ทำไมใบแจ้งยอดธนาคารจึงมีรหัสผ่านป้องกัน

ธนาคารเข้ารหัส PDF ใบแจ้งยอดด้วยรหัสผ่านที่สร้างจากข้อมูลของคุณ เพื่อให้เนื้อหาอ่านไม่ได้หากอีเมลไปถึงคนที่ไม่ใช่เจ้าของ

ธนาคารตั้งรหัสผ่านให้ใบแจ้งยอดที่ส่งทางอีเมล เพราะอีเมลส่งผิดคน ส่งต่อ หรือถูกเจาะเข้าไปได้ง่าย PDF ถูกเข้ารหัส และรหัสผ่านสร้างจากข้อมูลที่มีแต่คุณกับธนาคารควรรู้ คนที่ได้ไฟล์ไปจึงอ่านรายการธุรกรรม ยอดคงเหลือ หรือเลขบัญชีของคุณไม่ได้

รหัสผ่านทำอะไรจริง ๆ

รหัสผ่านเปิด PDF เข้ารหัสเนื้อหาของเอกสาร ถ้าไม่มีรหัสผ่าน โปรแกรมอ่าน PDF จะเห็นข้อมูลที่ถูกสับสน ไม่ใช่ข้อความที่ซ่อนอยู่ ซึ่งต่างจากรหัสผ่าน "สิทธิ์" ที่จำกัดแค่การพิมพ์หรือคัดลอกในโปรแกรมอ่านที่เคารพการตั้งค่า (Adobe: Password security overview) ใบแจ้งยอดธนาคารใช้รหัสผ่านเปิดไฟล์ เพราะเป้าหมายคือรักษาเนื้อหาให้เป็นส่วนตัว

ธนาคารอธิบายไว้ในทำนองเดียวกัน เช่น Standard Chartered UAE ระบุว่า eStatements ของตน "encrypted with a unique password" (Standard Chartered UAE)

ป้องกันอะไรได้บ้าง

• ที่อยู่อีเมลผิด การพิมพ์ผิดตอนลงทะเบียนอีเมล หรือที่อยู่เก่าที่ตอนนี้คนอื่นเป็นเจ้าของ อาจทำให้ใบแจ้งยอดของคุณไปถึงคนแปลกหน้า
• กล่องจดหมายที่ใช้ร่วมกันหรือถูกแฮก คนในครอบครัวที่ใช้อุปกรณ์เดียวกัน หรือผู้โจมตีที่เข้าอีเมลของคุณได้ จะอ่านไฟล์แนบไม่ได้ถ้าไม่มีรหัสผ่าน
• การส่งต่อและการเก็บไฟล์ ใบแจ้งยอดไปอยู่ในโฟลเดอร์ดาวน์โหลด ข้อมูลสำรองบนคลาวด์ และแอปแชต การเข้ารหัสไปกับไฟล์ด้วย
• การฉ้อโกง ใบแจ้งยอดแสดงเลขบัญชี ที่อยู่ ยอดคงเหลือ และพฤติกรรมการใช้จ่าย ซึ่งเป็นข้อมูลที่มีประโยชน์ต่อการหลอกลวงและการสวมรอยตัวตน

ทำไมรหัสผ่านสร้างจากข้อมูลของคุณเอง

ธนาคารส่งรหัสผ่านสุ่มในอีเมลฉบับเดียวกันไม่ได้ เพราะใครที่อ่านอีเมลก็เห็นรหัสผ่านด้วย ธนาคารส่วนใหญ่จึงใช้ รูปแบบ ซึ่งมักเป็นการรวมชื่อ วันเกิด เบอร์มือถือ รหัสลูกค้า หรือเลขบัญชีของคุณ คุณคิดออกได้ คนแปลกหน้ามักคิดไม่ออก และธนาคารไม่ต้องส่งความลับเลย รูปแบบนั้นโดยปกติระบุไว้ในอีเมลใบแจ้งยอดหรือบนเว็บไซต์ของธนาคาร

ข้อเสียคือข้อมูลเหล่านี้ไม่ได้เป็นความลับจริง ๆ คนใกล้ชิดอาจรู้วันเกิดและเบอร์โทรของคุณ ให้มองว่ารหัสผ่านเป็นการป้องกันการเปิดเผยโดยบังเอิญ ไม่ใช่ตู้นิรภัย

เป็นข้อบังคับทางกฎหมายหรือไม่

ขึ้นอยู่กับประเทศ และกฎเกณฑ์แทบไม่เคยบอกว่า "ให้ใช้รหัสผ่าน PDF" ในอินเดีย Cyber Security Framework in Banks ของ Reserve Bank of India (2 มิถุนายน 2016) ระบุว่าธนาคารมีหน้าที่รับผิดชอบข้อมูลที่ถือครอง และควรรักษาความลับ ความถูกต้อง และความพร้อมใช้งาน พร้อมเสริมว่า "the confidentiality of such custodial information should not be compromised at any situation" (RBI circular) หนังสือเวียนไม่ได้กล่าวถึงใบแจ้งยอดทางอีเมลหรือรหัสผ่าน PDF โดยเฉพาะ ใบแจ้งยอดอิเล็กทรอนิกส์ที่มีรหัสผ่านเป็นวิธีหนึ่งที่ธนาคารใช้ปฏิบัติตามหน้าที่ในวงกว้างนั้น เราไม่พบกฎของ RBI ที่กำหนดให้ใช้รหัสผ่าน PDF กับใบแจ้งยอด

ในประเทศอื่น กฎหมายคุ้มครองข้อมูลโดยทั่วไปกำหนดให้องค์กรปกป้องข้อมูลส่วนบุคคล การเข้ารหัสใบแจ้งยอดเป็นวิธีที่พบบ่อย แต่วิธีที่แน่นอนมักปล่อยให้เป็นเรื่องของธนาคาร

สิ่งนี้หมายความกับคุณ

• อย่าแชร์รหัสผ่านในข้อความเดียวกับ PDF
• ถ้าลบรหัสผ่านเพื่อความสะดวก ให้เก็บสำเนาที่ปลดล็อกไว้ในที่ส่วนตัว
• เก็บตัวรหัสผ่านไว้อย่างปลอดภัย ไม่ใช่ในโน้ตธรรมดา
• ถ้าอีเมล "ใบแจ้งยอด" ขอให้คลิกลิงก์และใส่รหัสเข้าเน็ตแบงก์กิ้งเพื่อเปิด ให้ถือว่าอาจเป็นฟิชชิง ใบแจ้งยอดจริงขอเพียงรหัสผ่าน PDF

ถ้าการพิมพ์รหัสผ่านใหม่ทุกเดือนน่าเบื่อ คุณบันทึกสำเนาที่ปลดล็อกด้วย Preview บน Mac หรือ UnKey บน iPhone, iPad หรือ Mac (ออฟไลน์ ไม่อัปโหลดอะไร) ได้ ทำเฉพาะบนอุปกรณ์ที่คุณใช้คนเดียว

คำถาม

แหล่งข้อมูล

• Reserve Bank of India – Cyber Security Framework in Banks (2 June 2016)
• Standard Chartered UAE – Online eStatements
• Adobe – Password security overview in Acrobat

รูปแบบอาจเปลี่ยนแปลงได้ หากรหัสผ่านใช้ไม่ได้ ให้ตรวจสอบอีเมลที่ส่งมาพร้อมเอกสาร หรือติดต่อผู้ออกเอกสาร UnKey ไม่มีส่วนเกี่ยวข้องกับธนาคาร นายจ้าง หรือหน่วยงานใดที่กล่าวถึงในที่นี้

แปลจากภาษาอังกฤษ หากมีข้อแตกต่าง ให้ถือตามหน้าภาษาอังกฤษ