หลายคนคุ้นกับการยืนยันตัวตนสองชั้น หรือ 2FA (Two-Factor Authentication) ด้วยการกรอกรหัสที่ส่งมาทาง SMS มันดูปลอดภัยใช่ไหมครับ เพราะเหมือนมีขั้นตอนเพิ่ม… แต่ข่าวนี้เปิดโปงว่า ระบบ 2FA ทาง SMS อาจเป็นจุดอ่อนมากที่สุดในระบบความปลอดภัยของคุณเลย! เรื่องเริ่มจากแหล่งข่าววงในให้ข้อมูลกับ Bloomberg โดยแชร์ข้อความ SMS จำนวนกว่า 1 ล้านรายการ ที่มีรหัส 2FA อยู่ข้างใน—ทั้งหมดถูกส่งผ่านบริษัทสัญชาติสวิสชื่อ Fink Telecom Services ซึ่งเป็นบริษัทกลางที่ให้บริการส่งข้อความให้กับแบรนด์ยักษ์ใหญ่ เช่น Amazon, Google, Meta, WhatsApp, Tinder, Signal ฯลฯ แม้บริษัทจะยืนยันว่า “ไม่ได้ดูเนื้อหาข้อความ” และไม่ได้ทำงานสอดแนมแล้วก็ตาม แต่แหล่งข่าวระบุว่าวิธีการส่ง 2FA ผ่าน SMS โดยใช้ “ตัวกลางที่ไม่น่าเชื่อถือ” เป็นช่องโหว่สำคัญ เพราะใครที่อยู่ระหว่างทางสามารถ “เห็นรหัส” ก่อนคุณได้! นักวิเคราะห์แนะนำว่า หากทำได้ ควรเลี่ยง SMS แล้วไปใช้วิธีอื่น เช่น แอป Authenticator หรือ biometric (เช่น ลายนิ้วมือ / ใบหน้า) แทน ✅ 2FA ทาง SMS ยังคงใช้กันแพร่หลาย แต่มีจุดอ่อนสำคัญในเรื่องการส่งผ่านบุคคลที่สาม   • บริษัทใหญ่จำนวนมากใช้บริการ SMS ผ่านตัวกลาง เช่น Fink Telecom Services ✅ ข้อมูลหลุดล่าสุดเผยข้อความ 2FA มากกว่า 1 ล้านฉบับถูกเก็บไว้ผ่านบริษัทตัวกลางโดยไม่เข้ารหัส   • ข้อมูลรวมถึงเส้นทางการส่ง, รหัส OTP, และหมายเลขผู้ส่ง–ผู้รับ ✅ บริษัทที่ใช้บริการนี้รวมถึง: Google, Amazon, Meta, WhatsApp, Signal, Snapchat, Tinder เป็นต้น   • บ่งชี้ว่าผู้ใช้จำนวนมากอาจเคยถูกดักดูข้อมูลโดยไม่รู้ตัว ✅ วิธีป้องกันแนะนำคือ: หันมาใช้แอป Authenticator หรืออุปกรณ์ physical key (เช่น Yubikey)   • รหัสถูกสร้างภายในอุปกรณ์ ไม่ผ่าน SMS ช่วยลดโอกาสถูกขโมย ✅ มีกรณีคล้ายกันก่อนหน้านี้ เช่น Steam เคยยืนยันว่าเบอร์โทรและ 2FA ทาง SMS ของผู้ใช้หลายคนถูกเจาะระบบ   • คำแนะนำจากวงการคือเปลี่ยนรหัสผ่านและเปิดใช้ 2FA แบบแอปทันที ‼️ การใช้ SMS เป็นช่องทาง 2FA ไม่ปลอดภัย และอาจถูกดักข้อมูลระหว่างทางได้ง่าย   • โดยเฉพาะหากผู้ให้บริการส่งข้อความอยู่ในประเทศที่ไม่มีข้อกำกับด้านความปลอดภัยชัดเจน ‼️ SMS ไม่เข้ารหัสแบบ end-to-end ทำให้ข้อมูลสามารถถูกดูได้โดยระบบตัวกลาง   • ต่างจากแอปส่งข้อความสมัยใหม่ เช่น Signal หรือ iMessage ที่เข้ารหัสครบวงจร ‼️ แอปและระบบองค์กรที่ยังพึ่งพา SMS 2FA ควรรีบประเมินความเสี่ยงใหม่   • โดยเฉพาะธุรกิจที่มีข้อมูลลูกค้า บัญชีการเงิน หรือสิทธิ์เข้าถึงสูง ‼️ ผู้ใช้ทั่วไปควรหลีกเลี่ยงการเปิดเผยเบอร์โทรในพื้นที่สาธารณะออนไลน์   • เพราะอาจถูกใช้ร่วมกับ SIM swapping เพื่อขโมย OTP https://www.techspot.com/news/108364-whistleblower-warning-2fa-codes-sent-sms-trivially-easy.html