OTP ที่ส่งมาทาง SMS ไม่ได้ปกป้องคุณอีกต่อไป

ตัวเลขความเสียหายของไทย

รายงาน State of Scams in Thailand ปี 2568 ของ Global Anti-Scam Alliance ระบุว่าคนไทยเสียเงินให้มิจฉาชีพออนไลน์รวม 115,300 ล้านบาทในรอบปี จากสายโทรและข้อความหลอกลวงราว 173 ล้านครั้ง

ตัวเลขที่ควรอ่านคู่กันคือสัดส่วน ผู้ใหญ่ชาวไทย 72 เปอร์เซ็นต์เจอความพยายามหลอกลวง 60 เปอร์เซ็นต์ถูกหลอกสำเร็จในรอบสิบสองเดือน และ 14 เปอร์เซ็นต์เสียเงินจริง เฉลี่ยรายละ 12,955.6 บาท เดือนมีนาคม 2569 ตำรวจรายงานความเสียหายกลับมาอยู่ที่ราว 70 ล้านบาทต่อวัน

ในบรรดาวิธีที่มิจฉาชีพใช้เข้าถึงบัญชีของเหยื่อ จุดที่ถูกเจาะซ้ำมากที่สุดคือรหัสหกหลักที่ธนาคารและแอปต่างๆ ส่งมาให้ทาง SMS

OTP ถูกสร้างมาแก้ปัญหาอะไร

รหัสผ่านครั้งเดียว (One-Time Password หรือ OTP) ถูกออกแบบมาแก้ปัญหาหนึ่งที่ชัดเจนมาก นั่นคือรหัสผ่านรั่ว

ก่อนหน้านั้น ถ้าใครได้รหัสผ่านของคุณไป เขาก็เข้าบัญชีได้ทันที ไม่ว่าจะได้มาจากฐานข้อมูลที่ถูกแฮก จากการเดา หรือจากการที่คุณใช้รหัสเดียวกันทุกเว็บ การเพิ่มรหัสที่ส่งมาทางมือถือทำให้แค่รหัสผ่านอย่างเดียวไม่พอ ต้องมีมือถือของคุณอยู่ในมือด้วย

ตรรกะนี้ยังถูกอยู่ ปัญหาคือข้อสมมติที่ซ่อนอยู่ข้างใต้ว่าเบอร์มือถือของคุณคือของคุณคนเดียว และคุณจะพิมพ์รหัสนั้นลงในเว็บที่ถูกเท่านั้น ข้อสมมติทั้งสองข้อพังไปแล้ว

สามวิธีที่ OTP ของคุณถูกขโมย

หนึ่ง สวมซิม

การสวมซิม (SIM Swap) คือการที่มิจฉาชีพไปขอออกซิมใหม่ในเบอร์ของคุณ โดยใช้ข้อมูลส่วนตัวที่รวบรวมมาหรือใช้คนในช่วยดำเนินการ พอซิมใหม่ทำงาน ซิมเดิมในเครื่องคุณจะตัดสัญญาณ และ SMS ทุกฉบับ รวมถึง OTP ทุกตัว จะวิ่งไปเข้าเครื่องของมิจฉาชีพแทน

ในไทยที่แอปธนาคารและกระเป๋าเงินอิเล็กทรอนิกส์เกือบทั้งหมดยืนอยู่บน OTP ทาง SMS การสวมซิมสำเร็จหนึ่งครั้งหมายถึงเงินในบัญชีหายได้ภายในไม่กี่นาที และผู้เสียหายมักรู้ตัวก็ต่อเมื่อมือถือไม่มีสัญญาณ ซึ่งคนส่วนใหญ่ตีความว่าเป็นปัญหาของเครือข่าย ไม่ใช่การถูกโจมตี

สอง หน้าเว็บปลอมที่ส่งรหัสต่อแบบทันที

วิธีนี้ทำลายความเข้าใจผิดที่พบบ่อยที่สุด ว่า OTP ที่หมดอายุใน 5 นาทีจะปลอดภัยเพราะมิจฉาชีพเอาไปใช้ไม่ทัน

มิจฉาชีพไม่ได้เก็บรหัสของคุณไว้ใช้ทีหลัง เขาตั้งหน้าเว็บที่หน้าตาเหมือนธนาคารหรือเว็บเทรดของคุณทุกอย่าง คุณกรอกรหัสผ่านลงไป หน้าเว็บนั้นส่งต่อไปที่เว็บจริงทันที เว็บจริงส่ง OTP มาที่มือถือคุณตามปกติ คุณกรอก OTP ลงหน้าเว็บปลอม และมันก็ส่งต่อไปที่เว็บจริงอีกครั้งภายในไม่กี่วินาที

ตลอดกระบวนการนี้ทุกอย่างดูถูกต้องหมด SMS มาจากเบอร์ของธนาคารจริง รหัสเป็นรหัสจริง และมันถูกใช้ภายในเวลาที่กำหนด สิ่งเดียวที่ผิดคือคุณพิมพ์มันลงในหน้าที่ไม่ใช่ของธนาคาร

สาม มัลแวร์ที่อ่านข้อความในเครื่อง

แอปที่ติดตั้งนอกสโตร์ทางการ หรือแอปที่ขอสิทธิ์เข้าถึงข้อความและการช่วยเหลือการเข้าถึง สามารถอ่าน SMS ที่เข้ามาได้โดยที่คุณไม่ต้องทำอะไรเลย ในกรณีนี้เบอร์ยังเป็นของคุณ ซิมยังอยู่ในเครื่องคุณ แต่รหัสถูกอ่านตั้งแต่วินาทีที่มันมาถึง

แล้วแอป Authenticator ล่ะ

การย้ายจาก SMS ไปใช้แอปอย่าง Google Authenticator เป็นการอัปเกรดที่คุ้มค่า มันตัดปัญหาการสวมซิมออกไปทั้งหมด เพราะรหัสถูกสร้างขึ้นในเครื่องคุณ ไม่ได้วิ่งผ่านเครือข่ายมือถือ

แต่มันไม่ได้แก้ปัญหาข้อสอง รหัสหกหลักในแอปก็ยังเป็นตัวเลขที่คุณต้องอ่านแล้วพิมพ์ลงไปในเว็บอยู่ดี ถ้าเว็บนั้นเป็นเว็บปลอม ผลลัพธ์เหมือนกันทุกประการกับ SMS

นี่คือเส้นแบ่งที่แท้จริง ไม่ใช่ระหว่าง SMS กับแอป แต่อยู่ระหว่างสิ่งที่คุณต้องพิมพ์ กับสิ่งที่ไม่มีอะไรให้พิมพ์

Security Key ต่างออกไปตรงไหน

Security Key คืออุปกรณ์ขนาดเท่าลูกกุญแจที่เสียบพอร์ต USB หรือแตะกับมือถือผ่าน NFC ตอนสมัครใช้ครั้งแรก ตัวคีย์จะสร้างกุญแจคู่หนึ่งขึ้นมาสำหรับเว็บนั้นโดยเฉพาะ ส่วนที่เป็นความลับไม่เคยออกจากตัวคีย์ และกุญแจคู่นั้นถูกผูกไว้กับชื่อโดเมนของเว็บ

เวลาเข้าสู่ระบบ เบราว์เซอร์จะบอกตัวคีย์ว่ากำลังคุยอยู่กับโดเมนไหน ตัวคีย์เทียบกับโดเมนที่มันลงทะเบียนไว้ ถ้าไม่ตรงมันจะไม่เซ็นให้ จบตรงนั้น

ผลที่ตามมาสำคัญกว่าที่ฟังดู หน้าเว็บปลอมที่ทำเหมือนจริงทุกพิกเซล จะยังคงมีโดเมนคนละตัวกับของจริงเสมอ เพราะโดเมนคือสิ่งเดียวที่มิจฉาชีพปลอมไม่ได้ ตัวคีย์จึงเห็นสิ่งที่ตาคุณมองข้าม และมันไม่ได้อาศัยความช่างสังเกตของคุณเลยแม้แต่น้อย

ที่สำคัญไม่แพ้กันคือ ไม่มีรหัสให้อ่าน ไม่มีตัวเลขให้พิมพ์ ไม่มีอะไรให้บอกใครทางโทรศัพท์ ต่อให้มิจฉาชีพโทรมาแล้วคุณเชื่อสนิทใจ ก็ไม่มีสิ่งใดในตัวคีย์ที่คุณส่งให้เขาได้

ตัวคีย์ของ Yubico ไม่มีแบตเตอรี่ ไม่ต่ออินเทอร์เน็ต และไม่มีซอฟต์แวร์ให้อัปเดต ทั้งสามอย่างนี้คือช่องทางโจมตีที่ถูกตัดทิ้งไปตั้งแต่ต้น

หลักฐานที่ตรงที่สุดมาจาก Google บริษัทบังคับให้พนักงานกว่า 85,000 คนใช้ Security Key แทนรหัสและ OTP มาตั้งแต่ต้นปี 2560 และนับจากนั้นไม่มีรายงานหรือการยืนยันว่ามีบัญชีพนักงานถูกยึดสำเร็จเลยแม้แต่รายเดียว

ถ้าอยากเริ่มจากพื้นฐานของตัวอุปกรณ์ก่อน บทความก่อนหน้านี้ของเราอธิบายไว้ว่าYubiKey คืออะไร และปกป้องบัญชีของคุณอย่างไร

กฎหมายไทยย้ายภาระความรับผิดแล้ว

พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี (ฉบับที่ 2) พ.ศ. 2568 มีผลบังคับใช้เมื่อ 13 เมษายน 2568 สาระสำคัญคือธนาคาร ผู้ให้บริการโทรคมนาคม ผู้ให้บริการกระเป๋าเงินอิเล็กทรอนิกส์ และแพลตฟอร์มสื่อสังคมออนไลน์ ร่วมรับผิดในความเสียหายที่เกิดจากการหลอกลวง โดยศาลจะพิจารณาความประมาทเลินเล่อของแต่ละฝ่าย ผู้ที่ไม่ปฏิบัติตามมาตรการมีโทษปรับไม่เกิน 500,000 บาท และผู้รับผิดชอบมีโทษจำคุกไม่เกินหนึ่งปี ปรับไม่เกิน 100,000 บาท หรือทั้งจำทั้งปรับ

อีกด้านหนึ่ง เมื่อวันที่ 1 สิงหาคม 2568 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสั่งปรับแปดราย รวม 14.5 ล้านบาท รายที่หนักที่สุดคือร้านจำหน่ายคอมพิวเตอร์ ปรับ 7 ล้านบาท เพราะไม่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลและไม่แจ้งเหตุละเมิด ส่วนอีกรายหนึ่งเป็นหน่วยงานรัฐ ถูกปรับ 153,120 บาท โดยเหตุผลที่ระบุไว้ตรงๆ ข้อหนึ่งคือการใช้รหัสผ่านที่อ่อนแอ และผู้พัฒนาระบบซึ่งเป็นผู้ประมวลผลข้อมูลถูกปรับในอัตราเดียวกัน

สำหรับธุรกิจ นี่เปลี่ยนสถานะของการยืนยันตัวตนจากเรื่องเทคนิคของฝ่ายไอที มาเป็นเรื่องที่มีตัวเลขค่าปรับกำกับอยู่

ใช้กับบริการอะไรได้บ้าง

บริการที่รองรับ FIDO2/WebAuthn ในปัจจุบันครอบคลุมบัญชีที่มีมูลค่าสูงที่สุดของคนส่วนใหญ่อยู่แล้ว ได้แก่ Google, Microsoft, Apple, Facebook, Instagram, X, LinkedIn, GitHub, Dropbox, ผู้ให้บริการรหัสผ่านอย่าง 1Password และ Bitwarden รวมถึงเว็บเทรดคริปโตรายใหญ่อย่าง Binance, Coinbase และ Kraken

ฝั่งไทย Bitkub เปิดให้ใช้พาสคีย์ (Passkey) ซึ่งอยู่บนมาตรฐานเดียวกัน ส่วนจะลงทะเบียนคีย์แยกชิ้นเป็นพาสคีย์ได้หรือไม่ ให้ตรวจในหน้าตั้งค่าความปลอดภัยของบัญชีคุณเอง เพราะแต่ละบริการเปิดใช้ไม่พร้อมกัน

สิ่งที่ต้องพูดให้ชัดคือแอปธนาคารไทยส่วนใหญ่ยังไม่รองรับ Security Key ธนาคารเลือกใช้การยืนยันในแอปและการสแกนใบหน้าแทน ดังนั้นคีย์จะไม่ได้เข้าไปนั่งอยู่หน้าแอปธนาคารของคุณ

แต่มันปกป้องสิ่งที่อยู่ข้างหลัง เงินของคุณ นั่นคืออีเมล อีเมลคือบัญชีที่รีเซ็ตบัญชีอื่นได้เกือบทั้งหมด ใครก็ตามที่เข้าอีเมลของคุณได้ ก็ไล่ยึดบัญชีที่เหลือได้ตามลำดับ การใส่คีย์ให้อีเมลบัญชีเดียว จึงให้ผลมากกว่าการใส่ให้บัญชีอื่นสิบบัญชีรวมกัน

เลือกรุ่นไหน

ข้อแรกที่ควรรู้ก่อนดูราคา รุ่นถูกที่สุดกับรุ่นแพงที่สุดกันฟิชชิงได้เท่ากัน เพราะทั้งคู่ใช้ FIDO2/WebAuthn เหมือนกัน สิ่งที่เพิ่มขึ้นตามราคาคือความสามารถอื่นที่ไม่เกี่ยวกับการกันฟิชชิง

Security Key NFC รองรับ FIDO2/WebAuthn และ FIDO U2F เท่านั้น ส่วน YubiKey 5 Series เพิ่ม Yubico OTP, OATH-TOTP, OATH-HOTP, สมาร์ทการ์ด PIV และ OpenPGP เข้ามา ความต่างที่ใช้จริงบ่อยที่สุดคือ YubiKey 5 เก็บรหัส TOTP ไว้ในตัวคีย์ได้ ทำให้เลิกใช้แอป Authenticator ได้ทั้งหมด ส่วน Security Key ทำไม่ได้

Yubico

Security Key NFC by Yubico

฿1,390

• USB-A และแตะกับมือถือที่มี NFC ได้
• รองรับ FIDO2/WebAuthn และ FIDO U2F เท่านั้น
• ทางที่ถูกที่สุดในการทำให้บัญชีกันฟิชชิงได้

หยิบใส่ตะกร้า

ถ้าเป้าหมายคือกันบัญชีอีเมลและโซเชียลไม่ให้ถูกยึด รุ่นนี้จบงานได้ครบและเป็นจุดเริ่มต้นที่คุ้มที่สุด

Yubico

YubiKey 5 NFC

฿2,490

• USB-A และแตะกับมือถือที่มี NFC ได้
• เพิ่ม Yubico OTP, OATH-TOTP, สมาร์ทการ์ด PIV และ OpenPGP
• ใช้แทนแอป Authenticator ได้ในตัว

หยิบใส่ตะกร้า

Yubico

YubiKey 5C NFC

฿2,690

• USB-C และแตะกับมือถือที่มี NFC ได้
• รองรับโปรโตคอลเท่ากับ YubiKey 5 NFC
• เหมาะกับ MacBook และ Android รุ่นใหม่

หยิบใส่ตะกร้า

เรื่องพอร์ตให้ยึดเครื่องที่คุณใช้เข้าสู่ระบบบ่อยที่สุดเป็นหลัก คอมพิวเตอร์ทั่วไปและโน้ตบุ๊กรุ่นเก่าใช้ USB-A ส่วน MacBook และ Android รุ่นใหม่ใช้ USB-C ถ้าเป็น iPhone รุ่นที่ยังใช้ Lightning และอยากเสียบตรงมากกว่าแตะ ให้ดู YubiKey 5Ci ที่มีทั้งสองหัวในชิ้นเดียว ส่วนรุ่น Nano ออกแบบมาให้เสียบทิ้งไว้ในเครื่องได้ตลอดโดยแทบไม่โผล่พ้นพอร์ต เหมาะกับเครื่องประจำที่ไม่ได้พกไปไหน

รุ่น Bio เพิ่มการสแกนลายนิ้วมือเข้าไปในตัวคีย์ ทำให้ใช้แทนรหัสผ่านได้ทั้งหมดโดยไม่ต้องพิมพ์ PIN ลายนิ้วมือถูกเก็บและเทียบอยู่ในตัวคีย์เท่านั้น ไม่ถูกส่งออกไปที่เว็บไซต์หรือเก็บบนเซิร์ฟเวอร์ใด เหมาะกับเครื่องที่ใช้ร่วมกันหลายคนหรือที่ทำงานที่ไม่อยากให้พิมพ์ PIN ต่อหน้าคนอื่น

ข้อจำกัดที่ต้องรู้ก่อนซื้อ

ควรมีสองชิ้น ลงทะเบียนทั้งสองชิ้นกับทุกบัญชี เก็บชิ้นที่สองไว้คนละที่กับชิ้นแรก คีย์ชิ้นเดียวที่หายไปโดยไม่มีตัวสำรอง แปลว่าคุณเข้าบัญชีตัวเองไม่ได้เหมือนกัน นี่เป็นเหตุผลที่คนเลิกใช้กลางทางมากที่สุด

ไม่ใช่ทุกบริการที่รองรับ ตรวจรายการบัญชีที่คุณอยากป้องกันก่อนซื้อ ถ้าบัญชีสำคัญของคุณไม่มีบริการไหนรองรับเลย คีย์ก็ยังไม่มีประโยชน์กับคุณในตอนนี้

มันไม่ได้กันการถูกหลอกให้โอนเงินเอง ข้อนี้สำคัญที่สุดสำหรับบริบทไทย รายงานฉบับเดียวกันระบุว่าการหลอกลงทุนคือรูปแบบที่พบมากที่สุด อยู่ที่ 66 เปอร์เซ็นต์ของผู้เสียหาย ตามด้วยการหลอกซื้อของ 63 เปอร์เซ็นต์ และหลอกเรื่องงาน 53 เปอร์เซ็นต์ การหลอกเหล่านี้จบด้วยการที่เหยื่อกดโอนเงินด้วยตัวเองจากบัญชีของตัวเอง Security Key ปกป้องบัญชีจากการถูกคนอื่นเข้า แต่ไม่ได้ห้ามเจ้าของบัญชีทำสิ่งที่ตั้งใจทำ

ยังต้องมีรหัสผ่านที่ดี คีย์เป็นปัจจัยที่สอง ไม่ได้ทำให้รหัสผ่านซ้ำๆ กลายเป็นเรื่องปลอดภัย

คำถามที่พบบ่อย

ถ้าคีย์หายไป คนเก็บได้จะเข้าบัญชีเราได้ไหม

ไม่ได้ เพราะการเข้าสู่ระบบยังต้องใช้รหัสผ่านของบัญชีนั้น หรือ PIN ของตัวคีย์ ร่วมด้วยเสมอ ตัวคีย์เพียงลำพังไม่ใช่กุญแจผี และเมื่อรู้ว่าหาย ให้เข้าไปถอดคีย์ชิ้นนั้นออกจากบัญชีด้วยคีย์สำรอง

ต้องชาร์จไฟไหม

ไม่ต้อง ไม่มีแบตเตอรี่ ไม่มีอะไรให้เสื่อม รับพลังงานจากพอร์ตที่เสียบหรือจากสนาม NFC ของมือถือขณะใช้งานเท่านั้น

ถ้ามือถือหาย ยังใช้คีย์เข้าบัญชีได้ไหม

ได้ และนี่เป็นข้อดีที่คนมองข้าม เพราะคีย์ไม่ได้ผูกกับเบอร์หรือเครื่องใดเครื่องหนึ่ง เสียบกับคอมพิวเตอร์เครื่องไหนก็เข้าได้ ต่างจาก OTP ทาง SMS และแอป Authenticator ที่ผูกอยู่กับมือถือเครื่องนั้น

ซื้อแล้วตั้งค่าเองไม่เป็น ทำอย่างไร

ทักมาทาง LINE หรือแวะมาที่ร้าน เราตั้งค่าและลงทะเบียนคีย์กับบัญชีให้ถึงหน้าเคาน์เตอร์ โดยไม่คิดค่าบริการ

SIAMBC จำหน่ายฮาร์ดแวร์ด้านความปลอดภัยมาตั้งแต่ปี 2559 เป็นตัวแทนจำหน่ายอย่างเป็นทางการของ Yubico ในประเทศไทย มีหน้าร้านที่กรุงเทพฯ ให้เข้ามาดูของจริงและให้เราตั้งค่าให้ได้