เตือนโปรไฟล์ Autofill บนเบราเซอร์ เสี่ยงถูกหลอกขโมยข้อมูลส่วนบุคคล

Viljami Kuosmanen นักพัฒนาเว็บชาวฟินแลนด์ ออกมาแจ้งเตือนถึงการนำโปรไฟล์ Autofill บนเบราเซอร์ที่ช่วยกรอกข้อมูลโดยอัตโนมัติ ไปใช้โจมตีแบบ Phishing เพื่อหลอกขโมยข้อมูลส่วนบุคคลโดยที่ผู้ใช้ไม่รู้ตัวได้

โปรไฟล์ Autofill เป็นฟีเจอร์พื้นฐานที่เบราเซอร์สมัยใหม่ในปัจจุบันเริ่มมีให้บริการ ฟีเจอร์นี้ช่วยให้ผู้ใช้สามารถสร้างโปรไฟล์ที่เก็บข้อมูลส่วนบุคคลสำหรับกรอกลงบนฟอร์มของหน้าเว็บหลายสิบรายการได้ง่ายและสะดวกรวดเร็ว เมื่อเจอฟอร์มที่ต้องกรอกข้อมูลในเว็บไซต์อื่นๆ ผู้ใช้สามารถเลือกโปรไฟล์ Autofill ที่เก็บไว้ไปใช้ได้ทันทีโดยไม่ต้องกรอกข้อมูลทั้งหมดซ้ำอีกครั้ง

อย่างไรก็ตาม Kuosmanen ได้ออกมาแจ้งเตือนผู้ใช้ถึงการนำโปรไฟล์ Autofill นี้ไปใช้ในทางที่มิชอบ โดยแฮ็คเกอร์สามารถซ่อนช่องสำหรับเก็บข้อมูลไม่ให้ผู้ใช้เห็นและหลอกเอาข้อมูลส่วนบุคคลที่ผู้ใช้ไม่ได้กรอกลงบนหน้าเว็บไปใช้ได้ทันที

Kuosmanen สาธิตวิธีการหลอกขโมยข้อมูลโดยอาศัยการสร้างหน้าฟอร์มแบบง่ายๆ ซึ่งผู้ใช้จะเห็นว่าหน้าเว็บดังกล่าวมีเพียงช่องใส่ชื่อ อีเมล และปุ่มกดส่งข้อมูลเท่านั้น แต่ถ้าพิจารณาดูซอร์สโค้ดของหน้าเว็บดีๆ จะพบว่าฟอร์มที่กรอกข้อมูลประกอบด้วยข้อมูลอื่นๆ ที่ซ่อนอยู่อีก 6 รายการ ได้แก่ เบอร์โทร ชื่อองค์กร ที่อยู่ รหัสไปรษณีย์ จังหวัด และประเทศ

 

 

ถ้าผู้ใช้มีโปรไฟล์ Autofill เก็บอยู่ในเบราเซอร์ และเลือกที่จะให้เบราเซอร์กรอกข้อมูลทั้งหมดโดยอัตโนมัติ โปรไฟล์ Autofill จะกรอกข้อมูลทั้ง 2 ช่องที่แสดงบนหน้าเว็บ และอีก 6 ช่องที่เหลือที่ซ่อนอยู่ในซอร์สโค้ดเนื่องจากข้อมูลทั้งหมดนี้อยู่บนฟอร์มเดียวกัน เพียงแค่บางรายไม่แสดงให้ผู้ใช้เห็นเท่านั้น ส่งผลให้แฮ็คเกอร์ได้ข้อมูลส่วนบุคคลทั้งหมดที่อยู่ในโปรไฟล์ Autofill โดยที่ผู้ใช้ไม่รู้ตัว ที่น่ากลัวคือ ถ้าผู้ใช้เก็บข้อมูลบัตรเครดิตไว้ในโปรไฟล์ด้วย ก็เสี่ยงที่หมายเลขจะหลุดไปยังแฮ็คเกอร์ด้วยเช่นกัน

ด้านล่างเป็นภาพสาธิตการโจมตีบน Google Chrome

Kuosmanen ระบุว่า เขาได้ทำการทดสอบกับ Google Chrome และ Safari ซึ่งได้ผลเหมือนกัน คือสามารถขโมยข้อมูลส่วนบุคคลอื่นๆ โดยซ่อนฟิลด์ข้อมูลไม่ให้ผู้ใช้เห็นได้ แต่ Safari ยังดีกว่า Chrome ตรงที่มีการแจ้งเตือนให้ผู้ใช้ทราบว่า มีการกรอกข้อมูลลงบนช่องใส่ข้อมูลที่ถูกซ่อนอยู่

จากการตรวจสอบ พบว่าฟีเจอร์โปรไฟล์ Autofill นี้ มีอยู่บน Google Chrome, Safari และ Opera เท่านั้น ซึ่งผู้ใช้สามารถปิดการใช้งานโปรไฟล์ Autofill เพื่อเพิ่มความมั่นคงปลอดภัยในการเล่นอินเทอร์เน็ตได้ ตามภาพด้านล่าง

ที่มา: https://www.bleepingcomputer.com/news/security/browser-autofill-profiles-can-be-abused-for-phishing-attacks/