

ยังไม่ต้องรีบตัดขาดการใช้ระบบจัดการลูกค้าหรือแชตบอต เครื่องมือเหล่านี้ยังมีประโยชน์มากกว่าความเสี่ยงถ้าตั้งค่าให้ถูกต้อง สิ่งที่ต้องทำคือทบทวนสิทธิ์การเข้าถึงและระยะเวลาเก็บข้อมูล ไม่ใช่การเลิกใช้ทั้งระบบ

เริ่มตรงไหนอาทิตย์นี้

ถ้าอาทิตย์นี้มีเวลาว่างสักสามชั่วโมง ให้เริ่มจากสองเรื่องที่ให้ผลเร็วที่สุด

อย่างแรก ใช้เวลาหนึ่งชั่วโมงเขียนนโยบายสั้น ๆ ว่าร้านจะไม่มีวันโทรขอเลขบัญชีหรือ OTP ทางโทรศัพท์ แล้วโพสต์ลงเพจกับตั้งเป็นข้อความอัตโนมัติในไลน์ทันที เพราะเป็นสิ่งที่ทำเสร็จได้ในวันเดียวและป้องกันลูกค้าได้ทันทีที่โพสต์

อย่างที่สอง ใช้เวลาที่เหลือไล่เช็กว่าใครเข้าถึงข้อมูลลูกค้าเก่าได้บ้างในตอนนี้ ตัดสิทธิ์คนที่ไม่เกี่ยวข้องออกก่อน โดยเฉพาะพนักงานเก่าที่ลาออกไปแล้วแต่ยังไม่มีใครถอดสิทธิ์ให้

สิ่งที่ต้องเข้าใจคือความเสี่ยงแบบนี้ไม่ได้หายไปในวันเดียว แต่การมีนโยบายชัดเจนและระบบตรวจสอบตัวตนที่พร้อมใช้งานไว้ล่วงหน้า คือสิ่งที่ทำให้ลูกค้าของคุณตั้งข้อสงสัยได้ทันทีถ้าวันหนึ่งมีคนโทรมาอ้างเป็นคุณจริง ๆ