แอปพลิเคชันทหารสหรัฐฯ เสี่ยงข้อมูลรั่วไหลผ่านโค้ดจากจีนและรัสเซีย
ความปลอดภัยของบุคลากรทางทหารกำลังเผชิญกับภัยคุกคามรูปแบบใหม่ เมื่อผลการศึกษาล่าสุดพบว่าแอปพลิเคชันบนมือถือที่ออกแบบมาเพื่อทหารสหรัฐฯ โดยเฉพาะ มีการฝังซอฟต์แวร์จากบริษัทในประเทศที่เป็นคู่ขัดแย้ง เช่น จีนและรัสเซีย ซึ่งสร้างความกังวลว่ารัฐบาลต่างชาติอาจใช้ช่องทางนี้ในการเก็บข้อมูลที่ตั้ง การทำงาน และการเคลื่อนกำลังพลของเจ้าหน้าที่ระดับสูง
งานวิจัยจากมหาวิทยาลัย Purdue, West Point และ Florida International University เปิดเผยว่า 1 ใน 8 ของแอปพลิเคชันที่สำรวจ มีโค้ดที่พัฒนาโดยบริษัทต่างชาติ โดยพบว่าแอปยอดนิยมที่ใช้รีวิวความเป็นอยู่ภายในฐานทัพมีการใช้โค้ดจาก Huawei ซึ่งเป็นบริษัทโทรคมนาคมที่สหรัฐฯ ระบุว่าเป็นภัยต่อความมั่นคงตั้งแต่ปี 2020 นอกจากนี้ยังพบแอปที่ใช้บริการโฆษณา Yandex ของรัสเซียอีกด้วย
ความเสี่ยงจาก SDK และการติดตามตำแหน่ง
จากการตรวจสอบแอปพลิเคชันกว่า 220 รายการ ซึ่งครอบคลุมตั้งแต่แอปเตรียมสอบเลื่อนขั้น คู่มือเครื่องแบบ ไปจนถึงแอปหาคู่และธนาคาร พบว่า 64% มีการใช้ SDK (Software Development Kit) หรือชุดเครื่องมือพัฒนาซอฟต์แวร์สำเร็จรูป ซึ่งมักใช้เพื่อการวิเคราะห์ข้อมูลและโฆษณา แต่ในขณะเดียวกัน SDK เหล่านี้สามารถติดตามพฤติกรรมและตำแหน่งที่ตั้งของผู้ใช้เพื่อส่งต่อให้บริษัทภายนอกได้
สิ่งที่น่ากังวลยิ่งกว่าคือ 40% ของแอปเหล่านี้มีการเก็บหรือแชร์ข้อมูล มากกว่าที่ระบุไว้ ในนโยบายความเป็นส่วนตัวบน Google Play Store หรือ Apple App Store โดยพบ SDK จากหลายประเทศ เช่น จีน รัสเซีย อิสราเอล อินเดีย และเยอรมนี ซึ่งในจำนวนนี้มีประมาณ 7% ที่มาจากประเทศที่กระทรวงกลาโหมสหรัฐฯ ถือว่าเป็นคู่ขัดแย้ง
โดยเฉพาะการพบ HMS Core ของ Huawei ใน 12 แอปพลิเคชัน ซึ่งมีความสามารถในการระบุตำแหน่งผู้ใช้และจัดเก็บสื่อต่างๆ แม้ปัจจุบันจะยังไม่พบการส่งข้อมูลไปยังเซิร์ฟเวอร์ของ Huawei โดยตรง แต่ผู้เชี่ยวชาญเตือนว่า SDK สามารถอัปเดตจากระยะไกลได้ตลอดเวลา ทำให้โค้ดที่ดูเหมือนไม่มีอันตรายในวันนี้ อาจกลายเป็น สปายแวร์ (Spyware) หรือซอฟต์แวร์จารกรรมข้อมูลในอนาคต
ผลกระทบที่เกิดขึ้นจริงในพื้นที่สงคราม
ภัยคุกคามนี้ไม่ใช่เพียงการคาดการณ์ เพราะหน่วยบัญชาการกลางสหรัฐฯ (US Central Command) ยอมรับว่าได้รับรายงานการถูกโจมตีจากการที่ฝ่ายตรงข้ามใช้ ข้อมูลตำแหน่งที่ตั้งเชิงพาณิชย์ (Commercial Location Data) เพื่อเฝ้าติดตามและระบุเป้าหมายเจ้าหน้าที่สหรัฐฯ ในตะวันออกกลาง โดยเฉพาะในพื้นที่ที่มีความตึงเครียดสูงอย่างช่องแคบฮอร์มุซ
ข้อมูลเหล่านี้อาจถูกนำไปใช้เพื่อระบุตัวตนของเจ้าหน้าที่ที่เข้าถึงพื้นที่หวงห้าม วิเคราะห์ช่วงเวลาที่การป้องกันหละหลวมที่สุด หรือแม้แต่ติดตามเส้นทางจากฐานทัพไปยังโรงเรียนของบุตรหลาน ซึ่งเป็นการเปิดเผยจุดอ่อนที่ร้ายแรงต่อความมั่นคง
ข้อเท็จจริงสำคัญ
- 64% ของแอปทหาร มีการใช้ SDK จากบุคคลที่สาม ซึ่งเสี่ยงต่อการถูกติดตามข้อมูล
- 40% ของแอป เก็บข้อมูลผู้ใช้เกินกว่าที่แจ้งไว้ใน Store
- 7% ของแอป มีโค้ดจากประเทศที่เป็นคู่ขัดแย้งทางไซเบอร์ของสหรัฐฯ
- 83% ของผู้ใช้งาน รู้สึกไม่สบายใจกับแนวทางการจัดการข้อมูลของแอปที่ใช้อยู่
- ขาดการชี้แนะ ทหารเกือบ 2 ใน 3 ระบุว่าไม่ได้รับคำแนะนำที่เพียงพอจากหน่วยงานเรื่องการใช้แอปส่วนตัว
| หัวข้อตรวจสอบ | สิ่งที่ตรวจพบ | ระดับความเสี่ยง |
|---|---|---|
| การใช้ SDK ต่างชาติ | พบโค้ดจากจีนและรัสเซียในหลายแอป | สูง |
| ความโปร่งใสของข้อมูล | เก็บข้อมูลมากกว่าที่แจ้งไว้ 40% | ปานกลาง-สูง |
| การรับรู้ของผู้ใช้ | ไม่ทราบแหล่งที่มาของโค้ดในแอป | สูง |
| การสนับสนุนจากองค์กร | ขาดคำแนะนำด้านความปลอดภัยที่ชัดเจน | ปานกลาง |
คำถามที่พบบ่อย
SDK คืออะไรและทำไมถึงอันตราย?
SDK คือชุดเครื่องมือที่นักพัฒนาแอปนำมาใช้เพื่อเพิ่มฟังก์ชัน เช่น ระบบโฆษณาหรือการวิเคราะห์ข้อมูล โดยไม่ต้องเขียนโค้ดเองทั้งหมด ความอันตรายอยู่ที่ SDK บางตัวสามารถแอบเก็บข้อมูลตำแหน่งที่ตั้งและส่งต่อไปยังเซิร์ฟเวอร์ในต่างประเทศได้โดยที่ผู้ใช้หรือแม้แต่นักพัฒนาแอปเองอาจไม่ทราบ
ทำไม Google และ Apple ถึงไม่แจ้งว่าแอปมีโค้ดจากประเทศใด?
ปัจจุบันทั้ง Google Play Store และ Apple App Store มีการแจ้งนโยบายความเป็นส่วนตัว แต่ไม่มีการระบุ ประเทศต้นทาง ของซอฟต์แวร์หรือ SDK ที่ฝังอยู่ภายในแอป ทำให้ผู้ใช้ไม่สามารถตรวจสอบได้ว่าแอปที่ติดตั้งมีส่วนประกอบจากประเทศที่เป็นคู่ขัดแย้งหรือไม่
ข้อมูลตำแหน่งที่ตั้งส่งผลเสียต่อทหารอย่างไร?
ข้อมูลตำแหน่งสามารถเผยให้เห็นกิจวัตรประจำวัน การเคลื่อนย้ายหน่วยทหาร และตำแหน่งของสถานที่ลับ เช่น ศูนย์ข่าวกรองหรือคลังเก็บอาวุธนิวเคลียร์ ซึ่งฝ่ายตรงข้ามสามารถใช้ข้อมูลนี้ในการวางแผนโจมตีหรือจารกรรมข้อมูลได้
แนวทางแก้ไขที่ผู้ใช้งานและรัฐบาลควรดำเนินการคืออะไร?
ผู้ใช้เสนอให้มีการแจ้งเตือนบนมือถือเมื่อพบโค้ดจากต่างชาติที่ไม่รู้จัก ขณะที่ในระดับนโยบาย มีการเสนอให้ออกกฎหมายห้ามโบรกเกอร์ข้อมูล (Data Brokers) ซื้อขายข้อมูลของบุคลากรทางทหาร และการตรวจสอบการเปิดเผยข้อมูลความเป็นส่วนตัวของแอปอย่างเข้มงวด
