Google พบช่องโหว่ความปลอดภัยที่ทำให้แฮกเกอร์เข้าถึงเบอร์โทรศัพท์ผู้ใช้ได้
ความปลอดภัยของข้อมูลส่วนบุคคลบนแพลตฟอร์มระดับโลกอย่าง Google ถูกท้าทายอีกครั้ง เมื่อนักวิจัยด้านความปลอดภัยทางไซเบอร์ค้นพบช่องโหว่ที่ช่วยให้สามารถสืบค้น เบอร์โทรศัพท์ ที่ผูกกับบัญชี Google ของใครก็ได้ แม้ว่าข้อมูลดังกล่าวจะเป็นความลับและไม่ได้เปิดเผยต่อสาธารณะก็ตาม
ช่องโหว่นี้เปิดโอกาสให้ผู้ไม่หวังดีที่มีทรัพยากรจำกัดสามารถเข้าถึงข้อมูลส่วนตัวของผู้ใช้ได้ผ่านวิธีการที่เรียกว่า Brute Force หรือการสุ่มเดาข้อมูลจำนวนมหาศาลอย่างรวดเร็วด้วยระบบคอมพิวเตอร์ จนกว่าจะพบชุดตัวเลขที่ถูกต้อง ซึ่งในกรณีนี้คือการสุ่มหาเบอร์โทรศัพท์ที่เชื่อมโยงกับบัญชีเป้าหมาย
กลไกการทำงานของช่องโหว่และการโจมตี
นักวิจัยที่ใช้นามแฝงว่า brutecat ได้สาธิตวิธีการโจมตีโดยเริ่มจากการใช้ชื่อที่แสดง (Display Name) ของเป้าหมาย จากนั้นใช้เครื่องมือใน Looker Studio ของ Google เพื่อโอนความเป็นเจ้าของเอกสารไปยังเป้าหมาย โดยมีการดัดแปลงชื่อเอกสารให้มีความยาวหลายล้านตัวอักษรเพื่อหลีกเลี่ยงการแจ้งเตือนไปยังผู้ใช้
หลังจากนั้น แฮกเกอร์จะใช้โค้ดพิเศษส่งคำขอสุ่มเบอร์โทรศัพท์ไปยังระบบของ Google อย่างต่อเนื่องจนกว่าจะได้รับคำตอบที่ถูกต้อง ซึ่งระยะเวลาในการค้นหาจะแตกต่างกันไปตามภูมิภาค ดังนี้:
- สหรัฐอเมริกา: ใช้เวลาประมาณ 1 ชั่วโมง
- สหราชอาณาจักร: ใช้เวลาประมาณ 8 นาที
- ประเทศอื่นๆ: อาจใช้เวลาน้อยกว่า 1 นาที
| ภูมิภาค | ระยะเวลาโดยประมาณในการ Brute Force | ระดับความเสี่ยงที่ Google ประเมิน (ภายหลัง) |
|---|---|---|
| สหรัฐอเมริกา | ~ 60 นาที | ระดับกลาง (Medium) |
| สหราชอาณาจักร | ~ 8 นาที | ระดับกลาง (Medium) |
| ประเทศอื่นๆ | น้อยกว่า 1 นาที | ระดับกลาง (Medium) |
อันตรายจากการถูกขโมยเบอร์โทรศัพท์: SIM Swapping
ความน่ากังวลที่สุดของช่องโหว่นี้คือการเป็นเครื่องมือชั้นดีสำหรับ SIM Swapping ซึ่งเป็นเทคนิคที่แฮกเกอร์จะปลอมตัวเป็นเจ้าของเบอร์โทรศัพท์เพื่อหลอกให้ผู้ให้บริการเครือข่ายโอนย้ายสัญญาณไปยัง SIM Card ที่แฮกเกอร์ถือครองอยู่
เมื่อแฮกเกอร์ควบคุมเบอร์โทรศัพท์ได้ พวกเขาจะสามารถ:
- รับข้อความ SMS สำหรับรีเซ็ตรหัสผ่านของบัญชีต่างๆ
- ดักจับรหัสยืนยันตัวตนแบบสองชั้น (Multifactor Authentication)
- เข้าถึงบัญชีอีเมล ซึ่งเป็นกุญแจสำคัญในการเข้าถึงบัญชีการเงินหรือกระเป๋าเงิน Cryptocurrency
ภัยคุกคามนี้ไม่ได้จำกัดอยู่เพียงแค่บุคคลทั่วไป แต่ยังลุกลามไปถึงระดับองค์กรขนาดใหญ่ โดยมีการเชื่อมโยงกับกลุ่มแรนซัมแวร์ (Ransomware) จากยุโรปตะวันออกอีกด้วย
ข้อเท็จจริงสำคัญ
- สถานะปัจจุบัน: Google ได้ดำเนินการแก้ไขช่องโหว่นี้เรียบร้อยแล้ว
- ผลตอบแทน: Google มอบเงินรางวัล 5,000 ดอลลาร์ และของที่ระลึกให้แก่ brutecat
- คำแนะนำจาก FBI: หลีกเลี่ยงการเปิดเผยเบอร์โทรศัพท์ ที่อยู่ หรือทรัพย์สินทางการเงินบนโซเชียลมีเดียเพื่อลดความเสี่ยง
- การแจ้งเตือน: ในขณะที่เกิดการโจมตี ผู้เสียหายจะไม่ได้รับการแจ้งเตือนใดๆ จากระบบ
คำถามที่พบบ่อย
ช่องโหว่นี้ยังใช้งานได้อยู่ในปัจจุบันหรือไม่?
ไม่สามารถใช้งานได้แล้ว เนื่องจาก Google ได้รับแจ้งจากนักวิจัยและดำเนินการแก้ไขช่องโหว่ดังกล่าวเป็นที่เรียบร้อยแล้ว
Brute Force คืออะไรในบริบทนี้?
คือการที่แฮกเกอร์ใช้โปรแกรมคอมพิวเตอร์สุ่มเดาตัวเลขเบอร์โทรศัพท์จำนวนมากอย่างรวดเร็ว จนกว่าจะเจอเบอร์ที่ตรงกับบัญชี Google ของเป้าหมาย
SIM Swapping ส่งผลกระทบอย่างไรต่อผู้ใช้?
ทำให้แฮกเกอร์สามารถรับ SMS ยืนยันตัวตนแทนเจ้าของเครื่อง ซึ่งนำไปสู่การยึดบัญชีอีเมล โซเชียลมีเดีย และบัญชีธนาคารหรือคริปโตเคอร์เรนซีได้
เราจะป้องกันตัวเองจากภัยคุกคามลักษณะนี้ได้อย่างไร?
ควรปฏิบัติตามคำแนะนำของ FBI โดยไม่เปิดเผยเบอร์โทรศัพท์ส่วนตัวในที่สาธารณะหรือบนโซเชียลมีเดีย และพิจารณาใช้การยืนยันตัวตนผ่านแอปพลิเคชัน (Authenticator App) แทนการใช้ SMS
Google มีปฏิกิริยาอย่างไรต่อเหตุการณ์นี้?
Google ขอบคุณนักวิจัยที่แจ้งเหตุและเน้นย้ำถึงความสำคัญของโปรแกรมรางวัลสำหรับผู้ค้นพบช่องโหว่ (Vulnerability Rewards Program) เพื่อความปลอดภัยของผู้ใช้งาน
