บัญชี PlayStation โดนยึดแม้เปิด 2FA คนดังกู้ได้ แต่คนทั่วไปล่ะ

Pete Wenzler ประเมินว่าจ่ายค่าเกมและบริการ PlayStation ไปกว่า 20,000 ดอลลาร์ แต่ถูกยึดบัญชีแม้เปิดระบบยืนยันตัวตนเพิ่ม ตามการสอบสวนของ PCMag แปลว่าเงินซื้อเกมสะสมอาจกลายเป็นสิ่งที่เจ้าของเข้าไม่ถึงครับ ล่าสุดต้นเดือนตุลาคม RealRadec เจอเหตุคล้ายกัน ตามรายงาน Push Square

สำหรับคนซื้อเกมดิจิทัล เรื่องนี้เกี่ยวกับทั้งเงินและเวลาที่สะสมไว้ในบัญชี ตาม IGN ผู้เสียหายกังวลถึงเกม เนื้อหาเสริม ข้อมูลเซฟ และถ้วยรางวัล แต่การเปิดระบบป้องกันตอนเข้าสู่บัญชี อาจยังไม่ครอบคลุมทางกู้บัญชีผ่านฝ่ายช่วยเหลือ

สรุป 30 วินาที: เกิดอะไรขึ้น

RealRadec หรือ Radec แจ้งว่าบัญชีถูกยึดวันที่ 3 ตุลาคม ตาม Push Square เขาพยายามเปลี่ยนรหัสผ่าน ออกจากระบบทุกอุปกรณ์ และเปิดการยืนยันตัวตนเพิ่มอีกครั้ง แต่ผู้โจมตียังเปลี่ยนอีเมลที่ผูกไว้ได้ แปลว่าเจ้าของพยายามป้องกันแล้วก็ยังเข้าไม่ถึงบัญชี

เขาประกาศว่าได้บัญชีคืนวันที่ 5 ตุลาคม ตามโพสต์ที่ IGN นำมารายงาน แปลว่าเหตุนี้จบด้วยการกู้คืนได้สำหรับเขา Colin Moriarty ผู้ทำรายการเกี่ยวกับ PlayStation ช่วยผ่านคนรู้จัก และ Radec ยอมรับว่าอิทธิพลของตัวเองช่วยให้เรื่องเดินเร็ว

รูปแบบที่สื่อรายงานเรียกว่า social engineering คือการหลอกให้คนหรือระบบช่วยเหลือเชื่อว่า ผู้ติดต่อเป็นเจ้าของจริง ตาม PlayStation LifeStyle คนร้ายใช้ข้อมูลบัญชีและการซื้อเกมเพื่อให้ซัพพอร์ตปิดการป้องกัน จากนั้นเปลี่ยนอีเมลและรหัสผ่าน แล้วระบบที่เราเปิดป้องกันไว้หายไปตรงไหนครับ?

ทำไมเรื่องนี้เกี่ยวกับคุณ

PSN หรือ PlayStation Network คือบัญชีบริการของ PlayStation ที่ข่าวนี้พูดถึง เกมดิจิทัลและประวัติสะสมเชื่อมกับบัญชีดังกล่าว ตาม PCMag จึงเกิดผลกระทบมากกว่าการเปลี่ยนชื่อผู้เล่น สำหรับคนไทยที่ทยอยซื้อเกมหลังเงินเดือนออก ประเด็นคือการรักษาการเข้าถึงสิ่งที่จ่ายเงินไปแล้ว

คนเล่นหลังเลิกงานอาจไม่ได้มีผู้ติดตามมาก หรือรู้จักใครในบริษัทผู้ให้บริการ Radec เองยอมรับว่าไม่ใช่ทุกคนจะมีช่องทางผลักดันเรื่องเหมือนเขา ตาม IGN นี่จึงเป็นเหตุให้ควรดูทั้งวิธีป้องกันและวิธีขอความช่วยเหลือ อย่าใช้ความสำเร็จของคนดังแทนหลักประกันของผู้เล่นทั่วไป

บ้านที่ลูกเล่นด้วยก็ต้องอ่านครับ PlayStation ทางการ ระบุว่า บัญชีเด็กใช้เงินจากกระเป๋าของผู้จัดการครอบครัวภายในวงเงินที่กำหนด ไม่มีเงินกระเป๋าของตัวเอง ส่วน PCMag รายงานว่าลูกของ Wenzler เข้าไม่ถึงบัญชีที่ผูกกับของพ่อด้วย นี่เป็นกรณีที่รายงานมา ไม่ใช่ข้อสรุปว่าทุกครอบครัวจะเจอผลเหมือนกัน

สำหรับผู้เล่นเครื่อง PS5 หรือ PS4 ในไทย แหล่งข้อมูลชุดนี้ยังไม่ยืนยันว่า ซัพพอร์ตไทยใช้กระบวนการเดียวกับกรณีต่างประเทศ เราจึงไม่ควรเหมารวมว่าบัญชีไทยถูกยึดด้วยวิธีนี้ได้ทุกบัญชี แต่คำเตือนเรื่องไม่เปิดเผยข้อมูลส่วนตัว สอดคล้องกับ แนวทางความปลอดภัยของ PlayStation

ทำงานยังไง

2FA หรือ 2SV คือการยืนยันตัวตนเพิ่มอีกขั้น นอกเหนือจากรหัสผ่าน เช่น รหัสจากข้อความมือถือหรือแอปสร้างรหัส ตาม PlayStation ทางการ ส่วน passkey เป็นวิธียืนยันเพื่อเข้าสู่บัญชีที่ใช้แทนรหัสผ่านได้ หน้าเดียวกันอธิบายทางเลือกเมื่ออุปกรณ์หรือวิธียืนยันนั้นใช้งานไม่ได้ด้วย

แต่การเข้าสู่บัญชีตามปกติ กับการขอกู้บัญชี เป็นคนละกระบวนการครับ Michael Kan ของ PCMag ทดลองกับบัญชีตัวเองผ่าน Online Assistant หรือผู้ช่วยสนทนาออนไลน์ เขาพบว่าระบบเปลี่ยนอีเมลได้โดยไม่ต้องยืนยันจากอีเมลเดิม และยอมปิด passkey ที่ลงทะเบียนไว้

รายงานนั้นระบุว่าระบบถามข้อมูลระบุตัวบัญชี รวมถึงหลักฐานการเป็นเจ้าของเพิ่มเติม เช่น ข้อมูลการชำระเงิน เครื่องเกม หรือคำสั่งซื้อ ตาม PCMag ปัญหาคือข้อมูลเหล่านี้อาจหลุดหรือถูกเผยแพร่มาก่อน การรู้ข้อมูลเกี่ยวกับเจ้าของ จึงไม่ได้แปลว่าผู้ขอกู้เป็นเจ้าของเสมอไป

เปรียบแบบไทย ๆ เหมือน รปภ.คอนโดเปิดประตูให้คนที่บอกเลขห้องกับชื่อผู้อยู่อาศัยถูกต้อง โดยไม่ตรวจว่าเป็นคนเดียวกับเจ้าของห้องหรือไม่ เราอาจล็อกห้องไว้อย่างดี แต่คนที่อนุญาตให้เข้ามามีสิทธิ์เปลี่ยนเงื่อนไข ภาพเปรียบเทียบนี้อธิบายความเสี่ยงของการตรวจตัวตน ไม่ใช่ขั้นตอนโจมตีครับ

หลักฐานของ Kan เป็นการทดลองในเดือนมีนาคม ตาม PCMag ขณะที่ Push Square รายงานเดือนตุลาคมถึงการใช้ชื่อผู้เล่น อีเมล และข้อมูลธุรกรรมหรือวันที่ซื้อ ต้องแยกช่วงเวลาเหล่านี้ไว้ เพราะเราไม่มีบทสนทนาซัพพอร์ตปัจจุบันครบทุกกรณี

จุดหักมุม: กันล็อกอินได้ แต่ทางกู้บัญชียังสำคัญ

แต่ข่าวนี้ไม่ได้พิสูจน์ว่าเทคโนโลยี passkey ถูกถอดรหัสครับ ในการทดลองของ PCMag ผู้ช่วยออนไลน์ยอมเปลี่ยนอีเมลและปิดการป้องกัน ประเด็นจึงอยู่ที่การอนุญาตให้เปลี่ยนเจ้าของทางกู้บัญชี

แต่การได้บัญชีคืนของ Radec ก็ไม่ได้พิสูจน์ว่าทุกคนได้รับความช่วยเหลือเท่ากัน เขายอมรับเองว่าฐานผู้ติดตามและสถานะช่วยให้แก้เรื่องเร็ว ตาม Push Square ข่าวดีของเขาจึงยังทิ้งคำถามเรื่องผู้เล่นที่ไม่มีคนรู้จักไว้

เรื่องเงิน / ผลกระทบ

ตัวเลขกว่า 20,000 ดอลลาร์เป็นยอดที่ Wenzler ประเมินกับ PCMag แปลว่าเป็นคำบอกเล่าของผู้เสียหายรายหนึ่ง ไม่ใช่ยอดความเสียหายรวมที่ผ่านการตรวจบัญชี ไม่มีข้อมูลพอจะแปลงเป็นมูลค่าความเสียหายของผู้เล่นไทย และไม่ควรเอามาอ้างเป็นความเสี่ยงเฉลี่ย

เงินที่เกี่ยวข้องก็มีหลายแบบ ทั้งค่าเกม บริการสมาชิก และเงินในกระเป๋าครอบครัว PlayStation ทางการ แนะนำให้ตรวจประวัติธุรกรรมและการต่ออายุสมาชิก เมื่อเห็นรายการที่ไม่รู้จัก สำหรับบ้านที่เติมเงินเป็นบาท การแยกว่ารายการมาจากสมาชิก เด็ก หรือคนอื่น จึงสำคัญก่อนสรุปว่าโดนยึดบัญชี

วงเงินเริ่มต้นของบัญชีเด็กคือ 0 ตาม PlayStation ทางการ แปลว่าเด็กยังใช้เงินจากกระเป๋าครอบครัวไม่ได้ จนกว่าจะมีการกำหนดวงเงินให้ แต่ถ้าเด็กใช้บัญชีผู้ใหญ่ หน้าช่วยเหลืออีกหน้าเตือนว่า อาจใช้บริการโดยไม่มีการควบคุมสำหรับเด็ก ตาม Account & Security

ส่วนอนาคตเกมดิจิทัลต้องระวังการอ้างเกินแหล่งข่าว IGN รายงานว่า Sony ยืนยันจะหยุดผลิตเกมแบบแผ่นตั้งแต่ปี 2028 แปลว่าตามรายงานนี้ การพึ่งบัญชีดิจิทัลยิ่งมีน้ำหนัก แต่ในชุดข้อมูลนี้มีเพียง IGN ที่ให้รายละเอียดดังกล่าว ยังไม่มีประกาศต้นทางให้เทียบ และข้อคาดการณ์เรื่องเครื่องรุ่นถัดไปไม่ใช่ข้อยืนยันจาก Sony

เกมที่เข้าไม่ถึงยังมีต้นทุนด้านเวลา ตาม IGN Radec พูดถึงเซฟและถ้วยรางวัลด้วย แต่ข่าวไม่ได้ยืนยันว่าข้อมูลเหล่านั้นถูกลบทั้งหมด ต้องแยกการสูญเสียสิทธิ์เข้าถึง ออกจากการทำลายข้อมูลถาวร เพื่อไม่ให้ความกังวลกลายเป็นข้อเท็จจริงที่แต่งเพิ่ม

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

สถานะของ Radec ต่างกันตามเวลารายงาน PlayStation LifeStyle ฉบับวันที่ 5 ตุลาคมยังระบุว่าเขาเข้าไม่ได้ แปลว่าบทความนั้นบันทึกสถานะก่อนข่าวกู้คืน ส่วน IGN และข่าวอัปเดตของ Push Square ระบุว่าได้คืนแล้ว ไม่ควรหยิบสถานะเก่ามาเขียนว่าเขายังถูกล็อกอยู่วันนี้

เสียงเรียกร้องให้แก้ระบบมีเจ้าของชัดเจน Radec บอกว่าไม่มีใครควรถูกขโมยบัญชีและเสียการเข้าถึงสิ่งที่สะสม ตาม IGN ส่วน Push Square วิจารณ์ว่าปัญหายังเกิด แม้กรณี Moriarty เคยเป็นข่าวแล้ว เสียงเหล่านี้สนับสนุนให้ปรับปรุงทางกู้บัญชี ไม่ใช่คำชี้แจงจากบริษัท

อีกด้านคือคนที่ล็อกตัวเองออกก็ต้องกู้ได้ Baden Ronie แห่ง Wolf’s Gaming Blog ชี้ว่าการตรวจเข้มขึ้นอาจทำให้เจ้าของจริงกู้ยากขึ้น เขายังกล่าวถึงความเห็นจากผู้ใช้บางรายที่กู้สำเร็จด้วย แต่ทั้งหมดเป็นข้อวิเคราะห์และรายงานประสบการณ์ ไม่ใช่หลักฐานว่ากระบวนการปลอดภัยแล้ว หากตรวจตัวตนพลาด เจ้าของจริงต้องพิสูจน์อะไรเพิ่มอีกครับ?

คำแนะนำทางการไม่ได้เท่ากับยอมรับช่องโหว่ PlayStation อธิบายการกู้ผ่านลิงก์อีเมล การใช้รหัสสำรองสำหรับการยืนยันเพิ่ม และทางเลือก passkey ส่วน หน้าบัญชีถูกเข้าถึง แนะนำให้ติดต่อซัพพอร์ตเมื่อเข้าไม่ได้ เอกสารเหล่านี้เป็นแนวทางช่วยลูกค้า ไม่ใช่คำตอบต่อการทดลองของ PCMag หรือเหตุของ Radec

ขั้นตอนปัจจุบันและขอบเขตยังไม่ชัด แหล่งที่อ่านไม่ได้ให้บทสนทนาตรวจตัวตนล่าสุดของทุกภูมิภาค ยังไม่รู้ว่าฝ่ายช่วยเหลือไทยหรือเอเชียใช้เงื่อนไขเดียวกันหรือไม่ และไม่มีจำนวนกรณีผู้ใช้ทั่วไปที่ตรวจสอบครบ IGN ระบุว่าติดต่อ Sony เพื่อขอความเห็นแล้ว ส่วน PlayStation LifeStyle ยังรอการแก้ปัญหา จึงยืนยันไม่ได้ด้วยว่า Sony ปรับขั้นตอนเงียบ ๆ ไปแล้วหรือยัง

แล้วเราควรทำอะไร

คนเล่นทั่วไป: ลดข้อมูลที่คนแปลกหน้าเอาไปอ้างได้

1. ใช้อีเมลสำหรับ PSN แยกจากอีเมลที่ต้องเปิดเผยต่อสาธารณะ ตามคำแนะนำของ PlayStation LifeStyle โดยเฉพาะคนที่ลงอีเมลติดต่องานไว้บนเพจร้านหรือช่องทางทำงาน เป้าหมายคือไม่เปิดเผยอีเมลที่ผูกบัญชีโดยไม่จำเป็น
2. ตั้งรายการเกมที่เล่นล่าสุดให้เป็นส่วนตัว หรือให้เฉพาะเพื่อนเห็น ตาม PlayStation LifeStyle และอย่าเพิ่มคนที่ไม่รู้จักเข้ารายชื่อเพื่อน ข่าวเสนอวิธีนี้เพื่อลดข้อมูลเกี่ยวกับการซื้อ ไม่ได้รับประกันว่าปิดแล้วจะกันการยึดบัญชีได้ทั้งหมด
3. อย่าโพสต์ภาพที่มีเลขธุรกรรม และหากยังไม่เคยเปิดเผยชื่อผู้เล่น PSN ต่อสาธารณะก็หลีกเลี่ยง ตาม PlayStation LifeStyle แม้ใบเสร็จเก่าก็ไม่ควรถูกมองว่าปลอดภัยโดยอัตโนมัติ PCMag รายงานกรณีที่ข้อมูลการซื้อเก่าซึ่งเคยเผยแพร่ ถูกนำมาอ้างกับซัพพอร์ต
4. ใช้ตัวเลือกยืนยันตัวตนและเก็บรหัสสำรองตาม แนวทาง PlayStation ข่าวทางกู้บัญชีไม่ได้เป็นเหตุให้เลิกป้องกันการเข้าสู่ระบบ แต่ต้องเข้าใจว่าการป้องกันนี้ไม่ใช่คำรับรองเรื่องกระบวนการซัพพอร์ต

ผู้ปกครอง: ตรวจทั้งวงเงินและบัญชีที่ลูกใช้

1. ตรวจวงเงินใช้จ่ายของบัญชีเด็ก และเช็กว่าเด็กใช้บัญชีของตัวเอง ตามข้อมูล PlayStation ทางการ หากพบว่าเด็กใช้บัญชีผู้ใหญ่ หน้าเดียวกันแนะนำให้ติดต่อฝ่ายช่วยเหลือ แยกเรื่องนี้ออกจากเหตุบัญชีถูกยึด เพราะเป็นความเสี่ยงคนละแบบ
2. เมื่อมีรายการจ่ายเงินที่ไม่รู้จัก ให้ดูประวัติธุรกรรมและค่าต่ออายุสมาชิกก่อน ตาม PlayStation ทางการ อย่าสัญญากับลูกว่าจะคืนเงินได้ทันที เอกสารระบุว่าการคืนเงินมีข้อจำกัดตามประเภทการชำระ
3. ใช้สิทธิ์ผู้จัดการครอบครัวดูแลความเป็นส่วนตัวของเด็ก ตาม Account & Security หน้าเดียวกันเตือนไม่ให้เผยที่อยู่ เบอร์โทร หรือรายละเอียดส่วนตัว การคุยเรื่องสิ่งที่โพสต์ได้จึงเป็นส่วนหนึ่งของการดูแลบัญชีด้วย

คนที่เข้าไม่ได้หรือได้รับอีเมลเปลี่ยนบัญชีผิดปกติ

1. เปลี่ยนรหัสผ่านอีเมลตาม คำแนะนำ PlayStation หากทำไม่ได้ให้ติดต่อผู้ให้บริการอีเมล คำแนะนำนี้ช่วยรักษาบัญชีอีเมล แต่ไม่ใช่หลักฐานว่าต้นเหตุทุกกรณีมาจากอีเมลถูกเจาะ
2. ถ้ายังใช้อีเมลที่ผูกไว้ได้ ใช้กระบวนการกู้บัญชีจากหน้า Account Management ตาม PlayStation ทางการ แล้วตรวจลิงก์ยืนยันที่ส่งเข้ามา หากเข้าไม่ได้หรือเปลี่ยนวิธีเข้าสู่ระบบไม่ได้ ให้ติดต่อ PlayStation Support ตาม หน้าบัญชีถูกเข้าถึง
3. หากปัญหาเกี่ยวกับยอดชำระ อย่าเข้าใจว่าขอธนาคารย้อนรายการแล้วบัญชีจะกลับมาทันที PlayStation ระบุว่าการย้อนรายการชำระอาจทำให้บัญชีหรือเครื่องถูกระงับระหว่างตรวจสอบ นี่คือเงื่อนไขที่ต้องรู้ก่อนจัดการเรื่องเงิน ไม่ใช่คำแนะนำให้ละทิ้งสิทธิ์ของตัวเอง

ผมมองว่า…

ผมมองว่า ประเด็นนี้ไม่ใช่ผู้เล่นตั้งรหัสผ่านไม่เก่ง แต่คือการพิสูจน์เจ้าของบัญชีตอนขอกู้ต้องเชื่อถือได้พอ หลักฐานการทดลองของ PCMag ทำให้เห็นว่าเพิ่มความปลอดภัยตอนเข้าสู่ระบบอย่างเดียวไม่ครอบคลุมทุกทาง ความรับผิดชอบจึงไม่ควรจบที่ให้ลูกค้าจำรหัสให้ดีขึ้น

ผมมองว่า ข้อแลกเปลี่ยนที่ Wolf’s Gaming Blog ชี้ไว้มีเหตุผล เจ้าของจริงที่มือถือหายหรือเข้าอีเมลไม่ได้ก็ต้องมีทางกลับมา แต่ความสะดวกควรไปด้วยกันกับการตรวจตัวตนที่เหมาะสม และคำอธิบายที่ผู้เสียหายเข้าใจได้ เราไม่ควรต้องมีชื่อเสียงก่อน ถึงจะรู้ว่าบัญชีตัวเองมีทางกู้คืน

ผมมองว่า ผู้เล่นไทยควรทำสิ่งที่ควบคุมได้ก่อน โดยไม่รับภาระพิสูจน์ว่าระบบทั้งบริษัทปลอดภัยหรือไม่ คำแนะนำลดข้อมูลสาธารณะของ PlayStation LifeStyle เป็นจุดเริ่มต้นที่จับต้องได้ ส่วนการตัดสินใจซื้อเกมต่อ ควรรับรู้ข้อจำกัดของบัญชีดิจิทัลและข้อมูลที่ยังขาด ไม่ใช้ข่าวเดียวตัดสินว่าทุกคนจะเสียเกมแน่นอน

ปิดท้าย: สิ่งที่ต้องจับตา

การรักษาเกมที่ซื้อไว้ ต้องมองถึงวันที่เจ้าของขอสิทธิ์กลับคืนด้วยครับ สิ่งที่ควรจับตาคือคำชี้แจงจาก Sony ต่อเรื่องที่ IGN ติดต่อถาม และหลักฐานว่าขั้นตอนตรวจเจ้าของบัญชีเปลี่ยนอย่างไร อีกเรื่องคือผู้ใช้ทั่วไปได้รับความช่วยเหลือแบบใด เมื่อไม่มีช่องทางติดต่อพิเศษเหมือน Radec

คุณเคยโพสต์ใบเสร็จซื้อเกมที่เห็นเลขธุรกรรมลงกลุ่มสาธารณะหรือไม่?

Recap

• เกิดอะไรขึ้น: Radec ถูกยึดบัญชีและได้คืนแล้ว แต่ยอมรับว่าสถานะของตัวเองช่วยให้แก้เร็ว ตาม IGN
• ตัวเลขที่ต้องจำ: ยอดกว่า 20,000 ดอลลาร์ เป็นคำประเมินของ Wenzler รายเดียว แปลว่าไม่ใช่ยอดเสียหายรวม ตาม PCMag
• ใครเห็นต่าง: Radec เรียกร้องให้แก้ระบบ ขณะที่ Wolf’s Gaming Blog ชี้ข้อแลกเปลี่ยนกับความสะดวกในการกู้ ไม่ได้ยืนยันว่าปัญหาจบแล้ว
• ยังไม่รู้: ขั้นตอนซัพพอร์ตล่าสุด ขอบเขตในไทย การปรับระบบที่ยังไม่ประกาศ และจำนวนผู้เสียหายทั่วไป
• กระทบคุณ: รักษาข้อมูลบัญชีและใบเสร็จ ตรวจวงเงินครอบครัว และแยกยอดจ่ายผิดปกติออกจากการยึดบัญชี
• จับตา: คำตอบของ Sony และการช่วยผู้ใช้ที่ไม่มีคนรู้จักพิเศษ
• แหล่งข่าว: 1 PCMag · 2 PlayStation LifeStyle · 3 IGN · 4 Push Square · 5 Wolf’s Gaming Blog · 6 PlayStation: บัญชีถูกเข้าถึง · 7 PlayStation: บัญชีและความปลอดภัย