เครื่องมือ AI ส่องคู่แข่งที่ขอรหัสผ่านบัญชีโฆษณา อันตรายแค่ไหน

มีข้อความทักมาในแชตเพจ หรือโผล่เป็นโฆษณาในฟีดของคุณเอง เสนอเครื่องมือ AI ที่บอกว่าจะช่วย "ส่องคู่แข่ง" ให้เห็นหมดว่าเขายิงแอดอะไรอยู่ งบเท่าไหร่ ยิงกี่วันแล้ว ข้อความโฆษณาไหนที่คนกดเยอะ ฟังดูน่าสนใจมาก เพราะเรื่องพวกนี้ปกติต้องเดาเอาเองหรือดูจากไลบรารีโฆษณาที่ข้อมูลไม่ครบ

วิธีสมัครใช้งานก็ง่ายจนแปลก แค่กรอกอีเมลกับรหัสผ่านที่ใช้เข้าบัญชีโฆษณาของร้านคุณเองลงในหน้าเว็บของเครื่องมือนั้น ไม่ใช่ปุ่ม "เข้าสู่ระบบด้วยเฟซบุ๊ก" หรือ "เข้าสู่ระบบด้วยกูเกิล" ที่คุ้นตา แต่เป็นช่องกรอกอีเมลกับรหัสผ่านตรง ๆ เหมือนเว็บทั่วไป

คุณอาจจะกรอกไปแล้วโดยไม่ทันคิด เพราะรีบอยากรู้ว่าคู่แข่งทำอะไรอยู่ หรืออาจจะกำลังลังเลอยู่ตอนนี้ว่าจะกรอกดีไหม เพราะมีคนในกลุ่มเจ้าของธุรกิจแนะนำเครื่องมือนี้มา บอกว่าใช้แล้วเห็นข้อมูลคู่แข่งละเอียดจริง

เรื่องนี้ไม่ใช่ความรู้สึกไม่สบายใจลอย ๆ มันมีเหตุผลทางเทคนิคที่อธิบายได้ชัดเจนว่าทำไมการกรอกรหัสผ่านบัญชีโฆษณาให้เครื่องมือหน้าไหนก็ตามที่ไม่ใช่ของแพลตฟอร์มเอง คือการเปิดประตูบ้านทั้งบานให้คนแปลกหน้าถือกุญแจสำรองไว้ ไม่ใช่แค่ยืมกล้องส่องเข้าไปดูอย่างที่โฆษณาบอก

กลไกเบื้องหลัง รหัสผ่านกับสิทธิ์เข้าถึงคือคนละเรื่องกัน

แพลตฟอร์มโฆษณาอย่างเฟซบุ๊กและกูเกิล ออกแบบระบบไว้แล้วสำหรับกรณีที่คุณอยากให้เครื่องมือภายนอกเข้ามาอ่านข้อมูลบัญชีโฆษณาของคุณ ระบบนั้นเรียกว่า OAuth ซึ่งแปลเป็นไทยได้ประมาณว่า ระบบอนุญาตสิทธิ์แบบจำกัดขอบเขต หลักการคือคุณกดปุ่ม "เชื่อมต่อกับเฟซบุ๊ก" แล้วหน้าจอจะพาคุณไปล็อกอินบนเว็บของเฟซบุ๊กเองโดยตรง ไม่ใช่ล็อกอินบนเว็บของเครื่องมือนั้น จากนั้นเฟซบุ๊กจะถามคุณว่าจะให้เครื่องมือนี้เห็นอะไรได้บ้าง เช่น ดูรายงานผลแอดอย่างเดียว หรือแก้ไขแอดได้ด้วย คุณเลือกได้ และกดยกเลิกสิทธิ์นี้เมื่อไหร่ก็ได้ทีหลัง โดยที่รหัสผ่านจริงของคุณไม่เคยไปอยู่ในมือใครนอกจากเฟซบุ๊ก

เครื่องมือที่ขอให้คุณกรอกอีเมลกับรหัสผ่านลงในหน้าเว็บของมันเอง ข้ามระบบนี้ไปทั้งหมด สิ่งที่เกิดขึ้นคือรหัสผ่านจริงของคุณถูกส่งไปเก็บไว้ในเซิร์ฟเวอร์ของบริษัทที่คุณไม่รู้จัก แล้วบริษัทนั้นก็ใช้รหัสผ่านนั้นสวมรอยเข้าไปล็อกอินแทนคุณ ทำงานเหมือนเป็นคุณเปี๊ยบ ไม่มีขอบเขตจำกัดว่าเข้าถึงได้แค่ไหน เพราะระบบมองว่านี่คือคุณกำลังล็อกอินเอง

ตรงนี้คือความต่างที่สำคัญที่สุด เครื่องมือแบบ OAuth ต่อให้ถูกแฮกก็ได้ข้อมูลไปแค่เท่าที่คุณอนุญาตไว้ ถอนสิทธิ์ได้ทันทีโดยไม่ต้องเปลี่ยนรหัสผ่านตัวเอง ส่วนเครื่องมือแบบขอรหัสผ่านตรง ๆ ถ้าฝั่งเขาถูกแฮกหรือตั้งใจทำไม่ดีเสียเอง เขาได้ทุกอย่างที่บัญชีคุณทำได้ ทั้งดูข้อมูลลูกค้า ดูวิธีการจ่ายเงินที่ผูกไว้ และที่อันตรายที่สุดคือแก้ไขหรือสร้างแคมเปญโฆษณาใหม่ได้เลย

เคสที่เกิดขึ้นจริงกับบัญชีโฆษณาที่ถูกขโมยแบบนี้ มักไม่ใช่การขโมยข้อมูลไปขาย แต่เป็นการแอบใช้บัตรเครดิตที่ผูกไว้กับบัญชีคุณ ยิงแอดของคนร้ายเองในชื่อบัญชีคุณ บางครั้งเป็นแอดขายของผิดกฎหมายหรือของปลอม งบที่ถูกใช้ไปหลักหมื่นหลักแสนภายในไม่กี่ชั่วโมง กว่าคุณจะรู้ตัวก็ตอนที่ใบแจ้งหนี้มาถึง หรือแย่กว่านั้นคือบัญชีถูกระงับเพราะไปยิงแอดผิดกฎแพลตฟอร์มโดยที่คุณไม่ได้ทำ

อีกจุดที่คนมองข้ามคือ บัญชีโฆษณาส่วนใหญ่ผูกอยู่กับบัญชีเฟซบุ๊กส่วนตัวของเจ้าของร้าน ซึ่งมักผูกต่อไปถึงเพจร้าน กลุ่มลูกค้า และบางทีก็เป็นบัญชีเดียวกับที่ใช้คุยกับลูกค้าทางแมสเซนเจอร์ทุกวัน คนที่ได้รหัสผ่านไปจึงไม่ได้แค่เห็นข้อมูลโฆษณา แต่มีสิทธิ์เท่าคุณในทุกอย่างที่บัญชีนั้นเชื่อมโยงถึง รวมถึงเปลี่ยนรหัสผ่านทิ้งคุณออกจากบัญชีตัวเองได้ด้วยซ้ำ

ส่วนคำถามที่ว่า แล้วเครื่องมือพวกนี้ได้ข้อมูลคู่แข่งมาจากไหนโดยไม่ต้องขอรหัสผ่านใครเลย คำตอบคือข้อมูลโฆษณาที่กำลังยิงอยู่จริงบนเฟซบุ๊กหรือกูเกิลนั้น เปิดให้คนทั่วไปดูได้อยู่แล้วผ่านไลบรารีโฆษณาของแพลตฟอร์มเอง เครื่องมือวิเคราะห์คู่แข่งที่ทำงานถูกต้องจะไปดึงข้อมูลจากไลบรารีสาธารณะนี้มาจัดเรียงให้ดูง่ายขึ้นเท่านั้น ไม่มีความจำเป็นต้องรู้รหัสผ่านบัญชีของคุณเลยแม้แต่น้อย เพราะข้อมูลที่มันอ้างว่าจะโชว์ให้ดู ไม่ได้อยู่ในบัญชีของคุณตั้งแต่แรก

ผมเจอเจ้าของร้านมาหลายรายที่กรอกรหัสผ่านไปแล้วเพราะเห็นว่าเพื่อนในกลุ่มก็ใช้กัน โดยไม่มีใครถามคำถามง่าย ๆ ว่าทำไมเครื่องมือที่แค่จะโชว์ข้อมูลคู่แข่ง ถึงต้องขอกุญแจเข้าบ้านเราด้วย

ตรวจสอบตัวเองก่อน ว่าเคยเผลอให้สิทธิ์ไปหรือยัง

ใช้เวลาประมาณสิบห้านาทีไล่เช็กเจ็ดข้อนี้ ถ้าตอบไม่ได้ในข้อไหน ให้ถือว่าจุดนั้นเป็นความเสี่ยงที่ต้องตามไปดูต่อ

ข้อที่สองมักเป็นข้อที่คนตกใจที่สุดเวลาไปเปิดดูจริง เพราะมักเจอแอปที่เคยกดยินยอมไปนานแล้วจนลืม บางตัวเป็นเครื่องมือที่เลิกใช้ไปหลายปีแต่สิทธิ์ยังค้างอยู่ ให้ถือว่าตัวไหนที่จำไม่ได้ว่าคืออะไร ให้ถอนสิทธิ์ทิ้งไปเลยไม่ต้องเสียดาย

ขั้นตอนที่ทำเองได้ ไม่ต้องพึ่งใคร

หนึ่ง ไล่เช็กว่ามีแอปแปลกปลอมเชื่อมต่ออยู่ไหม แล้วถอนสิทธิ์ที่ไม่รู้จัก

ใช้เวลาประมาณยี่สิบนาที ต้องมีแค่มือถือหรือคอมพิวเตอร์ที่ล็อกอินบัญชีเฟซบุ๊กหรือกูเกิลของธุรกิจอยู่

เข้าไปที่ตั้งค่าบัญชี มองหาเมนูที่เกี่ยวกับแอปและเว็บไซต์ที่เชื่อมต่อ หรือความเป็นส่วนตัวและความปลอดภัย จะเจอรายการแอปทั้งหมดที่เคยได้รับอนุญาตให้เข้าถึงบัญชี ไล่อ่านทีละตัวว่าคืออะไร ถ้าจำไม่ได้ว่าเคยสมัครตอนไหน หรือไม่ได้ใช้งานแล้ว ให้กดถอนสิทธิ์ทันที

ระหว่างไล่ดู ให้สังเกตว่าแอปตัวไหนขอสิทธิ์เกินความจำเป็น เช่น เครื่องมือทำกราฟิกแต่ขอสิทธิ์แก้ไขแคมเปญโฆษณาด้วย แบบนี้ให้ถอนออกแม้จะยังใช้งานอยู่ แล้วหาทางเลือกอื่นที่ขอสิทธิ์แค่เท่าที่จำเป็นจริง

ดูยังไงว่าได้ผล หลังเช็กเสร็จ รายการแอปที่เชื่อมต่ออยู่ควรเหลือแค่ตัวที่คุณใช้งานจริงและจำได้ว่าทำไมถึงเชื่อมไว้ ทุกตัวควรเป็นสิทธิ์แบบจำกัดขอบเขต ไม่ใช่การกรอกรหัสผ่านตรง ๆ

สอง เปลี่ยนรหัสผ่านทันทีถ้าเคยกรอกให้เครื่องมือภายนอก

ใช้เวลาประมาณสิบนาที ต้องมีอีเมลที่ผูกกับบัญชีอยู่ในมือ เพื่อรับรหัสยืนยัน

ถ้านึกออกว่าเคยกรอกอีเมลกับรหัสผ่านบัญชีโฆษณาลงในเว็บเครื่องมือตัวไหนก็ตามที่ไม่ใช่หน้าล็อกอินทางการของแพลตฟอร์ม ให้ถือว่ารหัสผ่านนั้นรั่วไปแล้วแน่นอน ไม่ต้องรอดูว่ามีอะไรผิดปกติก่อน เปลี่ยนรหัสผ่านทันที และถ้ารหัสผ่านตัวเดิมนั้นถูกใช้ซ้ำกับบัญชีอื่นด้วย ต้องเปลี่ยนบัญชีอื่นนั้นด้วยเช่นกัน

ตั้งรหัสผ่านใหม่ให้ยาวและไม่ซ้ำกับที่ใช้ที่อื่น แล้วบันทึกไว้ในที่ที่ปลอดภัย ไม่ใช่จดในโน้ตมือถือแบบเปิดอ่านได้ทุกแอป

ดูยังไงว่าได้ผล ล็อกอินด้วยรหัสผ่านเก่าไม่ได้อีกแล้ว และเช็กประวัติการเข้าสู่ระบบล่าสุดในหน้าความปลอดภัย ไม่มีอุปกรณ์หรือตำแหน่งแปลกหน้าที่ไม่ใช่ของทีมคุณ

สาม เปิดการยืนยันตัวตนสองขั้นตอนให้ทุกบัญชีที่เกี่ยวกับโฆษณา

ใช้เวลาประมาณสิบห้านาที ต้องมีมือถือเครื่องหลักที่พกติดตัวประจำ

เข้าไปที่ตั้งค่าความปลอดภัยของบัญชีโฆษณาแต่ละแพลตฟอร์มที่ใช้อยู่ เปิดการยืนยันตัวตนสองขั้นตอน เลือกใช้แอปสร้างรหัสยืนยันแทนการส่งรหัสผ่านทางเอสเอ็มเอส เพราะปลอดภัยกว่าในกรณีที่มือถือถูกสวมรอยเบอร์

ข้อนี้สำคัญเพราะต่อให้รหัสผ่านหลุดไปวันหน้าโดยไม่รู้ตัว คนร้ายก็ยังเข้าบัญชีไม่ได้ถ้าไม่มีมือถือของคุณอยู่ในมือ เป็นด่านที่สองที่กันความเสียหายได้เยอะที่สุดเมื่อเทียบกับเวลาที่ใช้ตั้งค่า

ดูยังไงว่าได้ผล ลองล็อกอินจากอุปกรณ์ใหม่ดูสักครั้ง ระบบต้องขอรหัสยืนยันเพิ่มก่อนเข้าได้ ถ้าเข้าได้เลยโดยไม่ถามอะไร แปลว่ายังตั้งค่าไม่สำเร็จ

สี่ วางระบบสิทธิ์ให้พนักงานและเอเจนซี แทนการแชร์รหัสผ่านกลาง

ใช้เวลาประมาณครึ่งชั่วโมงในการตั้งครั้งแรก ต้องมีรายชื่อคนที่ต้องเข้าถึงบัญชีโฆษณาตอนนี้อยู่ครบ

ถ้าตอนนี้ทีมงานหรือเอเจนซีที่จ้างมา เข้าบัญชีโฆษณาด้วยการขอรหัสผ่านกลางจากคุณโดยตรง ให้เปลี่ยนมาใช้ระบบเพิ่มผู้ดูแลบัญชีที่แพลตฟอร์มมีให้อยู่แล้ว ซึ่งกำหนดได้ว่าแต่ละคนเห็นอะไรได้บ้าง แก้ไขได้แค่ไหน และถอดออกได้ทันทีเมื่อเลิกจ้างกันโดยไม่ต้องเปลี่ยนรหัสผ่านทั้งระบบ

วิธีนี้ยังช่วยตรวจสอบย้อนหลังได้ด้วยว่าใครเข้าไปแก้อะไรเมื่อไหร่ ต่างจากการแชร์รหัสผ่านกลางที่พอมีอะไรผิดปกติ จะสืบไม่ได้เลยว่าเกิดจากใคร

ดูยังไงว่าได้ผล ทุกคนที่เกี่ยวข้องกับบัญชีโฆษณามีชื่อของตัวเองปรากฏในรายชื่อผู้ดูแล ไม่มีใครใช้บัญชีกลางร่วมกัน และไม่มีใครรู้รหัสผ่านหลักของบัญชีโฆษณานอกจากเจ้าของร้าน

อะไรที่ยังไม่ต้องรีบทำ

พอเจอเรื่องแบบนี้ หลายคนตกใจจนอยากเลิกใช้เครื่องมือ AI ทั้งหมดไปเลย แต่นั่นไม่ใช่ทางแก้ที่ถูกจุด

ยังไม่ต้องรีบเลิกใช้เครื่องมือวิเคราะห์คู่แข่งทุกตัว เครื่องมือกลุ่มนี้มีทั้งแบบที่ทำถูกต้องผ่านระบบอนุญาตสิทธิ์แบบจำกัดขอบเขตของแพลตฟอร์ม และแบบที่ขอรหัสผ่านตรง ๆ ปัญหาอยู่ที่วิธีเชื่อมต่อ ไม่ใช่ตัวไอเดียเรื่องดูข้อมูลคู่แข่ง ให้ดูแค่ว่าตอนสมัครมันพาไปล็อกอินหน้าเว็บของแพลตฟอร์มเองหรือไม่

ยังไม่ต้องรีบปิดบัญชีโฆษณาแล้วเปิดใหม่ ถ้าเช็กแล้วไม่พบแคมเปญแปลกปลอมและถอนสิทธิ์แอปที่น่าสงสัยไปหมดแล้ว การปิดบัญชีเดิมทำให้เสียประวัติการยิงแอด ข้อมูลกลุ่มเป้าหมายที่สะสมมา และอาจกระทบราคาที่แพลตฟอร์มเคยเรียนรู้ว่าเหมาะกับร้านคุณ ไม่คุ้มถ้ายังไม่มีสัญญาณผิดปกติจริง

ยังไม่ต้องรีบซื้อระบบตรวจสอบความปลอดภัยแบบองค์กรราคาแพง สำหรับธุรกิจขนาดเล็กถึงกลาง การเปิดยืนยันตัวตนสองขั้นตอน ตั้งรหัสผ่านให้รัดกุม และตรวจรายการแอปที่เชื่อมต่ออยู่เดือนละครั้ง เพียงพอกับความเสี่ยงที่เจอจริงแล้ว ระบบระดับองค์กรเหมาะกับตอนที่ทีมโตขึ้นและมีคนหลายสิบคนเข้าถึงบัญชีพร้อมกัน

ยังไม่ต้องรีบแจ้งความหรือแจ้งแพลตฟอร์มถ้ายังไม่มีความเสียหายเกิดขึ้นจริง ถ้าแค่กรอกรหัสผ่านไปแล้วรีบเปลี่ยนก่อนมีอะไรผิดปกติ ให้เฝ้าดูบิลกับกิจกรรมในบัญชีต่อไปอีกสองสามสัปดาห์ก่อน ค่อยดำเนินการต่อถ้าเจอความเสียหายจริง เก็บหลักฐานไว้เผื่อจำเป็น แต่ไม่ต้องรีบร้อนก่อนรู้ว่ามีปัญหาจริงหรือเปล่า

เริ่มตรงไหนอาทิตย์นี้

ถ้ามีเวลาว่างแค่ชั่วโมงเดียวในอาทิตย์นี้ ให้ทำสามอย่างเรียงตามลำดับ

อย่างแรก เปิดหน้าตั้งค่าความปลอดภัยของบัญชีเฟซบุ๊กและบัญชีกูเกิลที่ใช้ยิงแอด ไล่ดูรายการแอปที่เชื่อมต่ออยู่ ถอนสิทธิ์ตัวที่จำไม่ได้หรือไม่ได้ใช้แล้วออกให้หมด

อย่างที่สอง ถ้านึกออกว่าเคยกรอกรหัสผ่านให้เว็บไหนที่ไม่ใช่หน้าล็อกอินทางการ เปลี่ยนรหัสผ่านทันทีก่อนทำอย่างอื่น อย่าปล่อยค้างไว้ข้ามคืน

อย่างที่สาม เปิดการยืนยันตัวตนสองขั้นตอนถ้ายังไม่ได้เปิด ข้อนี้ใช้เวลาไม่ถึงสิบนาทีแต่กันความเสียหายได้มากที่สุดเมื่อเทียบกับแรงที่ลงไป

ส่วนเรื่องอยากรู้ข้อมูลคู่แข่ง ไว้ค่อยกลับมาทำอาทิตย์หน้า ตอนนั้นค่อยเลือกเครื่องมือที่เชื่อมต่อผ่านระบบอนุญาตสิทธิ์ของแพลตฟอร์มจริง ไม่ใช่ตัวที่ขอรหัสผ่านตรง ๆ ความปลอดภัยของบัญชีมาก่อนความอยากรู้เสมอ เพราะบัญชีที่เสียหายแก้ยากกว่าการรอรู้ข้อมูลคู่แข่งอีกไม่กี่วัน