Pixnapping ช่องโหว่ใหม่บน Android ที่แอบขโมยรหัส 2FA และข้อมูลส่วนตัวได้ใน 30 วินาที
ผู้ใช้งานสมาร์ทโฟนและแท็บเล็ตระบบ Android อาจกำลังเผชิญกับความเสี่ยงจากเทคนิคการโจมตีรูปแบบใหม่ที่ชื่อว่า Pixnapping ซึ่งถูกค้นพบโดยทีมนักวิจัยทางวิชาการ โดยช่องโหว่นี้สามารถแอบดึงข้อมูลส่วนตัว เช่น รหัสยืนยันตัวตนสองชั้น (Two-Factor Authentication - 2FA), ประวัติการเดินทาง (Location Timelines) และข้อมูลลับอื่นๆ ที่ปรากฏบนหน้าจอได้ภายในเวลาไม่ถึง 30 วินาที
ความน่ากลัวของ Pixnapping คือแอปพลิเคชันที่เป็นอันตรายไม่จำเป็นต้องขอสิทธิ์การเข้าถึงระบบ (System Permissions) ใดๆ แต่สามารถอ่านข้อมูลที่แอปพลิเคชันอื่นแสดงผลบนหน้าจอได้ โดยจากการทดสอบพบว่าสามารถใช้งานได้กับโทรศัพท์ Google Pixel และ Samsung Galaxy S25 รวมถึงมีความเป็นไปได้ที่จะปรับใช้กับรุ่นอื่นๆ ในอนาคต แม้ Google จะออกแพตช์แก้ไขเบื้องต้นไปแล้ว แต่เหล่านักวิจัยระบุว่ายังคงมีวิธีดัดแปลงการโจมตีให้ทำงานได้แม้จะอัปเดตระบบแล้วก็ตาม
กลไกการทำงาน: การขโมยข้อมูลผ่านพิกเซล
หลักการของ Pixnapping เปรียบเสมือนการแอบถ่ายภาพหน้าจอ (Screenshot) โดยที่ระบบรักษาความปลอดภัยไม่ตรวจพบ โดยการโจมตีนี้ใช้ช่องทางที่เรียกว่า Side Channel หรือช่องทางด้านข้าง ซึ่งเป็นการวิเคราะห์ข้อมูลจากผลกระทบทางกายภาพของระบบ แทนที่จะเจาะเข้าฐานข้อมูลโดยตรง
เทคนิคนี้มีความคล้ายคลึงกับ GPU.zip ซึ่งเป็นการโจมตีในปี 2023 ที่ใช้ช่องโหว่ของหน่วยประมวลผลกราฟิก (GPU) เพื่ออ่านข้อมูลลับจากเว็บไซต์อื่น โดย Pixnapping จะมุ่งเน้นไปที่การวัด ระยะเวลาในการประมวลผลภาพ (Rendering Time) ของแต่ละเฟรมบนหน้าจอ เพื่อวิเคราะห์ว่าพิกเซลในตำแหน่งนั้นๆ มีสีอะไร (เช่น สีขาว หรือ ไม่ใช่สีขาว) ซึ่งช่วยให้ผู้โจมตีสามารถประกอบร่างข้อมูลที่เห็นบนหน้าจอขึ้นมาใหม่ได้ทีละพิกเซล
ข้อมูลที่เสี่ยงต่อการถูกขโมย
- รหัส 2FA: รหัสตัวเลขที่ใช้ยืนยันตัวตนซึ่งมักมีอายุการใช้งานสั้น
- ข้อความแชท: บทสนทนาที่ปรากฏบนหน้าจอขณะเปิดแอป
- อีเมล: เนื้อหาในจดหมายอิเล็กทรอนิกส์ที่กำลังถูกอ่าน
อย่างไรก็ตาม หากข้อมูลนั้นเป็นความลับที่ถูกเก็บไว้ในระบบแต่ ไม่ได้แสดงผลบนหน้าจอ (เช่น Secret Key ที่ถูกซ่อนไว้) Pixnapping จะไม่สามารถขโมยข้อมูลเหล่านั้นได้
ขั้นตอนการโจมตี 3 ระยะ
- การกระตุ้นการแสดงผล: แอปอันตรายจะใช้ Android API (เช่น activities, intents และ tasks) เพื่อสั่งให้แอปเป้าหมายเปิดขึ้นมาและแสดงข้อมูลที่ต้องการขโมย ส่งข้อมูลเข้าสู่กระบวนการ Rendering Pipeline ของ Android
- การดำเนินการทางกราฟิก: แอปผู้โจมตีจะสร้างหน้าต่างโปร่งใสทับซ้อนบนแอปเป้าหมาย และทำการตรวจสอบพิกเซลในพิกัดที่กำหนด เพื่อดูว่าสีของพิกเซลนั้นตรงกับค่าที่ระบุไว้หรือไม่
- การวิเคราะห์เวลา: ระบบจะวัดเวลาที่ใช้ในการประมวลผลในแต่ละพิกัด หากเวลาที่ใช้ในการเรนเดอร์มีความแตกต่างกัน ผู้โจมตีจะทราบได้ทันทีว่าพิกเซลนั้นเป็นสีอะไร และนำมาสร้างเป็นรูปภาพข้อมูลที่สมบูรณ์
| รุ่นอุปกรณ์ | อัตราความสำเร็จในการกู้คืนรหัส | เวลาเฉลี่ยที่ใช้ (วินาที) |
|---|---|---|
| Pixel 6 | 73% | 14.3 |
| Pixel 7 | 53% | 25.8 |
| Pixel 8 | 29% | 24.9 |
| Pixel 9 | 53% | 25.3 |
สำหรับ Samsung Galaxy S25 นักวิจัยพบว่ามีสัญญาณรบกวน (Noise) สูง ทำให้ไม่สามารถขโมยรหัส 2FA ได้ทันภายในกรอบเวลา 30 วินาทีในปัจจุบัน
ข้อเท็จจริงสำคัญ
- ไม่ต้องขอสิทธิ์: แอปมัลแวร์ไม่จำเป็นต้องขอ Permission ของระบบก็สามารถขโมยข้อมูลได้
- ความเร็วสูง: สามารถกู้คืนรหัส 2FA ได้ในเวลาเฉลี่ย 14-25 วินาที บนอุปกรณ์บางรุ่น
- เป้าหมาย: ข้อมูลทุกอย่างที่ ปรากฏบนหน้าจอ มีความเสี่ยงทั้งหมด
- การตอบสนอง: Google ออกแพตช์แก้ไขบางส่วนในเดือนกันยายน และเตรียมออกแพตช์เพิ่มเติมในเดือนธันวาคม
คำถามที่พบบ่อย
Pixnapping ทำงานอย่างไรในภาษาที่เข้าใจง่าย?
มันเหมือนกับการที่แอปตัวหนึ่งแอบมองหน้าจอของอีกแอปหนึ่ง โดยการวัดความเร็วในการวาดภาพของ GPU เพื่อเดาว่าพิกเซลตรงนั้นเป็นสีอะไร จนสามารถวาดภาพข้อมูลลับนั้นขึ้นมาใหม่ได้
ฉันจะป้องกันตัวเองจาก Pixnapping ได้อย่างไร?
วิธีที่ดีที่สุดคือการหมั่นอัปเดตระบบปฏิบัติการ Android ให้เป็นเวอร์ชันล่าสุดเสมอ และหลีกเลี่ยงการติดตั้งแอปพลิเคชันจากแหล่งที่ไม่น่าเชื่อถือ
ทำไม Samsung Galaxy S25 ถึงยังไม่ถูกโจมตีได้สำเร็จใน 30 วินาที?
เนื่องจากมีสัญญาณรบกวน (Noise) ในการประมวลผลกราฟิกที่สูงกว่า ทำให้การวัดเวลาเพื่อระบุสีพิกเซลทำได้ช้าลงจนไม่ทันเวลาที่รหัส 2FA จะหมดอายุ
การโจมตีนี้สามารถขโมยรหัสผ่านที่ถูกซ่อนเป็นจุดดำๆ ได้หรือไม่?
ไม่ได้ เนื่องจาก Pixnapping ขโมยได้เฉพาะสิ่งที่ แสดงผลออกมาให้เห็น บนหน้าจอเท่านั้น หากระบบซ่อนรหัสผ่านไว้ไม่ให้ปรากฏเป็นตัวอักษร การโจมตีนี้จะไม่ได้ข้อมูลที่เป็นประโยชน์
Google แก้ไขปัญหานี้แล้วหรือยัง?
Google ได้ออกแพตช์แก้ไขเบื้องต้น (CVE-2025-48561) ในเดือนกันยายน และมีแผนจะออกแพตช์เพิ่มเติมในเดือนธันวาคมเพื่อลดความเสี่ยงนี้