ช่องโหว่ในแอปส่งข้อความคืออะไร และทำไมเสียงเรียกหนึ่งครั้งจึงอันตราย
ช่องโหว่ในแอปส่งข้อความคือข้อผิดพลาดด้านซอฟต์แวร์หรือการออกแบบที่เปิดโอกาสให้ผู้ไม่หวังดีเข้าใช้ข้อมูล ข้ามสิทธิ์ หรือควบคุมฟังก์ชันของแอปได้โดยที่เจ้าของเครื่องไม่ยินยอม ช่องโหว่แบบนี้อาจเกิดจากการจัดการหน่วยความจำที่ผิดพลาด การผูกเมนูเข้ากับส่วนเก็บข้อมูลที่ไม่ควรถูกเข้าถึง หรือการตรวจสอบสิทธิ์ที่ไม่รัดกุม ผลคือเพียงการรับสาย การปล่อยให้โทรศัพท์ดัง หรือการแตะเมนูไม่กี่ครั้งก็อาจทำให้แฮ็กเกอร์เห็นภาพส่วนตัว เข้าถึงบัญชีข้อความ หรือแม้แต่ใช้ช่องทางนั้นเป็นประตูเปิดทางสู่การเข้าควบคุมอุปกรณ์ทั้งเครื่องได้
กรณีล่าสุดของช่องโหว่ความปลอดภัย WhatsApp และบั๊ก VoIP ใน WeChat กำลังส่งสารชัดเจนว่า ผู้ใช้กำลังฝากกุญแจบ้านดิจิทัลไว้กับผู้ให้บริการที่อาจพลาดได้เหมือนกัน WhatsApp เปิดช่องให้ผู้โจมตีเข้าถึงคลังภาพในเครื่องผ่านเมนูเอฟเฟกต์วิดีโอระหว่างวิดีโอคอล โดยไม่ต้องปลดล็อกหน้าจอ ขณะที่ WeChat ใช้แค่เสียงเรียกสายบน VoIP ก็เพียงพอให้โค้ดที่เป็นอันตรายเริ่มทำงานจากระยะไกลบนทั้ง Android และ iOS สำหรับผู้อ่าน การปล่อยให้แอปไม่อัปเดตหรือรับสายจากหมายเลขที่ไม่รู้จักจึงไม่ใช่เรื่องเล็ก แต่คือการยอมเปิดประตูให้ภัยคุกคามเข้ามาเอง
ช่องโหว่ความปลอดภัย WhatsApp เมื่อวิดีโอคอลกลายเป็นช่องดูรูปส่วนตัว
ประเด็นที่น่ากังวลของช่องโหว่ความปลอดภัย WhatsApp คือมันไม่เกี่ยวกับการแฮ็กระดับลึก แต่มาจากการออกแบบประสบการณ์การใช้งานที่ลืมคิดถึงความเป็นส่วนตัว WhatsApp เปิดให้ผู้ใช้เลือกเอฟเฟกต์วิดีโอระหว่างวิดีโอคอล ซึ่งในบางเครื่องเมนูนี้สามารถเข้าถึงคลังภาพในเครื่องได้ แม้โทรศัพท์จะยังถูกล็อกหน้าจออยู่ก็ตาม นั่นหมายความว่า หากผู้โจมตีได้จับเครื่องที่ถูกล็อกและเริ่มวิดีโอคอลกับหมายเลขเป้าหมาย เมื่ออีกฝ่ายรับสาย เขาสามารถเปิดเมนูเอฟเฟกต์แล้วเลื่อนดูภาพพรีวิวในคลังภาพของเหยื่อได้ทันที
แม้จะไม่สามารถเปิดหรือส่งไฟล์จากคลังภาพได้โดยตรง แต่มุมมองภาพพรีวิวก็เพียงพอให้เห็นรูปส่วนตัวและถ่ายซ้ำด้วยกล้องอีกตัวหนึ่งได้ การโจมตีนี้ยังต้องอาศัยการจับเครื่องจริง แต่ก็แสดงให้เห็นปัญหาเชิงโครงสร้างของความปลอดภัยแอปพลิเคชัน ที่มักให้สิทธิ์แอปแตะต้องคลังภาพโดยเกินความจำเป็น น่าสังเกตว่าการโจมตีนี้ใช้ไม่ได้กับทุกเครื่อง Android ตัวอย่างเช่นบนบางรุ่นไม่สามารถสร้างพฤติกรรมนี้ซ้ำได้ ขณะที่บนเครื่องอื่นอย่าง Pixel 6 Pro และ Oppo บางรุ่นกลับทำได้สำเร็จ ช่องโหว่นี้ไม่เกิดบน iPhone ซึ่งสะท้อนว่าปัญหาไม่ได้มาจากแนวคิดแอปเพียงอย่างเดียว แต่อยู่ที่การผูกสิทธิ์ระหว่างระบบปฏิบัติการและตัวแอปบนแต่ละค่ายด้วย
WeChat รหัสไวรัสแบบ WeWorm เมื่อเสียงเรียกสายกลายเป็นช่องทางยึดบัญชี
ในอีกด้าน เราได้เห็นตัวอย่างที่อันตรายยิ่งกว่าจาก WeChat รหัสไวรัส รูปแบบหนอนคอมพิวเตอร์ที่ถูกตั้งชื่อว่า WeWorm ช่องโหว่นี้เกิดจากปัญหาการคอร์รัปต์หน่วยความจำในระบบ VoIP ของแอป ทำให้เพื่อนที่อยู่ในรายชื่อสามารถควบคุมบัญชี WeChat ของเหยื่อได้เพียงแค่โทรหาเท่านั้น สิ่งที่ทำให้บั๊กนี้สั่นสะเทือนวงการคือมันเป็นช่องโหว่แบบ zero click ผู้ใช้ไม่ต้องแตะอะไรเลย แค่ให้โทรศัพท์เริ่มดัง WeWorm ก็เริ่มเจาะเข้าไปยังบัญชีได้แล้ว
เดโมของนักวิจัยแสดงให้เห็นว่า เมื่อแอคเคานต์หนึ่งถูกยึดได้ภายในไม่กี่วินาที แอคเคานต์นั้นก็สามารถโทรหาผู้ติดต่อรายต่อไปและแพร่ต่อแบบหนอนได้โดยไม่ต้องอาศัยการกดรับสายของเหยื่อ แม้การกดปฏิเสธสายจะหยุดการติดเชื้อได้ แต่ในทางปฏิบัติผู้โจมตีสามารถโทรซ้ำตอนเจ้าของเครื่องไม่อยู่ได้เสมอ นักวิจัยยังระบุว่าช่องโหว่นี้สามารถผูกต่อกับบั๊กอื่นเพื่อยกระดับเป็นการโจมตี RCE มือถือ ที่ควบคุมอุปกรณ์ทั้งเครื่องได้ และยอมรับว่าพวกเขาใช้ AI ค้นหาช่องโหว่และพัฒนาโค้ดโจมตีระยะไกลชุดแรกสำเร็จภายในเวลาประมาณสองวัน นี่คือสัญญาณเตือนว่าปัญหาความปลอดภัยกำลังก้าวเข้าสู่ยุคที่เครื่องมืออัตโนมัติช่วยให้ทั้งฝ่ายดีและฝ่ายร้ายเคลื่อนไหวเร็วขึ้นมาก
ขอบเขตความเสียหาย ใครได้รับผลกระทบ และแพตช์แก้ไขอยู่ตรงไหน
ทั้งสองกรณีชี้ให้เห็นว่าช่องโหว่แอปส่งข้อความไม่ได้จำกัดอยู่ที่ผู้ใช้กลุ่มเล็ก WhatsApp เองมีฐานผู้ใช้มหาศาล และช่องโหว่นี้อนุญาตให้ผู้โจมตีเปิดดูคลังภาพบนเครื่อง Android บางรุ่นได้โดยไม่ต้องปลดล็อกหน้าจอ ถึงแม้การโจมตีจะต้องมีการจับเครื่องจริง จึงลดความเสี่ยงระดับมวลชนลงบ้าง แต่ก็เพียงพอให้เกิดเหตุละเมิดความเป็นส่วนตัวในสถานการณ์ที่เครื่องถูกยึดตรวจ ค้น หรือถูกยืมใช้
กรณี WeChat สถานการณ์หนักกว่า เพราะเป็นแอปที่มีผู้ใช้งานต่อเดือนมากกว่า 1.4 พันล้านบัญชี และช่องโหว่ WeWorm ส่งผลต่อทั้งผู้ใช้ Android และ iOS แม้จะยังไม่มีหลักฐานว่าบั๊กนี้ถูกใช้โจมตีในโลกความเป็นจริง แต่เพียงศักยภาพในการยึดบัญชีผ่านเสียงเรียกสายก็เพียงพอให้จัดอยู่ในระดับร้ายแรง นักวิจัยระบุว่าเวอร์ชัน Android 8.0.77 และ iOS 8.0.76 เป็นแพตช์ที่ปิดช่องโหว่นี้แล้ว และผู้พัฒนายืนยันว่ามาตรการบรรเทาถูกนำไปใช้กับผู้ใช้ทุกคนผ่านฝั่งเซิร์ฟเวอร์ พร้อมกันนั้นยังมีแอปบน HarmonyOS Windows Mac และ Linux แต่ยังไม่มีการทดสอบช่องโหว่นี้บนแพลตฟอร์มเหล่านั้น
สิ่งที่ผู้ใช้ควรทำตอนนี้ และบทเรียนเรื่องความปลอดภัยแอปพลิเคชัน
คำถามสำคัญไม่ใช่ว่าแอปใดปลอดภัยร้อยเปอร์เซ็นต์ แต่คือเราจะอยู่กับความเสี่ยงอย่างมีสติได้อย่างไร อย่างแรก ผู้ใช้ WhatsApp ควรอัปเดตแอปทันทีที่มีเวอร์ชันใหม่ เพราะผู้พัฒนากำลังทยอยปล่อยแพตช์เพื่อแก้ปัญหาการเข้าถึงคลังภาพบน Android และย้ำให้ผู้ใช้เฝ้าดูอัปเดตและติดตั้งโดยไม่รอช้า ในระหว่างนี้ควรหลีกเลี่ยงการปล่อยให้คนอื่นจับเครื่องที่ถูกล็อก โดยเฉพาะเมื่อมีการโทรหรือวิดีโอคอลเข้ามา และทบทวนการให้สิทธิ์เข้าถึงคลังภาพกับแอปต่างๆ
สำหรับผู้ใช้ WeChat การอัปเดตเป็นเวอร์ชันอย่างน้อย Android 8.0.77 หรือ iOS 8.0.76 เป็นขั้นตอนขั้นต่ำที่หลีกเลี่ยงไม่ได้ และแม้ผู้พัฒนาจะระบุว่ามีการบรรเทาที่ฝั่งเซิร์ฟเวอร์แล้ว ผู้ใช้ก็ควรตั้งค่าความเป็นส่วนตัวให้เข้มขึ้น เช่น จำกัดว่าใครสามารถโทรหรือเพิ่มเราเป็นเพื่อนได้ ในช่วงที่ยังไม่แน่ใจแพตช์เข้าถึงเครื่องครบหรือไม่ การหลีกเลี่ยงการรับสายหรือปล่อยให้สายจากหมายเลขที่ไม่รู้จักดังต่อเนื่องผ่านแอปถือเป็นการกันตัวเองอีกชั้น บทเรียนใหญ่คือความปลอดภัยแอปพลิเคชัน ต้องถูกมองเป็นกระบวนการต่อเนื่อง ไม่ใช่เหตุการณ์ครั้งเดียว ผู้ใช้ควรชินกับการอัปเดตเร็ว อ่านบันทึกการเปลี่ยนแปลง และตั้งคำถามทุกครั้งที่แอปขอสิทธิ์เกินจำเป็น