Coinbase เตือนผู้ใช้เปลี่ยนระบบ 2FA หลังพบ SMS มีความเสี่ยงถูกแฮ็กสูงสุด

ในโลกของการลงทุนสินทรัพย์ดิจิทัล ความปลอดภัยของบัญชีคือสิ่งสำคัญที่สุด ล่าสุด Coinbase แพลตฟอร์มซื้อขายคริปโตเคอร์เรนซีรายใหญ่ ได้เปิดเผยข้อมูลที่น่าตกใจเกี่ยวกับอัตราการถูกโจรกรรมบัญชี เพื่อกระตุ้นให้ผู้ใช้งานหันมาอัปเกรดระบบรักษาความปลอดภัยให้รัดกุมยิ่งขึ้น

หัวใจสำคัญของปัญหาอยู่ที่ระบบ Two-Factor Authentication (2FA) หรือการยืนยันตัวตนสองชั้น ซึ่งเป็นระบบที่บังคับให้ผู้ใช้ต้องระบุทั้งรหัสผ่านและรหัสผ่านชั่วคราว (One-time passcode) จากโทรศัพท์มือถือเพื่อเข้าสู่ระบบ แม้ว่าระบบนี้จะช่วยเพิ่มความปลอดภัยได้มากกว่าการใช้เพียงรหัสผ่านเพียงอย่างเดียว แต่ Coinbase พบว่าไม่ใช่ทุกวิธีการยืนยันตัวตนจะมีประสิทธิภาพเท่ากัน

จุดอ่อนของ SMS-based 2FA และภัยร้ายจาก SIM-swapping

ปัจจุบันผู้ใช้งาน Coinbase ประมาณ 95% ยังคงเลือกใช้การยืนยันตัวตนผ่าน SMS ซึ่งถือเป็นวิธีที่อ่อนแอที่สุด โดยข้อมูลระบุว่าผู้ใช้กลุ่มนี้คิดเป็นถึง 95.65% ของกรณีการถูกแฮ็กบัญชีทั้งหมดที่เกิดขึ้นจนถึงเดือนพฤศจิกายน 2022

สาเหตุที่ SMS มีความเสี่ยงสูง เนื่องจากรหัสผ่านจะถูกส่งผ่านผู้ให้บริการเครือข่ายมือถือ ซึ่งเปิดช่องโหว่ให้แฮ็กเกอร์ใช้วิธี SIM-swapping หรือการหลอกล่อผู้ให้บริการเครือข่ายเพื่อโคลนเบอร์โทรศัพท์ของเหยื่อไปยัง SIM Card ใบใหม่ที่แฮ็กเกอร์ถือครองอยู่ โดยอาจใช้วิธีการขโมยอัตลักษณ์บุคคลหรือการติดสินบนพนักงานเครือข่าย

การโจมตีรูปแบบนี้สร้างความเสียหายอย่างมหาศาล ไม่เพียงแต่ในวงการคริปโต แต่ยังเคยถูกใช้เพื่อเจาะระบบบริษัทเทคโนโลยีระดับโลกอย่าง Twitter และ Reddit มาแล้ว โดยในปี 2021 Coinbase ยอมรับว่ามีผู้ใช้กว่า 6,000 รายถูกขโมยสินทรัพย์ ซึ่งคาดว่าเกิดจากการผสมผสานระหว่างการทำ Phishing (การหลอกลวงทางอีเมล) และ SIM-swapping

ทางเลือกที่ปลอดภัยกว่า: แอปยืนยันตัวตนและ Security Key

เพื่อลดความเสี่ยง Coinbase แนะนำให้ผู้ใช้เปลี่ยนไปใช้วิธีการยืนยันตัวตนที่แข็งแกร่งกว่า ซึ่งไม่ผ่านเครือข่ายมือถือ ดังนี้:

• Authenticator App: แอปพลิเคชันที่สร้างรหัสผ่านชั่วคราวบนตัวเครื่องโดยตรง ไม่ต้องพึ่งพาสัญญาณ SMS
• Security Keys: อุปกรณ์ฮาร์ดแวร์สำหรับยืนยันตัวตนทางกายภาพ ซึ่งมีความปลอดภัยสูงสุด
• Push Notifications: การกดยืนยันผ่านแอปพลิเคชัน Coinbase โดยตรงบนสมาร์ทโฟน

สถิติยืนยันว่าผู้ที่ใช้ Security Key มีอัตราการถูกแฮ็กต่ำที่สุดเพียง 0.04% ขณะที่ผู้ใช้แอปยืนยันตัวตนมีอัตราการถูกแฮ็กอยู่ที่ 4.13% ซึ่งกรณีที่หลุดรอดมาได้มักเกิดจากการที่แฮ็กเกอร์ติดตั้งมัลแวร์ลงในเครื่อง หรือการขโมยอุปกรณ์ทางกายภาพไป

สรุปประสิทธิภาพของระบบ 2FA บน Coinbase

วิธีการยืนยันตัวตน (2FA)	สัดส่วนผู้ใช้งาน	อัตราการถูกแฮ็กบัญชี	ระดับความปลอดภัย
SMS-based 2FA	~95%	95.65%	ต่ำ
Authenticator App	น้อยกว่า 5%	4.13%	สูง
Security Key	น้อยกว่า 5%	0.04%	สูงสุด

สิ่งที่น่าสนใจคือ กลุ่มผู้ที่มีสินทรัพย์ในบัญชีจำนวนมากมักจะเลือกใช้วิธีการรักษาความปลอดภัยขั้นสูงสุด โดยผู้ใช้เพียง 5% ที่ใช้ระบบ Push, TOTP (Time-based One-Time Passwords) และ Security Key กลับถือครองสินทรัพย์รวมกันมากกว่า 57% ของสินทรัพย์ทั้งหมดที่ Coinbase ดูแล

ข้อเท็จจริงสำคัญ

• SMS 2FA คือจุดอ่อน: ผู้ใช้ที่ใช้ SMS ถูกแฮ็กบัญชีสูงถึง 95.65% ของกรณีทั้งหมด
• SIM-swapping: คือการขโมยเบอร์โทรศัพท์ผ่านผู้ให้บริการเครือข่ายเพื่อดักรับรหัส 2FA
• Security Key ปลอดภัยที่สุด: มีอัตราการถูกเจาะระบบต่ำที่สุดเพียง 0.04%
• พฤติกรรมผู้ใช้: ผู้ถือครองสินทรัพย์รายใหญ่ส่วนใหญ่เลือกใช้ระบบความปลอดภัยขั้นสูง

คำถามที่พบบ่อย

ทำไมการใช้ SMS ยืนยันตัวตนถึงไม่ปลอดภัย?

เพราะรหัสถูกส่งผ่านเครือข่ายมือถือ ซึ่งแฮ็กเกอร์สามารถใช้วิธี SIM-swapping เพื่อโอนย้ายเบอร์โทรศัพท์ของคุณไปยังเครื่องของพวกเขา และรับรหัสผ่านแทนคุณได้

Authenticator App แตกต่างจาก SMS อย่างไร?

แอปยืนยันตัวตนจะสร้างรหัสผ่านขึ้นมาภายในตัวเครื่องสมาร์ทโฟนโดยตรง โดยไม่ต้องพึ่งพาการส่งข้อความผ่านผู้ให้บริการเครือข่าย จึงตัดโอกาสในการถูกดักจับรหัสผ่านทางอากาศ

Security Key คืออะไรและปลอดภัยแค่ไหน?

คืออุปกรณ์ฮาร์ดแวร์ขนาดเล็กที่ต้องเสียบเข้ากับเครื่องหรือเชื่อมต่อเพื่อยืนยันตัวตน เป็นวิธีที่ปลอดภัยที่สุดเพราะแฮ็กเกอร์ต้องขโมยอุปกรณ์ชิ้นนี้ไปจากตัวคุณจริงๆ จึงจะเข้าถึงบัญชีได้

หากต้องการเปลี่ยนวิธี 2FA ใน Coinbase ต้องทำอย่างไร?

ผู้ใช้งานสามารถเข้าไปเปลี่ยนวิธีการยืนยันตัวตนได้ทันทีผ่านเมนูการตั้งค่าบัญชี (Account Settings) ภายในแอปพลิเคชันหรือเว็บไซต์ของ Coinbase