ตั้งรหัสผ่านให้ปลอดภัยและเปิดยืนยันตัวตน 2 ชั้น (2FA) สำหรับอีเมล LINE Facebook และแอปธนาคาร
คำตอบสั้น: ใช้รหัสผ่านที่ยาวและไม่ซ้ำกันในแต่ละบัญชี เก็บไว้ในตัวจัดการรหัสผ่าน แล้วเปิดการยืนยันตัวตนสองชั้น (2FA) หรือพาสคีย์ให้บัญชีที่สำคัญที่สุดก่อน คือ อีเมลหลัก บัญชี Apple หรือ Google ของมือถือ LINE และ Facebook ส่วนแอปธนาคารให้ตั้ง PIN ที่ไม่ซ้ำกับรหัสอื่นและใช้การสแกนใบหน้า และไม่ว่ากรณีใด ห้ามบอกรหัสยืนยันตัวตนกับคนที่โทรหรือทักมา
ทำไมบัญชีถึงถูกยึด ทั้งที่ไม่ได้บอกรหัสใคร
หลายคนคิดว่าบัญชีจะโดนแฮกได้ต้องมีคนเก่งคอมพิวเตอร์มาเจาะระบบ แต่ในชีวิตจริง บัญชีส่วนใหญ่หลุดด้วยวิธีที่ธรรมดากว่านั้นมาก
- ใช้รหัสเดียวกันหลายที่ เมื่อเว็บไซต์ใดเว็บไซต์หนึ่งที่คุณเคยสมัครข้อมูลรั่ว รายชื่ออีเมลกับรหัสผ่านจะถูกนำไปลองเข้าบริการอื่นๆ ทีละบริการ ถ้ารหัสซ้ำกัน บัญชีอื่นก็เปิดได้ทันที
- กรอกในเว็บปลอม ลิงก์ที่ส่งมาทาง SMS แชท หรืออีเมลพาไปหน้าล็อกอินที่หน้าตาเหมือนของจริง เมื่อกรอกรหัสลงไป ข้อมูลก็ไปถึงมิจฉาชีพ
- ถูกหลอกขอรหัสยืนยัน เช่น "ส่งรหัส 6 หลักผิดเบอร์ ช่วยส่งกลับให้หน่อย" ข้อความนี้มักมาจากบัญชีเพื่อนที่ถูกยึดไปก่อนแล้ว
- รหัสเดาง่าย วันเกิด เบอร์โทร ชื่อคนในบ้าน หรือเลขเรียง ซึ่งหาได้จากโพสต์และโปรไฟล์ของเราเอง
สองข้อแรกแก้ได้ด้วยรหัสที่ไม่ซ้ำและพาสคีย์ ข้อที่สามแก้ด้วยกฎ "รหัสยืนยันไม่บอกใคร" และข้อสุดท้ายแก้ด้วยวิธีตั้งรหัสที่อธิบายด้านล่าง ถ้าเคยมีเพื่อนทักมายืมเงินจากบัญชีที่ถูกแฮก คุณคงเห็นแล้วว่าผลกระทบไม่ได้อยู่ที่เจ้าของบัญชีคนเดียว (อ่านกรณีบัญชี LINE และ Facebook ถูกยึดแล้วยืมเงิน)
ตั้งรหัสผ่านแบบไหนดี: ยาว ไม่ซ้ำ และไม่ต้องจำเองทั้งหมด
คำแนะนำเดิมที่ว่าต้องมีตัวพิมพ์ใหญ่ ตัวเลข และสัญลักษณ์ ยังใช้ได้ แต่สิ่งที่สำคัญกว่าคือ ความยาว และ ไม่ใช้ซ้ำ รหัสสั้นที่ซับซ้อนจำยาก และคนมักจะแก้ด้วยการใช้รหัสเดิมทุกที่ ซึ่งอันตรายกว่า
- ใช้วลีรหัส (passphrase) คือการต่อคำหลายคำที่ไม่เกี่ยวกัน เช่น คำภาษาอังกฤษสี่ห้าคำต่อกันพร้อมตัวเลขหนึ่งตัว จะยาวและจำได้ง่ายกว่ารหัสแปดตัวอักษรที่สุ่มมั่ว อย่าใช้ประโยคดังจากเพลงหรือคำคม เพราะถูกเดาได้
- รหัสสำหรับอีเมลหลักต้องไม่ซ้ำกับที่ไหนเลย เพราะอีเมลคือที่ที่รับลิงก์รีเซ็ตรหัสของบัญชีอื่นทั้งหมด ถ้าอีเมลหลุด ทุกบัญชีหลุดตาม
- ห้ามใช้ข้อมูลส่วนตัว วันเกิด เลขบัตร เบอร์โทร ทะเบียนรถ ชื่อสัตว์เลี้ยง หรือชื่อร้านของคุณเอง
- ไม่ต้องเปลี่ยนรหัสทุกเดือนโดยไม่มีเหตุ การบังคับเปลี่ยนบ่อยทำให้คนเปลี่ยนแค่ตัวเลขท้ายรหัส ให้เปลี่ยนทันทีเมื่อมีเหตุ เช่น เว็บแจ้งว่าข้อมูลรั่ว เคยกรอกในเว็บน่าสงสัย หรือมีแจ้งเตือนล็อกอินแปลก
ตัวจัดการรหัสผ่าน: ทางออกของคนที่มีบัญชีหลายสิบบัญชี
คนทั่วไปมีบัญชีออนไลน์หลายสิบบัญชี การจำรหัสที่ไม่ซ้ำกันทั้งหมดเป็นไปไม่ได้ ตัวจัดการรหัสผ่าน (password manager) ช่วยสร้างรหัสสุ่มที่ยาวและจำไว้ให้ คุณจำแค่รหัสหลักหรือใช้ใบหน้าปลดล็อก
- แบบที่มากับมือถือ Android มีตัวจัดการรหัสผ่านของ Google ที่ผูกกับบัญชี Google ส่วน iPhone มีระบบเก็บรหัสผ่านที่ผูกกับ Apple ID ทั้งสองแบบใช้งานง่ายและเติมรหัสให้อัตโนมัติ
- แบบแอปแยก เหมาะกับคนที่ใช้หลายระบบปนกัน เช่น มือถือ Android กับคอมพิวเตอร์ Mac ให้เลือกตัวที่มีชื่อเสียงและติดตั้งจาก Store ทางการเท่านั้น
- ข้อดีที่คนมักไม่รู้ ตัวจัดการรหัสผ่านจะไม่เติมรหัสให้ในเว็บปลอมที่ชื่อโดเมนไม่ตรง ถ้าวันหนึ่งมันไม่ยอมเติมรหัสให้ ให้หยุดและดูชื่อเว็บก่อน อาจเป็นหน้าปลอม
- ต้องป้องกันตัวจัดการรหัสผ่านเอง เปิด 2FA ให้บัญชี Google หรือ Apple ID ที่ใช้เก็บรหัส และตั้งรหัสล็อกหน้าจอมือถือที่ไม่เดาง่าย
2FA และพาสคีย์: แต่ละแบบปลอดภัยแค่ไหน
การยืนยันตัวตนชั้นที่สองมีหลายรูปแบบ เรียงจากปลอดภัยน้อยไปมากได้ประมาณนี้
- รหัสทาง SMS ใช้ง่ายที่สุดแต่อ่อนที่สุด ถ้าเบอร์ถูกยึดด้วยซิมสวอป หรือคุณถูกหลอกให้อ่านรหัสให้ฟัง ชั้นนี้ก็หายไป
- ยืนยันผ่านแอปที่ล็อกอินอยู่ เช่น การกด "ใช่ ฉันเอง" บนมือถือที่ใช้บัญชีอยู่แล้ว ปลอดภัยกว่า SMS แต่ต้องอ่านให้ดีว่ากดยืนยันอะไร อย่ากดอนุญาตเมื่อคุณไม่ได้กำลังล็อกอิน
- แอปสร้างรหัส (authenticator) สร้างรหัสใหม่ทุกไม่กี่วินาทีในเครื่องของคุณ ไม่ผ่านเครือข่ายมือถือ จึงไม่ได้รับผลจากซิมสวอป แต่ยังถูกหลอกให้อ่านรหัสได้
- พาสคีย์หรือกุญแจความปลอดภัย ผูกกับชื่อเว็บไซต์จริง ใช้ในเว็บปลอมไม่ได้ และไม่มีรหัสให้บอกใคร จึงเป็นแบบที่ต้านการหลอกได้ดีที่สุดในปัจจุบัน
ไม่ว่าจะใช้แบบไหน ต้องเก็บ รหัสสำรอง (backup codes) ที่บริการให้มาตอนเปิด 2FA ไว้ในที่ปลอดภัย เช่น พิมพ์ใส่กระดาษเก็บในลิ้นชักที่บ้าน ถ้ามือถือหายหรือเสีย รหัสสำรองคือทางกลับเข้าบัญชีของคุณ
ตั้งค่าทีละบัญชี: อีเมล LINE Facebook และแอปธนาคาร
ชื่อเมนูอาจเปลี่ยนตามเวอร์ชันของแอป ถ้าหาไม่เจอ ให้ค้นในหน้าตั้งค่าด้วยคำว่า "ความปลอดภัย" "รหัสผ่าน" หรือ "ยืนยันตัวตน"
อีเมลหลัก (เช่น Gmail):
- เข้าไปที่การตั้งค่าบัญชี หมวดความปลอดภัย เปิด "การยืนยันแบบ 2 ขั้นตอน" และเพิ่มพาสคีย์ถ้ามีให้เลือก
- ตรวจเบอร์โทรและอีเมลกู้คืนบัญชีว่ายังเป็นของคุณ เบอร์เก่าที่เลิกใช้แล้วอาจถูกนำไปเปิดใหม่โดยคนอื่น
- ดูรายการอุปกรณ์ที่ล็อกอินอยู่ และออกจากระบบเครื่องที่ไม่รู้จัก
LINE:
- ลงทะเบียนอีเมลและตั้งรหัสผ่านในหน้าบัญชี เพื่อให้ย้ายเครื่องได้และกู้บัญชีคืนได้
- ถ้าไม่ได้ใช้ LINE บนคอมพิวเตอร์ ให้ปิดการอนุญาตให้ล็อกอินจากอุปกรณ์อื่นในหน้าบัญชี ถ้าใช้ ให้ตรวจรายการอุปกรณ์ที่ล็อกอินอยู่เป็นระยะ
- LINE จะแจ้งในแชทเมื่อมีการล็อกอินจากคอมพิวเตอร์หรือเว็บ ถ้าเห็นการล็อกอินที่คุณไม่ได้ทำ ให้ออกจากระบบอุปกรณ์นั้นและเปลี่ยนรหัสผ่านทันที
- เมื่อล็อกอิน LINE บนคอมพิวเตอร์ ระบบจะให้กรอกเลขยืนยันบนมือถือ ห้ามบอกเลขนี้กับใคร ถ้ามีคนขอ แปลว่ากำลังจะยึดบัญชีคุณ
- ตั้งรหัสล็อกแอปในหมวดความเป็นส่วนตัว ถ้าคนในบ้านใช้มือถือร่วมกันหรือเครื่องหยิบง่าย
Facebook และ Messenger:
- เข้าศูนย์บัญชี (Accounts Center) ในเมนูการตั้งค่า เปิดการยืนยันตัวตนแบบสองขั้นตอน เลือกแอปสร้างรหัสหรือกุญแจความปลอดภัยถ้าใช้ได้
- Meta เริ่มให้ใช้พาสคีย์กับ Facebook บนมือถือ iOS และ Android และพาสคีย์เดียวกันใช้กับ Messenger ได้ ถ้าเห็นตัวเลือกนี้ในศูนย์บัญชี แนะนำให้เปิด
- เปิดการแจ้งเตือนเมื่อมีการเข้าสู่ระบบที่ไม่รู้จัก และตรวจรายการ "ตำแหน่งที่คุณเข้าสู่ระบบ"
- ถ้าเป็นแอดมินเพจร้านค้า ต้องเปิด 2FA ให้บัญชีส่วนตัวทุกคนที่มีสิทธิ์จัดการเพจ เพราะเพจถูกยึดผ่านบัญชีแอดมินที่อ่อนที่สุด
แอปธนาคาร:
- แอปธนาคารในไทยมีชั้นยืนยันตัวตนของตัวเองอยู่แล้ว คือผูกกับเครื่องเดียว ใช้ PIN และสแกนใบหน้าเมื่อทำรายการตามเกณฑ์ สิ่งที่คุณต้องทำคือตั้ง PIN ที่ไม่ซ้ำกับรหัสปลดล็อกหน้าจอหรือรหัสบัตร ATM
- ห้ามบอก PIN หรือ OTP ของธนาคารกับใคร และไม่สแกนใบหน้าตามคำสั่งของคนที่คุยโทรศัพท์อยู่
- ลดวงเงินโอนต่อวันให้ใกล้กับที่ใช้จริง และเปิดแจ้งเตือนเงินออกทุกรายการ เพื่อให้รู้ตัวเร็วถ้ามีคนเข้าถึงบัญชีได้
ลำดับความสำคัญ: ถ้ามีเวลาแค่ 30 นาที ทำอะไรก่อน
- นาทีที่ 1-10: เปลี่ยนรหัสอีเมลหลักให้ยาวและไม่ซ้ำ เปิด 2FA หรือพาสคีย์ เก็บรหัสสำรอง
- นาทีที่ 10-15: ทำแบบเดียวกันกับบัญชี Google หรือ Apple ID ของมือถือ (ถ้าเป็นบัญชีเดียวกับอีเมลหลักก็ข้ามได้)
- นาทีที่ 15-20: LINE: ตรวจอีเมลที่ลงทะเบียน ตรวจอุปกรณ์ที่ล็อกอิน ปิดการล็อกอินจากอุปกรณ์อื่นถ้าไม่ใช้
- นาทีที่ 20-25: Facebook: เปิด 2FA หรือพาสคีย์ในศูนย์บัญชี ออกจากระบบอุปกรณ์ที่ไม่รู้จัก
- นาทีที่ 25-30: แอปธนาคาร: เปลี่ยน PIN ที่ซ้ำกับรหัสอื่น เปิดสแกนใบหน้าและแจ้งเตือน
หลังจากนั้นค่อยทยอยเปลี่ยนรหัสบัญชีอื่นๆ เช่น แอปช้อปปิ้ง แอปส่งอาหาร และบริการที่ผูกบัตรไว้ ให้ตัวจัดการรหัสผ่านสร้างรหัสใหม่ให้ทีละบัญชีเมื่อคุณล็อกอินครั้งถัดไป
บทหลอกขอรหัสยืนยันที่ควรรู้ (เรียบเรียงใหม่)
ต่อให้ตั้งค่าดีแค่ไหน ถ้าบอกรหัสยืนยันให้คนอื่น ชั้นป้องกันก็หายไปทันที ตัวอย่างข้อความที่พบบ่อยมีลักษณะประมาณนี้
- "เพื่อน" ทักมาว่า "เราส่งรหัสยืนยันผิดไปเบอร์แก ช่วยแคปส่งกลับให้หน่อย" ความจริงคือรหัสนั้นคือรหัสยึดบัญชีของคุณเอง
- สายอ้างเป็นเจ้าหน้าที่ บอกว่า "บัญชีคุณมีความผิดปกติ ระบบจะส่งรหัสไปให้ ช่วยอ่านให้ฟังเพื่อยืนยันว่าเป็นเจ้าของ"
- ข้อความอ้างเป็นแพลตฟอร์ม บอกว่า "เพจของคุณละเมิดนโยบาย กดลิงก์เพื่ออุทธรณ์ภายใน 24 ชั่วโมง" แล้วพาไปหน้าให้กรอกรหัสผ่านและรหัส 2FA
- คนซื้อของออนไลน์บอกว่า "จะโอนเงินผ่านระบบ ขอรหัสที่ส่งไปยืนยันการรับเงิน" ซึ่งไม่มีระบบรับเงินไหนทำแบบนี้
กฎข้อเดียวที่ใช้ได้ทุกกรณี: รหัสยืนยันตัวตนใช้กรอกเองในแอปหรือเว็บที่คุณเปิดเองเท่านั้น ไม่มีเหตุผลใดที่ต้องบอกรหัสนี้กับคนอื่น ถ้าสายที่ขอรหัสโทรมาจากเบอร์ที่ไม่รู้จัก ให้เช็คเบอร์และรายงานเบอร์เพื่อเตือนคนอื่น
ถ้าคิดว่ารหัสหลุดไปแล้ว
- ยังเข้าบัญชีได้: เปลี่ยนรหัสผ่านทันที ออกจากระบบทุกอุปกรณ์ เปิด 2FA ตรวจอีเมลและเบอร์กู้คืนว่าไม่ถูกเปลี่ยน แล้วเปลี่ยนรหัสบัญชีอื่นที่เคยใช้รหัสเดียวกัน
- เข้าบัญชีไม่ได้แล้ว: ใช้ขั้นตอนกู้บัญชีของบริการนั้นจากหน้าเว็บหรือแอปทางการเท่านั้น ระวังคนที่อ้างว่ารับกู้บัญชีให้ เพราะมักเป็นการหลอกซ้ำ และแจ้งเพื่อนว่าบัญชีถูกยึด อย่าโอนเงินตามข้อความจากบัญชีนั้น
- บัญชีที่ถูกยึดเกี่ยวกับเงิน: ติดต่อธนาคารหรือผู้ให้บริการผ่านเบอร์ทางการทันที และทำตามเช็กลิสต์โดนหลอกโอนเงิน
คำถามที่พบบ่อย
2FA คืออะไร
การยืนยันตัวตนสองชั้น คือการเข้าสู่ระบบที่ต้องใช้สองอย่าง เช่น รหัสผ่านที่คุณรู้ บวกกับรหัสจากแอปหรือมือถือที่คุณถืออยู่ ถ้ามีคนได้รหัสผ่านไป เขายังเข้าบัญชีไม่ได้ถ้าไม่มีชั้นที่สอง
รหัส 2FA ทาง SMS ปลอดภัยพอไหม
ดีกว่าไม่มี แต่ SMS ถูกดักหรือถูกหลอกขอได้ และถ้าเบอร์ถูกยึดด้วยซิมสวอป รหัสก็ไปอยู่กับคนอื่น ถ้าบริการรองรับ ให้ใช้แอปยืนยันตัวตนหรือพาสคีย์แทน
พาสคีย์ (Passkey) ต่างจากรหัสผ่านอย่างไร
พาสคีย์เป็นกุญแจดิจิทัลที่เก็บในมือถือหรืออุปกรณ์ของคุณ ปลดล็อกด้วยใบหน้า ลายนิ้วมือ หรือรหัสหน้าจอ ไม่มีรหัสให้พิมพ์ จึงไม่มีอะไรให้มิจฉาชีพหลอกให้กรอกในเว็บปลอม
ใช้ตัวจัดการรหัสผ่านเสี่ยงไหม ถ้ามันโดนแฮก
ทุกวิธีมีความเสี่ยง แต่สำหรับคนทั่วไป ความเสี่ยงจากการใช้รหัสเดียวกันทุกเว็บสูงกว่ามาก ให้เลือกตัวจัดการที่มากับระบบหรือที่มีชื่อเสียง ตั้งรหัสหลักที่ยาว และเปิด 2FA ให้บัญชีที่เก็บรหัสด้วย
ถ้ามีคนโทรมาขอรหัส 2FA บอกได้ไหม
ไม่ได้ ไม่ว่าเขาจะอ้างเป็นธนาคาร ค่ายมือถือ หรือแพลตฟอร์มใด บริษัทจริงไม่มีเหตุให้ขอรหัสยืนยันตัวตนทางโทรศัพท์หรือแชท
อ่านต่อ: บัญชี LINE/Facebook ถูกแฮกแล้วยืมเงิน · ซิมสวอปและ OTP · SMS ปลอมจากธนาคาร