รหัสผ่านอย่างเดียวไม่พออีกต่อไป ทำไมคุณต้องเปิด 2FA
คุณอาจเคยเห็นข้อความแบบนี้เวลาล็อกอินเข้าแอป "กรุณากรอกรหัส 6 หลักที่ส่งไปยังมือถือของคุณ" นั่นคือ 2FA กำลังทำงานอยู่ หลายคนรู้สึกว่ามันน่ารำคาญ ต้องกรอกรหัสเพิ่มอีกขั้น แต่ขั้นตอนที่เพิ่มมานี้คือสิ่งที่กั้นระหว่างบัญชีของคุณกับคนที่อยากเข้ามาขโมยข้อมูลหรือเงิน
บทความนี้จะอธิบายว่า 2FA คืออะไร ทำงานอย่างไร และช่วยคุณได้จริงแค่ไหน แม้ในวันที่รหัสผ่านของคุณหลุดไปแล้ว
2FA คืออะไร
2FA ย่อมาจาก Two-Factor Authentication หรือการยืนยันตัวตนสองชั้น
ปกติเวลาล็อกอิน คุณใช้แค่รหัสผ่าน นั่นคือการยืนยันตัวตนชั้นเดียว ปัญหาคือถ้ารหัสผ่านหลุด ใครก็ตามที่มีรหัสนั้นก็เข้าบัญชีคุณได้ทันที
2FA เพิ่มการยืนยันตัวตนชั้นที่สองเข้าไป หลักคิดคือการยืนยันตัวตนที่ดีควรมาจากสองสิ่งที่ต่างกัน
- สิ่งที่คุณรู้ เช่น รหัสผ่าน
- สิ่งที่คุณมี เช่น มือถือของคุณ ที่รับรหัสยืนยันได้
เมื่อต้องใช้ทั้งสองอย่าง คนที่รู้แค่รหัสผ่านของคุณจะยังเข้าไม่ได้ เพราะเขาไม่มีมือถือของคุณอยู่ในมือ
ทำไมแค่รหัสผ่านถึงไม่พอ
หลายคนเชื่อว่ารหัสผ่านที่ตั้งไว้ดีแล้วก็น่าจะปลอดภัย แต่ในความจริง รหัสผ่านหลุดออกไปได้หลายทางโดยที่คุณไม่รู้ตัว
- เว็บไซต์ที่คุณเคยสมัครถูกโจมตี และฐานข้อมูลรหัสผ่านรั่วออกมา
- คุณเผลอกรอกรหัสผ่านในหน้าเว็บปลอมที่หลอกให้เข้าใจว่าเป็นของจริง
- คุณใช้รหัสผ่านเดียวกันหลายเว็บ พอหลุดที่เดียวก็โดนทุกที่
- มีโปรแกรมแอบดักจับสิ่งที่คุณพิมพ์บนเครื่องที่ติดมัลแวร์
ประเด็นสำคัญคือ คุณมักไม่รู้เลยว่ารหัสผ่านหลุดไปแล้ว จนกว่าจะมีคนใช้มันเข้าบัญชีคุณ นี่คือจุดที่ 2FA เข้ามาช่วย ถึงรหัสผ่านจะหลุด คนร้ายก็ยังติดกำแพงชั้นที่สองอยู่ดี ถ้าอยากรู้ว่าทำไมรหัสผ่านซ้ำถึงอันตราย อ่านเพิ่มได้ที่ แฮกเกอร์ไม่ได้เดารหัสผ่านคุณ เขารู้อยู่แล้ว
2FA มีกี่แบบ และแบบไหนปลอดภัยกว่ากัน
2FA ที่เจอบ่อยมีสามแบบหลัก แต่ละแบบปลอดภัยไม่เท่ากัน
1. รหัส OTP ทาง SMS
ระบบส่งรหัส 6 หลักมาทาง SMS ให้คุณกรอก แบบนี้ใช้ง่ายที่สุดและพบมากที่สุด
ข้อดีคือสะดวก ไม่ต้องติดตั้งอะไรเพิ่ม ข้อเสียคือมันปลอดภัยน้อยที่สุดในสามแบบ เพราะ SMS ถูกดักหรือถูกหลอกเอารหัสไปได้ มิจฉาชีพบางกลุ่มโทรมาหลอกให้คุณอ่านรหัส OTP ให้ฟัง แล้วเอาไปล็อกอินแทนคุณ
จำไว้ว่าไม่มีเจ้าหน้าที่จริงคนไหนขอรหัส OTP จากคุณ ถ้ามีคนขอ นั่นคือมิจฉาชีพ
2. แอป Authenticator
เช่น Google Authenticator หรือ Microsoft Authenticator แอปพวกนี้สร้างรหัส 6 หลักที่เปลี่ยนทุก 30 วินาทีอยู่บนเครื่องคุณ
แบบนี้ปลอดภัยกว่า SMS เพราะแอปสร้างรหัสในเครื่องคุณโดยตรง ไม่ได้ส่งผ่านเครือข่ายมือถือที่ดักได้ ถึงไม่มีสัญญาณอินเทอร์เน็ตก็ยังใช้ได้ ข้อแลกเปลี่ยนคือคุณต้องติดตั้งแอปและตั้งค่าครั้งแรกเอง
3. กุญแจความปลอดภัยแบบฮาร์ดแวร์
เป็นอุปกรณ์ชิ้นเล็กที่เสียบหรือแตะกับเครื่องเพื่อยืนยันตัวตน แบบนี้ปลอดภัยที่สุด แต่ต้องซื้ออุปกรณ์และเหมาะกับคนที่ต้องการการป้องกันระดับสูง เช่น ผู้ดูแลระบบหรือผู้บริหาร
เลือกแบบไหนดี
ถ้าเลือกได้ ให้ใช้แอป Authenticator แทน SMS แต่ถ้าบริการนั้นมีให้แค่ SMS การเปิด 2FA แบบ SMS ก็ยังดีกว่าไม่เปิดอะไรเลย
2FA ช่วยคุณได้จริงแค่ไหน
ลองนึกภาพสถานการณ์จริง สมมติรหัสผ่านอีเมลของคุณหลุดไปพร้อมกับข้อมูลของเว็บหนึ่งที่ถูกโจมตี
ถ้าคุณไม่ได้เปิด 2FA คนร้ายเอารหัสไปล็อกอินได้ทันที เข้าถึงอีเมล รูปภาพ และอาจใช้อีเมลนั้นไปกดรีเซ็ตรหัสผ่านของบัญชีอื่นต่อได้อีก
ถ้าคุณเปิด 2FA ไว้ พอคนร้ายกรอกรหัสผ่านถูก ระบบจะขอรหัสยืนยันชั้นที่สองซึ่งอยู่ในมือถือของคุณ คนร้ายไม่มีมือถือคุณจึงไปต่อไม่ได้ และคุณมักได้รับการแจ้งเตือนว่ามีคนพยายามเข้าบัญชี ทำให้รู้ตัวและรีบเปลี่ยนรหัสผ่านได้ทัน
2FA ไม่ได้แปลว่าปลอดภัยร้อยเปอร์เซ็นต์ ไม่มีมาตรการไหนกันได้ทุกอย่าง แต่มันทำให้การเจาะบัญชีของคุณยากขึ้นมาก จนคนร้ายส่วนใหญ่เลือกไปหาเป้าหมายที่ง่ายกว่า
ควรเปิด 2FA กับบัญชีไหนบ้าง
ถ้ายังไม่เคยเปิดเลย เริ่มจากบัญชีที่สำคัญที่สุดก่อน
- อีเมลหลัก เพราะเป็นกุญแจที่ใช้รีเซ็ตรหัสผ่านบัญชีอื่นได้เกือบทั้งหมด
- แอปธนาคารและบัญชีที่เกี่ยวกับเงิน
- โซเชียลมีเดียที่มีข้อมูลส่วนตัวหรือใช้ติดต่อคนอื่น
- บัญชีที่เก็บข้อมูลงานหรือไฟล์สำคัญ
ข้อควรรู้ก่อนเริ่ม
เตรียมสองอย่างนี้ไว้ก่อนเปิด 2FA เพื่อไม่ให้ตัวเองล็อกออกจากบัญชี
- เก็บรหัสสำรอง เวลาเปิด 2FA บริการส่วนใหญ่จะให้ชุดรหัสสำรอง (backup codes) มา บันทึกไว้ในที่ปลอดภัย ใช้ตอนที่มือถือหาย
- คิดเผื่อกรณีเปลี่ยนมือถือ ถ้าใช้แอป Authenticator ให้ดูวิธีย้ายข้อมูลไปเครื่องใหม่ไว้ล่วงหน้า จะได้ไม่ยุ่งยากตอนเปลี่ยนเครื่อง
Passkey ตัวเลือกที่เหนือกว่ารหัส OTP
ถ้าบริการหรือบัญชีที่คุณใช้อยู่รองรับ Passkey ขอแนะนำให้เปิดใช้งาน เพราะใช้งานสะดวกกว่าและปิดจุดอ่อนที่รหัส OTP ยังมีอยู่
Passkey คือรูปแบบการล็อกอินที่ใหม่ที่สุด จุดเด่นคือไม่มีรหัสให้ถูกหลอกเอาไป Passkey เป็นกุญแจเข้ารหัสที่เก็บอยู่ในมือถือหรือแล็ปท็อปของคุณ ปลดล็อกด้วยลายนิ้วมือ ใบหน้า หรือ PIN ของเครื่อง เวลาล็อกอิน เครื่องของคุณจะพิสูจน์ว่าถือกุญแจนี้อยู่ โดยไม่ต้องส่งความลับที่คนร้ายเอาไปใช้ซ้ำได้
Passkey แข็งแรงกว่าแอป Authenticator ด้วยสองเหตุผล
- ไม่มีอะไรให้อ่านออกเสียงหรือพิมพ์ มิจฉาชีพโทรมาหลอกเอา passkey ไม่ได้ และหน้าเว็บปลอมก็ดักไม่ได้ เพราะ passkey ใช้ได้เฉพาะกับเว็บจริงที่สร้างมันขึ้นมาเท่านั้น
- ความลับไม่เคยออกจากเครื่องคุณ ไม่มีรหัสวิ่งผ่านเครือข่ายหรือ SMS ให้ดักได้
ตอนนี้ Google, Apple, Microsoft รวมถึงธนาคารและแอปโซเชียลอีกหลายเจ้ารองรับ passkey แล้ว ส่วนบริการที่ยังไม่รองรับ ก็เก็บแอป Authenticator ไว้เป็นตัวสำรองได้
เปิดใช้งานวันนี้เลย
ใช้เวลาไม่กี่นาทีเปิด 2FA กับอีเมลและแอปธนาคารของคุณ และถ้าเลือกได้ ให้ใช้แอป Authenticator แทน SMS หรือใช้ passkey กับบริการที่รองรับ มันคือการลงทุนเล็ก ๆ ที่คุ้มค่าที่สุดอย่างหนึ่งสำหรับความปลอดภัยของคุณ
สำหรับองค์กร การเปิด 2FA เป็นแค่จุดเริ่มต้น การหลอกเอารหัส OTP และการโจมตีแบบฟิชชิงยังเป็นช่องทางที่คนร้ายใช้ได้ผล ทีม Reconix ช่วยองค์กรวัดความเสี่ยงเหล่านี้ด้วย การจำลองการโจมตีแบบฟิชชิง และ การอบรมสร้างความตระหนักด้านความปลอดภัย ให้พนักงานรู้ทันก่อนของจริงจะมาถึง
บริการที่เกี่ยวข้อง
- การจำลองการโจมตีแบบฟิชชิง
- การอบรมสร้างความตระหนักด้านความปลอดภัยไซเบอร์
- ที่ปรึกษาด้านความมั่นคงปลอดภัยไซเบอร์
