MULTI-FACTOR AUTHENTICATION (MFA)
ทำไมการยืนยันตัวตนหลายปัจจัย (MFA) จึงสำคัญต่อความปลอดภัยทางไซเบอร์

MFA คือวิธีเพิ่มความปลอดภัยในการเข้าสู่ระบบ โดยผู้ใช้งานต้องยืนยันตัวตนด้วยวิธีการอย่างน้อย 2 ปัจจัยขึ้นไป แทนการใช้เพียง Username และ Password เพียงอย่างเดียว โดยอาจเรียกว่า Two-Factor Authentication (2FA) หรือ Two-Step Verification

ทำไม PASSWORD อย่างเดียวจึงไม่เพียงพอ?
แม้จะตั้งรหัสผ่านที่ยาวและซับซ้อน รหัสผ่านก็ยังอาจถูก :

• คาดเดา หรือถูกนำไปใช้ซ้ำในหลายเว็บไซต์
• รั่วไหลจาก Data Breach ของผู้ให้บริการ
• ถูกขโมยผ่าน Phishing (การหลอกลวง)
• ถูก Malware ดักจับข้อมูล

MFA คือ “กุญแจอีกชั้นหนึ่ง” ต่อให้ผู้โจมตีได้ Password ไป ก็ยังต้องผ่านการยืนยันตัวตนอีกขั้นก่อนเข้าสู่บัญชีได้ ช่วยลดความเสี่ยงจาก Account Takeover ได้อย่างมาก

MFA ทำงานอย่างไร?

ผู้ใช้จะเข้าสู่ระบบด้วย Username + Password ก่อน จากนั้นจึงยืนยันตัวตนเพิ่มเติมด้วยอีก 1 วิธี (หรือมากกว่า)

ตัวอย่างวิธีการยืนยันตัวตนเพิ่มเติม: OTP ทาง SMS/Email, Authenticator App, Fingerprint/Face ID, Hardware Security Key หรือการกดอนุมัติจากอุปกรณ์ที่เชื่อถือได้

ปัจจัยในการยืนยันตัวตนมี 3 กลุ่มหลัก MFA ที่ดีควรใช้ปัจจัยจากคนละกลุ่มร่วมกัน

1. Something You Know  (สิ่งที่คุณรู้)
เช่น Password , PIN และ Security Questions

2. Something You Have (สิ่งที่คุณมี)
เช่น Smartphone , Authenticator App , Security Key / Token และ OTP ทาง SMS/Email

3. Something You Are (สิ่งที่คุณเป็น)
เช่น Fingerprint , Face Recognition และ Voice Recognition

ตัวอย่างการใช้งานที่แนะนำ

MFA แบบไหนปลอดภัยที่สุด ?
เรียงลำดับโดยประมาณจาก ปลอดภัยสูง → ปลอดภัยต่ำกว่า :

1. Passkey (แนะนำมากที่สุด)
ใช้ Cryptographic Key ที่เก็บอยู่บนอุปกรณ์ ร่วมกับ Biometrics หรือการยืนยันจากอุปกรณ์
ปลอดภัยสูง, Phishing-resistant และไม่ต้องใช้ Password แบบเดิม

2. Hardware Security Key
อุปกรณ์กายภาพ (เช่น YubiKey) เสียบหรือแตะเพื่อยืนยันตัวตน
ปลอดภัยสูง และทนทานต่อการโจมตีแบบ Phishing

3. Authenticator App
เช่น Google Authenticator, Microsoft Authenticator
สร้างรหัส OTP บนแอปในโทรศัพท์
ปลอดภัย และไม่ต้องพึ่งเครือข่ายมือถือ

4. SMS OTP
รับรหัส OTP ทางข้อความ SMS
ดีกว่าไม่มี MFA แต่มีความเสี่ยงต่อ SIM Swapping และ Phishing

5. Email OTP
รับรหัส OTP ทางอีเมล
มีความเสี่ยงหากบัญชีอีเมลถูกเจาะ

6. Security Questions
คำถามและคำตอบที่ผู้ใช้ตั้งไว้
ไม่ปลอดภัยเท่าวิธีอื่น เนื่องจากข้อมูลอาจถูกคาดเดาหรือค้นหาได้จาก Social Media

MFA ยังถูกโจมตีได้หรือไม่?
MFA มีประสิทธิภาพในการเพิ่มความปลอดภัยสูง แต่ ไม่สามารถป้องกันการโจมตีได้ 100% ผู้โจมตีอาจใช้วิธีต่าง ๆ ดังนี้:

1. Phishing
หลอกให้ผู้ใช้กรอกทั้ง Password และ OTP บนเว็บไซต์ปลอม เพื่อขโมยข้อมูลการเข้าสู่ระบบ 

2. MFA Fatigue / Push Bombing
ส่งคำขออนุมัติการเข้าสู่ระบบจำนวนมาก จนผู้ใช้เกิดความรำคาญ สับสน หรือเผลอกด Approve

หากได้รับ MFA Prompt ทั้งที่ไม่ได้กำลังเข้าสู่ระบบ

ควรเปิดใช้ MFA กับทุกระบบที่รองรับ โดยเริ่มจากบัญชีสำคัญเหล่านี้

1. อีเมล (Email)
2. ธนาคาร/การเงิน (Banking/Financial Services)
3. ลงทุน (Investment Accounts)
4. พื้นที่เก็บข้อมูลบนคลาวด์ (Cloud Storage)
5. โซเชียลมีเดีย (Social Media)
6. ช้อปปิ้งออนไลน์ (Online Shopping)
7. บัญชีองค์กร/สถานศึกษา (Work/School Accounts)
8. ระบบอื่น ๆ ที่มีข้อมูลสำคัญของคุณ

สรุปสาระสำคัญ

Password คือด่านแรก แต่ไม่ควรเป็นด่านเดียว การใช้ MFA โดยเฉพาะ Passkey, Hardware Security Key หรือ Authenticator App เป็นหนึ่งในวิธีที่ง่ายและมีประสิทธิภาพที่สุดในการลดความเสี่ยงจากการถูกขโมยบัญชีออนไลน์

เพิ่มอีกหนึ่งชั้นของการป้องกัน เพื่อความปลอดภัยที่มากขึ้นสำหรับคุณในโลกออนไลน์