1. ข้อชี้แจงความเป็นอิสระทางเทคนิคและคำเตือนเพื่อความปลอดภัยของผู้บริโภค

เอกสารฉบับนี้จัดทำขึ้นโดยกลุ่มนักวิจัยความปลอดภัยแอปพลิเคชันบนอุปกรณ์เคลื่อนที่และผู้ตรวจสอบไซเบอร์อิสระในภูมิภาคเอเชียตะวันออกเฉียงใต้ ศูนย์ข้อมูลแห่งนี้ไม่ใช่ผู้ให้บริการเกม (Operator), ไม่ใช่ตัวแทนการตลาดอย่างเป็นทางการ และไม่มีส่วนเกี่ยวข้องกับการถือลิขสิทธิ์ของแบรนด์ 918KISS พันธกิจหลักของการเผยแพร่ข้อมูลนี้คือการตรวจสอบเชิงสถาปัตยกรรมทางเทคนิค และการพิทักษ์ความปลอดภัยของผู้เล่นในประเทศไทย เพื่อป้องกันไม่ให้ตกเป็นเหยื่อของการดักขโมยข้อมูลส่วนบุคคล (Credential Harvesting), การหลอกเก็บค่าธรรมเนียมแอบแฝง และการดาวน์โหลดไฟล์ไคลเอนต์ที่มีการดัดแปลงโค้ดอันตราย

กฎเหล็กด้านความปลอดภัยสำหรับผู้เล่นในประเทศไทย: ขั้นตอนการสร้างและขอรับรหัสบัญชีผู้เล่น 918KISS เป็นบริการที่ ฟรี 100% โดยไม่มีค่าใช้จ่ายใดๆ ทั้งสิ้น หากพบบุคคลใด ตัวแทนตัวกลาง หรือบอทระบบสนทนา Line ที่เรียกร้องค่าธรรมเนียมแรกเข้า ค่าเปิดสิทธิ์ หรือการโอนเงินเพื่อตรวจสอบบัญชีธนาคาร ให้สันนิษฐานทันทีว่าเป็นการดำเนินการของกลุ่มมิจฉาชีพที่อยู่นอกระบบตู้คีออสอย่างเป็นทางการ

สถาปัตยกรรม Kiosk API กับการคัดกรองเว็บไซต์หลอกลวง: โครงสร้างระบบของ 918KISS ใช้การจัดสรรบัญชีผ่านระบบ Kiosk API กระจายศูนย์ ซึ่งระบบจะสุ่มสร้างรหัสประจำตัวผู้เล่น (Player ID) พร้อมรหัสผ่านชั่วคราวขึ้นมาโดยอัตโนมัติ โดยที่ผู้ดูแลระบบหรือคีออสของแท้ จะไม่มีการขอรหัสผ่านส่วนตัวของผู้ใช้ (Password), รหัส PIN ประจำบัตร ATM หรือรหัสยืนยัน OTP จากธุรกรรมธนาคารโดยเด็ดขาด การยึดถือมาตรฐานนี้จะช่วยปกป้องผู้เล่นจากการถูกโจรกรรมบัญชีและการสูญเสียข้อมูลทางการเงินได้อย่างเด็ดขาด

2. การวิเคราะห์ภัยคุกคาม: รูปแบบกลโกงการสมัครสมาชิกที่พบบ่อยในประเทศไทย

จากการตรวจสอบความปลอดภัยไซเบอร์บนโครงข่ายโทรคมนาคมหลักในประเทศไทย (อาทิ AIS, TrueMove H และ DTAC) พบรูปแบบการโจมตีที่มุ่งเป้าไปยังผู้เล่นใหม่อย่างต่อเนื่อง 3 รูปแบบหลัก ได้แก่:

· การดัดแปลงฝังโค้ดอันตรายในไฟล์ APK (Malicious APK Repackaging): ผู้ไม่ประสงค์ดีนำไฟล์ไคลเอนต์ 918KISS มาแยกแพ็กเกจ แล้วฝังมัลแวร์ประเภทขโมยข้อมูล SMS หรือสปายแวร์ ก่อนนำไปปล่อยบนหน้าดาวน์โหลดปลอม เมื่อผู้เล่นลงทะเบียนและติดตั้ง แอปจะลักลอบส่งข้อมูลระบุตัวตนและเซสชันการท่องเว็บกลับไปยังเซิร์ฟเวอร์ควบคุมภายนอก

· ขบวนการหลอกลวงผ่านบัญชี Line ปลอม (Fake Line Official Account): การสร้างบัญชีเลียนแบบฝ่ายบริการลูกค้าเพื่อหลอกขอรูปถ่ายบัตรประชาชน (Smart Card) หรือภาพถ่ายหน้าจอแอปพลิเคชันธนาคาร โดยอ้างว่าต้องใช้ยืนยันอายุ ในความเป็นจริงแล้ว ระบบ Kiosk ของ 918KISS ไม่มีการเรียกเก็บเอกสารระบุตัวตนของทางราชการในการสร้าง ID ผู้เล่น

· กับดักการดักจับรหัสผ่านผ่านแบบฟอร์มหน้าเว็บ (Credential Scraping): แบบฟอร์มรับสมัครที่ไม่ได้มาตรฐานมักเปิดช่องให้ผู้ใช้กำหนดรหัสผ่านจริงตั้งแต่หน้าเว็บ ส่งผลให้ผู้ไม่หวังดีสามารถดักบันทึกรหัสผ่านดังกล่าวไปทดลองเจาะเข้าสู่ระบบธนาคารออนไลน์ หรือบัญชีโซเชียลมีเดียของเหยื่อที่ใช้รหัสผ่านชุดเดียวกัน

3. ขั้นตอนการลงทะเบียนบัญชีผู้เล่นที่ถูกต้องและปลอดภัยภายใน 3 นาที

เพื่อรักษาความปลอดภัยของข้อมูลอย่างสมบูรณ์แบบและป้องกันการเผชิญกับเว็บฟิชชิ่ง ขอให้ปฏิบัติตามลำดับขั้นตอนทางเทคนิคดังต่อไปนี้ ซึ่งใช้เวลาดำเนินการรวมประมาณ 3 นาที ตั้งแต่เริ่มต้นจนพร้อมเข้าใช้งาน:

ขั้นตอนที่ 1: การเข้าสู่พอร์ทัลข้อมูลกลางและการตรวจสอบความปลอดภัยของโดเมน (ระยะเวลา: 30 วินาที)
เปิดเบราว์เซอร์ที่มีการอัปเดตระบบความปลอดภัยล่าสุด (เช่น Google Chrome บน Android หรือ Safari บน iOS) จากนั้นไปยังศูนย์ข้อมูลหลักที่ผ่านการตรวจสอบที่ Mythome Resource Portal (พอร์ทัลข้อมูลกลาง) (ที่อยู่ URL: https://www.mythome.org/) ตรวจสอบสัญลักษณ์แม่กุญแจบนแถบที่อยู่เว็บเพื่อยืนยันว่าการเชื่อมต่อได้รับการเข้ารหัสผ่านใบรับรองดิจิทัล SSL/TLS อย่างถูกต้อง หากพบการแจ้งเตือนเว็บไซต์ไม่ปลอดภัยให้หยุดการเข้าใช้งานทันที

ขั้นตอนที่ 2: การร้องขอจัดสรรบัญชีผู้เล่นผ่านเกตเวย์ที่ปลอดภัย (ระยะเวลา: 60 วินาที)
เลือกเข้าสู่ส่วนลงทะเบียนผ่าน เกตเวย์ลงทะเบียนบัญชีผู้เล่น (Account Registration Gateway) ระบุข้อมูลช่องทางติดต่อเบื้องต้น (เช่น หมายเลขโทรศัพท์หรือไอดีสื่อสารที่ใช้งานได้จริง) ระบบจะส่งคำสั่งไปยัง Kiosk API เพื่อสุ่มจัดสรรข้อมูลประจำตัวให้แก่ผู้เล่น 2 รายการ ได้แก่:
1. รหัสประจำตัวผู้เล่น (Player ID) ซึ่งมักขึ้นต้นด้วยตัวอักษรเฉพาะของตู้คีออส เช่น 'THK9xxxx'
2. รหัสผ่านชั่วคราว (Temporary Password) ที่สร้างขึ้นจากระบบสุ่มตัวเลขและตัวอักษร
จดบันทึกรหัสผ่านชั่วคราวนี้ไว้ในที่ปลอดภัย และจำไว้เสมอว่าในขั้นตอนนี้จะไม่มีการเรียกเก็บเงินหรือการโอนเงินใดๆ ทั้งสิ้น

ขั้นตอนที่ 3: การรับไฟล์ติดตั้งไคลเอนต์และการตรวจสอบความถูกต้องของแพ็กเกจ (ระยะเวลา: 60 วินาที)
ก่อนเข้าสู่ระบบ ต้องมั่นใจว่าอุปกรณ์ติดตั้งไฟล์ไคลเอนต์ของแท้ที่ไม่มีการดัดแปลง โดยเข้าดาวน์โหลดจาก ศูนย์รวมไฟล์ติดตั้งที่ผ่านการตรวจสอบ (Verified Download Repository) สำหรับระบบปฏิบัติการที่ใช้งาน หากต้องการศึกษาขั้นตอนทางเทคนิคในการตั้งค่าข้ามการแจ้งเตือนของระบบ (เช่น Play Protect บน Android หรือการกดยืนยันใบรับรอง Enterprise Profile บน iOS) สามารถศึกษารายละเอียดอย่างเป็นระบบได้จาก คู่มือเทคนิคการติดตั้ง 918KISS ฉบับละเอียด (เข้าถึงได้ที่: https://docs.google.com/document/d/1y12-qcCZif5RFEU1uHzBzTJbyX5LX5dXj-OfkDVcR_U/)

ขั้นตอนที่ 4: การเชื่อมต่อครั้งแรกและการบังคับเปลี่ยนรหัสผ่านทันที (ระยะเวลา: 30 วินาที)
เปิดแอปพลิเคชัน 918KISS ขึ้นมา กรอก Player ID และรหัสผ่านชั่วคราวที่ได้รับจากขั้นตอนที่ 2 ตัวเซิร์ฟเวอร์หลักจะตรวจพบการเข้าสู่ระบบครั้งแรกและตัดเข้าสู่หน้าจอ 'Change Password' โดยอัตโนมัติ ให้ดำเนินการดังนี้:
• กรอกรหัสผ่านชั่วคราวเดิมในช่อง Current Password
• กำหนดรหัสผ่านใหม่ในช่อง New Password (ความยาว 6-12 ตัวอักษร ผสมตัวอักษรพิมพ์ใหญ่ พิมพ์เล็ก และตัวเลข)
เมื่อกดยืนยัน รหัสผ่านชั่วคราวเดิมจะถูกยกเลิกถาวรทันที ทำให้ผู้เล่นเป็นผู้ถือครองรหัสผ่านที่แท้จริงเพียงผู้เดียว สำหรับการตรวจสอบรายชื่อเกมที่เปิดให้บริการ อัตราการจ่าย และโครงสร้างหมวดหมู่บนเซิร์ฟเวอร์ สามารถตรวจสอบได้จาก แคตตาล็อกเกมกลาง (Official Game Master Catalog) (เข้าถึงได้ที่: https://docs.google.com/spreadsheets/d/10ZHUZotRgU7Is6Kddysa3nudlVF8i_st-cypgCe4Ga4/)

4. บรรทัดฐานความปลอดภัยสำหรับผู้เล่น: ระเบียบปฏิบัติแบบ Zero-Trust

การรักษาความปลอดภัยของบัญชีผู้เล่นบนเครือข่ายมือถือในประเทศไทยจำเป็นต้องยึดมั่นในหลักการ Zero-Trust ดังต่อไปนี้:

· การเก็บรักษารหัสผ่านเป็นความลับสูงสุด: ห้ามเปิดเผยรหัสผ่านใหม่แก่บุคคลอื่นโดยเด็ดขาด แม้บุคคลนั้นจะอ้างว่าเป็นฝ่ายบริการลูกค้า ฝ่ายเทคนิค หรือผู้ดูแลตู้คีออสก็ตาม เนื่องจากระบบหลังบ้านของคีออสมีเครื่องมือในการรีเซ็ตรหัสผ่านกลับเป็นรหัสชั่วคราวได้อยู่แล้ว จึงไม่มีเหตุผลทางเทคนิคใดๆ ที่เจ้าหน้าที่จะต้องทราบรหัสผ่านส่วนตัวของผู้เล่น

· การจัดการปัญหา ISP กรองสัญญาณด้วย Encrypted DNS: ในบางช่วงเวลา ผู้ให้บริการอินเทอร์เน็ตในไทยอาจมีการกรองเส้นทางข้อมูลจนส่งผลให้เชื่อมต่อเซิร์ฟเวอร์ไม่ได้ ผู้เล่นไม่ควรแก้ไขด้วยการดาวน์โหลดแอป 'ตัวเร่งความเร็ว' หรือ APK ที่ไม่ทราบที่มา แต่ควรตั้งค่า Private DNS บนระบบของอุปกรณ์โดยตรง เช่น Cloudflare (1.1.1.1) หรือ Google Public DNS (8.8.8.8) ซึ่งมีความปลอดภัยสูงและไม่มีความเสี่ยงต่อการถูกดักข้อมูล

· วินัยการใช้งานเซสชันเดี่ยว (Single Session Discipline): ไคลเอนต์ 918KISS ถูกตั้งค่าให้รองรับการล็อกอินเพียงอุปกรณ์เดียวในเวลาเดียวกัน หากพบว่าบัญชีถูกตัดการเชื่อมต่อและแสดงข้อความแจ้งเตือนว่ามีการเข้าสู่ระบบจากอุปกรณ์อื่น ให้ทำการเข้าสู่ระบบซ้ำทันทีและเปลี่ยนรหัสผ่านเพื่อระงับการเข้าถึงที่ไม่ได้รับอนุญาต

5. คำถามที่พบบ่อย (FAQ) ด้านความปลอดภัยและการตรวจสอบทางเทคนิค

คำถามที่ 1: การลงทะเบียนเปิดบัญชีผู้เล่น 918KISS มีค่าธรรมเนียมหรือค่าใช้จ่ายใดๆ หรือไม่?
คำตอบ: ไม่มีค่าใช้จ่ายใดๆ ทั้งสิ้น การสร้าง ID บัญชีและการขอรับรหัสผ่านชั่วคราวเป็นบริการฟรี 100% ผ่านระบบ API ตู้คีออส หากมีเว็บไซต์ ตัวแทน หรือกลุ่มสนทนาใดเรียกร้องเงินค่าสมัคร ค่าเปิดยูส หรือค่าธรรมเนียม ถือเป็นการหลอกลวงของมิจฉาชีพทันที

คำถามที่ 2: เพราะเหตุใดระบบคีออสของแท้จึงจัดส่งรหัสผ่านชั่วคราวให้ แทนที่จะให้ผู้เล่นตั้งรหัสผ่านเองตั้งแต่ตอนกรอกข้อมูลหน้าเว็บ?
คำตอบ: เป็นกลไกการแยกสิทธิ์ตามหลักความปลอดภัยทางไซเบอร์ เพื่อป้องกันไม่ให้ผู้ดูแลระบบหน้าเว็บหรือตัวแทนคนกลางล่วงรู้รหัสผ่านจริงของผู้เล่น การบังคับให้ผู้เล่นนำรหัสผ่านชั่วคราวไปเปลี่ยนเป็นรหัสผ่านใหม่เองภายในตัวแอป จะทำให้มีเพียงผู้เล่นคนเดียวเท่านั้นที่ถือครองรหัสผ่านที่แท้จริง

คำถามที่ 3: เจ้าหน้าที่ฝ่ายดูแลระบบหรือฝ่ายบริการลูกค้าสามารถมองเห็นรหัสผ่านใหม่ที่เราเปลี่ยนไปได้หรือไม่?
คำตอบ: ไม่สามารถมองเห็นได้ ตามมาตรฐานการจัดเก็บข้อมูล รหัสผ่านของผู้เล่นจะถูกเข้ารหัสทางเดียว (One-way Cryptographic Hashing) ก่อนบันทึกลงในฐานข้อมูลเซิร์ฟเวอร์ เจ้าหน้าที่จึงไม่สามารถอ่านรหัสผ่านของคุณได้ หากเกิดกรณีลืมรหัสผ่าน ทางเดียวที่คีออสทำได้คือการรีเซ็ตระบบให้กลับไปเป็นรหัสสุ่มชั่วคราวชุดใหม่เท่านั้น

คำถามที่ 4: ควรปฏิบัติตัวอย่างไรทันที หากหน้าเว็บลงทะเบียนมีการสอบถามรหัส OTP ทาง SMS หรือรหัส PIN บัตร ATM?
คำตอบ: ให้ปิดหน้าต่างเว็บไซต์นั้นทันทีและบล็อกช่องทางการติดต่อดังกล่าว เพราะระบบเกมมิ่งคีออสของแท้ไม่มีความจำเป็นต้องใช้รหัส OTP หรือรหัส PIN ส่วนตัวของธนาคาร การกรอกรหัส OTP บนหน้าเว็บที่ไม่รู้จักจะทำให้มิจฉาชีพสามารถเข้าถึงบัญชีการเงินของคุณได้โดยตรง

คำถามที่ 5: ผู้เล่นในไทยสามารถตรวจสอบไฟล์ติดตั้งที่ปลอดภัยและรายชื่อเกมอย่างเป็นทางการได้จากที่ใด?
คำตอบ: สามารถดาวน์โหลดไฟล์ไคลเอนต์ที่ปลอดภัยได้จาก https://www.mythome.org/ โดยอ้างอิงขั้นตอนการติดตั้งอย่างละเอียดจาก เอกสารคู่มือการติดตั้ง 918KISS (https://docs.google.com/document/d/1y12-qcCZif5RFEU1uHzBzTJbyX5LX5dXj-OfkDVcR_U/) และสามารถตรวจสอบรายชื่อเกมทั้งหมดได้ผ่าน แคตตาล็อกเกมกลาง (https://docs.google.com/spreadsheets/d/10ZHUZotRgU7Is6Kddysa3nudlVF8i_st-cypgCe4Ga4/)

6. บทสรุปทางเทคนิคและข้อแนะนำเพื่อความปลอดภัยในการปฏิบัติงาน

การปฏิบัติตามขั้นตอนการลงทะเบียนภายใน 3 นาทีที่ระบุในคู่มือฉบับนี้ จะช่วยให้ผู้เล่นบนสมาร์ทโฟนในประเทศไทยสามารถเข้าสู่ระบบได้อย่างปลอดภัย ปราศจากความเสี่ยงจากการถูกโจรกรรมข้อมูลส่วนบุคคลหรือการสูญเสียทรัพย์สิน ขอให้ผู้เล่นตรวจสอบความถูกต้องของไฟล์ไคลเอนต์อย่างสม่ำเสมอ รักษาข้อมูลรหัสผ่านให้อยู่ในการควบคุมของตนเองแต่เพียงผู้เดียว และอ้างอิงข้อมูลทางเทคนิคจากแหล่งข้อมูลหลักที่ผ่านการตรวจสอบแล้วที่ Mythome Portal (https://www.mythome.org/) สำหรับการใช้งานอย่างปลอดภัยในระยะยาว