ยุคที่แม้แต่จอโฆษณาและตู้แช่สินค้ายังตกเป็นเป้าแฮ็กเกอร์ แล้ว ‘เงินเก็บในบัญชีธนาคาร’ จะปลอดภัยแค่ไหน? อังกฤษแนะใช้ ‘Passkey’ แทนรหัสผ่านและ OTP แบบเดิม ชูจุดเด่นป้องกันการหลอกขโมยข้อมูลผ่านเว็บไซต์ปลอม
จากจอโฆษณา LED ในมาเลเซียที่ถูกแฮ็กจนปรากฏภาพอนาจารกลางเมือง ไปจนถึงระบบตู้แช่สินค้าในซูเปอร์มาร์เก็ตฝรั่งเศสที่ถูกโจมตี รวมถึงการเจาะกระเป๋าสินทรัพย์ดิจิทัล ท่ามกลางภัยคุกคามทางไซเบอร์ยุค AI ที่รุนแรงขึ้นเรื่อย ๆ ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของอังกฤษ (NCSC: National Cyber Security Centre) ประกาศปรับแนวทางรักษาความปลอดภัยบัญชีออนไลน์ครั้งใหญ่ โดยแนะนำให้ประชาชนหันมาใช้ “Passkey” ซึ่งมีความปลอดภัย “สูงกว่า” การใช้รหัสผ่านร่วมกับระบบยืนยันตัวตนสองขั้นตอน (2FA) แบบดั้งเดิม เนื่องจากสามารถป้องกันการหลอกขโมยข้อมูลผ่านเว็บไซต์ปลอม (Phishing) ได้ดีกว่า
NCSC เปิดเผยในการประชุม CYBERUK 2026 ที่เมืองกลาสโกว์ ประเทศสกอตแลนด์ว่า ต่อจากนี้จะเริ่มแนะนำให้ประชาชนใช้ Passkey กับเว็บไซต์และแอปพลิเคชันที่รองรับ ส่วนบริการที่ยังไม่มีระบบดังกล่าว ควรใช้การยืนยันตัวตนสองขั้นตอน (Two-Step Verification หรือ 2SV) ต่อไป
Passkey คืออะไร ทำไมจึงปลอดภัยกว่า?
Passkey คือ เทคโนโลยีเข้าสู่ระบบโดยไม่ต้องใช้รหัสผ่าน แต่ “ใช้การสแกนใบหน้า ลายนิ้วมือ หรือรหัส PIN ของอุปกรณ์แทน” โดยมีระบบเข้ารหัสลับช่วยยืนยันตัวตน ทำให้แฮกเกอร์หลอกขโมยข้อมูลเข้าสู่ระบบได้ยากกว่ารหัสผ่านทั่วไป
เบื้องหลังระบบนี้ใช้เทคโนโลยีเข้ารหัสที่เรียกว่า FIDO2 โดยสร้างกุญแจดิจิทัลสองส่วน ได้แก่ กุญแจสาธารณะ (Public Key) ที่เว็บไซต์จัดเก็บ และกุญแจส่วนตัว (Private Key) ที่เก็บรักษาไว้อย่างปลอดภัยในอุปกรณ์หรือระบบจัดการ Passkey ของผู้ใช้
เมื่อเข้าสู่ระบบ ทั้งสองส่วนจะทำงานร่วมกันเพื่อยืนยันตัวตน โดยไม่จำเป็นต้องส่งรหัสผ่านหรือรหัส OTP ให้เว็บไซต์ จึงช่วยลดโอกาสที่แฮกเกอร์จะขโมยข้อมูลไปใช้เข้าสู่บัญชี
ทำไม OTP และการยืนยันตัวตนสองชั้นยังเสี่ยงถูกแฮ็ก?
NCSC ระบุว่า ระบบยืนยันตัวตนแบบดั้งเดิมทั้งหมด ไม่ว่าจะเป็นรหัส OTP ผ่าน SMS หรืออีเมล แอปฯสร้างรหัสยืนยัน หรือการกดอนุมัติเข้าระบบผ่านโทรศัพท์ ยังคงมีความเสี่ยงต่อการโจมตีแบบ Phishing
ตัวอย่างเช่น แฮกเกอร์สร้างเว็บไซต์ธนาคารปลอม หลอกให้เหยื่อกรอกชื่อผู้ใช้ รหัสผ่าน และ OTP ก่อนนำข้อมูลเหล่านั้นไปเข้าสู่ระบบธนาคารจริงทันที
ด้วยเหตุนี้ หากเหยื่อหลงเชื่อ แฮกเกอร์อาจสามารถเข้าสู่บัญชีได้สำเร็จ แม้เจ้าของบัญชีจะเปิดการยืนยันตัวตนสองขั้นตอนอยู่ก็ตาม
จุดอ่อนอีกอย่างคือ รหัสผ่านแบบดั้งเดิมมักถูกเก็บไว้ที่เซิร์ฟเวอร์ของผู้ให้บริการ หากเซิร์ฟเวอร์นั้นถูกเจาะ (Data Breach) แฮกเกอร์อาจนำรหัสผ่านที่หลุด ไปแอบลองไขเข้าบัญชีอื่น ๆ ของเราที่ใช้รหัสเดียวกัน
แต่ Passkey แตกต่างออกไป เพราะระบบจะผูกการยืนยันตัวตนเข้ากับเว็บไซต์จริงด้วยกระบวนการเข้ารหัส ทำให้เว็บไซต์ปลอมไม่สามารถนำการยืนยันตัวตนไปใช้กับเว็บไซต์จริงได้ในลักษณะเดียวกับการขโมย OTP
ผลการประเมินของศูนย์ความมั่นคงปลอดภัยไซเบอร์ของอังกฤษ พบว่า Passkey มีความปลอดภัยเทียบเท่าหรือสูงกว่าระบบยืนยันตัวตนแบบเดิม โดยเฉพาะการป้องกันแฮกเกอร์ที่พยายามหลอกขโมยข้อมูลเพื่อเข้าสู่บัญชีออนไลน์
เนื่องจาก Passkey ไม่ใช้รหัสผ่านหรือ OTP ที่แฮกเกอร์สามารถขโมยไปใช้ซ้ำได้ง่าย จึงช่วยลดความเสี่ยงที่บัญชีจะถูกเจาะระบบ และทำให้แฮกเกอร์โจมตีบัญชีผู้ใช้งานจำนวนมากพร้อมกันได้ยากขึ้น
แล้ว Passkey ปลอดภัย 100% หรือไม่?
แม้ Passkey จะช่วยป้องกันการหลอกขโมยข้อมูลเข้าสู่ระบบได้อย่างมีประสิทธิภาพ “แต่ไม่ได้หมายความว่า” บัญชีออนไลน์จะไม่มีวันถูกแฮ็ก
ผู้ใช้ยังต้องดูแลความปลอดภัยของโทรศัพท์ คอมพิวเตอร์ และบัญชีที่ใช้ซิงก์ Passkey ระหว่างอุปกรณ์ รวมถึงตั้งค่าการกู้คืนบัญชีอย่างรัดกุม เพราะหากอุปกรณ์หรือบัญชีหลักถูกยึดครอง ก็อาจนำไปสู่ความเสี่ยงด้านความปลอดภัยรูปแบบอื่นได้
NCSC จึงแนะนำว่า “หากเว็บไซต์หรือแอปพลิเคชันรองรับ Passkey ควรเลือกใช้เป็นอันดับแรก ส่วนบริการที่ยังไม่รองรับ ควรเปิดการยืนยันตัวตนสองขั้นตอนต่อไป”
การเปลี่ยนผ่านสู่ Passkey ถือเป็นอีกก้าวสำคัญในการยกระดับความปลอดภัยทางไซเบอร์ โดยเฉพาะในยุคที่การหลอกขโมยรหัสผ่านและข้อมูลส่วนบุคคลมีความซับซ้อนมากขึ้น
ไม่ใส่ไข่ทั้งหมดไว้ในตะกร้าใบเดียว
นอกจากคำแนะนำจาก NCSC เรื่อง Passkey แล้ว อีกหนึ่งวิธีลดความเสี่ยงจากการถูกแฮ็ก โดยเฉพาะบัญชีธนาคาร คือ การกระจายเงินเก็บแบบ “ไม่ใส่ไข่ทั้งหมดไว้ในตะกร้าใบเดียว” โดยแยกบัญชีเงินออมออกจากบัญชีที่ใช้ทำธุรกรรมประจำวัน
ตัวอย่างเช่น หากมีเงินเก็บ 1 ล้านบาท อาจแบ่งเป็นบัญชีเงินออมหลัก 700,000 บาท บัญชีเงินสำรองต่างธนาคาร 250,000 บาท และบัญชีใช้จ่ายทั่วไป 50,000 บาท รวมถึงการกระจายเก็บใน “รูปของสินทรัพย์อื่น” อย่างในรูปของทองคำ อัญมณี พันธบัตรรัฐบาล เงินสดในตู้นิรภัย ฯลฯ เพื่อจำกัดความเสียหาย หากกรณีเลวร้าย บัญชีใดบัญชีหนึ่งของธนาคารถูกแฮ็ก
ทั้งนี้ ควรแยกรหัสผ่านและช่องทางกู้คืนบัญชี พร้อมจำกัดการเข้าถึงเงินออมหลัก เพื่อป้องกันไม่ให้แฮกเกอร์เข้าถึงเงินทั้งหมดได้ในคราวเดียว
อ้างอิง: ncsc, ncsc(2)
