ThaiCERT ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบว่าการขโมยข้อมูลบัญชีผู้ใช้งานและรหัสผ่านยังคงเป็นหนึ่งในช่องทางสำคัญที่ผู้โจมตีนำมาใช้เพื่อเข้าถึงอีเมล ระบบสารสนเทศ ระบบคลาวด์ และบริการออนไลน์ของผู้ใช้งานและหน่วยงาน
แม้ผู้ใช้งานจะตั้งรหัสผ่านที่มีความมั่นคงปลอดภัย แต่รหัสผ่านอาจถูกเปิดเผยจากเหตุข้อมูลรั่วไหล การหลอกลวงแบบฟิชชิง การติดตั้งมัลแวร์ขโมยข้อมูล การใช้ซอฟต์แวร์เถื่อนหรือซอฟต์แวร์จากแหล่งที่ไม่น่าเชื่อถือ รวมถึงการใช้รหัสผ่านซ้ำกับบริการอื่น
การเปิดใช้การยืนยันตัวตนหลายปัจจัย หรือ Multi-Factor Authentication (MFA) จึงเป็นมาตรการสำคัญที่ช่วยเพิ่มขั้นตอนในการตรวจสอบตัวตน และลดความเสี่ยงจากการเข้าถึงบัญชีโดยไม่ได้รับอนุญาต แม้ผู้โจมตีจะทราบรหัสผ่านแล้วก็ตาม
ThaiCERT แนะนำให้ผู้ใช้งานและผู้ดูแลระบบตรวจสอบและเพิ่มความมั่นคงปลอดภัยของกระบวนการยืนยันตัวตน โดยควรปฏิบัติดังนี้
แนวทางเพิ่มความปลอดภัยให้บัญชีผู้ใช้งาน
1. เปิดใช้ MFA ในทุกระบบที่รองรับ โดยเฉพาะอีเมล ระบบคลาวด์ VPN ระบบการเงิน บัญชีโซเชียลมีเดีย และบัญชีผู้ดูแลระบบ
2. เลือกใช้วิธีการยืนยันตัวตนที่ช่วยลดความเสี่ยงจากเว็บไซต์ปลอมและการขโมยรหัสผ่าน เช่น Passkey หรือกุญแจความปลอดภัย หากระบบรองรับ โดย Passkey จะยืนยันตัวตนผ่านอุปกรณ์ของผู้ใช้และไม่ส่งกุญแจส่วนตัวให้เว็บไซต์หรือระบบปลายทาง หากยังไม่รองรับ ควรใช้แอปพลิเคชันสร้างรหัสยืนยัน และหลีกเลี่ยงการใช้ SMS เป็นตัวเลือกหลักเมื่อมีวิธีที่ปลอดภัยกว่า
3. ไม่อนุมัติคำขอ MFA ที่ไม่ได้เกิดจากการเข้าสู่ระบบของตนเอง หากได้รับคำขอซ้ำหลายครั้ง ควรปฏิเสธคำขอ เปลี่ยนรหัสผ่าน และแจ้งผู้ดูแลระบบทันที
4. ใช้รหัสผ่านที่มีความยาว คาดเดาได้ยาก และไม่ซ้ำกับบริการอื่น โดยควรมีความยาวอย่างน้อย 12–14 ตัวอักษร
5. รูปแบบรหัสผ่านที่แนะนำควรประกอบด้วย ตัวอักษรพิมพ์ใหญ่ ตัวอักษรพิมพ์เล็ก ตัวเลข และอักขระพิเศษตามที่ระบบรองรับ
6. หลีกเลี่ยงการใช้ข้อมูลส่วนบุคคล เช่น ชื่อ วันเดือนปีเกิด หมายเลขโทรศัพท์ ชื่อหน่วยงาน ลำดับตัวเลข คำทั่วไป หรือรูปแบบแป้นพิมพ์ เช่น `12345678`, `password`, qwerty หรือ admin123
7. ไม่ติดตั้งหรือใช้งานซอฟต์แวร์เถื่อน โปรแกรมแคร็ก โปรแกรมดัดแปลง หรือซอฟต์แวร์จากเว็บไซต์และแหล่งดาวน์โหลดที่ไม่น่าเชื่อถือ เนื่องจากอาจถูกฝังมัลแวร์สำหรับขโมยรหัสผ่าน คุกกี้ เซสชัน และข้อมูลสำคัญภายในเครื่อง
8. ดาวน์โหลดซอฟต์แวร์จากเว็บไซต์ของผู้พัฒนา หรือช่องทางที่ได้รับอนุญาตเท่านั้น พร้อมตรวจสอบลายเซ็นดิจิทัลและอัปเดตซอฟต์แวร์ให้เป็นเวอร์ชันล่าสุดอย่างสม่ำเสมอ
9. ตรวจสอบบัญชี อุปกรณ์ และเซสชันที่กำลังเข้าสู่ระบบเป็นประจำ พร้อมยกเลิกการเชื่อมต่ออุปกรณ์หรือเซสชันที่ไม่รู้จัก
10. เปลี่ยนรหัสผ่านทันทีเมื่อพบความผิดปกติ สงสัยว่าข้อมูลรั่วไหล หรือกรอกข้อมูลในเว็บไซต์ปลอม
11. จัดเก็บรหัสกู้คืนบัญชีหรือ Backup Codes ไว้ในสถานที่ที่ปลอดภัย และไม่บันทึกไว้ในอุปกรณ์หรือบัญชีเดียวกับที่ใช้เข้าสู่ระบบ
MFA เพิ่มอีกหนึ่งชั้นการป้องกัน แม้รหัสผ่านรั่ว บัญชีก็ยังไม่ควรถูกเข้าถึงได้โดยง่าย
แหล่งอ้างอิง : https://dg.th/w4qerak7gy