การขโมยข้อมูลรับรอง

คำจำกัดความแบบย่อ

การขโมยข้อมูลรับรองคือการที่ผู้โจมตีใช้การหลอกลวง มัลแวร์ การรั่วไหลของข้อมูล หรือวิธีอื่น ๆ เพื่อให้ได้มาซึ่งข้อมูลสำหรับเข้าสู่ระบบของผู้ใช้ เช่น ชื่อผู้ใช้ รหัสผ่าน รหัสยืนยันทาง SMS รหัสใช้ครั้งเดียว คีย์ API หรือโทเคนสำหรับเข้าถึงแพลตฟอร์มเทรด

ในบริบทการเงินและการเทรด การขโมยข้อมูลรับรองอาจทำให้บัญชีถูกเข้าสู่ระบบโดยไม่ได้รับอนุญาต เงินถูกโอนออก สถานะการลงทุนถูกซื้อขายโดยพลการ ข้อมูลส่วนบุคคลถูกนำไปใช้ในทางที่ผิด หรือ API ถูกใช้เพื่อส่งคำสั่งซื้อขายที่ผิดปกติ ความเสี่ยงนี้ไม่ใช่ความเสี่ยงด้านการลงทุนโดยตรง แต่เป็นความเสี่ยงด้านความปลอดภัยของบัญชีและความมั่นคงปลอดภัยไซเบอร์

การขโมยข้อมูลรับรองเกิดขึ้นได้อย่างไร

โดยทั่วไป ผู้โจมตีมักไม่ได้ “เจาะ” ระบบเทรดโดยตรง แต่พยายามทำให้ผู้ใช้ส่งมอบข้อมูลรับรองเอง หรือขโมยข้อมูลจากอุปกรณ์ อีเมล หรือบริการของบุคคลที่สามที่ผู้ใช้ใช้งานอยู่ กลไกที่พบบ่อย ได้แก่:

สถานการณ์ที่พบบ่อยในการเทรด

1. หน้าเข้าสู่ระบบปลอม

เทรดเดอร์มือใหม่ได้รับอีเมลแจ้งว่าบัญชีต้อง “ยืนยันตัวตนใหม่” เมื่อลิงก์ในอีเมลถูกเปิด หน้าเว็บที่ปรากฏดูคล้ายแพลตฟอร์มเทรดจริงมาก หลังจากผู้ใช้กรอกชื่อบัญชี รหัสผ่าน และรหัสยืนยัน ผู้โจมตีอาจนำข้อมูลดังกล่าวไปพยายามเข้าสู่บัญชีจริง

จุดที่ควรตรวจสอบ: อย่าดูเพียงหน้าตาเว็บไซต์ ควรตรวจสอบชื่อโดเมน ใบรับรองความปลอดภัย ทางเข้าจากบุ๊กมาร์ก และแอปทางการ หลีกเลี่ยงการเข้าสู่บัญชีเทรดผ่านลิงก์จากอีเมลหรือ SMS ที่ไม่รู้จัก

2. แอบอ้างเป็นฝ่ายบริการลูกค้าเพื่อขอรหัสยืนยัน

ผู้โจมตีอาจแอบอ้างเป็นฝ่ายบริการลูกค้าของแพลตฟอร์มบนโซเชียลมีเดียหรือแอปแชต โดยอ้างว่าต้องใช้รหัสยืนยันเพื่อ “กู้คืนบัญชี” “ดำเนินการถอนเงิน” หรือ “ยกเลิกคำสั่งผิดปกติ” โดยทั่วไป รหัสยืนยันใช้เพื่อยืนยันการเข้าสู่ระบบ การโอนเงิน หรือการดำเนินการที่สำคัญ การให้รหัสยืนยันแก่ผู้อื่นอาจเท่ากับการอนุญาตให้อีกฝ่ายดำเนินการกับบัญชีได้

จุดที่ควรตรวจสอบ: โดยทั่วไป ฝ่ายบริการลูกค้าที่ถูกต้องตามขั้นตอนจะไม่ขอรหัสผ่านแบบเต็ม รหัสใช้ครั้งเดียว หรือรหัสยืนยันตัวตนสองชั้นจากผู้ใช้

3. คีย์ API ถูกเปิดเผยโดยไม่ตั้งใจ

เทรดเดอร์บางรายใช้เครื่องมือเชิงปริมาณหรือซอฟต์แวร์ของบุคคลที่สามเพื่อเชื่อมต่อกับบัญชีเทรด หากคีย์ API ถูกคัดลอกไปไว้ในคลังโค้ดสาธารณะ ภาพหน้าจอ กลุ่มแชต หรือซอฟต์แวร์ที่ไม่น่าเชื่อถือ ผู้โจมตีอาจใช้คีย์ดังกล่าวเพื่อดูข้อมูล ส่งคำสั่งซื้อขาย หรือดำเนินการอื่น ๆ ได้ ขึ้นอยู่กับสิทธิ์ที่ตั้งไว้สำหรับคีย์นั้น

จุดที่ควรตรวจสอบ: ควรกำหนดสิทธิ์ของคีย์ API ตามหลักสิทธิ์ขั้นต่ำ เช่น ให้เฉพาะสิทธิ์อ่านข้อมูลหรือซื้อขายเท่าที่จำเป็น และไม่ควรเปิดสิทธิ์ถอนเงินโดยง่าย เมื่อเลิกใช้งานแล้วควรลบคีย์ทันที

ทำไมเรื่องนี้จึงสำคัญสำหรับเทรดเดอร์มือใหม่

ผลกระทบจากการขโมยข้อมูลรับรองไม่ได้จำกัดเพียง “มีคนเข้าสู่ระบบบัญชี” เท่านั้น ในบัญชีเทรด ผู้โจมตีอาจ:

• ดูข้อมูลยืนยันตัวตน ประวัติการซื้อขาย ยอดเงิน และสถานะคงค้าง;
• เปลี่ยนอีเมล หมายเลขโทรศัพท์ หรือการตั้งค่าความปลอดภัย;
• ส่งคำสั่งซื้อขาย ปิดสถานะ หรือทำธุรกรรมที่มีความเสี่ยงโดยไม่ได้รับอนุญาต;
• พยายามโอนเงินหรือสินทรัพย์ออก ขึ้นอยู่กับขั้นตอนและระบบควบคุมความปลอดภัยของแพลตฟอร์ม;
• ใช้บัญชีเพื่อการฉ้อโกง ฟอกเงิน หรือกิจกรรมที่ละเมิดกฎอื่น ๆ

กฎการคุ้มครองแตกต่างกันไปตามแพลตฟอร์ม เขตอำนาจศาล และประเภทบัญชี การจะกู้คืนความเสียหายได้หรือไม่นั้นขึ้นอยู่กับเงื่อนไขของแพลตฟอร์ม กฎหมายท้องถิ่น การตั้งค่าความปลอดภัยของบัญชี การแจ้งความ และเอกสารประกอบการร้องเรียน จึงไม่ควรสันนิษฐานว่าจะสามารถกู้คืนเงินหรือยกเลิกธุรกรรมได้เสมอ

แนวทางลดความเสี่ยง

มาตรการต่อไปนี้ไม่สามารถรับประกันว่าจะหลีกเลี่ยงความเสี่ยงได้ทั้งหมด แต่ช่วยลดโอกาสที่ข้อมูลรับรองจะถูกขโมยและบัญชีจะถูกนำไปใช้ในทางที่ผิดได้อย่างมีนัยสำคัญ:

1. ใช้รหัสผ่านที่ไม่ซ้ำและมีความแข็งแรงสูง: อย่าใช้รหัสผ่านเดียวกันกับบัญชีเทรด อีเมล และบัญชีธนาคาร
2. เปิดใช้การยืนยันตัวตนหลายปัจจัย (MFA): ควรให้ความสำคัญกับแอปยืนยันตัวตนหรือกุญแจความปลอดภัยแบบฮาร์ดแวร์ รหัส SMS ดีกว่าไม่มี MFA แต่ยังมีความเสี่ยง เช่น การสวมซิมหรือ SIM swap
3. ตรวจสอบโดเมนและแหล่งที่มาของแอป: เข้าสู่ระบบผ่านเว็บไซต์ทางการ ร้านค้าแอปทางการ หรือบุ๊กมาร์กที่บันทึกไว้ หลีกเลี่ยงการคลิกลิงก์ที่ไม่คุ้นเคย
4. ระวังถ้อยคำที่เร่งด่วนหรือกดดัน: เช่น “บัญชีกำลังจะถูกระงับ” “ต้องยืนยันทันที” หรือ “หากพลาดจะไม่สามารถถอนเงินได้”
5. ปกป้องบัญชีอีเมล: อีเมลมักใช้สำหรับรีเซ็ตรหัสผ่านบัญชีเทรด หากอีเมลถูกยึดครอง บัญชีเทรดอาจถูกเข้าควบคุมต่อได้
6. จำกัดสิทธิ์ของ API: ให้เฉพาะสิทธิ์ที่จำเป็น ตั้งค่า IP whitelist หากแพลตฟอร์มรองรับ และหมุนเวียนหรือลบคีย์ที่ไม่ได้ใช้งานเป็นประจำ
7. ตรวจสอบประวัติการเข้าสู่ระบบและการดำเนินการ: หากพบอุปกรณ์ที่ไม่รู้จัก IP ผิดปกติ คำสั่งที่ไม่ทราบที่มา หรือการเปลี่ยนแปลงการตั้งค่าความปลอดภัย ควรดำเนินการทันที
8. รักษาความปลอดภัยของอุปกรณ์: หลีกเลี่ยงการติดตั้งซอฟต์แวร์เทรดที่ไม่ทราบแหล่งที่มา ปลั๊กอินเถื่อน หรือส่วนขยายเบราว์เซอร์ที่น่าสงสัย

ควรทำอย่างไรเมื่อสงสัยว่าข้อมูลรับรองถูกขโมย

หากสงสัยว่าข้อมูลรับรองของบัญชีเทรดรั่วไหล ควรดำเนินการโดยเร็ว:

• เข้าสู่ระบบผ่านช่องทางทางการและเปลี่ยนรหัสผ่านทันที;
• เพิกถอนอุปกรณ์ เซสชัน และคีย์ API ที่น่าสงสัย;
• เปิดใช้หรือรีเซ็ตการยืนยันตัวตนหลายปัจจัย;
• ตรวจสอบคำสั่งซื้อขายล่าสุด การโอนเงิน ที่อยู่ถอนเงิน และการเปลี่ยนแปลงข้อมูลส่วนบุคคล;
• ติดต่อฝ่ายบริการลูกค้าหรือทีมความปลอดภัยของแพลตฟอร์มผ่านช่องทางทางการ และเก็บอีเมล SMS ลิงก์ ภาพหน้าจอ และบันทึกเวลาไว้เป็นหลักฐาน;
• หากมีความเสียหายทางการเงินหรือข้อมูลยืนยันตัวตนถูกขโมย อาจแจ้งความหรือยื่นเรื่องร้องเรียนต่อหน่วยงานที่เกี่ยวข้องตามกฎหมายในพื้นที่และข้อกำหนดของแพลตฟอร์ม

อย่าส่งรหัสยืนยันใหม่ รูปเอกสารประจำตัว หรือข้อมูลบัญชีแบบครบถ้วนให้กับ “ฝ่ายบริการลูกค้า” หรือสมาชิกชุมชนที่ยังไม่ได้รับการตรวจสอบความน่าเชื่อถือ

คำศัพท์ที่เกี่ยวข้อง

• ฟิชชิง: วิธีโจมตีที่ปลอมตัวเป็นหน่วยงานหรือบุคคลที่น่าเชื่อถือเพื่อหลอกให้ผู้ใช้เปิดเผยข้อมูล
• การยืนยันตัวตนหลายปัจจัย: การเพิ่มปัจจัยยืนยันตัวตนอื่นนอกเหนือจากรหัสผ่าน เช่น รหัสใช้ครั้งเดียว กุญแจฮาร์ดแวร์ หรือชีวมิติ
• การยัดข้อมูลรับรอง: ผู้โจมตีใช้ชุดชื่อบัญชีและรหัสผ่านที่รั่วไหลแล้วไปลองเข้าสู่ระบบเว็บไซต์หรือแพลตฟอร์มอื่นจำนวนมาก
• การยึดครองบัญชี: ผู้โจมตีได้สิทธิ์ควบคุมบัญชี แล้วเปลี่ยนข้อมูล ดูข้อมูล หรือดำเนินการต่าง ๆ
• คีย์ API: ข้อมูลรับรองที่ใช้สำหรับเข้าถึงแพลตฟอร์มเทรดผ่านโปรแกรม หากรั่วไหลอาจทำให้เกิดความเสี่ยงจากการดำเนินการอัตโนมัติ

แหล่งอ้างอิง

• https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
• https://www.cisa.gov/MFA
• https://www.sec.gov/oiea/investor-alerts-and-bulletins/ib_safeguardingaccount
• https://www.nist.gov/itl/smallbusinesscyber/guidance-topic/phishing
• https://www.finra.org/investors/insights/cybersecurity-and-your-brokerage-account