สกมช. เคยเตือนแล้ว! ตั้งรหัสผ่านคาดเดาง่าย-ใช้ซ้ำ เสี่ยงรหัสผ่านหลุด

ท่ามกลางกระแสความกังวลเกี่ยวกับกรณีข้อมูลส่วนบุคคลของประชาชน รวมถึงข้อมูลของบุคคลสำคัญ ถูกนำไปเผยแพร่หรืออ้างว่าสามารถเข้าถึงได้ผ่านช่องทางผิดกฎหมาย ขณะที่รัฐบาลมีคำชี้แจงในเบื้องต้นว่า เหตุดังกล่าวไม่ได้เกิดจากการเจาะระบบโดยตรง แต่อาจเกี่ยวข้องกับการรั่วไหลของบัญชีผู้ใช้และรหัสผ่าน หรือ Credential Leak

ประเด็นดังกล่าวทำให้เรื่อง “รหัสผ่าน” กลับมาเป็นสิ่งที่ผู้ใช้อินเทอร์เน็ตต้องให้ความสำคัญอีกครั้ง

NCSA Thailand

เพราะก่อนหน้านี้ สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) เคยออกมาเตือนถึงอันตรายจากข้อมูลบัญชีผู้ใช้และรหัสผ่านรั่วไหล พร้อมเปิดเผยสถิติรหัสผ่านยอดนิยมของประเทศไทยที่ตรวจพบจากข้อมูลรั่วไหล ซึ่งอาจปรากฏอยู่ในแหล่งข้อมูลบน Dark Web

หนึ่งในข้อมูลที่น่าสนใจคือสถิติ 20 รหัสผ่านที่นิยมใช้ในประเทศไทย ซึ่งพบจากชุดข้อมูลรั่วไหล โดยหลายอันดับเป็นรหัสผ่านที่คาดเดาได้ง่าย ทั้งตัวเลขเรียงกัน ตัวเลขซ้ำ คำทั่วไป ตลอดจนรหัสที่มีลักษณะเป็นรหัสตั้งต้น โดยอันดับต่าง ๆ ได้แก่

1. "123456" 931,513 ครั้ง
2. "12345678" 835,574 ครั้ง
3. "1234" — 610,079 ครั้ง
4. "123456789" — 290,043 ครั้ง
5. "password" — 251,702 ครั้ง
6. "P@ssw0rd" — 154,597 ครั้ง
7. "12345" — 119,517 ครั้ง
8. "087272*** **" — 109,149 ครั้ง
9. "a12345" — 89,794 ครั้ง
10. "admin" — 73,721 ครั้ง
11. "dopakey1234" — 72,135 ครั้ง
12. "Np001122" — 69,169 ครั้ง
13. "11111111" — 66,826 ครั้ง
14. "pimstudent" — 60,133 ครั้ง
15. "Password" — 55,422 ครั้ง
16. "dbsaudit" — 54,940 ครั้ง
17. "1234567890" — 50,579 ครั้ง
18. "777999" — 49,136 ครั้ง
19. "212536" — 46,584 ครั้ง
20. "88888888" — 42,431 ครั้ง

NCSA Thailand

โดยเฉพาะ “123456” ครองอันดับ 1 ด้วยจำนวนมากกว่า 931,000 ครั้ง ตามด้วย “12345678” มากกว่า 835,000 ครั้ง และ “1234” มากกว่า 610,000 ครั้ง ขณะที่คำง่าย ๆ อย่าง “password”, “Password” และ “admin” ก็ยังติดอยู่ใน 20 อันดับแรกเช่นกัน

ตัวเลขดังกล่าวเป็นจำนวนครั้งที่รหัสผ่านเหล่านี้ถูกพบหรือถูกใช้ในชุดข้อมูลที่นำมารวบรวม ไม่ได้หมายความว่าเป็นจำนวนผู้ใช้งานที่ไม่ซ้ำกัน แต่สะท้อนให้เห็นถึงปัญหาสำคัญว่า ผู้ใช้จำนวนมากยังเลือกใช้รหัสผ่านที่สั้น จำง่าย และมีรูปแบบซ้ำกัน ซึ่งเป็นรูปแบบที่ผู้โจมตีสามารถนำไปใช้เป็นฐานในการทดลองเดารหัสผ่านได้ง่ายขึ้น

ที่สำคัญ แม้การเปลี่ยนตัวอักษรบางตัวเป็นสัญลักษณ์ เช่น จาก “password” เป็น “P@ssw0rd” อาจดูซับซ้อนขึ้น แต่รูปแบบลักษณะนี้เป็นที่รู้จักและสามารถอยู่ในฐานข้อมูลสำหรับทดลองรหัสผ่านของผู้โจมตีได้เช่นกัน สกมช. จึงเน้นย้ำว่า การพึ่งพารหัสผ่านเพียงอย่างเดียวไม่เพียงพอต่อความปลอดภัยของบัญชีในปัจจุบัน

อีกหนึ่งความเสี่ยงสำคัญคือ การใช้รหัสผ่านเดียวกันกับหลายบริการ เพราะหากชื่อผู้ใช้และรหัสผ่านจากเว็บไซต์หนึ่งรั่วไหล คนร้ายสามารถนำข้อมูลชุดเดียวกันไปทดลองเข้าสู่เว็บไซต์ อีเมล หรือบริการอื่น ๆ ได้ หรือที่เรียกว่า Credential Stuffing แม้ว่าระบบปลายทางนั้นจะไม่ได้ถูกแฮ็กหรือมีข้อมูลรั่วไหลเลยก็ตาม สกมช. ยังชี้ว่า Credential Leak สามารถเกิดขึ้นได้จากหลายทาง รวมถึงมัลแวร์ที่ติดอยู่ในอุปกรณ์และขโมยข้อมูลรหัสผ่านที่ผู้ใช้บันทึกไว้ในเบราว์เซอร์

สกมช. จึงแนะนำให้ประชาชนตั้งรหัสผ่านที่มีความยาวอย่างน้อย 12 ตัวอักษร ผสมตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และสัญลักษณ์ ไม่ใช้รหัสผ่านเดียวกันซ้ำในหลายบริการ รวมถึงเปิดใช้งาน Multi-Factor Authentication หรือ MFA เพื่อเพิ่มการยืนยันตัวตนอีกชั้นหนึ่ง หากสงสัยว่ารหัสผ่านรั่วไหลควรเปลี่ยนทันที และต้องระมัดระวัง Phishing หลีกเลี่ยงการกดลิงก์หรือกรอกรหัสผ่านบนเว็บไซต์ที่ไม่น่าเชื่อถือ

นอกจากนี้ ยังเสนอแนวทางป้องกันความเสี่ยงจากรหัสผ่าน 5 ข้อ ได้แก่

1. ใช้รหัสผ่านที่แข็งแรง โดยควรมีความยาวอย่างน้อย 12 ตัวอักษร และผสมตัวอักษรพิมพ์ใหญ่-เล็ก ตัวเลข และสัญลักษณ์
2. ไม่ใช้รหัสผ่านซ้ำ โดยควรใช้รหัสผ่านแตกต่างกันสำหรับแต่ละบัญชี
3. เปิดใช้ MFA เพื่อเพิ่มความมั่นคงปลอดภัยด้วยการยืนยันตัวตนตั้งแต่ 2 ชั้นขึ้นไป
4. เปลี่ยนรหัสผ่าน เมื่อสงสัยว่ารหัสผ่านเกิดการรั่วไหล
5. ระวัง Phishing ไม่คลิกลิงก์หรือกรอกข้อมูลจากแหล่งที่ไม่น่าเชื่อถือ