ลองนึกภาพว่าบ้านของเรามีกุญแจแค่ดอกเดียว ถ้ามีคนแอบลอกแบบกุญแจไป เขาก็เข้าบ้านเราได้ทันที แต่ถ้าเพิ่ม ล็อกที่สอง ที่ต้องใช้ของที่อยู่กับตัวเราเท่านั้น (เช่นโทรศัพท์) ต่อให้ลอกกุญแจแรกไปได้ก็ยังเข้าไม่ได้ การยืนยันตัวตน 2 ขั้นตอน (2-Step Verification) ของบัญชี Google คือล็อกที่สองนี้เอง บัญชี Google ผูกกับ Gmail, YouTube, Google Photos, Google Drive และบริการอื่นอีกมาก ถ้าถูกแฮ็กจะกระทบหลายอย่างพร้อมกัน บทความนี้สรุปตามเอกสารของ Google ว่าเปิดอย่างไร และเลือกขั้นตอนที่สองแบบไหนดี
2-Step Verification ทำงานอย่างไร
ตามที่ Google อธิบาย การเปิดฟีเจอร์นี้คือการเพิ่มชั้นความปลอดภัยอีกชั้นเผื่อกรณีรหัสผ่านถูกขโมย หลังจากตั้งค่าแล้ว ลงชื่อเข้าใช้ได้ด้วย รหัสผ่านร่วมกับขั้นตอนที่สอง หรือใช้ Passkey (กุญแจผ่าน) ก็ได้
ภาพจำลองแผนภาพเพื่อประกอบการอธิบาย (ไม่ใช่สกรีนช็อตจริงจาก Google)
ขั้นตอนเปิด 2-Step Verification
| ขั้นตอน | วิธีทำ |
|---|---|
| 1 | เปิดหน้าบัญชี Google ของเรา (Google Account) และลงชื่อเข้าใช้ |
| 2 | เลือกหัวข้อ Security & sign-in (ความปลอดภัยและการลงชื่อเข้าใช้) |
| 3 | ใต้หัวข้อ “How you sign in to Google” เลือก Turn on 2-Step Verification |
| 4 | ทำตามขั้นตอนบนหน้าจอ |
ข้อสังเกตจาก Google: ถ้าใช้บัญชีที่ได้รับจากที่ทำงาน โรงเรียน หรือองค์กร ขั้นตอนเหล่านี้อาจใช้ไม่ได้ ให้ติดต่อผู้ดูแลระบบขององค์กร
เลือกขั้นตอนที่สองแบบไหนดี
| วิธี | ลักษณะ | ข้อสังเกตจาก Google |
|---|---|---|
| Google prompts (ข้อความแจ้งบนมือถือ) | มีหน้าจอเด้งบนมือถือ ให้กด Yes หรือ No | Google แนะนำเป็นตัวเลือกแรก ถ้าไม่ใช้ Passkey เพราะกดง่ายกว่าพิมพ์รหัส และช่วยป้องกันการโจมตีแบบ SIM swap ที่อาศัยเบอร์โทรศัพท์ได้ |
| Passkey และกุญแจความปลอดภัย (Security key) | ใช้อุปกรณ์ของเราเองยืนยันตัวตน เช่นลายนิ้วมือหรือ PIN ของเครื่อง | ป้องกันการหลอกลวง (phishing) ได้ดีขึ้น และเมื่อลงชื่อเข้าใช้ด้วย Passkey จะข้ามขั้นตอนที่สองไป เพราะยืนยันได้แล้วว่าเรามีอุปกรณ์อยู่กับตัว |
| แอปสร้างรหัส (Google Authenticator หรือแอปอื่น) | ได้รหัสตัวเลขที่เปลี่ยนตลอดเวลา | เป็นอีกทางเลือกที่ Google มีให้สำหรับขั้นตอนที่สอง |
| รหัสทางข้อความ SMS หรือโทรศัพท์ | รับรหัสทางเบอร์โทร | ใช้ได้ แต่ Google แนะนำให้ใช้ prompts มากกว่า |
| QR Code | สแกนเพื่อยืนยัน | เป็นอีกทางเลือกหนึ่งที่ Google มีให้ |
| Backup codes (รหัสสำรอง) | ชุดรหัสใช้ครั้งเดียว | เก็บไว้ใช้ตอนโทรศัพท์หายหรือรับรหัสไม่ได้ |
ข้อควรรู้เมื่อเพิ่มหมายเลขโทรศัพท์: Google ระบุว่าการเพิ่มเบอร์โทรเป็นขั้นที่สองอาจใช้เวลาได้ถึง 7 วันกว่า Google จะ “เชื่อถือ” เบอร์นั้น เพื่อให้เราตอบโต้ได้ทันถ้ามีคนพยายามเข้าบัญชีโดยไม่ได้รับอนุญาต และหาก Google พบว่าเบอร์ใหม่ดูน่าสงสัยก็อาจปิดการใช้งานเบอร์นั้นและแจ้งเรา โดยเรามีเวลา 30 วันในการยืนยัน ไม่เช่นนั้นเบอร์นั้นจะถูกลบออกจากบัญชี
ทำไมต้องเตรียมวิธีสำรองไว้ด้วย
ถ้าโทรศัพท์หายหรือเปลี่ยนเครื่องโดยไม่ได้เตรียมอะไรไว้ อาจเข้าบัญชีตัวเองไม่ได้ ควรตั้งอย่างน้อย 2 วิธีที่ต่างชนิดกัน เช่น Google prompts คู่กับ Backup codes หรือมีโทรศัพท์สองเครื่อง แล้วเก็บ Backup codes ไว้ในที่ปลอดภัยที่ไม่ใช่ในโทรศัพท์เครื่องเดียวกัน เช่นพิมพ์เก็บไว้ในตู้เซฟหรือกล่องเอกสารสำคัญ ไม่ควรถ่ายรูปเก็บไว้ในแกลเลอรีมือถือที่ซิงก์ขึ้นคลาวด์ที่คนอื่นเข้าถึงได้
ตัวเลือก “ไม่ต้องถามอีกในเครื่องนี้”
ขณะลงชื่อเข้าใช้ จะมีช่อง “Don’t ask again on this computer” (หรือ device) ที่ช่วยให้ไม่ต้องยืนยันขั้นที่สองทุกครั้ง Google ย้ำว่า ควรติ๊กเฉพาะเครื่องที่เราใช้เป็นประจำและไม่ได้แชร์กับใคร ห้ามติ๊กบนเครื่องสาธารณะหรือเครื่องที่ใช้ร่วมกับคนอื่น
ตัวอย่างใช้งานจริง
คุณพ่อใช้รหัสผ่านเดียวกันกับ Gmail และเว็บสั่งซื้อของออนไลน์ เมื่อได้ข่าวว่าเว็บหนึ่งถูกเจาะ ลูกสาวจึงช่วยเปิด 2-Step Verification ให้บัญชี Google โดยเลือก Google prompts เป็นหลัก เพิ่ม Backup codes พิมพ์ออกมาเก็บไว้ในลิ้นชักเอกสาร และเพิ่มเบอร์โทรของคุณแม่เป็นช่องทางสำรอง ต่อมามีคนพยายามเข้าบัญชีจากต่างประเทศด้วยรหัสผ่านเดิม แต่ผ่านด่านที่สองไม่ได้ เพราะมือถือของคุณพ่อขึ้นแจ้งเตือนให้กดปฏิเสธ (No) ทันที
ข้อควรรู้
- เปิด 2-Step Verification แล้ว ยังต้องระวังข้อความหลอกลวงที่ขอรหัสยืนยันจากเราโดยตรง ห้ามบอกรหัสที่ได้รับกับใคร ไม่ว่าอ้างว่าเป็นใคร (ดู สังเกตข้อความและอีเมลหลอกลวง)
- บริการอื่นๆ ที่ใช้งานอยู่ เช่น บัญชี Microsoft และบริการโซเชียล ก็มีฟีเจอร์ลักษณะเดียวกัน ควรเปิดให้ครบทุกบัญชีสำคัญ (สำหรับบัญชี Microsoft ดู เปิดยืนยันตัวตนสองขั้นตอนใน Outlook และ Security Checkup)
- ถ้าใช้ตัวจัดการรหัสผ่านในเบราว์เซอร์ ควรตรวจรหัสที่รั่วไหลด้วย (ดู Password Monitor ใน Edge)
- ถ้า Passkey น่าสนใจ ดูพื้นฐานฝั่ง Windows ได้ที่ Passkeys ใน Windows 11
สรุป
เปิด 2-Step Verification ให้บัญชี Google ได้ที่ Google Account → Security & sign-in → Turn on 2-Step Verification เลือก Google prompts หรือ Passkey เป็นหลัก เตรียม Backup codes และวิธีสำรองไว้เสมอ และอย่าติ๊ก “ไม่ต้องถามอีก” บนเครื่องที่ไม่ใช่ของเรา เพียงใช้เวลาไม่กี่นาทีก็ช่วยลดความเสี่ยงที่บัญชีถูกแฮ็กได้มาก
