สมาร์ทโฟนอาจเสี่ยงเป็นเหยื่อได้ดื้อๆ เมื่อชาร์จเติมพลัง เมื่อใช้การเชื่อมต่อยูเอสบีมาตรฐานต่อเข้ากับคอมพิวเตอร์ ผู้เชี่ยวชาญแคสเปอร์สกี้ แลปได้พบเรื่องราวน่าสะพรึงนี้จากการทดลองเพื่อทดสอบความเป็นไปได้ (proof-of-concept experiment) นักวิจัยกำลังทำการประเมินผลกระทบที่อาจจะได้รับจากเหตุการณ์นี้
เคยสงสัยไหมว่าสมาร์ทโฟนและข้อมูลของคุณนั้นปลอดภัยขนาดไหนกัน เมื่อต่อเชื่อมดีไวซ์เข้ากับที่ชาร์จไฟที่มีบริการฟรีอยู่ตามที่สาธารณะต่างๆ อาทิ สนามบิน ร้านกาแฟ สวนสาธารณะ และระบบการขนส่งเดินทางสาธารณะ คุณทราบหรือไม่ว่าข้อมูลใด จำนวนเท่าใดที่อุปกรณ์โมบายของคุณแลกเปลี่ยนสื่อสารกับจุดชาร์จไฟเหล่านี้เวลาที่คุณไปใช้มันชาร์จมือถือของคุณ นักวิจัยของแคสเปอร์สกี้ แลป เกิดความข้องใจสงสัย และได้ทำการวิจัยเพื่อค้นหาคำตอบต่อคำถามเหล่านี้
ในฐานะส่วนหนึ่งของการวิจัยนี้ ผู้เชี่ยวชาญของบริษัทได้ทดสอบสมาร์ทโฟนจำนวนหนึ่งที่ใช้แอนดรอยด์และ iOS ในเวอร์ชั่นต่างๆ เพื่อที่จะได้เข้าใจว่าข้อมูลอะไรกันที่อุปกรณ์โอนถ่ายกับภายนอก ขณะที่ต่อเชื่อมกับเครื่องพีซี หรือเครื่องแมคตอนที่ชาร์จไฟ ผลการทดสอบระบุว่าเครื่องมือสื่อสารโมบายเปิดเผยข้อมูลทั้งชุดกับเครื่องคอมพิวเตอร์ระหว่างทำ ‘handshake’ (กระบวนการแนะนำตัวระหว่าง ดีไวซ์และเครื่องพีซี/แมคที่ต่อเชื่อม) รวมทั้งชื่อเครื่อง ผู้ผลิต ประเภทของเครื่อง หมายเลขซีเรียล ข้อมูลเกี่ยวกับเฟิร์มแวร์ ข้อมูลระบบปฏิบัติการ ไฟล์ซิสเต็ม/ไฟล์ลิสต์ ไอดีของอิเล็กทรอนิกส์ชิป ปริมาณข้อมูลที่ส่งระหว่างการทำแฮนเชคนั้นมีความแตกต่างขึ้นอยู่กับเครื่องและโฮสต์ แต่ว่าสมาร์โฟนแต่ละเครื่องโอนถ่ายข้อมูลพื้นฐานเบื้องต้นเหมือนกัน เช่น ชื่อเครื่อง ผู้ผลิต หมายเลขซีเรียล เป็นต้น
.jpg)
เหตุการณ์เช่นนี้จัดเป็นประเด็นเรื่องความปลอดภัยหรือไม่? โดยทางอ้อมนั้นแน่นอน ปัจจุบันที่สมาร์ทโฟนถือว่าเป็นเฟอร์นิเจอร์ที่อยู่กับเจ้าของเครื่องเกือบจะตลอดเวลา อุปกรณ์เหล่านี้ได้ทำหน้าที่เป็นเสมือนตัวระบุชี้ตัวตนที่มีความเฉพาะตัวได้ระดับหนึ่งสำหรับเธิร์ดปาร์ตี้ใดๆ ก็ตามที่อาจจะสนใจที่จะเก็บตกข้อมูลบนเครื่องเพื่อบางทีอาจจะนำมาหาประโยชน์ได้ในภายหลัง แต่ว่าก็คงจะไม่เป็นปัญหาหรอก หากการเก็บตกข้อมูลที่ใช้ระบุอัตลักษณ์เฉพาะตัวบางประการนั้นคือทั้งหมดที่ผู้ร้ายไซเบอร์ต้องการเมื่ออุปกรณ์นั้นเชื่อมต่อเข้ากับคอมพิวเตอร์ที่ไม่รู้จัก หรือชาร์จไฟ
ย้อนกลับไปเมื่อปี 2014 ได้มีการนำเสนอแนวคิดหนึ่งในงานแบล็คแฮทที่โทรศัพท์มือถือสามารถตกเป็นเหยื่อติดมัลแวร์ได้ง่ายดายเพียงแต่เสียบปลั๊กเพื่อชาร์จไฟกับสเตชั่นชาร์จไฟที่ทำปลอมขึ้นมา ปัจจุบัน สองปีให้หลังจากการประกาศตัว ผู้เชี่ยวชาญของแคสเปอร์สกี้ แลปได้สามารถที่จะทำซ้ำผลลัพธ์เช่นนั้นได้อีก โดยใช้เครื่องพีซีธรรมดาๆ และไมโครยูเอสบีเคเบิ้ลมาตฐานทั่วไปหนึ่งเส้น พร้อมกับคอมมานด์พิเศษหนึ่งเซ็ต (ที่เรียกกันว่า AT-commands) ก็สามารถที่จะแอบติดตั้งรูทแอพพลิเคชั่นบนเครื่องได้แล้ว ทำให้เครื่องตกอยู่ในภาวการณ์ล่อแหลมอย่างมาก ถึงแม้ว่าจะไม่ได้ใช้มัลแวร์เลยก็ตาม
แม้ว่าข้อมูลที่เกี่ยวข้องกับเหตุการณ์ที่เกิดขึ้นจริงเกี่ยวกับสเตชั่นชาร์จไฟทำปลอมนั้นจะไม่ได้รับการตีพิมพ์เผยแพร่ออกมา การโจรกรรมข้อมูลจากอุปกรณ์โมบายที่เสียบต่อกับเครื่องคอมพิวเตอร์ก็ได้เป็นที่จับตามองมานานแล้ว ตัวอย่างเช่น เทคนิคนี้ได้ถูกใช้ในปี 2013 เป็นส่วนหนึ่งของการจารกรรมไซเบอร์กลุ่ม Red October และกลุ่ม Hacking Team ก็ยังหาประโยชน์จากการเสียบต่อกับเครื่องคอมพิวเตอร์ด้วยการโหลดมัลแวร์เข้าสู่อุปกรณ์ที่มาต่อเชื่อมเหล่านั้น
ตัว threat actors ทั้งสองตัวพบช่องทางในการหาประโยชน์จากการแลกเปลี่ยนข้อมูลที่เชื่อกันว่าน่าจะปลอดภัย ระหว่างสมาร์ทโฟนและเครื่องพีซี แฮกเกอร์จะทำการตรวจสอบข้อมูลระบุตัวตนที่ได้รับจากอุปกรณ์ที่มาต่อเชื่อม สามารถรู้รุ่นของเครื่องที่เหยื่อใช้ เพื่อที่จะได้ทำการจู่โจมได้อย่างเฉพาะเจาะจงมากยิ่งขึ้น ซึ่งก็คงกระทำเช่นนี้ไม่ได้ง่ายๆ หากว่าสมาร์ทโฟนไม่ได้แลกเปลี่ยนข้อมูลกับเครื่องพีซีโดยอัตโนมัติเพียงเพราะเสียบต่อเข้ากับยูเอสบีพอร์ต
.jpg)
“เป็นเรื่องแปลกที่ช่วงสองปีที่ผ่านมาหลังจากการเผยแพร่ แนวคิดเพื่อทดสอบความเป็นไปได้ที่แสดงถึงวิธีการที่สมาร์ทโฟนสามารถเป็นเหยื่อในการแพร่เชื้อได้ผ่านทางยูเอสบีนี้ยังคงเป็นจริงอยู่จนทุกวันนี้ ความเสี่ยงของระบบความปลอดภัยนี้ชัดเจนมาก หากคุณเป็นยูสเซอร์เจ้าประจำ คุณอาจจะถูกตามแกะรอยผ่านทางไอดีของอุปกรณ์ของคุณได้ โทรศัพท์ของคุณอาจจะถูกอัดเต็มมาด้วยขยะอะไรก็ได้ ตั้งแต่แอดแวร์ไปจนกระทั่งแรนซั่มแวร์ และหากคุณเป็นระดับผู้บริหารในบริษัทองค์กรใหญ่ๆ คุณก็อาจจะตกเป็นเป้าหมายของแฮกเกอร์มืออาชีพได้ง่าย” อเล็กซี่ โคมารอฟ นักวิจัยจากแคสเปอร์สกี้ แลปได้กล่าวเตือนสติ “และคุณก็ไม่จำเป็นต้องมีทักษะสูงส่งอะไรด้วยเพื่อที่จะดำเนินกิจกรรมจู่โจมขโมยข้อมูลเหล่านี้เพราะข้อมูลทั้งหมดที่คุณต้องการจะเป็นผู้ร้ายกับเขาสักที ก็มีอยู่ในอินเทอร์เน็ตนั่นเอง” อเล็กซี่ปิดท้ายเอาไว้
เพื่อเป็นการป้องกันตนเองจากความเสี่ยงของการถูกจู่โจมหรือเป็นเหยื่อผ่านการชาร์จไฟตามสเตชั่นหรือเครื่องคอมพิวเตอร์ทั่วไป แคสเปอร์สกี้ แลปมีข้อแนะนำดังต่อไปนี้:
• ใช้กับเฉพาะจุดชาร์จยูเอสบี หรือเครื่องคอมพิวเตอร์ที่ไว้วางใจได้เท่านั้น
• ป้องกันโทรศัพท์มือถือของคุณโดยง่ายด้วยการใส่รหัสป้องกัน หรือใช้วิธีอื่นๆ ก็ได้ อาทิ วิธีการจำลายนิ้วมือ และอย่าได้ปลดล็อคเครื่องขณะทำการชาร์จไฟอยู่
• ใช้เทคโนโลยีเข้ารหัส และซีเคียวคอนเทนเนอร์ (เป็นพื้นที่ที่ได้รับการป้องกันอยู่บนโทรศัพท์ที่ใช้เพื่อแยกข้อมูลที่สำคัญๆ ไว้ต่างหาก) เพื่อป้องกันข้อมูลของคุณ
• ป้องกันทั้งอุปกรณ์สื่อสารและเครื่องพีซี/แมคให้พ้นจากมัลแวร์ด้วยความช่วยเหลือของโซลูชั่นระบบความปลอดภัยที่เป็นที่ยอมรับ จะช่วยตรวจจับมัลแวร์ได้ แม้จะมีช่องโหว่จากการชาร์จไฟในที่ไม่น่าไว้ใจก็ตาม
ข่าวเด่น