การยืนยันตัวตนแบบไร้รหัสผ่าน: วิธีไหนเหมาะกับแอปของคุณ?

จะเป็นอย่างไร หากแอปของคุณสามารถยืนยันตัวตนผู้ใช้ได้โดยที่พวกเขาไม่ต้องทำอะไรเลย?

ไม่ต้องจำรหัสผ่าน ไม่ต้องรอ OTP ไม่ต้องพิมพ์โค้ด ผู้ใช้เปิดแอป และการยืนยันตัวตนเกิดขึ้นเบื้องหลังภายในไม่กี่วินาที — ผ่าน AIS, True, และ dtac (ปัจจุบันคือ True Corp.) และ NT

ไบโอเมตริก, Passkey, Magic Link, Silent Mobile Authentication — ทั้งหมดนี้ขจัดรหัสผ่านออกไป แต่ไม่ใช่ทุกวิธีจะเหมาะกับทุกแอป

สำหรับธุรกิจในประเทศไทยที่กำลังสูญเสียลูกค้าจากความติดขัดในการล็อกอินและสูญเงินจากการฉ้อโกง การยืนยันตัวตนแบบไร้รหัสผ่านไม่ใช่ทางเลือกอีกต่อไป ภายใต้แนวทางของธนาคารแห่งประเทศไทย (ธปท.) ที่เพิ่มความเข้มงวดในการต้านฟิชชิ่งและการฉ้อโกงผ่านมือถือ คำถามที่ยากกว่าคือ — วิธีไหนเหมาะที่สุด

เหตุใดรหัสผ่านและ SMS OTP จึงล้มเหลวในประเทศไทย

รหัสผ่านเป็นมาตรฐานมานานหลายทศวรรษ แต่ยังคงเป็นจุดอ่อนที่สุดในความปลอดภัยของบัญชี

ผู้ใช้ใช้รหัสผ่านซ้ำในหลายบริการ พวกเขาลืมรหัสผ่านเป็นประจำ การฉ้อโกงประเภทยึดบัญชี (Account Takeover – ATO) ที่ใช้ข้อมูลรับรองที่ถูกขโมยคาดว่าจะสร้างความเสียหายระดับโลก 1.7 หมื่นล้านดอลลาร์ภายในปี 2568 ขณะที่ผู้บริโภคในประเทศไทยยังคงเผชิญกับการสูญเสียจากแก๊งคอลเซ็นเตอร์และมิจฉาชีพออนไลน์ที่เพิ่มขึ้นอย่างต่อเนื่อง

SMS OTP เคยถูกคาดหวังว่าจะแก้ปัญหานี้ โดยเพิ่มปัจจัยที่สองผ่านการส่งโค้ดไปยังโทรศัพท์ของผู้ใช้ แต่ OTP ก็สร้างปัญหาในแบบของตัวเอง

การฉ้อโกงแบบ SIM Swap เติบโตขึ้น 400% ระหว่างปี 2561 ถึง 2565ทั่วโลก ผู้ก่อเหตุหลอกผู้ให้บริการมือถือให้โอนหมายเลขเหยื่อไปยังซิมใหม่ จากนั้นดักจับ OTP ทุกข้อความที่ส่งไปยังหมายเลขนั้น นอกจากการฉ้อโกง OTP ยังสร้างความติดขัด ผู้บริโภคเกือบ 47% รายงานความหงุดหงิดจากโค้ดที่มาช้าหรือพิมพ์ผิด ทุกขั้นตอนที่เพิ่มเข้าไปในการล็อกอินคือโอกาสที่ผู้ใช้จะเลิกใช้งานกลางคัน

อ่านเพิ่มเติม: Authentication 101: MFA, ไบโอเมตริก, อะไรคือก้าวต่อไป

ห้าวิธีไร้รหัสผ่านในภาพรวม

แต่ละวิธีแก้ปัญหาในแง่มุมที่แตกต่างกัน นี่คือภาพรวมก่อนเข้าสู่ส่วนของการตัดสินใจ

• ไบโอเมตริก: การจดจำลายนิ้วมือและใบหน้าที่ผูกกับ Secure Enclave ของอุปกรณ์ รวดเร็วและคุ้นเคย แต่ต้องการอุปกรณ์ที่รองรับ
• Passkey (FIDO2): คู่กุญแจเข้ารหัสที่เก็บอยู่บนอุปกรณ์ของผู้ใช้ Passkey มีอัตราความสำเร็จในการล็อกอิน 93% เทียบกับ 63% สำหรับรหัสผ่านแบบเดิม
• Magic Link: URL เฉพาะที่ส่งไปยังอีเมลของผู้ใช้ คลิกแล้วก็เข้าสู่ระบบได้ ง่าย แต่ขึ้นอยู่กับความเร็วในการส่งอีเมลและการเข้าถึงกล่องจดหมาย
• แอป Authenticator: รหัสตามเวลาที่สร้างจากอุปกรณ์ที่ลงทะเบียนไว้ ทนต่อฟิชชิ่งเมื่อตั้งค่าเสร็จแล้ว แต่ขั้นตอนแบบแมนนวลทำให้ผู้ใช้เลิกกลางทางบนมือถือ
• Silent Mobile Authentication: ยืนยันซิมและอุปกรณ์ของผู้ใช้กับผู้ให้บริการมือถือโดยตรงในเบื้องหลัง ไม่ต้องป้อนข้อมูลใด ๆ ใช้งานได้กับอุปกรณ์มือถือทุกเครื่องที่มีซิมไทยที่เปิดใช้งาน

แต่ละวิธีเหมาะกับบริบทที่แตกต่างกัน การเลือกที่ถูกต้องขึ้นอยู่กับแอปของคุณ

อ่านเพิ่มเติม: คู่มือฉบับสมบูรณ์เกี่ยวกับโซลูชัน CPaaS สำหรับการป้องกันการฉ้อโกงและการยืนยันตัวตนที่ราบรื่น

กรอบการตัดสินใจสำหรับแอปในประเทศไทย

จับคู่วิธีกับวิธีที่ผู้ใช้ของคุณใช้งานผลิตภัณฑ์จริง ไม่ใช่กับสเปกชีต ห้าอาร์คีไทป์ของแอปครอบคลุมกรณีส่วนใหญ่

• แอปคอนซูเมอร์ที่เน้นมือถือ (TrueMoney, ShopeePay, LINE Pay, Grab, LINE MAN): Silent Mobile Authentication เป็นวิธีหลัก ความติดขัดคือข้อจำกัดสำคัญ ผู้ใช้หลุดเพิ่มในทุก ๆ การแตะที่เกินจำเป็น ใช้ Passkey เป็นวิธีรองเมื่อผู้ใช้อยู่บน Wi-Fi
• ธุรกรรมคอนซูเมอร์มูลค่าสูง (SCB, KBank, BBL, Krungthai, KTB, กระเป๋าคริปโต): ใช้แบบหลายชั้น SMA สำหรับการยืนยันเซสชัน และไบโอเมตริกสำหรับธุรกรรมที่เกินเกณฑ์ความเสี่ยง — สอดคล้องกับแนวทางของ ธปท. เกี่ยวกับการยืนยันตัวตนหลายปัจจัย
• SaaS B2B ระดับองค์กร (คอนโซลแอดมิน, เครื่องมือนักพัฒนา): Passkey เป็นหลัก อุปกรณ์ของพนักงานรองรับอย่างสม่ำเสมอ การต้านฟิชชิ่งสำคัญกว่าการไม่มีความติดขัด และฮาร์ดแวร์คีย์รองรับบัญชีที่มีสิทธิ์สูงสุด
• บริการคอนซูเมอร์ที่ใช้ไม่บ่อย (กฟภ., MEA, การประปา, พอร์ทัลภาครัฐ): Magic Link ยอมรับได้เมื่อการล็อกอินเกิดขึ้นไม่บ่อย และอีเมลก็เป็นช่องทางแจ้งเตือนอยู่แล้ว ยกระดับขึ้นหากความถี่การล็อกอินหรือความเสี่ยงเพิ่มขึ้น
• แอปไฮบริดเดสก์ท็อปและมือถือ (Lazada, Shopee, JD Central): Passkey สำหรับบัญชี ไบโอเมตริกของอุปกรณ์สำหรับเซสชันที่กลับเข้ามา ใช้ SMS OTP เป็นเพียงทางสำรอง และวางแผนยกเลิกในที่สุด

คำแนะนำเหล่านี้สะท้อนสถานะปัจจุบันของแต่ละวิธี เมื่อการรองรับ Passkey และความครอบคลุมของผู้ให้บริการ SMA ขยายตัวในประเทศไทย ส่วนผสมที่เหมาะสมที่สุดจะเปลี่ยนไป

ข้อผิดพลาดที่พบบ่อยในการนำไปใช้งานแบบไร้รหัสผ่าน

การติดตั้งใช้งานที่ล้มเหลวส่วนใหญ่มาจากความผิดพลาดเดิม ๆ ไม่กี่ข้อ — และส่วนใหญ่หลีกเลี่ยงได้

• มองทางสำรองเป็นเรื่องรอง ทุกวิธีมีโอกาสล้มเหลว SMA ต้องการสัญญาณมือถือ Passkey ต้องการอุปกรณ์ที่ลงทะเบียน Magic Link ต้องการกล่องจดหมายที่ใช้งานได้ ออกแบบทางสำรองด้วยความระมัดระวังเท่ากับวิธีหลัก — สำคัญอย่างยิ่งเมื่อพิจารณาความครอบคลุมข้อมูลมือถือนอกกรุงเทพฯ
• สมมติว่าอุปกรณ์ทุกเครื่องรองรับ การซิงค์ Passkey ทำงานได้ดีบนอุปกรณ์ Apple และ Android รุ่นใหม่ แต่ใช้ไม่ได้บนอุปกรณ์รุ่นเก่าและสมาร์ทโฟน Android ระดับเริ่มต้นที่ยังพบได้ทั่วประเทศ ตรวจสอบส่วนผสมอุปกรณ์ของผู้ใช้ก่อนตัดสินใจ
• วัดเฉพาะอัตราล็อกอินสำเร็จ ไม่ใช่ทั้งช่องทาง วิธีหนึ่งอาจมีอัตราสำเร็จ 95% ที่หน้าล็อกอิน แต่ยังคงสูญเสียผู้ใช้ในขั้นตอนกู้คืนบัญชี การจับคู่อุปกรณ์ หรือคิวสำรอง หากคุณไม่วัดทั้งช่องทาง คุณกำลังวัดสิ่งที่ผิด
• ปล่อยให้ระบบกู้คืนเหมือนเดิม ประตูหน้าแบบไร้รหัสผ่านที่มีประตูหลังแบบรหัสผ่าน — คำถามความปลอดภัย ลิงก์รีเซ็ตที่ไม่มีการตรวจสอบสอง — จะรับช่วงทุกช่องโหว่ที่คุณเพิ่งกำจัดไป ออกแบบการกู้คืนใหม่ควบคู่กับวิธีหลัก
• มองข้ามความครอบคลุมของผู้ให้บริการสำหรับ SMA การยืนยันแบบเงียบขึ้นอยู่กับการเชื่อมต่อระดับผู้ให้บริการ ความครอบคลุมในประเทศไทยรวมถึง AIS, True Corp. (รวม dtac) และ NT แต่ตรวจสอบความครอบคลุมในต่างประเทศหากผู้ใช้ของคุณเดินทางบ่อย

รูปแบบการนำไปใช้ตามอุตสาหกรรมในประเทศไทย

เส้นโค้งการนำไปใช้แตกต่างกันในแต่ละภาคส่วน นี่คือทิศทางของแรงผลักดัน — และความหมายต่อแผนงานการยืนยันตัวตนของคุณ

ฟินเทคในประเทศไทยกำลังนำการเปลี่ยนแปลงนี้ ธนาคารดิจิทัลและแอปชำระเงิน เช่น TrueMoney, KPlus, SCB EASY, Krungthai Next และ Bualuang mBanking จับคู่ SMA กับการท้าทายไบโอเมตริกสำหรับธุรกรรม โดยเก็บ SMS OTP ไว้เป็นเพียงทางสำรอง

แนวทางการกำกับดูแลจากธนาคารแห่งประเทศไทย (ธปท.) และ ก.ล.ต. รวมถึงประกาศที่เกี่ยวกับการป้องกันภัยทุจริตทางการเงิน ค่อย ๆ ปฏิบัติต่อวิธีการที่อิงกับการครอบครองอุปกรณ์ (possession-based) ในฐานะมาตรฐานพื้นฐาน และผลักดันสถาบันการเงินให้ลดการพึ่งพา SMS OTP เป็นปัจจัยหลัก

อีคอมเมิร์ซอยู่ในช่วงการเปลี่ยนผ่าน Passkey กำลังได้รับความนิยม ที่เช็คเอาต์บนเบราว์เซอร์มือถือ โดยเฉพาะอย่างยิ่งเมื่อ TrueMoney, ShopeePay หรือ Google Pay ถูกผูกไว้แล้ว SMS OTP ยังคงครองตำแหน่งหลักสำหรับช่องทาง guest checkout ที่มีความเสี่ยงต่อการฉ้อโกงสูงสุด

SaaS ระดับองค์กรเปลี่ยนมาใช้ Passkey เป็นหลักสำหรับการยืนยันตัวตนของพนักงาน ฮาร์ดแวร์คีย์ความปลอดภัยจัดการบัญชีผู้ดูแลระบบ

การยืนยันตัวตนที่หันสู่ลูกค้าในผลิตภัณฑ์เดียวกันมักล้าหลังการยืนยันตัวตนของพนักงานหนึ่งปีหรือมากกว่า

ภาคสุขภาพและภาครัฐเป็นกลุ่มที่นำไปใช้ช้าที่สุด Magic Link และ SMS OTP ยังคงครองตลาด มักเป็นเพราะระบบยืนยันตัวตนผูกกับระบบ identity เก่า การย้ายไปใช้ Passkey กำลังดำเนินอยู่ในตลาดที่กฎหมายไม่เปิดทางเลือกอื่น

8×8 อยู่ตรงไหนในสแต็คไร้รหัสผ่านของคุณ

คุณเลือกวิธีได้แล้ว ตอนนี้คุณต้องการให้มันใช้งานได้ — ครอบคลุมผู้ให้บริการในไทย ทั่วทั้งภูมิภาค โดยมีทางสำรองที่ไม่ทำให้ผู้ใช้ต้องเริ่มต้นใหม่

วิธีหลักไร้แรงเสียดทาน → Silent Mobile Authentication

เมื่อผู้ใช้เปิดแอปของคุณ 8×8 Silent Mobile Authentication จะส่งคำขอยืนยันไปยัง AIS, True Corp., หรือ NT ผ่าน API เดียว ผู้ให้บริการยืนยันว่าซิมและอุปกรณ์ตรงกับหมายเลขที่ลงทะเบียน และตอบกลับผลในไม่กี่วินาที — ไม่มีโค้ด ไม่มีการแตะ ไม่มีความติดขัด ผู้ใช้ของคุณเข้าระบบก่อนที่พวกเขาจะรู้ตัวด้วยซ้ำ ความครอบคลุมแผ่ขยายทั่ว APAC และที่อื่น ๆ ผ่านการเชื่อมต่อ GSMA Open Gateway

 

ทางสำรองเมื่ออยู่บน Wi-Fi → Verif8

SMA ต้องการการเชื่อมต่อมือถือ เมื่อผู้ใช้อยู่บน Wi-Fi หรือการตรวจสอบผู้ให้บริการไม่สามารถดำเนินการให้เสร็จได้ Verif8 จะเข้ามาทำหน้าที่อัตโนมัติ Verif8 สร้างและส่ง OTP ผ่าน SMS, เสียง และแอปส่งข้อความ เช่น LINE และ WhatsApp — การติดตั้งแบบ self-service ครั้งเดียวครอบคลุมทุกเส้นทางสำรอง พร้อมการเฝ้าระวังการฉ้อโกงในตัวเพื่อจับรูปแบบคำขอที่ผิดปกติก่อนจะสร้างความเสียหายให้คุณ

 

 

การจัดการบัญชีและการกู้คืน → Descope CIAM

เหตุการณ์การยืนยันตัวตนต้องมีที่ลงทะเบียน Descope CIAM — แพลตฟอร์ม identity ลูกค้าแบบ no-code ของ 8×8 — เชื่อมโยงการยืนยัน SMA, OTP สำรอง และการท้าทายแบบ step-up เข้ากับบันทึกผู้ใช้รายเดียว เซสชัน สถานะบัญชี และขั้นตอนการกู้คืน ยังคงสอดคล้องกันไม่ว่าวิธีใดจะจัดการการล็อกอิน คุณออกแบบเส้นทางทั้งหมดในเอดิเตอร์ drag-and-drop แบบภาพ ไม่ต้องเขียนโค้ดเอง

ทั้งสามองค์ประกอบรวมกันให้สแต็คที่คุณสามารถเติบโตได้: เริ่มจากวิธีหลักหนึ่งวิธี เพิ่มทางสำรอง และเสริมด้วย step-up ตามความเสี่ยงเมื่อมูลค่าธุรกรรมสมควร

พร้อมที่จะคิดใหม่เกี่ยวกับวิธีที่ผู้ใช้คุณลงชื่อเข้าใช้แล้วหรือยัง?

ไร้รหัสผ่านคือชุดของทางเลือก ไม่ใช่สวิตช์เดียว วิธีที่ถูกต้องขึ้นอยู่กับผู้ใช้ของคุณ อุปกรณ์ของพวกเขา และความเสี่ยงที่คุณแบกรับ — โดยเฉพาะภายใต้แนวทางที่เปลี่ยนแปลงของ ธปท.

เริ่มจากวิธีหลักที่ไร้แรงเสียดทาน จับคู่กับทางสำรองที่ไม่ทำลายประสบการณ์ผู้ใช้ เสริมด้วย step-up ตามความเสี่ยงเมื่อมูลค่าธุรกรรมสมควร นั่นคือสแต็คที่ขยายตัวได้

ติดต่อ 8×8 ประเทศไทย เพื่อปรึกษาเกี่ยวกับชุดที่เหมาะกับแอปของคุณ หรือดูรายละเอียดเพิ่มเติมเกี่ยวกับโซลูชัน SMA ของเรา