ลูกค้าธนาคารอังกฤษถูกดักขโมย SMS จากช่องโหว่ SS7 ถูกขโมยเงินจากบัญชีหลายราย

ถึงแม้เราจะทราบกันดีกว่าการโจมตีระบบ Signaling System 7 หรือ SS7 ที่เป็นระบบโครงสร้างพื้นฐานของโทรศัพท์นั้นมีมานานหลายปีแล้ว แต่ที่ผ่านมาก็ยังไม่เคยมีเหตุการณ์การโจมตีอย่างร้ายแรงมาก่อน แต่ในครั้งนี้ Motherboard ได้ออกมารายงานว่าลูกค้าของธนาคาร Metro Bank ในสหราชอาณาจักรถูกดักฟัง SMS ที่ใช้ในการทำ Two-Factor Authentication ด้วยการโจมตีช่องโหว่ของ SS7 และนำมาซึ่งการเจาะระบบเข้าถึงบัญชีธนาคารของลูกค้าได้

Credit: ShutterStock.com

การโจมตีครั้งนี้ได้สร้างความตื่นตัวเป็นวงกว้าง เพราะหลายระบบนั้นยังคงใช้ SMS เป็นช่องทางในการทำ 2-Factor Authentication อยู่ และทำให้ความน่าเชื่อถือของการใช้ SMS ร่วมในการยืนยันตัวตนนี้ยิ่งลดน้อยลงไปอีก

อย่างไรก็ดี เนื่องจากช่องโหว่ของระบบ SS7 นี้เป็นช่องโหว่บนระบบ IT Infrastructure ของผู้ให้บริการสัญญาณโทรศัพท์ ดังนั้นทางธนาคาร Metro Bank จึงไม่สามารถอุดช่องโหว่ได้ด้วยตัวเอง แต่ทาง BT บริษัทผู้ให้บริการโทรศัพท์ในสหราชอาณาจักรก็ออกมาบอกว่าตนเองได้ทำการอัปเกรดระบบให้ใหม่ล่าสุดอยู่เสมอ ส่วนทาง Reuters นั้นก็ออกมารายงานว่าการโจมตีลักษณะเดียวกันนี้อาจไม่ได้เกิดขึ้นกับเพียงแค่ Metro Bank เท่านั้น แต่ธนาคารอื่นเองก็อาจมีสิทธิ์ตกเป็นเหยื่อได้เช่นกัน

HackerOne ได้ออกมาระบุว่าไม่ว่าการโจมตีนี้จะเกิดจากการโจมตีแบบ Man-in-the-Middle บน SS7 หรือการทำ SIM Card Swapping ก็ตาม การโจมตีครั้งนี้ก็เป็นสัญญาณที่ชัดเจนว่าการยืนยันตัวตนแบบ 2-Factor Authentication โดยใช้ SMS ร่วมนั้นไม่ใช่หนทางที่ปลอดภัยที่สุดอีกต่อไป การหันไปใช้ Authenticator App หรือ Time-based One-time Password (TOTP) นั้นจึงถือเป็นหนทางที่ปลอดภัยกว่าในยามนี้

ที่มา: https://www.infosecurity-magazine.com/news/flaw-in-ss7-lets-attackers-empty/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Microsoft ประกาศเพิ่มความสามารถ Conditional Access ให้ 365 Business

Microsoft ได้ประกาศเพิ่มความสามารถด้านความมั่นคงปลอดภัยอย่าง Azure AD Conditional Access ให้แก่ผู้ใช้งาน 365 Business แล้วซึ่งสามารถกำหนดการเข้าถึงตามเงื่อนไข เช่น พิกัดของผู้ใช้หรืออุปกรณ์เข้าใช้ ข้อมูล หรือแอปพลิเคชัน เป็นต้น

แจกฟรีเครื่องมือ Decryptor มัลแวร์เรียกค่าไถ่ GandCrab 5.2

ในที่สุดก็มีการปล่อย GandCrab Decryptor เวอร์ชัน 5.2 ออกมาให้ใช้ได้ฟรีแล้ว จากการผนึกกำลังกันระหว่างหน่วยงานทางกฏหมายของหลายประเทศ ทั้งนี้ (คาดว่า) น่าจะเป็นเวอร์ชันสุดท้ายเพราะคนร้ายเบื้องหลังได้ประกาศเกษียณหลังจากทำรายได้เข้ากระเป๋าตัวเองไปได้กว่า 150 ล้านเหรียญสหรัฐฯ ต่อปี