การยืนยันตัวตนสองปัจจัย: ทำไมทุกบัญชีควรมี

รหัสผ่านเพียงอย่างเดียวเป็นจุดล้มเหลวจุดเดียว หากถูกเดา ถูกใช้ซ้ำกับเว็บไซต์ที่ภายหลังถูกเจาะ หรือถูกพิมพ์ลงในหน้าเข้าสู่ระบบปลอมที่ดูสมจริง ใครที่ถือรหัสผ่านนั้นก็เข้าสู่ระบบในนามคุณได้ การยืนยันตัวตนสองปัจจัย หรือเรียกสั้น ๆ ว่า 2FA เพิ่มการตรวจสอบชั้นที่สองที่ไม่เกี่ยวกับสิ่งที่คุณรู้ แต่เป็นสิ่งที่คุณมี เช่น โทรศัพท์หรือกุญแจที่จับต้องได้ หรือสิ่งที่เป็นตัวคุณ เช่น ลายนิ้วมือ

ผลคือรหัสผ่านที่ถูกขโมยไม่เพียงพออีกต่อไป ผู้โจมตีที่มีรหัสผ่านของคุณยังต้องมีรหัสจากแอปยืนยันตัวตน การแตะ security key หรือการอนุมัติบนอุปกรณ์ที่คุณไว้ใจ การโจมตีบัญชีทั่วไปจำนวนมากเป็นแบบอัตโนมัติและฉวยโอกาส ขั้นตอนพิเศษนี้จึงพาคุณออกจากกลุ่มเป้าหมายที่โจมตีง่าย และทำให้การยึดบัญชียากขึ้นมาก

2FA ไม่ได้มาแทนรหัสผ่านที่ดี มันได้ผลดีที่สุดเมื่อวางบนรหัสผ่านที่ยาวและไม่ซ้ำกันซึ่งเก็บในตัวจัดการรหัสผ่าน ทั้งสองอย่างช่วยปิดจุดอ่อนของกันและกัน รหัสผ่านที่ไม่ซ้ำจำกัดความเสียหายจากการรั่วไหลที่อื่น และปัจจัยที่สองปกป้องคุณเมื่อรหัสผ่านรั่วไหลไปแล้ว

แอปยืนยันตัวตนสร้างรหัสสั้น ๆ ชุดใหม่ ซึ่งมักเป็นเลขหกหลักและเปลี่ยนทุก 30 วินาที จากความลับที่บริการใช้ร่วมกับแอปเมื่อคุณสแกน QR code ทำงานได้แบบออฟไลน์ มักไม่มีค่าใช้จ่าย และแพลตฟอร์มใหญ่ ๆ ส่วนใหญ่รองรับ จึงเป็นค่าเริ่มต้นที่เหมาะสมสำหรับคนส่วนใหญ่

security key แบบฮาร์ดแวร์เป็นอุปกรณ์ USB, NFC หรือ Bluetooth ขนาดเล็กที่คุณแตะหรือเสียบเมื่อเข้าสู่ระบบ ส่วน passkey ใช้หลักการคล้ายกันแต่อยู่บนโทรศัพท์หรือคอมพิวเตอร์ของคุณ และปลดล็อกด้วยลายนิ้วมือ ใบหน้า หรือ PIN ของอุปกรณ์ ทั้งสองแบบผูกกับที่อยู่เว็บไซต์จริง จึงไม่ตอบสนองต่อหน้าฟิชชิงที่ทำเลียนแบบ นั่นทำให้เป็นตัวเลือกที่แข็งแรงที่สุดสำหรับผู้ใช้ทั่วไป

การแจ้งเตือนแบบพุชขอให้คุณอนุมัติการเข้าสู่ระบบบนอุปกรณ์ที่ล็อกอินอยู่แล้ว รหัส SMS และรหัสทางโทรศัพท์ส่งรหัสใช้ครั้งเดียวไปยังหมายเลขของคุณ รหัสสำรองเป็นรายการรหัสที่ใช้ได้ครั้งเดียว สำหรับกรณีฉุกเฉินเมื่อวิธีปกติใช้ไม่ได้ บริการส่วนใหญ่ให้เปิดได้มากกว่าหนึ่งวิธี และคุณควรทำเช่นนั้น คือมีวิธีหลักหนึ่งวิธีบวกวิธีสำรองอย่างน้อยหนึ่งวิธี

รหัสข้อความดีกว่าการไม่มีปัจจัยที่สองอยู่มาก แต่ขึ้นอยู่กับหมายเลขโทรศัพท์ของคุณ ซึ่งคุณควบคุมได้ไม่เต็มที่ ใน SIM swap ผู้ร้ายโน้มน้าวหรือติดสินบนคนในผู้ให้บริการมือถือให้ย้ายหมายเลขของคุณไปยังซิมการ์ดที่เขาถืออยู่ ตั้งแต่นั้น ทุกรหัสที่ส่งถึงคุณจะไปที่โทรศัพท์ของเขา

รหัส SMS ยังถูกฟิชชิงได้เหมือนรหัสผ่าน หน้าเข้าสู่ระบบปลอมขอรหัส แล้วผู้โจมตีส่งต่อไปยังเว็บไซต์จริงภายในไม่กี่วินาที คุณยังเสียการเข้าถึงได้ด้วยเหตุที่ธรรมดากว่านั้น เช่น เดินทางโดยไม่ได้เปิดโรมมิ่ง เปลี่ยนผู้ให้บริการ หรือปล่อยให้หมายเลขเติมเงินหมดอายุแล้วถูกนำไปออกให้คนอื่นในภายหลัง

หากบริการมีแอปยืนยันตัวตน security key หรือ passkey ให้เปลี่ยนไปใช้แบบใดแบบหนึ่ง และเก็บ SMS ไว้เป็นทางสำรองเท่านั้น หรือลบออกทั้งหมดหากบริการอนุญาต เมื่อ SMS เป็นทางเลือกเดียว ให้ปกป้องหมายเลขนั้นเอง ผู้ให้บริการมือถือหลายรายให้ตั้ง PIN ของบัญชีหรือการล็อกการโอนย้าย ซึ่งทำให้การย้ายหมายเลขโดยไม่ได้รับอนุญาตทำได้ยากขึ้น

เริ่มจากบัญชีที่ปลดล็อกทุกอย่างที่เหลือ อีเมลหลักของคุณมาก่อน เพราะเป็นที่รับลิงก์รีเซ็ตรหัสผ่าน ตามด้วยบัญชี Apple, Google หรือ Microsoft ของคุณ ตัวจัดการรหัสผ่าน และบัญชีใดก็ตามที่เก็บเงินหรือข้อมูลมีค่า เมื่อป้องกันชุดนั้นแล้ว ค่อยไล่ไปที่โซเชียลเน็ตเวิร์ก แอปแชตอย่าง Telegram และ Discord และบัญชีอื่น ๆ

ตัวเลือกนี้มักอยู่ในการตั้งค่าความปลอดภัยของบัญชี ภายใต้ชื่ออย่างการยืนยันแบบสองขั้นตอน การยืนยันตัวตนสองปัจจัย หรือการยืนยันการเข้าสู่ระบบ เลือกตัวเลือกแอปยืนยันตัวตนหรือ security key สแกน QR code ด้วยแอปของคุณ แล้วพิมพ์รหัสที่แอปแสดงเพื่อยืนยันว่าทุกอย่างทำงาน หากบริการรองรับ passkey การเพิ่ม passkey บนโทรศัพท์และคอมพิวเตอร์จะให้วิธีเข้าสู่ระบบที่ทั้งสะดวกและต้านการฟิชชิงได้

ก่อนปิดหน้าตั้งค่า ให้บันทึกรหัสสำรอง เพิ่มวิธีที่สองหากทำได้ และตรวจว่าอีเมลและหมายเลขโทรศัพท์สำหรับกู้คืนบัญชียังเป็นปัจจุบันและเป็นของคุณ จากนั้นออกจากระบบแล้วเข้าใหม่หนึ่งครั้ง เพื่อให้รู้ว่าหน้าจอยืนยันหน้าตาเป็นอย่างไรก่อนที่คุณจะต้องพึ่งพามันจริง

รหัสสำรองคือทางกลับเข้าบัญชีเมื่อโทรศัพท์ของคุณหาย พัง หรือถูกรีเซ็ต แต่ละรหัสใช้ได้เพียงครั้งเดียว และในหลายบริการ การสร้างชุดใหม่จะยกเลิกชุดเก่า ให้ถือเหมือนกุญแจบ้านสำรอง จำเป็นเมื่อต้องใช้ ไร้ประโยชน์หากหาไม่เจอ และอันตรายหากคนแปลกหน้าหาเจอ

ที่เก็บที่ดี ได้แก่ สำเนากระดาษที่เก็บรวมกับเอกสารสำคัญ หรือโน้ตที่เข้ารหัสในตัวจัดการรหัสผ่านซึ่งเปิดได้โดยไม่ต้องใช้โทรศัพท์ที่มีแอปยืนยันตัวตนของคุณ ที่เก็บที่ไม่ดี ได้แก่ กล่องอีเมลของคุณ แอปโน้ตที่ไม่ได้ล็อก ภาพหน้าจอในแกลเลอรีรูปภาพ หรือไฟล์บนอุปกรณ์เครื่องเดียวกับที่สร้างรหัสของคุณ เพราะหากอุปกรณ์เครื่องนั้นหาย คุณจะถูกล็อกออกจากบัญชีทั้งหมด

ขีดฆ่ารหัสแต่ละตัวเมื่อใช้แล้ว และสร้างชุดใหม่เมื่อเหลือน้อย หากสงสัยว่ามีคนเห็นรหัสของคุณ ให้สร้างใหม่โดยเร็วเพื่อให้รายการเก่าใช้ไม่ได้

หากคุณได้บัญชีมาจากคนอื่น ไม่ว่าจะเป็นเพื่อนร่วมงานส่งมอบบัญชีโปรเจกต์ หรือซื้อจากตลาดสินค้าดิจิทัล ให้สมมติว่าผู้ถือคนก่อนอาจยังเข้าถึงได้ เป้าหมายคือทำให้คุณเป็นคนเดียวที่เข้าสู่ระบบได้ และให้ใช้บัญชีตามข้อกำหนดการใช้งานของแบรนด์เสมอ

ทำตามลำดับนี้ เปลี่ยนรหัสผ่านเป็นรหัสใหม่ที่ไม่ซ้ำ อัปเดตอีเมลและโทรศัพท์สำหรับกู้คืนบัญชีเป็นของที่คุณควบคุม ลบแอปยืนยันตัวตน security key หรืออุปกรณ์ที่เชื่อถือซึ่งคุณไม่ได้เพิ่ม แล้วเปิด 2FA ด้วยแอปของคุณและสร้างรหัสสำรองชุดใหม่ สุดท้ายตรวจเซสชันที่ใช้งานอยู่และออกจากระบบทุกอุปกรณ์ยกเว้นของคุณ

บน rStock เนื้อหาที่ส่งมอบจะปรากฏบนหน้าคำสั่งซื้อของคุณเป็นบันทึกการส่งมอบที่เชื่อมกับคำสั่งซื้อ คุณจึงคัดลอกรายละเอียดจากตรงนั้นเข้าตัวจัดการรหัสผ่านได้เลย เงินของคุณจะถูกพักไว้ แทนที่จะถูกโอนให้ร้านค้าไปเลย และหากบัญชีที่ส่งมอบใช้งานไม่ได้ตามที่ระบุ คุณเปิดข้อพิพาทได้ภายในช่วงเวลาจำกัดหลังการส่งมอบ ร้านค้าตอบก่อน และเรียกผู้ดูแลได้หากตกลงกันไม่ได้ การรักษาความปลอดภัยและตรวจบัญชีโดยเร็วช่วยให้คุณสังเกตปัญหาได้ขณะที่ช่วงเวลานั้นยังเปิดอยู่ rStock ไม่ได้มีส่วนเกี่ยวข้องกับแบรนด์ใดที่กล่าวถึงในบทความนี้

การอนุมัติการแจ้งเตือนแบบพุชที่คุณไม่ได้เริ่มเองเป็นวิธีที่รู้จักกันดีที่ทำให้ 2FA ล้มเหลว หากคำขอปรากฏขึ้นขณะที่คุณไม่ได้เข้าสู่ระบบ ให้ปฏิเสธและเปลี่ยนรหัสผ่าน เพราะมีคนถือรหัสผ่านของคุณอยู่แล้ว เช่นเดียวกัน หากมีใครโทรหรือเขียนมาขอให้อ่านรหัสให้ฟัง บริการที่ถูกต้องไม่จำเป็นต้องให้คุณแชร์รหัสใช้ครั้งเดียวกับใคร

อีกข้อผิดพลาดคือปกป้องบัญชีด้วย 2FA แต่ทิ้งเส้นทางกู้คืนเก่าที่อ่อนแอไว้ เช่น อีเมลที่เลิกใช้แล้วหรือหมายเลขโทรศัพท์ที่ไม่ได้ใช้แล้ว ผู้โจมตีจะอ้อมประตูที่แข็งแรงที่สุดหากประตูที่อ่อนกว่าไม่ได้ล็อก จึงควรทบทวนตัวเลือกกู้คืนทุกครั้งที่เปลี่ยนโทรศัพท์หรือผู้ให้บริการอีเมล

สุดท้าย อย่ารอจนโทรศัพท์เครื่องใหม่มาถึงจึงค่อยวางแผนการย้าย ก่อนเปลี่ยนหรือรีเซ็ตอุปกรณ์ ให้ย้ายรหัสจากแอปยืนยันตัวตน ตรวจว่าใช้ได้บนเครื่องใหม่ แล้วจึงล้างเครื่องเก่า การเตรียมตัวไม่กี่นาทีช่วยประหยัดเวลากู้คืนบัญชีได้หลายชั่วโมง