VPN ป้องกันข้อมูลรั่วจากเว็บไซต์ได้ไหม

ทุกไม่กี่สัปดาห์จะมีข่าวว่าบริษัทแห่งหนึ่งทำข้อมูลลูกค้าหลุด ทั้งชื่อ อีเมล เบอร์โทร บางครั้งเป็นรหัสผ่านที่ถูกแฮช หรือที่อยู่จัดส่ง ไปอยู่ในไฟล์ที่อาชญากรซื้อขายกันออนไลน์ บรรยากาศแบบนี้ทำให้หลายคนสงสัยว่า VPN ในมือถือจะช่วยป้องกันได้ไหม หรือถ้าซื้อ VPN แล้วคราวหน้าจะปลอดภัยหรือเปล่า

คำตอบตรง ๆ คือ VPN กับข้อมูลรั่วอยู่กันคนละที่ VPN ปกป้องเส้นทางที่ข้อมูลของคุณเดินทางจากอุปกรณ์ไปยังอินเทอร์เน็ต ส่วนข้อมูลรั่วเกิดเมื่อปลายทางคือฐานข้อมูลของบริษัทถูกเปิดโดยคนที่ไม่ควรเข้าถึง บทความนี้จะพาดูว่าข้อมูลรั่วเกิดขึ้นที่ไหนจริง ๆ VPN มีผลและไม่มีผลกับอะไร และแผนที่ใช้ได้จริงในการลดความเสี่ยงและความเสียหายเมื่อข้อมูลของคุณหลุด เนื้อหาเป็นความรู้ทั่วไป ไม่ได้รับประกันผลในทุกสถานการณ์

ข้อมูลรั่วเกิดขึ้นที่ไหนกันแน่

เพื่อเข้าใจว่าทำไม VPN แทบไม่เกี่ยวกับเรื่องนี้ ลองตามเส้นทางของข้อมูลดู เมื่อคุณสมัครสมาชิกร้านค้าออนไลน์ คุณส่งชื่อ อีเมล และรหัสผ่านผ่านอินเทอร์เน็ตไปยังเซิร์ฟเวอร์ของร้าน หลังจากนั้นร้านจะเก็บข้อมูลของคุณไว้ในฐานข้อมูลของตัวเอง ข้อมูลรั่วส่วนใหญ่เกิดในขั้นตอนที่สองนี้

สาเหตุที่พบบ่อย

• ข้อมูลล็อกอินของพนักงานถูกขโมยหรืออ่อนแอ มักผ่านฟิชชิง ทำให้ผู้โจมตีเข้าสู่ระบบภายใน
• ซอฟต์แวร์ที่ยังไม่ได้อัปเดต บนเว็บเซิร์ฟเวอร์หรือฐานข้อมูล ซึ่งผู้โจมตีใช้ช่องโหว่
• ตั้งค่าที่เก็บข้อมูลผิดพลาด เช่น พื้นที่เก็บข้อมูลบนคลาวด์ที่เผลอเปิดให้ใครก็เข้าได้
• ผู้ให้บริการภายนอก ที่ถือข้อมูลลูกค้าแทนบริษัทแล้วถูกเจาะเสียเอง
• ความผิดพลาดหรือการใช้ในทางที่ผิดของคนใน ตั้งแต่โน้ตบุ๊กหาย ไปจนถึงพนักงานส่งออกรายชื่อลูกค้า
• การนำรหัสผ่านจากเหตุรั่วอื่นมาลองล็อกอินจำนวนมาก ซึ่งทางเทคนิคคือการยึดบัญชี ไม่ใช่การเจาะบริษัท แต่มักขึ้นพาดหัวข่าวเดียวกัน

ไม่มีข้อใดเลยที่เกี่ยวกับเส้นทางระหว่างมือถือของคุณกับอินเทอร์เน็ต คุณอาจเปิด VPN ตลอดเวลา ข้อมูลก็ยังนอนอยู่ในฐานข้อมูลของบริษัทรอการโจมตีอยู่ดี นี่คือเหตุผลหลักที่ VPN ป้องกันข้อมูลรั่วไม่ได้

VPN ครอบคลุมอะไรบ้าง

VPN ไม่ได้ไร้ประโยชน์ในบริบทนี้ เพียงแต่ช่วยปิดเส้นทางเดียว คือการดักข้อมูลบนเครือข่ายระหว่างคุณกับเซิร์ฟเวอร์ VPN หากอยากเข้าใจกลไกเต็ม ๆ ดูเรื่องเปรียบเทียบ HTTPS กับ VPN เพราะเว็บไซต์ส่วนใหญ่เข้ารหัสทราฟฟิกด้วยตัวเองอยู่แล้ว ตารางนี้แสดงว่าแต่ละชั้นเข้ากันอย่างไร

ชั้นป้องกัน	ปกป้องอะไร	ใครรับผิดชอบ
HTTPS ระหว่างคุณกับเว็บไซต์	เนื้อหาการเข้าเว็บจากคนบนเครือข่ายเดียวกัน	เว็บไซต์และเบราว์เซอร์
อุโมงค์ VPN	ทราฟฟิกจากอุปกรณ์ถึงเซิร์ฟเวอร์ VPN รวมถึงรายชื่อเว็บที่เข้าซึ่งเครือข่ายท้องถิ่นไม่เห็น	คุณและผู้ให้บริการ VPN
ฐานข้อมูลของบริษัท	ข้อมูลที่เก็บไว้หลังคุณสมัคร	บริษัท
ความปลอดภัยบัญชีของคุณ	ว่ารหัสผ่านที่รั่วจะถูกนำไปใช้ได้หรือไม่	คุณ ผ่านรหัสผ่านไม่ซ้ำและ 2FA

ในทางปฏิบัติ VPN ช่วยในสถานการณ์เช่น

• ใช้เครือข่ายโรงแรมหรือร้านกาแฟที่แขกอีกคนอาจพยายามอ่านทราฟฟิกที่ไม่ได้เข้ารหัส
• ไม่ให้เจ้าของเครือข่ายเห็นว่าคุณเข้าเว็บไหน
• ลดสิ่งที่ผู้ให้บริการอินเทอร์เน็ตสังเกตได้

ความเสี่ยงเหล่านี้เป็นของจริง แต่เป็นคนละเรื่องกับการเจาะฐานข้อมูล ภาพรวมของความเสี่ยงบนเครือข่ายสาธารณะอ่านได้ที่ความปลอดภัยบน Wi-Fi สาธารณะ

อะไรที่ช่วยจำกัดความเสียหายได้จริง

เพราะคุณคุมความปลอดภัยของบริษัทอื่นไม่ได้ กลยุทธ์จึงคือทำให้ข้อมูลรั่วสร้างความเสียหายต่อคุณน้อยที่สุด นิสัยสี่อย่างทำงานหนักที่สุด

1. รหัสผ่านไม่ซ้ำกันทุกบัญชี ถ้าแต่ละบัญชีมีรหัสของตัวเอง ข้อมูลรั่วจากร้านค้าหนึ่งจะไม่ปลดล็อกอีเมลหรือธนาคารของคุณ แนวทางอย่าง NIST SP 800-63B แนะนำให้ตรวจรหัสผ่านกับรายการที่เคยถูกเปิดเผย และให้ใช้วลีรหัสผ่านที่ยาวแทนกฎที่ซับซ้อน
2. การยืนยันตัวตนสองขั้นตอน เมื่อมีขั้นที่สอง รหัสผ่านที่รั่วเพียงอย่างเดียวไม่พอ หน้า CISA เรื่อง multi-factor authentication อธิบายว่ามันขวางการยึดบัญชีส่วนใหญ่ได้อย่างไร บทความการยืนยันตัวตนสองขั้นตอนอธิบายตัวเลือกต่าง ๆ และ passkey ที่มีให้ใช้ ยังก้าวไปอีกขั้นด้วยการตัดรหัสผ่านที่แชร์กันออกไปเลย
3. ให้ข้อมูลน้อยตั้งแต่แรก ร้านค้าแทบไม่จำเป็นต้องรู้วันเกิด เลขบัตรประชาชน หรือเบอร์โทรที่สอง ข้อมูลที่ไม่เคยให้ย่อมรั่วไม่ได้ ใช้อีเมลแยกสำหรับช้อปปิ้งและจดหมายข่าว
4. คอยตรวจและตอบสนอง เช็กว่าอีเมลของคุณปรากฏในบริการแจ้งเตือนข้อมูลรั่วหรือไม่ อ่านอีเมลที่บริษัทแจ้งเหตุการณ์ และเปลี่ยนข้อมูลล็อกอินที่เกี่ยวข้องในวันเดียวกัน

ไม่มีข้อใดต้องใช้ซอฟต์แวร์พิเศษ และแต่ละข้อลดความเสียหายได้มากกว่าการเลือก VPN เสียอีก

ตัวอย่าง ข้อมูลรั่วครั้งเดียว ผู้ใช้สองคน

สมมติแอปส่งอาหารแห่งหนึ่งถูกเจาะ ผู้โจมตีได้ชื่อ เบอร์โทร อีเมล และรหัสผ่านที่ถูกแฮชของลูกค้า มีผู้ใช้สองคนได้รับผลกระทบ คือ อาริสาและเบน

อาริสา มี VPN แต่ใช้รหัสผ่านเดียวกันกับแอปส่งอาหาร อีเมล และโซเชียล และไม่ได้ใช้การยืนยันตัวตนสองขั้นตอน ไม่กี่วันต่อมา ผู้โจมตีถอดรหัสแฮชที่อ่อนได้ นำรหัสไปลองกับบริการยอดนิยม และเข้าอีเมลของเธอได้ จากนั้นจึงรีเซ็ตบัญชีอื่น ๆ ต่อ

เบน ไม่มี VPN แต่ใช้ตัวจัดการรหัสผ่าน รหัสของแอปส่งอาหารจึงสุ่มและไม่ซ้ำ อีเมลของเขาเปิด 2FA เมื่อบริษัทประกาศเหตุ เขาเปลี่ยนรหัสผ่าน ตรวจประวัติการสั่งซื้อว่ามีอะไรผิดปกติไหม และไม่สนใจข้อความที่อ้างว่ามาจากบริษัทขอให้ "ยืนยัน" บัตร ผู้โจมตีได้ชื่อและเบอร์โทรของเขา แต่เปิดอะไรไม่ได้

VPN ไม่ได้ทำให้เกิดความต่างกับอาริสา ส่วนสุขอนามัยของบัญชีที่ดีสร้างความต่างอย่างมากให้เบน นี่ไม่ได้แปลว่า VPN เป็นความคิดที่ไม่ดี แต่หมายความว่า VPN แก้ปัญหาอีกแบบ และไม่ควรเข้าใจผิดว่าเป็นโล่ป้องกันสิ่งที่บริษัทอื่นทำกับข้อมูลของคุณ

หลังข้อมูลรั่ว ทำอะไรในวันแรก

เมื่อได้รับแจ้งเหตุข้อมูลรั่ว ให้ทำตามลำดับนี้

1. ยืนยันว่าประกาศเป็นของจริง อีเมลแจ้งข้อมูลรั่วปลอมเป็นกลโกงฟิชชิงยอดนิยม อย่ากดลิงก์ในอีเมล ให้พิมพ์ที่อยู่เว็บของบริษัทเองหรือเปิดแอปทางการแล้วหาประกาศ คู่มือของ CISA เรื่องการสังเกตฟิชชิงเป็นแหล่งอ้างอิงที่ดี และบทความเว็บไซต์ฟิชชิงแสดงสัญญาณที่พบบ่อย
2. เปลี่ยนรหัสผ่าน ของบัญชีที่เกี่ยวข้อง และของทุกบัญชีที่ใช้รหัสเดียวกัน
3. เปิด 2FA หรือเพิ่ม passkey ทุกที่ที่มีให้
4. ตรวจว่าข้อมูลอะไรหลุดบ้าง ประกาศควรระบุชนิดข้อมูล หากมีบัตรชำระเงิน ให้ติดต่อธนาคารและพิจารณาเปลี่ยนบัตร หากมีเลขบัตรประชาชนหรือข้อมูลทำนองเดียวกัน ให้ทำตามคำแนะนำทางการของประเทศคุณ
5. คาดว่าจะมีการหลอกลวงตามมา อาชญากรใช้ข้อมูลที่รั่วสร้างข้อความที่น่าเชื่อ เช่น สายจาก "พนักงานส่งของ" ที่รู้ที่อยู่ของคุณ ช้าลงและตรวจสอบผ่านช่องทางทางการ
6. ตรวจกิจกรรมของบัญชี ดูประวัติการล็อกอิน กฎการส่งต่ออีเมล และแอปที่เชื่อมต่อ
7. จดบันทึก เขียนไว้ว่าเปลี่ยนอะไรเมื่อไร เผื่อต้องอธิบายกับธนาคารหรือบริษัท

อ่านประกาศข้อมูลรั่วอย่างใจเย็น

ประกาศข้อมูลรั่วมักเขียนโดยฝ่ายกฎหมายและคลุมเครือ จึงควรรู้ว่าต้องมองหาคำตอบของคำถามอะไร

• อะไรถูกเอาไป แค่อีเมลกับชื่อเป็นเรื่องน่ารำคาญ แต่รหัสผ่าน ข้อมูลการชำระเงิน เลขประจำตัว หรือข้อมูลสุขภาพและตำแหน่งร้ายแรงกว่ามาก
• รหัสผ่านถูกเก็บอย่างไร ประกาศที่บอกว่ารหัสผ่านถูก "แฮชและใส่ salt" เป็นข่าวที่ดีกว่าการเก็บเป็นข้อความธรรมดา แม้รหัสที่อ่อนก็ยังถูกถอดได้
• เกิดขึ้นเมื่อไร ข้อมูลรั่วมักถูกค้นพบหลังเกิดเหตุหลายเดือน จึงควรสมมติว่าข้อมูลหมุนเวียนมาสักพักแล้ว
• บริษัทเสนออะไร บางบริษัทมีบริการตรวจสอบเครดิตหรือสายด่วน ใช้เฉพาะช่องทางติดต่อที่ประกาศบนเว็บไซต์ทางการของบริษัทเท่านั้น
• ประกาศขอให้คุณทำอะไร ประกาศจริงแทบไม่ขอให้ตอบกลับด้วยรหัสผ่านหรือเลขบัตร ถ้าขอ ให้ถือว่าเป็นการหลอกลวง

เก็บประกาศไว้ และจดวันที่ที่คุณลงมือทำ หากข้อมูลที่หลุดรวมสิ่งที่เปลี่ยนไม่ได้ เช่น วันเกิด ให้เตรียมระวังตัวเป็นปี ไม่ใช่แค่เป็นวัน

ข้อจำกัดของ VPN ในหัวข้อนี้

ควรพูดตรง ๆ ว่า VPN ไม่ทำอะไร เพราะโฆษณามักโอ้อวดเกินจริง

• ไม่ได้หยุดบริษัทไม่ให้ถูกแฮก
• ไม่ได้ลบข้อมูลของคุณออกจากไฟล์ที่รั่วไปแล้ว
• ไม่ได้ป้องกันฟิชชิง การหลอกลวง หรือมัลแวร์ ดูเรื่อง VPN ปกป้องอะไรคุณไม่ได้
• ไม่ได้ซ่อนตัวตนของคุณจากเว็บที่คุณล็อกอินอยู่
• ไม่ได้ทำให้รหัสผ่านอ่อนกลายเป็นแข็งแรง หรือแทน 2FA ได้
• ย้ายความไว้วางใจไปที่ผู้ให้บริการ VPN ซึ่งเป็นบริษัทที่ถือข้อมูลบางอย่างเกี่ยวกับการเชื่อมต่อของคุณ จึงควรเลือกอย่างรอบคอบ บทความความเชื่อผิด ๆ เกี่ยวกับความปลอดภัยของ VPN รวบรวมคำกล่าวอ้างที่ควรตั้งคำถาม

นิสัยที่ทำให้ชีวิตทนทานต่อข้อมูลรั่ว

นอกจากขั้นตอนฉุกเฉิน กิจวัตรไม่กี่อย่างทำให้เหตุข้อมูลรั่วกลายเป็นเรื่องธรรมดาแทนที่จะน่ากลัว

• ใช้ตัวจัดการรหัสผ่าน มันสร้างและจำรหัสผ่านที่ไม่ซ้ำให้ คุณไม่ต้องจำเอง
• แยกอีเมล ที่อยู่หนึ่งสำหรับธนาคารและเรื่องทางการ อีกที่อยู่สำหรับร้านค้าและการสมัคร และที่สามสำหรับสิ่งที่ถือว่าใช้แล้วทิ้ง
• ตัดบัญชีเก่า ลบบริการที่ไม่ใช้แล้ว บัญชีน้อยลงหมายถึงจุดที่ข้อมูลจะรั่วน้อยลง
• อัปเดตทุกอย่าง เบราว์เซอร์ ระบบปฏิบัติการมือถือ และแอปแก้จุดอ่อนที่มัลแวร์ใช้
• ระวังคำขอข้อมูล ถ้าแอปขอเข้าถึงรายชื่อติดต่อ รูป หรือตำแหน่งโดยไม่มีเหตุผลชัดเจน ให้ปฏิเสธ
• ใช้ VPN บนเครือข่ายที่คุณไม่ได้ควบคุม ควบคู่กับนิสัยข้างต้น ลูกค้า XPASS ใช้แอป VPNclient ฟรีด้วยชื่อผู้ใช้และรหัสผ่านในหน้า My Pass และดูอุปกรณ์ที่รองรับได้ที่หน้าดาวน์โหลด

ข้อผิดพลาดที่พบบ่อย

• คิดว่า VPN เป็นโล่กันข้อมูลรั่วแล้วผ่อนคลายนิสัยอื่น
• ใช้รหัสผ่านซ้ำเพราะ "เว็บนั้นไม่มีอะไรสำคัญ"
• กดลิงก์ในอีเมลแจ้งข้อมูลรั่วโดยไม่ตรวจผู้ส่ง
• เมินประกาศเพราะไม่ได้โดนหักเงิน
• ให้วันเกิดและที่อยู่จริงกับทุกบริการที่ขอ
• เก็บบัญชีของบริการที่เลิกใช้ไปหลายปีไว้
• ตอบคำถามกู้บัญชีด้วยคำตอบจริงที่คนเดาได้

สรุป

VPN ปกป้องข้อมูลระหว่างทางออกจากอุปกรณ์ของคุณ และช่วยได้บนเครือข่ายที่ใช้ร่วมกัน ส่วนข้อมูลรั่วเกิดที่เซิร์ฟเวอร์ของบริษัทที่เก็บข้อมูลคุณ VPN จึงป้องกันไม่ได้ สิ่งที่ลดความเสียหายคือรหัสผ่านไม่ซ้ำ การยืนยันตัวตนสองขั้นตอนหรือ passkey การให้ข้อมูลน้อยลง การรับมือประกาศข้อมูลรั่วอย่างรอบคอบ และการรู้ทันการหลอกลวงที่ตามมา ให้มอง VPN เป็นหนึ่งชั้นในชุดป้องกัน ไม่ใช่สิ่งทดแทนชั้นอื่น

หากอยากได้ตัวเลือกแบบเติมเงินที่เรียบง่ายเพื่อเพิ่มชั้นเครือข่ายนี้ คุณสามารถดูหน้าราคาได้ทุกเมื่อ