ถอดรหัสจิตวิทยา ทำไมสมองชอบเลือก “วันเกิด” เป็นพาสเวิร์ด

แม้จะมีคำเตือนเรื่องความปลอดภัยทางไซเบอร์อยู่เสมอ แต่คนจำนวนไม่น้อยยังใช้ “วัน เดือน ปีเกิด” ของตัวเอง คนรัก หรือคนในครอบครัว เป็นรหัสปลดล็อกหน้าจอ รหัส PIN หรือรหัสผ่านบัญชีออนไลน์

ปัญหาคือวันเกิดเป็นข้อมูลที่คาดเดาได้ง่าย และอาจปรากฏอยู่บนโซเชียลมีเดีย เอกสาร หรือฐานข้อมูลที่เคยรั่วไหล เมื่อรหัสมีรูปแบบชัดเจนอย่างวันเกิด ผู้โจมตีจึงไม่จำเป็นต้องไล่เดาตัวเลขทุกชุดแบบสุ่ม แต่อาจเริ่มจากข้อมูลที่มีโอกาสเป็นคำตอบสูงก่อน

ส่วนคำกล่าวว่ารหัสวันเกิดจะถูกเจาะได้ภายใน “0.01 วินาที” นั้น ไม่สามารถใช้เป็นตัวเลขตายตัวได้ เพราะระยะเวลาในการเดารหัสขึ้นอยู่กับรูปแบบรหัส ระบบจัดเก็บข้อมูล กำลังประมวลผล และมาตรการจำกัดจำนวนครั้งที่กรอกผิดของแต่ละบริการ อย่างไรก็ตาม การใช้วันเกิดก็ยังมีความเสี่ยง เพราะเป็นรหัสที่มีรูปแบบและเชื่อมโยงกับเจ้าของบัญชีโดยตรง

กับดักทางจิตวิทยาที่ทำให้สมองเลือก “วันเกิด”

การที่คนเรายังคงพึ่งพาวันเกิดมาตั้งเป็นรหัสผ่าน อาจอธิบายผ่านพฤติกรรมทางความคิดได้หลายด้าน

สมองจอมตระหนี่พลังงาน (Cognitive Miser): เมื่อมีหลายบัญชีและหลายรหัสต้องจดจำ สมองมักเลือกทางที่ใช้ความคิดน้อยกว่า รหัสซึ่งคุ้นเคยอยู่แล้วจึงดูสะดวกกว่าการสร้างชุดใหม่

ความง่ายในการนึกคิด (Cognitive Ease): วันเกิดเป็นชุดตัวเลขที่จำได้โดยแทบไม่ต้องพยายาม จึงมักถูกเลือกในช่วงที่ผู้ใช้ต้องตั้งรหัสอย่างเร่งรีบ หรือไม่ต้องการเพิ่มภาระในการจำ

อคติจากการมองโลกในแง่ดีเกินจริง (Optimism Bias): บางคนอาจคิดว่า “เราเป็นแค่คนธรรมดา แฮกเกอร์คงไม่สนใจ” แต่การโจมตีจำนวนมากเกิดขึ้นแบบอัตโนมัติ ผู้โจมตีสามารถใช้โปรแกรมลองรหัสที่พบบ่อย หรือใช้ข้อมูลเข้าสู่ระบบที่รั่วไหลไปทดสอบกับหลายบริการพร้อมกันได้

อันตรายเพิ่มขึ้นเมื่อใช้รหัสเดียวกันหลายบัญชี

ความเสี่ยงไม่ได้อยู่ที่วันเกิดเพียงอย่างเดียว แต่รวมถึงการนำรหัสเดิมไปใช้ซ้ำ หากบัญชีหนึ่งถูกเจาะหรือข้อมูลเข้าสู่ระบบรั่วไหล ผู้โจมตีอาจนำอีเมลและรหัสชุดนั้นไปทดลองกับบัญชีอื่น วิธีนี้เรียกว่า Credential Stuffing

รหัสสำหรับปลดล็อกโทรศัพท์หรือบัตรเอทีเอ็มก็ไม่ควรถูกมองเหมือนรหัสผ่านออนไลน์เสียทีเดียว เพราะอุปกรณ์และสถาบันการเงินมักจำกัดจำนวนครั้งในการกรอกผิด อย่างไรก็ตาม ผู้ใช้ยังควรหลีกเลี่ยง PIN ที่คาดเดาได้ เช่น วันเกิด เลขเรียง หรือเลขซ้ำ โดยเฉพาะเมื่อคนใกล้ตัวสามารถรู้ข้อมูลเหล่านี้ได้

ทางรอดโดยไม่ต้องจำรหัสให้ปวดหัว

ใช้โปรแกรมจัดการรหัสผ่าน (Password Manager): เครื่องมือนี้ช่วยสร้างและเก็บรหัสที่ยาว ไม่ซ้ำกัน และคาดเดายาก ผู้ใช้จึงไม่ต้องจำรหัสทุกบัญชีด้วยตัวเอง แต่ควรเลือกรหัสหลักที่แข็งแรงและเปิดการยืนยันตัวตนหลายปัจจัยให้ตัวโปรแกรมด้วย

ใช้พาสคีย์ (Passkey) เมื่อบริการรองรับ: พาสคีย์ใช้คู่กุญแจเข้ารหัสแทนรหัสผ่านแบบเดิม ผู้ใช้ยืนยันการเข้าสู่ระบบด้วยวิธีเดียวกับการปลดล็อกอุปกรณ์ เช่น ลายนิ้วมือ ใบหน้า หรือ PIN ของเครื่อง เทคโนโลยีนี้ออกแบบให้ทนต่อการหลอกขโมยรหัสผ่านผ่านเว็บไซต์ปลอมได้ดีกว่า แต่ความปลอดภัยโดยรวมยังขึ้นอยู่กับการปกป้องอุปกรณ์และช่องทางกู้คืนบัญชีด้วย

เปิดการยืนยันตัวตนหลายปัจจัย (MFA หรือ 2FA): แม้ผู้โจมตีจะได้รหัสผ่านไป ก็ยังต้องผ่านขั้นตอนยืนยันเพิ่มเติม ควรเลือกพาสคีย์ กุญแจความปลอดภัย หรือแอปสร้างรหัสเมื่อมีตัวเลือก และไม่ควรส่งรหัส OTP ให้ผู้อื่นไม่ว่าผู้ติดต่อจะอ้างตัวเป็นใคร

เลิกใช้รหัสซ้ำ: ทุกบัญชีควรมีรหัสต่างกัน โดยเริ่มเปลี่ยนจากบัญชีสำคัญก่อน เช่น อีเมลหลัก ธนาคาร โซเชียลมีเดีย และบัญชีที่ใช้กู้คืนบริการอื่น

วัน เดือน ปีเกิดควรมีไว้สร้างความทรงจำดี ๆ ร่วมกับคนรอบข้าง ไม่ใช่ทำหน้าที่รักษาความปลอดภัยให้ข้อมูลส่วนตัว การเลิกใช้วันเกิดและรหัสซ้ำ พร้อมเพิ่มพาสคีย์หรือ MFA คือสิ่งที่ลงมือทำได้ทันทีเพื่อลดความเสี่ยงในชีวิตดิจิทัล