แอปแชทกำลังถูกโจมตี ช่องโหว่ใหม่เปิดทางส่องรูปและติดไวรัสผ่านสายเรียกเข้า

ทำไมช่องโหว่ในแอปแชทส่วนตัวถึงอันตรายกว่าที่คิด

การโจมตีแอปส่วนตัวคือรูปแบบภัยไซเบอร์ที่ใช้ช่องโหว่ในแอปแชทยอดนิยมเพื่อเข้าถึงข้อมูลส่วนตัว บัญชีผู้ใช้ หรืออุปกรณ์มือถือ โดยไม่ต้องอาศัยมัลแวร์แบบดั้งเดิม แต่ใช้บั๊กด้านหน่วยความจำ การตั้งค่าอนุญาต หรือฟีเจอร์โทรและวิดีโอคอลเป็นทางเข้าทำให้ผู้ใช้ที่คิดว่าตนเองปลอดภัยจากการไม่กดลิงก์หรือไม่ดาวน์โหลดไฟล์ กลับเสี่ยงถูกเจาะได้เพียงรับสายหรือปล่อยให้สายเรียกเข้ายาวนาน โดยที่ไม่ทันรู้ตัว

หัวใจของปัญหาในตอนนี้คือ ช่องโหว่ความปลอดภัย WhatsApp ที่เปิดโอกาสให้ผู้โจมตีแอบดูแกลเลอรีรูปในเครื่อง และ WeChat worm ไวรัสที่แพร่กระจายผ่านสายโทรศัพท์ภายในแอปจากบั๊กหน่วยความจำในระบบ VoIP การโจมตีเหล่านี้ไม่ใช่ทฤษฎี แต่เป็นการสาธิตที่นักวิจัยทำให้เห็นแล้ว และผู้พัฒนาแอปกำลังแข่งกับเวลาเพื่ออุดรูรั่ว ขณะที่ผู้ใช้จำนวนมหาศาลยังถืออุปกรณ์ที่มีความเสี่ยงอยู่ในมือ

ช่องโหว่ความปลอดภัย WhatsApp เปิดช่องให้คนแอบส่องรูปเราได้อย่างไร

ช่องโหว่ความปลอดภัย WhatsApp ล่าสุดคือกรณีศึกษาว่าแอปแชทสามารถกลายเป็นหน้าต่างส่องชีวิตส่วนตัวได้อย่างง่ายดาย ผู้วิจัยด้านความปลอดภัยพบว่า ผู้โจมตีสามารถใช้วิดีโอคอลผ่าน WhatsApp เพื่อเข้าถึงเมนูเอฟเฟกต์วิดีโอและทะลุเข้าไปดูแกลเลอรีรูปในเครื่องได้ โดยไม่ต้องปลดล็อกหน้าจอและไม่ต้องได้รับการอนุญาตจากเจ้าของเครื่อง แม้จะยังไม่สามารถเปิดหรือส่งไฟล์จากหน้าจอดังกล่าวได้ แต่ภาพตัวอย่างที่แสดงขึ้นก็เพียงพอให้เห็นรูปส่วนตัว และสามารถใช้กล้องอีกเครื่องถ่ายเก็บไป

สิ่งที่น่ากังวลคือการโจมตีทำงานได้บนสมาร์ทโฟนแอนดรอยด์บางรุ่น เช่น Google Pixel 6 Pro และ Oppo K13 ในขณะที่บน Galaxy S25 Ultra ยังทำซ้ำไม่ได้ และบน iPhone ไม่มีช่องโหว่นี้เลย นั่นแปลว่าเจ้าของแอนดรอยด์จำนวนมากอาจไม่รู้ตัวว่ารูปของตนสามารถถูกแอบดูได้ผ่านขั้นตอนง่ายๆ เพียงผู้โจมตีเข้าถึงเครื่องที่ล็อกอยู่แล้วเริ่มวิดีโอคอล พูดง่ายๆ คือ การล็อกหน้าจอไม่ได้กันสายตาคนที่ใช้บั๊กได้อีกต่อไป

ด้านผู้พัฒนาได้ออกแพตช์แก้ไขและเริ่มปล่อยอัปเดตความปลอดภัยให้ผู้ใช้แล้ว พร้อมขอให้ผู้ใช้ตรวจสอบและติดตั้งอัปเดต WhatsApp ให้เร็วที่สุดเมื่อมีให้ดาวน์โหลด แต่จนกว่าการอัปเดตจะครอบคลุมทุกเครื่อง การวางใจว่าแอปแชทยอดนิยมปลอดภัยโดยอัตโนมัติคือความคิดที่ควรถูกตั้งคำถามอย่างจริงจัง

WeChat worm ไวรัสแบบ zero click ที่แพร่ผ่านสายเรียกเข้า

ถ้าเคยคิดว่าความเสี่ยงจะเกิดขึ้นก็ต่อเมื่อเรากดลิงก์หรือรับสายผิดคน WeChat worm ไวรัสที่นักวิจัยตั้งชื่อว่า WeWorm กำลังล้มสมมติฐานนั้นโดยสิ้นเชิง WeChat ซึ่งมีผู้ใช้กว่า 1.4 พันล้านบัญชีถูกค้นพบว่ามีบั๊กเสียหายหน่วยความจำในระบบ VoIP ที่ทำให้ผู้โจมตีที่อยู่ในรายชื่อเพื่อนสามารถเข้าควบคุมบัญชีเราได้เพียงแค่โทรเข้ามา ไม่ว่าเราจะใช้แอนดรอยด์หรือ iOS

ความอันตรายอยู่ที่ลักษณะ zero click ผู้ใช้ไม่ต้องกดรับสายด้วยซ้ำ แค่ปล่อยให้โทรศัพท์ดัง สายเรียกเข้าก็เป็นช่องทางให้ WeChat worm ไวรัสไหลเข้าไปยึดบัญชี ใช้เวลาเพียงไม่กี่วินาทีในการอ่านและส่งข้อความ เข้าถึงรายชื่อ และกระทำทุกอย่างแทนเหยื่อ เมื่อบัญชีหนึ่งถูกยึด มันสามารถโทรไปหาบัญชีอื่นในรายชื่อเพื่อนและแพร่ตัวต่อได้โดยไม่ต้องอาศัยการโต้ตอบจากผู้ใช้

แม้ปัจจุบันยังไม่มีหลักฐานว่ามีการใช้บั๊กนี้โจมตีจริงในโลกภายนอก และผู้พัฒนาแอปได้ออกแพตช์บนเวอร์ชัน 8.0.77 สำหรับแอนดรอยด์และ 8.0.76 สำหรับ iOS พร้อมแก้ไขฝั่งเซิร์ฟเวอร์เพื่อบรรเทาความเสี่ยง แต่ข้อเท็จจริงที่ว่ามี worm แบบ zero click ตัวแรกที่แพร่ผ่านสาย WeChat บนทั้งสองระบบปฏิบัติการ ถือเป็นสัญญาณเตือนแรงว่าแอปแชทสามารถกลายเป็นเครื่องมือแพร่เชื้อไซเบอร์ระดับมวลชนได้

เมื่อ AI กลายเป็นอาวุธให้แฮ็กเกอร์ ช่องโหว่เล็กๆ ก็กลายเป็นการยึดเครื่องทั้งเครื่อง

เบื้องหลัง WeChat worm ไวรัสไม่ได้มีแค่ความสามารถแพร่ผ่านสายเรียกเข้า แต่ยังมีบทบาทของ AI ที่น่ากังวล นักวิจัยระบุว่าพวกเขาใช้ AI ช่วยค้นหาช่องโหว่ในระบบ VoIP และพัฒนา exploit ระดับ remote code execution ภายในเวลาเพียงประมาณสองวัน นั่นหมายความว่า ช่องโหว่ที่ดูเหมือนมีความรุนแรงต่ำหรือจำกัดอยู่ในแอปเดียว สามารถถูกต่อยอดรวมกับบั๊กอื่นบนแอนดรอยด์และ iOS จนกลายเป็นการยึดอุปกรณ์ทั้งเครื่องได้

แนวคิดคือการเชื่อมช่องโหว่ในหลายแอปเข้าด้วยกัน ผู้โจมตีอาจใช้บั๊กอีกตัวเพื่อได้สิทธิระดับ root แล้วใช้ WeChat ที่ถูกยึดบัญชีเป็นช่องทางกระจายการโจมตีต่อไปยังเพื่อนในรายชื่อ ทีมวิจัยเตือนว่าพวกเขาพบพื้นผิวการโจมตีที่ไม่ธรรมดาอีกมากในแอปแชทหลายตัว และกำลังทำงานร่วมกับผู้พัฒนาเพื่อปรับลดพื้นผิวเหล่านี้ การแข่งขันจึงไม่ใช่แค่การอุดช่องโหว่ที่รู้แล้ว แต่คือการวิ่งแข่งกับแฮ็กเกอร์ที่มี AI เป็นตัวเร่งความเร็วในการค้นหาจุดอ่อนใหม่ๆ

การที่ AI ทำให้ความสามารถระดับองค์กรทุนหนาสามารถแพร่ไปสู่ผู้โจมตีทั่วไปได้ คือสาเหตุที่วงการความปลอดภัยต้องยกระดับความร่วมมือ นักวิจัยย้ำว่าการแชร์ข้อมูลและติดต่อกันอย่างเปิดเผยระหว่างผู้มีส่วนเกี่ยวข้องเป็นสิ่งจำเป็น เมื่อศักยภาพของภัยไซเบอร์ถูกขยายด้วย AI สำหรับผู้ใช้ปลายทาง ประเด็นสำคัญคืออย่าเชื่อว่าบั๊กเล็กๆ จะไม่มีผล เพราะในยุคนี้ จุดอ่อนเล็กหนึ่งจุดอาจเป็นชิ้นส่วนของโซ่โจมตีที่ใหญ่กว่ามาก

ผู้ใช้ควรทำอะไรตอนนี้ เพื่อการป้องกันอุปกรณ์มือถือให้รอดจากคลื่นโจมตีใหม่

เมื่อการโจมตีแอปส่วนตัวเริ่มใช้สายเรียกเข้าและวิดีโอคอลเป็นอาวุธ การป้องกันอุปกรณ์มือถือต้องเปลี่ยนวิธีคิด ผู้ใช้ควรเริ่มจากการอัปเดตแอปทันที โดยเฉพาะ WhatsApp และ WeChat ตรวจสอบให้แน่ใจว่าใช้เวอร์ชันล่าสุดที่มีแพตช์อุดช่องโหว่แล้ว ผู้พัฒนา WhatsApp ระบุว่ากำลังปล่อยแพตช์แก้ปัญหาอย่างเร่งด่วนและขอให้ผู้ใช้ติดตั้งอัปเดตโดยเร็วที่สุดเมื่อมีให้ใช้ ส่วน WeChat ได้ระบุว่าเวอร์ชัน 8.0.77 บนแอนดรอยด์และ 8.0.76 บน iOS ได้แก้ไขบั๊กเรียบร้อย และมีการบรรเทาความเสี่ยงฝั่งเซิร์ฟเวอร์แล้ว

ในช่วงที่การอัปเดตยังไม่ทั่วถึงหรือเมื่อยังไม่แน่ใจเวอร์ชัน ควรหลีกเลี่ยงการรับสายหรือวิดีโอคอลจากเบอร์และบัญชีที่ไม่รู้จักในแอปแชท ลดเวลาปล่อยให้สายเรียกเข้า ไม่ปล่อยให้โทรศัพท์ดังนานโดยไม่สนใจ ตั้งค่าสิทธิ์การเข้าถึงรูปและไฟล์ให้เฉพาะเท่าที่จำเป็น และพิจารณาแยกบัญชีที่ใช้ทำธุรกรรมการเงินออกจากบัญชีที่ใช้แชททั่วไป เพื่อลดผลกระทบหากบัญชีแชทถูกยึด

สุดท้าย ผู้ใช้ควรเลิกมองแอปแชทว่าเป็นแค่พื้นที่คุยเล่น แต่ให้เห็นว่าเป็นโครงสร้างพื้นฐานดิจิทัลที่ผูกกับภาพส่วนตัว ข้อมูลติดต่อ และบางครั้งคือเงินในบัญชี เมื่อช่องโหว่สามารถเปิดให้คนอื่นเห็นรูปเราโดยที่เครื่องยังล็อกอยู่ และ worm สามารถยึดบัญชีเราได้ก่อนเราจะกดรับสาย ถึงเวลาที่การป้องกันอุปกรณ์มือถือต้องเริ่มจากความระแวดระวังต่อแอปที่เราคุยทุกวัน ไม่ใช่แค่เว็บไซต์ที่เราเข้าเป็นครั้งคราว