ทำไมคนยังใช้รหัสผ่าน 123456

ทุกครั้งที่มีการรวบรวมรหัสผ่านจากฐานข้อมูลที่รั่วไหล ชื่อเดิม ๆ มักกลับมาติดอันดับต้นเสมอ และหนึ่งในนั้นคือ “123456” รหัสผ่านที่แทบไม่ต้องเดา เพราะคนร้ายสามารถลองได้ตั้งแต่วินาทีแรกที่เริ่มโจมตีบัญชี

เรื่องน่าแปลกไม่ใช่การที่รหัสนี้คาดเดาง่าย แต่คือมันยังถูกใช้อย่างแพร่หลาย ทั้งที่แทบทุกคนรู้ว่ารหัสผ่านมีหน้าที่ป้องกันข้อมูลส่วนตัว เงินในบัญชี รูปถ่าย เอกสารการทำงาน และบทสนทนาที่ไม่ควรตกไปอยู่ในมือคนอื่น

เหตุผลหนึ่งคือความสะดวก รหัสอย่าง 123456 จำง่าย พิมพ์เร็ว และไม่ต้องกลัวลืม บางคนใช้กับบัญชีที่คิดว่าไม่สำคัญ เช่น เว็บสมัครสมาชิกชั่วคราว ร้านค้าออนไลน์ที่เคยซื้อของครั้งเดียว หรือแอปที่ดาวน์โหลดมาลองเล่น แต่ปัญหาคือบัญชีเล็ก ๆ เหล่านี้อาจมีข้อมูลที่เชื่อมไปถึงบัญชีอื่นได้

อีเมลที่ใช้สมัครอาจเป็นอีเมลหลัก หมายเลขโทรศัพท์อาจใช้รับรหัสยืนยัน ชื่อผู้ใช้ก็อาจเหมือนกับบัญชีโซเชียลมีเดีย เมื่อข้อมูลชุดหนึ่งรั่ว คนร้ายจึงไม่ได้หยุดอยู่แค่เว็บไซต์นั้น แต่จะนำอีเมลและรหัสผ่านไปลองกับบริการอื่นต่อทันที

วิธีนี้ไม่จำเป็นต้องมีใครนั่งพิมพ์รหัสทีละบัญชี โปรแกรมสามารถนำข้อมูลจำนวนมากไปทดลองเข้าสู่ระบบพร้อมกันได้ หากเราใช้รหัสเดียวกันในหลายที่ บัญชีหนึ่งรั่วก็อาจลากบัญชีอื่นให้เสียหายตามไปด้วย แม้บริการเหล่านั้นจะไม่ได้ถูกเจาะโดยตรงก็ตาม

รหัสที่เดาง่ายไม่ได้มีแค่ตัวเลขเรียงกัน

รหัสอย่าง 12345678, 000000, 111111, password, qwerty รวมถึงชื่อเล่น วันเกิด เบอร์โทรศัพท์ และชื่อสัตว์เลี้ยง ล้วนเป็นตัวเลือกที่เสี่ยง เพราะอยู่ในกลุ่มที่คนทั่วไปนิยมใช้หรือหาได้จากข้อมูลสาธารณะ

การเติมเครื่องหมายตกใจท้ายคำ หรือเปลี่ยนตัวอักษรบางตัวเป็นตัวเลข อาจดูซับซ้อนขึ้นเล็กน้อย แต่ถ้ายังเป็นรูปแบบที่คนจำนวนมากใช้ เช่น Password1! หรือชื่อเล่นตามด้วยปีเกิด โปรแกรมเดารหัสก็สามารถจัดรูปแบบเหล่านี้ไว้ในรายการทดลองได้อยู่แล้ว

อีกพฤติกรรมที่พบได้บ่อยคือการใช้รหัสที่ยาวขึ้น แต่ประกอบจากข้อมูลส่วนตัวทั้งหมด เช่น ชื่อจริงตามด้วยวันเดือนปีเกิดและเบอร์ท้ายโทรศัพท์ รหัสดังกล่าวอาจดูยาว ทว่าคนที่รู้จักเจ้าของบัญชีหรือรวบรวมข้อมูลจากโซเชียลมีเดียได้ ก็อาจเดาทางได้ไม่ยาก

รหัสผ่านที่ดีจึงไม่ควรวัดจากความยากในการอ่านเพียงอย่างเดียว แต่ต้องยาว ไม่ซ้ำ และไม่เป็นรูปแบบที่คาดเดาได้ง่าย โดยเฉพาะบัญชีสำคัญอย่างอีเมลหลัก ธนาคาร โซเชียลมีเดีย ระบบงาน และบริการเก็บไฟล์บนอินเทอร์เน็ต

อีเมลหลักควรได้รับความสำคัญเป็นพิเศษ เพราะมักเป็นประตูสำหรับกดลืมรหัสผ่านของบัญชีอื่น หากคนร้ายเข้าอีเมลได้ เขาอาจรีเซ็ตรหัสผ่าน เปลี่ยนข้อมูลติดต่อ ลบข้อความแจ้งเตือน และยึดบัญชีอื่นต่อเนื่องได้โดยที่เจ้าของรู้ตัวช้าเกินไป

ทางที่ปลอดภัยกว่าคือใช้รหัสผ่านคนละชุดในแต่ละบริการ แต่การจำรหัสจำนวนมากด้วยตัวเองไม่ใช่เรื่องง่าย หลายคนจึงกลับไปใช้รหัสเดิมซ้ำ เพราะกลัวลืมหรือไม่อยากเสียเวลาจดจำ

ตัวช่วยที่เหมาะกว่าคือโปรแกรมจัดการรหัสผ่าน ซึ่งสามารถสร้างและเก็บรหัสยาว ๆ ที่ไม่ซ้ำกันได้ ผู้ใช้จำเพียงรหัสหลักที่แข็งแรงหนึ่งชุด แล้วปล่อยให้โปรแกรมช่วยกรอกข้อมูลในแต่ละเว็บไซต์ วิธีนี้ลดทั้งปัญหารหัสสั้นและการใช้รหัสซ้ำ

รหัสหลักควรเป็นข้อความยาวที่จำได้ แต่ไม่เกี่ยวกับข้อมูลส่วนตัวโดยตรง อาจใช้คำหลายคำที่ไม่สัมพันธ์กันมารวมเป็นวลี แล้วเพิ่มตัวเลขหรือเครื่องหมายตามความเหมาะสม จุดสำคัญคืออย่าเลือกประโยคดัง เนื้อเพลงยอดนิยม หรือคำพูดที่คนจำนวนมากรู้จัก เพราะสิ่งเหล่านี้ก็อาจอยู่ในรายการที่ใช้เดาได้เช่นกัน

นอกจากรหัสผ่าน ควรเปิดการยืนยันตัวตนสองขั้นตอนในบัญชีที่รองรับ ต่อให้รหัสผ่านหลุด คนร้ายยังต้องผ่านขั้นตอนเพิ่มเติม เช่น รหัสจากแอปยืนยันตัวตน การแจ้งเตือนบนโทรศัพท์ หรืออุปกรณ์รักษาความปลอดภัย

การรับรหัสผ่านข้อความสั้นยังดีกว่าไม่มีขั้นตอนที่สองเลย แต่ถ้าเลือกได้ แอปยืนยันตัวตนหรือกุญแจรักษาความปลอดภัยมักลดความเสี่ยงจากการถูกหลอกเอารหัสหรือการยึดหมายเลขโทรศัพท์ได้มากกว่า

หลายบริการเริ่มรองรับพาสคีย์ ซึ่งใช้การปลดล็อกด้วยลายนิ้วมือ ใบหน้า หรือรหัสของอุปกรณ์แทนการพิมพ์รหัสผ่านแบบเดิม ข้อดีคือผู้ใช้ไม่ต้องสร้างรหัสเอง และข้อมูลลับสำหรับเข้าสู่ระบบไม่ได้ถูกส่งไปให้เว็บไซต์ในรูปแบบเดียวกับรหัสผ่านทั่วไป จึงลดปัญหาการเดารหัสและการหลอกให้กรอกข้อมูลในหน้าเว็บปลอมได้

อย่างไรก็ตาม ไม่ว่าจะใช้วิธีใดก็ยังต้องระวังการแจ้งเตือนเข้าสู่ระบบที่ไม่ได้เป็นคนกดเอง บางครั้งคนร้ายจะพยายามเข้าสู่ระบบซ้ำ ๆ จนโทรศัพท์ส่งคำขอยืนยันหลายครั้ง หวังให้เจ้าของบัญชีกดยอมรับเพราะรำคาญหรือเข้าใจผิด หากไม่ใช่การเข้าสู่ระบบของเรา ไม่ควรกดอนุมัติเด็ดขาด

การเปลี่ยนรหัสผ่านทุกเดือนโดยใช้รูปแบบเดิม เช่น เพิ่มเลขจาก 01 เป็น 02 ไม่ได้ช่วยมากนัก สิ่งที่ควรทำก่อนคือเลิกใช้รหัสซ้ำ เปลี่ยนรหัสที่เคยปรากฏในเหตุข้อมูลรั่ว และตั้งรหัสใหม่ทันทีเมื่อพบการเข้าสู่ระบบผิดปกติหรือได้รับแจ้งเตือนจากผู้ให้บริการ

ควรตรวจสอบด้วยว่าบัญชีมีอีเมลสำรองและหมายเลขโทรศัพท์ที่ยังใช้งานอยู่หรือไม่ เพราะเมื่อเกิดปัญหา ช่องทางกู้คืนบัญชีจะสำคัญมาก หากข้อมูลเหล่านี้เป็นเบอร์เก่าหรืออีเมลที่เข้าไม่ได้ เจ้าของบัญชีอาจเสียเวลาและอาจไม่สามารถนำบัญชีกลับมาได้

รหัส 123456 จึงไม่ใช่แค่เรื่องขำเกี่ยวกับคนขี้เกียจตั้งรหัส มันสะท้อนว่าหลายคนยังมองความปลอดภัยเป็นงานยุ่งที่ค่อยทำภายหลัง ทั้งที่การแก้ไขหลังบัญชีถูกยึดมักเสียเวลามากกว่า บางกรณียังตามมาด้วยความเสียหายทางการเงิน การแอบอ้างตัวตน หรือการหลอกคนรู้จักผ่านบัญชีของเหยื่อ

เริ่มจากสามเรื่องก็ลดความเสี่ยงได้มากแล้ว คือเปลี่ยนรหัสผ่านที่เดาง่าย เลิกใช้รหัสเดียวกันหลายบัญชี และเปิดการยืนยันตัวตนสองขั้นตอน โดยให้ความสำคัญกับอีเมลหลักก่อนบัญชีอื่น

ส่วน 123456 ควรเหลือไว้ใช้เป็นตัวอย่างของรหัสที่ไม่ควรตั้ง ไม่ใช่ใช้ป้องกันชีวิตออนไลน์ของเรา