สรุปสั้น

บริษัท Meta ประกาศชุดฟีเจอร์ด้านความปลอดภัยบัญชีของ WhatsApp เมื่อวันอังคารที่ผ่านมา โดยจุดที่สำคัญที่สุดคือการรองรับ passkey หลายอันต่อหนึ่งบัญชี ซึ่งช่วยแก้ปัญหาของผู้ใช้ที่มีทั้งเครื่อง iOS และแอนดรอยด์ ให้สามารถล็อกอินเข้าบัญชีเดียวกันด้วยวิธีที่ต้านฟิชชิงได้จากทุกเครื่อง แทนที่จะต้องผูกไว้กับอุปกรณ์เดียวเหมือนเดิม บริษัทระบุว่าปัจจุบันมีผู้ใช้มากกว่าหนึ่งพันล้านคนที่ใช้ passkey ในการล็อกอิน WhatsApp แล้ว

ควบคู่กันไป WhatsApp ยังยกเครื่องกลไกการยืนยันสองขั้น (two-step verification) จากเดิมที่เป็น PIN ตัวเลขหกหลัก ให้กลายเป็นรหัสผ่านเต็มรูปแบบที่ยาวกว่า ผสมตัวอักษรกับตัวเลขได้ และใส่อักขระพิเศษได้ด้วย เพื่อให้เดายากขึ้นอย่างมีนัยสำคัญ โดยทางแอปกล่าวติดตลกในบล็อกโพสต์ว่าถ้าใครยังใช้ 123456 อยู่ นี่คือสัญญาณให้เปลี่ยนได้แล้ว

ฟีเจอร์ที่สามคือการเพิ่มบริบทให้สายเรียกเข้าจากคนที่ไม่ได้อยู่ในรายชื่อผู้ติดต่อ ซึ่งจะทยอยปล่อยให้ผู้ใช้แอนดรอยด์ก่อน โดยหน้าจอสายเรียกเข้าจะแสดงข้อมูลเพิ่มเติม เช่น สายนั้นโทรมาจากที่ไหน ผู้โทรอยู่ในรายชื่อผู้ติดต่อของเราหรือไม่ และทั้งสองฝ่ายอยู่ในกลุ่มเดียวกันบ้างหรือเปล่า ทาง WhatsApp ให้เหตุผลว่ามิจฉาชีพอาศัยความเร่งรีบเป็นอาวุธ การมีข้อมูลมากขึ้นก่อนกดรับจึงช่วยให้ผู้ใช้ได้หยุดคิดสักครู่

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 25 สิงหาคม 2569 ว่าบริษัท Meta ประกาศชุดฟีเจอร์ความปลอดภัยบัญชีของ WhatsApp ผ่านบล็อกโพสต์ที่แบ่งปันให้สื่อล่วงหน้า

การรองรับ passkey ของ WhatsApp ไม่ใช่ของใหม่ทั้งหมด โดยเริ่มเปิดใช้บนแอนดรอยด์ครั้งแรกเมื่อเดือนตุลาคม 2566 ก่อนจะขยายไปยัง iOS ในช่วงต้นปี 2567 หลังจากนั้น Meta ยังนำ passkey ไปผนวกเข้ากับการล็อกอิน Facebook เมื่อเดือนมิถุนายน 2568 สิ่งที่เพิ่มเข้ามารอบนี้คือความสามารถในการผูก passkey ได้มากกว่าหนึ่งอันกับบัญชีเดียว ซึ่งเป็นข้อจำกัดที่ผู้ใช้ข้ามระบบปฏิบัติการเจอมาตลอด

ผู้ใช้สามารถจัดการ passkey ของตัวเองได้ที่เมนู Settings > Account > Passkeys ภายในแอป

สำหรับการยืนยันสองขั้น WhatsApp อธิบายว่ามันคือชั้นป้องกันเพิ่มเติมที่ช่วยกันไม่ให้ใครยึดบัญชีไปได้ แม้คนนั้นจะได้รหัสผ่านครั้งเดียว (OTP) ไปแล้วก็ตาม การเปลี่ยนจาก PIN หกหลักมาเป็นรหัสผ่านเต็มรูปแบบจึงเป็นการขยายพื้นที่ของค่าที่เป็นไปได้ให้กว้างขึ้นมาก จากเดิมที่มีเพียงหนึ่งล้านความเป็นไปได้สำหรับตัวเลขหกหลัก

ส่วนฟีเจอร์บริบทของสายเรียกเข้านั้น WhatsApp ระบุว่ารายละเอียดที่แสดงจะรวมถึงตำแหน่งที่สายนั้นโทรมา สถานะว่าผู้โทรอยู่ในรายชื่อผู้ติดต่อหรือไม่ และกลุ่มที่ทั้งสองฝ่ายเป็นสมาชิกร่วมกัน ซึ่งเป็นสัญญาณที่ช่วยแยกสายจากคนรู้จักออกจากสายแปลกหน้าได้เร็วขึ้น

whatsapp phishing account security android ins across resistant sign

รายละเอียดฟีเจอร์

passkey เป็นวิธีล็อกอินที่อาศัยการเข้ารหัสแบบกุญแจคู่ โดยกุญแจส่วนตัวถูกเก็บไว้ในอุปกรณ์และปลดล็อกด้วยชีวมิติหรือรหัสปลดล็อกเครื่อง ส่วนกุญแจสาธารณะเท่านั้นที่อยู่ฝั่งบริการ ผลคือไม่มี “ความลับที่พิมพ์ได้” ให้ขโมย และการยืนยันตัวตนผูกอยู่กับโดเมนของบริการจริง จึงเป็นเหตุผลที่วิธีนี้ถูกเรียกว่าต้านฟิชชิง เพราะหน้าเว็บปลอมไม่สามารถหลอกให้เบราว์เซอร์หรือระบบปฏิบัติการปล่อยลายเซ็นให้ได้

ข้อจำกัดเดิมที่ผูก passkey ได้อันเดียวต่อบัญชีสร้างปัญหาจริงกับผู้ใช้ที่มีหลายเครื่องข้ามระบบนิเวศ เพราะ passkey ที่สร้างในระบบจัดการรหัสผ่านของ Apple ไม่ได้ซิงก์ไปยังระบบของ Google โดยอัตโนมัติ ผู้ใช้ที่มีทั้ง iPhone และแท็บเล็ตแอนดรอยด์จึงต้องยอมกลับไปใช้วิธีล็อกอินแบบเดิมบนเครื่องใดเครื่องหนึ่ง การรองรับหลาย passkey จึงเป็นการปิดช่องว่างที่ทำให้ผู้ใช้กลุ่มนี้ต้องถอยกลับไปใช้ OTP

การอัปเกรดการยืนยันสองขั้นเป็นรหัสผ่านเต็มรูปแบบมีนัยที่ควรเข้าใจให้ตรง คือมันไม่ได้ป้องกันการถูกหลอกโดยตรง แต่ช่วยในสถานการณ์ที่ผู้โจมตีได้ OTP ไปแล้ว ไม่ว่าจะจากการหลอกถามหรือจากการสลับซิม เพราะยังต้องผ่านอีกด่านหนึ่งที่ผู้โจมตีไม่มี ข้อแลกเปลี่ยนคือถ้าผู้ใช้ลืมรหัสผ่านนี้และไม่ได้ตั้งอีเมลสำรองไว้ ก็จะเข้าบัญชีตัวเองไม่ได้เช่นกัน

ผลกระทบ

ผู้ที่ได้ประโยชน์ชัดเจนที่สุดคือผู้ใช้ที่มีอุปกรณ์หลายเครื่องข้ามระบบปฏิบัติการ ซึ่งเดิมต้องเลือกระหว่างความสะดวกกับความปลอดภัย การรองรับ passkey หลายอันทำให้ไม่ต้องเลือกอีกต่อไป ส่วนผู้ใช้ทั่วไปที่ยังไม่เคยตั้ง passkey เลย ฟีเจอร์นี้ยังไม่เปลี่ยนอะไรจนกว่าจะเข้าไปตั้งค่าเอง

ในมุมของภัยคุกคาม การยึดบัญชีแชตยังคงเป็นเป้าหมายที่มีมูลค่าสูง เพราะบัญชีที่ถูกยึดถูกใช้ต่อเพื่อหลอกคนในรายชื่อผู้ติดต่อและกลุ่มที่เหยื่อเป็นสมาชิกอยู่ ซึ่งได้ผลกว่าการหลอกจากบัญชีแปลกหน้ามาก การเสริมชั้นป้องกันที่ตัวบัญชีจึงมีผลต่อคนรอบตัวเหยื่อด้วย ไม่ใช่แค่ตัวเจ้าของบัญชีคนเดียว

สิ่งที่ต้องระบุไว้ตามตรงคือประกาศนี้เป็นการเปิดตัวฟีเจอร์จากผู้ให้บริการเอง ไม่ใช่รายงานเหตุการณ์โจมตี ตัวเลขผู้ใช้ passkey เกินหนึ่งพันล้านคนเป็นตัวเลขที่บริษัทประกาศเองและไม่มีรายละเอียดวิธีนับกำกับ นอกจากนี้ประกาศยังไม่ได้ระบุกำหนดเวลาแน่ชัดว่าฟีเจอร์บริบทของสายเรียกเข้าจะไปถึงผู้ใช้ iOS เมื่อใด

คำแนะนำ

  • เข้าไปที่ Settings > Account > Passkeys แล้วเพิ่ม passkey ให้ครบทุกอุปกรณ์ที่ใช้งานประจำ โดยเฉพาะผู้ที่มีทั้งเครื่อง iOS และแอนดรอยด์
  • เปิดใช้การยืนยันสองขั้น และเปลี่ยนจาก PIN หกหลักเดิมเป็นรหัสผ่านเต็มรูปแบบที่ยาวและไม่ซ้ำกับที่ใช้ที่อื่น
  • ตั้งอีเมลสำรองไว้กับการยืนยันสองขั้นเสมอ เพื่อไม่ให้เข้าบัญชีตัวเองไม่ได้หากลืมรหัสผ่านใหม่
  • ตรวจสอบรายการ passkey ที่ผูกกับบัญชีเป็นระยะ และลบรายการของอุปกรณ์ที่ไม่ได้ใช้แล้วออก
  • อย่าบอกรหัสผ่านครั้งเดียว (OTP) ให้ใครไม่ว่าจะอ้างเป็นใคร เพราะ passkey และรหัสผ่านสองขั้นช่วยลดความเสียหายได้ก็ต่อเมื่อผู้ใช้ไม่ยอมส่งต่อความลับเอง
  • เมื่อฟีเจอร์บริบทของสายเรียกเข้ามาถึงเครื่อง ให้ใช้ข้อมูลที่แสดงเป็นตัวช่วยตัดสินใจก่อนรับสายจากเบอร์ที่ไม่รู้จัก

แหล่งอ้างอิง