แนวข้อสอบอินเทอร์เน็ตและความปลอดภัยไซเบอร์ 51 ข้อ พร้อมเฉลย

ตอบข้อ 2. Phishing

Phishing คือการหลอกลวงแบบแอบอ้างเพื่อขโมยข้อมูลส่วนตัว ส่วน Spam คืออีเมลขยะทั่วไป Firewall คือระบบป้องกันเครือข่าย และ Ransomware คือมัลแวร์เรียกค่าไถ่

ตอบข้อ 2. มีการเข้ารหัสข้อมูลระหว่างรับส่ง ทำให้ปลอดภัยกว่า

ตัว "s" ใน https ย่อมาจาก Secure หมายถึงมีการเข้ารหัสข้อมูล (SSL/TLS) ระหว่างเบราว์เซอร์กับเซิร์ฟเวอร์ ทำให้ผู้อื่นดักอ่านข้อมูล เช่น รหัสผ่านหรือเลขบัตรเครดิต ได้ยาก จึงควรตรวจสอบว่าเว็บที่กรอกข้อมูลสำคัญเป็น https เสมอ

ตอบข้อ 3. Ransomware

Ransomware (มัลแวร์เรียกค่าไถ่) จะเข้ารหัสไฟล์ของเหยื่อแล้วเรียกเงินเพื่อแลกกับกุญแจถอดรหัส ส่วน Spyware ลอบเก็บข้อมูล, Adware แสดงโฆษณารบกวน และ Trojan ปลอมตัวเป็นโปรแกรมปกติเพื่อแฝงตัวเข้าเครื่อง

ตอบข้อ 1. Phishing

Phishing คือการหลอกลวงทางอิเล็กทรอนิกส์โดยปลอมตัวเป็นองค์กรที่น่าเชื่อถือ เพื่อล้วงข้อมูลสำคัญของเหยื่อ

ตอบข้อ 2. Ransomware

Ransomware (มัลแวร์เรียกค่าไถ่) จะเข้ารหัสไฟล์ในเครื่องแล้วเรียกร้องเงินเพื่อแลกกับการปลดล็อก การสำรองข้อมูลสม่ำเสมอเป็นวิธีป้องกันความเสียหายที่ดีที่สุด

ตอบข้อ 2. มีการเข้ารหัสข้อมูลระหว่างเบราว์เซอร์กับเซิร์ฟเวอร์

ตัว S ใน HTTPS ย่อมาจาก Secure หมายถึงมีการเข้ารหัสข้อมูลด้วย TLS ทำให้ผู้อื่นดักอ่านข้อมูลระหว่างทางไม่ได้ ควรตรวจสอบเสมอก่อนกรอกข้อมูลสำคัญ

ตอบข้อ 2. การยืนยันเพิ่มอีกชั้นนอกจากรหัสผ่าน เช่น รหัส OTP หรือแอปยืนยันตัวตน

2FA (Two-Factor Authentication) คือการเพิ่มการยืนยันอีกชั้นนอกเหนือจากสิ่งที่คุณ "รู้" (รหัสผ่าน) เช่น สิ่งที่คุณ "มี" (โทรศัพท์รับ OTP) แม้รหัสผ่านหลุด ผู้อื่นก็ยังเข้าบัญชีไม่ได้

ตอบข้อ 3. ตัวอักษรพิมพ์ใหญ่-เล็ก ตัวเลข และอักขระพิเศษ ผสมกันและมีความยาวมาก

รหัสผ่านที่แข็งแรงต้องยาวและคาดเดายาก การผสมตัวพิมพ์ใหญ่-เล็ก ตัวเลข และอักขระพิเศษทำให้จำนวนความเป็นไปได้เพิ่มขึ้นมหาศาล ส่วนข้อมูลส่วนตัวและคำในพจนานุกรมถูกเดาได้ง่ายมาก

ตอบข้อ 2. กู้คืนข้อมูลได้เมื่อข้อมูลต้นฉบับเสียหายหรือสูญหาย

การสำรองข้อมูลคือการทำสำเนาเก็บไว้ต่างหาก เพื่อกู้คืนได้เมื่อต้นฉบับเสียหาย ถูกลบ หรือถูกมัลแวร์เรียกค่าไถ่เข้ารหัส — เป็นวิธีป้องกันความเสียหายจาก Ransomware ที่ได้ผลที่สุด

ตอบข้อ 3. ปฏิเสธและวางสาย เพราะธนาคารไม่มีนโยบายขอรหัส OTP จากลูกค้า แล้วติดต่อกลับธนาคารเองผ่านหมายเลขทางการ

รหัส OTP คือกุญแจยืนยันธุรกรรมชั้นสุดท้าย ธนาคารและหน่วยงานที่แท้จริงไม่มีนโยบายขอ OTP จากลูกค้าไม่ว่ากรณีใด การโทรมาสร้างความเร่งด่วนเพื่อขอ OTP เป็นรูปแบบหนึ่งของการหลอกลวงทางเสียง (vishing) แนวทางที่ถูกต้องคือวางสายและติดต่อกลับธนาคารด้วยเบอร์ทางการที่ตรวจสอบเองเท่านั้น ตัวลวง: การบอก OTP บางส่วนก็ยังเป็นการเปิดเผยข้อมูลลับ และมิจฉาชีพอาจกดขอ OTP ใหม่แล้วหลอกถามซ้ำจนได้ครบ

ตอบข้อ 2. สร้างช่องทางสื่อสารที่เข้ารหัสระหว่างเครื่องผู้ใช้กับเซิร์ฟเวอร์ปลายทาง ทำให้ผู้อื่นในเครือข่ายเดียวกันดักอ่านข้อมูลได้ยาก

VPN สร้าง "อุโมงค์" ที่เข้ารหัสข้อมูลระหว่างเครื่องผู้ใช้กับเซิร์ฟเวอร์ VPN จึงเหมาะกับการใช้งาน Wi-Fi สาธารณะที่เสี่ยงต่อการถูกดักข้อมูล ตัวลวง: VPN ไม่ได้เพิ่มความเร็วเน็ต (มักช้าลงเล็กน้อยเพราะต้องเข้ารหัสและอ้อมผ่านเซิร์ฟเวอร์), ไม่ใช่โปรแกรมแอนติไวรัส และไม่ใช่ระบบสำรองข้อมูล

ตอบข้อ 1. เก็บข้อมูลอย่างน้อย 3 ชุด บนสื่อบันทึกอย่างน้อย 2 ชนิด และเก็บไว้นอกสถานที่อย่างน้อย 1 ชุด

กฎ 3-2-1 คือ มีสำเนาข้อมูลรวม 3 ชุด, เก็บบนสื่ออย่างน้อย 2 ชนิดที่ต่างกัน (เช่น ฮาร์ดดิสก์กับคลาวด์) และมีอย่างน้อย 1 ชุดเก็บไว้นอกสถานที่ (offsite) เพื่อให้รอดจากภัยที่ทำลายสถานที่เดียวกันทั้งหมด เช่น ไฟไหม้ น้ำท่วม หรือแรนซัมแวร์ที่เข้ารหัสไฟล์ทั้งเครือข่าย ตัวเลือกอื่นเป็นตัวเลขที่แต่งขึ้นให้ดูคล้าย ไม่ใช่ความหมายของกฎนี้

ตอบข้อ 3. แจ้งวัตถุประสงค์ของการเก็บรวบรวมให้เจ้าของข้อมูลทราบ และเก็บเพียงเท่าที่จำเป็นแก่วัตถุประสงค์นั้น

PDPA วางหลักสำคัญไว้ว่าต้องแจ้งวัตถุประสงค์ก่อนหรือขณะเก็บรวบรวม และเก็บข้อมูลเท่าที่จำเป็นตามวัตถุประสงค์ (data minimisation & purpose limitation) ตัวลวง: การเก็บเผื่อไว้ก่อนขัดกับหลักเก็บเท่าที่จำเป็น, การนำไปใช้นอกวัตถุประสงค์เดิมโดยไม่แจ้งหรือไม่มีฐานทางกฎหมายรองรับเป็นการฝ่าฝืน และการเผยแพร่ข้อมูลส่วนบุคคลต่อสาธารณะไม่ใช่ "ความโปร่งใส" แต่เป็นการเปิดเผยข้อมูลโดยมิชอบ

ตอบข้อ 2. ตัดการเชื่อมต่อเครือข่ายของเครื่องที่ติดทันที แจ้งผู้ดูแลระบบ แล้วกู้คืนข้อมูลจากสำเนาสำรองที่ไม่ถูกกระทบ

ลำดับที่ถูกต้องคือ กักกัน (ตัดเน็ต/ถอดสายแลน) เพื่อหยุดการแพร่กระจาย แจ้งผู้ดูแลระบบ แล้วกู้คืนจากแบ็กอัปที่แยกเก็บไว้ ตัวลวง: การจ่ายค่าไถ่ไม่รับประกันว่าจะได้กุญแจจริง เป็นการสนับสนุนอาชญากรรม และทำให้ตกเป็นเป้าซ้ำ, การเปิดไฟล์ซ้ำไม่ทำให้รหัสคลาย และการนำเครื่องที่ติดไปต่อกับเครือข่ายอื่นยิ่งทำให้แรนซัมแวร์แพร่ไปทั่วองค์กร

ตอบข้อ 4. ลายนิ้วมือหรือการสแกนใบหน้าของผู้ใช้

"สิ่งที่คุณเป็น" คือข้อมูลชีวมาตร (biometrics) เช่น ลายนิ้วมือ ใบหน้า ม่านตา ตัวลวง: รหัสผ่านและคำถามกันลืมรหัสผ่านเป็น "สิ่งที่คุณรู้" ส่วน OTP ที่ส่งไปยังโทรศัพท์เป็น "สิ่งที่คุณมี" (ต้องครอบครองอุปกรณ์นั้น) จึงไม่ใช่คำตอบ

ตอบข้อ 1. Smishing

Smishing มาจาก SMS + Phishing คือการหลอกลวงผ่านข้อความสั้น (SMS) ตัวลวง: Vishing (Voice + Phishing) คือการหลอกลวงผ่านการโทรศัพท์คุยด้วยเสียง, Sniffing คือการดักจับแพ็กเก็ตข้อมูลที่วิ่งอยู่ในเครือข่าย ไม่ใช่การส่งข้อความหลอก และ Keylogging คือการแอบบันทึกการกดแป้นพิมพ์ของเหยื่อ

ตอบข้อ 3. ม้าโทรจัน (Trojan Horse)

ม้าโทรจันคือมัลแวร์ที่ "ปลอมตัว" เป็นโปรแกรมที่ดูปกติหรือมีประโยชน์ เพื่อหลอกให้ผู้ใช้ติดตั้งเอง แล้วเปิดประตูหลัง (backdoor) ให้ผู้โจมตี ตัวลวง: Worm แพร่กระจายตัวเองผ่านเครือข่ายโดยไม่ต้องหลอกให้ติดตั้ง, Adware เน้นแสดงโฆษณารบกวน และ Spyware เน้นแอบเก็บพฤติกรรม/ข้อมูลผู้ใช้ แต่จุดเด่นของโจทย์นี้คือการ "ปลอมตัวให้ผู้ใช้ติดตั้งเอง" ซึ่งตรงกับม้าโทรจัน

ตอบข้อ 3. ตั้งรหัสผ่านที่แตกต่างกันในแต่ละบัญชี และใช้โปรแกรมจัดการรหัสผ่าน (password manager) ช่วยจัดเก็บ

การใช้รหัสผ่านต่างกันทุกบัญชีร่วมกับโปรแกรมจัดการรหัสผ่าน ช่วยให้ได้รหัสผ่านที่ทั้งยาว สุ่ม และไม่ซ้ำกัน โดยจำเพียงรหัสผ่านหลักชุดเดียว ตัวลวง: การใช้รหัสผ่านเดียวกันทุกบัญชี แม้จะยาวมาก ก็อันตรายเพราะถ้าเว็บใดเว็บหนึ่งข้อมูลรั่ว ผู้โจมตีจะนำรหัสนั้นไปลองล็อกอินเว็บอื่นต่อ (credential stuffing), การแปะกระดาษไว้ที่หน้าจอเปิดให้คนรอบข้างเห็น และวันเกิด/เบอร์โทรเป็นข้อมูลที่คาดเดาได้ง่ายมาก

ตอบข้อ 2. ภายใน 72 ชั่วโมง

PDPA กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ และหากเหตุนั้นมีความเสี่ยงสูงที่จะกระทบสิทธิและเสรีภาพของบุคคล ต้องแจ้งเจ้าของข้อมูลส่วนบุคคลพร้อมแนวทางเยียวยาด้วย ตัวเลข 24 ชั่วโมง 7 วัน และ 30 วัน เป็นตัวลวงที่ไม่ตรงกับกฎหมาย

ตอบข้อ 4. ข้อมูลสุขภาพและข้อมูลชีวภาพ เช่น ลายนิ้วมือหรือใบหน้า

ข้อมูลอ่อนไหวตาม PDPA ได้แก่ ข้อมูลเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม และข้อมูลชีวภาพ ตัวลวง: ชื่อ-นามสกุล เบอร์โทรศัพท์ และที่อยู่ เป็นข้อมูลส่วนบุคคลทั่วไปที่ได้รับความคุ้มครองเช่นกัน แต่ไม่ถูกจัดเป็นข้อมูลอ่อนไหว

ตอบข้อ 4. หนอนคอมพิวเตอร์ (Worm)

Worm มีความสามารถแพร่กระจายตัวเองผ่านช่องโหว่ของระบบเครือข่ายได้เองโดยไม่ต้องอาศัยการกระทำของผู้ใช้ ตัวลวงสำคัญคือ Virus ซึ่งต้องอาศัย "โปรแกรมเจ้าบ้าน" หรือไฟล์พาหะ และต้องมีผู้ใช้เปิดไฟล์นั้นจึงจะทำงานและแพร่ต่อได้ ส่วน Adware เป็นเพียงโปรแกรมแสดงโฆษณารบกวน และ Spyware เน้นแอบเก็บข้อมูลผู้ใช้ ไม่ได้มีจุดเด่นที่การแพร่กระจายตัวเองผ่านเครือข่าย

ตอบข้อ 2. ไม่เปิดเผยรหัส OTP แก่ผู้ใดทั้งสิ้น ไม่ว่าจะอ้างตัวเป็นเจ้าหน้าที่หน่วยงานใด

OTP เป็นรหัสผ่านครั้งเดียวที่ยืนยันว่าผู้ทำรายการคือเจ้าของบัญชีจริง ธนาคารและหน่วยงานของรัฐไม่มีนโยบายขอ OTP จากลูกค้า การที่ผู้โทรรู้ชื่อและเลขบัญชีไม่ใช่หลักฐานว่าเป็นเจ้าหน้าที่จริง เพราะข้อมูลเหล่านี้อาจรั่วไหลมาก่อน การเก็บภาพหน้าจอหรือส่งต่อ SMS อัตโนมัติยิ่งเพิ่มช่องทางให้รหัสหลุด

ตอบข้อ 2. มีความผิดตามกฎหมาย และบัญชีอาจถูกระงับรวมทั้งถูกดำเนินคดี

กฎหมายกำหนดความผิดสำหรับผู้ที่เปิดหรือยินยอมให้ผู้อื่นใช้บัญชีเงินฝากหรือบัตรอิเล็กทรอนิกส์ของตนโดยมิได้มีเจตนาใช้เอง เพื่อใช้ในการกระทำความผิด รวมทั้งผู้ที่เป็นธุระจัดหาบัญชีให้ผู้อื่นด้วย เจ้าของบัญชีจึงมีความผิดแม้ไม่ได้เป็นผู้หลอกลวงเอง และมักถูกอายัดบัญชีทุกบัญชีที่มีอยู่ ไม่มีเกณฑ์จำนวนเงินขั้นต่ำ และการแจ้งธนาคารไม่ทำให้พ้นความผิด

ตอบข้อ 1. ผู้อื่นในเครือข่ายเดียวกันอาจดักจับข้อมูลที่รับส่ง หรือปลอมเป็นจุดกระจายสัญญาณเพื่อหลอกให้เชื่อมต่อ

เครือข่ายเปิดไม่มีการเข้ารหัสระดับเครือข่าย ผู้ไม่หวังดีที่อยู่ในวงเดียวกันจึงอาจดักจับการรับส่งข้อมูล หรือตั้งจุดกระจายสัญญาณปลอมที่ใช้ชื่อคล้ายของจริงเพื่อให้เหยื่อเชื่อมต่อเข้ามา แนวทางลดความเสี่ยงคือหลีกเลี่ยงการทำธุรกรรมการเงิน ใช้ VPN และเข้าเฉพาะเว็บไซต์ที่เป็น HTTPS

ตอบข้อ 2. เมื่อบริการใดบริการหนึ่งข้อมูลรั่วไหล ผู้ไม่หวังดีจะนำรหัสนั้นไปทดลองเข้าบริการอื่นของเราได้ทั้งหมด

เมื่อฐานข้อมูลของเว็บใดเว็บหนึ่งรั่วไหล ผู้ไม่หวังดีจะนำคู่ชื่อผู้ใช้และรหัสผ่านนั้นไปไล่ทดลองกับบริการอื่นเป็นชุด ๆ ซึ่งเรียกว่า credential stuffing การใช้รหัสซ้ำจึงทำให้จุดรั่วเพียงจุดเดียวลามไปทุกบัญชี ทางแก้คือใช้รหัสผ่านต่างกันในแต่ละบริการโดยอาศัยโปรแกรมจัดการรหัสผ่านช่วยจำ

ตอบข้อ 1. ไฟล์ข้อมูลขนาดเล็กที่เว็บไซต์ฝากไว้ในเบราว์เซอร์ เพื่อจดจำสถานะหรือการตั้งค่าของผู้ใช้

คุกกี้เป็นไฟล์ข้อมูลขนาดเล็กที่ช่วยให้เว็บไซต์จดจำได้ว่าเราเข้าสู่ระบบไว้แล้ว หรือเลือกภาษาใดไว้ คุกกี้เองไม่ใช่ไวรัสและทำงานเองไม่ได้ แต่คุกกี้เพื่อการติดตามจากบุคคลที่สามอาจถูกใช้ตามรอยพฤติกรรมการท่องเว็บ กฎหมายคุ้มครองข้อมูลส่วนบุคคลจึงกำหนดให้เว็บไซต์ต้องแจ้งและขอความยินยอมสำหรับคุกกี้ที่ไม่จำเป็นต่อการใช้งาน

ตอบข้อ 2. เพียงไม่บันทึกประวัติการเข้าชมและคุกกี้ไว้ในเครื่อง แต่เว็บไซต์และผู้ให้บริการเครือข่ายยังเห็นการใช้งานได้

โหมดไม่ระบุตัวตนจัดการเฉพาะร่องรอยที่เก็บไว้ในเครื่อง คือไม่บันทึกประวัติการเข้าชม คุกกี้ และข้อมูลที่กรอกในฟอร์ม แต่ไม่ได้ซ่อนตัวตนจากเว็บไซต์ปลายทาง ผู้ให้บริการอินเทอร์เน็ต หรือผู้ดูแลเครือข่ายของหน่วยงาน และไม่ได้ป้องกันมัลแวร์แต่อย่างใด

ตอบข้อ 2. ยืนยันตัวผู้ลงนามและตรวจพบได้ว่าเอกสารถูกแก้ไขหลังลงนามหรือไม่

ลายมือชื่อดิจิทัลอาศัยการเข้ารหัสแบบกุญแจคู่ ทำให้ผู้รับตรวจสอบได้ทั้งว่าใครเป็นผู้ลงนามและเนื้อหาถูกแก้ไขภายหลังหรือไม่ ซึ่งต่างจากการเข้ารหัสเพื่อความลับที่มุ่งไม่ให้ผู้อื่นอ่านได้ (ข้อ 4) ส่วนการแปลงเอกสารกระดาษเป็นข้อความที่แก้ไขได้เป็นงานของ OCR

ตอบข้อ 1. ข้อความถูกเข้ารหัสตั้งแต่เครื่องผู้ส่งจนถึงเครื่องผู้รับ โดยผู้ให้บริการตรงกลางอ่านเนื้อหาไม่ได้

การเข้ารหัสแบบต้นทางถึงปลายทางทำให้เฉพาะคู่สนทนาเท่านั้นที่ถอดรหัสอ่านได้ ผู้ให้บริการซึ่งเป็นทางผ่านจะเห็นเพียงข้อมูลที่เข้ารหัสแล้ว แนวคิดนี้ต่างจากการตั้งให้ข้อความหายไปเองซึ่งเป็นคุณสมบัติเรื่องอายุข้อความ ไม่ใช่การเข้ารหัส

ตอบข้อ 1. เครือข่ายของเครื่องคอมพิวเตอร์จำนวนมากที่ถูกมัลแวร์ยึดครองไว้ และถูกสั่งการจากระยะไกลพร้อมกัน

บ็อตเน็ตคือกลุ่มเครื่องที่ติดมัลแวร์และตกอยู่ใต้การควบคุมของผู้โจมตี เจ้าของเครื่องมักไม่รู้ตัว เครื่องเหล่านี้ถูกใช้ยิงโจมตีแบบ DDoS ส่งสแปม หรือขุดเหรียญดิจิทัล ส่วนโปรแกรมตอบแชตอัตโนมัติคือแชตบอต ซึ่งเป็นคนละเรื่องแม้จะมีคำว่าบอตเหมือนกัน

ตอบข้อ 2. การหลอกลวงโดยอาศัยจิตวิทยาและความไว้วางใจของคน เพื่อให้เหยื่อเปิดเผยข้อมูลหรือทำตามที่ต้องการ

วิศวกรรมสังคมโจมตีที่ "คน" แทนที่จะเจาะ "ระบบ" โดยอาศัยความเกรงใจ ความกลัว หรือความเร่งรีบ เช่น อ้างเป็นผู้บังคับบัญชาสั่งให้โอนเงินด่วน จุดสำคัญคือมาตรการทางเทคนิคอย่างเดียวป้องกันไม่ได้ ต้องอาศัยการฝึกอบรมและขั้นตอนการตรวจสอบยืนยันตัวตนควบคู่กัน ส่วนข้อ 1 คือการโจมตีแบบสุ่มรหัสผ่าน (Brute Force)

ตอบข้อ 2. ปลอมแปลงภาพ เสียง หรือวิดีโอของบุคคลให้เหมือนจริง จนใช้หลอกลวงหรือทำลายชื่อเสียงได้

Deepfake ใช้ปัญญาประดิษฐ์สังเคราะห์ใบหน้าและเสียงให้เหมือนบุคคลจริง จึงถูกนำไปใช้ปลอมเป็นผู้บริหารสั่งโอนเงิน ปลอมเป็นเจ้าหน้าที่รัฐ หรือสร้างคลิปทำลายชื่อเสียง แนวทางรับมือคือยืนยันผ่านช่องทางที่สองที่เชื่อถือได้เสมอ อย่าเชื่อเพียงเพราะเห็นภาพและได้ยินเสียง

ตอบข้อ 2. ไม่สแกน และแจ้งร้านค้าตรวจสอบ เพราะอาจเป็นคิวอาร์โค้ดปลอมที่เปลี่ยนบัญชีปลายทาง

คิวอาร์โค้ดเป็นเพียงภาพที่เข้ารหัสข้อมูลไว้ ใครก็พิมพ์ทับหรือแปะทับได้ วิธีป้องกันคือสังเกตร่องรอยการแปะทับ และก่อนกดยืนยันโอนต้องตรวจชื่อบัญชีปลายทางบนหน้าจอว่าตรงกับร้านค้าจริงหรือไม่ การที่แอปธนาคารเปิดขึ้นได้ไม่ได้ยืนยันว่าปลายทางถูกต้อง

ตอบข้อ 2. ตรวจสอบกับเว็บไซต์หรือช่องทางทางการของหน่วยงานนั้นก่อนว่ามีประกาศดังกล่าวจริงหรือไม่

การตรวจสอบย้อนกลับไปยังต้นทางทางการเป็นวิธีที่เชื่อถือได้ที่สุด ตราสัญลักษณ์คัดลอกมาใส่ได้ง่าย และการที่หลายคนส่งต่อกันมาเป็นเพียงเครื่องบ่งชี้ว่าข้อความแพร่กระจายเร็ว ไม่ใช่เครื่องยืนยันความจริง การรีบส่งต่อข้อมูลเท็จอาจเข้าข่ายเผยแพร่ข้อมูลอันเป็นเท็จเข้าสู่ระบบคอมพิวเตอร์ได้ด้วย

ตอบข้อ 4. สิทธิเรียกร้องให้ผู้ควบคุมข้อมูลเปิดเผยข้อมูลส่วนบุคคลของบุคคลอื่นให้แก่ตน

กฎหมายให้สิทธิแก่เจ้าของข้อมูลในการจัดการข้อมูล "ของตนเอง" ได้แก่ สิทธิได้รับแจ้ง ขอเข้าถึง ขอให้โอนย้าย คัดค้าน ขอให้ลบ ขอให้ระงับใช้ และขอให้แก้ไขให้ถูกต้อง แต่ไม่มีสิทธิเรียกดูข้อมูลของบุคคลอื่น เพราะจะกลายเป็นการละเมิดสิทธิของเจ้าของข้อมูลรายนั้นเสียเอง

ตอบข้อ 1. หลักการเก็บรวบรวมข้อมูลเท่าที่จำเป็นแก่วัตถุประสงค์

กฎหมายวางหลักว่าการเก็บรวบรวมข้อมูลส่วนบุคคลต้องจำกัดเพียงเท่าที่จำเป็นแก่วัตถุประสงค์ที่แจ้งไว้ การเก็บสำเนาบัตรประชาชนเกินความจำเป็นทำให้หน่วยงานแบกความเสี่ยงข้อมูลรั่วไหลโดยไม่จำเป็น ส่วนข้อ 3 ขัดกับหลักการจำกัดระยะเวลาเก็บรักษา จึงไม่ใช่หลักการที่กฎหมายรับรอง

ตอบข้อ 2. รีบติดต่อธนาคารเพื่อระงับบัญชีปลายทาง และแจ้งความผ่านระบบรับแจ้งความออนไลน์หรือสถานีตำรวจ พร้อมเก็บหลักฐานการโอนและบทสนทนาไว้

ความเร็วมีผลโดยตรงต่อโอกาสอายัดเงินก่อนถูกถอนออกไป จึงต้องแจ้งธนาคารและแจ้งความทันที และต้องเก็บหลักฐาน เช่น สลิปโอนเงิน หมายเลขบัญชี และบทสนทนาไว้ให้ครบ การลบข้อมูลทิ้งทำให้เสียพยานหลักฐาน ส่วนการโพสต์ประจานพร้อมข้อมูลส่วนตัวอาจทำให้ผู้เสียหายกลายเป็นผู้ถูกดำเนินคดีเสียเอง

ตอบข้อ 1. เปลี่ยนชื่อผู้ใช้และรหัสผ่านสำหรับเข้าหน้าตั้งค่าของเราเตอร์จากค่าเริ่มต้นของโรงงาน

รหัสผ่านผู้ดูแลที่ติดมาจากโรงงานมักเป็นค่ามาตรฐานที่ค้นหาได้จากอินเทอร์เน็ต หากไม่เปลี่ยน ผู้ไม่หวังดีจะเข้าไปแก้ไขการตั้งค่าเราเตอร์ได้ทั้งหมด ส่วนข้อ 3 และ 4 เป็นการลดความปลอดภัยโดยตรง หากจำเป็นต้องให้ผู้มาติดต่อใช้อินเทอร์เน็ต ควรแยกเป็นเครือข่ายสำหรับผู้มาเยือนต่างหาก

ตอบข้อ 2. อาจเป็นเว็บไซต์ปลอมได้ เพราะ HTTPS รับรองเพียงว่าข้อมูลถูกเข้ารหัสระหว่างทาง ไม่ได้รับรองว่าเจ้าของเว็บสุจริต

ใบรับรองสำหรับ HTTPS ในปัจจุบันขอได้ง่ายและฟรี เว็บปลอมจึงมีกุญแจล็อกได้เช่นกัน กุญแจล็อกบอกเพียงว่าการรับส่งข้อมูลถูกเข้ารหัส แต่ไม่ได้บอกว่าเรากำลังคุยกับใคร สิ่งที่ต้องตรวจคือชื่อโดเมนต้องสะกดถูกต้องทุกตัวอักษร วิธีที่ปลอดภัยกว่าคือพิมพ์ที่อยู่เว็บเองหรือเปิดจากบุ๊กมาร์กที่บันทึกไว้

ตอบข้อ 1. แปลงชื่อโดเมนที่คนอ่านเข้าใจ ให้เป็นหมายเลขไอพีที่เครื่องใช้ติดต่อกัน

DNS เปรียบได้กับสมุดโทรศัพท์ของอินเทอร์เน็ต ทำหน้าที่แปลงชื่อโดเมน เช่น police.go.th ให้เป็นหมายเลขไอพีของเครื่องแม่ข่าย การเข้ารหัสระหว่างเบราว์เซอร์กับเว็บไซต์เป็นหน้าที่ของโพรโทคอล HTTPS/TLS ไม่ใช่ DNS

ตอบข้อ 2. หน่วยงานราชการของประเทศไทย

.go.th สงวนไว้สำหรับหน่วยงานภาครัฐของไทย จึงเป็นเครื่องช่วยตรวจสอบเบื้องต้นว่าเว็บไซต์นั้นเป็นของราชการจริงหรือไม่ ส่วน .ac.th ใช้กับสถาบันการศึกษา .or.th ใช้กับองค์กรไม่แสวงหากำไร และ .co.th ใช้กับบริษัทเอกชน มิจฉาชีพมักตั้งชื่อโดเมนคล้ายของจริงแต่ลงท้ายต่างออกไป จึงต้องดูส่วนท้ายให้ดี

ตอบข้อ 1. SMTP

SMTP (Simple Mail Transfer Protocol) ใช้ส่งอีเมลออกไปยังเครื่องแม่ข่ายปลายทาง ส่วน POP3 และ IMAP ใช้ดึงอีเมลเข้ามาอ่าน โดย POP3 มักดาวน์โหลดมาเก็บที่เครื่อง ขณะที่ IMAP เก็บไว้บนเซิร์ฟเวอร์และซิงก์กับหลายอุปกรณ์ ส่วน FTP ใช้โอนย้ายไฟล์ ไม่เกี่ยวกับอีเมล

ตอบข้อ 1. LAN

LAN (Local Area Network) คือเครือข่ายในพื้นที่จำกัด เช่น ภายในอาคารหรือสำนักงานเดียวกัน MAN ครอบคลุมระดับเมือง WAN ครอบคลุมพื้นที่กว้างข้ามจังหวัดหรือข้ามประเทศ ส่วน VPN ไม่ใช่ขนาดของเครือข่าย แต่เป็นเทคนิคสร้างช่องทางเชื่อมต่อแบบเข้ารหัสผ่านเครือข่ายสาธารณะ

ตอบข้อ 3. WPA2 หรือ WPA3

WPA2 และ WPA3 เป็นมาตรฐานที่แข็งแรงที่สุดในปัจจุบัน ส่วน WEP ถูกเจาะได้ในเวลาไม่กี่นาทีและถือว่าเลิกใช้แล้ว WPA รุ่นแรกก็มีจุดอ่อนเช่นกัน สำหรับข้อ 4 การซ่อนชื่อเครือข่ายไม่ใช่การรักษาความปลอดภัย เพราะเครื่องมือทั่วไปยังตรวจพบเครือข่ายที่ซ่อนอยู่ได้

ตอบข้อ 1. ควบคุมและกลั่นกรองการรับส่งข้อมูลระหว่างเครือข่ายภายในกับภายนอกตามกฎที่กำหนดไว้

ไฟร์วอลล์ทำหน้าที่เป็นด่านตรวจ อนุญาตหรือปิดกั้นการเชื่อมต่อตามกฎที่ผู้ดูแลกำหนด จึงลดโอกาสที่ผู้ไม่หวังดีจากภายนอกจะเข้าถึงเครื่องภายในได้ แต่ไฟร์วอลล์ไม่ได้ทำหน้าที่สำรองข้อมูล เร่งความเร็ว หรือถอดรหัสไฟล์ที่ถูกแรนซัมแวร์เข้ารหัสไปแล้ว

ตอบข้อ 1. Keylogger

Keylogger เป็นสปายแวร์ชนิดหนึ่งที่ดักบันทึกการกดแป้นพิมพ์ ทำให้ได้ทั้งรหัสผ่าน เลขบัญชี และข้อความที่พิมพ์ Adware เน้นแสดงโฆษณา Ransomware เข้ารหัสไฟล์เรียกค่าไถ่ และ Worm เน้นสำเนาตัวเองแพร่กระจายผ่านเครือข่าย

ตอบข้อ 1. ระดมส่งคำร้องขอจำนวนมหาศาลจากหลายเครื่องพร้อมกัน จนระบบเป้าหมายรับภาระไม่ไหวและให้บริการไม่ได้

DDoS มุ่งทำให้ระบบเป้าหมายหยุดให้บริการ ด้วยการสั่งเครื่องจำนวนมากที่ถูกยึดครองไว้ (บ็อตเน็ต) ยิงคำร้องขอเข้าไปพร้อมกันจนทรัพยากรหมด จุดสังเกตคือผู้โจมตีไม่ได้ต้องการขโมยข้อมูล แต่ต้องการให้ใช้งานไม่ได้ ตัวเลือกอื่นคือแรนซัมแวร์ ฟิชชิง และคริปโตแจ็กกิงตามลำดับ

ตอบข้อ 1. ช่องโหว่ที่ถูกค้นพบและใช้โจมตีก่อนที่ผู้พัฒนาจะออกโปรแกรมแก้ไขมาปิดช่องโหว่นั้น

Zero-day หมายถึงผู้พัฒนามีเวลา "ศูนย์วัน" ในการแก้ไข เพราะช่องโหว่ถูกนำไปใช้โจมตีก่อนที่จะมีแพตช์ออกมา จึงป้องกันได้ยากเป็นพิเศษ ส่วนข้อ 4 อธิบายกรณีที่มีแพตช์แล้วแต่ผู้ใช้ยังไม่อัปเดต ซึ่งเป็นคนละสถานการณ์และแก้ได้ทันทีด้วยการอัปเดต

ตอบข้อ 2. เป็นความผิดตามกฎหมาย แม้จะไม่ได้ทำให้ข้อมูลเสียหายก็ตาม

กฎหมายกำหนดความผิดฐานเข้าถึงระบบคอมพิวเตอร์ที่มีมาตรการป้องกันโดยมิชอบไว้ต่างหาก การล่วงล้ำเข้าไปโดยไม่มีสิทธิจึงเป็นความผิดสำเร็จในตัวเอง ไม่ต้องรอให้ข้อมูลเสียหายหรือถูกคัดลอก ส่วนการเป็นเจ้าหน้าที่ของรัฐไม่ใช่ข้อยกเว้น การเข้าถึงต้องมีอำนาจตามกฎหมายรองรับเสมอ

ตอบข้อ 2. เป็นความผิดตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์

พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์บัญญัติความผิดสำหรับการนำเข้าสู่ระบบคอมพิวเตอร์ซึ่งข้อมูลที่เป็นภาพของผู้อื่นอันเกิดจากการตัดต่อ เติม หรือดัดแปลง จนน่าจะทำให้ผู้นั้นเสียชื่อเสียง ถูกดูหมิ่น เกลียดชัง หรืออับอาย ความผิดนี้เป็นความผิดอันยอมความได้ และการที่ภาพไม่ใช่ภาพจริงกลับเป็นองค์ประกอบของความผิดเสียเอง ส่วนการลบภายหลังอาจบรรเทาความเสียหายแต่ไม่ลบล้างความผิดที่เกิดขึ้นแล้ว

ตอบข้อ 3. ไม่ติดตั้งจากลิงก์ที่ส่งมา และตรวจสอบกับหน่วยงานเจ้าของเรื่องหรือติดตั้งจากร้านค้าแอปทางการเท่านั้น

การติดตั้งแอปจากลิงก์นอกร้านค้าทางการเป็นวิธีที่มิจฉาชีพใช้ฝังโปรแกรมควบคุมเครื่องระยะไกล เมื่อเหยื่อกดอนุญาตสิทธิ์การช่วยเหลือการเข้าถึงหรือสิทธิ์ดูหน้าจอ คนร้ายจะเห็นรหัสผ่านและโอนเงินออกจากบัญชีได้ แนวปฏิบัติที่ถูกต้องคือไม่ติดตั้งจากลิงก์ และโทรตรวจสอบกับหน่วยงานตามเบอร์ที่ค้นเองจากเว็บไซต์ทางการ ส่วนการส่งต่อข้อความยิ่งขยายความเสี่ยงให้ผู้อื่น