Checklist รหัสผ่าน, Password Manager และการเปิด 2FA

บัญชีออนไลน์ส่วนใหญ่ที่ถูกแฮกไม่ได้เกิดจากระบบของเว็บไซต์ถูกเจาะโดยตรง แต่เกิดจาก “การใช้รหัสผ่านซ้ำกันหลายบริการ” หรือการถูกหลอกเอารหัสผ่านผ่านหน้าฟิชชิง การวางเกราะป้องกันหลายชั้น (Defense in Depth) คือทางออกที่ดีที่สุด

1. เลิกใช้รหัสผ่านซ้ำเด็ดขาด

เมื่อเว็บไซต์หนึ่งมีข้อมูลรั่วไหล แฮกเกอร์จะนำคู่อีเมลและรหัสผ่านนั้นไปทดลองล็อกอินกับบริการอื่น ๆ ทันที (Credential Stuffing) หากท่านใช้รหัสผ่านเดียวกันกับอีเมล บัญชีธนาคาร หรือเว็บเกม บัญชีทั้งหมดจะตกอยู่ในความเสี่ยงพร้อมกัน

2. ใช้ Password Manager เป็นผู้ช่วย

มนุษย์ไม่สามารถจำรหัสผ่านที่ซับซ้อน 20 ตัวอักษรที่ไม่ซ้ำกัน 50 บริการได้ด้วยตนเอง การใช้โปรแกรมจัดการรหัสผ่าน เช่น Bitwarden, 1Password, Apple Keychain หรือ Google Password Manager จะช่วยสุ่มรหัสผ่านที่แข็งแกร่งและกรอกให้อัตโนมัติเฉพาะบนโดเมนจริงเท่านั้น

3. ทำไมแอป 2FA ถึงปลอดภัยกว่า SMS OTP?

การรับรหัส OTP ทางข้อความ SMS มีจุดอ่อนต่อการถูกโจมตีแบบ SIM Swap (การปลอมแปลงซิมการ์ด) หรือการถูกดักจับผ่านมัลแวร์บนมือถือ การเปลี่ยนมาใช้แอปยืนยันตัวตนแบบ Time-based One-Time Password (TOTP) เช่น Google Authenticator จะทำให้รหัสถูกสร้างขึ้นภายในตัวเครื่องแบบออฟไลน์ ปลอดภัยจากการถูกดักจับอย่างสมบูรณ์

4. การเก็บรักษารหัสกู้คืน (Backup Codes)

เมื่อเปิดใช้งาน 2FA ระบบจะมอบรหัสสำรองฉุกเฉินเสมอ ให้จดบันทึกลงในกระดาษหรือสมุดและเก็บไว้ในที่ปลอดภัยที่บ้าน ห้ามบันทึกเป็นรูปภาพในอัลบั้มโทรศัพท์หรือส่งเก็บไว้ในแชต