การยืนยันตัวตนสองขั้นตอน (2FA) คืออะไร และวิธีเปิดใช้ให้บัญชีสำคัญของคุณ

เผยแพร่ 2026-09-03 · โดย ทีมงานแตงโมโม.คอม

ลองนึกภาพว่าบ้านของคุณมีกุญแจดอกเดียว ใครได้กุญแจไปก็เข้าบ้านได้ทันที บัญชีออนไลน์ที่ป้องกันด้วยรหัสผ่านอย่างเดียวก็เป็นแบบเดียวกัน ถ้ารหัสผ่านรั่วไหล หลุดจากเว็บไซต์ที่เราสมัครไว้ หรือถูกหลอกให้บอกคนอื่นไป เจ้าของบัญชีตัวจริงก็ไม่มีทางรู้เลยว่ามีคนเข้ามาแล้ว

การยืนยันตัวตนสองขั้นตอน หรือที่เรียกสั้นๆ ว่า 2FA (Two-Factor Authentication) เหมือนการใส่กุญแจดอกที่สองเข้าไป ต่อให้ใครรู้รหัสผ่านของคุณ เขาก็ยังเข้าบัญชีไม่ได้ ถ้าไม่มีสิ่งที่สองที่อยู่กับตัวคุณเท่านั้น เป็นหนึ่งในวิธีป้องกันบัญชีที่ได้ผลมาก และใช้เวลาตั้งค่าไม่นานเลย

บทความนี้จะอธิบายว่า 2FA ทำงานอย่างไร มีกี่แบบ แต่ละแบบดีและเสียตรงไหน แล้วพาเปิดใช้ทีละขั้นตอน เริ่มจากบัญชีที่สำคัญที่สุดก่อน เช่น อีเมลหลัก บัญชีธนาคาร และบัญชีโซเชียลมีเดีย

ชื่อเมนูและหน้าตาของการตั้งค่าอาจต่างกันไปตามบริการและเวอร์ชันของแอป ถ้าหาเมนูไม่เจอ ให้ค้นหาคำว่า ความปลอดภัย (Security) ในหน้าบัญชีของบริการนั้น

2FA ทำงานอย่างไร ทำไมถึงช่วยได้จริง

หลักการคือการพิสูจน์ตัวตนด้วยสิ่งที่ต่างชนิดกันสองอย่าง โดยทั่วไปแบ่งเป็นสามกลุ่ม คือ สิ่งที่คุณรู้ เช่น รหัสผ่าน สิ่งที่คุณมี เช่น โทรศัพท์หรือกุญแจฮาร์ดแวร์ และสิ่งที่เป็นตัวคุณ เช่น ลายนิ้วมือหรือใบหน้า 2FA คือการใช้สองกลุ่มนี้ร่วมกัน

เวลาล็อกอินด้วย 2FA คุณจะใส่รหัสผ่านก่อนตามปกติ แล้วระบบจะขอสิ่งที่สอง เช่น รหัสตัวเลขที่เปลี่ยนไปเรื่อยๆ หรือการกดอนุมัติบนโทรศัพท์ คนร้ายที่ขโมยรหัสผ่านไปได้ จึงติดอยู่ที่ด่านที่สองเพราะไม่มีโทรศัพท์หรือกุญแจของคุณอยู่ในมือ

ข้อควรรู้คือ 2FA ไม่ได้ทำให้บัญชีปลอดภัยร้อยเปอร์เซ็นต์ แต่ทำให้การเจาะบัญชียากขึ้นมาก เพราะคนร้ายต้องมีทั้งสองอย่าง การโจมตีแบบกวาดรหัสผ่านที่รั่วไหลไปลองหลายเว็บจึงแทบใช้ไม่ได้ผลกับบัญชีที่เปิด 2FA ไว้

รู้จัก 2FA สามแบบหลัก ดีและเสียต่างกันอย่างไร

ตอนที่ตั้งค่า บริการส่วนใหญ่จะให้เลือกวิธีรับรหัสขั้นที่สอง ตารางนี้สรุปภาพรวมของสามแบบที่พบบ่อยที่สุดไว้ให้เทียบกัน

นอกจากสามแบบนี้ ยังมีการกดอนุมัติ (Push) ในแอปของบริการเอง และรหัสสำรอง (Backup codes) ที่เป็นชุดตัวเลขใช้ครั้งเดียว ซึ่งบริการส่วนใหญ่จะให้เก็บไว้ใช้ยามฉุกเฉิน

หลักเลือกง่ายๆ คือ ถ้าบริการรองรับแอปยืนยันตัวตนหรือกุญแจความปลอดภัย ให้เลือกสองอย่างนี้ก่อน ใช้ SMS เป็นทางเลือกสุดท้ายเมื่อบริการไม่มีวิธีอื่นให้ใช้

1. เลือกบัญชีที่ต้องเปิดก่อน แล้วจัดลำดับให้ถูก

ไม่ต้องรีบเปิดทุกบัญชีในวันเดียว ให้เรียงลำดับตามความเสียหายที่จะเกิดขึ้นถ้าบัญชีนั้นถูกยึด

1. อีเมลหลัก เป็นอันดับแรกเสมอ เพราะใช้รีเซ็ตรหัสผ่านของแทบทุกบริการ
2. บัญชีเกี่ยวกับเงิน เช่น แอปธนาคาร กระเป๋าเงินอิเล็กทรอนิกส์ แพลตฟอร์มซื้อขายออนไลน์
3. บัญชีเก็บไฟล์และรูปภาพออนไลน์ เพราะมีข้อมูลส่วนตัวสะสมอยู่มาก
4. บัญชีโซเชียลมีเดีย โดยเฉพาะที่ใช้ทำงานหรือมีผู้ติดตามจำนวนมาก
5. บัญชีทำงานและบัญชีที่ผูกกับบัตรชำระเงิน ที่คนในครอบครัวหรือที่ทำงานใช้ร่วมกัน

ก่อนเริ่มลงมือ ให้เตรียมโทรศัพท์ที่ชาร์จแบตเตอรี่ไว้ และหาที่นั่งสงบๆ สัก 15 นาที เพราะตอนตั้งค่าจะมีรหัสสำรองให้บันทึก ซึ่งต้องทำอย่างใจเย็น

2. ติดตั้งแอปยืนยันตัวตนบนโทรศัพท์

แอปยืนยันตัวตน (Authenticator app) คือแอปที่สร้างรหัสตัวเลขหกหลักซึ่งเปลี่ยนใหม่ทุกครึ่งนาทีหรือประมาณนั้น รหัสจะคำนวณอยู่ในเครื่องของคุณเอง จึงไม่ต้องรอข้อความและใช้งานได้แม้ไม่มีสัญญาณ

1. เปิดร้านแอปในเครื่อง (App Store หรือ Google Play) แล้วค้นหาคำว่า Authenticator
2. เลือกแอปจากผู้พัฒนาที่น่าเชื่อถือ เช่น Google Authenticator, Microsoft Authenticator หรือแอปของผู้ให้บริการรหัสผ่านที่คุณใช้อยู่
3. ติดตั้งและเปิดแอป อนุญาตการใช้กล้องเมื่อแอปขอ เพราะจะต้องสแกนคิวอาร์โค้ดตอนผูกบัญชี
4. ตั้งการล็อกหน้าจอของโทรศัพท์ให้เรียบร้อย ด้วยรหัส ลายนิ้วมือ หรือใบหน้า เพราะใครหยิบโทรศัพท์คุณไปได้ ก็จะเห็นรหัสในแอปด้วย

แอปบางตัวมีฟังก์ชันสำรองรหัสไปยังบัญชีของผู้ให้บริการแอป ซึ่งช่วยให้ย้ายเครื่องง่ายขึ้น แต่คุณควรอ่านว่าข้อมูลสำรองถูกเก็บอย่างไรและป้องกันด้วยอะไร ก่อนเปิดใช้

3. เปิด 2FA ที่บัญชีของคุณ (ตัวอย่างขั้นตอนทั่วไป)

ทุกบริการมีหน้าตาไม่เหมือนกัน แต่ลำดับขั้นตอนใกล้เคียงกันมาก ลองดูตัวอย่างขั้นตอนโดยรวมที่ใช้ได้กับบริการส่วนใหญ่ เช่น Google, Microsoft, Facebook, Instagram, LINE และบัญชี Apple

1. ล็อกอินบัญชีบนคอมพิวเตอร์ แล้วเข้าหน้าตั้งค่าบัญชี มองหาหัวข้อ ความปลอดภัย (Security) หรือ ความเป็นส่วนตัวและความปลอดภัย
2. หาเมนู การยืนยันตัวตนสองขั้นตอน (2-Step Verification, Two-factor authentication หรือ Login verification) แล้วกดเริ่มต้น
3. ระบบอาจให้ยืนยันรหัสผ่านอีกรอบ เพื่อให้แน่ใจว่าเป็นตัวคุณจริง
4. เลือกวิธีรับรหัส ถ้ามีตัวเลือกแอปยืนยันตัวตน ให้เลือกอันนี้ก่อน
5. สแกนคิวอาร์โค้ดที่แสดงบนหน้าจอด้วยแอปยืนยันตัวตนในโทรศัพท์ แอปจะเพิ่มบัญชีและเริ่มสร้างรหัสให้
6. พิมพ์รหัสหกหลักจากแอปกลับไปในเว็บไซต์ เพื่อยืนยันว่าการผูกสำเร็จ
7. บริการจะให้ชุดรหัสสำรอง ให้บันทึกไว้ในที่ปลอดภัย แล้วกดเสร็จสิ้น

หลังตั้งค่าเสร็จ ให้ลองออกจากระบบแล้วล็อกอินใหม่หนึ่งครั้ง เพื่อเช็กว่าทำได้จริงและเห็นขั้นตอนที่ระบบจะถามในครั้งต่อไป ถ้าบริการมีตัวเลือก จดจำอุปกรณ์นี้ ให้ใช้เฉพาะกับเครื่องส่วนตัวของคุณเท่านั้น ไม่ควรเปิดบนเครื่องสาธารณะ

4. เก็บรหัสสำรอง (Backup codes) ไว้ให้ดี

ขั้นตอนนี้หลายคนข้าม แล้วไปเสียใจทีหลังตอนโทรศัพท์หาย รหัสสำรองคือชุดตัวเลขที่ใช้ได้ครั้งละหนึ่งรหัสเมื่อคุณเข้าถึงแอปยืนยันตัวตนไม่ได้ ถ้าไม่มีรหัสเหล่านี้ และเปลี่ยนโทรศัพท์ไปแล้ว คุณอาจเสียบัญชีไปถาวร

• พิมพ์รหัสสำรองออกมาเป็นกระดาษ แล้วเก็บในที่ปลอดภัยที่บ้าน เช่น ลิ้นชักล็อกหรือแฟ้มเอกสารสำคัญ
• หรือเก็บไว้ในโปรแกรมจัดการรหัสผ่านที่ป้องกันด้วยรหัสหลักที่แข็งแรง
• ไม่ควรเก็บรหัสสำรองเป็นภาพแคปหน้าจอในเครื่องเดียวกับแอปยืนยันตัวตน เพราะถ้าเครื่องหาย ทั้งสองอย่างหายพร้อมกัน
• ไม่ส่งรหัสสำรองทางแชตหรืออีเมลให้ตัวเอง เพราะถ้าแชตหรืออีเมลถูกยึด รหัสก็หลุดไปด้วย
• ถ้าใช้รหัสสำรองไปแล้วบางตัว ให้สร้างชุดใหม่ เพราะชุดเก่าจะถูกยกเลิก

ลองตั้งปฏิทินเตือนตัวเองทุกครึ่งปี เพื่อตรวจว่ารหัสสำรองยังอยู่ครบและเบอร์โทรที่ผูกไว้ยังเป็นเบอร์ปัจจุบัน

5. ถ้าจะใช้กุญแจความปลอดภัย (Security key) ทำอย่างไร

กุญแจความปลอดภัยคืออุปกรณ์เล็กๆ ที่เสียบพอร์ต USB หรือแตะผ่านระบบสื่อสารใกล้ตัว (NFC) กับโทรศัพท์ จุดเด่นคือกันการหลอกลวงแบบเว็บปลอมได้ดี เพราะกุญแจจะตอบสนองเฉพาะเว็บไซต์จริงที่ลงทะเบียนไว้เท่านั้น ถึงคุณจะหลงเข้าเว็บปลอมที่หน้าตาเหมือนของจริง ก็ไม่มีทางยืนยันผ่านกุญแจได้

1. เลือกซื้อกุญแจที่รองรับมาตรฐาน FIDO2 หรือ WebAuthn จากผู้ผลิตที่เชื่อถือได้ และตรวจว่าพอร์ตตรงกับอุปกรณ์ที่คุณใช้ เช่น USB-A, USB-C หรือ NFC
2. เข้าหน้าตั้งค่าความปลอดภัยของบัญชี เลือกเพิ่มกุญแจความปลอดภัย แล้วทำตามที่หน้าจอบอกให้เสียบและกดปุ่มที่ตัวกุญแจ
3. ตั้งชื่อกุญแจให้จำได้ เช่น กุญแจหลัก หรือ กุญแจสำรอง
4. ลงทะเบียนกุญแจตัวที่สองไว้กับบัญชีเดียวกัน แล้วเก็บแยกที่กัน เผื่อตัวแรกหายหรือชำรุด

ข้อจำกัดคือไม่ใช่ทุกบริการรองรับ และกุญแจเป็นของที่ต้องดูแลเพิ่ม จึงเหมาะกับบัญชีที่สำคัญมากจริงๆ เท่านั้น ส่วนบัญชีทั่วไปใช้แอปยืนยันตัวตนก็เพียงพอแล้ว

6. ระวังช่องโหว่ของ 2FA และเตรียมแผนเมื่ออุปกรณ์หาย

การเปิด 2FA ช่วยได้มาก แต่ยังมีสถานการณ์ที่คนร้ายพยายามหลอกให้เราบอกรหัสเอง จึงควรรู้ทันไว้

• ไม่บอกรหัสยืนยันกับใคร แม้คนที่โทรมาจะอ้างว่าเป็นเจ้าหน้าที่ธนาคารหรือผู้ให้บริการ ผู้ให้บริการจริงไม่ขอรหัสจากเรา
• ระวังข้อความที่ขอให้กดอนุมัติ ถ้าไม่ได้ล็อกอินเอง แต่มีแจ้งเตือนขอให้กดอนุมัติเข้ามา ให้ปฏิเสธ แล้วรีบเปลี่ยนรหัสผ่านทันที
• ระวังหน้าเว็บปลอม ที่ให้กรอกทั้งรหัสผ่านและรหัสยืนยันพร้อมกัน ตรวจที่อยู่เว็บไซต์ให้ดีก่อนกรอก
• เปลี่ยนมือถือล่วงหน้า ก่อนเปลี่ยนเครื่องใหม่ ให้ย้ายบัญชีในแอปยืนยันตัวตนให้เสร็จก่อนจะรีเซ็ตเครื่องเก่า
• ถ้าโทรศัพท์หาย ใช้รหัสสำรองล็อกอินจากอุปกรณ์อื่น แล้วถอดอุปกรณ์เดิมออกจากบัญชี และสร้างรหัสสำรองชุดใหม่

เรื่องวิธีสังเกตหน้าเว็บและข้อความหลอกลวง เราเขียนแยกไว้ในบทความเรื่องฟิชชิง ซึ่งเป็นความรู้ที่ควรใช้ควบคู่กับ 2FA

ข้อดีข้อเสียโดยรวม และควรเลือกอะไรดี

• ข้อดี คือป้องกันการยึดบัญชีจากรหัสผ่านรั่วได้ดี ตั้งค่าครั้งเดียว ใช้งานต่อได้นาน
• ข้อเสีย คือล็อกอินช้าลงเล็กน้อย และต้องดูแลอุปกรณ์ยืนยันตัวตนกับรหัสสำรองให้ดี
• ถ้าไม่อยากยุ่งยาก ใช้แอปยืนยันตัวตนกับบัญชีทั่วไป และเพิ่มกุญแจความปลอดภัยเฉพาะบัญชีสำคัญมาก
• ถ้าบริการมีแค่ SMS ก็ยังควรเปิด เพราะดีกว่าไม่มีด่านที่สองเลย

ความปลอดภัยเป็นเรื่องของการวางชั้นป้องกันหลายๆ ชั้นซ้อนกัน 2FA คือชั้นที่คุ้มค่าที่สุดชั้นหนึ่ง ควบคู่กับการตั้งรหัสผ่านที่แตกต่างกันในแต่ละบริการ

คำถามที่พบบ่อย

• เปิด 2FA แล้ว ต้องกรอกรหัสทุกครั้งเลยหรือ ไม่เสมอไป ถ้าติ๊กจดจำอุปกรณ์ ระบบจะไม่ถามบ่อยบนเครื่องที่คุณเคยยืนยันแล้ว แต่จะถามเมื่อล็อกอินจากเครื่องใหม่
• แอปยืนยันตัวตนต้องใช้อินเทอร์เน็ตไหม ตอนสร้างรหัสไม่ต้องใช้ แค่เครื่องของคุณเปิดแอปและมีเวลาที่ตรงก็สร้างรหัสได้
• ใช้เบอร์เดียวกับหลายบัญชีได้ไหม ได้ แต่ถ้าเบอร์ถูกสวมรอย ผลกระทบจะกว้างขึ้น จึงควรใช้แอปยืนยันตัวตนกับบัญชีสำคัญแทน
• ลืมรหัสผ่านและมือถือหายพร้อมกันจะทำอย่างไร ใช้รหัสสำรอง ถ้าไม่มี ต้องผ่านขั้นตอนกู้คืนบัญชีของผู้ให้บริการ ซึ่งอาจใช้เวลานานและไม่การันตีผล

สรุป

2FA คือกุญแจดอกที่สอง ทำให้รหัสผ่านที่รั่วไหลไม่เพียงพอสำหรับคนร้ายอีกต่อไป เลือกแอปยืนยันตัวตนเป็นค่าเริ่มต้น เพิ่มกุญแจความปลอดภัยสำหรับบัญชีสำคัญ และใช้ SMS เมื่อไม่มีทางอื่น แล้วอย่าลืมเก็บรหัสสำรองไว้ในที่ปลอดภัย

ลงมือได้ตั้งแต่วันนี้ เปิดหน้าตั้งค่าความปลอดภัยของอีเมลหลักของคุณ เปิด 2FA ด้วยแอปยืนยันตัวตน บันทึกรหัสสำรอง แล้วค่อยทำบัญชีอื่นไล่ไปตามลำดับในสัปดาห์นี้ ใช้เวลารวมไม่นาน แต่ช่วยลดความเสี่ยงได้มากกว่าที่คิด