สรุปข่าวความปลอดภัยไซเบอร์และภัยคุกคามดิจิทัลล่าสุดจากงาน Black Hat และ Defcon
ในสัปดาห์ที่ผ่านมา งานประชุมด้านความปลอดภัยระดับโลกอย่าง Black Hat และ Defcon ณ เมืองลาสเวกัส ได้กลายเป็นศูนย์กลางของการเปิดเผยช่องโหว่ทางเทคโนโลยีที่น่าตกใจ โดยเฉพาะการนำ Artificial Intelligence (AI) หรือปัญญาประดิษฐ์ มาใช้เป็นเครื่องมือในการโจมตี ซึ่งเปลี่ยนรูปแบบจากการโจมตีทางซอฟต์แวร์ไปสู่การส่งผลกระทบต่ออุปกรณ์ในโลกจริง
การใช้ AI ในการโจมตีรูปแบบใหม่
ทีมนักวิจัยจากมหาวิทยาลัย Tel Aviv ได้สาธิตวิธีการเข้าควบคุมอุปกรณ์สมาร์ทโฮมผ่านการส่งคำเชิญใน Google Calendar ที่ถูก "วางยา" (Poisoned) ซึ่งถือเป็นครั้งแรกที่มีการใช้ AI เพื่อส่งผลกระทบต่ออุปกรณ์ทางกายภาพ นอกจากนี้ ยังมีการค้นพบว่า ChatGPT สามารถถูกหลอกให้เปิดเผยข้อมูลส่วนตัวของผู้ใช้ได้ หากมีการเชื่อมต่อกับ Google Drive และได้รับคำสั่ง (Prompt) ที่เป็นอันตรายผ่านเอกสารที่ถูกดัดแปลง
ช่องโหว่ในระบบสื่อสารและอุปกรณ์ความปลอดภัย
นอกเหนือจากเรื่อง AI ยังมีการตรวจพบจุดอ่อนร้ายแรงในระบบการเข้ารหัสแบบ End-to-End Encryption (การเข้ารหัสจากต้นทางถึงปลายทาง) ที่ใช้ในวิทยุสื่อสารของตำรวจและกองทัพทั่วโลก ซึ่งอาจทำให้ผู้ไม่หวังดีสามารถดักฟังหรือส่งข้อความปลอมเข้าสู่ระบบได้
ในส่วนของอุปกรณ์ฮาร์ดแวร์ นักวิจัยพบว่าตู้เซฟอย่างน้อย 8 แบรนด์มี "ประตูหลัง" (Backdoor) หรือช่องทางลับที่ทำให้สามารถปลดล็อกได้ภายในไม่กี่วินาที รวมถึงมีช่องโหว่ที่ช่วยให้แฮกเกอร์สามารถเดารหัสผ่านของตู้เซฟได้อีกด้วย
การรั่วไหลของข้อมูลครั้งใหญ่และภัยคุกคามระดับองค์กร
เหตุการณ์ข้อมูลรั่วไหลที่น่ากังวลเกิดขึ้นในหลายภาคส่วน ดังนี้:
- ระบบศาลสหรัฐฯ: ระบบ CM/ECF (ระบบจัดการคดีและไฟล์อิเล็กทรอนิกส์) ถูกเจาะข้อมูล ส่งผลให้เอกสารลับและรายชื่อสายลับของ FBI อาจถูกเปิดเผย
- Google: กลุ่มแฮกเกอร์ ShinyHunters ได้เข้าถึงฐานข้อมูล Salesforce ของ Google ทำให้ข้อมูลติดต่อและบันทึกของธุรกิจขนาดกลางและขนาดย่อมรั่วไหล
- มหาวิทยาลัยโคลัมเบีย: ข้อมูลส่วนบุคคลของนักศึกษาและบุคลากรกว่า 870,000 ราย รวมถึงประวัติการศึกษาและข้อมูลสุขภาพถูกขโมยไป
ความเป็นส่วนตัวบนโซเชียลมีเดียและภัยใกล้ตัว
Instagram ได้เปิดตัวฟีเจอร์แผนที่ที่สามารถค้นหาเนื้อหาตามสถานที่ได้ ซึ่งสร้างกระแสวิพากษ์วิจารณ์อย่างหนักในด้านความเป็นส่วนตัว เนื่องจากอาจถูกนำไปใช้ในการสะกดรอยตาม (Stalking) แม้ทาง Instagram จะระบุว่าแสดงผลเฉพาะบัญชีสาธารณะ แต่ผู้ใช้จำนวนมากยังคงกังวลเรื่องความปลอดภัย
นอกจากนี้ ยังมีการค้นพบที่น่าตกใจในโรงเรียนมัธยมแห่งหนึ่ง เมื่อแฮกเกอร์วัยรุ่นพบว่าเครื่องตรวจจับควันและบุหรี่ไฟฟ้าในห้องน้ำมีการติดตั้งไมโครโฟนที่สามารถถูกเจาะระบบเพื่อใช้แอบฟังได้
| เป้าหมาย/ระบบ | ลักษณะการโจมตี/ช่องโหว่ | ผลกระทบ |
|---|---|---|
| สมาร์ทโฮม | AI + Google Calendar Invite | ถูกเข้าควบคุมอุปกรณ์ทางกายภาพ |
| ระบบศาลสหรัฐฯ | เจาะระบบ CM/ECF | เอกสารลับและข้อมูลสายลับรั่วไหล |
| Google (Salesforce) | บัญชีถูกบุกรุก (Compromised Account) | ข้อมูลลูกค้าธุรกิจรั่วไหล |
| ตู้เซฟ 8 แบรนด์ | Backdoor ในระบบล็อกอิเล็กทรอนิกส์ | ถูกเปิดออกได้ในเวลาไม่กี่วินาที |
| ม.โคลัมเบีย | การโจมตีทางไซเบอร์ | ข้อมูลบุคคล 870,000 รายรั่วไหล |
ข้อเท็จจริงสำคัญ
- AI ถูกนำมาใช้โจมตีอุปกรณ์ในโลกจริงเป็นครั้งแรกผ่านระบบปฏิทิน
- ShinyHunters เป็นกลุ่มแฮกเกอร์ที่มุ่งเป้าโจมตีฐานข้อมูลบน Cloud เช่น Salesforce
- CM/ECF คือระบบจัดการเอกสารทางกฎหมายของศาลสหรัฐฯ ที่กำลังเผชิญกับภัยคุกคามอย่างต่อเนื่อง
- End-to-End Encryption ในวิทยุสื่อสารทางทหารมีจุดอ่อนที่อาจถูกดักฟังได้
คำถามที่พบบ่อย
การโจมตีสมาร์ทโฮมผ่าน Google Calendar ทำได้อย่างไร?
นักวิจัยใช้ AI สร้างคำเชิญในปฏิทินที่แฝงโค้ดอันตราย เมื่อเป้าหมายตอบรับหรือเปิดดู จะทำให้แฮกเกอร์สามารถเข้าควบคุมอุปกรณ์ที่เชื่อมต่อในบ้านได้
ฟีเจอร์แผนที่ของ Instagram อันตรายอย่างไร?
ฟีเจอร์นี้ช่วยให้คนอื่นค้นหาโพสต์ตามสถานที่ได้ ซึ่งอาจทำให้ผู้ไม่หวังดีระบุตำแหน่งปัจจุบันหรือสถานที่ที่ผู้ใช้ไปบ่อยๆ นำไปสู่การคุกคามหรือการสะกดรอยตาม
ข้อมูลที่รั่วไหลจากมหาวิทยาลัยโคลัมเบียมีอะไรบ้าง?
ข้อมูลที่ถูกขโมยประกอบด้วย ข้อมูลติดต่อ, ประวัติการเรียน, รายละเอียดความช่วยเหลือทางการเงิน รวมถึงข้อมูลด้านสุขภาพและประกันภัย
กลุ่ม ShinyHunters คือใครและมีพฤติกรรมอย่างไร?
เป็นกลุ่มแฮกเกอร์ที่เชี่ยวชาญการโจมตีฐานข้อมูลบนระบบคลาวด์ โดยมักใช้เทคนิค Voice Phishing เพื่อหลอกพนักงานให้มอบสิทธิ์การเข้าถึงระบบ จากนั้นจะข่มขู่เรียกค่าไถ่เพื่อแลกกับการไม่เปิดเผยข้อมูล
