มือถือ & Wi‑Fi สาธารณะ

01มือถือคือกระเป๋าสตางค์ทั้งใบ Why your phone matters

เช้าวันจันทร์ “ต้น” นั่งรอเครื่องอยู่ที่สนามบิน แบตเหลือ 9% เขาเสียบสายเข้ากับช่อง USB ที่เก้าอี้ ต่อไวไฟฟรีที่ชื่อเหมือนสนามบินเป๊ะ แล้วเปิดแอปธนาคารโอนค่าที่พัก ระหว่างนั้นไลน์จากบัญชีแปลกหน้าก็เด้งขึ้นมา “แจ้งคืนเงินค่าไฟ กรุณาอัปเดตแอปผ่านลิงก์นี้ภายในวันนี้”

ในห้านาทีนั้น ต้นทำเรื่องที่ฟังดูเสี่ยงไปสามอย่าง แต่ทั้งสามเสี่ยงไม่เท่ากันเลย อย่างหนึ่งเป็นกลโกงที่ทำให้คนไทยเสียเงินจริงไปแล้วจำนวนมาก อีกอย่างทำได้ไม่ยาก แต่ป้องกันก็ง่าย ส่วนอีกอย่างพิสูจน์แล้วว่าทำได้ในงานวิจัย แต่ยังไม่มีรายงานเหตุจริงที่เปิดเผยต่อสาธารณะ บทนี้จะแยกให้เห็นว่าอันไหนเป็นอันไหน

ก่อนอื่นต้องเข้าใจก่อนว่าทำไมมือถือถึงเป็นเป้าใหญ่ขนาดนี้ มือถือหนึ่งเครื่องไม่ได้มีแค่รูปกับแชต แต่มีแอปธนาคาร มี SMS ที่รับรหัส OTP มีอีเมลที่ใช้รีเซ็ตรหัสผ่านของบัญชีอื่นทั้งหมด และมีแอปยืนยันตัวตนสองชั้น ใครคุมมือถือเราได้ ก็แทบจะสวมรอยเป็นเราได้ทั้งชีวิตดิจิทัล เหมือนกระเป๋าสตางค์ที่ใส่ทั้งเงินสด บัตรประชาชน และกุญแจบ้านไว้ในใบเดียว

ภัยต่อมือถือแบ่งคร่าว ๆ ได้สี่ทาง และบทนี้จะไล่ดูทีละทาง

• แอปร้าย แอปปลอม หรือแอปที่ขอสิทธิ์เกินตัวจนควบคุมเครื่องได้ (หัวข้อ 02–04)
• ระบบเก่า มือถือที่ไม่อัปเดต หรือหมดอายุการสนับสนุนแล้ว (หัวข้อ 05)
• เครื่องหลุดมือ หาย ถูกขโมย หรือมีคนหยิบไปใช้ตอนเราเผลอ (หัวข้อ 06)
• เครือข่ายและของรอบตัว ไวไฟสาธารณะ ช่องชาร์จ QR code และการแชร์ไฟล์ไร้สาย (หัวข้อ 07–09)

ศัพท์น่ารู้: โมเดลภัยคุกคาม (Threat model)

ฟังดูเป็นศัพท์ใหญ่ แต่จริง ๆ คือการถามตัวเองสามข้อ: เรากำลังปกป้องอะไร ปกป้องจากใคร และถ้าพลาดจะเสียอะไร คำตอบช่วยให้เราเลือกได้ว่าควรกังวลเรื่องไหนก่อน แทนที่จะกลัวทุกอย่างเท่ากันจนสุดท้ายไม่ได้ทำอะไรเลย

02สิทธิ์ของแอป App permissions

ทุกแอปในมือถือถูกขังอยู่ใน “ห้อง” ของตัวเอง ระบบปฏิบัติการไม่ยอมให้แอปหนึ่งไปค้นข้อมูลของอีกแอปตามใจชอบ แนวคิดนี้เรียกว่า แซนด์บ็อกซ์ (sandbox) ถ้าแอปอยากออกมาใช้ของส่วนกลาง เช่น กล้อง ตำแหน่ง หรือรายชื่อผู้ติดต่อ ต้องขอ สิทธิ์ (permission) จากเราก่อน

เหมือนคนที่มาเช่าห้องในคอนโด ได้กุญแจแค่ห้องตัวเอง ถ้าอยากใช้ห้องฟิตเนสหรือที่จอดรถ ต้องมาขอที่นิติบุคคล ปัญหาคือหลายคนกด “อนุญาต” ทุกอย่างตามความเคยชิน เท่ากับแจกกุญแจผีให้ทุกคนที่เดินมาขอ

สิทธิ์แต่ละตัวอันตรายไม่เท่ากัน บางตัวแค่ทำให้แอปรู้เรื่องส่วนตัวของเรา แต่บางตัวทำให้แอป เห็นทุกอย่างบนจอและกดแทนเราได้

กติกาง่าย ๆ: งานของแอปกับสิทธิ์ที่ขอ ต้องเข้าคู่กัน

แอปแผนที่ขอตำแหน่งเป็นเรื่องปกติ แอปถ่ายรูปขอกล้องก็ปกติ แต่แอปไฟฉายที่ขออ่าน SMS หรือแอปเกมที่ขอสิทธิ์ช่วยเหลือพิเศษ ไม่มีเหตุผลอะไรรองรับเลย เจอแบบนี้ให้ปฏิเสธ แล้วลบแอปทิ้ง

• เลือก “ขณะใช้แอป” หรือ “ถามทุกครั้ง” แทน “อนุญาตตลอดเวลา”
• ตำแหน่งให้แบบ “โดยประมาณ” กับแอปที่ไม่จำเป็นต้องรู้ละเอียด
• รูปภาพเลือกให้เฉพาะรูปที่เลือก แทนการเปิดให้ทั้งคลัง
• เปิดหน้ารวมสิทธิ์ดูสักเดือนละครั้ง บน Android อยู่ในเมนูความเป็นส่วนตัว ส่วน iPhone อยู่ใน การตั้งค่า › ความเป็นส่วนตัวและความปลอดภัย
• สังเกตสัญลักษณ์หรือจุดสีที่มุมจอ มือถือรุ่นใหม่จะแสดงทุกครั้งที่มีแอปกำลังใช้กล้องหรือไมโครโฟน ถ้าขึ้นมาตอนเราไม่ได้ใช้ ให้ตรวจดูทันที

ศัพท์น่ารู้: การช่วยเหลือพิเศษ (Accessibility Service)

ระบบบน Android ที่สร้างมาเพื่อช่วยผู้พิการทางการมองเห็นหรือการเคลื่อนไหว เช่น อ่านข้อความบนจอออกเสียง หรือกดปุ่มแทนผู้ใช้ แอปที่ได้สิทธิ์นี้จึง “อ่านทุกอย่างบนจอและกดแทนเราได้” เป็นของดีมากในมือคนที่ต้องการความช่วยเหลือ แต่ในมือมิจฉาชีพคือรีโมทคุมเครื่องทั้งเครื่อง

03แอปดูดเงิน: มุกที่คนไทยต้องรู้ทัน Fake apps & remote control

ย้อนกลับไปที่ข้อความของต้น “แจ้งคืนเงินค่าไฟ กรุณาอัปเดตแอปผ่านลิงก์นี้” นี่คือหน้าตาของกลโกงที่สร้างความเสียหายให้คนไทยเป็นวงกว้างในช่วงไม่กี่ปีมานี้ มิจฉาชีพปลอมตัวเป็นหน่วยงานที่เราคุ้นชื่อ เช่น กรมที่ดิน หน่วยงานด้านภาษี หรือการไฟฟ้า แล้วหลอกให้ลงแอปปลอมที่เปิดทางให้ควบคุมมือถือจากระยะไกล

จุดที่ทำให้กลโกงนี้ได้ผล คือมิจฉาชีพไม่ต้องเจาะระบบธนาคารเลย เขาแค่หลอกให้ เราเป็นคนเปิดประตูเอง ทีละบาน ลองดูลำดับในภาพ

สังเกตว่าทุกขั้นต้องอาศัยให้เรากดยอมเอง ตั้งแต่รับสาย กดลิงก์ ติดตั้ง ไปจนถึงเปิดสิทธิ์ ข่าวดีก็อยู่ตรงนี้ ถ้าเราหยุดได้ขั้นใดขั้นหนึ่ง โซ่ก็ขาด

ศัพท์น่ารู้: ไฟล์ APK

แพ็กเกจติดตั้งแอปของ Android เทียบได้กับไฟล์ .exe บนคอมพิวเตอร์ เปิดไฟล์นี้คือการ ติดตั้งโปรแกรม ไม่ใช่การเปิดดูเอกสาร ถ้ามีคนส่งไฟล์ .apk มาในแชต ให้คิดว่ากำลังมีคนยื่นโปรแกรมแปลกหน้ามาขอเข้าบ้าน

ระบบป้องกันที่ไทยมีแล้ว

เมื่อความเสียหายลามหนัก หลายฝ่ายก็ขยับ ธนาคารไทยเพิ่มการยืนยันตัวตนด้วยใบหน้าหรือลายนิ้วมือ และให้แอปธนาคารป้องกันตัวเองเมื่อพบว่ามีแอปใช้สิทธิ์ช่วยเหลือพิเศษอยู่ในเครื่อง

ฝั่ง Google เปิดระบบ ป้องกันการฉ้อโกง ของ Google Play Protect ในไทยตั้งแต่ปี 2024 ระบบนี้บล็อกการติดตั้งแอปที่โหลดมาจากเบราว์เซอร์ แอปแชต หรือตัวจัดการไฟล์ ถ้าแอปนั้นขอสิทธิ์อ่อนไหวอย่างการอ่าน SMS การอ่านการแจ้งเตือน หรือการช่วยเหลือพิเศษ รัฐบาลแถลงเมื่อธันวาคม 2024 ว่าระบบนี้บล็อกความพยายามติดตั้งแอปเสี่ยงไปแล้วกว่า 4.8 ล้านครั้ง

ขั้นต่อไป Google กำหนดว่าตั้งแต่ 30 กันยายน 2026 มือถือ Android ที่ผ่านการรับรองในบราซิล อินโดนีเซีย สิงคโปร์ และไทย จะติดตั้งแอปแบบปกติได้เฉพาะแอปจากนักพัฒนาที่ลงทะเบียนยืนยันตัวตนกับ Google แล้ว ไม่ว่าแอปนั้นจะโหลดมาจากที่ไหน ไทยเป็นหนึ่งในสี่ประเทศแรกที่ใช้กติกานี้ ส่วนคนที่จำเป็นต้องลงแอปนอกระบบจริง ๆ ต้องผ่านขั้นตอนพิเศษที่ตั้งใจทำให้ยุ่งยากและใช้เวลา เพื่อกันไม่ให้ใครถูกเร่งให้ทำตามในสายโทรศัพท์

แต่ระบบทั้งหมดนี้มีจุดอ่อนเดียวกัน ถ้ามิจฉาชีพพูดจนเรากดข้ามคำเตือนเอง หรือยอมทำตามขั้นตอนที่เขาบอกทีละขั้น ก็ไม่มีระบบไหนช่วยได้ คำเตือนบนจอคือเพื่อน ไม่ใช่สิ่งกีดขวาง

ถ้าเผลอติดตั้งไปแล้ว ทำทันที

1. ตัดการเชื่อมต่อทันที

   เปิดโหมดเครื่องบิน ถ้าจอค้างจนกดอะไรไม่ได้ ให้กดปุ่มเปิดปิดค้างไว้พร้อมปุ่มลดเสียงราว 10–20 วินาทีเพื่อบังคับรีสตาร์ต หรือถอดซิมแล้วปิดไวไฟ คนร้ายจะสั่งเครื่องได้ก็ต่อเมื่อเครื่องยังต่อเน็ตอยู่

2. ใช้เครื่องอื่นโทรหาธนาคาร

   ขอให้ระงับบัญชีและแอปธนาคารไว้ก่อน ทุกนาทีมีค่า แล้วโทรแจ้งสายด่วน 1441 (ศูนย์ AOC รับแจ้งปัญหาภัยออนไลน์)

3. ลบแอปปลอม หรือล้างเครื่อง

   ถ้าลบเองไม่ได้ เพราะแอปบางตัวยึดสิทธิ์ผู้ดูแลอุปกรณ์ไว้ ให้รีเซ็ตเครื่องเป็นค่าโรงงาน แล้วตั้งค่าใหม่ และระวังอย่ากู้แอปกลับมาจากข้อมูลสำรองที่อาจมีแอปปลอมติดมาด้วย

4. เปลี่ยนรหัสจากเครื่องที่สะอาด

   เปลี่ยน PIN แอปธนาคาร รหัสอีเมล และบัญชีสำคัญ เพราะคนร้ายอาจจดไปแล้วระหว่างที่เราพิมพ์

5. แจ้งความ และเก็บหลักฐาน

   เก็บเบอร์ที่โทรมา ชื่อบัญชีไลน์ ลิงก์ และรายการโอนเงินทั้งหมดไว้ แล้วแจ้งความกับตำรวจ ยิ่งเร็วยิ่งมีโอกาสตามเงินได้

04ลงแอปจากไหนดี Sideloading & app stores

การติดตั้งแอปจากไฟล์ที่โหลดมาเองนอกร้านแอปทางการ เรียกว่า ไซด์โหลด (sideloading) บน Android เครื่องจะยอมติดตั้งไฟล์ .apk ก็ต่อเมื่อเราเปิดสิทธิ์ “ติดตั้งแอปที่ไม่รู้จัก” ให้แอปต้นทาง เช่น เบราว์เซอร์หรือแอปแชต ส่วน iPhone ปกติลงแอปได้จาก App Store ทางเดียว ยกเว้นบางประเทศที่กฎหมายบังคับให้เปิดร้านแอปทางเลือก อย่างในสหภาพยุโรป

นี่คือเหตุผลที่แอปดูดเงินในไทยมักเล็งผู้ใช้ Android ช่วงต้นปี 2023 ศูนย์ TB-CERT ของภาคธนาคารระบุว่าผู้เสียหายจากแอปดูดเงินที่พบในตอนนั้นใช้ Android ทั้งหมด ไม่ได้แปลว่า Android ไม่ปลอดภัย แต่ความยืดหยุ่นที่ให้ลงแอปจากที่ไหนก็ได้ ก็เปิดช่องให้คนร้ายหลอกได้ง่ายกว่า

ร้านแอปทางการก็ไม่ได้สะอาดร้อยเปอร์เซ็นต์

Google Play และ App Store ตรวจแอปก่อนวางขาย ทั้งด้วยระบบอัตโนมัติและด้วยคน ซึ่งกรองของอันตรายออกไปได้มาก แต่ก็ยังมีแอปร้ายหลุดเข้าไปได้เป็นระยะ บางตัวผ่านการตรวจตอนแรกด้วยหน้าตาธรรมดา แล้วค่อยเพิ่มส่วนที่อันตรายเข้ามาในการอัปเดตทีหลัง เมื่อถูกพบก็จะถูกถอดออก แต่ระหว่างนั้นอาจมีคนโหลดไปแล้วไม่น้อย

เช็กแอปก่อนกดติดตั้ง

• ดูชื่อผู้พัฒนา แอปของธนาคารหรือหน่วยงานต้องลงชื่อองค์กรนั้นจริง และควรกดเข้าร้านแอปจากลิงก์บนเว็บไซต์ทางการ
• ดูจำนวนดาวน์โหลดและรีวิว รีวิวจริงมักเล่ารายละเอียด ระวังรีวิวห้าดาวสั้น ๆ หน้าตาคล้ายกันจำนวนมากในเวลาไล่เลี่ยกัน
• เทียบสิทธิ์ที่ขอกับงานของแอป ตามกติกาเข้าคู่ในหัวข้อ 02
• ไม่โหลดแอป “มอด” หรือเกมแคร็ก ของฟรีที่ถูกแก้ไขมาแล้ว มักพ่วงของแถมที่เราไม่อยากได้
• เปิด Google Play Protect ไว้เสมอ และไม่ปิดเพียงเพราะมีคนในสายบอกให้ปิด
• ใครโทรมาเร่งให้โหลดแอปผ่านลิงก์ในแชต ให้ถือว่าเป็นมิจฉาชีพไว้ก่อน แล้วติดต่อหน่วยงานนั้นผ่านช่องทางที่หาเอง

05อัปเดต และมือถือที่หมดอายุ Updates & end of support

ช่องโหว่ในระบบปฏิบัติการมือถือถูกค้นพบใหม่อยู่ตลอด ผู้ผลิตจึงออก แพตช์ความปลอดภัย (security patch) มาปิดเป็นระยะ บางครั้งเป็นช่องโหว่ที่มีคนใช้โจมตีอยู่จริงแล้วด้วยซ้ำ การอัปเดตจึงไม่ได้มีไว้แค่ให้ได้ฟีเจอร์ใหม่ แต่คือการซ่อมกลอนประตูที่เพิ่งรู้ว่าพัง

ปัญหาคือมือถือทุกรุ่นมี วันหมดอายุการสนับสนุน (end of support) หลังจากวันนั้น ผู้ผลิตเลิกส่งแพตช์ เครื่องยังเปิดใช้ได้ปกติ แอปก็ยังทำงาน แต่ช่องโหว่ที่ถูกค้นพบหลังจากนั้นจะค้างอยู่ในเครื่องไปตลอด และจะสะสมเพิ่มขึ้นเรื่อย ๆ

ระยะเวลาสนับสนุนต่างกันมากตามยี่ห้อและรุ่น มือถือรุ่นใหม่บางรุ่นของ Google และ Samsung ได้คำสัญญาว่าจะได้อัปเดตนานถึง 7 ปี แต่รุ่นราคาประหยัดหลายรุ่นได้สั้นกว่านั้นมาก ก่อนซื้อมือถือจึงควรเช็กนโยบายการอัปเดตของรุ่นนั้นด้วย ไม่ใช่ดูแค่สเปกกล้องกับแบตเตอรี่

• เปิดอัปเดตอัตโนมัติ ทั้งระบบและแอป และกดติดตั้งเมื่อมีแจ้งเตือน ไม่ต้องรอ “ว่าง ๆ ค่อยทำ”
• เช็กวันที่ของแพตช์ล่าสุด บน Android ดูที่ “ระดับแพตช์ความปลอดภัย” (security patch level) ในหน้าข้อมูลเกี่ยวกับโทรศัพท์ ถ้าเก่ากว่าหลายเดือน และกดหาอัปเดตแล้วไม่มี เครื่องอาจหมดอายุแล้ว บน iPhone ดูที่ การตั้งค่า › ทั่วไป › รายการอัปเดตซอฟต์แวร์
• มือถือที่หมดอายุแล้ว เลิกใช้ทำธุรกรรมการเงิน และเลิกใช้เป็นที่รับ OTP ใช้เป็นเครื่องเล่นเพลงหรือกล้องหน้ารถได้ แต่อย่าใช้เป็นกุญแจหลักของชีวิต
• อย่ารูทหรือเจลเบรก (root / jailbreak) การปลดล็อกแบบนี้รื้อกำแพงป้องกันหลายชั้นของระบบออก แอปธนาคารหลายแอปจึงไม่ยอมทำงานบนเครื่องแบบนี้

ศัพท์น่ารู้: Zero-click

การโจมตีที่ไม่ต้องให้เหยื่อกดอะไรเลย แค่ได้รับข้อความหรือไฟล์ที่ออกแบบมาพิเศษ ก็อาศัยช่องโหว่เข้าเครื่องได้ การโจมตีระดับนี้ต้นทุนสูงมาก และมักใช้กับเป้าหมายสำคัญอย่างนักข่าวหรือนักการเมือง แต่สิ่งที่กันได้ดีที่สุดก็ยังเป็นเรื่องพื้น ๆ คืออัปเดตให้เร็ว

06ถ้ามือถือหาย หรือโดนฉก Lost or stolen phone

มือถือหายหนึ่งเครื่อง เสียค่าเครื่องก็จริง แต่ที่แพงกว่าคือสิ่งที่อยู่ข้างใน ถ้าคนร้ายปลดล็อกได้ หรือถอดซิมไปเสียบเครื่องอื่นเพื่อรับ OTP เขาอาจเข้าแอปธนาคาร อีเมล และโซเชียลของเราได้หมด การเตรียมตัวตอนเครื่องยังอยู่ในมือ จึงสำคัญกว่าการวิ่งตามแก้หลังเครื่องหาย

เตรียมไว้ตั้งแต่วันนี้

• ล็อกจอด้วย PIN อย่างน้อย 6 หลักหรือรหัสผ่าน แทนรูปแบบลากเส้นที่คนข้าง ๆ แอบดูได้ง่าย แล้วใช้สแกนหน้าหรือลายนิ้วมือช่วยให้ปลดล็อกสะดวก
• เปิดระบบค้นหาเครื่อง Find My บน iPhone และระบบค้นหาอุปกรณ์ของ Google บน Android แล้วลองเข้าจากเครื่องอื่นดูสักครั้ง จะได้ใช้เป็นตอนตกใจ
• iPhone: เปิดการป้องกันอุปกรณ์ที่ถูกขโมย (Stolen Device Protection มีตั้งแต่ iOS 17.3) ซึ่งบังคับใช้ Face ID หรือ Touch ID กับการตั้งค่าสำคัญเมื่ออยู่นอกสถานที่ที่คุ้นเคย ต่อให้คนร้ายแอบเห็นรหัสเครื่อง ก็เปลี่ยนรหัสบัญชีของเราได้ไม่ง่าย
• Android: เปิดชุดป้องกันการโจรกรรม (ใช้ได้ตั้งแต่ Android 10) ทั้ง Theft Detection Lock ที่ล็อกจอเองเมื่อจับได้ว่าเครื่องถูกกระชากแล้ววิ่งหนี Offline Device Lock ที่ล็อกเมื่อเครื่องถูกตัดเน็ต และ Remote Lock ที่ให้ล็อกเครื่องจาก android.com/lock ด้วยเบอร์โทร
• ตั้ง PIN ซิม (SIM PIN) ไม่ให้ใครถอดซิมไปเสียบเครื่องอื่นแล้วรับ OTP ของเราได้
• ซ่อนเนื้อหาแจ้งเตือนบนหน้าจอล็อก ไม่ให้รหัส OTP โผล่ให้คนที่ถือเครื่องอยู่เห็น
• สำรองข้อมูลขึ้นคลาวด์อัตโนมัติ เผื่อวันที่ต้องสั่งลบข้อมูลในเครื่องจากระยะไกล

ถ้าเครื่องหายไปแล้ว ทำตามลำดับนี้

1. ล็อกเครื่องและดูตำแหน่งจากเครื่องอื่น

   ใช้ icloud.com/find สำหรับ iPhone หรือหน้าค้นหาอุปกรณ์ของ Google สำหรับ Android แล้วเปิดโหมดเครื่องหายพร้อมข้อความให้ติดต่อกลับ

2. โทรหาค่ายมือถือ ระงับซิม

   กันไม่ให้ใครรับ SMS และ OTP แทนเรา จากนั้นค่อยขอซิมใหม่ในเบอร์เดิม

3. โทรหาธนาคาร

   ขอระงับการใช้แอปธนาคารบนเครื่องที่หายไว้ก่อน

4. เปลี่ยนรหัสบัญชีหลัก

   โดยเฉพาะอีเมลหลักและบัญชี Apple หรือ Google แล้วสั่งออกจากระบบทุกอุปกรณ์

5. แจ้งความ

   ได้บันทึกประจำวันไว้ใช้ขอซิมใหม่ เคลมประกัน หรือยืนยันตัวหากมีคนเอาเครื่องไปทำผิด

6. ลบข้อมูลจากระยะไกล เมื่อหมดหวัง

   ถ้ามั่นใจว่าไม่ได้คืนแล้ว ให้สั่งลบข้อมูลทั้งหมด แต่การลบย้อนกลับไม่ได้ และอาจทำให้ตามหาเครื่องได้ยากขึ้น จึงควรเป็นขั้นท้าย ๆ

07Wi‑Fi สาธารณะ และแฝดปลอม Public Wi‑Fi & evil twins

มือถือหาไวไฟจาก ชื่อ ที่เครือข่ายประกาศออกมาในอากาศ ชื่อนี้เรียกว่า SSID แต่ชื่อไม่ใช่บัตรประชาชน ใครจะตั้งชื่อไวไฟว่าอะไรก็ได้ คนร้ายจึงตั้งอุปกรณ์ปล่อยสัญญาณชื่อเดียวกับไวไฟของร้านกาแฟหรือสนามบินเป๊ะ เรียกว่า แฝดปลอม (evil twin) ถ้าสัญญาณของแฝดปลอมแรงกว่า มือถือบางเครื่องก็เลือกต่อกับมันเองโดยไม่ถามเรา

เมื่อเราต่อกับแฝดปลอม ข้อมูลทุกอย่างต้องวิ่งผ่านเครื่องของคนร้ายก่อนออกไปอินเทอร์เน็ต ตำแหน่งแบบนี้เรียกว่า คนกลาง (man-in-the-middle) เหมือนบุรุษไปรษณีย์ปลอมที่รับจดหมายทุกฉบับของเราไปส่งให้ เขาเห็นว่าส่งไปที่ไหน เปิดอ่านซองที่ไม่ได้ปิดผนึกได้ และสอดใบปลิวปลอมใส่เข้าไปก็ได้

หน้าล็อกอินไวไฟ (Captive portal)

ไวไฟของโรงแรม สนามบิน หรือห้าง มักมีหน้าเว็บเด้งขึ้นมาให้กรอกเลขห้อง เบอร์โทร หรือกดยอมรับเงื่อนไขก่อนใช้งาน หน้านี้เรียกว่า แคปทีฟพอร์ทัล (captive portal) ของจริงมีอยู่ทั่วไป แต่แฝดปลอมก็ทำหน้าแบบนี้ได้เหมือนกัน แล้วใช้มันขอข้อมูลที่ไม่ควรให้ สัญญาณอันตรายมีสามแบบ

• ให้พิมพ์ รหัสผ่านอีเมลหรือโซเชียล ลงในหน้านั้นเพื่อ “ยืนยันตัวตน”
• ขอ เลขบัตรเครดิต ทั้งที่สถานที่บอกว่าไวไฟฟรี
• ขอให้ติดตั้ง แอป โปรไฟล์ หรือใบรับรอง (certificate) เพื่อใช้เน็ต อันนี้อย่ากดเด็ดขาด ใบรับรองปลอมที่ติดตั้งลงเครื่อง เปิดทางให้คนร้ายแอบดูการเชื่อมต่อที่ปกติปลอดภัยได้

ศัพท์น่ารู้: ไวไฟมีรหัส กับ ไม่มีรหัส

ไวไฟที่ไม่มีรหัส ข้อมูลที่ส่งผ่านอากาศไม่ถูกเข้ารหัสในระดับไวไฟเลย ส่วนไวไฟที่ติดรหัสไว้หน้าเคาน์เตอร์ให้ทุกคนรู้ ช่วยกันคนนอกร้านได้ แต่กันคนที่รู้รหัสเดียวกันได้ไม่เต็มที่ มาตรฐานใหม่อย่าง WPA3 ปิดจุดอ่อนนี้ได้ดีขึ้น แต่ในที่สาธารณะ เราเลือกไม่ได้ว่าร้านใช้แบบไหน

แล้วเราทำอะไรได้บ้าง

• ถามชื่อไวไฟที่ถูกต้องจากพนักงาน และระวังชื่อซ้ำหรือชื่อที่คล้ายกัน
• ปิดการเชื่อมต่ออัตโนมัติ กับไวไฟสาธารณะ และกด “ลืมเครือข่ายนี้” เมื่อใช้เสร็จ
• งานสำคัญใช้เน็ตมือถือของตัวเอง เช่น โอนเงิน หรือล็อกอินบัญชีหลัก
• ปิดไวไฟเมื่อไม่ได้ใช้ มือถือจะได้ไม่คอยมองหาและต่อกับเครือข่ายชื่อคุ้น ๆ เอง

08HTTPS ช่วยอะไร และ VPN ช่วยตอนไหน HTTPS & VPN on public Wi‑Fi

ข่าวดีคือเว็บและแอปส่วนใหญ่ทุกวันนี้ใช้ HTTPS ซึ่งเข้ารหัสข้อมูลตั้งแต่เครื่องของเราไปจนถึงเซิร์ฟเวอร์ปลายทาง ต่อให้คนร้ายนั่งอยู่ตรงกลาง ก็เห็นแต่ข้อมูลที่ถูกเข้ารหัส อ่านรหัสผ่านหรือข้อความไม่ได้ เหมือนพัสดุที่ใส่กล่องล็อกกุญแจ คนขนส่งรู้ว่าส่งไปบ้านไหน แต่เปิดดูของข้างในไม่ได้

แต่ HTTPS ไม่ได้ซ่อนทุกอย่าง ชื่อเว็บไซต์ที่เราเชื่อมต่อมักยังมองเห็นได้ จากการถามหาที่อยู่ของโดเมน (DNS) และจากข้อมูลบางส่วนตอนเริ่มเชื่อมต่อ รวมถึงเวลาและปริมาณข้อมูลที่รับส่ง

และที่สำคัญ HTTPS ไม่ได้รับประกันว่าเว็บนั้น เป็นของจริง เว็บปลอมก็ขอใบรับรองและขึ้นรูปแม่กุญแจได้ แม่กุญแจบอกแค่ว่าเราคุยกับเว็บชื่อนั้นแบบเข้ารหัส ไม่ได้บอกว่าเว็บชื่อนั้นน่าไว้ใจ (เรื่องใบรับรองมีรายละเอียดในบท CASE-009) ถ้าเบราว์เซอร์ขึ้นคำเตือนเรื่องใบรับรองระหว่างใช้ไวไฟสาธารณะ ให้หยุด อย่ากดข้าม เพราะนั่นอาจเป็นสัญญาณของคนกลางพอดี

VPN: อุโมงค์อีกชั้น

VPN สร้างอุโมงค์เข้ารหัสจากมือถือของเราไปยังเซิร์ฟเวอร์ของผู้ให้บริการ VPN ทุกอย่างที่ออกจากเครื่องจะวิ่งในอุโมงค์นี้ก่อน คนบนไวไฟเดียวกันจึงเห็นแค่ว่าเรากำลังคุยกับเซิร์ฟเวอร์ VPN แต่ไม่รู้ว่าต่อไปเว็บไหน

ฟังดูดี แต่ต้องเข้าใจว่า VPN ย้ายความไว้ใจ ไปที่อื่น ไม่ได้ทำให้มันหายไป สิ่งที่เจ้าของไวไฟเคยเห็น ตอนนี้ผู้ให้บริการ VPN เห็นแทน และแอป VPN ฟรีบางตัวก็หารายได้จากข้อมูลของผู้ใช้เอง หรือแฝงของอันตรายมาด้วย

ถ้าจะใช้ เลือก VPN จากผู้ให้บริการที่มีชื่อเสียงและนโยบายความเป็นส่วนตัวชัดเจน หรือใช้ VPN ที่โรงเรียนหรือที่ทำงานจัดให้ และสำหรับงานการเงิน ทางที่ง่ายที่สุดมักเป็นการปิดไวไฟ แล้วใช้เน็ตมือถือของเราเอง

ศัพท์น่ารู้: VPN (Virtual Private Network)

เครือข่ายส่วนตัวเสมือน คือการต่อ “อุโมงค์” เข้ารหัสผ่านอินเทอร์เน็ตสาธารณะ เดิมองค์กรใช้ให้พนักงานเข้าระบบภายในจากนอกออฟฟิศ ต่อมามีบริการ VPN สำหรับคนทั่วไป เพื่อซ่อนการใช้งานจากเครือข่ายที่ไม่ไว้ใจ

09ภัยใกล้ตัวอื่น ๆ AirDrop, chargers & QR codes

เหลืออีกไม่กี่เรื่องที่คนถามกันบ่อย บางเรื่องเกิดขึ้นจริงทุกวัน บางเรื่องดังเกินความจริงไปมาก มาดูทีละเรื่องแบบพอดี ๆ

AirDrop และ Quick Share: ใครก็ส่งรูปมาได้

ฟีเจอร์ส่งไฟล์ไร้สายระหว่างเครื่องที่อยู่ใกล้กัน ถ้าตั้งให้รับจาก “ทุกคน” คนแปลกหน้าบนรถไฟฟ้าก็ส่งรูปที่ไม่เหมาะสมเข้ามาได้ และภาพตัวอย่างมักโผล่ขึ้นมาก่อนเราจะกดรับเสียอีก ตั้งค่าให้รับจาก “ผู้ติดต่อเท่านั้น” เป็นหลัก ตั้งแต่ iOS 16.2 ถ้าเลือก “ทุกคน” ระบบจะเปิดให้แค่ 10 นาที แล้วกลับเป็นผู้ติดต่ออัตโนมัติ ส่วน Quick Share บน Android ก็มีตัวเลือกให้เปิดรับจากทุกคนแบบชั่วคราวเช่นกัน

บลูทูธ และเครื่องติดตามแปลกปลอม

บลูทูธไม่ได้น่ากลัวถ้าเครื่องอัปเดตอยู่เสมอ สิ่งที่ควรทำคืออย่ากดยอมรับคำขอจับคู่จากอุปกรณ์ที่ไม่รู้จัก เรื่องที่ใกล้ตัวกว่าคือเครื่องติดตามขนาดเล็กอย่าง AirTag ที่อาจถูกแอบใส่กระเป๋าเพื่อสะกดรอยตาม ทั้ง iPhone และ Android แจ้งเตือนได้เมื่อพบเครื่องติดตามที่ไม่ใช่ของเราเดินทางไปกับเราเรื่อย ๆ ถ้าเจอคำเตือนแบบนี้ อย่ามองข้าม

ชาร์จมือถือที่ช่อง USB สาธารณะ

Juice jacking คือแนวคิดว่าช่องชาร์จ USB สาธารณะอาจถูกดัดแปลงให้แอบดึงข้อมูลหรือฝังมัลแวร์ เพราะสาย USB ส่งได้ทั้งไฟและข้อมูล ปี 2023 FBI เคยออกคำเตือนเรื่องนี้จนเป็นข่าวไปทั่วโลก และปี 2025 นักวิจัยจากมหาวิทยาลัยเทคโนโลยีกราซ ประเทศออสเตรีย ก็สาธิตวิธีที่ชื่อ ChoiceJacking ซึ่งหลอกให้มือถือกด “อนุญาตส่งข้อมูล” แทนเราได้ หลังจากนั้น iOS 18.4 และ Android 15 จึงเพิ่มให้ต้องใส่ PIN หรือรหัสก่อนอนุญาตให้ส่งข้อมูลผ่านสาย

พูดกันตรง ๆ ภัยนี้ทำได้จริงในงานวิจัย แต่บริษัทความปลอดภัยหลายแห่งระบุว่ายังไม่มีรายงานการโจมตีจริงที่เปิดเผยต่อสาธารณะ จึงไม่ต้องตื่นตระหนก แต่ป้องกันง่ายมากจนไม่มีเหตุผลที่จะไม่ทำ

• ใช้หัวชาร์จของตัวเองเสียบปลั๊กไฟ หรือพกพาวเวอร์แบงก์
• ถ้าจำเป็นต้องใช้ช่อง USB สาธารณะ อย่ากด “เชื่อถือคอมพิวเตอร์นี้” (Trust) หรือ “อนุญาต” ถ้ามีหน้าต่างเด้งขึ้นมา และเลือกแค่ชาร์จอย่างเดียว
• สายแบบชาร์จอย่างเดียว (charge-only) หรืออุปกรณ์กันข้อมูล (USB data blocker) ช่วยตัดสายข้อมูลออกได้
• อัปเดตระบบอยู่เสมอ เพราะการป้องกันล่าสุดมาพร้อมการอัปเดต

ศัพท์น่ารู้: Juice jacking

มาจากคำว่า juice ที่คนอเมริกันใช้เรียกไฟแบตแบบกันเอง รวมกับ hijacking ที่แปลว่าจี้ปล้น หมายถึงการใช้ช่องชาร์จเป็นช่องทางขโมยข้อมูล คำนี้ดังมาก แต่ความเสี่ยงจริงต่ำกว่าภัยอย่างแอปปลอมหรือฟิชชิงหลายเท่า

QR code ปลอม

QR code ก็คือลิงก์ที่มนุษย์อ่านไม่ออก คนร้ายจึงชอบใช้ เช่น เอาสติกเกอร์ QR ปลอมแปะทับของจริงที่โต๊ะร้านอาหารหรือตู้จ่ายค่าจอดรถ หรือใส่ QR ไว้ในอีเมลหลอกเพื่อหลบตัวกรองลิงก์ การหลอกผ่าน QR แบบนี้เรียกว่า ควิชชิง (quishing)

• ก่อนเปิด ดูชื่อเว็บที่กล้องแสดงขึ้นมา ถ้าไม่ตรงกับร้านหรือหน่วยงาน อย่ากด
• สังเกตว่า QR เป็นสติกเกอร์แปะทับของเดิมหรือเปล่า
• QR พร้อมเพย์ที่สแกนด้วยแอปธนาคาร คือการ จ่ายเงิน เสมอ ไม่มี QR ไหนที่เราสแกนแล้วได้รับเงิน ถ้ามีคนบอกให้ “สแกนเพื่อรับเงินคืน” นั่นคือมิจฉาชีพ
• ตรวจชื่อผู้รับเงินในแอปธนาคารก่อนกดยืนยันทุกครั้ง

สรุปภัยใกล้ตัว แบบไม่ตื่นตูม

10สรุปให้จำ Recap

กลับไปที่ต้นที่สนามบิน ถ้าเลือกแก้ได้แค่เรื่องเดียว ให้แก้เรื่องลิงก์แอปในไลน์ก่อน เพราะเป็นเรื่องที่ทำให้คนเสียเงินจริงมากที่สุด จากนั้นค่อยไล่เก็บข้อที่เหลือ

• ลงแอปจากร้านค้าทางการเท่านั้น และไม่ลงแอปตามลิงก์ที่ใครส่งมาในแชต
• งานของแอปกับสิทธิ์ต้องเข้าคู่กัน และไม่เปิดสิทธิ์ช่วยเหลือพิเศษให้แอปที่ไม่รู้จัก
• เปิดอัปเดตอัตโนมัติ และรู้ว่ามือถือของเราจะหมดอายุการอัปเดตเมื่อไร
• ล็อกจอด้วย PIN 6 หลักขึ้นไป เปิดระบบค้นหาเครื่องและระบบกันขโมย และตั้ง PIN ซิม
• ไวไฟสาธารณะ ถามชื่อให้ชัด ไม่ติดตั้งโปรไฟล์หรือใบรับรอง และทำธุรกรรมด้วยเน็ตมือถือ
• ไม่กดข้ามคำเตือนใบรับรอง และจำไว้ว่า VPN ไม่ได้กันฟิชชิง
• ชาร์จด้วยหัวชาร์จตัวเอง ตั้ง AirDrop รับเฉพาะผู้ติดต่อ และไม่มีวัน “สแกนเพื่อรับเงิน”

ลองทบทวนดู