WhatsApp พบช่องโหว่ร้ายแรง ทำข้อมูลเบอร์โทรศัพท์ 3.5 พันล้านบัญชีรั่วไหล
ความสะดวกสบายในการเพิ่มเพื่อนผ่านเบอร์โทรศัพท์ของ WhatsApp กลายเป็นดาบสองคม เมื่อนักวิจัยจากมหาวิทยาลัยเวียนนาค้นพบว่า ฟีเจอร์การค้นหาผู้ติดต่อนี้สามารถถูกนำมาใช้เป็นช่องทางในการดึงข้อมูลเบอร์โทรศัพท์ของผู้ใช้งานเกือบทั้งหมดทั่วโลกได้อย่างง่ายดาย
กลไกที่เกิดขึ้นเรียกว่า Phone Number Enumeration หรือการไล่ตรวจสอบหมายเลขโทรศัพท์แบบสุ่ม ซึ่งเป็นการทดสอบเบอร์โทรศัพท์ทุกรูปแบบที่เป็นไปได้ เพื่อดูว่าเบอร์ใดมีการลงทะเบียนใช้งาน WhatsApp บ้าง หากระบบตอบรับว่ามีการใช้งาน ผู้โจมตีจะสามารถเข้าถึงข้อมูลพื้นฐาน เช่น รูปโปรไฟล์และข้อความแนะนำตัวได้ทันที
ความเสียหายและขอบเขตของการรั่วไหล
ผลการศึกษาพบว่านักวิจัยสามารถรวบรวมเบอร์โทรศัพท์ได้สูงถึง 3.5 พันล้านหมายเลข โดยในจำนวนนี้มีผู้ใช้งานประมาณ 57% ที่เปิดเผยรูปโปรไฟล์เป็นสาธารณะ และอีก 29% ที่เปิดเผยข้อความในโปรไฟล์ ซึ่งหากข้อมูลนี้ถูกนำไปใช้ในทางที่ผิด จะถือเป็นการรั่วไหลของข้อมูลส่วนบุคคลครั้งใหญ่ที่สุดในประวัติศาสตร์
สิ่งที่น่ากังวลคือ นักวิจัยสามารถตรวจสอบเบอร์โทรศัพท์ได้เร็วถึง 100 ล้านหมายเลขต่อชั่วโมง ผ่านทางแอปพลิเคชันเวอร์ชันเบราว์เซอร์ เนื่องจาก Meta (บริษัทแม่ของ WhatsApp) ไม่ได้จำกัดความเร็วหรือจำนวนครั้งในการส่งคำขอค้นหาข้อมูล (Rate-limiting) อย่างมีประสิทธิภาพในขณะนั้น
| ประเทศ/กลุ่มตัวอย่าง | จำนวนเบอร์ที่พบ (ประมาณ) | เปิดเผยรูปโปรไฟล์ (%) | เปิดเผยข้อความโปรไฟล์ (%) |
|---|---|---|---|
| สหรัฐอเมริกา | 137 ล้าน | 44% | 33% |
| อินเดีย | 750 ล้าน | 62% | ไม่ระบุ |
| บราซิล | 206 ล้าน | 61% | ไม่ระบุ |
| รวมทั่วโลก | 3.5 พันล้าน | 57% | 29% |
ข้อเท็จจริงสำคัญ
- ช่องโหว่ซ้ำซาก: ปัญหานี้เคยถูกเตือนโดยนักวิจัยชาวดัตช์มาตั้งแต่ปี 2017 แต่ Meta ยังคงปล่อยให้เกิดช่องโหว่ในลักษณะเดิม
- ความเสี่ยงต่อกลุ่มเปราะบาง: พบเบอร์โทรศัพท์ในประเทศที่สั่งห้ามใช้ WhatsApp เช่น จีน (2.3 ล้านเบอร์) และเมียนมา (1.6 ล้านเบอร์) ซึ่งอาจทำให้รัฐบาลใช้ติดตามตัวผู้ใช้งานได้
- ภัยจากมิจฉาชีพ: ข้อมูลชุดนี้เป็นขุมทรัพย์สำหรับกลุ่มสแปมเมอร์และมิจฉาชีพในการหาเป้าหมายเพื่อหลอกลวง
- ปัญหาเรื่องกุญแจเข้ารหัส: พบว่าบางบัญชีใช้กุญแจเข้ารหัส (Cryptographic Keys) ซ้ำกัน ซึ่งอาจเกิดจากการใช้แอปพลิเคชันดัดแปลง (Unauthorized Clients) ทำให้ความปลอดภัยลดลง
การตอบสนองจาก Meta และแนวทางแก้ไข
ทาง Meta ได้ออกมายอมรับและขอบคุณนักวิจัยที่แจ้งเหตุผ่านระบบ Bug Bounty โดยระบุว่าข้อมูลที่รั่วไหลเป็น ข้อมูลสาธารณะพื้นฐาน และยืนยันว่าข้อความแชททั้งหมดไม่ได้รับผลกระทบเนื่องจากมีระบบ End-to-End Encryption (การเข้ารหัสจากต้นทางถึงปลายทาง) ซึ่งทำให้แม้แต่บริษัทเองก็ไม่สามารถอ่านข้อความได้
ปัจจุบัน Meta ได้แก้ไขปัญหาโดยการนำระบบ Rate-limiting หรือการจำกัดอัตราการส่งคำขอที่เข้มงวดขึ้นมาใช้ เพื่อป้องกันการดึงข้อมูลจำนวนมหาศาลในลักษณะนี้ อย่างไรก็ตาม นักวิจัยมองว่าการใช้เบอร์โทรศัพท์เป็นตัวระบุตัวตนหลัก (Unique Identifier) เป็นจุดอ่อนเชิงโครงสร้าง เพราะเบอร์โทรศัพท์ไม่มีความสุ่มเพียงพอที่จะเป็นความลับได้ ซึ่งปัจจุบัน WhatsApp กำลังทดสอบฟีเจอร์ Username เพื่อแก้ปัญหานี้ในระยะยาว
คำถามที่พบบ่อย
ข้อความแชทของฉันถูกอ่านได้หรือไม่?
ไม่ ข้อมูลที่รั่วไหลมีเพียงเบอร์โทรศัพท์ รูปโปรไฟล์ และข้อความแนะนำตัวเท่านั้น ส่วนข้อความแชทยังคงปลอดภัยด้วยการเข้ารหัส End-to-End Encryption
ทำไมการใช้เบอร์โทรศัพท์ถึงเป็นช่องโหว่?
เพราะเบอร์โทรศัพท์มีรูปแบบที่แน่นอนและคาดเดาได้ ทำให้ผู้ไม่หวังดีสามารถใช้โปรแกรมสุ่มเบอร์เพื่อตรวจสอบว่าใครใช้งานแอปพลิเคชันบ้างได้โดยง่าย
ฉันจะป้องกันข้อมูลส่วนตัวใน WhatsApp ได้อย่างไร?
ผู้ใช้ควรเข้าไปที่การตั้งค่าความเป็นส่วนตัว (Privacy Settings) และปรับการมองเห็นรูปโปรไฟล์ (Profile Photo) และข้อมูลเกี่ยวกับตัวฉัน (About) ให้เห็นได้เฉพาะ "ผู้ติดต่อของฉัน" (My Contacts) เท่านั้น
Meta ได้แก้ไขปัญหานี้หรือยัง?
ใช่ Meta ได้เพิ่มมาตรการจำกัดจำนวนการค้นหาข้อมูลเพื่อป้องกันการดึงข้อมูลแบบ mass-scale เรียบร้อยแล้วตั้งแต่เดือนตุลาคมที่ผ่านมา
การใช้แอป WhatsApp เวอร์ชันดัดแปลงอันตรายอย่างไร?
จากการวิจัยพบว่าแอปที่ไม่เป็นทางการอาจมีระบบเข้ารหัสที่บกพร่อง เช่น การใช้กุญแจเข้ารหัสซ้ำ ซึ่งอาจทำให้ข้อความถูกถอดรหัสโดยบุคคลอื่นได้
