การโจมตีทางไซเบอร์ต่อบุคคลทั่วไปส่วนใหญ่ไม่ต้องใช้เทคนิคเจาะระบบที่ซับซ้อน ผู้โจมตีอาศัยของง่าย ๆ 3 อย่าง คือข้อความที่หลอกให้เชื่อ รหัสผ่านที่เดาง่ายหรือใช้ซ้ำ และซอฟต์แวร์ที่ไม่เคยอัปเดต บทความนี้อธิบายภัยคุกคามที่พบบ่อยด้วยภาษาง่าย ๆ และเสนอ 5 นิสัยที่ช่วยป้องกันได้ส่วนใหญ่ โดยอ้างอิงคำแนะนำของ CISA (หน่วยงานด้านความมั่นคงไซเบอร์ของสหรัฐฯ) และ NCSC (ศูนย์ความมั่นคงไซเบอร์แห่งชาติของสหราชอาณาจักร) เขียนให้ทุกคนอ่านได้ ไม่ต้องมีพื้นฐานด้านเทคนิค

ภัยคุกคามที่คนทั่วไปมีโอกาสเจอมากที่สุด

  • ฟิชชิง (phishing): ข้อความทางอีเมล SMS หรือแชตที่แกล้งทำเป็นธนาคาร บริษัทขนส่ง หรือคนที่รู้จัก แล้วกดดันให้กดลิงก์หรือบอกข้อมูลส่วนตัว
  • รหัสผ่านที่เดาง่ายหรือใช้ซ้ำ: CISA ระบุว่าถ้าใช้รหัสผ่านเดียวกันกับหลายบัญชี แล้วบริษัทหนึ่งถูกขโมยข้อมูลไป บัญชีอื่นที่ใช้รหัสเดียวกันก็เสี่ยงไปด้วย
  • บัญชีอีเมลถูกยึด: NCSC ระบุว่าผู้โจมตีที่เข้าอีเมลของคุณได้ จะเข้าบัญชีอื่นของคุณต่อได้ และสวมรอยเป็นคุณได้ เพราะบัญชีอื่นใช้อีเมลนี้ขอรีเซ็ตรหัสผ่าน (ตั้งรหัสผ่านใหม่)
  • ซอฟต์แวร์ที่ไม่อัปเดต: การอัปเดตมักแก้ช่องโหว่ (จุดอ่อนในซอฟต์แวร์) ด้านความปลอดภัยรวมอยู่ด้วย ถ้าไม่อัปเดต ผู้โจมตีก็ใช้ช่องโหว่ที่รู้กันแล้วโจมตีได้
  • การหลอกให้โอนเงินออนไลน์: เช่น การหลอกขายของออนไลน์ ผู้เสียหายถูกหลอกให้โอนเงินให้มิจฉาชีพ

CISA ระบุการกระทำพื้นฐาน 4 อย่างสำหรับทุกคน คือ รู้ทันและรายงานฟิชชิง ใช้รหัสผ่านที่แข็งแรง ใช้การยืนยันตัวตนหลายขั้นตอน (ขอหลักฐานเพิ่มตอน login) ควบคู่กับตัวจัดการรหัสผ่าน (แอปช่วยเก็บรหัส) และอัปเดตซอฟต์แวร์ ส่วน NCSC เพิ่มอีก 1 นิสัย คือสำรองข้อมูลสำคัญ หัวข้อต่อไปอธิบายทีละข้อ

INFOGRAPHIC
5 นิสัยที่ป้องกันได้ส่วนใหญ่
ความปลอดภัยในชีวิตประจำวัน
ทำเป็นนิสัย ไม่ต้องมีความรู้เทคนิค
รหัสผ่านยาวและไม่ซ้ำ
ใช้ตัวจัดการรหัสผ่านช่วยจำ
ยืนยันตัวตนขั้นที่สอง
เริ่มจากอีเมลและธนาคาร
อัปเดตอัตโนมัติ
ปิดช่องโหว่ที่รู้กันแล้ว
รู้ทันฟิชชิง
ไม่กดลิงก์ ตรวจผ่านช่องทางอื่น
สำรองข้อมูล
รูปถ่ายและเอกสารสำคัญ

นิสัยที่ 1: รหัสผ่านที่แข็งแรงและไม่ซ้ำกัน

รหัสผ่านที่แข็งแรงต้องยาว เดายาก และใช้คนละรหัสกับแต่ละบัญชี CISA แนะนำให้ยาวอย่างน้อย 16 ตัวอักษร ทำได้ 2 แบบ คือผสมตัวอักษร ตัวเลข และสัญลักษณ์ หรือใช้ passphrase (รหัสผ่านที่ทำจากหลายคำที่ไม่เกี่ยวข้องกัน) 4 ถึง 7 คำ ส่วน NCSC แนะนำให้เอา 3 คำที่สุ่มมาต่อกัน ตัวเลขของสองหน่วยงานไม่เท่ากัน จึงสรุปแบบปลอดภัยได้ว่า passphrase ยิ่งยาวยิ่งดี และตามที่ NCSC แนะนำ ควรตั้งรหัสผ่านอีเมลให้แข็งแรงที่สุด และไม่ซ้ำกับบัญชีใดเลย

ไม่มีใครจำรหัสผ่านที่ยาวและต่างกันได้หลายสิบบัญชี จึงควรใช้ตัวจัดการรหัสผ่าน (password manager คือแอปที่สร้าง เก็บ และกรอกรหัสผ่านให้) CISA ระบุว่าตัวจัดการรหัสผ่านช่วยเตือนรหัสที่อ่อนหรือใช้ซ้ำได้ด้วย และผู้ใช้จำแค่รหัสหลักยาว ๆ รหัสเดียวเท่านั้น เบราว์เซอร์มีตัวจัดการรหัสผ่านให้ใช้ฟรี และยังมีแบบเสียเงินอีกด้วย CISA แนะนำให้อ่านรีวิวจากแหล่งอิสระก่อนเลือก

นิสัยที่ 2: เปิดการยืนยันตัวตนขั้นที่สอง

MFA (multifactor authentication) คือการยืนยันตัวตนหลายขั้นตอน เรียกอีกอย่างว่า 2-step verification วิธีนี้ขอหลักฐานชิ้นที่สองตอน login ดังนั้นต่อให้รหัสผ่านถูกขโมยไป ก็ยังเข้าบัญชีไม่ได้ CISA ยกตัวอย่าง 3 แบบที่พบบ่อย คือ รหัสที่ส่งทาง SMS หรืออีเมล รหัสจากแอป authenticator (แอปในมือถือที่สร้างรหัสให้ และเปลี่ยนรหัสใหม่ทุกประมาณ 30 วินาที) และการสแกนลายนิ้วมือหรือใบหน้า ให้เปิดใช้กับทุกบัญชีที่มีให้เลือก โดยเริ่มจากอีเมล ธนาคาร ช้อปปิงออนไลน์ และโซเชียลมีเดีย ให้ดูในหน้าตั้งค่าความปลอดภัยของบัญชีนั้น ซึ่งอาจใช้ชื่อว่า two-factor หรือ two-step

หน้าของ CISA ไม่ได้จัดอันดับว่าวิธีไหนดีกว่า ความเห็นของเราเองคือ แอป authenticator มักเป็นตัวเลือกที่ดีกว่ารหัสทาง SMS เพราะรหัสทาง SMS อาจถูกดักไปได้ หรือถูกหลอกถามเอาไปได้ แต่ขั้นที่สองแบบไหนก็ดีกว่าไม่มีเลย ถ้าอยากอ่านเปรียบเทียบเพิ่ม ดู MFA แบบไหนปลอดภัยกว่ากัน และ Passkeys และ FIDO2 อธิบายแบบเข้าใจง่าย

นิสัยที่ 3: อัปเดตซอฟต์แวร์สม่ำเสมอ

การอัปเดตจำนวนมากแก้ช่องโหว่ด้านความปลอดภัยที่ผู้โจมตีอาจใช้ได้ จึงควรติดตั้งโดยเร็ว โดยเฉพาะอัปเดตที่สำคัญ ให้เปิดการอัปเดตอัตโนมัติ (มักอยู่ในเมนู Software หรือ Security ของหน้าตั้งค่า) เพื่อให้โทรศัพท์ คอมพิวเตอร์ และแอปอัปเดตเองโดยไม่ต้องรอ CISA ยังระบุว่าไม่ควรข้ามการอัปเดตของเว็บเบราว์เซอร์และโปรแกรมป้องกันไวรัส

นิสัยที่ 4: รู้ทันและรายงานฟิชชิง

สัญญาณเตือนที่ CISA ระบุมีดังนี้

  • ความเร่งด่วนหรือการขู่: ข้อความกดดันให้ทำทันที หรือขู่ว่าจะเกิดผลร้ายแรง
  • ขอข้อมูลส่วนตัวหรือการเงิน: เช่น รหัสผ่าน เลขบัตร หรือรหัสผ่านใช้ครั้งเดียว (OTP)
  • ลิงก์ย่อจากคนที่ไม่รู้จัก: ลิงก์ย่อคือลิงก์สั้น ๆ ที่มองไม่เห็นว่าพาไปเว็บไหน
  • ชื่อผู้ส่งหรือลิงก์ที่เลียนแบบชื่อบริษัทจริง: โดยแก้เพียงเล็กน้อย เช่น สลับตัวอักษร
  • อย่าใช้การสะกดผิดเป็นตัวตัดสิน: CISA ระบุว่าตอนนี้ AI (ปัญญาประดิษฐ์) เขียนข้อความได้สะอาด ภาษาที่ผิดจึงไม่ใช่สัญญาณที่เชื่อถือได้อีกต่อไป

ถ้าข้อความดูน่าสงสัย อย่ากดลิงก์ อย่าเปิดไฟล์แนบ อย่าตอบกลับ และอย่ากดลิงก์ยกเลิกการรับข้อความในนั้น ถ้าข้อความอาจเป็นของจริง ให้ติดต่อบริษัทหรือบุคคลนั้นผ่านช่องทางอื่นที่เชื่อถือได้อยู่แล้ว เช่น พิมพ์ที่อยู่เว็บไซต์ของบริษัทเอง หรือโทรไปเบอร์ที่มีอยู่เดิม จากนั้นกดปุ่มรายงานในแอปอีเมล หรือเลือกตัวเลือกรายงานข้างชื่อผู้ส่ง แล้วลบข้อความนั้น

มิจฉาชีพอาจใช้เสียงและวิดีโอปลอมด้วย ถ้าคำขอดูเหมือนมาจากคนที่รู้จัก ให้ตรวจสอบซ้ำอีกครั้ง วิธีตรวจดูได้ที่ Deepfake และการหลอกลวงด้วย AI

นิสัยที่ 5: สำรองข้อมูลที่หาใหม่ไม่ได้

NCSC แนะนำให้คัดลอกข้อมูลที่สำคัญที่สุด เช่น รูปถ่ายและเอกสารสำคัญ ไปไว้ที่ฮาร์ดดิสก์ภายนอกหรือบริการเก็บข้อมูลบนคลาวด์ การสำรองข้อมูลช่วยได้เมื่อโทรศัพท์หาย อุปกรณ์เสีย หรือมัลแวร์ (โปรแกรมประสงค์ร้าย) ล็อกไฟล์ นอกจากนี้ยังมีอีกข้อที่เป็นความเห็นของเราเอง คืออย่าเสียบฮาร์ดดิสก์ภายนอกทิ้งไว้ตลอดเวลา เพราะมัลแวร์บางชนิดทำลายไฟล์ในไดรฟ์ที่เชื่อมต่ออยู่ด้วย ถ้าต้องการวิธีที่ครบกว่านี้ ดู Backup 3-2-1-1-0 และ immutable backup

ถ้าเกิดเรื่องขึ้นแล้ว

ให้รีบลงมือ เพราะเมื่อเงินถูกโอนไปแล้ว ช่วงไม่กี่ชั่วโมงแรกสำคัญที่สุด ขั้นตอนมีดังนี้

  • หยุดและตัดการเชื่อมต่อ: หยุดตอบมิจฉาชีพและหยุดกดลิงก์ ถ้าติดตั้งแอปหรือโปรแกรมตามที่มิจฉาชีพบอก ให้ปิดการเชื่อมต่ออินเทอร์เน็ตของเครื่องนั้น
  • ถ้าโอนเงินไปแล้ว ให้โทรหาธนาคารและสายด่วน 1441 ทันที: ตามรายงานของ The Standard ศูนย์ 1441 ดำเนินการโดยกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เปิดตลอด 24 ชั่วโมง และตั้งเป้าระงับบัญชีของมิจฉาชีพภายใน 1 ชั่วโมงหลังรับแจ้ง หมายเลขและขั้นตอนอาจเปลี่ยนแปลง จึงควรยืนยันจากเว็บไซต์ทางการ
  • แจ้งความ: ใช้บริการแจ้งความออนไลน์ของหน่วยปราบปรามอาชญากรรมทางเทคโนโลยีของสำนักงานตำรวจแห่งชาติที่ thaipoliceonline.go.th หรือไปแจ้งที่สถานีตำรวจ
  • เตรียมข้อมูลให้พร้อม: เลขบัญชีปลายทาง จำนวนเงิน วันและเวลาที่โอน และช่องทางที่ถูกหลอก (รายการนี้เป็นของเราเอง อ้างอิงจากคำแนะนำทั่วไปในข่าวของไทย)
  • เปลี่ยนรหัสผ่านและป้องกันบัญชี: เปลี่ยนรหัสผ่านของบัญชีที่อาจได้รับผลกระทบ และของทุกบัญชีที่ใช้รหัสเดียวกัน เปิดการยืนยันขั้นที่สอง แล้วตรวจว่าอีเมลและเบอร์โทรที่ใช้กู้บัญชียังเป็นของตัวเอง
INFOGRAPHIC
ถูกหลอกโอนเงิน: 5 ขั้นแรก
1
หยุดและตัดการเชื่อมต่อ
หยุดตอบและหยุดกดลิงก์
2
โทรหาธนาคารและ 1441
รีบโทร นับเป็นชั่วโมง ไม่ใช่วัน
3
แจ้งความ
ออนไลน์หรือที่สถานีตำรวจ
4
เตรียมข้อมูล
บัญชีปลายทาง จำนวนเงิน เวลา
5
เปลี่ยนรหัสผ่าน
รวมบัญชีที่ใช้รหัสเดียวกัน

ข้อผิดพลาดที่พบบ่อย

  • ใช้รหัสผ่านเดียวกันทุกที่: ถ้าข้อมูลรั่วไหลเพียงครั้งเดียว ทุกบัญชีที่ใช้รหัสนั้นก็เสี่ยง
  • ป้องกันโซเชียลมีเดียแต่ไม่ป้องกันอีเมล: NCSC ระบุว่าอีเมลเป็นเหมือนกุญแจที่ใช้รีเซ็ตบัญชีอื่น
  • กดลิงก์ในข้อความเพื่อตรวจว่าจริงหรือไม่: ให้พิมพ์ที่อยู่เว็บไซต์ของบริษัทเองแทน
  • เชื่อว่าข้อความที่สะกดถูกต้องแปลว่าจริง: CISA ระบุว่าตอนนี้ AI เขียนข้อความได้สะอาด
  • เลื่อนอัปเดตไปหลายสัปดาห์: ผู้โจมตีลงมือเร็วเมื่อมีการเปิดเผยช่องโหว่
  • รอหลายวันกว่าจะแจ้งธนาคารว่าถูกหลอกโอนเงิน: เป้าหมายการตอบสนองในรายงานเรื่อง 1441 นับเป็นชั่วโมง

เริ่มทำได้วันนี้

  • เปลี่ยนรหัสผ่านอีเมลเป็น passphrase ยาวที่ไม่ใช้ที่อื่น: แล้วเปิดการยืนยันขั้นที่สองให้อีเมล
  • ติดตั้งตัวจัดการรหัสผ่าน และย้ายบัญชีสำคัญที่สุดเข้าไปก่อน: คือ อีเมล ธนาคาร และช้อปปิง
  • เปิดการยืนยันขั้นที่สองให้บัญชีธนาคาร ช้อปปิง และโซเชียลมีเดีย
  • เปิดการอัปเดตอัตโนมัติบนโทรศัพท์และคอมพิวเตอร์: และอัปเดตเบราว์เซอร์ด้วย
  • คัดลอกรูปถ่ายและเอกสารสำคัญไปไว้ที่ไดรฟ์หรือคลาวด์: แล้วลองเปิดดูว่าใช้ได้จริง
  • บันทึกเบอร์ 1441 และที่อยู่เว็บแจ้งความออนไลน์ไว้ในโทรศัพท์: ตอนเดือดร้อนจะได้ไม่ต้องไปค้นหา

ถ้าคุณดูแลองค์กร นิสัยเหล่านี้ใช้กับพนักงานได้เหมือนกัน และดูได้ว่าองค์กรอยู่ตรงไหนด้วย แบบประเมินตนเอง ส่วนเรื่องที่ต้องทำหลังถูก ransomware (มัลแวร์ที่ล็อกไฟล์แล้วเรียกค่าไถ่) โจมตี ดู Ransomware: 5 ขั้นแรกที่ต้องทำ

ถ้าองค์กรต้องแสดงความพร้อมด้านความปลอดภัยต่อลูกค้า ดู ISO 27001 กับ SOC 2: ควรเลือกอะไร

แหล่งอ้างอิงและข้อมูลเพิ่มเติม

คำแนะนำเรื่องรหัสผ่าน MFA การอัปเดต และฟิชชิง มาจากหน้าของ CISA ที่ระบุไว้ข้างล่าง ส่วนเรื่องความปลอดภัยของอีเมลและการสำรองข้อมูลมาจากหน้าของ NCSC รายละเอียดเรื่องสายด่วน 1441 มาจากข่าวเมื่อเดือนพฤศจิกายน 2023 ซึ่งอาจเปลี่ยนไปแล้ว จึงควรตรวจกับเว็บไซต์ทางการก่อนใช้ ข้อที่ระบุว่าเป็นความเห็นของเราเองไม่ได้มาจากแหล่งเหล่านี้ เราอ่านแหล่งข้อมูลเมื่อ 23 ตุลาคม 2026 คำแนะนำเปลี่ยนได้ จึงควรเปิดหน้าต้นฉบับดูอีกครั้ง