MFA (Multi-Factor Authentication) คือการยืนยันตัวตนมากกว่าหนึ่งขั้นก่อนเข้าระบบ เช่น ใส่รหัสผ่านแล้วต้องกดยืนยันในแอปบนมือถืออีกครั้ง ถึงคนร้ายจะได้รหัสผ่านไป ก็ยังเข้าระบบไม่ได้ Microsoft จึงบังคับให้ทุกบัญชีที่เข้าหน้าจัดการ (Admin) ของ Azure และ Microsoft 365 ต้องใช้ MFA ตั้งแต่ปลายปี 2024 เป็นต้นมา
MFA ทำงานอย่างไร
เปรียบง่ายๆ เหมือนตู้นิรภัยที่ต้องใช้ทั้งกุญแจและรหัส ถ้าขโมยได้กุญแจไปอย่างเดียว ก็ยังเปิดตู้ไม่ได้
การยืนยันตัวตนแบ่งเป็น 3 กลุ่ม MFA คือการใช้อย่างน้อย 2 กลุ่มร่วมกัน
- สิ่งที่รู้: รหัสผ่าน หรือ PIN
- สิ่งที่มี: มือถือที่ติดตั้งแอปยืนยันตัวตน หรือกุญแจความปลอดภัย (Security Key)
- สิ่งที่เป็น: ลายนิ้วมือ หรือใบหน้า
ทำไมรหัสผ่านอย่างเดียวไม่พอ
รหัสผ่านรั่วได้หลายทาง เช่น พนักงานกรอกรหัสในหน้าเว็บปลอมจากอีเมลฟิชชิง ใช้รหัสเดียวกันหลายเว็บแล้วเว็บหนึ่งถูกเจาะ หรือคนร้ายใช้โปรแกรมเดารหัสผ่านที่ง่ายเกินไป เมื่อได้รหัสผ่านแล้ว คนร้ายจะเข้าระบบได้เหมือนเจ้าของบัญชีทุกอย่าง
MFA ปิดช่องนี้ เพราะคนร้ายต้องมีมือถือหรือกุญแจของเจ้าของบัญชีด้วย ซึ่งยากกว่าการขโมยรหัสผ่านมาก
ไทม์ไลน์ Mandatory MFA ของ Microsoft
Microsoft ประกาศแผนบังคับใช้ MFA ภายใต้โครงการ Secure Future Initiative และทยอยบังคับเป็น 2 ระยะ [ตรวจสอบ: วันที่ทั้งหมดในตารางกับเอกสาร Microsoft ล่าสุด]
| ช่วงเวลา |
สิ่งที่บังคับ |
| 15 ต.ค. 2024 |
ระยะที่ 1 เริ่มบังคับ MFA เมื่อเข้า Azure portal, Microsoft Entra admin center และ Intune admin center |
| 3 ก.พ. 2025 |
ระยะที่ 1 ขยายไปที่ Microsoft 365 admin center |
| 15 มี.ค. 2025 |
วันสุดท้ายที่องค์กรขอเลื่อนระยะที่ 1 ได้ |
| 1 ต.ค. 2025 |
ระยะที่ 2 เริ่มบังคับกับ Azure CLI, Azure PowerShell, Azure mobile app และเครื่องมือ Infrastructure as Code เฉพาะคำสั่งสร้าง แก้ไข และลบ |
| 1 ก.ค. 2026 |
วันสุดท้ายที่องค์กรขอเลื่อนระยะที่ 2 ได้ |
รายละเอียดทั้งหมดดูได้ที่เอกสาร Mandatory MFA ของ Microsoft Learn ตอนนี้ช่วงขอเลื่อนทั้งสองระยะสิ้นสุดแล้ว องค์กรที่ใช้ Microsoft 365 หรือ Azure จึงควรถือว่าถูกบังคับใช้ MFA ครบแล้ว
Mandatory MFA กระทบใครบ้าง
กระทบ: บัญชีผู้ใช้ที่เข้าหน้าจัดการระบบ เช่น แอดมินที่เพิ่มผู้ใช้หรือรีเซ็ตรหัสผ่านใน Microsoft 365 admin center และทีมไอทีที่จัดการ Azure ผ่านหน้าเว็บหรือคำสั่ง
ไม่กระทบ: พนักงานทั่วไปที่เปิด Outlook, Teams หรือ OneDrive ตามปกติ การบังคับนี้ครอบคลุมเฉพาะหน้าจัดการ ไม่ใช่การใช้งานประจำวัน
ไม่กระทบเช่นกัน: บัญชีสำหรับระบบอัตโนมัติแบบ Workload identity เช่น Managed Identity และ Service Principal
แม้พนักงานทั่วไปจะไม่ถูกบังคับ แต่ Microsoft และผู้เชี่ยวชาญด้านความปลอดภัยแนะนำให้เปิด MFA ให้ทุกบัญชี เพราะบัญชีพนักงานคือเป้าหมายหลักของอีเมลฟิชชิง
แอดมินต้องทำอะไรตอนนี้
- ตรวจรายชื่อบัญชีแอดมิน ใน Microsoft 365 admin center ว่าทุกบัญชีลงทะเบียน MFA แล้ว
- ใช้แอปยืนยันตัวตน อย่าง Microsoft Authenticator แทน SMS เพราะ SMS ถูกดักหรือถูกสวมซิมได้ง่ายกว่า
- ตั้งค่าบัญชีฉุกเฉิน (Break-glass account) บัญชีนี้ก็ต้องใช้ MFA เช่นกัน Microsoft แนะนำให้ใช้ Security Key แบบ FIDO2 หรือ Certificate-based authentication
- ตรวจสคริปต์อัตโนมัติ ถ้าสคริปต์ล็อกอินด้วยบัญชีผู้ใช้ปกติ จะใช้งานไม่ได้เมื่อถูกบังคับ MFA ต้องย้ายไปใช้ Workload identity
- เปิด MFA ให้พนักงานทุกคน ด้วย Security defaults หรือ Conditional Access ตามแพ็กเกจที่ใช้
คำถามที่พบบ่อย
ถ้าไม่เปิด MFA จะเกิดอะไรขึ้น?
บัญชีที่ยังไม่ได้ลงทะเบียน MFA จะถูกขอให้ลงทะเบียนก่อนเข้าหน้าจัดการ และเข้าหน้าจัดการไม่ได้จนกว่าจะยืนยันตัวตนสำเร็จ
MFA ต่างจาก 2FA อย่างไร?
2FA คือการยืนยันตัวตน 2 ขั้นพอดี ส่วน MFA คือ 2 ขั้นขึ้นไป ในการใช้งานทั่วไปมักหมายถึงสิ่งเดียวกัน
ทำ MFA แล้วพนักงานต้องกดยืนยันทุกครั้งไหม?
ไม่จำเป็น ตั้งค่าให้จำอุปกรณ์ที่ใช้ประจำได้ ระบบจะขอยืนยันเพิ่มเมื่อเข้าจากอุปกรณ์หรือสถานที่ใหม่
มือถือหายแล้วเข้าระบบไม่ได้ทำอย่างไร?
แอดมินรีเซ็ตการลงทะเบียน MFA ให้ได้ จึงควรมีแอดมินอย่างน้อย 2 คน และมีบัญชีฉุกเฉินที่ใช้ Security Key แยกไว้
สรุป
MFA คือการยืนยันตัวตนหลายขั้นที่ทำให้รหัสผ่านที่รั่วไปใช้ไม่ได้ Microsoft บังคับให้แอดมินของ Azure และ Microsoft 365 ใช้ MFA แล้ว ตอนนี้จึงควรตรวจบัญชีแอดมิน บัญชีฉุกเฉิน และสคริปต์อัตโนมัติ แล้วขยาย MFA ไปยังพนักงานทุกคน เพื่อป้องกันบัญชีจากอีเมลฟิชชิง ซึ่งควรใช้คู่กับระบบกรองอีเมลอย่าง Email Gateway
อัปเดตล่าสุด: พฤศจิกายน 2026
ต้องการให้ช่วยตั้งค่า MFA และความปลอดภัยของ Microsoft 365 ดูแพ็กเกจได้ที่ Microsoft 365 กับ THAI DATA HOSTING หรือปรึกษาทีมงาน ได้ครับ
