การยืนยันตัวตนสองขั้นตอน (Two-Factor Authentication หรือ 2FA) ปกป้องบัญชีด้วยการขอสองสิ่งที่ต่างกันเมื่อลงชื่อเข้าใช้ คือสิ่งที่คุณรู้ เช่น รหัสผ่าน และสิ่งที่คุณมี เช่น รหัสหกหลักจากแอป Authenticator ในมือถือ แม้มีคนขโมยรหัสผ่านไป ก็เข้าบัญชีไม่ได้ถ้าไม่มีปัจจัยที่สอง
นี่คือหนึ่งในขั้นตอนด้านความปลอดภัยที่ได้ผลที่สุดที่คนทั่วไปทำได้ และมักใช้เวลาตั้งค่าเพียงไม่กี่นาที บทความนี้อธิบายว่า 2FA ทำงานอย่างไร ควรเลือกวิธีไหน และจะเลี่ยงการล็อกตัวเองออกจากบัญชีได้อย่างไร
ทำไมรหัสผ่านอย่างเดียวไม่พอ
รหัสผ่านรั่วไหลได้หลายทาง คนใช้รหัสผ่านเดียวกันในหลายเว็บไซต์ เว็บไซต์ถูกเจาะข้อมูล และหน้าฟิชชิ่งหลอกให้คนพิมพ์ข้อมูลล็อกอินลงฟอร์มปลอม เมื่อรู้รหัสผ่านแล้ว ใครก็ลองใช้กับอีเมล โซเชียลมีเดีย หรือบัญชีช้อปปิ้งออนไลน์ของคุณได้
2FA เพิ่มกุญแจดอกที่สอง รหัสผ่านที่ถูกขโมยอย่างเดียวไม่พออีกต่อไป เพราะผู้บุกรุกต้องมีรหัสจากอุปกรณ์ของคุณด้วย ทำให้การยึดบัญชีแบบที่พบบ่อยหลายรูปแบบยากขึ้นมาก โดยเฉพาะแบบที่อาศัยรหัสผ่านที่ใช้ซ้ำหรือรั่วไหล
ปัจจัยที่สองแบบหลัก ๆ
ปัจจัยที่สองแต่ละแบบแข็งแรงไม่เท่ากัน ตัวเลือกที่พบบ่อยที่สุดคือ
- แอป Authenticator แอปอย่าง Google Authenticator, Microsoft Authenticator และแอปอื่นที่รองรับ จะสร้างรหัสหกหลักใหม่ทุก 30 วินาที รหัสถูกสร้างบนมือถือของคุณ จึงไม่ได้ส่งผ่านเครือข่ายโทรศัพท์
- รหัส SMS ส่งรหัสทางข้อความ ดีกว่าไม่มี 2FA มาก แต่ข้อความอาจถูกดักหรือเบี่ยงทางได้ เช่น ผ่านการฉ้อโกงแบบ SIM swap ที่มิจฉาชีพหลอกให้ผู้ให้บริการมือถือย้ายเบอร์ของคุณไปยังซิมของเขา
- การแจ้งเตือนแบบพุช บางบริการส่งข้อความไปยังแอปในมือถือถามว่า "ใช่คุณหรือไม่?" สะดวก แต่อย่ากดอนุมัติคำขอที่คุณไม่ได้คาดไว้เด็ดขาด
- กุญแจความปลอดภัยและพาสคีย์ (Passkey) กุญแจแบบฮาร์ดแวร์หรือพาสคีย์ที่เก็บในอุปกรณ์เป็นตัวเลือกที่แข็งแรงที่สุดตัวหนึ่ง เพราะออกแบบมาให้ต้านฟิชชิ่ง แต่การรองรับขึ้นกับแต่ละบริการ
สำหรับคนส่วนใหญ่ แอป Authenticator เป็นตัวเลือกที่แข็งแรงและใช้งานได้จริง ถ้าบริการมีแค่ SMS ก็เปิดไว้เถอะ ยังดีกว่าใช้รหัสผ่านอย่างเดียวมาก
แอป Authenticator ทำงานอย่างไร
เมื่อคุณเปิด 2FA ด้วยแอป Authenticator เว็บไซต์จะแสดง QR Code ซึ่งมีรหัสลับ (secret key) อยู่ข้างใน คุณสแกนครั้งเดียวด้วยแอป จากนั้นทั้งแอปและเว็บไซต์จะใช้รหัสลับที่แชร์กันนี้กับเวลาปัจจุบันคำนวณรหัสหกหลักที่ตรงกัน
เพราะรหัสเปลี่ยนทุก 30 วินาที รหัสที่มีคนแอบมองข้ามไหล่ไปก็ใช้ไม่ได้ในเวลาอันสั้น และเพราะรหัสคำนวณบนมือถือ แอปจึงใช้ได้แม้ไม่มีอินเทอร์เน็ต
ข้อสำคัญ: QR Code สำหรับตั้งค่าเป็นข้อมูลที่อ่อนไหว ใครสแกนไปก็สร้างรหัสของคุณได้ อย่าแคปหน้าจอ อย่าแชร์ และอย่าเปิดค้างไว้ให้คนอื่นเห็น
วิธีตั้งค่า 2FA ทีละขั้นตอน
เมนูแต่ละบริการต่างกัน แต่ขั้นตอนมักคล้ายกัน
- ติดตั้งแอป Authenticator ในมือถือ
- ลงชื่อเข้าใช้บัญชีที่ต้องการปกป้อง แล้วเปิดการตั้งค่าความปลอดภัย
- มองหา "Two-factor authentication", "การยืนยันแบบ 2 ขั้นตอน" หรือชื่อคล้ายกัน แล้วเลือกตัวเลือกแอป Authenticator
- สแกน QR Code ที่แสดงบนจอด้วยแอป Authenticator
- พิมพ์รหัสหกหลักจากแอปเพื่อยืนยันว่าใช้ได้
- บันทึกรหัสสำรอง (Backup codes) ที่บริการให้มา (ดูหัวข้อถัดไป)
- ออกจากระบบแล้วลงชื่อเข้าใช้ใหม่ เพื่อเช็กว่าทุกอย่างทำงาน
เริ่มจากบัญชีที่สำคัญที่สุด: อีเมลหลัก (เพราะใช้รีเซ็ตรหัสผ่านอื่นได้) ธนาคาร โซเชียลมีเดีย คลาวด์ และบัญชีใดก็ตามที่เก็บข้อมูลการชำระเงิน ที่ QR-TH คุณเปิดการลงชื่อเข้าใช้สองขั้นตอนด้วยแอป Authenticator ได้จากการตั้งค่าบัญชี ช่วยปกป้อง QR Code และลิงก์สั้นของคุณไม่ให้คนอื่นแก้ไข
รหัสสำรอง: ทางกลับเข้าบัญชีของคุณ
ปัญหา 2FA ที่พบบ่อยที่สุดไม่ใช่การถูกแฮ็ก แต่คือการทำมือถือหาย ถ้ามือถือหาย ถูกขโมย พัง หรือเปลี่ยนเครื่อง คุณต้องมีทางอื่นในการลงชื่อเข้าใช้
นั่นคือหน้าที่ของรหัสสำรอง บริการส่วนใหญ่จะให้รายการรหัสใช้ครั้งเดียวเมื่อเปิด 2FA แต่ละรหัสใช้แทนรหัสจากแอปได้หนึ่งครั้ง
เก็บไว้ให้ปลอดภัย
- พิมพ์ออกมาแล้วเก็บกระดาษไว้ในที่ปลอดภัยที่บ้าน หรือ
- บันทึกไว้ในโปรแกรมจัดการรหัสผ่านที่น่าเชื่อถือ และ
- อย่าเก็บไว้แค่ในมือถือเครื่องเดียวกับแอป Authenticator
รหัสสำรองแต่ละรหัสใช้ได้ครั้งเดียว เมื่อใช้แล้วให้ขีดฆ่าทิ้ง ถ้าเหลือน้อย บริการส่วนใหญ่ให้สร้างชุดใหม่ได้ ซึ่งจะยกเลิกชุดเก่า
เปลี่ยนมือถือโดยไม่ถูกล็อกนอกบัญชี
ก่อนรีเซ็ต ขาย หรือเทิร์นมือถือเครื่องเก่า ให้ย้ายรหัส Authenticator ไปเครื่องใหม่ก่อน แอปบางตัวมีฟีเจอร์ย้ายข้อมูลหรือสำรองบนคลาวด์ บางตัวต้องตั้งค่า 2FA ใหม่ทีละบัญชี
แนวทางที่ปลอดภัย
- เก็บมือถือเครื่องเก่าให้ใช้งานได้ จนกว่าทุกบัญชีจะยืนยันบนเครื่องใหม่แล้ว
- สำหรับบัญชีที่ย้ายไม่ได้ ให้ลงชื่อเข้าใช้ ปิด 2FA แล้วเปิดใหม่ และสแกน QR Code ใหม่ด้วยมือถือเครื่องใหม่
- ทดสอบทุกบัญชีก่อนล้างข้อมูลเครื่องเก่า
ข้อผิดพลาดเรื่อง 2FA ที่ควรเลี่ยง
- แชร์รหัส ธนาคาร ร้านค้า หรือฝ่ายบริการลูกค้าของจริงไม่มีวันขอให้คุณอ่านรหัส 2FA หรือรหัส OTP ให้ฟัง ใครขอก็มีแนวโน้มสูงว่าเป็นมิจฉาชีพ
- กดอนุมัติคำขอที่ไม่คาดคิด ถ้าได้รับคำขอลงชื่อเข้าใช้ที่คุณไม่ได้เริ่มเอง ให้ปฏิเสธและเปลี่ยนรหัสผ่าน
- พิมพ์รหัสในหน้าที่เปิดจากลิงก์ในข้อความ เว็บฟิชชิ่งก็ขอรหัสของคุณได้ ให้เข้าเว็บไซต์โดยตรงแทน
- ข้ามการเก็บรหัสสำรอง ใช้เวลาแค่หนึ่งนาทีในการบันทึก แต่ช่วยประหยัดเวลากู้บัญชีได้หลายวัน
อ่านวิธีป้องกันในชีวิตประจำวันเพิ่มเติมที่ เคล็ดลับความปลอดภัยมือถือ และเรียนรู้วิธีจับกลโกง QR Codeที่พยายามขโมยข้อมูลล็อกอิน
FAQ
การยืนยันตัวตนสองขั้นตอนจำเป็นจริงไหม?
สำหรับบัญชีสำคัญอย่างอีเมล ธนาคาร และโซเชียลมีเดีย จำเป็น มันสกัดการโจมตีจำนวนมากที่อาศัยรหัสผ่านที่ถูกขโมยหรือใช้ซ้ำ
แอป Authenticator ปลอดภัยกว่า SMS ไหม?
โดยทั่วไปใช่ รหัสจากแอปถูกสร้างบนมือถือของคุณ ส่วนรหัส SMS อาจถูกดักหรือเบี่ยงทางผ่านการฉ้อโกงแบบ SIM swap แต่ SMS ก็ยังดีกว่าไม่มี 2FA
ถ้ามือถือหายจะทำอย่างไร?
ใช้รหัสสำรองที่บันทึกไว้หนึ่งรหัสเพื่อลงชื่อเข้าใช้ แล้วตั้งค่า 2FA ใหม่บนมือถือเครื่องใหม่ ถ้าไม่มีรหัสสำรอง คุณต้องใช้ขั้นตอนกู้บัญชีของบริการนั้น
ถ้ามีคนได้รหัส 2FA ของฉันไป จะแฮ็กบัญชีได้ไหม?
รหัสใช้ได้ในเวลาสั้น ๆ เท่านั้น แต่ถ้ามิจฉาชีพหลอกให้คุณบอกรหัสแบบเรียลไทม์ เขาก็อาจนำไปใช้ได้ อย่าแชร์รหัสให้ใครเด็ดขาด
การยืนยันตัวตนสองขั้นตอนใช้เวลาไม่กี่นาที แต่ทำให้บัญชีของคุณถูกเจาะได้ยากขึ้นมาก เปิดใช้กับอีเมลและธนาคารวันนี้ แล้วปกป้องบัญชี QR-TH ของคุณด้วยการลงชื่อเข้าใช้สองขั้นตอน อ่านเพิ่มเติมได้ที่คำถามที่พบบ่อย