By: lew
on 18 January 2023 - 10:07
Tags:
Topics:
ธนาคารแห่งประเทศไทยและสมาคมธนาคารไทยแถลงข่าวถึงกรณีที่มีเหยื่อถูกโจมตีเพื่อดูดเงินออกจากบัญชีจำนวนมาก พบว่ากรณีดังกล่าวไม่ได้เกิดจากสายชาร์จปลอมแต่อย่างใด แต่เหยื่อถูกหลอกให้ติดตั้งมัลแวร์
ทั้งสองหน่วยงานแนะนำประชาชนให้ป้องกันตัวเอง และลดความเสียหาย 5 ข้อ ได้แก่
- ไม่คลิกลิงก์จาก SMS, LINE, หรืออีเมล ที่มีที่มาไม่น่าเชื่อถือ
- ไม่ดาวน์โหลดโปรแกรมนอกสโตร์ทางการ เช่น App Store หรือ Google Play Store
- อัพเดตแอป Mobile Banking เป็นเวอร์ชั่นล่าสุดเสมอ
- ไม่ใช้โทรศัพท์ในระบบปฎิบัติการล้าสมัย ไม่ใช้เครื่องที่ไม่ปลอดภัย เช่นถูก jailbreak
- ให้ความร่วมมือกับหน่วยงานที่เกี่ยวข้องให้ข้อมูลที่ถูกต้องเพื่อให้แก้ไขปัญหาได้รวดเร็ว
ทางธนาคารแห่งประเทศไทยระบุว่าหากลูกค้าไม่มีส่วนเกี่ยวข้องในการให้ข้อมูลส่วนตัว ธนาคารต้องพิจารณาช่วยเหลือโดยเร็วภายใน 5 วัน
ที่มา - ธนาคารแห่งประเทศไทย
Get latest news from Blognone
Follow @twitterapi
Comments
ถ้าผมไปทุบตู้ atm คงถูกจับภายใน 1 วัน
แต่มิจฉาชีพกดเงินออกจากระบบ ทำไมถึงจับไม่ได้สักที
ในเมื่อตู้ atm และพื้นที่ใกล้เคียงก็มีกล้องวงจรปิดอยู่แล้ว
หรือถ้ามันไปเบิกเงินที่ธนาคาร นั่นก็ยิ่งแล้วใหญ่ ระบบรักษาความปลอดภัยจัดเต็มจะตาย
หรือว่ามันโอนเงินออนไลน์ ถ้าอย่างนั้นมันก็ต้องสาวได้สิว่าโอนไปบัญชีใคร
การสืบสวนมันต้องใช้เวลา เคสที่สืบได้แล้วตามจับได้ก็มีเยอะ ส่วนจะออกข่าวหรือไม่ออกข่าวนั่นก็อีกเรื่องครับ
ตัวอย่างสมมตินะแต่น่าจะคล้ายๆกัน ทำกันหลายคน
เช่น
เหยื่อโอนเข้า บัญชีม้าค่ายสีเขียว
โจรโอนม้าเขียว เข้าม้าม่วง โอนต่อม้าเหลือง โอนต่อม้าฟ้า
เอาม้าฟ้า ไปซื้อเหรียญคริปโต้ แบบ p2p ที่มีผู้ขายซักคนใน binance
จากนั้นโอนเหรียญคริปโตเข้ากระเป๋า ตปท.
ได้รับคริปโต้ก็หา คน p2p ที่รับซื้อ คริปโต้โอนเป็น สกุลเงินปลายทาง
เพราะฉนั้น กว่าคุณจะสาวได้ ก็นะ
อันนี้ไม่เหมือนทุบตู้ atm ครับ เหมือนโดนเอาบัตรไปกดมากกว่า ซึ่งเคสแบบนี้ก็ต้องใช้เวลาสืบอยู่ดี และหลักฐานต้องสืบจากเครื่องผู้เสียหายด้วย ไปเข้าใจเองว่าเกิดจากสาย USB ยิ่งหลงทางยิ่งเสียเวลา
อคติทำให้คนรับเหตุผลด้านเดียว
คดีฉ้อโกง กับคดี ทำลายทรัพย์สิน มันคนละบริบทนะ มันเอามาเทียบกันไม่ได้หรอก
มันก็เหลือเชื่อเกินไป แค่เสียบสายชาร์ตก็โดนดูดดเงินไปหมด ฟังจากผุ้เสียหายก็บอกว่าไม่ได้ทำอะไรเลยสักอย่าง
แค่บอกโทรศัพท์ไว้เล่นเกมอย่างเดียว ผมก็ว่าไม่ใช่ล่ะ อย่างน้อยมันต้องลงเกมหรือเปล่า แล้วลงแอพอะไรหรือไม่ ใช้ QooApp ป่าว
แสดงว่ามีคนอยู่แบงค์ชาติสิงอยู่ใน Blognone เมื่อวันก่อนแทบทุกหน่วยงานพากันไปทางสาย USBแต่ในนี้ให้ข้อมูลคนละทางกัน
เอามือถือไปตรวจดูก็รู้แล้ว มันไม่ได้ไร้ร่องรอย ต่อให้มัลแวร์มันก็ต้องมีขออนุญาตตัว os บ้างละ
blognone เป็นเว็บที่รวบรวมคน it ไว้เยอะมาก ๆ ครับ
ซึ่งการที่คน it ที่มีความเข้าใจเรื่องแบบนี้
จะไม่ไปทางสาย usb มันเป็นเรื่องปกติอยู่แล้วครับ
เพราะมันแทบเป็นไปไม่ได้เลย ที่คนธรรมดาทั่วไปจะโดน hack จากสาย usb ที่ต้องสร้างขึ้นมาโดยเฉพาะ
เพราะมันยังไม่คุ้มในตอนนี้ที่จีนจะผลิตสาย usb ราคาถูกแต่พ่วงโมดูล wifi หรือ microcontroller มาให้แกะเอาไปใช้เล่นๆ จะมีก็แต่ทำกันเองหรือเอาไปเสียบตามพวกร้านเท่านั้นแหละที่อาจจะลงทุนทำ
เหยื่อใช้ android แล้วพลาดไปลงแอปปลอมหาคู่ชื่อ bumble ฝังมาเรียบร้อยhttps://www.facebook.com/sarmpok/videos/1588029978304587/
ไม่เกี่ยวอะไรกับสายชาร์จ สังคมมองทิศทางคนร้ายเขวกันหมด
ข่าวทีวีบอกแม้กระทั่ง เสียบสายชาร์ต ต้องเสียบกับ Adapter เท่านั้นถึงจะปลอดภัยเสียบกับปลั๊ก USB ก็ไม่ได้
ผมนี่แบบ Oh เลย ปลั๊ก USB ใช้กันทั้งบ้านเมือง แบบเต้ารับฝังกำแพงก็มี
ปลั๊ก USB มันจะส่งสัญญาณไปหาคนร้ายได้ยังไง มันก็แค่จ่ายไฟ ไม่ได้ต่อกับคอม เอาแค่ฝังบอร์ด Rpi ยังจะฝังไม่ได้เลย ไม่มีพื้นที่
ต้นเหตุมาจากเพจที่เรียกตัวเองว่า จ่า นั่นแหละครับ ตัวสร้างความเข้าใจผิดขั้นร้ายแรงในเคสนี้เลยครับ
แค่มนุษย์คนนึงที่อยากรู้เกี่ยวกับวงการไอที
จ่า คือชื่อเค้าเลยครับ
เพจโง่ๆนั่นแหละตัวเริ่ม อ่านแล้วก็ปวดหัว บวกกับสำนักข่าวโง่ๆอีกหลายสำนัก ก็ไปกันใหญ่ แค่เรื่องนี้เห็นกูรู้ปลอมๆในวงการต่างๆผุดมาเต็ม เสียหมาไปหลายคน
ไม่เคยตามคนๆ นี้เลย แชร์มั่วหลายรอบแล้ว ทำไมสังคมยังให้ราคาเค้าไม่รู้
จริง ๆ ปลั๊ก usb ตามสาธารณะจะเสี่ยง มันคือเรื่องจริงนะครับ
แต่คิดว่าสมัยนี้น่าจะต้องขอสิทธิ์การเข้าถึงอยู่ดี (มั้งนะ)
หรือมันอาจมีช่องเข้าถึงโดยไม่ขอ อันนี้ก็ไม่แน่ใจ
แต่ถ้าไปในที่ ๆ เราไม่รู้จัก การไม่เสียบปลั๊ก usb ตรง ๆ ก็เป็นการป้องกันตัวเองที่รับได้
พวกปลั๊ก USB นี่จริงๆก็อันตรายเท่ากับต่อคอมที่ไม่ใช่ของเรานั่นแหละครับ การฝังวงจรเล็กๆลงไปไม่ได้ยากเลย
แต่ในความเป็นจริงคงไม่มีใครทำ มันไม่คุ้มและตามเช็คง่าย
"ต้องเสียบกับ adapter เท่านั้นถึงปลอดภัย" นี่เป็นคำเตือนที่ถูกต้องจริง ๆ ครับสำหรับการป้องกันข้อมูลรั่วไหลแต่เป็นเมื่อหลายปีก่อนนะครับ คือมีกรณีแบบว่าคนไม่หวังดีทำช่อง USB ไว้บริการชาร์จโดยทำเหมือนว่าเป็นการต่อตรงจาก adapter AC->DC แต่จริง ๆ แล้วต่อจากคอมแล้วก็ดูดข้อมูลเหมือนเสียบคอมทั่ว ๆ ไปนี่แหละไม่ใช่ข้อมูลแอพและนี่เป็นเหตุผลที่เดี๋ยวนี้เวลาเราเสียบมือถือ Android กับคอมแล้วมัน default นี่ชาร์จไฟเฉย ๆ ต้องกดอนุญาติให้ต่อข้อมูลก่อนถึงจะถ่ายโอนข้อมูลได้
เพราะมือถือเปลี่ยนค่า default แล้วทำให้การป้องกันนี้ไม่จำเป็นแล้วครับ (ยกเว้นแต่ว่าใช้มือถือเก่ามาก ๆ เพราะผมจำได้ว่า defualt เปลี่ยนราว ๆ 4.X นี่แหละ) คิดว่านักข่าวพอได้ยินข่าวเรื่อง USB ขโมยข้อมูลก็ไปค้นหาข้อมูลมาทำข่าวแล้วไปเจอข่าวต่างประเทศเก่า ๆ เข้าแล้วคิดว่าการดูดข้อมูลแบบตอนนั้นเหมือนกับกรณีนี้
ไม่ใช่ว่ามันเป็นไปไม่ได้ แต่ความเป็นไปได้มันน้อยเกินกว่าที่จะเอามาเป็นประเด็นได้เพราะความคุ้มค่าของมันต่ำมาก แต่บางเพจในสื่อสังคมออนไลน์เอาไปปั่นจนไปทางนั้นกันนั่นแหละ ส่วนตัวผมก็เชื่อมาตลอดว่าไม่น่าเกินไปกว่าการโดนขุดบ่อล่อปลา แต่เจ้าตัวไม่บอกว่าหลงไปแบบนั้นก็คงเพราะอายนั่นแหละ
เมื่อเกือบสองวันก่อนก็คุยเรื่องนี้กับเชฟแถวบ้านที่มาเห็นข่าวนี้ ก็บอกไปว่าน่าจะเป็นไปได้ว่าจะโดนหลอกนั่นแหละ 555
น่าจะมีให้ใช้ token เป็น optional ด้วยนะครับ อย่างน้อยได้มือถือไปก็ access ไม่ได้ถ้าไม่มีรหัสจาก token
ขนาดมี Token ยังไม่รอดเลยครับ แต่เคสนี้ก็นานแล้ว https://pantip.com/topic/33856873
เห็นว่าคนที่โดนใช้ Iphone ซะด้วย (สมัยนี้ IPhone ก็ไม่ได้ปลอดภัยเหมือนเมื่อก่อนอีกแล้ว)
เครื่องที่โดนคือเครื่อง android นะครับ
ตอนนี้การป้องกันเร่งด่วน คือถอนแอปธนาคารออกให้หมดก่อนเพราะเครื่องใช้มาเป็นปีๆ ลงแอปไปกี่สิบกี่ร้อยแอป ไม่รู้แอปไหนเป็นอันตรายบ้าง
หาเครื่องใหม่ๆคลีนๆ ดูจะชัวร์กว่า
ทางที่ง่ายกว่าคือ เข้าไปดูการให้สิทธิ์ของ applications ครับ
เคสนี้ค่อยข้างชัดว่าแอพปลอมฝังโปรแกรม remote access
ดังนั้นเช็คสิทธิ์ screen capture ก่อนเลย
จริงๆมันไม่น่ายากแต่ต้องเร็วเพราะ โอนไปแล้วคงไม่พักเงินนาน ไม่น่าเกิน 5 นาที ต้องถอนออกแล้ว แต่จะไปไหนอันนี้ทางธนาคารน่าจะตามได้นะ เช่นถอนตู้ไหนบ้างบัญชีนี้และที่หน้าตู้กล้องต้องใช้ได้เพราะคิดว่า การใช้ การกดแบบไม่ต้องใช้บัตร อาจจะทำให้สามารถกระจายการกดเงินไปหลายๆตู้ในเวลาใกล้ๆกันได้
รู้สึกประหลาดใจที่คนดูตื่นตัวกันมาเรื่องการแฮคผ่าน USB ทั้งๆที่จริงแล้วทุกวันนี้รัฐบาลบางประเทศสามารถแฮคมือถือคุณด้วย Pegasus โดยไม่ต้องใช้สาย USB ด้วยซ้ำไป
ไม่เห็นน่าประหลาดใจ ก็มันใกล้ตัว ชาวบ้านร้านตลาดก็รู้จัก แถมเป็นเรื่องเงินๆทองๆ คนยิ่งหูผึ่งPegasus นี่ไม่ใช่คนสายไอที(หรือการเมือง)ก็คงไม่เคยได้ยิน
Pegasus มันแพงนี่ครับ คนที่จ้างคือต้องมีเงินหนาส่วนใหญ่เป็นรัฐบาล แล้วเค้าแฮกเอาข้อมูลเพื่อเล่นงานทางการเมือง คนส่วนใหญ่ก็คิดว่าเป็นเรื่องไกลตัว
แต่นี่มันแฮกดูดเงินไปน่ะครับ มันใกล้ตัวกว่ามากเพราะเจอได้บ่อย ๆ
สมมุติเราโดนแอปรีโมท เขาเห็นหน้าจอของเราแต่เราคลิกโน่นคลิกนี่อยู่ เข้าแอปนั้นนี้ เขาก็ไม่กล้าทำอะไร เดี๋ยวเราจะรู้ตัว
จนพอชาร์จแบต หลายนาทีแล้ว ไม่เห็นเราคลิกอะไรก็ใช้โอกาสนั้นแหละ หลายคนถึงมาโดนกันตอนชาร์จแบต
ตรงประเด็น
บางคนปิดเครื่องก่อนชาร์จนี่สิ