เมื่อการเปลี่ยนรหัสผ่านไม่ปิดการเข้าสู่ระบบเก่า: สาเหตุและวิธีแก้ไข

เมื่อคุณเปลี่ยนรหัสผ่าน เป็นเรื่องปกติที่จะคิดว่า... จุดเข้าใช้งานก่อนหน้านี้ทั้งหมดจะถูกปิดโดยอัตโนมัติอย่างไรก็ตาม ในบริการออนไลน์ อุปกรณ์พกพา และสภาพแวดล้อมขององค์กรหลายแห่ง กระบวนการนี้ไม่ได้เกิดขึ้นทันทีหรือชัดเจนอย่างที่เราต้องการ ซึ่งอาจนำไปสู่ความสับสนและความรู้สึกไม่ปลอดภัย บางครั้ง การเปลี่ยนรหัสผ่านก็ไม่ได้ปิดบัญชีเก่าด้วยซ้ำ ทำไมจึงเป็นเช่นนั้น?

ในบทความนี้ เราจะวิเคราะห์ประเด็นนี้ เราจะดูว่าพฤติกรรมใดบ้างที่เป็นเรื่องปกติ (แม้จะดูน่าสงสัย) ในบริการต่างๆ เช่น Gmail, Outlook/Hotmail หรือในสภาพแวดล้อมอื่นๆ แอคทีฟไดเร็กทอรีและวิธีการเสริมความปลอดภัยให้กับบัญชีของคุณโดยการใช้รหัสผ่านที่รัดกุม การออกจากระบบจากระยะไกล และวิธีการต่างๆ เช่น การตรวจสอบสิทธิ์แบบหลายปัจจัย

ทำไมบัญชีของคุณยังคงเปิดใช้งานอยู่บนอุปกรณ์อื่น ๆ ทั้ง ๆ ที่คุณเปลี่ยนรหัสผ่านแล้ว?

หนึ่งในกรณีที่พบบ่อยที่สุดคือ ผู้ใช้เปลี่ยนรหัสผ่านอีเมล (เช่น Gmail) จากคอมพิวเตอร์ แล้วคลิกตัวเลือกเพื่อเปลี่ยนรหัสผ่าน ออกจากระบบอุปกรณ์อื่นๆ และเมื่อเขาหยิบโทรศัพท์ขึ้นมา เขาก็พบว่าการสนทนายังคงเปิดอยู่ และเขาสามารถใช้งานอีเมลต่อไปได้โดยไม่ต้องใส่รหัสผ่านใหม่

เหตุการณ์นี้เกิดขึ้นเนื่องจากบริการหลายอย่าง รวมถึง Google ทำงานร่วมกับ... โทเค็นเซสชัน หรือข้อมูลประจำตัวชั่วคราวที่อุปกรณ์จัดเก็บไว้หลังจากการตรวจสอบครั้งแรก โทเค็นเหล่านี้ช่วยให้คุณสามารถใช้งานบัญชีต่อไปได้ชั่วระยะหนึ่งโดยไม่ต้องป้อนรหัสผ่านอีกครั้ง แม้ว่าจะเปลี่ยนรหัสผ่านไปแล้วก็ตาม

แม้ว่าผู้ใช้จะเลือก "ออกจากระบบอุปกรณ์" แล้วก็ตาม บางครั้งการออกจากระบบอาจไม่เกิดขึ้นทันที หรืออาจไม่มีผลต่อเซสชันบางประเภท ตัวอย่างเช่น แอปพลิเคชันมือถือที่ใช้ช่องทางการตรวจสอบสิทธิ์อื่นๆ หรือการเชื่อมต่อ IMAP/SMTP รุ่นเก่าที่ตั้งค่าไว้ในโปรแกรมอีเมล

นอกจากนี้ ในบางกรณี ระบบจะให้ความสำคัญกับการให้บริการอย่างต่อเนื่องเป็นอันดับแรก ตราบใดที่ระบบไม่ตรวจพบกิจกรรมที่น่าสงสัยหรือการเปลี่ยนแปลงที่สำคัญ (เช่น การเพิ่ม MFA หรือการแก้ไขข้อมูลที่ละเอียดอ่อน) ระบบก็อาจจะยังคงให้บริการต่อไปได้ รักษาเซสชันที่ได้รับการตรวจสอบความถูกต้องแล้วไว้ เพื่อหลีกเลี่ยงการรบกวนผู้ใช้ จากมุมมองด้านความปลอดภัยอาจไม่เหมาะสมนัก แต่ในแง่ของประสบการณ์การใช้งานนั้นถือเป็นเรื่องปกติ

ดังนั้น หากคุณกังวลว่าอาจมีคนยังเข้าถึงบัญชีของคุณได้จากโทรศัพท์มือถือที่หายไป คอมพิวเตอร์ที่ใช้ร่วมกัน หรืออุปกรณ์เก่า การเปลี่ยนรหัสผ่านอย่างเดียวจึงไม่เพียงพอ คุณต้องตรวจสอบว่าคุณล็อกอินอยู่ที่ใดด้วย ยกเลิกเซสชันที่ใช้งานอยู่หรืออุปกรณ์ที่เชื่อถือได้ด้วยตนเอง.

การเปลี่ยนรหัสผ่าน Gmail โดยไม่ปิดเซสชันเก่า: เกิดอะไรขึ้น

ลองนึกภาพสถานการณ์ทั่วไป: คุณเปลี่ยนรหัสผ่าน Gmail จากคอมพิวเตอร์ของคุณ คลิกตัวเลือกเพื่อออกจากระบบบนอุปกรณ์มือถือของคุณ แต่เมื่อคุณตรวจสอบโทรศัพท์ของคุณ คุณกลับพบว่า... ระบบยังคงเข้าถึงอีเมลได้โดยไม่ต้องขอรหัสผ่านใหม่ไม่มีคำเตือน ไม่มีข้อความแจ้งให้ยืนยันตัวตนใหม่ ไม่มีอะไรเลย

Gmail เกี่ยวข้องกับองค์ประกอบหลายอย่าง ได้แก่ รหัสผ่านบัญชี Google หลัก เซสชันเว็บ เซสชันแอป Gmail ข้อมูลรับรองการซิงค์ Android และอื่นๆ ที่เป็นไปได้ แอปพลิเคชันที่เชื่อมต่อผ่าน OAuthแม้ว่าคุณจะเปลี่ยนรหัสแล้ว แต่ช่องทางเหล่านั้นบางช่องอาจยังคงใช้โทเค็นที่ถูกต้องได้ชั่วระยะหนึ่ง

เมื่อคุณคลิกตัวเลือกต่างๆ เช่น “ออกจากระบบอุปกรณ์” บริการจะพยายามยกเลิกโทเค็นเหล่านั้น แต่ในทางปฏิบัติอาจไม่ได้ผล ใช้เวลาไม่กี่นาทีในการแพร่กระจายซึ่งอาจทำให้ลูกค้าบางรายไม่ได้รับสินค้าอย่างถูกต้อง หรือแอปบางแอปยังคงทำงานในโหมดแคชจนกว่าจะต้องต่ออายุบัญชี

สิ่งที่คุณควรจำไว้คือ เมื่อเปลี่ยนรหัสผ่านแล้ว การพยายามเริ่มเซสชันใหม่ด้วยรหัสผ่านเดิมจะล้มเหลว ควรล้มเหลวทันทีหากคุณพบว่ามีการเข้าสู่ระบบด้วยรหัสผ่านเก่าอย่างต่อเนื่อง แสดงว่าอาจมีการแฮ็กบัญชีหรือความเข้าใจผิดในการตีความกิจกรรมดังกล่าว

หากต้องการควบคุมบัญชี ให้ไปที่การตั้งค่าบัญชี Google ของคุณ (ในเบราว์เซอร์) และตรวจสอบในส่วนที่เกี่ยวกับ อุปกรณ์ที่มีการล็อกอินและกิจกรรมด้านความปลอดภัยล่าสุดจากตรงนั้น คุณสามารถปิดเซสชัน เพิกถอนสิทธิ์การเข้าถึงของแอปพลิเคชัน และตรวจสอบว่าการตั้งค่าการเข้าถึงใด ๆ ดูน่าสงสัยหรือไม่

ปัญหาในการเข้าสู่ระบบหลังจากเปลี่ยนรหัสผ่าน: การป้อนรหัสผ่านผิดพลาดหลายครั้งและการถูกล็อกไม่ให้เข้าใช้งาน

อีกสถานการณ์หนึ่งที่พบได้บ่อยมากคือ ผู้ที่เปลี่ยนรหัสผ่านอีเมล พยายามเข้าสู่ระบบด้วยรหัสผ่านใหม่ และระบบตอบกลับซ้ำๆ ว่า คำตอบไม่ถูกต้องหลังจากพยายามเข้าสู่ระบบไม่สำเร็จหลายครั้ง ข้อความเช่น "คุณพยายามเข้าสู่ระบบหลายครั้งเกินไปโดยใช้บัญชีหรือรหัสผ่านที่ไม่ถูกต้อง" จะปรากฏขึ้น

ข้อความนี้มักเกิดจากกลไกการป้องกันอัตโนมัติที่พยายาม... ป้องกันการโจมตีแบบใช้กำลังดุร้าย หรือการเข้าถึงที่น่าสงสัย หลังจากพยายามเข้าสู่ระบบล้มเหลวหลายครั้ง ระบบจะสันนิษฐานว่ามีสิ่งผิดปกติเกิดขึ้น และอาจบล็อกการเข้าใช้งานชั่วคราว หรือเพิ่มการทดสอบเพิ่มเติม (เช่น รหัส SMS อีเมลยืนยัน ฯลฯ)

ในกรณีเหล่านี้ สิ่งแรกที่ต้องทำคือตรวจสอบให้แน่ใจว่าคุณป้อนรหัสผ่านใหม่ตรงตามที่คุณกำหนดไว้ทุกประการ: อาจมีข้อผิดพลาดเกิดขึ้นได้ ความสับสนเกี่ยวกับภาษาของแป้นพิมพ์โดยใช้ตัวอักษรพิเศษ ตัวอักษรพิมพ์ใหญ่ที่ถูกล็อก หรือแม้กระทั่งรหัสผ่านที่สร้างขึ้นโดยอัตโนมัติโดยผู้จัดการบางคน

หากคุณทำขั้นตอนการสลับปุ่มซ้ำหลายครั้ง คุณอาจสับสนได้ว่าปุ่มใดเป็นปุ่มที่ใช้งานอยู่จริง ในกรณีนี้ การใช้... จะช่วยได้มาก โปรแกรมจัดการรหัสผ่านที่เชื่อถือได้ซึ่งจะบันทึกเวอร์ชันที่ถูกต้องและป้อนให้คุณโดยอัตโนมัติเพื่อหลีกเลี่ยงข้อผิดพลาดในการพิมพ์

หากบัญชีของคุณถูกบล็อกเนื่องจากพยายามเข้าสู่ระบบหลายครั้งเกินไป โดยปกติแล้วควรรอตามเวลาที่ระบบกำหนด หรือติดต่อฝ่ายบริการลูกค้าโดยตรง วิธีการกู้คืนบัญชี (อีเมลสำรอง หมายเลขโทรศัพท์ คำถามเพื่อความปลอดภัย ฯลฯ) เพื่อรีเซ็ตคีย์อย่างเป็นระบบและยืนยันว่าคุณเป็นเจ้าของ

เมื่อเปลี่ยนรหัสผ่านใน Active Directory จะแสดงข้อความ "ปฏิเสธการเข้าถึง"

ในสภาพแวดล้อมขององค์กรที่ใช้ Active Directory ปัญหาที่เกี่ยวข้องกับการเปลี่ยนรหัสผ่านก็อาจเกิดขึ้นได้ ซึ่งไม่เพียงแต่จะไม่สามารถปิดบัญชีผู้ใช้เก่าได้เท่านั้น แต่ยังทำให้ผู้ใช้ไม่สามารถอัปเดตรหัสผ่านเมื่อหมดอายุอีกด้วย ตัวอย่างทั่วไปมีดังนี้: ลองเปลี่ยนรหัสผ่านของคุณจากหน้าจอเข้าสู่ระบบหลังจากรหัสหมดอายุ ระบบจะแสดงข้อความ "ปฏิเสธการเข้าถึง"

โดยทั่วไปแล้ว รูปแบบจะเป็นเช่นนี้: ผู้ใช้ใช้งานได้ตามปกติ สามารถเปลี่ยนรหัสผ่านขณะล็อกอินโดยใช้ Ctrl+Alt+Del ได้โดยไม่มีปัญหา แต่เมื่อถึงวันหมดอายุหรือข้อความ "ผู้ใช้ต้องเปลี่ยนรหัสผ่านในการล็อกอินครั้งถัดไป" ปรากฏขึ้น เมื่อพยายามเปลี่ยนรหัสผ่าน พวกเขาจะได้รับข้อผิดพลาดนั้นและไม่สามารถดำเนินการต่อได้

โดยส่วนใหญ่แล้ว สิ่งนี้มักบ่งชี้ถึงการรวมกันของปัจจัยหลายประการ นโยบายความปลอดภัย (GPO) และการกำหนดค่าของบริการไดเร็กทอรีเองในตัวอย่างของ Synology NAS ที่ทำหน้าที่เป็นตัวควบคุมโดเมน คอนโซลแสดงให้เห็นว่าตัวเลือก "ผู้ใช้ไม่สามารถเปลี่ยนรหัสผ่านได้" ไม่ได้ถูกเลือกไว้ แต่การเปลี่ยนรหัสผ่านหลังจากหมดอายุยังคงล้มเหลว

จากนั้นผู้ดูแลระบบจึงต้องเปิดคอนโซล Active Directory บน NAS และ ตั้งรหัสผ่านใหม่ด้วยตนเอง สำหรับผู้ใช้แต่ละรายที่โทรมาแจ้งปัญหา นอกจากจะเป็นเรื่องน่ารำคาญแล้ว ยังทำให้ยากต่อการตรวจสอบว่ารหัสผ่านนั้นมีความซับซ้อนตามที่กำหนดหรือไม่ หรือว่าพนักงานกำลังใช้รหัสผ่านเก่าซ้ำ ซึ่งโดยปกติแล้วนโยบายดังกล่าวจะห้ามไว้

เมื่อเกิดเหตุการณ์เช่นนี้ ขอแนะนำให้ตรวจสอบนโยบายโดเมนและนโยบายเครื่องคอมพิวเตอร์อย่างละเอียด เนื่องจากอาจมีการตั้งค่าบางอย่างที่ไม่ถูกต้อง ป้องกันการเปลี่ยนรหัสผ่านในหน้าจอเข้าสู่ระบบแม้ว่าจะอนุญาตให้ทำได้ในระหว่างเซสชันการเข้าสู่ระบบ แต่ก็จำเป็นต้องตรวจสอบความยาว ประวัติ และความซับซ้อนตามข้อกำหนดด้วย เพราะการปฏิเสธโดยทั่วไปอาจหมายความว่าคีย์ไม่ตรงตามเกณฑ์เท่านั้น

ข้อจำกัดของนโยบายและเครื่องมือในสภาพแวดล้อมแบบปิด

ในเครือข่ายปิดที่ไม่มีการเข้าถึงอินเทอร์เน็ต ซึ่งมีเวิร์กสเตชันจำนวนน้อยและเซิร์ฟเวอร์เช่น Synology NAS ทำหน้าที่เป็นตัวควบคุมโดเมน ผู้ดูแลระบบอาจทำได้เพียงเข้าถึงข้อมูลบางส่วนเท่านั้น นโยบายกลุ่มท้องถิ่นของแต่ละเครื่อง และข้อจำกัดในการกำหนดค่า Active Directory ที่มีให้โดย NAS เอง

หากไม่มีเครื่องมืออย่าง RSAT (Remote Server Administration Tools) หรือคอนโซลขั้นสูงอื่นๆ ของ Microsoft การระบุปัญหาได้ในทันทีจะทำได้ยากขึ้น กลุ่ม GPO ใดบ้างที่ได้รับผลกระทบ เพื่อเปลี่ยนรหัสผ่านที่แย่ไปกว่านั้น RSAT มักต้องการการติดตั้งที่เชื่อมต่อกับอินเทอร์เน็ต หรือใช้วิธีการที่ซับซ้อนในสภาพแวดล้อมที่แยกขาดจากโลกภายนอกโดยสิ้นเชิง

 

ในบริบทนี้ ปัญหาอาจไม่ได้อยู่ที่ตัวเลือก "ผู้ใช้ไม่สามารถเปลี่ยนรหัสผ่านได้" ที่แสดงให้เห็น แต่มาจากข้อกำหนดเพิ่มเติมหรือข้อจำกัดที่สืบทอดมา เช่น จำนวนรหัสผ่านเก่าที่บันทึกไว้ ข้อกำหนดขั้นต่ำด้านความซับซ้อนและความยาว หรือแม้กระทั่ง ข้อจำกัดเกี่ยวกับเวลาและสถานที่ที่สามารถเปลี่ยนกุญแจได้.

หากผู้ใช้ได้รับข้อความ "การเข้าถึงถูกปฏิเสธ" ทุกครั้งที่รหัสผ่านหมดอายุเมื่อพยายามต่ออายุด้วยตนเอง ประสบการณ์ดังกล่าวจะสร้างความหงุดหงิดให้กับทั้งผู้ใช้และผู้ดูแลระบบ ซึ่งเป็นผู้เดียวที่สามารถแก้ไขสถานการณ์ได้ ในอุดมคติแล้ว ควรระบุถึงนโยบายที่ปิดกั้นกระบวนการเปลี่ยนรหัสผ่านบนหน้าจอเข้าสู่ระบบ ปรับแต่งเพื่อให้ผู้ใช้สามารถดำเนินการได้ด้วยตนเอง.

แม้ว่าสภาพแวดล้อมจะไม่มีการเชื่อมต่ออินเทอร์เน็ต ก็ควรบันทึกกรณีเหล่านี้อย่างละเอียด (เวลา ผู้ใช้ อุปกรณ์ ข้อความที่แน่นอน) และหากจำเป็น ให้ปรึกษาฝ่ายสนับสนุนของผู้ผลิต NAS หรือตรวจสอบในฟอรัมเฉพาะทาง ซึ่งผู้ดูแลระบบรายอื่นอาจพบวิธีแก้ปัญหาแล้ว การตั้งค่าเฉพาะสำหรับการใช้งานประเภทนั้น.

บัญชีที่ถูกแฮ็กและรหัสผ่านเก่าที่ยังใช้งานได้อยู่

มีสถานการณ์ที่น่ากังวลยิ่งกว่านั้น คือแม้จะเปลี่ยนรหัสผ่านหลายครั้งแล้ว ก็ดูเหมือนว่า... ยังมีคนเข้าใช้งานบัญชีโดยใช้รหัสผ่านเก่าอยู่ หรือการเข้าถึงที่น่าสงสัยนั้นไม่หยุดลง ตัวอย่างเช่น พบเห็นได้ในบัญชี Hotmail/Outlook ที่ใช้เป็นเพียงตัวระบุการเข้าสู่ระบบของ Microsoft โดยไม่ได้ใช้งานเป็นกล่องจดหมายมากนัก

เมื่อพบร่องรอยการเข้าสู่ระบบจากสถานที่แปลกๆ หรือในช่วงเวลาที่ไม่น่าเป็นไปได้ นั่นเป็นสัญญาณที่ชัดเจนว่าบัญชีนั้นอาจถูกบุกรุก เคยถูกบุกรุกมาก่อนในกรณีเช่นนั้น การเปลี่ยนรหัสผ่านอย่างเดียวอาจไม่เพียงพอ เพราะอาจมีโทเค็น ชื่อแทน หรือวิธีการเข้าถึงอื่น ๆ ที่ทำให้บุคคลอื่นยังคงสามารถล็อกอินได้อยู่

หนึ่งในวิธีแก้ปัญหาที่ฝ่ายสนับสนุนของ Microsoft แนะนำสำหรับบัญชีที่ใช้สำหรับการเข้าสู่ระบบเท่านั้น (และไม่ได้ใช้สำหรับการส่งหรือรับอีเมลมากนัก) คือการปรับแต่งค่าต่างๆ ชื่อบัญชีสร้างอีเมลนามแฝงใหม่ กำหนดให้เป็นอีเมลหลัก และปิดใช้งานตัวเลือกการเข้าสู่ระบบด้วยที่อยู่อีเมล Hotmail เดิม

โดยคร่าวๆ ขั้นตอนจะเป็นการล็อกอินเข้าบัญชีผ่านทางเว็บ ไปที่ “จัดการการเข้าสู่ระบบบัญชี” เพิ่มชื่อแทนใหม่ ตั้งค่าชื่อแทนนั้นเป็นชื่อหลัก จากนั้นไปที่การตั้งค่าการเข้าสู่ระบบ และ... ยกเลิกการเลือกตัวเลือก "ใช้ที่อยู่อีเมล Hotmail เดิมของคุณในการเข้าสู่ระบบ"ด้วยวิธีนี้ แม้ว่าจะมีคนรู้รหัสผ่านเก่าหรือมีข้อมูลรั่วไหล พวกเขาก็จะไม่สามารถเข้าสู่ระบบโดยใช้ข้อมูลประจำตัวนั้นได้

หากคุณยังคงต้องการใช้ที่อยู่อีเมล Hotmail ของคุณในการส่งและรับอีเมล แต่กังวลเกี่ยวกับความปลอดภัยในการเข้าถึง ขอแนะนำให้ใช้การเปลี่ยนชื่ออีเมลนี้ควบคู่ไปกับวิธีการเพิ่มเติมอื่นๆ เช่น Microsoft Authenticator และการเข้าสู่ระบบโดยไม่ต้องใช้รหัสผ่านซึ่งช่วยลดโอกาสที่รหัสผ่านที่รั่วไหลจะยังคงมีประโยชน์ต่อผู้โจมตีได้อย่างมาก

การปิดการเข้าถึงแบบเก่าใน Microsoft: ชื่อแทนและการตรวจสอบสิทธิ์แบบไม่ต้องใช้รหัสผ่าน

ไมโครซอฟต์อนุญาตให้จัดการวิธีการเข้าสู่ระบบบัญชีของผู้ใช้ได้อย่างยืดหยุ่น คุณสามารถมีที่อยู่อีเมลที่เชื่อมโยงหลายรายการ (นามแฝง) และตัดสินใจได้ว่าอีเมลใดบ้างที่สามารถใช้เข้าสู่ระบบได้ และอีเมลใดบ้างที่ไม่สามารถใช้ได้ ซึ่งจะช่วยให้คุณมีตัวเลือกมากขึ้น เครื่องมือที่มีประสิทธิภาพสูงมากสำหรับการตัดการเข้าถึงโดยสมบูรณ์โดยอาศัยข้อมูลประจำตัวที่ล้าสมัย.

โดยการตั้งค่านามแฝงใหม่และกำหนดให้เป็นนามแฝงหลัก คุณยังคงสามารถใช้ที่อยู่อีเมลเดิมสำหรับการรับข้อความได้ แต่จะไม่สามารถใช้เป็นชื่อผู้ใช้ในการเข้าสู่ระบบได้ หากคุณเพิ่มการตรวจสอบสิทธิ์ผ่านแอป Microsoft Authenticator และเลือกตัวเลือกดังกล่าว เข้าสู่ระบบโดยไม่ต้องใช้รหัสผ่านถึงแม้ว่าจะมีคนรู้รหัสผ่านเก่าของคุณ ก็แทบเป็นไปไม่ได้เลยที่พวกเขาจะสามารถใช้งานมันได้

การเข้าสู่ระบบแบบไม่ต้องใช้รหัสผ่านอาศัยการอนุมัติการเข้าถึงผ่านทางมือถือ (การแจ้งเตือนแบบพุช) รหัสใช้ครั้งเดียว หรือรหัสความปลอดภัย ดังนั้นรหัสผ่านจึงไม่ใช่ส่วนสำคัญในการเข้าถึงอีกต่อไป แม้ว่ารหัสผ่านจะรั่วไหลในบางจุดก็ตาม ข้อมูลนั้นไม่มีประโยชน์สำหรับผู้โจมตีอีกต่อไปแล้ว.

ในทางปฏิบัติ การปิดบัญชีผู้ใช้เก่าในระบบของ Microsoft ประกอบด้วยสามขั้นตอนหลัก ได้แก่ การเปลี่ยนรหัสผ่าน การตรวจสอบอุปกรณ์และสถานที่ที่ใช้เข้าสู่ระบบล่าสุด และ ควบคุมว่าสามารถใช้นามแฝงใดในการเข้าสู่ระบบได้บ้างหากคุณเปิดใช้งาน MFA/Authenticator ด้วย จะช่วยเพิ่มความปลอดภัยได้มากยิ่งขึ้น

อาจจะดูสับสนเล็กน้อยในตอนแรก แต่เมื่อตั้งค่าเสร็จแล้ว คุณก็จะสบายใจได้ว่า แม้ว่ารหัสผ่านเก่าของคุณจะยังคงอยู่ก็ตาม มีเพียงคุณเท่านั้นที่สามารถอนุมัติการเข้าสู่ระบบใหม่ได้ จากอุปกรณ์ที่คุณไว้วางใจ

โปรแกรมจัดการรหัสผ่านและคำแนะนำที่บันทึกไว้ในเบราว์เซอร์

ปัญหาเพิ่มเติมเมื่อเปลี่ยนรหัสผ่านคือเบราว์เซอร์และแอปต่างๆ มักจะ... บันทึกคีย์เก่า และแนะนำรหัสผ่านเหล่านั้นโดยอัตโนมัติ หากช่องรหัสผ่านถูกกรอกโดยอัตโนมัติ ผู้ใช้อาจคิดว่ากำลังใช้รหัสผ่านใหม่ ในขณะที่ความเป็นจริงแล้วเบราว์เซอร์กำลังป้อนรหัสผ่านเก่าอยู่

ตัวอย่างเช่น ใน Chrome การคลิกที่ช่องใส่รหัสผ่านอาจแสดงรายการคำแนะนำตามข้อมูลที่ได้รับ รหัสผ่านที่บันทึกไว้สำหรับเว็บไซต์นั้นหากไม่มีคำแนะนำใดๆ แสดงว่า Chrome อาจตรวจไม่พบแบบฟอร์มอย่างถูกต้อง หรือบัญชีนั้นอาจไม่มีข้อมูลที่บันทึกไว้

หากต้องการตรวจสอบสิ่งที่บันทึกไว้ คุณสามารถเปิด Chrome บนคอมพิวเตอร์ของคุณ ไปที่ไอคอนโปรไฟล์ แล้วไปที่ส่วนของ รหัสผ่านตรงนั้นคุณจะเห็นรายการเว็บไซต์และข้อมูลประจำตัวที่เกี่ยวข้อง ถัดจากแต่ละรายการ คุณสามารถแสดงรหัสผ่าน (หลังจากตรวจสอบความถูกต้องแล้ว) และตรวจสอบว่าตรงกับรหัสผ่านที่คุณคิดว่าเป็นรหัสผ่านปัจจุบันหรือไม่

หากคุณพบว่าเบราว์เซอร์ของคุณยังคงบันทึกรหัสผ่านเก่าอยู่ วิธีแก้ไขที่แนะนำคือ ลบรายการนั้นหรืออัปเดตข้อมูล โดยใช้รหัสผ่านใหม่ วิธีนี้จะช่วยป้องกันไม่ให้คุณพยายามเข้าสู่ระบบด้วยรหัสผ่านที่หมดอายุ หรือทำให้ระบบกู้คืนรหัสผ่านทำงานผิดพลาด

นอกเหนือจากฟังก์ชันพื้นฐานของเบราว์เซอร์แล้ว โปรแกรมจัดการรหัสผ่านโดยเฉพาะยังมีข้อดีที่ชัดเจนหลายประการ ได้แก่ การสร้างคีย์ที่ปลอดภัย จัดเก็บในรูปแบบเข้ารหัส และ ซิงค์ข้อมูลระหว่างอุปกรณ์ของคุณลดข้อผิดพลาดจากมนุษย์และการนำกลับมาใช้ซ้ำที่เป็นอันตรายให้น้อยที่สุด

วิธีการกู้คืนรหัสผ่าน Gmail ที่ลืมไปอย่างปลอดภัย

หากคุณไม่สามารถควบคุมรหัสผ่าน Gmail ของคุณได้อีกต่อไป สิ่งที่ถูกต้องคือการใช้... หน้ากู้คืนบัญชีอย่างเป็นทางการของ Googleจากตรงนั้น คุณสามารถพิสูจน์ได้ว่าเป็นเจ้าของและตั้งรหัสผ่านใหม่ได้

ขั้นตอนปกติคือการป้อนที่อยู่อีเมลของคุณ เลือก "ลืมรหัสผ่าน?" หรือตัวเลือกที่คล้ายกัน จากนั้นเลือก คุณต้องการรับรหัสยืนยันด้วยวิธีใด: โดยการส่ง SMS, การโทรศัพท์ หรืออีเมลอื่น ๆ หากคุณได้ตั้งค่าไว้ในขณะนั้น

หากคุณไม่สามารถเข้าถึงโทรศัพท์ที่ใช้กู้คืนได้ คุณมักจะเห็นตัวเลือกเช่น "ฉันไม่มีโทรศัพท์" ซึ่งจะนำคุณไปยังวิธีการอื่นๆ ที่มีอยู่ เช่น การส่งรหัสไปยัง... ที่อยู่อีเมลสำรองที่เชื่อมโยงกับบัญชีหากคุณไม่สามารถเข้าถึงอีเมลนั้นได้เช่นกัน Google อาจขอให้คุณระบุอีเมลที่คุณสามารถเข้าถึงได้ เพื่อที่พวกเขาจะได้ติดต่อคุณ

ในกรณีที่ซับซ้อนที่สุด Google จะประเมินข้อมูลที่คุณให้มา (การเข้าสู่ระบบล่าสุด อุปกรณ์ที่ใช้ การตั้งค่าความปลอดภัย) เป็นรายกรณี และตัดสินใจว่าจะช่วยคุณกู้คืนบัญชีได้หรือไม่ ด้วยเหตุผลด้านความปลอดภัย หากคุณไม่สามารถให้หลักฐานที่เพียงพอได้ อาจปฏิเสธการชดเชย.

เมื่อยืนยันตัวตนของคุณเรียบร้อยแล้ว คุณสามารถป้อนรหัสกู้คืนและเลือกรหัสผ่านใหม่ได้ จากนั้น คุณควรใช้โอกาสนี้เพื่อ... เสริมความปลอดภัยด้วยการเพิ่มวิธีการตรวจสอบสิทธิ์เพิ่มเติมดังที่เราจะได้เห็นในหัวข้อถัดไป

ตั้งค่าการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) ในบัญชีของคุณ

การตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) หรือการยืนยันตัวตนสองขั้นตอน เพิ่มระดับความปลอดภัยอีกชั้นนอกเหนือจากรหัสผ่านของคุณ ตัวอย่างเช่น ใน Gmail คุณสามารถเข้าไปที่การตั้งค่าความปลอดภัยของบัญชีและเปิดใช้งานได้ การตรวจสอบสองขั้นตอน เพื่อให้ทุกครั้งที่คุณเข้าสู่ระบบบนอุปกรณ์ใหม่ คุณจะถูกขอให้ยืนยันตัวตนด้วยปัจจัยที่สอง

ปัจจัยที่สองอาจเป็นการแจ้งเตือนบนโทรศัพท์มือถือของคุณที่คุณต้องอนุมัติ รหัสหกหลักที่ส่งทาง SMS หรือการโทรรหัสที่สร้างขึ้นโดยแอป เช่น Google Authenticator, Microsoft Authenticator, Duo Mobile หรือ Authy หรือแม้แต่กุญแจรักษาความปลอดภัยแบบกายภาพที่คุณเชื่อมต่อกับอุปกรณ์

นอกจากนี้ คุณยังสามารถสร้างรหัสสำรองเพื่อใช้ในกรณีที่คุณทำโทรศัพท์หายหรือไม่มีสัญญาณได้อีกด้วย ควรเก็บรหัสเหล่านี้ไว้ในที่ปลอดภัย เนื่องจากจะช่วยให้คุณสามารถติดต่อกลับได้ กู้คืนการเข้าสู่ระบบเมื่อคุณไม่สามารถใช้ปัจจัยยืนยันตัวตนสองขั้นตอนตามปกติได้.

ข้อดีของ MFA นั้นมีมากมายมหาศาล: แม้ว่าจะมีคนเดา ขโมย หรือถอดรหัสผ่านของคุณได้ แต่หากไม่มีปัจจัยยืนยันตัวตนที่สอง พวกเขาก็จะไม่สามารถเข้าถึงบัญชีของคุณได้ รหัสผ่านไม่ว่าจะแข็งแกร่งแค่ไหนก็อาจถูกเจาะได้ ในทางตรงกันข้าม การกำหนดให้ต้องใช้รหัสชั่วคราวหรือการยืนยันผ่านมือถือหมายความว่าคุณสามารถเข้าถึงบัญชีของคุณได้อย่างง่ายดาย มันช่วยลดช่องโหว่ในการโจมตีได้อย่างมาก.

ในโลกที่รหัสผ่านสามารถถูกเจาะหรือได้มาอย่างง่ายดายผ่านการรั่วไหลของฐานข้อมูล การหลอกลวง หรือมัลแวร์ การยืนยันตัวตนแบบหลายปัจจัยจึงแทบจะขาดไม่ได้เลย หากคุณให้ความสำคัญกับความปลอดภัยของบัญชีสำคัญๆ ของคุณแม้เพียงเล็กน้อย

ท้ายที่สุดแล้ว การที่การเปลี่ยนรหัสผ่านไม่ได้ปิดบัญชีผู้ใช้เก่าทั้งหมดทันทีนั้น เป็นผลมาจากการที่บริการออนไลน์และสภาพแวดล้อมขององค์กรหลายแห่งจัดการเซสชันต่างๆ เช่น โทเค็นที่ยังคงใช้งานได้ นโยบายที่ไม่ชัดเจน และเครื่องมือที่มีจำกัด การทำความเข้าใจพฤติกรรมเหล่านี้ การตรวจสอบอุปกรณ์ที่เชื่อมต่อ การควบคุมชื่อผู้ใช้ปลอม การใช้ MFA และการใช้รหัสผ่านที่รัดกุมและโปรแกรมจัดการรหัสผ่านเฉพาะทาง คือวิธีที่ดีที่สุดในการ... กลับมาควบคุมบัญชีของคุณได้อย่างแท้จริงและลดความเสี่ยงให้น้อยที่สุด แม้ว่าระบบนี้ดูเหมือนจะไม่ช่วยคุณมากนักในแวบแรกก็ตาม