Wi-Fi สาธารณะฟรี อาจไม่ได้ "ฟรี" อย่างที่คิด มิจฉาชีพจ้องฉกข้อมูล

Wi-Fi สาธารณะฟรีกลายเป็นบริการที่พบได้ทั่วไป ทั้งในห้างสรรพสินค้า ร้านกาแฟ สนามบิน โรงแรม ศูนย์ประชุม หรือพื้นที่สาธารณะต่าง ๆ หลายคนเมื่อเห็นชื่อเครือข่ายที่ดูคุ้นเคยก็มักกดเชื่อมต่อทันที โดยเฉพาะเวลาเดินทางหรือต้องการประหยัดอินเทอร์เน็ตมือถือ

อย่างไรก็ตาม สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ เตือนว่า Wi-Fi ที่ใช้ฟรีบางจุด อาจไม่ได้ “ฟรี” อย่างที่คิด เพราะหากเครือข่ายถูกปลอมแปลง ถูกแทรกแซง หรือมีการหลอกผ่านหน้าล็อกอิน ผู้ใช้อาจต้องแลกกับข้อมูลส่วนตัว รหัสผ่าน หรือข้อมูลในบัญชีออนไลน์โดยไม่รู้ตัว

ความเสี่ยงไม่ได้เกิดเฉพาะกับ Wi-Fi ที่ไม่รู้จักเท่านั้น เพราะแม้แต่เครือข่ายที่ใช้ชื่อโรงแรม ร้านค้า หรือสถานที่จริง ก็อาจถูกผู้ไม่หวังดีเจาะระบบหรือแทรกแซงเส้นทางการเชื่อมต่อได้

เปิด 4 ภัยจาก Wi-Fi สาธารณะที่ควรรู้

ภัยรูปแบบแรกคือ การดักข้อมูลกลางทาง หรือ Man-in-the-Middle (MITM) ซึ่งเกิดขึ้นเมื่อผู้โจมตีพยายามแทรกตัวอยู่ระหว่างอุปกรณ์ของผู้ใช้งานกับเว็บไซต์หรือบริการออนไลน์ที่กำลังเชื่อมต่อ

หากการโจมตีสำเร็จ ผู้ไม่หวังดีอาจพยายามดักข้อมูล เปลี่ยนเส้นทางไปยังเว็บไซต์ปลอม หรือหลอกให้ผู้ใช้กรอกชื่อบัญชีและรหัสผ่านในหน้าที่สร้างเลียนแบบขึ้นมา

ภัยรูปแบบที่สองคือ Wi-Fi ปลอม หรือ Evil Twin โดยแฮกเกอร์อาจตั้งชื่อเครือข่ายให้คล้ายกับของสถานที่จริง เช่น “Free_WiFi_Cafe” หรือใช้ชื่อโรงแรม ร้านอาหาร และสถานที่ที่ผู้ใช้อยู่ในขณะนั้น เพื่อสร้างความน่าเชื่อถือ

เมื่อผู้ใช้เชื่อมต่อกับเครือข่ายดังกล่าว ข้อมูลบางส่วนหรือเส้นทางการใช้อินเทอร์เน็ตอาจตกอยู่ภายใต้การควบคุมของผู้โจมตี

ภัยรูปแบบที่สามคือ การรับส่งข้อมูลที่ไม่ได้รับการเข้ารหัสอย่างเพียงพอ โดยเฉพาะการใช้งานเว็บไซต์ที่ไม่ได้ใช้ HTTPS ทำให้ข้อมูลที่ส่งผ่านเครือข่ายมีความเสี่ยงเพิ่มขึ้น

ผู้ใช้จึงควรตรวจสอบ URL ของเว็บไซต์ทุกครั้งก่อนกรอกชื่อผู้ใช้ รหัสผ่าน เลขบัตร หรือข้อมูลสำคัญ พร้อมตรวจสอบว่าเว็บไซต์เป็นโดเมนที่ถูกต้อง ไม่ใช่เว็บปลอมที่ใช้ชื่อคล้ายของจริง

ส่วนภัยรูปแบบที่สี่คือ มัลแวร์ที่แฝงมากับกระบวนการเชื่อมต่อ ผู้โจมตีอาจใช้หน้าล็อกอิน Wi-Fi หรือ Captive Portal ปลอม แสดงข้อความให้ผู้ใช้ดาวน์โหลดโปรแกรม อัปเดตเบราว์เซอร์ หรือติดตั้งไฟล์บางอย่างก่อนใช้งานอินเทอร์เน็ต

หากผู้ใช้หลงเชื่อและติดตั้งไฟล์ดังกล่าว อุปกรณ์อาจถูกฝังมัลแวร์ที่สามารถขโมยรหัสผ่าน คุกกี้สำหรับเข้าสู่ระบบ หรือข้อมูลอื่น ๆ ภายในเครื่องได้

CaptiveCrunch บทเรียนใหม่ Wi-Fi โรงแรมก็เสี่ยงได้

ตัวอย่างที่สะท้อนความเสี่ยงดังกล่าว คือการเตือนภัยเกี่ยวกับแคมเปญโจมตีที่ชื่อ “CaptiveCrunch” ซึ่งผู้โจมตีมุ่งเป้าไปยังเครือข่ายในโรงแรมและศูนย์ประชุม

รูปแบบการโจมตีไม่ได้จำกัดอยู่เพียงการสร้าง Wi-Fi ปลอมขึ้นมาเท่านั้น แต่ยังสามารถเข้าไปแทรกแซงระบบเครือข่ายและกระบวนการเชื่อมต่อของสถานที่จริง ก่อนเปลี่ยนเส้นทางผู้ใช้งานไปยังหน้าล็อกอินปลอม

หน้าดังกล่าวอาจถูกออกแบบให้คล้ายระบบเข้าสู่ระบบของบริการที่ผู้ใช้งานคุ้นเคย เพื่อหลอกเอาบัญชีอีเมล์องค์กร ชื่อผู้ใช้งาน และรหัสผ่าน

บางกรณียังพบการหลอกให้ผู้ใช้งานดาวน์โหลดหรือติดตั้งมัลแวร์ ซึ่งสามารถเก็บข้อมูลสำคัญ เช่น รหัสผ่าน คุกกี้สำหรับเข้าสู่ระบบ รวมถึงจับภาพหน้าจอของผู้ใช้งานได้

ประเด็นสำคัญจากกรณีนี้คือ ผู้ใช้อาจกำลังเชื่อมต่อกับ Wi-Fi ที่ใช้ชื่อของโรงแรมหรือสถานที่จริง แต่ระบบบางส่วนอาจถูกผู้โจมตีเข้าควบคุมหรือแทรกแซงแล้ว

จึงไม่ควรพิจารณาความปลอดภัยจาก “ชื่อเครือข่าย” เพียงอย่างเดียว แต่ต้องดูพฤติกรรมของหน้าเว็บและสิ่งที่ระบบร้องขอหลังเชื่อมต่อด้วย

หากอยู่ ๆ หน้า Wi-Fi ขอให้กรอกรหัสผ่านอีเมล์ รหัสผ่านโซเชียล ดาวน์โหลดซอฟต์แวร์ อัปเดตระบบ หรือติดตั้งไฟล์ที่ไม่เกี่ยวข้องกับการใช้อินเทอร์เน็ต ควรหยุดการเชื่อมต่อทันที

8 วิธีลดความเสี่ยงก่อนใช้ Wi-Fi สาธารณะ

สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ แนะนำแนวทางลดความเสี่ยงจากการใช้งาน Wi-Fi สาธารณะ ดังนี้

1. ตรวจสอบชื่อ Wi-Fi กับพนักงานก่อนเชื่อมต่อ
หากอยู่ในร้านกาแฟ โรงแรม หรือสนามบิน ควรถามชื่อเครือข่ายที่ถูกต้องจากเจ้าหน้าที่ โดยเฉพาะหากพบชื่อ Wi-Fi คล้ายกันหลายชื่อ ไม่ควรเลือกเชื่อมต่อจากการคาดเดา

2. ปิดการเชื่อมต่อ Wi-Fi อัตโนมัติ
ควรปิดฟังก์ชัน Auto-Connect เพื่อไม่ให้อุปกรณ์เชื่อมต่อกับเครือข่ายสาธารณะโดยอัตโนมัติ และหลังใช้งานเสร็จควรกด “ลืมเครือข่ายนี้” เพื่อลดความเสี่ยงในอนาคต

3. หลีกเลี่ยงการล็อกอินบัญชีสำคัญและทำธุรกรรมการเงิน
ไม่ควรทำ Mobile Banking โอนเงิน ชำระเงินออนไลน์ เปลี่ยนรหัสผ่าน หรือเข้าสู่ระบบที่มีข้อมูลสำคัญระหว่างใช้งาน Wi-Fi สาธารณะ

หากจำเป็นต้องทำรายการดังกล่าว ควรเปลี่ยนไปใช้อินเทอร์เน็ตมือถือหรือ Hotspot ของตัวเอง

4. ระวังหน้าลงทะเบียนที่ขอข้อมูลมากผิดปกติ
หากหน้า Wi-Fi ขอรหัสผ่านอีเมล์ รหัสผ่าน Facebook หรือบัญชีโซเชียลมีเดีย ควรสงสัยไว้ก่อน เพราะการให้บริการ Wi-Fi ทั่วไปไม่ควรต้องขอรหัสผ่านของบัญชีส่วนตัว

5. เช็ก URL และ HTTPS ก่อนกรอกข้อมูล
ตรวจสอบว่าเว็บไซต์ที่เข้าใช้งานเป็นโดเมนจริง และมีการเชื่อมต่อแบบ HTTPS โดยเฉพาะก่อนกรอกข้อมูลส่วนบุคคลหรือรหัสผ่าน

อย่างไรก็ตาม การมี HTTPS เพียงอย่างเดียวไม่ได้หมายความว่าเว็บไซต์นั้นเป็นเว็บจริงเสมอไป ผู้ใช้ต้องตรวจสอบชื่อโดเมนควบคู่กันด้วย

6. ปิดการแชร์ไฟล์ Wi-Fi และ Bluetooth เมื่อไม่ได้ใช้
การเปิดการแชร์ไฟล์หรือฟังก์ชันเชื่อมต่ออุปกรณ์โดยไม่จำเป็นอาจเพิ่มช่องทางให้ผู้อื่นพยายามเข้าถึงเครื่องได้ จึงควรปิดฟังก์ชันที่ไม่ใช้งาน

7. งานสำคัญให้ใช้เน็ตของตัวเอง
หากต้องเข้าอีเมล์องค์กร ระบบงานบริษัท ระบบธนาคาร หรือข้อมูลทางธุรกิจที่มีความสำคัญ การใช้อินเทอร์เน็ตมือถือหรือ Hotspot ส่วนตัวจะช่วยลดความเสี่ยงจากเครือข่ายสาธารณะได้

8. ใช้ VPN ที่น่าเชื่อถือ หากจำเป็นต้องใช้ Wi-Fi สาธารณะบ่อย
VPN สามารถช่วยเพิ่มการป้องกันข้อมูลระหว่างอุปกรณ์กับระบบ VPN ได้ แต่ไม่สามารถป้องกันทุกความเสี่ยง เช่น การกรอกรหัสผ่านในเว็บไซต์ฟิชชิง หรือการกดติดตั้งมัลแวร์ด้วยตัวเอง

เปิดยืนยันตัวตน 2 ชั้น ลดผลกระทบรหัสผ่านหลุด

อีกหนึ่งมาตรการสำคัญคือ การเปิดใช้ การยืนยันตัวตนแบบหลายขั้นตอน หรือ Multi-Factor Authentication (MFA) ซึ่งรวมถึงการยืนยันตัวตน 2 ชั้น หรือ 2FA

แม้ว่าผู้โจมตีจะได้รหัสผ่านไป การมีขั้นตอนยืนยันตัวตนเพิ่มเติมสามารถช่วยเพิ่มอุปสรรคในการเข้าสู่บัญชีได้

อย่างไรก็ตาม ผู้ใช้งานไม่ควรกดยืนยันคำขอเข้าสู่ระบบที่ตนเองไม่ได้เป็นผู้เริ่มต้น เพราะผู้โจมตีอาจพยายามใช้รหัสผ่านที่ขโมยมาแล้วส่งคำขอยืนยันซ้ำ ๆ เพื่อหวังให้เจ้าของบัญชีกดยอมรับโดยไม่ทันสังเกต

จำ 4 ข้อ ก่อนกดต่อ Wi-Fi ฟรี

สำหรับผู้ใช้งานทั่วไป สามารถลดความเสี่ยงจาก Wi-Fi สาธารณะด้วยหลักง่าย ๆ 4 ข้อ ได้แก่

• เช็กชื่อก่อนต่อ
• ไม่กรอกรหัสผ่านให้ Wi-Fi
• เรื่องเงินใช้เน็ตตัวเอง
• เปิดยืนยันตัวตน 2 ชั้นไว้เสมอ

Wi-Fi สาธารณะยังคงเป็นบริการที่มีประโยชน์ โดยเฉพาะเมื่อต้องเดินทางหรือใช้งานอินเทอร์เน็ตนอกสถานที่ แต่พฤติกรรมของผู้ใช้งานจะเป็นหนึ่งในด่านสำคัญในการลดความเสี่ยง