ความปลอดภัยของบัญชี ตั้งรหัสและกันโดนสวมรอย

ฝั่งระบบมีการเข้ารหัสการเชื่อมต่อตามมาตรฐานอยู่แล้ว แต่ในทางปฏิบัติ ความเสียหายเกือบทั้งหมดเกิดจากฝั่งผู้ใช้ บทความนี้จึงเน้นเฉพาะสิ่งที่คุณควบคุมได้เอง

ทำไมรหัสผ่านที่ใช้ซ้ำถึงอันตรายที่สุด

วิธีที่ผู้โจมตีใช้มากที่สุดไม่ใช่การเดารหัสทีละตัว แต่คือการ นำรหัสที่รั่วจากบริการอื่นมาลองเข้าบัญชีของคุณ โดยอัตโนมัติ

เหตุผลที่ได้ผลคือคนส่วนใหญ่ใช้รหัสเดียวกันหรือรหัสที่คล้ายกันมากในหลายบริการ เมื่อบริการใดบริการหนึ่งข้อมูลรั่ว รหัสนั้นจะถูกนำไปลองกับบริการอื่นทั้งหมดทันที กระบวนการนี้ทำด้วยเครื่องและลองได้นับล้านครั้ง

ทางแก้ที่ได้ผลจริงมีข้อเดียวคือ ใช้รหัสที่ไม่ซ้ำกับที่ไหนเลยสำหรับบัญชีที่เกี่ยวกับเงิน ไม่ว่าจะเป็นบัญชีธนาคาร อีเมลหลัก หรือบัญชีสมาชิกที่ผูกกับบัญชีธนาคาร

ถ้าจำหลายรหัสไม่ไหว ให้ใช้ตัวจัดการรหัสผ่านที่ติดมากับเบราว์เซอร์หรือระบบปฏิบัติการ ซึ่งปลอดภัยกว่าการใช้รหัสซ้ำอย่างเทียบกันไม่ได้

ตั้งรหัสอย่างไรให้ทั้งแข็งแรงและจำได้

คำแนะนำเก่าที่ให้ใช้ตัวอักษรพิเศษปนตัวเลขจนอ่านไม่ออก มักทำให้คนจดใส่กระดาษหรือใช้รูปแบบซ้ำ ๆ ซึ่งแย่กว่าเดิม

วิธีที่ได้ผลกว่าคือใช้ วลีที่ยาวแต่จำง่าย เพราะความยาวมีผลต่อความแข็งแรงมากกว่าความซับซ้อน วลีสี่ห้าคำที่ไม่เกี่ยวข้องกันและไม่ใช่ประโยคที่มีอยู่จริง แข็งแรงกว่ารหัสแปดตัวที่มีสัญลักษณ์ปนอย่างมาก

สิ่งที่ไม่ควรใช้เด็ดขาด

• วันเกิดของตัวเองหรือคนในครอบครัว
• เบอร์โทรศัพท์หรือเลขบัตรใด ๆ
• ชื่อเล่นบวกปี เช่น รูปแบบที่คาดเดาได้ทั่วไป
• รหัสเดิมที่เติมเลขต่อท้ายเพิ่ม ซึ่งเดาได้ง่ายมากถ้ารหัสเดิมเคยรั่ว

จัดการอุปกรณ์และการล็อกอินค้าง

ความเสี่ยงที่คนมองข้ามที่สุดคือการล็อกอินค้างไว้บนเครื่องที่ไม่ใช่ของตัวเองคนเดียว

หลักที่ควรยึด

• ให้เบราว์เซอร์จำรหัสเฉพาะบนเครื่องส่วนตัว ที่มีรหัสล็อกหน้าจอเท่านั้น
• ออกจากระบบทุกครั้ง เมื่อใช้คอมพิวเตอร์ร่วมหรือเครื่องของคนอื่น
• หลีกเลี่ยงการทำธุรกรรมบน Wi-Fi สาธารณะ เพราะเครือข่ายเปิดมีความเสี่ยงสูงกว่าเครือข่ายส่วนตัวอย่างมาก
• ตั้งรหัสล็อกหน้าจอมือถือ ซึ่งเป็นด่านสุดท้ายถ้าเครื่องหาย

ข้อสุดท้ายสำคัญกว่าที่คิด เพราะมือถือที่ปลดล็อกได้ทันทีเท่ากับเปิดทุกบัญชีที่ล็อกอินค้างไว้ให้คนที่เก็บได้ทั้งหมดในคราวเดียว

สิ่งที่ไม่ควรให้ใครเด็ดขาด

รายการนี้ไม่มีข้อยกเว้น ไม่ว่าผู้ขอจะอ้างว่าเป็นใครก็ตาม

• รหัสผ่าน ของบัญชีใด ๆ
• รหัส OTP ที่ส่งเข้ามือถือ
• ภาพถ่ายบัตรประชาชนพร้อมหน้าตัวเอง ที่ส่งให้คนที่ติดต่อมาหาคุณก่อน
• สิทธิ์ควบคุมหน้าจอระยะไกล ผ่านแอปที่ถูกขอให้ติดตั้ง

ข้อสุดท้ายเป็นวิธีที่แพร่หลายขึ้นมากในช่วงหลัง โดยอ้างว่าจะช่วยแก้ปัญหาให้ เมื่อได้สิทธิ์แล้วผู้โจมตีจะเห็นทุกอย่างบนหน้าจอรวมถึงรหัส OTP ที่เด้งขึ้นมา

หลักที่จำง่ายที่สุดคือ ถ้าเขาติดต่อมาหาคุณก่อน ให้ถือว่าไม่ปลอดภัยไว้เสมอ ถ้าต้องการติดต่อฝ่ายบริการ ให้เข้าผ่านช่องทางที่ประกาศไว้ในเว็บทางการเท่านั้น

เก็บหลักฐานไว้ตั้งแต่ยังไม่มีปัญหา

สิ่งที่ช่วยได้มากเมื่อเกิดปัญหาคือหลักฐานที่เก็บไว้ตั้งแต่ตอนที่ยังไม่มีปัญหา

สิ่งที่ควรเก็บเป็นนิสัย

• สลิปทุกรายการฝากถอน พร้อมเวลาที่ทำรายการ
• ภาพหน้าจอหน้าประวัติธุรกรรม เป็นระยะ เช่น ทุกสิ้นเดือน
• บันทึกว่าใช้บัญชีธนาคารใบไหนผูกไว้ เพื่อไม่ให้โอนผิดบัญชีโดยไม่ตั้งใจ

เหตุผลคือเมื่อยอดไม่ตรง การมีเวลาที่แน่นอนและสลิปทำให้ตรวจสอบได้เร็วกว่าการแจ้งด้วยคำพูดมาก และในกรณีที่ต้องแจ้งธนาคาร หลักฐานที่ครบตั้งแต่ต้นมีผลต่อความเร็วในการดำเนินการอย่างมีนัยสำคัญ

สัญญาณว่าบัญชีอาจถูกเข้าถึงแล้ว

ถ้าเจอสิ่งเหล่านี้ ให้เปลี่ยนรหัสทันทีและตรวจสอบรายการย้อนหลังทั้งหมด

• มีรายการที่คุณไม่ได้ทำปรากฏในประวัติ
• ถูกออกจากระบบเองโดยไม่ทราบสาเหตุ
• ได้รับการแจ้งเตือนการเข้าสู่ระบบจากอุปกรณ์หรือสถานที่ที่ไม่ใช่ของคุณ
• ข้อมูลบัญชีธนาคารที่ผูกไว้ถูกเปลี่ยนโดยที่คุณไม่ได้ทำ

ข้อสุดท้ายอันตรายที่สุดเพราะเป็นขั้นตอนที่ผู้โจมตีทำก่อนถอนเงินออก ถ้าเจอข้อนี้ให้ติดต่อฝ่ายบริการผ่านช่องทางทางการทันทีและเปลี่ยนรหัสอีเมลหลักด้วย เพราะอีเมลมักเป็นกุญแจในการรีเซ็ตรหัสของทุกบัญชี

สุดท้าย อย่าใช้บัญชีร่วมกับคนอื่นแม้จะเป็นคนสนิท เพราะบัญชีผูกกับชื่อและบัญชีธนาคารของคุณ เมื่อเกิดปัญหาจะตรวจสอบได้ยากและอาจขัดกับเงื่อนไขการใช้งาน

คำถามที่พบบ่อย