Microsoft Azure by Ingram Micro (Thailand)

ลูกค้าธนาคารอังกฤษถูกดักขโมย SMS จากช่องโหว่ SS7 ถูกขโมยเงินจากบัญชีหลายราย

ถึงแม้เราจะทราบกันดีกว่าการโจมตีระบบ Signaling System 7 หรือ SS7 ที่เป็นระบบโครงสร้างพื้นฐานของโทรศัพท์นั้นมีมานานหลายปีแล้ว แต่ที่ผ่านมาก็ยังไม่เคยมีเหตุการณ์การโจมตีอย่างร้ายแรงมาก่อน แต่ในครั้งนี้ Motherboard ได้ออกมารายงานว่าลูกค้าของธนาคาร Metro Bank ในสหราชอาณาจักรถูกดักฟัง SMS ที่ใช้ในการทำ Two-Factor Authentication ด้วยการโจมตีช่องโหว่ของ SS7 และนำมาซึ่งการเจาะระบบเข้าถึงบัญชีธนาคารของลูกค้าได้

Credit: ShutterStock.com

การโจมตีครั้งนี้ได้สร้างความตื่นตัวเป็นวงกว้าง เพราะหลายระบบนั้นยังคงใช้ SMS เป็นช่องทางในการทำ 2-Factor Authentication อยู่ และทำให้ความน่าเชื่อถือของการใช้ SMS ร่วมในการยืนยันตัวตนนี้ยิ่งลดน้อยลงไปอีก

อย่างไรก็ดี เนื่องจากช่องโหว่ของระบบ SS7 นี้เป็นช่องโหว่บนระบบ IT Infrastructure ของผู้ให้บริการสัญญาณโทรศัพท์ ดังนั้นทางธนาคาร Metro Bank จึงไม่สามารถอุดช่องโหว่ได้ด้วยตัวเอง แต่ทาง BT บริษัทผู้ให้บริการโทรศัพท์ในสหราชอาณาจักรก็ออกมาบอกว่าตนเองได้ทำการอัปเกรดระบบให้ใหม่ล่าสุดอยู่เสมอ ส่วนทาง Reuters นั้นก็ออกมารายงานว่าการโจมตีลักษณะเดียวกันนี้อาจไม่ได้เกิดขึ้นกับเพียงแค่ Metro Bank เท่านั้น แต่ธนาคารอื่นเองก็อาจมีสิทธิ์ตกเป็นเหยื่อได้เช่นกัน

HackerOne ได้ออกมาระบุว่าไม่ว่าการโจมตีนี้จะเกิดจากการโจมตีแบบ Man-in-the-Middle บน SS7 หรือการทำ SIM Card Swapping ก็ตาม การโจมตีครั้งนี้ก็เป็นสัญญาณที่ชัดเจนว่าการยืนยันตัวตนแบบ 2-Factor Authentication โดยใช้ SMS ร่วมนั้นไม่ใช่หนทางที่ปลอดภัยที่สุดอีกต่อไป การหันไปใช้ Authenticator App หรือ Time-based One-time Password (TOTP) นั้นจึงถือเป็นหนทางที่ปลอดภัยกว่าในยามนี้

ที่มา: https://www.infosecurity-magazine.com/news/flaw-in-ss7-lets-attackers-empty/

About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Microsoft ยกเลิกการใช้ 1024-bit RSA Key บน Windows แล้ว

Microsoft ประกาศยกเลิกการใช้กุญแจเข้ารหัส 1024-bit RSA Key บน Windows แล้ว เปลี่ยนไปใช้กุญแจเข้ารหัสความยาว 2048-bit เป็นอย่างน้อย

Google ยกระดับ URL Protection บน Chrome ให้เป็นแบบเรียลไทม์

Google ประกาศเปิดตัว Safe Browsing ที่เพิ่มความสามารถในการป้องกันภัยคุกคามและรักษาความเป็นส่วนบุคคลได้แบบเรียลไทม์สำหรับผู้ใช้ Google Chrome ทั้งบน Desktop และ iOS รวมถึงอัปเดตฟีเจอร์ Password Checkup ใหม่บน …