ความจริงที่หลายคนไม่อยากยอมรับคือ คนส่วนใหญ่ไม่ได้โดนแฮกเพราะเจออัจฉริยะนั่งพิมพ์โค้ดสีเขียวในห้องมืด แต่โดนเพราะใช้รหัสเดิมซ้ำทั้งเมล ธนาคาร โซเชียล แล้วคิดว่าเติม ! หรือ 123 ท้ายคำเดิมก็แน่นพอแล้ว ทั้งที่ของแบบนี้บอทเดาเป็นชุดได้ภายในเวลาไม่นาน ความพังมันเลยไม่ได้เริ่มจากเทคนิคสูงล้ำ มันเริ่มจากนิสัยตั้งรหัสแบบมนุษย์ล้วนๆ
พอไปค้นหาเรื่องพาสเวิร์ดปลอดภัยในกูเกิล ก็เจอคอนเทนต์หน้าตาเหมือนกันหมด บอกให้ใช้ตัวพิมพ์ใหญ่ ตัวเล็ก ตัวเลข อักขระพิเศษ แล้วจบ ไม่มีใครบอกชัดๆ ว่าทำไมรหัสที่ดูซับซ้อนยังโดนลากพังได้ หรือควรเลือกตัวสร้างรหัสผ่านแบบไหนให้เสี่ยงน้อยลง ถ้าคุณกำลังหาวิธีป้องกันการโดนแฮกแบบเอาไปใช้จริง บทความนี้จะไม่พูดสวยหรู เราจะไล่จากต้นตอว่า รหัสผ่านพังตรงไหน แล้วค่อยไปถึงวิธีใช้เครื่องมือให้ถูก ไม่ใช่ใช้แบบขอไปที
ปัญหาจริงไม่ได้อยู่ที่รหัสสั้นอย่างเดียว
เรื่องที่เว็บทั่วไปชอบตัดทอนจนเสียรูป คือปัญหารหัสผ่านไม่ได้มีแค่ “สั้นไป” แต่มันมีทั้ง “เดาเป็นแพตเทิร์นได้” และ “ใช้ซ้ำจนพังทั้งโดมิโน” สองอย่างนี้แหละที่ทำให้คนเจ็บหนักกว่าเดิม
คนจำนวนมากไม่ได้โดนเจาะจากศูนย์ แต่โดนลากจากข้อมูลรั่วเก่า
รายงานด้านความปลอดภัยอย่าง Verizon Data Breach Investigations Report ยังพูดถึงการใช้ข้อมูลล็อกอินที่ขโมยมาแล้วซ้ำอีกครั้งอยู่เรื่อยๆ ภาษาคนทำงานเรียกกันตรงๆ ว่า credential stuffing คือถ้ารหัสอีเมลกับรหัสร้านช้อปปิ้งของคุณเหมือนกัน วันไหนเว็บหนึ่งรั่ว อีกเว็บก็เริ่มสั่นทันที ต่อให้รหัสนั้นยาว 14 ตัว ถ้ามันซ้ำ มันก็ยังเป็นรูรั่วอยู่ดี
นี่คือจุดที่หลายคนหัวเสีย พวกเขาตั้งรหัส “ดูยาก” มาก แต่เอาไปใช้ 6 ที่ พอเว็บเล็กๆ เว็บหนึ่งพัง บัญชีอื่นเริ่มมีอีเมลแจ้งล็อกอินแปลกๆ โผล่มาตอนตีสอง ความรู้สึกตอนนั้นไม่เท่ แต่โคตรจริง คุณจะเริ่มไล่เปลี่ยนรหัสแบบหน้ามืด แล้วพบว่าตัวเองจำไม่ไหวตั้งแต่เว็บที่สาม
กฎตั้งรหัสแบบตำราเก่า บางทีก็ผลักให้คนตั้งรหัสแย่ลง
NIST SP 800-63B ชี้ไว้ค่อนข้างชัดว่า ไม่ควรหมกมุ่นกับกฎพิสดารอย่างบังคับให้เปลี่ยนรหัสบ่อยๆ หรือบังคับรูปแบบซับซ้อนจนคนต้องจดใส่กระดาษแปะโต๊ะ เพราะสุดท้ายผู้ใช้จะหนีไปหารหัสจำง่าย เช่น Bangkok@123 หรือ April2025! ที่ดูซับซ้อน แต่มีโครงสร้างเดาง่ายมาก
ปัญหาไม่ได้อยู่ที่คุณไม่พยายาม ปัญหาอยู่ที่มนุษย์ชอบสร้างแพตเทิร์น แล้วแฮกเกอร์ก็รู้เรื่องนี้ดีเกินไป
เครื่องมือสุ่มรหัสผ่านช่วยตรงไหน และช่วยไม่ครบตรงไหน
ตรงนี้ต้องพูดแบบไม่โลกสวยก่อนว่า ตัวสร้างรหัสผ่านไม่ได้เสกความปลอดภัยให้คุณทันที มันแค่ตัดจุดอ่อนข้อใหญ่ที่สุดออกไปก่อน นั่นคือ “การคิดรหัสแบบมนุษย์” แต่หลังจากสร้างแล้ว คุณยังต้องเก็บ ใช้ และป้องกันการโดนหลอกให้ถูกทางด้วย
ความต่างระหว่างรหัสที่คนคิดเองกับรหัสที่ระบบสุ่ม
รหัสที่คนคิดเองมักมีของเดิมปนอยู่เสมอ ชื่อเล่น วันเกิด คำที่ชอบ ทีมบอล หรือสูตรเดิมที่แค่สลับตำแหน่งตัวอักษร แต่รหัสที่ระบบสุ่มสร้างให้จริงๆ จะไม่มีอารมณ์ร่วม ไม่มีความทรงจำ และนั่นแหละคือข้อดี มันน่าเบื่อ แต่มันเดายาก
ตัวอย่างง่ายๆ รหัสแบบ Kedance@2025 ดูเหมือนแน่น แต่มีชื่อ มีปี มีสัญลักษณ์ปิดท้าย ส่วนรหัสแบบ mQ7!vL2#rP9@xD4 ไม่มีตรรกะมนุษย์ให้เกาะ ถ้าให้เลือกเพื่อกันการเดาอัตโนมัติ แบบหลังชนะขาด ถึงคุณจะจำเองแทบไม่ได้ก็ตาม
ตัวสร้างแบบไหนน่าไว้ใจกว่า
ถ้าจะใช้ตัวสร้างรหัสผ่าน ให้เริ่มจากของที่อยู่ใน password manager หรือระบบที่ฝังมากับเบราว์เซอร์และมือถือก่อน เช่น Google Password Manager, Apple Passwords, Bitwarden หรือ 1Password เหตุผลไม่ใช่เพราะมันเท่ แต่เพราะวงจรใช้งานมันต่อเนื่อง สร้างแล้วเก็บได้ทันที ลดจังหวะที่คุณต้องคัดลอกไปแปะมั่วๆ
หลายคนไปหา เครื่องมือสร้าง รหัสผ่านออนไลน์แบบหน้าเดียวจบ ซึ่งไม่ใช่ว่าใช้ไม่ได้ทุกเว็บ แต่ควรถามก่อนว่าเว็บนั้นอธิบายหรือไม่ว่าการสุ่มเกิดในเบราว์เซอร์หรือส่งขึ้นเซิร์ฟเวอร์ ถ้าอ่านแล้วคลุมเครือเกินไป ก็อย่าเสี่ยงใช้กับบัญชีหลักอย่างอีเมลหรือธนาคาร
จำให้ขึ้นใจว่า ตัวสร้างรหัสผ่านที่ดี ต้องไม่ผลักให้คุณกลับไปจำเองทุกอัน เพราะถ้ายังต้องจำเอง สุดท้ายคุณจะเริ่มย่อ เริ่มดัดแปลง แล้วก็กลับสู่วงจรเดิม
กรอบคิดที่ใช้งานได้จริง: ยาว สุ่ม ไม่ซ้ำ เก็บให้ถูกที่
แทนที่จะไล่จำกฎสิบข้อ ผมอยากให้มองเรื่องนี้เป็นระบบสี่จังหวะ ถ้าหลุดข้อใดข้อหนึ่ง ความเสี่ยงจะไหลไปข้อถัดไปทันที มันไม่ได้หรู แต่มันใช้ได้จริงในชีวิตคนที่มีบัญชีออนไลน์เกิน 30 เว็บ
ยาว: เพิ่มต้นทุนให้คนที่พยายามเดา
ความยาวยังมีผลเสมอ ยิ่งรหัสผ่านยาว พื้นที่ในการเดายิ่งกว้าง แนวทางสมัยใหม่จึงมักเทไปทางรหัสยาวหรือ passphrase มากกว่าการเล่นท่ายากด้วยอักขระไม่กี่ตัว ถ้าเป็นบัญชีทั่วไป รหัสสุ่มยาวระดับ 14–20 ตัวอักษรถือว่าใช้งานได้ดีในหลายบริการ แต่ต้องดูข้อจำกัดของเว็บนั้นด้วย
สุ่ม: ตัดนิสัยมนุษย์ออกจากสมการ
คำว่า “สุ่ม” ไม่ได้แปลว่าเอามั่วๆ แต่มันหมายถึงไม่ให้มีรูปแบบที่เดาทางได้ คนชอบคิดว่าตัวเองคิดไม่เหมือนใคร ทั้งที่แพตเทิร์นจริงซ้ำกันน่าหงุดหงิดมาก ชื่อสัตว์เลี้ยงตามด้วยปีเกิด เติม ! ปิดท้าย สลับ e เป็น 3 แค่นี้ก็ครบตำราโดนเดาแล้ว
ไม่ซ้ำ: ถ้าเว็บหนึ่งรั่ว อีกเว็บต้องไม่ล้มตาม
นี่คือเส้นแบ่งระหว่าง “โดนหนึ่งจุด” กับ “ไฟไหม้ทั้งบ้าน” ถ้าแต่ละเว็บมีรหัสคนละชุด แม้บริการหนึ่งจะหลุด ขอบเขตความเสียหายก็ยังถูกขังอยู่แค่นั้น หลักนี้สอดคล้องกับคำแนะนำของหลายองค์กรด้านความปลอดภัย รวมถึงแนวทางจาก OWASP ที่ผลักให้ใช้รหัสเฉพาะต่อบริการ
เก็บให้ถูกที่: จำแค่รหัสแม่บท ที่เหลือให้ระบบทำงาน
คนพลาดตรงนี้บ่อยมาก สร้างรหัสสุดโหดได้แล้ว แต่ไปแคปหน้าจอเก็บในแกลเลอรี หรือส่งให้ตัวเองทางแชต แบบนั้นไม่ได้ต่างจากซ่อนกุญแจไว้ใต้พรม ทางที่ตรงกว่าคือใช้ password manager แล้วตั้ง master password ให้ยาวและจำได้จริง จะเป็น passphrase หลายคำที่คุณจำเป็นประโยคได้ แต่คนอื่นเดาไม่ได้ก็ยังดีกว่ารหัสสั้นปนมั่ว
วิธีเลือกใช้จริง โดยไม่ตกหลุมคำแนะนำลวกๆ
ถ้าต้องเลือกวันนี้เลย อย่าถามก่อนว่าแอปไหนดัง ให้ถามว่าแบบไหนเข้ากับพฤติกรรมคุณที่สุด เพราะระบบที่ดีแต่คุณไม่ใช้จริง ก็ไม่มีค่าอะไร
เช็กตามนี้ก่อนตัดสินใจ:
- มีตัวสร้างรหัสผ่านในตัว และบันทึกได้ทันทีหรือไม่
- ซิงก์ข้ามมือถือกับคอมได้หรือไม่ เพื่อไม่ให้คุณกลับไปใช้รหัสเดิมเพราะ “ขี้เกียจหา”
- รองรับการแจ้งเตือนรหัสที่อ่อนแอ หรือรหัสที่ใช้ซ้ำหรือไม่
- รองรับการยืนยันตัวตนสองชั้นสำหรับตัวจัดการรหัสผ่านเองหรือไม่
- มีชื่อเสียงด้านความปลอดภัย โปร่งใส และมีเอกสารอธิบายการทำงานพอสมควรหรือไม่
ถ้าคุณเป็นคนที่ชอบเปิดเว็บใหม่ สมัครบริการใหม่บ่อยๆ ตัวจัดการรหัสผ่านแบบเต็มระบบจะช่วยได้มากกว่าเว็บสุ่มรหัสผ่านอย่างเดียว แต่ถ้าคุณใช้บัญชีน้อย และอยู่ในระบบของ Apple หรือ Google อยู่แล้ว การเริ่มจากของที่ติดมากับอุปกรณ์ก็ยังดีกว่าปล่อยให้ตัวเองตั้งรหัสซ้ำไปเรื่อยๆ
หลังสร้างรหัสแล้ว ถ้ายังพลาด 3 จุดนี้ คุณก็ยังเสี่ยงอยู่ดี
รหัสผ่านแข็งแรงไม่ได้ช่วยทุกอย่าง ถ้าพฤติกรรมหลังจากนั้นยังเปิดประตูค้างไว้ ความเสียหายก็ยังเกิดได้เหมือนเดิม
มีสามเรื่องที่ต้องทำต่อทันที:
- เปิดการยืนยันตัวตนสองชั้น โดยเฉพาะอีเมลหลัก บัญชีธนาคาร และบัญชีที่ใช้รีเซ็ตรหัสผ่านบริการอื่น
- ระวังหน้าเว็บปลอม เพราะต่อให้รหัสแน่นแค่ไหน ถ้าคุณพิมพ์ใส่หน้าฟิชชิงก็จบ
- คอยตรวจว่าอีเมลของคุณเคยอยู่ในข้อมูลรั่วหรือไม่ แล้วรีบเปลี่ยนรหัสเฉพาะบริการนั้น
ถ้าจะเริ่มให้เริ่มคืนนี้เลย เปิด password manager สักตัว สร้างรหัสใหม่ให้กับอีเมลหลักก่อน แล้วไล่ต่อไปยังบัญชีธนาคาร โซเชียล และร้านค้าที่ผูกบัตรไว้ อย่าพยายามแก้ทั้งชีวิตในชั่วโมงเดียว เดี๋ยวคุณจะล้าแล้วเลิกกลางทาง แต่ถ้าคุณไม่เริ่มจากบัญชีที่เป็นศูนย์กลางที่สุด วันนี้คุณยังกล้าพอจะบอกไหมว่า ถ้าเว็บเล็กเว็บหนึ่งรั่ว พรุ่งนี้ชีวิตออนไลน์ของคุณจะไม่ล้มเป็นแถว?
