จากรายงานพิเศษ “พิษกระเป๋าตังค์ออนไลน์ EP.1 ลูบคมศิลปินดัง! มือดีแฮกเฟซ หลอกต้มโอนตังค์ผ่านแอป” สู่รายงานพิเศษตอนที่ 2 ซึ่งเปรียบเสมือนกุญแจดอกสำคัญที่จะไขทุกช่องโหว่ของเรื่องราวการต้มตุ๋นผ่านแอปพลิเคชันดังครั้งมโหฬาร...
ทีมข่าวเฉพาะกิจไทยรัฐออนไลน์ เจาะประเด็น “ช่องโหว่สำคัญของเหตุการณ์นี้ คืออะไร?” และ “คุณควรทำอย่างไร ที่จะไม่ตกหลุมพรางให้กับมิจฉาชีพยุค 4.0?” ทุกเนื้อหาสาระนับจากนี้ คุณไม่ควรพลาดด้วยประการทั้งปวง!
เจาะช่องโหว่สำคัญ ปมโอนตังค์ผ่านแอป
พ.ต.ต.ปฐมพงษ์ ศิลปสุข สารวัตรกองกำกับการ 1 กองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยี (ปอท.) กล่าวกับผู้สื่อข่าว โดยแบ่งออกเป็น 2 ประเด็น ดังต่อไปนี้
พ.ต.ต.ปฐมพงษ์ กล่าวกับผู้สื่อข่าวว่า 1. ตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ กำหนดไว้ว่า ผู้ให้บริการมีหน้าที่ต้องเก็บข้อมูลจราจรคอมพิวเตอร์ (Log File) ตามกฎหมายระบุ และต้องเก็บไว้ไม่น้อยกว่า 90 วัน ซึ่งการใช้แอปพลิเคชันกระเป๋าเงินอิเล็กทรอนิกส์ เช่น TrueMoney Wallet ถือเป็นธุรกรรมการเงินอิเล็กทรอนิกส์ โดยอาศัยการใช้งานผ่านช่องทางอินเทอร์เน็ต ย่อมหมายความว่า ผู้ให้บริการจะต้องมีหน้าที่บันทึกข้อมูลการใช้งานต่างๆ ของผู้ใช้บริการ ไม่ว่าจะเป็น ข้อมูลการสมัครใช้บริการ อุปกรณ์ที่ใช้สมัครและใช้งาน ช่วงเวลาที่เข้าถึงระบบและใช้งาน โดยสามารถระบุได้ว่าเป็นการเข้าไปธุรกรรมอะไร อย่างไร ด้วยหมายเลข IP Address อะไร และ ยอดเงินจำนวนเท่าไหร่ เป็นต้น
...
“เมื่อมีผู้เสียหายแจ้งความเข้ามาว่า คนร้ายได้ทำการล่อลวงผู้เสียหายให้โอนเงินเข้าบัญชี E-Wallet หรือที่ผูกไว้กับแอปพลิเคชัน นั่นก็เท่ากับว่า ในทางสืบสวนผู้ให้บริการต้องสามารถตรวจสอบข้อมูลการจราจรทางอินเตอร์เน็ต และตรวจสอบข้อมูลการใช้งานของบัญชีที่ต้องสงสัยได้ทันท่วงที ทางเจ้าพนักงานก็จะใช้อำนาจตามกฎหมายในส่วนที่เกี่ยวข้อง อาศัยอำนาจเจ้าพนักงานตามพ.ร.บ.คอมพิวเตอร์ฯ เพื่อขอให้ส่งข้อมูลการใช้งานบัญชีของมิจฉาชีพจากผู้ให้บริการรายนั้นๆ แต่ปัญหาสำคัญที่ทางเจ้าหน้าที่กำลังประสบอยู่ก็คือ ยังไม่ได้รับความร่วมมือจากทางผู้ให้บริการบางราย โดยการประสานเป็นหนังสือราชการตามอำนาจหน้าที่ แต่มักไม่ได้รับข้อมูลเพื่อประกอบการสืบสวน หรือล่าช้าจนทำให้ไม่สามารถติดตามตัวคนร้ายที่ก่อเหตุได้ทันท่วงที และด้วยเหตุนี้ การทำงานของเจ้าหน้าที่จึงค่อนข้างมีข้อจำกัดหลายด้าน” พ.ต.ต.ปฐมพงษ์ กล่าวถึงอุปสรรคในการตามตัวคนร้าย
พ.ต.ต.ปฐมพงษ์ กล่าวถึงปมปัญหาที่ 2 ว่า ในการสมัครลงทะเบียน เพื่อเข้าใช้งานแอปพลิเคชัน Wallet ของผู้ให้บริการบางรายนั้น ยังมีช่องโหว่ในเรื่องของการสมัครเข้าใช้งานที่ค่อนข้างง่าย และความปลอดภัยค่อนข้างต่ำ
“การลงทะเบียนเข้าใช้งานที่ง่าย อาจจะแลกมาด้วยความปลอดภัยที่ต่ำ เนื่องจากการสมัครเข้าใจงานแอปฯ หรือ Wallet ดังกล่าว เพียงแค่คุณกรอกหมายเลขบัตรประชาชน 13 หลักโดยการสุ่ม หรือใส่ชื่อ-นามสุกลแบบสุ่ม คุณก็สามารถสมัครเข้าใช้งานแอปฯ ที่ว่านี้ได้แล้ว โดยไม่ได้มีมาตรการตรวจสอบกับกรมการปกครอง เพื่อตรวจสอบข้อมูลจากรหัสบัตรประชาชนว่า มีข้อมูลตรงกับที่สมัครในฐานระบบจริงหรือไม่ ซึ่งการลงทะเบียนที่ไม่รัดกุมเช่นนี้ ถือว่าเป็นช่องโหว่สำคัญที่เอื้อให้มิจฉาชีพนำแอปฯดังกล่าว ไปใช้ประโยชน์” สารวัตรกองกำกับการ 1 ปอท. ชี้ช่องโหว่
“หากผู้ให้บริการมีหัวใจแห่งความรับผิดชอบต่อสังคม และเล็งเห็นถึงความสำคัญของปัญหาการถูกคุกคามทางไซเบอร์ ย่อมช่วยให้เจ้าหน้าที่ผู้เกี่ยวข้องสามารถติดตามตัวคนร้ายได้ในที่สุด เพราะข้อมูลจากผู้ให้บริการถือเป็นกุญแจสำคัญที่จะไขทุกปัญหาของเรื่องนี้” พ.ต.ต.ปฐมพงษ์ สารวัตรกองกำกับการ 1 ปอท. ทิ้งท้ายถึงผู้เกี่ยวข้อง
...
กลแฮกเฟซบุ๊กที่คุณต้องรู้ให้เท่าทันมิจฉาชีพ!
ทั้งนี้ ผู้สื่อข่าว ได้หาข้อมูลเพิ่มเติมจากประเด็น “การแฮกเฟซบุ๊ก” อันเป็นเครือข่ายสังคมออนไลน์ที่เปรียบเสมือนแขนขาที่ขาดไม่ได้ของคนไทยหลายล้านคน ผู้สื่อข่าวติดต่อไปยัง นายปริญญา หอมเอนก ผู้เชี่ยวชาญและนักวิชาการด้านความปลอดภัยทางคอมพิวเตอร์ ถึงกรณีที่ว่า “แฮกเฟซบุ๊กง่ายดายขนาดนั้นเชียวหรือ และวิธีการของมันเป็นเช่นไร?” เพราะฉะนั้น คุณควรอ่านเอาไว้สักนิด เพื่อเก็บมาใช้สร้างภูมิต้านทานให้ตัวเอง!
นายปริญญา ผู้เชี่ยวชาญและนักวิชาการด้านความปลอดภัยทางคอมพิวเตอร์ กล่าวกับผู้สื่อข่าวถึงวิธีการแฮกเฟซบุ๊กเอาไว้ 2 ส่วน ซึ่งมีความยากง่ายแตกต่างกัน ดังต่อไปนี้
1. มิจฉาชีพจะทำทีล็อกอินเข้าสู่ระบบเฟซบุ๊กของเหยื่อ โดยกรอกอีเมลของผู้ใช้เฟซบุ๊ก พร้อมกับกดเข้าไปที่ไอคอนลืมรหัสผ่าน จากนั้น ระบบของเฟซบุ๊กจะแสดงคำถามที่เจ้าของเฟซบุ๊กเคยตั้งไว้ ซึ่งเป็นคำถามง่ายๆ และเป็นเรื่องราวใกล้ตัวของผู้ใช้เฟซบุ๊ก โดยขั้นตอนนี้ มิจฉาชีพจะเอาข้อมูลส่วนตัวของเหยื่อที่ปรากฏอยู่ตามอินเทอร์เน็ต เช่น วันเดือนปีเกิด เบอร์โทรศัพท์ ชื่อเล่น ภูมิลำเนา ทะเบียนรถ ฯลฯ มาคาดเดา และตอบคำถามที่เฟซบุ๊กแสดงขึ้นมา หากตอบได้ถูก มิจฉาชีพมีสิทธิ์สวมรอยเป็นเจ้าของเฟซบุ๊กนั้นได้ทันที ซึ่งวิธีการดังกล่าว ถือว่าเป็นวิธีการที่ค่อนข้างง่าย
...
2. ยากขึ้นมาอีกขั้นกับการแฮกเฟซบุ๊กด้วยวิธีการส่งไวรัสโทรจันในรูปแบบของอีเมล ลิงก์ภาพนู้ด คลิป 18+ หรือลิงก์ต่างๆ มาฝังไว้บนระบบปฏิบัติการวินโดว์ ส่วนระบบปฏิบัติการแอนดรอยด์ จะส่งเป็น SMS ลวงว่าเป็นสินค้าราคาโปรโมชั่น หรือข้อมูลข่าวสารที่เจ้าของเฟซบุ๊กสนใจ เช่น อาหาร กีฬา ตกปลา เป็นต้น และเมื่อเหยื่อรายนั้นๆ เผลอกดเข้าไปตามลิงก์ดังกล่าว username และ password ของคุณจะตกเป็นของมิจฉาชีพทันที...
แนะ 3 สเต็ปง่ายๆ ไม่ถูกแฮกเฟซบุ๊ก!
พ.ต.ต.ปฐมพงษ์ ศิลปสุข สารวัตรกองกำกับการ 1 กองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยี (ปอท.) กล่าวเตือนประชาชน เพื่อป้องกันไม่ให้เกิดเหตุการณ์ซ้ำรอยว่า 1. คุณไม่ควรตั้งรหัสผ่านที่มาจากข้อมูลส่วนตัวของคุณเอง เช่น วัน เดือน ปีเกิด, เบอร์โทรศัพท์, ชื่อจริงหรือชื่อเล่น เป็นต้น เนื่องจากข้อมูลเหล่านี้ มิจฉาชีพจะสามารถสืบค้นจากโลกอินเทอร์เน็ต เพื่อนำมาคาดเดาเป็นรหัสผ่านในการแฮกเฟซบุ๊กของคุณได้โดยง่าย
...
2. หากคุณเป็นอีกหนึ่งคนที่ยังใช้อีเมลของ Hotmail ในการล็อกอินเข้าเฟซบุ๊ก และคุณก็ไม่ได้เข้าไปสำรวจอีเมล Hotmail มานานแสนนาน จนทำให้คุณลืมรหัสผ่านเพื่อเข้า Hotmail ของคุณไปแล้ว หากเป็นเช่นนี้ คุณกลับไปสำรวจอีเมลของคุณก่อนว่า ที่ผ่านมา คุณได้ลงทะเบียนกับ Outlook ไปหรือยัง เนื่องจากในช่วง 2-3 ปีที่ผ่านมา ไมโครซอฟท์ได้ย้ายผู้ใช้ Hotmail ไปใช้ Outlook เพราะฉะนั้น Hotmail อันเก่าแก่ของคุณที่ไม่เคยเปิดเข้าไปใช้งานก็จะถูกลบออกจากเซิร์ฟเวอร์ไปโดยปริยาย ซึ่งประเด็นสำคัญ อยู่ที่ว่า Hotmail ของคุณยังถูกนำไปใช้เพื่อล็อกอินเข้าเฟซบุ๊ก ซึ่งมิจฉาชีพจะเอาช่องโหว่จากจุดนี้ไปใช้ประโยชน์ ด้วยการนำชื่ออีเมลของคุณไปสมัครอีเมลใหม่ จากนั้นมิจฉาชีพก็จะกรอกอีเมลของคุณเข้าไปในหน้าล็อกอินเข้าใช้เฟซบุ๊ก พร้อมกับกดลืมหรัสผ่าน เพียงไม่นาน ลิงก์สร้างรหัสผ่านใหม่ก็จะถูกส่งไปยังอีเมลของคุณที่มิจฉาชีพนำไปสมัครใช้งานใหม่ สุดท้ายเฟซบุ๊กของคุณก็ตกเป็นของมิจฉาชีพทันที ดังนั้นคุณควรเข้าไปเปลี่ยนอีเมลที่ใช้ล็อกอินเฟซบุ๊กให้เป็นอีเมลปัจจุบัน เพื่อป้องกันการแฮกเฟซบุ๊ก
3. คุณควรเพิ่มความแน่นหนาในการลงชื่อเข้าใช้เฟซบุ๊กของคุณ ด้วย 2-step verification หรือการตรวจสอบความปลอดภัย 2 ขั้นตอน ในช่วง Sign in เข้าสู่ระบบของ facebook
โดยมีวิธีการดังต่อไปนี้
อันดับแรกเข้าไปที่การตั้งค่า (Setting)
ขั้นตอนที่ 1. เลือกความปลอดภัย (security)
ขั้นตอนที่ 2 เลือกเปิดรับการแจ้งเตือนเกี่ยวกับการเข้าสู้ระบบที่ไม่รู้จัก
ผ่านทางอีเมล (Get alerts about unrecognized logins)
ขั้นตอนที่ 3 เลือกเปิดใช้การยืนยันตัวตนสองปัจจัยแล้วเพิ่มหมายเลข โทรศัพท์เพื่อรับรหัสชุดที่ 2 หรือตัวสร้างรหัส(Code Generator) ที่อยู่ใน Application : Facebook ตามภาพประกอบ
เมื่อช่องโหว่ของเรื่องราวปรากฏ การแก้ไขจะเกิดขึ้นหรือไม่?
ต้องติดตามตอนต่อไป...
หากคุณเป็นอีกหนึ่งคนที่ตกเป็นเหยื่อของขบวนการเหล่านี้ สามารถติดต่อเข้ามาได้ที่...
