การยืนยันตัวตนสองขั้นตอน การสลับซิม และการรักษาความปลอดภัยบัญชี

การยืนยันตัวตนสองขั้นตอนช่วยป้องกันอะไรได้จริง?

ปัจจัยความปลอดภัยแบ่งออกเป็นสามกลุ่ม: สิ่งที่คุณรู้ (รหัสผ่านหรือ PIN), สิ่งที่คุณมี (โทรศัพท์, แอปที่เก็บข้อมูลลับ, กุญแจฮาร์ดแวร์), และสิ่งที่คุณเป็น (ลายนิ้วมือหรือใบหน้า) การยืนยันตัวตนสองขั้นตอนต้องการหลักฐานจากสองกลุ่มที่แตกต่างกัน รหัสผ่านบวกกับคำถามความปลอดภัยยังคงอยู่ในกลุ่มเดียว คือ "ความรู้" และหน้าฟิชชิ่งเพียงหน้าเดียวก็สามารถจับข้อมูลทั้งสองได้

เหตุผลที่เรื่องนี้สำคัญต่อคริปโตคือความไม่สมมาตร สำหรับบัญชีออนไลน์ส่วนใหญ่ การถูกยึดครองสามารถกู้คืนได้: ธนาคารสามารถยกเลิกการโอนเงินได้ แพลตฟอร์มสามารถกู้คืนโปรไฟล์ได้ การถอนเงินคริปโตเป็นขั้นสุดท้าย เมื่อสินทรัพย์ออกจากบัญชีแลกเปลี่ยนไปยังที่อยู่ของผู้โจมตี ไม่มีคิวบริการลูกค้าใดที่สามารถนำมันกลับมาได้ ผู้โจมตีรู้เรื่องนี้ ซึ่งเป็นเหตุผลที่ข้อมูลรับรองคริปโตเป็นหนึ่งในเป้าหมายหลักบนอินเทอร์เน็ต และเหตุผลที่ศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ตของ FBI (IC3) บันทึกการสูญเสียที่เกี่ยวข้องกับคริปโตมูลค่า 11.4 พันล้านดอลลาร์ในปี 2025 จากคำร้องเรียนทั้งหมด 181,565 รายการ

มีจุดอ่อนหนึ่งจุดที่ควรแก้ไขตั้งแต่เนิ่นๆ การยืนยันตัวตนสองขั้นตอนช่วยปกป้องบัญชี: การเข้าสู่ระบบได้รับการคุ้มครองโดยบริการที่ตรวจสอบปัจจัยยืนยันตัวตนของคุณ ส่วนกระเป๋าเงินแบบเก็บรักษาเอง (self-custody wallet) ได้รับการคุ้มครองด้วยกุญแจ และกุญแจส่วนตัวไม่ต้องการรหัสยืนยัน ทั้งสองอย่างล้วนสำคัญ แต่มีจุดอ่อนที่แตกต่างกัน บทความนี้จะกล่าวถึงประเภทแรก

ทำไม SMS จึงเป็นปัจจัยที่สองที่อ่อนแอที่สุด?

เมื่อรหัสเข้าสู่ระบบถูกส่งมาทางข้อความ SMS ความปลอดภัยของรหัสนั้นไม่ขึ้นอยู่กับโทรศัพท์ของคุณอีกต่อไป แต่ขึ้นอยู่กับกระบวนการของผู้ให้บริการเครือข่ายในการตัดสินว่าใครเป็นเจ้าของหมายเลขนั้น ผู้ใดก็ตามที่สามารถโน้มน้าวผู้ให้บริการเครือข่ายให้ย้ายหมายเลขของคุณไปยัง SIM ของเขา จะได้รับรหัสของคุณ นั่นคือการสลับ SIM (SIM swap) ซึ่งไม่จำเป็นต้องมีมัลแวร์บนอุปกรณ์ของคุณ และไม่จำเป็นต้องติดต่อกับคุณเลย

SMS ยังมีจุดอ่อนอื่นๆ อีกด้วย รหัสสามารถถูกฟิชชิ่งได้แบบเรียลไทม์: หน้าล็อกอินปลอมจะขอรหัสผ่านของคุณ แล้วขอ "รหัสที่เราเพิ่งส่งให้คุณ" และผู้โจมตีจะส่งทั้งสองอย่างไปยังเว็บไซต์จริงภายในไม่กี่วินาที รหัสยังสามารถถูกดักจับได้ผ่านจุดอ่อนในโครงสร้างพื้นฐานการส่งสัญญาณของผู้ให้บริการโทรคมนาคม แต่สำหรับการขโมยคริปโต การใช้วิธีวิศวกรรมสังคมนั้นพบได้บ่อยกว่ามาก เพราะมีค่าใช้จ่ายต่ำกว่า

ทิศทางของแนวทางอย่างเป็นทางการนั้นชัดเจน แนวทางด้านอัตลักษณ์ดิจิทัลของ NIST (SP 800-63B) จัดประเภทรหัส SMS และรหัสเสียงเป็นวิธีการยืนยันตัวตนแบบจำกัด (restricted authenticators) กำหนดให้หน่วยงานที่ใช้ระบบเหล่านี้ต้องรับทราบถึงความเสี่ยง และชี้แนะผู้ดำเนินการให้ใช้ทางเลือกที่ต้านการฟิชชิ่งได้ ส่วน FCC ได้บังคับให้ผู้ให้บริการเครือข่ายในสหรัฐฯ ตั้งแต่เดือนกรกฎาคม 2024 ต้องตรวจสอบอัตลักษณ์อย่างเข้มงวดก่อนการเปลี่ยน SIM และการโอนหมายเลข และต้องแจ้งให้ลูกค้าทราบเมื่อมีการขอเปลี่ยนแปลง กฎเหล่านี้ช่วยเพิ่มต้นทุนให้กับผู้โจมตี แต่ไม่ได้ทำให้การโจมตีเกิดขึ้นน้อยลง

สิ่งเหล่านี้ไม่ได้หมายความว่าคุณควรปิดการใช้งานรหัส SMS เมื่อยังไม่มีตัวเลือกที่ดีกว่า SMS แบบสองขั้นตอนยังคงสามารถป้องกันการโจมตีที่ง่ายที่สุดได้ และบัญชีที่ใช้รหัส SMS จะปลอดภัยกว่าบัญชีเดียวกันที่ใช้เพียงรหัสผ่านเท่านั้น กฎนั้นเรียบง่ายกว่า: SMS เป็นระดับขั้นต่ำ ไม่ใช่ตัวเลือก และไม่ควรเป็นชั้นป้องกันสำหรับอีเมลหรือระบบแลกเปลี่ยนของคุณ เมื่อมีแอปยืนยันตัวตน กุญแจฮาร์ดแวร์ หรือรหัสผ่านแบบถาวร (passkey) ให้ใช้

การโจมตีแบบสลับ SIM ทำงานอย่างไร?

การโจมตีนี้ดำเนินการเป็นขั้นตอน และการเข้าใจขั้นตอนเหล่านี้จะช่วยให้คุณรู้ได้อย่างแม่นยำว่าควรจัดระบบป้องกันไว้ที่ใด

ขั้นแรก คือ การสืบค้นข้อมูล ผู้โจมตีจะรวบรวมชื่อ ที่อยู่ วันเกิด หมายเลขโทรศัพท์ และผู้ให้บริการเครือข่ายของคุณจากไฟล์ของตัวแทนข้อมูล การรั่วไหลของข้อมูลในอดีต และโซเชียลมีเดีย ผู้ที่พูดถึงการถือครองคริปโตเคอร์เรนซีของตนในที่สาธารณะจะถูกคัดเลือกเป็นพิเศษ; การศึกษาของมหาวิทยาลัยพรินซ์ตันเกี่ยวกับการยืนยันตัวตนของผู้ให้บริการเครือข่ายพบว่าข้อมูลที่จำเป็นสำหรับการผ่านการโทรติดต่อฝ่ายสนับสนุนมักมีอยู่ทั่วไปหรือสามารถคาดเดาได้

ขั้นที่สอง คือการเปลี่ยน SIM เอง ผู้โจมตีจะโทรไปยังผู้ให้บริการเครือข่ายโดยอ้างว่าโทรศัพท์หาย และขอให้เปิดใช้งานหมายเลขบน SIM ใหม่ โดยตอบคำถามความปลอดภัยด้วยข้อมูลที่รวบรวมไว้แล้ว รูปแบบหนึ่งคือการฉ้อโกงการย้ายหมายเลข (port-out fraud) ซึ่งย้ายหมายเลขไปยังผู้ให้บริการเครือข่ายอื่นโดยสิ้นเชิง ส่วนรูปแบบที่ร้ายแรงกว่าคือการจ่ายเงินให้พนักงานขายหรือพนักงานฝ่ายสนับสนุนเพื่อดำเนินการเปลี่ยนโดยตรง; คดีฟ้องร้องในสหรัฐฯ ได้ระบุซ้ำแล้วซ้ำเล่าว่ามีผู้ภายในองค์กรที่ได้รับเงินต่อครั้งในการเปลี่ยนหมายเลข

ประการที่สาม คือการยึดครองโทรศัพท์ของคุณ โทรศัพท์ของคุณจะสูญเสียสัญญาณ ผู้โจมตีจะรับสายและข้อความของคุณผ่านอุปกรณ์ของเขา จากนั้นพวกเขาจะรีเซ็ตรหัสผ่านอีเมลของคุณ ซึ่งโดยทั่วไปมีระบบกู้คืนผ่าน SMS แล้วใช้ที่อยู่อีเมลและรหัส SMS เพื่อเข้าสู่บัญชี เปลี่ยนข้อมูลการเข้าสู่ระบบ และเริ่มถอนเงิน กลุ่มที่ดำเนินการอย่างมีประสิทธิภาพสามารถดำเนินการตั้งแต่สูญเสียสัญญาณครั้งแรกจนถึงการถอนเงินครั้งแรกได้ภายในหนึ่งชั่วโมง มักเกิดขึ้นในช่วงกลางคืนตามเขตเวลาของคุณ

ตัวเลข IC3 ปี 2025 ซึ่งรายงานการร้องเรียน 971 รายการ และมูลค่าความสูญเสียที่รายงาน 17.4 ล้านดอลลาร์สหรัฐฯ สำหรับทุกประเภทอาชญากรรม ไม่ใช่เฉพาะคริปโตเท่านั้น ยังประเมินปัญหานี้ต่ำเกินไป เนื่องจากการรายงานเป็นไปโดยสมัครใจ และเหยื่อจำนวนมากไม่ได้แจ้งให้ใครทราบ สิ่งที่ตัวเลขเหล่านี้แสดงให้เห็นคือ เทคนิคที่สังเกตเห็นครั้งแรกในปี 2018 ซึ่งมุ่งเป้าไปที่ผู้รู้ภายในวงการคริปโต ยังคงให้ผลกำไรและถูกใช้เป็นประจำแม้ผ่านไป 8 ปีแล้ว

การป้องกันต้องสอดคล้องกับโครงสร้างของกระบวนการ ทุกขั้นตอนถือว่าหมายเลขโทรศัพท์ของคุณเป็นกุญแจหลัก หากถอดหมายเลขนั้นออกจากบทบาทดังกล่าว โซ่การโจมตีก็จะไม่มีสิ่งใดให้ยึดติด

คุณควรใช้อะไรแทน: แอป, กุญแจฮาร์ดแวร์ หรือรหัสผ่าน?

แอปยืนยันตัวตน เช่น เครื่องสร้างรหัส TOTP เก็บความลับไว้บนอุปกรณ์ของคุณและสร้างรหัสใหม่ 6 หลักทุก 30 วินาที ไม่มีการส่งข้อความ SMS จึงทำให้การสลับ SIM ไม่ได้รับประโยชน์ใดๆ ยังมีข้อจำกัดสองประการ เว็บไซต์ปลอมที่ดูน่าเชื่อถือยังคงสามารถฟิชโค้ดที่ใช้งานอยู่ได้โดยการขอให้คุณป้อนรหัสเข้าไป และรหัสจากแอปที่สำรองข้อมูลไปยังบัญชีคลาวด์จะรับช่วงต่อความปลอดภัยของบัญชีคลาวด์นั้น ดังนั้น การสำรองข้อมูลที่มีการป้องกันอ่อนแออาจนำจุดล้มเหลวเดียวกลับมาโดยไม่รู้ตัว

กุญแจความปลอดภัยแบบฮาร์ดแวร์ (Hardware Security Key) คืออุปกรณ์ขนาดเล็กที่รองรับมาตรฐาน FIDO2 และ WebAuthn เมื่อเข้าสู่ระบบ อุปกรณ์นี้จะลงนามในคำท้าทาย (challenge) ที่ผูกกับแหล่งที่มา (origin) ของเว็บไซต์จริง อย่างไรก็ตาม เว็บไซต์ปลอม แม้จะออกแบบได้สมบูรณ์แบบเพียงใด ก็แสดงแหล่งที่มาที่ผิด และกุญแจนี้จะไม่สร้างคำตอบที่ถูกต้องได้ คุณสมบัตินี้ คือ ความต้านทานต่อการฟิชชิ่ง ซึ่งเป็นกลไกป้องกันเชิงโครงสร้างที่คุณยังคงมีอยู่ แม้ในวันที่คุณรู้สึกเหนื่อยล้า รีบเร่ง และมั่นใจว่าหน้าเว็บที่อยู่ตรงหน้าคุณเป็นของจริง คุณสมบัตินี้ครอบคลุมข้อมูลรับรองตัวตนโดยตรง ส่วนกระบวนการกู้คืนบัญชี บัญชีคลาวด์ที่ซิงค์และถูกบุกรุก เซสชันที่เป็นอันตรายบนอุปกรณ์ที่ติดไวรัส และการบุกรุกจุดปลายทาง ยังคงเป็นช่องทางแยกต่างหาก ซึ่งเป็นเหตุผลที่ส่วนที่เหลือของคู่มือนี้ถูกจัดทำขึ้น

Passkey นำมาตรฐานเดียวกันมาใช้ในซอฟต์แวร์: คู่กุญแจที่เก็บไว้ในโทรศัพท์หรือแล็ปท็อปของคุณ และปลดล็อกด้วยลายนิ้วมือ ใบหน้า หรือ PIN Passkey มีคุณสมบัติต้านการฟิชชิ่งเช่นเดียวกับกุญแจฮาร์ดแวร์ และความสะดวกคือจุดเด่นของมัน; ความยุ่งยากที่เคยทำให้ผู้คนหันกลับไปใช้ SMS นั้นได้หายไปเป็นส่วนใหญ่แล้ว หาก Passkey ของคุณซิงค์ผ่านบัญชีคลาวด์ บัญชีนั้นจะกลายเป็นส่วนหนึ่งของขอบเขตความปลอดภัยของคุณ ดังนั้นจึงต้องได้รับการดูแลอย่างระมัดระวังเช่นเดียวกับอีเมลของคุณ

การจัดอันดับที่ปฏิบัติได้จริงสำหรับบัญชีคริปโตคือ: กุญแจฮาร์ดแวร์หรือพาสคีย์เป็นอันดับแรก แอปยืนยันตัวตนเป็นอันดับสอง SMS ใช้เฉพาะเมื่อไม่มีตัวเลือกอื่น และรหัสอีเมลให้ปฏิบัติเหมือน SMS กฎอีกหนึ่งข้อจะช่วยป้องกันไม่ให้ผู้ใช้ถูกล็อกเอาต์จากระบบความปลอดภัยของตนเอง: ลงทะเบียนกุญแจฮาร์ดแวร์สองชุด หรือเก็บชุดรหัสกู้คืนแบบใช้ครั้งเดียวที่พิมพ์ออกมาไว้ในที่ปลอดภัย เพื่อป้องกันไม่ให้การสูญเสียอุปกรณ์ทำให้คุณถูกล็อกเอาต์จากระบบป้องกันของตัวเอง

ทำอย่างไรเพื่อล็อกบัญชีคริปโตให้ปลอดภัย ขั้นตอนต่อขั้นตอน?

ขั้นตอน 1: รักษาความปลอดภัยอีเมลซึ่งเป็นพื้นฐานของทุกสิ่ง บัญชีอีเมลของคุณสามารถรีเซ็ตรหัสผ่านเกือบทุกบัญชีอื่นที่คุณมีได้ ซึ่งทำให้มันเป็นแนวป้องกันที่แท้จริง ตั้งรหัสผ่านที่ยาวและไม่ซ้ำใครจากผู้จัดการรหัสผ่าน และใช้ปัจจัยที่สองที่แข็งแกร่งที่สุดที่ระบบรองรับ โดยควรเป็น passkey หรือกุญแจฮาร์ดแวร์ ลบหมายเลขโทรศัพท์ของคุณออกเป็นวิธีการกู้คืน; ตัวเลือกการกู้คืนคือประตูทางเข้าทางเลือก และประตูการกู้คืนผ่าน SMS จะเปิดเส้นทาง SIM swap ที่คุณเพิ่งปิดไปอีกครั้ง

ขั้นตอนที่ 2: รักษาความปลอดภัยบัญชี Exchange ด้วยรหัสผ่านที่ไม่ซ้ำใคร ปัจจัยยืนยันตัวตนขั้นที่สองที่ต้านการฟิชชิ่ง และการตรวจสอบช่องทางการกู้คืนบัญชีเพื่อหลีกเลี่ยงกับดักหมายเลขโทรศัพท์เดิม หากแพลตฟอร์มมีรหัสป้องกันการฟิชชิ่ง (anti-phishing code) ซึ่งเป็นวลีที่ปรากฏในอีเมลจริง ให้ตั้งค่าไว้

ขั้นตอนที่ 3: ล็อกหมายเลขโทรศัพท์เอง ขอผู้ให้บริการเครือข่ายให้บล็อกการย้ายหมายเลข (port-out block) และ PIN สำหรับการเปลี่ยน SIM; ผู้ให้บริการเครือข่ายในสหรัฐฯ ต้องเสนอการยืนยันตัวตนที่เข้มงวดขึ้นตามกฎของ FCC และเครือข่ายในสหราชอาณาจักรก็ให้ล็อกแบบเดียวกันตามคำขอ จากนั้นลดระดับความสำคัญของหมายเลขนี้: ลบมันออกจากการตั้งค่าการยืนยันสองขั้นตอนและตัวเลือกการกู้คืนในบัญชีใดก็ตามที่เกี่ยวข้องกับเงิน และใช้มันเป็นข้อมูลติดต่อแทนที่จะเป็นข้อมูลยืนยันตัวตน

ขั้นตอนที่ 4: เปิดใช้งานการควบคุมการถอนเงิน รายชื่อที่อยู่ที่ได้รับอนุญาตจะจำกัดการถอนเงินให้เฉพาะที่อยู่ที่คุณอนุมัติไว้ล่วงหน้า โดยปกติจะมีการหน่วงเวลาในการเปลี่ยนแปลง การหน่วงเวลาการถอนเงินหรือการตั้งขีดจำกัดรายวันจะเปลี่ยนการถอนเงินแบบฉับพลันภายใน 5 นาทีให้กลายเป็นกระบวนการที่ช้าและเกิดเสียงเตือน การควบคุมเหล่านี้ช่วยขัดขวางความต้องการความเร็วของผู้โจมตีได้อย่างเฉพาะเจาะจง

ขั้นตอนที่ 5: ลดพื้นที่การโจมตีรอบบัญชี เข้าสู่ระบบผ่านบุ๊กมาร์กแทนที่จะใช้ผลการค้นหาหรือลิงก์ในข้อความ เพราะการฟิชชิ่งผ่านผลการค้นหาที่ได้รับการสนับสนุนเป็นกับดักมาตรฐาน อัปเดตอุปกรณ์ให้ทันสมัยอยู่เสมอ พูดน้อยลงในที่สาธารณะเกี่ยวกับสิ่งที่คุณถือครอง; ทุกการโอ้อวดคือข้อมูลเป้าหมาย ซึ่งเป็นหัวข้อที่บทความเกี่ยวกับความปลอดภัยทางกายภาพในชุดบทความนี้จะกล่าวถึงอย่างละเอียดยิ่งขึ้น

ไม่มีข้อใดในรายการนี้ที่ต้องการทักษะทางเทคนิคเลย นี่เป็นเพียงการปรับตั้งค่าในเวลาช่วงบ่ายเท่านั้น และมันจะเปลี่ยนคุณจากเป้าหมายที่ง่ายกลายเป็นเป้าหมายที่คุ้มค่า

คุณควรทำอย่างไรหากถูกโจมตีด้วยการสลับซิม?

สัญญาณเตือนจะเกิดขึ้นอย่างกะทันหัน: โทรศัพท์ของคุณแสดงว่าไม่มีสัญญาณในพื้นที่ที่ปกติใช้งานได้ หรือมีข้อความแจ้งการเปิดใช้งาน SIM ที่คุณไม่เคยขอ บางครั้งสัญญาณแรกอาจดูแปลกกว่า เช่น การได้รับอีเมลรีเซ็ตรหัสผ่านจำนวนมาก หรือเพื่อนแจ้งว่าคุณส่งข้อความที่คุณไม่เคยส่ง

ดำเนินการตามลำดับนี้: โทรหาผู้ให้บริการเครือข่ายจากโทรศัพท์เครื่องอื่นใดก็ได้ แจ้งการเปลี่ยน SIM ที่ไม่ได้รับอนุญาต และขอให้ระงับหรือเรียกคืนหมายเลขนั้น; ทีมป้องกันการฉ้อโกงสามารถยกเลิกการเปลี่ยน SIM ได้อย่างรวดเร็วเมื่อได้รับแจ้ง ถัดไป จากอุปกรณ์ที่คุณยังเข้าสู่ระบบอยู่ ตรวจสอบการตั้งค่าบัญชีอีเมล เปลี่ยนรหัสผ่าน และลบวิธีการกู้คืนหรือกฎการส่งต่อที่คุณไม่ได้สร้างขึ้นเอง; ผู้โจมตีจะตั้งกฎการส่งต่อเพื่ออ่านอีเมลของคุณต่อไปแม้หลังจากที่คุณกู้คืนบัญชีแล้ว จากนั้นติดต่อผู้ให้บริการเครือข่าย ล็อกการถอนเงิน และตรวจสอบกิจกรรมล่าสุด สุดท้าย เปลี่ยนรหัสผ่านในทุกบริการที่ใช้หมายเลขนี้สำหรับการกู้คืน โดยเริ่มจากบัญชีการเงินก่อนแล้วค่อยขยายไปยังบริการอื่น ๆ

แจ้งเหตุแม้ว่าคุณจะหยุดการโจมตีได้ทันเวลา ในสหรัฐอเมริกา ให้แจ้งกับศูนย์รับแจ้งคดีอาชญากรรมทางอินเทอร์เน็ตของ FBI (IC3) ที่ ic3.gov; ในอังกฤษ เวลส์ และไอร์แลนด์เหนือ ให้ใช้ Report Fraud ซึ่งแทนที่ Action Fraud ตั้งแต่เดือนธันวาคม 2025; ในสกอตแลนด์ ให้โทรติดต่อ Police Scotland ที่หมายเลข 101 การแจ้งเหตุช่วยสร้างแฟ้มคดีที่นำไปสู่การจับกุม และการสลับบัญชีที่มีผู้ภายในช่วยเหลือได้นำไปสู่การดำเนินคดีทั้งสองฝั่งมหาสมุทรแอตแลนติก

มีสองนิสัยที่ช่วยลดความรุนแรงของการโจมตีได้ตั้งแต่ต้น: ไม่ใส่หมายเลขโทรศัพท์ของคุณในตั้งค่าการกู้คืนบัญชี เพื่อที่หมายเลขที่ถูกขโมยจะไม่สามารถเปิดอะไรได้ และเปิดใช้งานการหน่วงเวลาการถอนเงิน เพื่อที่แม้การเข้าสู่ระบบจะสำเร็จ ก็ไม่สามารถดำเนินการให้เสร็จสิ้นได้อย่างรวดเร็ว

ความปลอดภัยของบัญชีสิ้นสุดที่ใด และความปลอดภัยของกุญแจเริ่มต้นที่ใด?

บัญชีบนแพลตฟอร์มแลกเปลี่ยนได้รับการคุ้มครองด้วยการยืนยันตัวตน: แพลตฟอร์มเป็นผู้ถือสินทรัพย์และตัดสินใจว่าคุณคือตัวคุณเองหรือไม่ โดยอิงจากปัจจัยต่างๆ ของคุณ สิ่งนี้มีทั้งข้อดีและข้อเสีย ฝ่ายสนับสนุนสามารถระงับการถอนเงินระหว่างการโจมตีและคืนสิทธิ์การเข้าถึงให้คุณในภายหลังได้ แต่ฝ่ายสนับสนุนเดียวกันนี้ก็เป็นจุดอ่อนที่ผู้ไม่หวังดีสามารถโจมตีได้ ดังที่การสลับซิมการ์ดทุกครั้งแสดงให้เห็น

การเก็บรักษาด้วยตนเอง (self-custody) ตัดตัวกลางออกไป กุญแจส่วนตัวของกระเป๋าเงินลงนามธุรกรรมโดยตรง ไม่มีรหัสใดถูกส่งทางข้อความถึงใคร และการสลับ SIM ก็ไม่มีผลต่อมันเลย แต่ข้อแลกเปลี่ยนคือเครือข่ายความปลอดภัยสำหรับการกู้คืนก็หายไปเช่นกัน: หากสูญเสียหรือรั่วไหลข้อมูลกุญแจส่วนตัว ก็ไม่มีทีมป้องกันการฉ้อโกงใดให้ติดต่อ กระเป๋าเงินแบบคลาสสิกที่ใช้กุญแจเดียวรวมทุกอย่างไว้ในความลับเดียว คือวลีเมล็ด (seed phrase) ซึ่งหากสูญหายหรือถูกขโมยจะส่งผลให้สูญเสียทั้งหมด นี่คือเหตุผลที่ด้านความปลอดภัยแบบการเก็บรักษา (custody) มีวิศวกรรมเฉพาะตัว: การตั้งค่าหลายลายเซ็น (multisignature) และเข้ารหัสแบบเกณฑ์ (threshold cryptography) แบ่งอำนาจการลงนามไปยังอุปกรณ์หรือบุคคลหลายคน ดังนั้นความลับเดียวที่ถูกขโมย หรือบุคคลเดียวที่ถูกบังคับ ก็ไม่สามารถโอนเงินได้ การออกแบบเหล่านี้มีบทความเฉพาะในสถาบันนี้

สรุปอย่างตรงไปตรงมาคือ "แบบไหนปลอดภัยกว่า" เป็นคำถามที่ผิด บัญชีบนแพลตฟอร์มแลกเปลี่ยนที่มีกุญแจฮาร์ดแวร์ อีเมลที่ถูกล็อกอย่างแน่นหนา และช่วงเวลาการถอนที่ล่าช้า เป็นเป้าหมายที่ยากต่อการโจมตี การตั้งค่าการเก็บรักษาด้วยตนเองที่มีกุญแจกระจายตัว ก็เป็นเป้าหมายที่ยากต่อการโจมตีเช่นกัน ส่วนเวอร์ชันที่อ่อนแอของทั้งสองแบบ คือเป้าหมายที่ง่ายที่ผู้โจมตีกำลังมองหา ให้รักษาความปลอดภัยบัญชีที่คุณมีอยู่ในปัจจุบัน; ศึกษาโมเดลการเก็บรักษาก่อนที่คุณจะถือสินทรัพย์มากกว่าที่คุณสามารถรับมือได้หากถูกแช่แข็ง สูญหาย หรือถูกขโมย

คำถามที่พบบ่อย

การยืนยันตัวตนสองขั้นตอนผ่าน SMS ดีกว่าไม่มีเลยหรือไม่?

ใช่ แน่นอน มันช่วยป้องกันการโจมตีแบบฉวยโอกาสที่ใช้เพียงรหัสผ่านที่รั่วไหล ปัญหาคือผู้โจมตีเฉพาะที่มันดึงดูดมา: ใครก็ตามที่สามารถยึดครองหมายเลขโทรศัพท์ของคุณได้ จะได้รับรหัสยืนยันไปด้วย ใช้ SMS เฉพาะในกรณีที่ไม่มีแอปยืนยันตัวตน กุญแจฮาร์ดแวร์ หรือรหัสผ่านแบบผ่าน (passkey) ให้ใช้ และอย่าใช้เป็นระบบป้องกันสำหรับอีเมลหรือบัญชีแลกเปลี่ยนของคุณเด็ดขาด

การสลับ SIM สามารถขโมยเหรียญจากกระเป๋าเงินที่เก็บรักษาเองได้หรือไม่?

ไม่ได้โดยตรง เพราะกุญแจส่วนตัวไม่เคยถูกส่งผ่านข้อความ SMS ดังนั้นการขโมยหมายเลขโทรศัพท์ของคุณจึงไม่ส่งผลต่อกระเป๋าเงินของคุณ ทางที่อาจเกิดขึ้นได้จริงคือทางอ้อม: หมายเลขที่ถูกขโมยจะช่วยให้ผู้โจมตีเข้าควบคุมบัญชีอีเมลและบัญชี Exchange ของคุณได้ และการฟิชชิ่งที่ตามมาอาจมุ่งเป้าไปที่กระเป๋าเงินของคุณด้วยคำขอลงนามที่เป็นอันตราย ซึ่งเป็นการโจมตีแบบอื่นที่มีบทความแยกต่างหากในชุดบทความนี้

รหัสผ่าน (passkey) ปลอดภัยจริงหรือไม่ หากมันถูกซิงค์ผ่านบัญชีคลาวด์ของฉัน?

Passkey เองมีความต้านทานต่อการฟิชชิ่ง; การผูกมัดต้นทาง (origin binding) จะป้องกันไม่ให้มันตอบกลับเว็บไซต์ปลอม การซิงค์หมายความว่าบัญชีคลาวด์ของคุณจะเก็บข้อมูลการเข้าสู่ระบบ ดังนั้นจึงต้องได้รับการป้องกันเหมือนอีเมลของคุณ: รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกัน, ปัจจัยยืนยันตัวตนที่สองที่แข็งแกร่งที่สุดที่มีอยู่, และไม่ใช้การกู้คืนผ่าน SMS ปกป้องบัญชีนั้นอย่างถูกต้อง และ passkey ที่ซิงค์แล้วจะให้ประโยชน์สุทธิมากกว่าการใช้รหัสผ่านแบบเดิม

ทำอย่างไรเพื่อทราบว่าหมายเลขโทรศัพท์ของฉันถูกบล็อกการย้ายเครือข่าย (port-out block) หรือไม่?

สอบถามผู้ให้บริการโดยตรง เนื่องจากชื่อเรียกอาจแตกต่างกัน: การล็อกหมายเลข, การแช่แข็งพอร์ต, การป้องกัน SIM, รหัส PIN สำหรับการโอนย้าย ผู้ให้บริการในสหรัฐฯ มีข้อบังคับให้ต้องมีการตรวจสอบอย่างเข้มงวดสำหรับการเปลี่ยน SIM และการโอนย้ายหมายเลข ส่วนเครือข่ายในสหราชอาณาจักรจะนำมาตรการป้องกันมาใช้ตามคำขอ ตั้งการบล็อกไว้ และบันทึกรหัส PIN ในผู้จัดการรหัสผ่านของคุณ แทนที่จะเก็บไว้ในที่ใดก็ตามที่อาจถูกคาดเดาได้

การเปลี่ยนแปลงที่มีค่ามากที่สุดคืออะไร หากวันนี้ผมทำเพียงสิ่งเดียว?

ตั้งปัจจัยยืนยันตัวตนขั้นที่สองที่ต้านการฟิชชิ่ง เช่น passkey หรือกุญแจฮาร์ดแวร์ สำหรับบัญชีอีเมลที่อยู่เบื้องหลังระบบ Exchange ของคุณ และลบหมายเลขโทรศัพท์ของคุณออกจากตัวเลือกการกู้คืนของบัญชีนั้น อีเมลคือรากของต้นไม้บัญชี; ให้รักษาความปลอดภัยรากก่อน

แหล่งข้อมูลและข้อมูลเพิ่มเติม

แหล่งอ้างอิงหลักสำหรับบทความนี้ อัปเดต ณ เดือนกรกฎาคม 2026 ตัวเลขที่ผันผวนจะได้รับการตรวจสอบใหม่ทุกครั้งในการทบทวนรายไตรมาส

• ศูนย์รับแจ้งคดีอาชญากรรมทางอินเทอร์เน็ตของ FBI (FBI Internet Crime Complaint Center), รายงานอาชญากรรมทางอินเทอร์เน็ตปี 2025: ตัวเลขการร้องเรียนและสูญเสียจากการสลับซิม (SIM swap) รวมถึงยอดรวมความสูญเสียที่เกี่ยวข้องกับคริปโต https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf
• เอกสารพิเศษ NIST 800-63B (แนวทางการระบุตัวตนดิจิทัล: การยืนยันตัวตน), รวมถึงสถานะการจำกัดของตัวยืนยันตัวตนแบบ SMS และเสียงนอกช่องทาง (out-of-band) https://pages.nist.gov/800-63-4/sp800-63b.html
• FCC, การคุ้มครองผู้บริโภคจากการฉ้อโกง SIM-Swap และการโอนหมายเลขโทรศัพท์: รายงานและคำสั่ง รวมถึงวันที่กำหนดให้ปฏิบัติตาม https://www.fcc.gov/consumer-governmental-affairs/fcc-announces-effective-compliance-date-sim-swapping-item
• Federal Register, การคุ้มครองผู้บริโภคจากการฉ้อโกงการสลับ SIM และการโอนหมายเลข (ข้อความกฎ) https://www.federalregister.gov/documents/2023/12/08/2023-26338/protecting-consumers-from-sim-swap-and-port-out-fraud
• Lee, Kaiser, Mayer และ Narayanan (มหาวิทยาลัยพรินซ์ตัน), การศึกษาเชิงประจักษ์เกี่ยวกับการยืนยันตัวตนของผู้ให้บริการเครือข่ายไร้สายเพื่อป้องกันการสลับ SIM https://www.usenix.org/conference/soups2020/presentation/lee
• FIDO Alliance, ข้อกำหนดและภาพรวมของ FIDO2 และ WebAuthn. https://fidoalliance.org/fido2/
• W3C, ข้อกำหนดการยืนยันตัวตนบนเว็บ (WebAuthn). https://www.w3.org/TR/webauthn-2/
• NIST, SP 800-63B ส่วนที่กล่าวถึงตัวตรวจสอบความถูกต้องนอกแบนด์ (out-of-band authenticators) และคำนิยามการต้านทานการฟิชชิ่ง (phishing resistance). https://pages.nist.gov/800-63-4/sp800-63b/authenticators/
• Chainalysis, รายงานอาชญากรรมคริปโตปี 2026: บริบทการยึดครองบัญชีและการขโมย https://www.chainalysis.com/blog/2026-crypto-crime-report-introduction/
• ประกาศบริการสาธารณะของ IC3 เกี่ยวกับการสลับ SIM https://www.ic3.gov/PSA/2022/PSA220208
• การแจ้งเหตุ: ศูนย์รับแจ้งเหตุอาชญากรรมทางอินเทอร์เน็ตของ FBI ที่ https://www.ic3.gov (สหรัฐอเมริกา) และ Report Fraud (ซึ่งแทนที่ Action Fraud ตั้งแต่เดือนธันวาคม 2025) ที่ https://www.reportfraud.police.uk (อังกฤษ เวลส์ และไอร์แลนด์เหนือ; ในสกอตแลนด์ ให้โทรติดต่อ Police Scotland ที่หมายเลข 101)
• คำแนะนำของ Ofcom เกี่ยวกับการโอนหมายเลขโทรศัพท์มือถือและการคุ้มครองผู้บริโภค https://www.ofcom.org.uk/phones-and-broadband/switching-provider