คนส่วนใหญ่ระวังเรื่องเลือกเหรียญ แต่ปล่อยประตูบ้านเปิดทิ้งไว้ ความจริงคือเงินคริปโตที่หายไปจำนวนมากไม่ได้หายเพราะราคาตก แต่หายเพราะ บัญชีเว็บเทรดโดนยึด ทั้งที่มาตรการป้องกันทั้งหมดมีให้ใช้ฟรีอยู่แล้วในเมนูตั้งค่า บทความนี้คือคู่มือลงมือทำจริงทีละขั้น 7 ชั้นป้องกัน ใช้เวลารวมประมาณ 20 นาที แล้วบัญชีคุณจะแข็งกว่าคนทั่วไปในตลาดทันที
📑 สารบัญ
- ทำไมบัญชีเว็บเทรดคือเป้าหมายอันดับหนึ่ง
- แผนที่ 7 ชั้นป้องกัน (ทำตามลำดับนี้)
- ชั้นที่ 1 — อีเมลแยกและรหัสผ่านที่ไม่ซ้ำใคร
- ชั้นที่ 2 — เลิกใช้ SMS OTP เป็นด่านหลัก
- ชั้นที่ 3 — Passkey และกุญแจฮาร์ดแวร์
- ชั้นที่ 4 — Anti-Phishing Code กันอีเมลปลอม
- ชั้นที่ 5 — ไวท์ลิสต์ที่อยู่ถอน ด่านสุดท้ายที่ช่วยชีวิต
- ชั้นที่ 6 — จัดการอุปกรณ์และเซสชันที่ค้างอยู่
- ชั้นที่ 7 — API Key ประตูหลังที่คนลืมมากที่สุด
- กันซิมสวอป เรื่องที่ตั้งค่าในเว็บเทรดอย่างเดียวไม่พอ
- ฝั่งเว็บเทรดไทย ตั้งอะไรได้บ้าง
- ถ้าสงสัยว่าโดนแล้ว ทำอะไรใน 10 นาทีแรก
- 6 กับดักที่คนพลาดบ่อยที่สุด
- เช็กลิสต์ 15 ข้อ ทำครบแล้วนอนหลับสบาย
- สรุป
ทำไมบัญชีเว็บเทรดคือเป้าหมายอันดับหนึ่ง
เพราะมันคือจุดที่เงินกองรวมกันมากที่สุด และเป็นจุดเดียวที่โจรไม่ต้องแฮกบล็อกเชน แค่แฮก “คุณ” ก็พอ ไม่ต้องเจาะระบบเว็บเทรด ไม่ต้องเขียนโค้ดเก่ง แค่หลอกให้คุณกรอกรหัสผ่านผิดที่ครั้งเดียวก็จบ
ตัวเลขจาก ศูนย์รับแจ้งอาชญากรรมทางอินเทอร์เน็ตของ FBI (IC3) สะท้อนภาพนี้ชัด เฉพาะการโจมตีแบบสวมซิม (SIM swap) ในสหรัฐฯ ปี 2024 มีเรื่องร้องเรียน 982 เคส มูลค่าความเสียหายที่แจ้งไว้เกือบ 26 ล้านดอลลาร์ ส่วนปี 2022 พุ่งถึง 2,026 เคส เสียหายกว่า 72 ล้านดอลลาร์
ข้อดีคือทุกชั้นป้องกันที่จะพูดถึงต่อไปนี้ ฟรีทั้งหมด และเว็บเทรดใหญ่ทุกเจ้ามีให้ใช้ ปัญหาเดียวคือคนส่วนใหญ่ไม่เคยเข้าไปเปิด
แผนที่ 7 ชั้นป้องกัน (ทำตามลำดับนี้)
อย่าทำสะเปะสะปะ ให้ไล่จากชั้นที่ให้ผลตอบแทนต่อเวลามากที่สุดลงมา ตารางนี้คือลำดับที่แนะนำ
| ชั้น | สิ่งที่ต้องทำ | กันอะไรได้ | เวลาที่ใช้ |
|---|---|---|---|
| 1 | อีเมลแยกเฉพาะ + รหัสผ่านไม่ซ้ำ | รหัสรั่วจากเว็บอื่นแล้วลามมาถึงเรา | 5 นาที |
| 2 | ย้ายจาก SMS OTP ไป Authenticator | ซิมสวอป และการดักอ่านข้อความ | 3 นาที |
| 3 | เพิ่ม Passkey หรือกุญแจฮาร์ดแวร์ | ฟิชชิงเว็บปลอม แม้กรอกรหัสไปแล้ว | 3 นาที |
| 4 | ตั้ง Anti-Phishing Code | อีเมลปลอมที่อ้างชื่อเว็บเทรด | 2 นาที |
| 5 | เปิดไวท์ลิสต์ที่อยู่ถอน | โจรเข้าบัญชีได้แต่ถอนออกไม่ได้ | 4 นาที |
| 6 | ล้างอุปกรณ์และเซสชันเก่า | เครื่องเก่าหรือคอมที่ยืมคนอื่นใช้ | 2 นาที |
| 7 | ตรวจและล็อก API Key | บอทเทรดหรือเว็บที่เคยเชื่อมไว้ | 3 นาที |
ชั้นที่ 1 — อีเมลแยกและรหัสผ่านที่ไม่ซ้ำใคร
เว็บเทรดล็อกอินด้วยอีเมล ดังนั้นอีเมลคือกุญแจดอกแรกจริง ๆ ไม่ใช่รหัสผ่าน ถ้าอีเมลของคุณโดนยึด โจรกดลืมรหัสผ่านแล้วรีเซ็ตได้เลย
สร้างอีเมลใหม่เฉพาะการเงิน
ใช้เฉพาะกับเว็บเทรดและวอลเล็ต ห้ามเอาไปสมัครโซเชียล ห้ามใส่ในใบเสร็จร้านค้า ห้ามประกาศที่ไหน ยิ่งไม่มีใครรู้ว่ามีอีเมลนี้ ยิ่งไม่มีใครยิงฟิชชิงมาหาได้
ล็อกอีเมลนั้นด้วย 2FA ที่แข็งที่สุด
อีเมลต้องปลอดภัยกว่าบัญชีเว็บเทรดเสมอ เพราะมันเป็นด่านกู้คืน ให้เปิด Passkey หรือ Authenticator บนอีเมลด้วย ไม่ใช่แค่ตัวเว็บเทรด
รหัสผ่านห้ามซ้ำกับที่ไหนเลย
ให้ตัวจัดการรหัสผ่านสุ่มให้ ยาวอย่างน้อย 16 ตัว แล้วไม่ต้องจำ เพราะเวลาเว็บอื่นโดนแฮกและฐานข้อมูลรหัสหลุด โจรจะเอารหัสชุดเดิมไปไล่ล็อกอินทุกเว็บเทรดโดยอัตโนมัติ
ชั้นที่ 2 — เลิกใช้ SMS OTP เป็นด่านหลัก
SMS OTP สะดวกที่สุดและอ่อนแอที่สุดพร้อมกัน เพราะมันผูกกับเบอร์มือถือ ไม่ได้ผูกกับตัวคุณ ใครก็ตามที่หลอกค่ายมือถือให้ย้ายเบอร์คุณไปซิมใหม่ได้ จะได้รับ OTP ทุกข้อความแทนคุณทันที โดยที่มือถือคุณแค่ขึ้นว่าไม่มีสัญญาณ
| วิธียืนยันตัวตน | ความปลอดภัย | กันฟิชชิงได้ไหม | กันซิมสวอปได้ไหม |
|---|---|---|---|
| SMS OTP | ต่ำ | ไม่ได้ | ไม่ได้ |
| อีเมล OTP | ต่ำถึงกลาง | ไม่ได้ | ได้ (ถ้าอีเมลแข็ง) |
| แอป Authenticator | ดี | ไม่ได้ | ได้ |
| Passkey | ดีมาก | ได้ | ได้ |
| กุญแจฮาร์ดแวร์ FIDO2 | ดีที่สุด | ได้ | ได้ |
ขั้นตอนย้ายจาก SMS ไปแอป Authenticator ทำครั้งเดียวจบ
ติดตั้งแอปก่อน
เลือกแอปที่รองรับการสำรองข้อมูล เพราะถ้ามือถือหายแล้วไม่มีสำรอง คุณจะเข้าบัญชีตัวเองไม่ได้ ซึ่งเป็นปัญหาที่คนเจอบ่อยกว่าโดนแฮกเสียอีก
เปิดเมนูความปลอดภัยของเว็บเทรด
หาหัวข้อการยืนยันตัวตนสองชั้น แล้วเลือกเพิ่มแอป Authenticator ระบบจะให้สแกน QR
จดรหัสสำรองก่อนกดยืนยัน
ตอนสแกน QR จะมีชุดตัวอักษรกำกับอยู่ด้วย จดใส่กระดาษเก็บนอกมือถือ อย่าแคปหน้าจอเก็บไว้ในเครื่องเดียวกัน เพราะถ้าเครื่องหายก็หายไปพร้อมกัน
ปิด SMS ทิ้ง
เมื่อ Authenticator ใช้ได้แล้ว ให้กลับไปปิดหรือลดบทบาทของ SMS ลง มิฉะนั้นโจรจะเลือกเดินประตูที่อ่อนที่สุดเสมอ
ชั้นที่ 3 — Passkey และกุญแจฮาร์ดแวร์
นี่คือชั้นเดียวในลิสต์ที่ กันฟิชชิงได้จริงในเชิงเทคนิค ไม่ใช่แค่ช่วยเตือน เพราะ Passkey ทำงานด้วยการเข้ารหัสแบบกุญแจคู่ กุญแจส่วนตัวอยู่ในเครื่องคุณและไม่เคยถูกส่งออกไปไหน ที่สำคัญคือมันผูกกับชื่อโดเมนของเว็บจริง ถ้าคุณหลงเข้าเว็บปลอมที่หน้าตาเหมือนเป๊ะ Passkey จะไม่ทำงานให้เลย ต่อให้คุณอยากกดยืนยันแค่ไหนก็ตาม
บน Binance เส้นทางเมนูปัจจุบันคือ
บนแอป
เข้า Account Center แล้วไปที่ Security เลือกหัวข้อ Passkeys (Biometrics) แล้วกด Add Passkey จากนั้นยืนยันอีเมลและเลือกวิธียืนยัน
บนเว็บ
ไปที่โปรไฟล์ เลือก Account แล้วเข้า Security กด Manage ตรงหัวข้อ Passkeys (Biometrics) แล้วกด Add Passkey พร้อมยืนยันด้วย 2FA เดิม
เลือกที่เก็บกุญแจ
เลือกได้หลายทาง เช่น พวงกุญแจ iCloud บน iOS ตัวจัดการรหัสผ่านของ Google บน Android กุญแจฮาร์ดแวร์แบบ USB หรือ NFC หรือใช้เครื่องอื่นสแกน QR
🔍 ข้อจำกัดที่ต้องรู้ก่อนตั้ง
ฟังก์ชัน Passkey ของ Binance ระบุว่ารองรับบนแอปเวอร์ชัน 2.60 ขึ้นไป และต้องเป็น iOS 16 ขึ้นไป หรือ Android 9 ขึ้นไป ถ้าเครื่องเก่ากว่านี้จะไม่เห็นเมนู
ถ้าพอร์ตใหญ่ระดับที่เสียแล้วเจ็บ แนะนำให้ลงทุนกุญแจฮาร์ดแวร์แบบ FIDO2 สักดอกสองดอก ราคาหลักพันบาทแต่กันได้ทั้งฟิชชิงและซิมสวอป และควรซื้อสองดอกเสมอ ดอกหนึ่งใช้ประจำ อีกดอกเก็บไว้ที่ปลอดภัยเป็นตัวสำรอง
ชั้นที่ 4 — Anti-Phishing Code กันอีเมลปลอม
Anti-Phishing Code คือคำหรือชุดตัวอักษรที่คุณตั้งเอง แล้วเว็บเทรดจะแปะมันไว้ในอีเมลทุกฉบับที่ส่งจากระบบจริง พออีเมลปลอมส่งเข้ามา มันจะไม่มีรหัสนี้ คุณก็รู้ทันทีว่าของปลอม โดยไม่ต้องไล่ดูตัวสะกดของชื่อผู้ส่งให้ปวดหัว
เข้าเมนู
บนเว็บ กดที่ไอคอนโปรไฟล์แล้วเลือก Security เลื่อนลงไปหาส่วน Advanced Security แล้วกด Enable ตรง Anti-Phishing Code
ตั้งรหัส
ความยาว 4 ถึง 20 ตัวอักษร ห้ามใส่อักขระพิเศษ ให้เลือกคำที่คุณจำได้แน่นอนแต่คนอื่นเดาไม่ออก อย่าใช้ชื่อเล่นหรือวันเกิดที่โพสต์ในโซเชียล
ยืนยันแล้วทดสอบ
ยืนยันด้วย 2FA เป็นอันเสร็จ จากนั้นลองสั่งอะไรสักอย่างที่ทำให้ระบบส่งอีเมลหาคุณ แล้วเปิดดูว่ารหัสโผล่จริงไหม จะได้รู้ว่าหน้าตาที่ถูกต้องเป็นอย่างไร
ชั้นที่ 5 — ไวท์ลิสต์ที่อยู่ถอน ด่านสุดท้ายที่ช่วยชีวิต
ชั้นนี้คือชั้นที่ผมอยากให้ทุกคนทำมากที่สุด เพราะมันเปลี่ยนเกมทั้งหมด แนวคิดคือ บัญชีของคุณจะถอนออกไปได้เฉพาะที่อยู่ที่คุณเคยอนุมัติไว้ล่วงหน้าเท่านั้น ต่อให้โจรเข้าบัญชีคุณได้เต็มร้อย เขาก็จะถอนไปกระเป๋าตัวเองไม่ได้ ต้องมาเพิ่มที่อยู่ใหม่ก่อน ซึ่งต้องผ่านการยืนยันอีกชั้น และทำให้คุณได้รับการแจ้งเตือน
ขั้นตอนบน Binance
เข้าเมนูตั้งค่า
ล็อกอินแล้วเอาเมาส์ชี้ที่ไอคอนโปรไฟล์ กด Settings จากนั้นเลื่อนลงไปที่ส่วน Withdrawal
เปิดไวท์ลิสต์
กด Enable ตรงหัวข้อ Withdrawal Whitelist ระบบจะเตือนว่าหลังจากนี้จะถอนได้เฉพาะที่อยู่ในไวท์ลิสต์ ให้กดยืนยันอีกครั้ง
ยืนยันตัวตน
ยืนยันด้วย Passkey หรือ 2FA เมื่อผ่านแล้วสถานะจะขึ้นว่าเปิดใช้งาน
ทยอยเพิ่มที่อยู่ที่ใช้จริง
ใส่เฉพาะกระเป๋าที่คุณถอนหาประจำ ตั้งชื่อกำกับให้ชัดว่าอันไหนคืออะไร แล้วตรวจที่อยู่ให้ครบทุกตัวอักษรก่อนบันทึก ไม่ใช่ดูแค่หัวกับท้าย
🔒 ตัวเลือกเสริมที่ทรงพลังที่สุด คือหน่วงเวลา
Binance มีตัวเลือกเพิ่มเติมที่เรียกว่า whitelist withdrawal limit ซึ่งจะ ระงับการถอนไปยังที่อยู่ที่เพิ่งถูกเพิ่มเข้ามาใหม่เป็นเวลา 24, 48 หรือ 72 ชั่วโมง ตามที่คุณตั้งไว้
ความหมายในทางปฏิบัติคือ ถ้าโจรยึดบัญชีคุณได้ตอนตีสาม แล้วรีบเพิ่มกระเป๋าตัวเองเข้าไวท์ลิสต์ เขาจะยังถอนไม่ได้อีกอย่างน้อยหนึ่งวันเต็ม ซึ่งมากพอให้คุณตื่นมาเห็นอีเมลแจ้งเตือนแล้วรีบระงับบัญชีทัน
ชั้นที่ 6 — จัดการอุปกรณ์และเซสชันที่ค้างอยู่
หลายคนล็อกอินบัญชีเว็บเทรดทิ้งไว้บนมือถือเครื่องเก่าที่ขายไปแล้ว บนคอมที่ทำงาน หรือบนเครื่องที่ให้ลูกยืมเล่นเกม เซสชันเหล่านั้นยังมีชีวิตอยู่จนกว่าคุณจะไปไล่ออก
| สิ่งที่ต้องเข้าไปดู | ต้องมองหาอะไร | ทำอะไรต่อ |
|---|---|---|
| Device Management | อุปกรณ์ที่ไม่รู้จัก หรือเครื่องที่ขายไปแล้ว | กดลบออกทั้งหมดที่ไม่ใช่เครื่องปัจจุบัน |
| Login History | ตำแหน่งที่ตั้งหรือประเทศที่คุณไม่เคยไป | ถ้าเจอ ให้เปลี่ยนรหัสและรีเซ็ต 2FA ทันที |
| Account Activity | การเปลี่ยนตั้งค่าที่คุณไม่ได้ทำ | สัญญาณอันตรายสูงสุด ให้ระงับบัญชีทันที |
| Login Alert | เปิดแจ้งเตือนทุกครั้งที่มีการล็อกอิน | เปิดไว้ อย่าปิดเพราะรำคาญ |
ชั้นที่ 7 — API Key ประตูหลังที่คนลืมมากที่สุด
ถ้าคุณเคยเชื่อมบัญชีเว็บเทรดกับบอทเทรด เว็บดูพอร์ต หรือโปรแกรมคำนวณภาษีคริปโต แปลว่าคุณเคยสร้าง API Key ไว้ มันคือกุญแจที่ให้โปรแกรมภายนอกสั่งงานบัญชีคุณได้โดยไม่ต้องผ่านหน้าล็อกอิน และไม่ต้องผ่าน 2FA ด้วย
นั่นแปลว่าถ้า API Key รั่ว โจรไม่ต้องรู้รหัสผ่านคุณเลยก็ทำอะไรได้หลายอย่าง
ปิดสิทธิ์ถอนเสมอ
คีย์ที่ใช้ดูพอร์ตหรือคำนวณภาษี ต้องให้สิทธิ์อ่านอย่างเดียว ห้ามติ๊กสิทธิ์ถอนเด็ดขาด ไม่มีเหตุผลใดที่เว็บดูพอร์ตต้องถอนเงินคุณได้
ผูก IP ให้แคบที่สุด
เปิดตัวเลือกจำกัดการเข้าถึงเฉพาะ IP ที่เชื่อถือได้ แล้วใส่ IP ของเซิร์ฟเวอร์หรือบ้านคุณ ถึงคีย์หลุด คนอื่นก็เรียกใช้ไม่ได้
ลบคีย์ที่ไม่ใช้แล้ว
เข้าเมนู API Management แล้วกวาดคีย์เก่าทิ้ง โดยเฉพาะของบริการที่คุณเลิกใช้ไปนานแล้วหรือโปรเจกต์ที่ปิดตัวไป
กันซิมสวอป เรื่องที่ตั้งค่าในเว็บเทรดอย่างเดียวไม่พอ
ชั้นนี้อยู่นอกเว็บเทรด แต่ขาดไม่ได้ เพราะถ้าเบอร์มือถือคุณโดนย้ายไปซิมของโจร ทุกบริการที่ใช้เบอร์เป็นทางกู้บัญชีจะพังเป็นโดมิโน ทั้งอีเมล ทั้งแอปธนาคาร ทั้งเว็บเทรด
🚩 สัญญาณว่ากำลังโดนสวมซิม
อาการคลาสสิกคือ มือถือขึ้นว่าไม่มีบริการหรือไม่มีสัญญาณโดยไม่มีสาเหตุ ทั้งที่คนรอบตัวใช้ได้ปกติ และเกิดขึ้นในช่วงเวลาที่คุณไม่ได้ทำอะไรกับซิมเลย นี่ไม่ใช่เรื่องเน็ตล่ม ให้ถือเป็นเหตุฉุกเฉินทันที
วิธีป้องกันล่วงหน้าที่ทำได้จริง
- ติดต่อค่ายมือถือของคุณ ถามว่ามีบริการล็อกการเปลี่ยนซิมหรือกำหนดรหัสยืนยันก่อนเปลี่ยนซิมหรือไม่ แต่ละค่ายเรียกชื่อไม่เหมือนกัน ให้ขอเปิดไว้
- เลิกใช้เบอร์มือถือเป็นวิธีกู้บัญชีของอีเมลหลัก เปลี่ยนไปใช้รหัสสำรองหรือ Passkey แทน
- อย่าประกาศว่าตัวเองถือคริปโตในโซเชียลสาธารณะ โดยเฉพาะพร้อมกับเบอร์โทรหรือข้อมูลที่ใช้ยืนยันตัวตนได้
- ระวังสายที่อ้างว่าเป็นเจ้าหน้าที่ค่ายมือถือหรือธนาคารแล้วขอข้อมูลส่วนตัว มิจฉาชีพต้องรวบรวมข้อมูลคุณก่อนจึงจะไปหลอกค่ายได้
- ถ้าพอร์ตใหญ่ ให้แยกเบอร์หนึ่งเบอร์ใช้เฉพาะเรื่องการเงิน ไม่บอกใคร ไม่ผูกโซเชียล
ฝั่งเว็บเทรดไทย ตั้งอะไรได้บ้าง
คนไทยส่วนใหญ่ใช้เว็บเทรดที่มีใบอนุญาตในประเทศ ซึ่งฟีเจอร์ความปลอดภัยจะเรียกชื่อต่างจากเว็บสากลนิดหน่อย แต่หลักการเดียวกัน
| ฟีเจอร์ | ชื่อที่ใช้เรียก | สิ่งที่ควรทำ |
|---|---|---|
| ยืนยันสองชั้น | 2FA ผ่านแอป Authenticator | เปิดทั้งตอนล็อกอินและตอนเทรด และเก็บรหัสสำรองไว้นอกเครื่อง |
| ที่อยู่ถอนที่บันทึกไว้ | Save Address และ Trust Address | บันทึกเฉพาะกระเป๋าที่ใช้จริง และตรวจให้ครบทุกตัวอักษรก่อนบันทึก |
| ยืนยันตอนถอน | OTP ทาง SMS และการยืนยันใบหน้า | ยอดถอนสูงจะถูกขอยืนยันใบหน้าเพิ่ม อย่ามองว่าน่ารำคาญ มันคือด่านที่ช่วยคุณ |
| รหัสกันฟิชชิง | Anti-Phishing Code (มีบน Binance TH) | ตั้งไว้เพื่อแยกอีเมลจริงจากอีเมลปลอม |
ถ้าสงสัยว่าโดนแล้ว ทำอะไรใน 10 นาทีแรก
ลำดับสำคัญมาก เพราะทำผิดลำดับแล้วเสียเวลาโดยไม่ได้ผล เป้าหมายอันดับหนึ่งคือ หยุดเลือดก่อน ค่อยสืบสวนทีหลัง
ระงับบัญชีทันที
เว็บเทรดใหญ่มีปุ่มระงับบัญชีฉุกเฉินหรือ Disable Account ให้กดก่อนเป็นอันดับแรก มันหยุดการถอนทั้งหมดทันที ทำก่อนแม้ยังไม่แน่ใจ ดีกว่ามานั่งเสียใจ
กู้อีเมลก่อนกู้เว็บเทรด
ถ้าอีเมลยังอยู่ในมือโจร คุณจะกู้เว็บเทรดกลับมาไม่ได้ ให้เปลี่ยนรหัสอีเมล ไล่เซสชันทั้งหมดออก และปิดการส่งต่ออีเมลอัตโนมัติที่โจรมักแอบตั้งไว้
ตรวจว่ามีอะไรถูกแก้ไปแล้วบ้าง
ดูรายการเปลี่ยนแปลงตั้งค่า ทั้งไวท์ลิสต์ที่อยู่ใหม่ API Key ที่เพิ่งสร้าง และวิธียืนยันตัวตนที่ถูกเปลี่ยน ลบทิ้งให้หมด
เก็บหลักฐานและแจ้งความ
บันทึกภาพหน้าจอทุกอย่าง เก็บ TXID ของธุรกรรมที่ถูกถอนออก แล้วแจ้งฝ่ายบริการลูกค้าพร้อมแจ้งความออนไลน์ที่ระบบรับแจ้งความออนไลน์ของตำรวจไทย ยิ่งเร็วยิ่งมีโอกาสให้เว็บเทรดปลายทางอายัดทัน
6 กับดักที่คนพลาดบ่อยที่สุด
| กับดัก | ผลที่ตามมา | วิธีเลี่ยง |
|---|---|---|
| เก็บรหัสสำรอง 2FA ไว้ในมือถือเครื่องเดียวกัน | เครื่องหายแล้วเข้าบัญชีตัวเองไม่ได้ | จดใส่กระดาษเก็บนอกเครื่อง คนละที่กับมือถือ |
| ค้นชื่อเว็บเทรดในเสิร์ชแล้วกดผลบนสุด | เข้าเว็บปลอมที่ซื้อโฆษณาไว้ กรอกรหัสให้โจรเอง | พิมพ์ที่อยู่เว็บเองหรือกดจากบุ๊กมาร์กเท่านั้น |
| เชื่อว่ามี 2FA แล้วปลอดภัยจากฟิชชิง | โดนหลอกกรอก OTP บนเว็บปลอมแบบเรียลไทม์ | ใช้ Passkey หรือกุญแจฮาร์ดแวร์ที่ผูกกับโดเมนจริง |
| ปล่อย API Key เก่าค้างไว้ | บริการที่เลิกใช้ยังสั่งงานบัญชีคุณได้ | กวาดคีย์ทิ้งทุกไตรมาส และผูก IP เสมอ |
| ปิดแจ้งเตือนล็อกอินเพราะรำคาญ | ไม่รู้ตัวเลยว่ามีคนเข้าบัญชี | เปิดไว้ทุกช่องทาง โดยเฉพาะอีเมล |
| กดยอมรับคำขอยืนยันที่เด้งมาโดยไม่ได้ทำอะไร | เท่ากับเปิดประตูให้โจรที่มีรหัสผ่านอยู่แล้ว | ถ้าไม่ได้กดเอง ให้ปฏิเสธแล้วเปลี่ยนรหัสทันที |
เช็กลิสต์ 15 ข้อ ทำครบแล้วนอนหลับสบาย
- ใช้อีเมลแยกเฉพาะการเงิน ไม่เคยประกาศที่ไหน
- อีเมลนั้นเปิด 2FA หรือ Passkey ไว้แล้ว
- รหัสผ่านเว็บเทรดยาวและไม่ซ้ำกับเว็บไหนเลย
- เลิกใช้ SMS OTP เป็นด่านหลักแล้ว
- ติดตั้งแอป Authenticator และทดสอบว่าใช้ได้จริง
- จดรหัสสำรอง 2FA ใส่กระดาษเก็บนอกมือถือ
- สร้าง Passkey แล้วอย่างน้อยหนึ่งอัน และมีวิธียืนยันสำรอง
- ตั้ง Anti-Phishing Code และรู้ว่าอีเมลจริงหน้าตาเป็นอย่างไร
- เปิดไวท์ลิสต์ที่อยู่ถอนแล้ว
- ตั้งหน่วงเวลาสำหรับที่อยู่ใหม่ไว้ที่ 24 ชั่วโมงขึ้นไป
- ไล่อุปกรณ์และเซสชันเก่าออกหมดแล้ว
- เปิดแจ้งเตือนการล็อกอินทุกช่องทาง
- ตรวจ API Key แล้ว ไม่มีคีย์เก่าค้าง และไม่มีคีย์ไหนมีสิทธิ์ถอน
- ติดต่อค่ายมือถือขอเปิดการล็อกเปลี่ยนซิมแล้ว
- รู้แล้วว่าปุ่มระงับบัญชีฉุกเฉินอยู่ตรงไหน
สรุป
โจรไม่ได้แฮกบล็อกเชน เขาแฮกคุณ
จุดอ่อนคือบัญชีและพฤติกรรม ไม่ใช่เทคโนโลยี ดังนั้นการตั้งค่าที่ถูกต้องคือเกราะที่ได้ผลจริงกว่าการซื้อของแพง
SMS OTP คือประตูที่อ่อนที่สุด
ย้ายไปแอป Authenticator เป็นอย่างต่ำ และไปให้ถึง Passkey ถ้าทำได้ เพราะ Passkey คือชั้นเดียวที่กันฟิชชิงได้จริง
ไวท์ลิสต์ถอนคือด่านที่ช่วยชีวิต
ต่อให้โจรเข้าบัญชีได้ ก็ขนเงินออกไม่ได้ ยิ่งเปิดหน่วงเวลา 24 ถึง 72 ชั่วโมงด้วย ยิ่งซื้อเวลาให้คุณตั้งตัวทัน
API Key คือประตูหลังที่คนลืม
ไม่ผ่าน 2FA และมักค้างอยู่เป็นปี ให้กวาดทิ้งทุกไตรมาส ผูก IP เสมอ และห้ามให้สิทธิ์ถอนกับบริการดูพอร์ต
โดนแล้วให้หยุดเลือดก่อน
กดระงับบัญชีเป็นอันดับแรก แล้วค่อยกู้อีเมล ค่อยไล่ดูว่าอะไรถูกแก้ ลำดับผิดคือเสียเวลาฟรี
ทั้งหมดนี้ใช้เวลาไม่ถึงครึ่งชั่วโมง และทำครั้งเดียวอยู่ได้เป็นปี เทียบกับความเสี่ยงที่จะเสียทั้งพอร์ตในคืนเดียว ถือว่าเป็นการลงทุนที่คุ้มที่สุดที่คุณจะทำได้ในวันนี้ เปิดแอปเว็บเทรดขึ้นมาเลย แล้วไล่ทำตามเช็กลิสต์ทีละข้อ
