การสลับซิมโดยไม่ได้รับอนุญาตที่ Cifas องค์กรป้องกันการฉ้อโกงของสหราชอาณาจักรบันทึกไว้พุ่งขึ้น 1,055% ในปี 2024 เป็นเกือบ 3,000 กรณี แล้วเพิ่มขึ้นอีก 38% ในปี 2025 ขณะที่ในสหรัฐฯ จำนวนเรื่องร้องเรียนการสลับซิมต่อ FBI ลดลงเหลือ 982 เรื่องในปี 2024 จากจุดสูงสุด 2,026 เรื่องในปี 2022 ตัวเลขสองตัวนี้ชี้ไปคนละทาง และทั้งคู่เป็นความจริง การสลับซิมเป็นอาชญากรรมประตูสู่การโจรกรรมอื่น ซึ่งความสูญเสียมักถูกบันทึกภายใต้ป้ายชื่ออื่น กรอบที่ใหญ่กว่าคือการยึดบัญชี ซึ่งสร้างความสูญเสียให้ผู้บริโภคสหรัฐฯ มากกว่า USD 15 พันล้านในปี 2025 ตามข้อมูลของ Javelin Strategy and Research และ Cifas นับได้มากกว่า 78,000 กรณีในสหราชอาณาจักรในปีเดียวกัน หากต้องการภาพรวมอาชญากรรมด้านอัตลักษณ์ที่กว้างขึ้น ดูสถิติการขโมยอัตลักษณ์ของเรา เรารวบรวมข้อมูลจาก FBI Internet Crime Complaint Center, FTC, FCC, Cifas, Javelin Strategy and Research, NIST, นักวิจัยจากมหาวิทยาลัยพรินซ์ตัน, หน่วยงานกำกับดูแลโทรคมนาคมในอินเดีย ออสเตรเลีย สเปน และเบลเยียม รวมถึงบันทึกคดีที่ Commsrisk รายงาน
สรุปโดยย่อ
- เรื่องร้องเรียนการสลับซิม 982 เรื่อง และความสูญเสีย USD 25,983,946 ที่รายงานต่อ FBI ในปี 2024 ลดลงจาก 2,026 เรื่องและ USD 72,652,571 ในปี 2022 (FBI IC3 Internet Crime Reports)
- เรื่องร้องเรียนการสลับซิม 1,611 เรื่อง และความสูญเสียมากกว่า USD 68 ล้านในปี 2021 เทียบกับ 320 เรื่องและราว USD 12 ล้านตลอดปี 2018 ถึง 2020 รวมกัน (FBI IC3 PSA, กุมภาพันธ์ 2022)
- การสลับซิมโดยไม่ได้รับอนุญาตในสหราชอาณาจักรเพิ่มขึ้น 1,055% ในปี 2024 เป็นเกือบ 3,000 กรณี (Cifas Fraudscape 2025)
- การสลับซิมโดยไม่ได้รับอนุญาตเพิ่มขึ้นอีก 38% ในปี 2025 (Cifas Fraudscape 2026)
- กรณียึดบัญชีในสหราชอาณาจักรมากกว่า 78,000 กรณีในปี 2025 คิดเป็น 18% ของรายงานทั้งหมด (Cifas Fraudscape 2026)
- 48% ของกรณียึดบัญชีในสหราชอาณาจักรปี 2024 เกี่ยวข้องกับบัญชีโทรศัพท์มือถือ (Cifas, พฤษภาคม 2025)
- ความสูญเสียจากการยึดบัญชีในสหรัฐฯ เกิน USD 15 พันล้านในปี 2025 กระทบผู้บริโภค 6 ล้านคน (Javelin Strategy and Research, Identity Fraud Study ปี 2026)
- เรื่องร้องเรียน 1,008,597 เรื่อง และความสูญเสียรวม USD 20.877 พันล้านที่รายงานต่อ FBI ในปี 2025 เพิ่มขึ้น 26% (รายงาน FBI IC3 ปี 2025)
- คำขอเปลี่ยนซิมและย้ายเลขหมายออกมากกว่า 99% เป็นคำขอที่ถูกต้อง (FCC Report and Order 23-95, พฤศจิกายน 2023)
- พบเว็บไซต์ 17 แห่งที่การสลับซิมเพียงอย่างเดียวก็เพียงพอจะยึดบัญชีได้ (Lee และคณะ, พรินซ์ตัน, SOUPS 2020)
- การสลับซิมโดยไม่ได้รับอนุญาต 27,000 ครั้งที่ T-Mobile ระหว่างปี 2016 ถึงกุมภาพันธ์ 2020 ตามหลักฐานในคดีอนุญาโตตุลาการมูลค่า USD 33 ล้าน (Commsrisk, กันยายน 2025)
- อินเดียกำหนดให้รอ 7 วันก่อนย้ายเลขหมายหลังเปลี่ยนซิม มีผลตั้งแต่ 1 กรกฎาคม 2024 (TRAI ผ่าน Commsrisk)
1. ความสูญเสียจากการสลับซิมที่รายงานในสหรัฐฯ: จุดสูงสุดปี 2022 แล้วลดลงยาวนาน
FBI เป็นหน่วยงานเดียวของสหรัฐฯ ที่เผยแพร่รายการการสลับซิมทุกปี และอนุกรมข้อมูลของ FBI มีรูปทรงที่ไม่ธรรมดา ประกาศบริการสาธารณะเดือนกุมภาพันธ์ 2022ของ Internet Crime Complaint Center นับได้ 320 เรื่องร้องเรียนที่มีความสูญเสียราว USD 12 ล้านตลอดปี 2018 ถึง 2020 จากนั้นเป็น 1,611 เรื่องร้องเรียนและความสูญเสียมากกว่า USD 68 ล้านในปี 2021 ปีเดียว ความสูญเสียที่รายงานสูงสุดในปี 2022 ที่ USD 72,652,571 จาก 2,026 เรื่องร้องเรียน และลดลงทุกปีตั้งแต่นั้น เหลือ USD 25,983,946 ในปี 2024 (FBI IC3 2024 Internet Crime Report)
ควรอ่านการลดลงนี้อย่างระมัดระวัง เรื่องร้องเรียนลดลง 51.5% จากปี 2022 ถึง 2024 (จาก 2,026 เหลือ 982) แต่ความสูญเสียลดลงเร็วกว่า คือ 64.2% (จาก USD 72.65 ล้านเหลือ USD 25.98 ล้าน) ทำให้ความสูญเสียเฉลี่ยที่รายงานต่อเรื่องร้องเรียนลดจากราว USD 35,860 ในปี 2022 เหลือราว USD 26,460 ในปี 2024 (เราคำนวณจากยอดรวมของ IC3) ตัวเลขปี 2023 ราว USD 45,394 ต่อเรื่องคือจุดสูงสุด การสลับซิมมักเป็นขั้นตอนแรกของการขโมยคริปโต การยึดบัญชีธนาคาร หรือการเจาะอีเมลธุรกิจ และผู้เสียหายมักรายงานผลลัพธ์สุดท้ายมากกว่าวิธีการ ดังนั้นรายการของ IC3 จึงวัดสิ่งที่ถูกติดป้ายว่าเป็นการสลับซิม ไม่ใช่ทุกการโจมตีที่ใช้วิธีนี้
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| เรื่องร้องเรียนและความสูญเสียจากการสลับซิม รวมปี 2018 ถึง 2020 | 320 เรื่อง ราว USD 12 ล้าน | FBI IC3 PSA 220208, กุมภาพันธ์ 2022 |
| เรื่องร้องเรียนและความสูญเสียจากการสลับซิม ปี 2021 | 1,611 เรื่อง มากกว่า USD 68 ล้าน | FBI IC3 PSA 220208, กุมภาพันธ์ 2022 |
| เรื่องร้องเรียนและความสูญเสียจากการสลับซิม ปี 2022 | 2,026 เรื่อง USD 72,652,571 | FBI IC3 Internet Crime Report |
| เรื่องร้องเรียนและความสูญเสียจากการสลับซิม ปี 2023 | 1,075 เรื่อง USD 48,798,103 | FBI IC3 Internet Crime Report 2024 |
| เรื่องร้องเรียนและความสูญเสียจากการสลับซิม ปี 2024 | 982 เรื่อง USD 25,983,946 | FBI IC3 Internet Crime Report 2024 |
| การเปลี่ยนแปลงของเรื่องร้องเรียน ปี 2022 ถึง 2024 | -51.5% (จาก 2,026 เหลือ 982) | คำนวณจากข้อมูล FBI IC3 |
| ความสูญเสียเฉลี่ยที่รายงานต่อเรื่องร้องเรียน ปี 2022 / 2023 / 2024 | ราว USD 35,860 / USD 45,394 / USD 26,460 | คำนวณจากข้อมูล FBI IC3 |
หมายเหตุเรื่องบริบท: รายงาน IC3 ปี 2025 แสดงให้เห็นว่าการสลับซิมคิดเป็นราว 10% ของภัยคุกคามสูงสุดในการแจกแจงภัยคุกคาม ตามหลังการรั่วไหลของข้อมูล (39%) และแรนซัมแวร์ (36%) และอยู่ในระดับเดียวกับมัลแวร์ (9%) และบอตเน็ต (7%) ตามที่ CyberScoop รายงาน เราไม่สามารถอ่านแถวเรื่องร้องเรียนการสลับซิมปี 2025 ในสำเนารายงานที่ดึงมาได้ ดังนั้นอนุกรมข้างต้นจึงสิ้นสุดที่ปี 2024
2. การยึดบัญชี: อาชญากรรมที่การสลับซิมหล่อเลี้ยง
หากความสูญเสียจากการสลับซิมดูน้อย นั่นเป็นเพราะเงินเคลื่อนไปอยู่ภายใต้หัวข้ออื่น ความสูญเสียจากการยึดบัญชีในสหรัฐฯ เกิน USD 15 พันล้านในปี 2025 และกระทบผู้บริโภค 6 ล้านคน จำนวนผู้เสียหายเพิ่มขึ้น 18% จากปี 2024 (Javelin Strategy and Research, Identity Fraud Study ปี 2026) คิดเป็นราว USD 2,500 ต่อผู้เสียหาย (USD 15 พันล้านหารด้วย 6 ล้าน) ต่ำกว่าเรื่องร้องเรียนการสลับซิมเฉลี่ยของ IC3 อยู่หนึ่งระดับขนาด ซึ่งสอดคล้องกับรูปแบบที่การแย่งชิงหมายเลขโทรศัพท์ที่สร้างความเสียหายสูงสุดมักถูกรายงานต่อ FBI ในขณะที่การยึดบัญชีบัตรและธนาคารทั่วไปถูกผู้ออกบัตรรับภาระไว้เอง
ยอดรวมความเสียหายจากการฉ้อโกงที่ FBI ยังคงเพิ่มขึ้น แม้การสำรวจผู้บริโภคของ Javelin จะแสดงว่าความสูญเสียโดยรวมบรรเทาลง IC3 ได้รับเรื่องร้องเรียน 1,008,597 เรื่องในปี 2025 ความสูญเสีย USD 20.877 พันล้าน เพิ่มขึ้น 26% จาก USD 16.6 พันล้านในปี 2024 (SecurityWeek) ในทางตรงข้าม Javelin วัดได้ว่าความสูญเสียรวมจากการฉ้อโกงอัตลักษณ์และการหลอกลวงลดลงเหลือ USD 38 พันล้านในปี 2025 ลดลง USD 9 พันล้าน โดยการฉ้อโกงอัตลักษณ์คงที่ที่ USD 27.3 พันล้าน และความสูญเสียจากการหลอกลวงลดลง 45% เหลือ USD 10.7 พันล้าน ผู้เสียหายสูงอายุแบกรับสัดส่วนที่ไม่สมดุลของยอดรวม FBI ซึ่งเป็นประเด็นที่เราติดตามในสถิติการฉ้อโกงผู้สูงอายุ
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| ความสูญเสียจากการยึดบัญชีในสหรัฐฯ ปี 2025 | มากกว่า USD 15 พันล้าน | Javelin Strategy and Research, Identity Fraud Study ปี 2026 |
| ผู้เสียหายจากการยึดบัญชี ปี 2025 | 6 ล้านคน (เพิ่มขึ้น 18% เทียบกับปี 2024) | Javelin Strategy and Research, 2026 |
| การฉ้อโกงเปิดบัญชีใหม่ ปี 2025 | USD 7 พันล้าน ผู้เสียหาย 5.4 ล้านคน (เพิ่มขึ้น 31%) | Javelin Strategy and Research, 2026 |
| ความสูญเสียรวมจากการฉ้อโกงอัตลักษณ์และการหลอกลวง ปี 2025 | USD 38 พันล้าน (ลดลง USD 9 พันล้าน) ผู้เสียหาย 36 ล้านคน | Javelin Strategy and Research, 2026 |
| เรื่องร้องเรียนและความสูญเสียของ FBI IC3 ปี 2025 | 1,008,597 เรื่อง USD 20.877 พันล้าน (เพิ่มขึ้น 26%) | รายงาน FBI IC3 ปี 2025 ผ่าน SecurityWeek |
| ผู้เสียหายอายุ 60 ปีขึ้นไป ปี 2025 | ราว 201,000 เรื่อง USD 7.75 พันล้าน (37% ของความสูญเสีย) | รายงาน FBI IC3 ปี 2025 ผ่าน CyberScoop |
| รายงานการขโมยอัตลักษณ์ต่อ FTC ปี 2024 | มากกว่า 1.1 ล้านเรื่อง (รายงาน Sentinel ทั้งหมด 6.5 ล้านเรื่อง) | ข้อมูล FTC Consumer Sentinel, มีนาคม 2025 |
| สัดส่วนผู้รายงานการฉ้อโกงที่สูญเสียเงิน ปี 2024 | 38% (เพิ่มจาก 27% ในปี 2023) | ข้อมูล FTC Consumer Sentinel, มีนาคม 2025 |
หมายเหตุเรื่องบริบท: การเผยแพร่ข้อมูลของ FTC เดือนมีนาคม 2025ระบุความสูญเสียจากการฉ้อโกงที่รายงานรวมปี 2024 ที่ USD 12.5 พันล้าน เพิ่มขึ้น 25% FTC ไม่เผยแพร่หมวดการสลับซิม ป้ายที่ใกล้เคียงที่สุดคือ ‘การเปลี่ยนผู้ให้บริการโทรศัพท์’ ซึ่งกล่าวถึงในหัวข้อที่ 6
3. สหราชอาณาจักร: การพุ่งขึ้น 1,055% และปัญหาการนับ
สหราชอาณาจักรสร้างตัวเลขการสลับซิมที่น่าตื่นตะลึงที่สุดของทศวรรษ สมาชิกของ Cifas ยื่น กรณีการสลับซิมโดยไม่ได้รับอนุญาตเกือบ 3,000 กรณีเข้าสู่ฐานข้อมูลการฉ้อโกงแห่งชาติในปี 2024 เพิ่มขึ้น 1,055% จาก 289 กรณีในปีก่อน (Cifas, พฤษภาคม 2025) การพุ่งขึ้นนี้มาพร้อมกับการเคลื่อนตัวไปสู่ภาคโทรคมนาคมในวงกว้าง การฉ้อโกงอัตลักษณ์ที่เชื่อมโยงกับผลิตภัณฑ์มือถือเพิ่มขึ้น 87% เป็นมากกว่า 16,000 กรณี การอัปเกรดแพ็กเกจมือถือโดยไม่ได้รับอนุญาตเพิ่มขึ้น 96% และ 48% ของกรณียึดบัญชีทั้งหมดเกี่ยวข้องกับบัญชีโทรศัพท์มือถือ รายงานอัปเดต Fraudscape 2026 ซึ่งเผยแพร่เมื่อวันที่ 12 มีนาคม 2026 บันทึกการเพิ่มขึ้นอีก 38% ของการสลับซิมโดยไม่ได้รับอนุญาตในปี 2025 ซึ่ง Cifas ระบุว่าเกิดจากข้อมูลส่วนบุคคลที่ถูกขโมยและวิธีโจมตีที่เป็นอัตโนมัติมากขึ้น
สหราชอาณาจักรยังเป็นตัวอย่างว่าการนับเหล่านี้เปราะบางเพียงใด Action Fraud ศูนย์รับรายงานระดับชาติ บันทึกรายงานการสลับซิม 558 เรื่องในปี 2022, 1,070 เรื่องในปี 2023 และ 2,037 เรื่องถึงปลายเดือนพฤศจิกายน 2024 หรือประมาณสองเท่า ไม่ใช่การพุ่งขึ้นสิบเท่า ในปี 2023 ตัวเลขของ Action Fraud เกือบสี่เท่าของตัวเลขของ Cifas ก่อนที่อัตราส่วนจะกลับด้านในปี 2024 (Commsrisk, กรกฎาคม 2025) อนุกรมทั้งสองเห็นตรงกันเรื่องทิศทาง แต่ต่างกันอย่างมากเรื่องความเร็ว
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| การสลับซิมโดยไม่ได้รับอนุญาต ปี 2024 | เกือบ 3,000 กรณี (เพิ่มขึ้น 1,055% จาก 289 ในปี 2023) | Cifas Fraudscape 2025 |
| การสลับซิมโดยไม่ได้รับอนุญาต ปี 2025 | เพิ่มขึ้น 38% เทียบปีต่อปี | Cifas Fraudscape 2026 |
| รายงานการสลับซิมต่อ Action Fraud | 558 (ปี 2022), 1,070 (ปี 2023), 2,037 (ถึงปลายเดือนพฤศจิกายน 2024) | Action Fraud ผ่าน Commsrisk, กรกฎาคม 2025 |
| กรณียึดบัญชี ปี 2024 | มากกว่า 74,000 กรณี (เพิ่มขึ้น 76%) | Cifas Fraudscape 2025 |
| กรณียึดบัญชีที่เกี่ยวข้องกับบัญชีโทรศัพท์มือถือ ปี 2024 | 48% | Cifas, พฤษภาคม 2025 |
| การฉ้อโกงอัตลักษณ์ที่เชื่อมโยงกับผลิตภัณฑ์มือถือ ปี 2024 | มากกว่า 16,000 กรณี (เพิ่มขึ้น 87%) | Cifas, พฤษภาคม 2025 |
| รายงานการอัปเกรดแพ็กเกจมือถือโดยไม่ได้รับอนุญาต ปี 2024 | เพิ่มขึ้น 96% | Cifas, พฤษภาคม 2025 |
| สัดส่วนผู้อายุ 61 ปีขึ้นไปในกรณียึดบัญชี ปี 2024 | 29% (รายงานเพิ่มขึ้น 90% เทียบปีต่อปี) | Cifas, พฤษภาคม 2025 |
หมายเหตุเรื่องบริบท: ข้อมูลของ Cifas สะท้อนกรณีที่องค์กรสมาชิกยื่นเข้ามา ดังนั้นการมีสมาชิกใหม่เข้าร่วมหรือการเปลี่ยนแปลงแนวปฏิบัติในการยื่นรายงานอาจทำให้ตัวเลขเปลี่ยนไปอย่างมาก ควรมองตัวเลข 1,055% เป็นสัญญาณของการเปลี่ยนแปลงบนฐานที่เล็ก ไม่ใช่เครื่องวัดจำนวนเหตุการณ์ทั้งหมดในสหราชอาณาจักร
4. ฐานข้อมูลการฉ้อโกงแห่งชาติปี 2025: การยึดบัญชีกลายเป็นวิธีหลัก
ตัวเลขของ Cifas ปี 2025 แสดงให้เห็นว่าอาชญากรเปลี่ยนจากการเปิดบัญชีปลอมไปเป็นการจี้บัญชีจริง มีการยื่นกรณียึดบัญชีมากกว่า 78,000 กรณีในปี 2025 คิดเป็น 18% ของรายงานทั้งหมดและมากกว่าปี 2024 อยู่ 6% ขณะที่รายงานการฉ้อโกงอัตลักษณ์ลดลง 3% เหลือ 242,000 กรณี (Cifas Fraudscape 2026) กรณีที่เชื่อมโยงกับผลิตภัณฑ์โทรศัพท์มือถือยังคงเป็นสัดส่วนหลัก และเมื่อรวมกับร้านค้าปลีกออนไลน์และบัตรเครดิตส่วนบุคคลแล้ว คิดเป็นราว 90% ของการยึดบัญชีทั้งหมด
กลยุทธ์เงียบเชียบขึ้น Cifas รายงานว่าอาชญากรปิดการแจ้งเตือนและค่อย ๆ เปลี่ยนรายละเอียดบัญชีเพื่อหลีกเลี่ยงการตรวจจับ และใช้ AI เพื่อปรับปรุงข้อความอันตรายและทำการโจมตีข้อมูลรับรองแบบอัตโนมัติ ซึ่งเป็นชุดเครื่องมือเดียวกับที่อยู่เบื้องหลังสายโทรศัพท์แอบอ้างตัวตนในสถิติการหลอกลวงด้วย AI เสียงของเรา รายงานรวมทั้งหมดทำสถิติสูงสุดใหม่ คือมากกว่า 444,000 กรณี หรือมากกว่า 1,200 กรณีต่อวัน หลังจาก 421,000 กรณีในปี 2024 (Cifas Fraudscape 2025)
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| กรณีทั้งหมดในฐานข้อมูลการฉ้อโกงแห่งชาติ ปี 2025 | มากกว่า 444,000 กรณี (เพิ่มขึ้น 6%) มากกว่า 1,200 กรณีต่อวัน | Cifas Fraudscape 2026 |
| กรณีทั้งหมดในฐานข้อมูลการฉ้อโกงแห่งชาติ ปี 2024 | 421,000 กรณี (เพิ่มขึ้น 13%) | Cifas Fraudscape 2025 |
| กรณียึดบัญชี ปี 2025 | มากกว่า 78,000 กรณี (18% ของรายงาน เพิ่มขึ้น 6%) | Cifas Fraudscape 2026 |
| สัดส่วนมือถือ ร้านค้าปลีกออนไลน์ และบัตรเครดิตในการยึดบัญชี ปี 2025 | ราว 90% | Cifas Fraudscape 2026 |
| สัดส่วนการฉ้อโกงอัตลักษณ์และการยึดบัญชีของกรณีทั้งหมด ปี 2025 | 72% | Cifas Fraudscape 2026 |
| รายงานการฉ้อโกงอัตลักษณ์ ปี 2025 | 242,000 กรณี (54% ของกรณีทั้งหมด ลดลง 3%) | Cifas Fraudscape 2026 |
| ความสูญเสียจากการฉ้อโกงที่สมาชิก Cifas ป้องกันได้ | GBP 2.1 พันล้าน (ปี 2024), GBP 2.4 พันล้าน (ปี 2025) | Cifas Fraudscape 2025 และ 2026 |
5. ภายในผู้ให้บริการเครือข่าย: คนใน วิศวกรรมสังคม และหลักฐานในศาล
การสลับซิมส่วนใหญ่สำเร็จที่เคาน์เตอร์ร้านค้าหรือโต๊ะบริการลูกค้า และคดีความล่าสุดได้เปิดเผยตัวเลขที่หาได้ยากในเรื่องนี้ ในคดีอนุญาโตตุลาการต่อ T-Mobile US ที่จบด้วยคำชี้ขาดมูลค่า USD 33 ล้าน หลักฐานระบุถึง การสลับซิมโดยไม่ได้รับอนุญาต 27,000 ครั้งที่ผู้ให้บริการรายนี้ระหว่างปี 2016 ถึงกุมภาพันธ์ 2020 และรายงานภายในพบว่ามีบัญชีลูกค้า 478 บัญชีถูกเข้าถึงผ่านข้อมูลรับรองของพนักงานที่ถูกเจาะเพียงรายเดียว (Commsrisk, กันยายน 2025) ผู้กระทำผิดที่ถูกอ้างถึงในคดีอ้างว่ามีอัตราความสำเร็จ 90 ถึง 100% ในการได้ข้อมูลรับรองของพนักงาน ตัวเลขเหล่านี้มาจากคดีของผู้ให้บริการรายเดียว ไม่ใช่อัตราของอุตสาหกรรม แต่แสดงให้เห็นว่าทำไมหน่วยงานกำกับดูแลจึงหันมาเล็งที่การเข้าถึงของพนักงาน
ความเสี่ยงจากคนในไม่ได้จำกัดอยู่ที่บริษัทโทรคมนาคม ที่ Société Générale ในฝรั่งเศส นักศึกษาฝึกงานคนหนึ่งส่งข้อมูลลูกค้าให้แก๊งสลับซิมที่ขโมยเงินมากกว่า EUR 1 ล้านจากลูกค้า 50 ราย ซึ่งทุกรายได้รับเงินคืนแล้ว (Commsrisk, มิถุนายน 2025) การรั่วไหลของข้อมูลที่ผู้ให้บริการเครือข่ายยิ่งเพิ่มความเสี่ยง เหตุรั่วไหลของ Orange Belgium เปิดเผยบัญชีลูกค้า 850,000 บัญชี รวมถึงหมายเลขซิมการ์ดและรหัส PUK ทำให้หน่วยงานกำกับดูแล BIPT กำหนดให้ส่ง SMS แจ้งเตือนเมื่อมีคำขอย้ายเลขหมายออก โดยมีกรอบเวลา 8 วันให้ตอบกลับ STOP (Commsrisk, กันยายน 2025)
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| การสลับซิมโดยไม่ได้รับอนุญาตที่ T-Mobile US ปี 2016 ถึงกุมภาพันธ์ 2020 | 27,000 | หลักฐานอนุญาโตตุลาการ Jones v. T-Mobile ผ่าน Commsrisk, กันยายน 2025 |
| คำชี้ขาดอนุญาโตตุลาการให้ผู้เสียหายจากการสลับซิมรายหนึ่ง | USD 33 ล้าน | Jones v. T-Mobile ผ่าน Commsrisk, กันยายน 2025 |
| บัญชีที่ถูกเข้าถึงผ่านข้อมูลรับรองของพนักงานที่ถูกเจาะรายเดียว | 478 | รายงานภายในของ T-Mobile ผ่าน Commsrisk, กันยายน 2025 |
| แก๊งสลับซิมที่มีคนในที่ Société Générale | ลูกค้า 50 ราย ถูกขโมยมากกว่า EUR 1 ล้าน | Le Parisien ผ่าน Commsrisk, มิถุนายน 2025 |
| เหตุรั่วไหลของ Orange Belgium | บัญชีลูกค้า 850,000 บัญชีถูกเปิดเผย | BIPT และ Orange Belgium ผ่าน Commsrisk, กันยายน 2025 |
| Bitcoin ที่ถูกขโมยในคดีสลับซิมของ Rogers ปี 2021 | CAD 534,000 ในขณะนั้น ปัจจุบันราว USD 1.3 ล้าน | ศาลสูงบริติชโคลัมเบีย ผ่าน Commsrisk, กรกฎาคม 2025 |
| คดีฟ้องร้องการขโมยคริปโตในสหรัฐฯ ที่โทษว่ามาตรการรักษาความปลอดภัยหละหลวม | 11 คดีในปี 2023 เทียบกับ 20 คดีในปี 2022 โดยมากกว่า 50% อ้างถึงการสลับซิม | Bloomberg Law ผ่าน Commsrisk, เมษายน 2024 |
หมายเหตุเรื่องบริบท: พนักงานของผู้ให้บริการเครือข่ายยังคงเป็นเป้าหมายของวิศวกรรมสังคมเช่นเดียวกับเจ้าหน้าที่คอลเซ็นเตอร์ การทบทวนการโจมตีของ Lapsus$โดย Cyber Safety Review Board ของสหรัฐฯ (10 สิงหาคม 2023) ตรวจสอบว่ากลุ่มนี้ใช้การสลับซิมโจมตีองค์กรขนาดใหญ่อย่างไร
6. กฎระเบียบและการบังคับใช้: จาก FCC ถึง TRAI
คำสั่งของ FCC ว่าด้วยการฉ้อโกงสลับซิมและย้ายเลขหมายออกเป็นการตอบสนองเชิงนโยบายหลักของสหรัฐฯ คำสั่งนี้รับรองเมื่อวันที่ 15 พฤศจิกายน 2023 กำหนดให้ผู้ให้บริการไร้สายใช้การยืนยันตัวตนที่ปลอดภัยก่อนเปลี่ยนซิม แจ้งลูกค้าทันทีเมื่อมีคำขอเปลี่ยนซิมและย้ายเลขหมายออก เปิดให้ล็อกบัญชี ไม่ให้พนักงานเข้าถึงข้อมูลลูกค้าจนกว่าจะยืนยันตัวตนลูกค้าได้ และเก็บบันทึก (FCC Report and Order 23-95) คำสั่งนี้ยังให้ภาพเส้นฐานของเรื่องร้องเรียนด้วย FCC ได้รับเรื่องร้องเรียนการสลับซิมหรือย้ายเลขหมายออกราว 300 เรื่องในปี 2020, 400 เรื่องในปี 2021 และ 500 เรื่องในปี 2022 ขณะที่ FTC บันทึกรายงาน ‘การเปลี่ยนผู้ให้บริการโทรศัพท์’ 966 เรื่องในปี 2020, 157 เรื่องในปี 2021 และ 188 เรื่องในปี 2022
การปฏิบัติตามกฎมาช้า กำหนดเดิมคือวันที่ 8 กรกฎาคม 2024 ถูกเลื่อนออกไปโดยการผ่อนผันของ FCC เมื่อวันที่ 5 กรกฎาคม 2024 จนกว่า Office of Management and Budget จะทบทวนเอกสารเสร็จสิ้น โดย OMB อนุมัติเมื่อวันที่ 15 มกราคม 2025 (Nelson Mullins) หน่วยงานกำกับดูแลอื่นใช้เครื่องมือที่ตรงไปตรงมากว่า TRAI ของอินเดียกำหนดให้รอ 7 วันก่อนย้ายเลขหมายหลังเปลี่ยนซิมตั้งแต่ 1 กรกฎาคม 2024 (Commsrisk) ACMA ของออสเตรเลียปรับ Medion Australia เป็นเงิน AUD 259,440 หลังมีการสลับซิมโดยไม่ได้รับอนุญาตเก้าครั้ง (Commsrisk) และ AEPD หน่วยงานคุ้มครองข้อมูลของสเปนได้ปรับบริษัทโทรคมนาคมซ้ำแล้วซ้ำเล่า (Commsrisk)
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| เรื่องร้องเรียนการสลับซิมและย้ายเลขหมายออกต่อ FCC | ราว 300 (ปี 2020), 400 (ปี 2021), 500 (ปี 2022) | FCC Report and Order 23-95, พฤศจิกายน 2023 |
| รายงาน ‘การเปลี่ยนผู้ให้บริการโทรศัพท์’ ต่อ FTC | 966 (ปี 2020), 157 (ปี 2021), 188 (ปี 2022) | ข้อมูล FTC Consumer Sentinel ที่อ้างใน FCC 23-95 |
| สัดส่วนคำขอเปลี่ยนซิมและย้ายเลขหมายออกที่ถูกต้อง | มากกว่า 99% | FCC Report and Order 23-95 |
| กฎของ FCC: วันที่ต้องปฏิบัติตามเดิม / วันที่ OMB อนุมัติ | 8 กรกฎาคม 2024 (ได้รับการผ่อนผัน) / 15 มกราคม 2025 | FCC DA 24-649; Nelson Mullins, 2025 |
| ระยะเวลารอในอินเดียก่อนย้ายเลขหมายหลังเปลี่ยนซิม | 7 วัน ตั้งแต่ 1 กรกฎาคม 2024 | TRAI ผ่าน Commsrisk, มิถุนายน 2024 |
| ค่าปรับของ ACMA ต่อ Medion Australia | AUD 259,440; ลูกค้าสูญเสีย AUD 160,000; เปลี่ยนซิม 1,697 ครั้งโดยไม่ตรวจสอบเอกสารยืนยันตัวตน | ACMA ผ่าน Commsrisk, มกราคม 2024 |
| ค่าปรับของ AEPD ต่อบริษัทโทรคมนาคมสเปน | Digi EUR 970,000 จาก 12 ครั้ง; Movistar EUR 900,000 จาก 3 ครั้ง | AEPD ผ่าน Commsrisk, เมษายน 2024 |
หมายเหตุเรื่องบริบท: Commsrisk ระบุว่ากว่า 1 ใน 20 ของค่าปรับ GDPR ทั้งหมดที่ทราบในยุโรป AEPD เป็นผู้ปรับบริษัทโทรคมนาคมสเปน ส่วนใหญ่เกี่ยวกับซิมซ้ำที่ออกให้ผู้แอบอ้าง
7. การยืนยันตัวตน: ทำไมหมายเลขโทรศัพท์จึงเป็นจุดอ่อน
เรื่องราวด้านการป้องกันคือการค่อย ๆ ถอยห่างจากการใช้หมายเลขโทรศัพท์เป็นหลักฐานยืนยันตัวตน งานศึกษาของพรินซ์ตันเกี่ยวกับผู้ให้บริการเติมเงินของสหรัฐฯ ห้ารายพบว่าคำถามยืนยันตัวตนของพวกเขาถูกเลี่ยงได้ และหลังจากวิศวกรรมย้อนกลับนโยบายของเว็บไซต์กว่า 140 แห่งที่ใช้การยืนยันตัวตนผ่านโทรศัพท์ ผู้เขียนพบ เว็บไซต์ 17 แห่งที่การสลับซิมเพียงอย่างเดียว โดยไม่ต้องใช้รหัสผ่าน ก็เพียงพอจะยึดบัญชีได้ และ 9 ใน 17 บริษัทปล่อยช่องโหว่ไว้โดยไม่แก้ไขหลังได้รับแจ้ง (Lee และคณะ, SOUPS 2020) งานศึกษานี้มาจากปี 2020 (การวัดทางวิชาการล่าสุดที่มี) แต่เป็นฐานหลักฐานที่คำสั่งของ FCC อ้างถึง
หน่วยงานมาตรฐานตามทันแล้ว SP 800-63B-4 ของ NIST ซึ่งสรุปผลเมื่อวันที่ 26 สิงหาคม 2025 ยังคงจัดให้รหัสนอกช่องทางที่ส่งผ่านเครือข่ายโทรศัพท์สาธารณะอยู่ในประเภท ‘ถูกจำกัด’ และระบุว่าผู้ตรวจสอบควรตรวจดัชนีความเสี่ยง เช่น การเปลี่ยนซิมหรือการย้ายเลขหมาย ก่อนส่งรหัส ปัจจุบันผู้ให้บริการเครือข่ายเปิดเผยสัญญาณนั้นโดยตรง คือ SIM Swap API แบบโอเพนซอร์สของ CAMARA เวอร์ชัน 2.1.0 ตั้งแต่เดือนกันยายน 2025 ซึ่งให้ธนาคารสอบถามได้ว่าซิมของหมายเลขหนึ่งเพิ่งเปลี่ยนไปหรือไม่ก่อนจะเชื่อถือรหัส SMS (CAMARA Project) สถิติการยืนยันตัวตนสองปัจจัยของเราครอบคลุมการนำทางเลือกที่ใช้แอปและพาสคีย์มาใช้
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| ผู้ให้บริการเติมเงินของสหรัฐฯ ที่ทดสอบ | 5 ราย ทั้งหมดใช้คำถามยืนยันตัวตนที่ถูกเลี่ยงได้ | Lee และคณะ, พรินซ์ตัน, SOUPS 2020 |
| เว็บไซต์ที่ใช้การยืนยันตัวตนผ่านโทรศัพท์ที่นำมาวิเคราะห์ | มากกว่า 140 แห่ง | Lee และคณะ, SOUPS 2020 |
| เว็บไซต์ที่เสี่ยงถูกยึดบัญชีด้วยการสลับซิมเพียงอย่างเดียว | 17 แห่ง | Lee และคณะ, SOUPS 2020 |
| บริษัทที่ปล่อยช่องโหว่ไว้ไม่แก้ไขหลังได้รับแจ้ง | 9 จาก 17 | Lee และคณะ, SOUPS 2020 |
| สถานะของ NIST สำหรับรหัสใช้ครั้งเดียวผ่านเครือข่ายโทรศัพท์ | ’ถูกจำกัด’ (SP 800-63B-4, 26 สิงหาคม 2025) | NIST SP 800-63B-4 |
| การทบทวนวิธียืนยันตัวตนที่ผู้ให้บริการเครือข่ายต้องทำ | อย่างน้อยปีละครั้ง | FCC Report and Order 23-95 |
| CAMARA SIM Swap API | v2.1.0 เสถียร, กันยายน 2025 | CAMARA Project (Linux Foundation) |
สรุป: การฉ้อโกงสลับซิมในรูปแบบตัวเลข
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| เรื่องร้องเรียนและความสูญเสียจากการสลับซิมในสหรัฐฯ ปี 2024 | 982 เรื่อง USD 25,983,946 | FBI IC3 Internet Crime Report 2024 |
| จุดสูงสุดของการสลับซิมในสหรัฐฯ ปี 2022 | 2,026 เรื่อง USD 72,652,571 | FBI IC3 Internet Crime Report |
| เรื่องร้องเรียนและความสูญเสียจากการสลับซิมในสหรัฐฯ ปี 2021 | 1,611 เรื่อง มากกว่า USD 68 ล้าน | FBI IC3 PSA, กุมภาพันธ์ 2022 |
| ความสูญเสียเฉลี่ยที่รายงานต่อเรื่องร้องเรียนการสลับซิม ปี 2024 | ราว USD 26,460 | คำนวณจากข้อมูล FBI IC3 |
| สัดส่วนการสลับซิมในภัยคุกคามสูงสุด ปี 2025 | ราว 10% | รายงาน FBI IC3 ปี 2025 ผ่าน CyberScoop |
| ความสูญเสียรวมของ FBI IC3 ปี 2025 | USD 20.877 พันล้าน (เพิ่มขึ้น 26%) | รายงาน FBI IC3 ปี 2025 |
| ความสูญเสียจากการยึดบัญชีในสหรัฐฯ ปี 2025 | มากกว่า USD 15 พันล้าน ผู้เสียหาย 6 ล้านคน | Javelin Strategy and Research, 2026 |
| การสลับซิมโดยไม่ได้รับอนุญาตในสหราชอาณาจักร ปี 2024 | เกือบ 3,000 (เพิ่มขึ้น 1,055%) | Cifas Fraudscape 2025 |
| การสลับซิมโดยไม่ได้รับอนุญาตในสหราชอาณาจักร ปี 2025 | เพิ่มขึ้น 38% | Cifas Fraudscape 2026 |
| รายงานการสลับซิมต่อ Action Fraud ในสหราชอาณาจักร ปี 2023 | 1,070 | Action Fraud ผ่าน Commsrisk |
| กรณียึดบัญชีในสหราชอาณาจักร ปี 2025 | มากกว่า 78,000 (18% ของรายงาน) | Cifas Fraudscape 2026 |
| สัดส่วนโทรศัพท์มือถือในการยึดบัญชีในสหราชอาณาจักร ปี 2024 | 48% | Cifas, พฤษภาคม 2025 |
| สัดส่วนผู้อายุ 61 ปีขึ้นไปในกรณียึดบัญชี (สหราชอาณาจักร ปี 2024) | 29% | Cifas, พฤษภาคม 2025 |
| ความสูญเสียของผู้เสียหายชาวสหรัฐฯ อายุ 60 ปีขึ้นไป ปี 2025 | USD 7.75 พันล้าน (37% ของทั้งหมด) | รายงาน FBI IC3 ปี 2025 |
| การสลับซิมโดยไม่ได้รับอนุญาตที่ T-Mobile ปี 2016 ถึง 2020 | 27,000 | หลักฐานอนุญาโตตุลาการผ่าน Commsrisk |
| สัดส่วนที่ถูกต้องของคำขอเปลี่ยนซิมและย้ายเลขหมายออก | มากกว่า 99% | FCC 23-95 |
| เรื่องร้องเรียนการสลับซิมและย้ายเลขหมายออกต่อ FCC ปี 2022 | ราว 500 | FCC 23-95 |
| เว็บไซต์ที่เสี่ยงถูกยึดบัญชีด้วยการสลับซิมเพียงอย่างเดียว | 17 จากกว่า 140 แห่งที่ศึกษา | พรินซ์ตัน, SOUPS 2020 |
| ระยะเวลารอย้ายเลขหมายในอินเดียหลังเปลี่ยนซิม | 7 วัน | TRAI, กรกฎาคม 2024 |
ระเบียบวิธีและแหล่งที่มา
ตัวเลขทุกตัวข้างต้นได้รับการอ่านระหว่างการค้นคว้าสำหรับบทความนี้ ในกรณีที่ไม่สามารถอ่านเอกสารต้นฉบับได้โดยตรง (ไฟล์ PDF รายงานประจำปีของ FBI IC3 ไม่แสดงผลเป็นข้อความ และหน้าเว็บของ fcc.gov, GSMA และ IDCARE ปิดกั้นการเข้าถึงอัตโนมัติ) เราใช้ตัวกลางที่ระบุชื่อซึ่งอ้างอิงเอกสารต้นฉบับและระบุไว้ในแต่ละตาราง สถิติการสลับซิมที่เผยแพร่ในบล็อกของผู้ขายโดยไม่มีแหล่งที่มาปฐมภูมิ รวมถึงตัวเลขกลม ๆ แบบ ‘ต่อผู้เสียหาย’ และ ‘จำนวนนาทีในการล้างบัญชี’ ถูกตัดออก
- FBI Internet Crime Complaint Center: PSA 220208, กุมภาพันธ์ 2022, Internet Crime Report 2024 (แถวการสลับซิมปี 2022 ถึง 2024 อ่านผ่าน MessageCentral และบทสรุปรายงานของ Efani), Internet Crime Report 2025 ผ่าน SecurityWeek และ CyberScoop
- Federal Trade Commission: การเผยแพร่ข้อมูล Consumer Sentinel ปี 2024, มีนาคม 2025
- Javelin Strategy and Research: ข่าวประชาสัมพันธ์ Identity Fraud Study ปี 2026, 21 เมษายน 2026
- Cifas: Fraudscape 2026, Fraudscape 2025, ข่าวเผยแพร่เรื่องการสลับซิมและโทรคมนาคม, พฤษภาคม 2025
- Federal Communications Commission: Report and Order FCC 23-95, Order DA 24-649, วันที่ OMB อนุมัติผ่าน Nelson Mullins และการเลื่อนการปฏิบัติตามกฎผ่าน Commsrisk
- NIST: SP 800-63B-4, สิงหาคม 2025
- มหาวิทยาลัยพรินซ์ตัน: Lee, Kaiser, Mayer และ Narayanan, An Empirical Study of Wireless Carrier Authentication for SIM Swaps, SOUPS 2020
- CAMARA Project: SIM Swap API
- Cyber Safety Review Board ของสหรัฐฯ: Review of the Attacks Associated with Lapsus$, สิงหาคม 2023
- Commsrisk (รายงานเกี่ยวกับบันทึกคดี หน่วยงานกำกับดูแล และ Action Fraud): สถิติการสลับซิมของสหราชอาณาจักร, อนุญาโตตุลาการ T-Mobile, Orange Belgium และ BIPT, Société Générale, คดี Rogers, คดีคริปโตของ Bloomberg Law, กฎ 7 วันของ TRAI, ค่าปรับของ ACMA, ค่าปรับของ AEPD
- ข้อสังเกตเกี่ยวกับข้อมูล: แถวเรื่องร้องเรียนและความสูญเสียจากการสลับซิมของ FBI IC3 ปี 2025 ไม่สามารถยืนยันได้ในสำเนารายงานที่ดึงมา ดังนั้นอนุกรมของสหรัฐฯ จึงสิ้นสุดที่ปี 2024 คาดว่าแถวปี 2025 จะเป็นไปตามแนวโน้มการลดลงของความสูญเสียที่รายงาน ตัวเลข IC3 ปี 2022 ถึง 2024 อ่านผ่านบทสรุปทุติยภูมิของรายงานทางการและตรงกันทุกแหล่ง แหล่งข้อมูลของสหราชอาณาจักรขัดแย้งกัน Cifas รายงานการเพิ่มขึ้น 1,055% ในปี 2024 (จาก 289 เป็นเกือบ 3,000) ขณะที่ Action Fraud แสดงการเพิ่มขึ้นประมาณสองเท่า (1,070 เป็น 2,037 ถึงปลายเดือนพฤศจิกายน 2024) และ 289 x 11.55 ไม่ตรงกับ ‘เกือบ 3,000’ พอดี จึงควรถือเปอร์เซ็นต์นี้เป็นค่าโดยประมาณ การสำรวจของ Javelin แสดงว่าความสูญเสียรวมจากการฉ้อโกงลดลงในปี 2025 ขณะที่ความสูญเสียจากเรื่องร้องเรียนของ FBI IC3 เพิ่มขึ้น 26% ทั้งสองวัดกลุ่มประชากรต่างกัน (การสำรวจผู้บริโภคเทียบกับเรื่องร้องเรียนโดยสมัครใจ) จำนวนเรื่องร้องเรียนของ FCC และ FTC รวมถึงงานศึกษาของพรินซ์ตันมาจากช่วงปี 2020 ถึง 2022 (ข้อมูลล่าสุดที่มี) ตัวเลขของ T-Mobile มาจากคดีอนุญาโตตุลาการเพียงคดีเดียวและไม่ใช่อัตราของอุตสาหกรรม วันที่ต้องปฏิบัติตามกฎของ FCC ที่แน่นอนหลัง OMB อนุมัติไม่สามารถยืนยันได้จากหน้าเว็บของ FCC ระหว่างการค้นคว้า แหล่งข้อมูลทางการค้าแหล่งหนึ่งอ้างวันที่ 10 มีนาคม 2025 ก่อนคำสั่งผ่อนผัน ซึ่งคำสั่งผ่อนผันกลับผูกการปฏิบัติตามกฎไว้กับการทบทวนของ OMB จำนวนการติดตั้ง GSMA Open Gateway และข้อมูล IDCARE ของออสเตรเลียเข้าถึงไม่ได้และถูกตัดออก ส่วน Consumer Sentinel Data Book ของ FTC สำหรับปี 2025 ยังไม่ปรากฏในหน้าข้อมูลเปิดของ FTC
อัปเดตล่าสุด: 3 ตุลาคม 2026 เราจะทบทวนและอัปเดตสรุปนี้ทุกไตรมาส และคาดว่าการอัปเดตครั้งถัดไปจะเกิดขึ้นเมื่อ FTC เผยแพร่ Consumer Sentinel Network Data Book ปี 2025 และ Cifas ออกการอัปเดต Fraudscape ครั้งถัดไป