IT Select Lab

บัญชีและรหัสผ่าน · เริ่มต้น · ประมาณ 9 นาที

รหัสผ่านยาวดีกว่ายาก ไม่ต้องเปลี่ยนทุกเดือน

มาตรฐาน NIST ฉบับปี 2025 บอกชัดว่าความยาวสำคัญกว่าสัญลักษณ์แปลก ๆ และ OTP ของคุณไม่มีใครควรได้ไป แม้จะเป็นเพื่อน

0/5

สรุปใน 3 บรรทัด

  1. รหัสผ่านที่ดีคือยาวและไม่ซ้ำกัน NIST ฉบับปี 2025 กำหนดอย่างน้อย 15 ตัวอักษรเมื่อใช้รหัสผ่านอย่างเดียว และห้ามระบบบังคับผสมตัวใหญ่ตัวเล็กหรือสัญลักษณ์ [2]
  2. ไม่ต้องเปลี่ยนรหัสผ่านตามรอบเวลา NIST ห้ามระบบบังคับเปลี่ยนเป็นระยะ แต่ต้องเปลี่ยนทันทีเมื่อมีหลักฐานว่ารหัสหลุด [2][5]
  3. เปิด MFA ทุกบัญชีสำคัญ โดยพาสคีย์หรือกุญแจ FIDO ทนฟิชชิงที่สุด แอป OTP รองลงมา และ SMS ควรเป็นทางเลือกสุดท้าย [9][6]

ทำสิ่งนี้ตอนนี้

  • เปิดการยืนยันตัวตนสองขั้นในอีเมลหลักตอนนี้ เพราะอีเมลคือกุญแจรีเซ็ตรหัสผ่านของบัญชีอื่นทั้งหมด NCSC ให้เริ่มที่อีเมลก่อน [7]
  • ตรวจอีเมลของคุณที่ haveibeenpwned.com ว่าเคยอยู่ในการรั่วไหลไหม ถ้าเคย เปลี่ยนรหัสผ่านที่ใช้กับเว็บนั้นและทุกที่ที่ใช้ซ้ำ [17]
  • ตั้งเบอร์และอีเมลสำรองสำหรับกู้คืนบัญชีไว้ล่วงหน้า เพราะเพิ่มทีหลังตอนถูกล็อกเอาต์ไม่ได้ [19]

1 ลองคิด

เพื่อนสนิททักมาทางแชทว่า "ใส่เบอร์แกผิดตอนสมัครแอป มี OTP เข้าเบอร์แกไหม ส่งให้หน่อย" คุณจะส่งไหม

ไม่ส่ง OTP ที่เข้าเบอร์คุณคือรหัสของบัญชีคุณเสมอ และบัญชีแชทของเพื่อนอาจถูกคนอื่นยึดไปแล้ว

ไม่ต้องตอบใคร แค่ตอบในใจ แล้วอ่านต่อ

2 ดูสัญญาณ

เรื่องนี้เกิดขึ้นอย่างไร

รหัสผ่านของคุณมักไม่ได้ถูกเดา แต่ถูก "เก็บ" จากที่อื่น เว็บเล็ก ๆ ที่คุณเคยสมัครเมื่อหลายปีก่อนถูกเจาะ แล้วอีเมลกับรหัสผ่านชุดนั้นถูกขายต่อ ฐานข้อมูล Have I Been Pwned รวบรวมบัญชีที่รั่วได้กว่า 17,800 ล้านรายการจาก 1,048 เว็บไซต์ ณ วันที่ 28 ตุลาคม 2026 [17] จากนั้นคนร้ายเอารหัสชุดนั้นไปลองกับอีเมล ธนาคาร และโซเชียลของคุณโดยอัตโนมัติ ถ้าคุณใช้รหัสเดียวกันหลายที่ บัญชีสำคัญก็ล้มตามไปด้วย [6][18]

ลองนึกภาพว่าคุณใช้กุญแจดอกเดียวเปิดทั้งบ้าน รถ และตู้เซฟ แล้ววันหนึ่งทำกุญแจหล่นที่ร้านกาแฟ คนที่เก็บได้แค่ลองไปเรื่อย ๆ นี่คือเหตุผลที่ "ไม่ซ้ำกัน" สำคัญกว่า "ซับซ้อน"

ความเข้าใจเรื่องรหัสผ่านเปลี่ยนไปมาก มาตรฐาน NIST SP 800-63B ฉบับปี 2017 เคยบอกว่า "ไม่ควร" บังคับเปลี่ยนรหัสตามรอบและ "ไม่ควร" บังคับผสมอักขระ ฉบับปี 2025 ยกระดับเป็น "ห้าม" ทั้งสองอย่าง และกำหนดความยาวขั้นต่ำ 15 ตัวอักษรเมื่อใช้รหัสผ่านอย่างเดียว หรือ 8 ตัวเมื่อใช้ร่วมกับ MFA [2][3] NCSC อธิบายว่าการบังคับเปลี่ยนบ่อยทำให้คนเปลี่ยนแค่ตัวท้าย และรหัสที่ถูกขโมยมักถูกใช้ทันทีอยู่แล้ว [5] Microsoft ก็ตั้งค่าแนะนำของ Microsoft 365 เป็น "ไม่หมดอายุ" และให้ใช้ MFA แทน [8]

แต่ MFA ก็ไม่ใช่กำแพงที่ข้ามไม่ได้ คนร้ายปรับตัวด้วยการหลอกขอรหัส OTP ตรง ๆ กดล็อกอินรัว ๆ ให้การแจ้งเตือนเด้งจนคุณกดยอมรับ หลอกค่ายมือถือให้ย้ายเบอร์ไปซิมใหม่ หรือใช้เว็บปลอมแทรกกลางขโมยคุกกี้ล็อกอิน ซึ่ง Microsoft พบแคมเปญแบบนี้เล็งกว่า 10,000 องค์กรตั้งแต่ปี 2021 [9][10][12][13] ThaiCERT เตือนในปี 2569 ว่ามัลแวร์ขโมยข้อมูลเอาคุกกี้ไปหลบ MFA ได้เช่นกัน [20] คำตอบที่ทุกหน่วยงานชี้ตรงกันคือ MFA แบบที่ทนฟิชชิง นั่นคือพาสคีย์และกุญแจ FIDO [9][11][20]

เส้นทางการหลอก ทีละขั้น

  1. เว็บเล็ก ๆ ที่เคยสมัครไว้ถูกเจาะ อีเมลและรหัสผ่านของคุณถูกขายต่อ ฐานข้อมูล Have I Been Pwned มีบัญชีที่รั่วกว่า 17,800 ล้านรายการ ณ วันที่ 28 ตุลาคม 2026 [17]

ใช้ปุ่มลูกศรซ้าย/ขวา หรือกดแต่ละขั้นเพื่อดูรายละเอียด

สัญญาณเตือน

  • ได้รับ OTP หรือการแจ้งเตือน MFA ทั้งที่ไม่ได้ล็อกอิน แปลว่ามีคนรู้รหัสผ่านของคุณแล้ว [10][9]
  • มีคนทักมาขอรหัส OTP ไม่ว่าจะอ้างเป็นเพื่อน ธนาคาร หรือฝ่ายไอที [9]
  • อีเมลแจ้งว่ามีการล็อกอินจากอุปกรณ์ใหม่ หรือเปลี่ยนข้อมูลกู้คืน ที่คุณไม่ได้ทำเอง [19][2]
  • สัญญาณมือถือหายกะทันหันโดยไม่มีเหตุ อาจถูกย้ายซิม [12]
  • หน้าล็อกอินที่โผล่มาจากลิงก์ในข้อความ และขอทั้งรหัสผ่านและ OTP ในหน้าเดียว [9]
  • อีเมลหรือ SMS อ้างธนาคารที่มีลิงก์ ซึ่ง ธปท. กำหนดให้ธนาคารเลิกส่งลิงก์แล้ว [21]

สัญญาณที่ชัดที่สุดคือ "รหัสที่เข้าเครื่องคุณ แต่มีคนอื่นอยากได้" ไม่ว่าเหตุผลจะฟังดูดีแค่ไหน คนนั้นกำลังล็อกอินเป็นคุณ

ของจริง หรือของปลอม

อ่านตัวอย่างแล้วตัดสินใจก่อน จากนั้นกดเปิดเฉลย

ตัวอย่างเพื่อการศึกษา — ชื่อบุคคล หน่วยงาน เบอร์ และโดเมนในตัวอย่างเป็นชื่อสมมติ

แชทจาก "เพื่อน" ขอรหัส OTP

แกๆ ขอโทษที เราสมัครแอปใหม่แล้วใส่เบอร์แกผิด มี OTP ส่งไปเบอร์แกไหม ส่งเลขมาให้หน่อย ด่วนนะ อีก 2 นาทีหมดอายุ

SMS รหัส OTP ที่คุณเพิ่งกดขอเอง

รหัส OTP ของคุณคือ 736201 สำหรับเข้าสู่ระบบ อ้างอิง AB12 หมดอายุใน 5 นาที ห้ามบอกรหัสนี้แก่ผู้อื่น รวมถึงเจ้าหน้าที่

อีเมลแจ้งว่ารหัสผ่านหมดอายุ ต้องเปลี่ยนทุก 90 วัน

3 ลองเลือก

สถานการณ์จำลอง เพื่อนขอรหัส OTP

ตัวอย่างเพื่อการศึกษา — ชื่อบุคคล หน่วยงาน เบอร์ และโดเมนในตัวอย่างเป็นชื่อสมมติ

ลองอ่านแชทนี้แล้วเลือกคำตอบที่คุณจะพิมพ์จริง ๆ ชื่อและตัวเลขทั้งหมดเป็นเรื่องสมมติ

บัญชีแชทของ "มิ้นท์" เพื่อนสนิท

แชทเข้า

    ลองตอบ

    1. ที่ทำงานบังคับเปลี่ยนรหัสผ่านทุก 90 วัน ถือว่าเป็นแนวปฏิบัติที่ดีที่สุดในปัจจุบันไหม
    2. รหัสผ่านแบบไหนดีกว่าสำหรับบัญชีที่ยังไม่มี MFA
    3. การแจ้งเตือน MFA เด้งขึ้นมาในมือถือทั้งที่คุณไม่ได้ล็อกอิน ควรทำอย่างไร

    4 วิธีรับมือ

    วิธีป้องกัน

    รหัสผ่าน ยาวและไม่ซ้ำ ใช้คำสามคำที่ไม่เกี่ยวกันต่อกันให้ยาวเกิน 15 ตัวอักษร จำได้และเดายาก ไม่ต้องยัดสัญลักษณ์ และไม่ใช้ข้อมูลที่หาได้จากโซเชียลอย่างวันเกิดหรือชื่อสัตว์เลี้ยง [2][4] แต่ละบัญชีต้องไม่ซ้ำกัน จึงควรใช้ตัวจัดการรหัสผ่านให้สร้างและจำแทน แล้วเปิดการยืนยันสองขั้นที่ตัวมัน [6] ไม่ต้องเปลี่ยนรหัสตามรอบ เปลี่ยนเมื่อสงสัยว่าหลุดเท่านั้น [2][5]

    เปิด MFA ตามลำดับความสำคัญ NCSC ให้เริ่มที่อีเมลก่อน เพราะเป็นกุญแจรีเซ็ตบัญชีอื่น แล้วตามด้วยธนาคาร โซเชียล และช้อปปิ้ง [7] CISA เรียงความแข็งแรงว่า พาสคีย์หรือกุญแจ FIDO ดีที่สุด รองลงมาคือแอป OTP หรือการแจ้งเตือนแบบมี number matching ส่วน SMS ควรเป็นทางเลือกสุดท้าย [9] แต่มีดีกว่าไม่มี ถ้าบริการมีแค่ SMS ก็เปิดไว้ก่อน

    ใช้พาสคีย์เมื่อบริการรองรับ พาสคีย์ใช้คู่กุญแจที่ผูกกับเว็บที่สร้าง และปลดล็อกด้วยลายนิ้วมือ ใบหน้า หรือ PIN ของเครื่อง โดยข้อมูลชีวมิติไม่ออกจากเครื่อง เซิร์ฟเวอร์เก็บแค่กุญแจสาธารณะ จึงไม่มีรหัสผ่านให้รั่ว และหน้าเว็บปลอมเอาไปใช้ไม่ได้ [14][15] NIST นิยามความทนฟิชชิงว่าคือการที่ความลับไม่หลุดไปยังเว็บปลอม "โดยไม่ต้องพึ่งความระมัดระวังของผู้ใช้" [2] NCSC จึงแนะว่าถ้ามีพาสคีย์ให้ใช้เป็นตัวเลือกแรก [6]

    เตรียมทางกลับบ้านไว้ก่อน ตั้งเบอร์และอีเมลสำรองสำหรับกู้คืน โดยใช้อีเมลคนละบัญชีกับที่ล็อกอิน และเก็บรหัสกู้คืนไว้ให้ดี เพราะเพิ่มทีหลังตอนถูกล็อกเอาต์ไม่ได้ [19][2] ตั้ง PIN กับค่ายมือถือสำหรับการเปลี่ยนซิม และไม่บอกรหัสนี้ทางโทรศัพท์ [12] ในไทย ธนาคารเลิกส่งลิงก์ ห้ามขอรหัสผ่านผ่านโซเชียล และสแกนหน้าเมื่อโอนเกิน 50,000 บาท ใครขอให้คุณทำนอกเหนือจากนี้คือสัญญาณผิดปกติ [21]

    ถ้าพลาดไปแล้ว ทำอะไรก่อน

    1. เปลี่ยนรหัสผ่านบัญชีที่หลุดทันทีจากเครื่องที่สะอาด และเปลี่ยนทุกบัญชีที่ใช้รหัสเดียวกัน แล้วเปิด MFA [20][8]
    2. ออกจากระบบทุกอุปกรณ์ ในหน้าตั้งค่าความปลอดภัยของบัญชี เผื่อคนร้ายถือคุกกี้ล็อกอินไว้ [13][20]
    3. ถ้า MFA เด้งโดยไม่ได้ทำเอง กดปฏิเสธ แล้วเปลี่ยนรหัสผ่าน เพราะคนร้ายมีรหัสผ่านอยู่แล้ว [10]
    4. ถ้าสัญญาณมือถือหายหรือสงสัยถูกย้ายซิม ติดต่อค่ายมือถือด้วยเบอร์ทางการทันที และแจ้งธนาคาร [12]
    5. ถ้าเข้าบัญชีไม่ได้แล้ว ใช้ช่องทางกู้คืนที่ตั้งไว้ รหัสกู้คืน อีเมลสำรอง หรือผู้ติดต่อกู้คืน [2][19]
    6. ถ้าเกี่ยวกับเงิน โทรสายด่วน 24 ชั่วโมงของธนาคาร แล้วแจ้ง 1441 และแจ้งความที่ thaipoliceonline.go.th [21]

    ตรวจที่ Have I Been Pwned ด้วยว่าข้อมูลใดรั่วบ้าง และเลิกใช้รหัสผ่านที่พบใน Pwned Passwords ทุกที่ บริการนี้ส่งเฉพาะส่วนหนึ่งของค่าแฮชไปตรวจ จึงไม่เปิดเผยรหัสจริงของคุณ [17][18]

    ข้อผิดพลาดที่พบบ่อย

    • ใช้รหัสเดียวกันทุกที่ รหัสที่รั่วจากเว็บเดียวจะถูกลองกับทุกบัญชีของคุณอัตโนมัติ [6][18]
    • คิดว่าแทน o ด้วย 0 ทำให้ปลอดภัย คนร้ายรู้ทริกนี้ ความยาวต่างหากที่ช่วย [4][2]
    • ส่ง OTP ให้คนที่อ้างว่าเป็นเพื่อนหรือเจ้าหน้าที่ OTP ที่เข้าเครื่องคุณคือรหัสของบัญชีคุณเสมอ [9]
    • กดยอมรับการแจ้งเตือน MFA ให้มันหยุดเด้ง นั่นคือการเปิดประตูให้คนที่มีรหัสผ่านคุณอยู่แล้ว [10]
    • ใช้คำถามความปลอดภัยที่หาคำตอบได้จากโซเชียล NIST ไม่ให้ใช้คำถามแบบนี้แล้ว และ NCSC เตือนเรื่องชื่อสัตว์เลี้ยงหรือทีมโปรด [2][4]
    • ไม่ตั้งข้อมูลกู้คืนจนกว่าจะถูกล็อกเอาต์ ถึงตอนนั้นเพิ่มไม่ได้แล้ว [19]

    ใช้ในชีวิตจริงและที่ทำงาน

    ที่บ้าน ช่วยผู้สูงอายุเปิดการยืนยันสองขั้นในบัญชีที่ใช้จริง และสอนประโยคเดียว "รหัสที่เข้ามือถือเรา ไม่บอกใคร แม้เขาจะบอกว่าเป็นธนาคาร" ตั้งตัวจัดการรหัสผ่านให้ และตั้งเบอร์กู้คืนเป็นเบอร์ลูกหลานไว้ด้วย [7][19]

    ที่ทำงาน ถ้าคุณดูแลระบบ ให้ปรับนโยบายตาม NIST ฉบับปี 2025 คือกำหนดความยาวขั้นต่ำ เลิกบังคับผสมอักขระ เลิกบังคับเปลี่ยนตามรอบ และตรวจรหัสผ่านใหม่กับรายการรหัสที่เคยรั่วหรือใช้บ่อย [2][5] บังคับลงทะเบียน MFA โดยเลือกแบบทนฟิชชิงหรือเปิด number matching และล็อกบัญชีที่ไม่ใช้งาน [8][10] ถ้ายังมีกฎบังคับเปลี่ยนทุก 90 วันจากข้อกำหนดเฉพาะ ให้ทำตามไปก่อนและเสนอทบทวนพร้อมอ้างอิงมาตรฐาน [2]

    บัญชีมือถือและซิม การยึดบัญชีจำนวนมากเริ่มจากเบอร์โทร FBI รับแจ้งการหลอกย้ายซิม 982 เรื่องในปี 2024 เสียหายเกือบ 26 ล้านดอลลาร์ [22] ตั้ง PIN กับค่ายมือถือ ย้าย MFA ของบัญชีสำคัญไปแบบแอปหรือพาสคีย์ และถ้าสัญญาณหายกะทันหัน ให้ถือว่าเป็นเหตุฉุกเฉิน [12]

    ถ้าแหล่งข้อมูลเห็นต่าง

    • SMS OTP ยังควรใช้ไหม CISA บอกว่าเป็นทางเลือกสุดท้ายแต่ดีกว่าไม่มี NIST จัดการส่งรหัสทางโทรศัพท์เป็นสถานะ "จำกัดการใช้" ส่วน NCSC ยังนับ SMS เป็นการยืนยันสองขั้นที่ยอมรับได้สำหรับประชาชน บทนี้สรุปว่า "มีดีกว่าไม่มี แต่ย้ายไปแอปหรือพาสคีย์เมื่อทำได้" [9][2][7]
    • ความยาวขั้นต่ำ NIST บอก 15 ตัว Microsoft บอก 14 ตัว NCSC บอก "สามคำสุ่ม" โดยไม่ระบุตัวเลข ไม่ขัดกันในหลักการ บทนี้ใช้ 15 ตัวเพราะเป็นมาตรฐานล่าสุด [2][8][4]
    • การบังคับเปลี่ยนรหัสผ่านตามรอบ NIST เปลี่ยนจาก "ไม่ควร" ในปี 2017 เป็น "ห้าม" ในปี 2025 แต่กรอบกำกับดูแลบางแห่งอาจยังบังคับอยู่ ให้ตรวจนโยบายองค์กรหรือกฎหมายเฉพาะของคุณ [2][3][5][8]
    • คำว่า "พาสคีย์" ไม่ปรากฏในเอกสาร NIST ซึ่งใช้คำว่า syncable authenticator บทนี้ใช้คำว่าพาสคีย์ตาม FIDO Alliance เพื่อให้ตรงกับที่ผู้อ่านเห็นในแอป [2][14]
    • ตัวเลข "MFA กันได้ 99%" ที่มักถูกอ้าง ไม่พบในหน้า CISA ที่เปิดได้ บทนี้จึงไม่ใช้ [11]

    5 จำให้ได้

    ทำได้วันนี้

    ติ๊กแล้วจำไว้ในเครื่องนี้เท่านั้น

    ประโยคจำง่าย

    รหัสยาวจำง่าย ดีกว่ารหัสสั้นแต่ยาก
    จากบท รหัสผ่าน MFA และพาสคีย์
    หนึ่งบัญชี หนึ่งรหัส ไม่ซ้ำใคร
    จากบท รหัสผ่าน MFA และพาสคีย์
    รหัสที่เข้าเครื่องเรา ไม่มีใครควรขอ
    จากบท รหัสผ่าน MFA และพาสคีย์

    คำศัพท์ในบทนี้

    วลีรหัสผ่านแบบสามคำสุ่ม (passphrase)
    รหัสผ่านที่สร้างจากคำสามคำที่ไม่เกี่ยวกัน ยาวพอ แปลกพอ และจำได้ เป็นวิธีที่ NCSC แนะนำประชาชน ส่วนการแทนตัวอักษรด้วยตัวเลขอย่าง o เป็น 0 ไม่ช่วยเพราะคนร้ายรู้ทริกนี้ [4]
    ตัวจัดการรหัสผ่าน (password manager)
    แอปที่สร้างและจำรหัสผ่านสุ่มที่ไม่ซ้ำกันให้ทุกบัญชี และกรอกให้เฉพาะเว็บที่ถูกต้อง จึงช่วยกันฟิชชิงไปในตัว ควรเปิดการยืนยันสองขั้นที่ตัวแอปด้วย [6]
    การยืนยันตัวตนหลายปัจจัย (MFA)
    การล็อกอินที่ต้องใช้มากกว่ารหัสผ่าน เช่น รหัสจากแอป การแจ้งเตือนให้กดยืนยัน หรือกุญแจความปลอดภัย CISA จัดแบบ FIDO ทนฟิชชิงที่สุด และ SMS อ่อนที่สุด [9]
    พาสคีย์ (passkey)
    วิธีล็อกอินแบบไม่มีรหัสผ่าน ใช้คู่กุญแจที่ผูกกับเว็บที่สร้าง และปลดล็อกด้วยลายนิ้วมือ ใบหน้า หรือ PIN ของเครื่อง เซิร์ฟเวอร์ไม่มีรหัสให้ขโมย และหน้าเว็บปลอมใช้ไม่ได้ [14][15]
    การกดยืนยัน MFA รัว ๆ (push bombing)
    คนร้ายที่มีรหัสผ่านแล้วกดล็อกอินซ้ำ ๆ ให้การแจ้งเตือนเด้งจนคุณรำคาญและกดยอมรับ แก้ด้วย number matching ที่ต้องพิมพ์ตัวเลขจากหน้าจอล็อกอิน [10]
    การลองรหัสที่รั่วกับทุกเว็บ (credential stuffing)
    เมื่อเว็บหนึ่งทำรหัสผ่านรั่ว คนร้ายเอาอีเมลและรหัสชุดนั้นไปลองกับอีเมล ธนาคาร และโซเชียลของคุณ ใช้ได้ทันทีถ้าคุณใช้รหัสซ้ำ [6][18]

    ดูอภิธานศัพท์ทั้งเว็บ

    แหล่งอ้างอิง

    ตรวจทานล่าสุด 28 ต.ค. 2569 · ระดับความมั่นใจของเนื้อหา: สูง

    1. NIST SP 800-63B-4 full text (HTML) — NIST, 2025-07-31 · ระดับแหล่ง 2 (pages.nist.gov)
    2. NIST SP 800-63B-3 full text (2017, errata 2020) — NIST, 2017-06 · ระดับแหล่ง 2 (pages.nist.gov)
    3. Three random words — NCSC UK, 2021-12-21 · ระดับแหล่ง 2 (ncsc.gov.uk)
    4. Password administration for system owners: Updating your approach — NCSC UK, 2018-11-19 · ระดับแหล่ง 2 (ncsc.gov.uk)
    5. Password managers: how they help you secure passwords — NCSC UK, 2026-05-21 · ระดับแหล่ง 2 (ncsc.gov.uk)
    6. Activate 2-step verification on your email — NCSC UK, 2021-12-21 · ระดับแหล่ง 2 (ncsc.gov.uk)
    7. Password policy recommendations for Microsoft 365 — Microsoft Learn, 2026-04-08 · ระดับแหล่ง 3 (learn.microsoft.com)
    8. Implementing Phishing-Resistant MFA (fact sheet) — CISA, 2022-10 · ระดับแหล่ง 2 (cisa.gov)
    9. Implementing Number Matching in MFA Applications (fact sheet) — CISA, 2022-10 · ระดับแหล่ง 2 (cisa.gov)
    10. More than a Password (MFA) — CISA · ระดับแหล่ง 2 (cisa.gov)
    11. PSA: Criminals Increasing SIM Swap Schemes (I-020822-PSA) — FBI IC3, 2022-02-08 · ระดับแหล่ง 2 (ic3.gov)
    12. From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud — Microsoft Security, 2022-07-12 · ระดับแหล่ง 3 (microsoft.com)
    13. Passkeys — FIDO Alliance · ระดับแหล่ง 3 (fidoalliance.org)
    14. Sign in with a passkey instead of a password — Google Account Help · ระดับแหล่ง 3 (support.google.com)
    15. Have I Been Pwned (homepage + About) — Troy Hunt / HIBP · ระดับแหล่ง 3 (haveibeenpwned.com)
    16. Pwned Passwords — HIBP · ระดับแหล่ง 3 (haveibeenpwned.com)
    17. Set up a recovery phone number or email address — Google Account Help · ระดับแหล่ง 3 (support.google.com)
    18. เอกสารแจ้งเตือนมัลแวร์ Infostealer Malware ใช้ข้อมูลบัญชีผู้ใช้งานที่ถูกขโมยเพื่อนำไปสู่การสวมรอยตัวตน — ThaiCERT / สกมช., 2026-02 · ระดับแหล่ง 1 (drive.ncsa.or.th)
    19. ข่าว ธปท. ฉบับที่ 10/2566 มาตรการจัดการภัยทุจริตทางการเงิน — ธนาคารแห่งประเทศไทย, 2023-03-09 · ระดับแหล่ง 1 (bot.or.th)
    20. FBI Internet Crime Report 2024 — FBI IC3, 2025 · ระดับแหล่ง 2 (ic3.gov)

    ข้อกำหนดรหัสผ่านและ MFA อ่านจาก NIST SP 800-63B-4 ฉบับจริงและสอดคล้องกับ NCSC Microsoft และ CISA ส่วนคำแนะนำภาษาไทยสำหรับประชาชนโดยตรงยังมีน้อย จึงอ้างมาตรการ ธปท. และ ThaiCERT ประกอบ

    เนื้อหาเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมายหรือการเงินเฉพาะบุคคล ตัวอย่างข้อความ ชื่อบุคคล หน่วยงาน และโดเมนในแบบฝึกเป็นชื่อสมมติ · เนื้อหาตรวจทานตามนโยบายเนื้อหา

    บทที่เกี่ยวข้อง