ตรวจสอบการกระทำที่คุณกำลังอนุญาต ไม่ใช่ดูเพียงหน้าตาของโค้ด
มีข้อความบอกว่าคุณต้องสแกนคิวอาร์โค้ดเพื่อเข้าร่วมกลุ่มส่วนตัวหรือรักษาสถานะใช้งานบัญชีไว้ แต่หน้าจอถัดไปกลับขอให้เชื่อมโยงอุปกรณ์ นี่เป็นคนละการกระทำกัน หยุดก่อนอนุมัติ เพราะกลไกเชื่อมโยงบัญชีที่เป็นของจริงก็อาจถูกนำไปใช้เพื่อหลอกลวงได้
การเข้ารหัสจากต้นทางถึงปลายทางปกป้องข้อความระหว่างอุปกรณ์ปลายทางที่ร่วมสื่อสาร แต่ไม่สามารถตัดสินได้ว่าคุณตั้งใจเพิ่มอุปกรณ์ที่กำลังรับข้อความนั้นจริงหรือไม่ คู่มือนี้อธิบายวิธีแยกลิงก์เว็บ คำขอเชื่อมโยงอุปกรณ์ และโค้ดยืนยันผู้ติดต่อ พร้อมสิ่งที่ควรตรวจสอบหากดำเนินการไปแล้ว
กับดักคิวอาร์โค้ดสองแบบที่ต่างกัน
เว็บไซต์ปลอม: โค้ดเปิดหน้าเว็บที่เลียนแบบบริการคุ้นเคย แล้วขอรหัสผ่านหรือข้อมูลละเอียดอ่อนอื่น คณะกรรมาธิการการค้าแห่งสหรัฐฯ หรือ FTC เตือนเรื่องคิวอาร์โค้ดในข้อความที่ไม่ได้คาดหมาย และแนะนำให้ตรวจสอบปลายทางพร้อมติดต่อผู้ที่อ้างว่าเป็นผู้ส่งผ่านช่องทางที่รู้จักอยู่แล้ว แทนการทำตามข้อความ โลโก้ที่คุ้นตาไม่ได้พิสูจน์ว่าใครเป็นผู้ดูแลหน้าเว็บนั้น คำแนะนำของ FTC เรื่องกลโกงคิวอาร์โค้ด
อุปกรณ์เชื่อมโยงที่ไม่ต้องการ: ผู้โจมตีโน้มน้าวให้คุณเชื่อมต่อคอมพิวเตอร์หรืออุปกรณ์อื่นของเขาเข้ากับบัญชีแชตของคุณ นี่อาจเป็นการใช้ฟีเจอร์ที่ถูกต้องในทางมิชอบ ไม่ใช่การเจาะระบบเข้ารหัส Google Threat Intelligence บันทึกการโจมตีผ่านการเชื่อมโยงอุปกรณ์ของ Signal ที่ปลอมเป็นคำเชิญเข้ากลุ่มและประกาศด้านความปลอดภัย ในเหตุการณ์ที่สังเกตพบเหล่านั้น เมื่อเชื่อมโยงสำเร็จ ข้อความหลังจากนั้นจะถูกส่งไปยังอุปกรณ์ที่ผู้โจมตีควบคุม การสืบสวนของ Google เรื่องฟิชชิงผ่านการเชื่อมโยงอุปกรณ์
ความแตกต่างนี้สำคัญ การเปลี่ยนรหัสผ่านทดแทนการตรวจอุปกรณ์ที่เชื่อมโยงไม่ได้ เช่นเดียวกัน การยกกล้องส่องโค้ดเพียงอย่างเดียวก็ไม่ใช่หลักฐานว่าบัญชีถูกยึดแล้ว ต้องระบุให้ได้ว่าหน้าใดเปิดขึ้น คุณให้ข้อมูลอะไร และอนุมัติการกระทำใด
โค้ดหน้าตาคล้ายกันสามแบบ แต่มีจุดประสงค์ต่างกัน
| โค้ดหรือหน้าจอ | จุดประสงค์ที่แท้จริง | คำถามก่อนดำเนินการต่อ |
|---|---|---|
| คิวอาร์โค้ดเว็บไซต์ | เปิดที่อยู่เว็บ | นี่คือปลายทางที่ฉันตรวจสอบและคาดหมายไว้ด้วยตนเองหรือไม่? |
| คิวอาร์โค้ดเชื่อมโยงอุปกรณ์ | อนุญาตให้อุปกรณ์อื่นใช้งาน | นี่คืออุปกรณ์ของฉัน และฉันเป็นผู้เริ่มเชื่อมโยงเองหรือไม่? |
| คิวอาร์โค้ดยืนยันผู้ติดต่อ | เปรียบเทียบข้อมูลอัตลักษณ์ทางการเข้ารหัส | ฉันอยู่ในหน้าจอยืนยันผู้ติดต่อ และกำลังเปรียบเทียบกับคนที่ถูกต้องหรือไม่? |
ตัวอย่างเช่น Signal ระบุขั้นตอนเชื่อมโยงโดยเฉพาะผ่านการตั้งค่าอุปกรณ์ที่เชื่อมโยงและกล้องภายในแอป คำแนะนำปัจจุบันยังมีตัวเลือกว่าจะโอนประวัติข้อความหรือไม่ด้วย นั่นไม่ใช่งานเดียวกับการตรวจหมายเลขความปลอดภัยของผู้ติดต่อ คำแนะนำของ Signal เรื่องอุปกรณ์ที่เชื่อมโยง
เอกสารหมายเลขความปลอดภัยของ Signal อธิบายการเปรียบเทียบหมายเลขหรือสแกนคิวอาร์โค้ดยืนยันของผู้ติดต่อ โดยควรทำต่อหน้ากันหากเป็นไปได้ การเปรียบเทียบนี้ช่วยยืนยันอัตลักษณ์ทางการเข้ารหัสของบทสนทนา ไม่ใช่คำสั่งให้อนุญาตคอมพิวเตอร์เครื่องใหม่เข้าถึงบัญชี และไม่ได้พิสูจน์ตัวตนจริงของบุคคลในโลกภายนอกได้ด้วยตัวมันเอง ให้ยึดจุดประสงค์ของหน้าจอจริง ไม่ใช่คำอธิบายจากผู้ส่ง คำอธิบายหมายเลขความปลอดภัยของ Signal
ตัวอย่างใช้งานจริง: คำเชิญที่เปลี่ยนความหมายกลางทาง
ลองนึกถึงสถานการณ์สมมตินี้ มีนาได้รับข้อความที่ดูเหมือนส่งมาจากเพื่อนร่วมงานว่า “ย้ายกลุ่มโครงการแล้ว สแกนอันนี้เพื่อเข้าร่วมอีกครั้ง” หน้าเว็บดูเรียบร้อยน่าเชื่อถือ แต่กลับบอกให้เธอเปิดตัวสแกนสำหรับเชื่อมโยงอุปกรณ์ในแอปแชต
มีนาสังเกตเห็นความไม่ตรงกัน เธอต้องการเข้าร่วมบทสนทนา ไม่ใช่เชื่อมต่อคอมพิวเตอร์อีกเครื่อง เธอยกเลิก เปิดรายชื่อผู้ติดต่อที่ใช้ประจำด้วยตนเอง แล้วสอบถามเพื่อนร่วมงานผ่านอีกช่องทางหนึ่งที่เชื่อถือได้ เธอไม่ใช้หมายเลขโทรศัพท์ที่ให้ไว้บนหน้าเว็บน่าสงสัย
ตัวอย่างนี้แสดงหลักตัดสินใจที่ใช้ได้จริง: หากสิทธิ์ที่แอปขอครอบคลุมมากกว่าหรือแตกต่างจากงานที่คุณตั้งใจทำ ให้หยุด บัญชีผู้ส่งที่คุ้นเคยเพียงอย่างเดียวไม่เพียงพอ เพราะอาจมีการปลอมตัวหรือบัญชีอาจถูกบุกรุกได้ ที่อยู่เว็บไซต์ที่ดูน่าไว้วางใจก็ไม่ได้อธิบายว่าทำไมอุปกรณ์ที่คุณไม่ได้คาดหมายจึงต้องเข้าถึงบัญชี
เช็กลิสต์สั้น ๆ ก่อนอนุมัติ
- ระบุงานที่ต้องการทำให้ชัดเจน คุณกำลังเปิดหน้าเว็บ เข้าร่วมกลุ่ม ยืนยันผู้ติดต่อ หรือเชื่อมโยงคอมพิวเตอร์ของตนเอง?
- เริ่มต้นด้วยตนเอง เมื่อต้องจัดการบัญชี ให้เปิดแอปที่ติดตั้งไว้หรือปลายทางที่รู้จักอยู่แล้ว แทนการทำตามคำสั่งจากข้อความที่ไม่ได้ร้องขอ
- อ่านข้อความแจ้งของแอป มองการเชื่อมโยงอุปกรณ์ การกู้คืนบัญชี และการกรอกข้อมูลเข้าสู่ระบบเป็นการตัดสินใจแยกกัน ยกเลิกคำขอที่ไม่ตรงกับงานของคุณ
- ระบุอุปกรณ์อีกฝั่ง เชื่อมโยงเฉพาะอุปกรณ์ที่ตั้งใจใช้และควบคุมได้ ชื่ออุปกรณ์ที่ดูเป็นมิตรไม่ได้พิสูจน์ความเป็นเจ้าของ
- อย่าส่งความลับในแชต อย่าส่งรหัสผ่าน รหัสลงทะเบียน หรือกุญแจกู้คืนให้ผู้ที่อ้างว่าจะช่วยเหลือ
- ใช้ซอฟต์แวร์รุ่นล่าสุด การอัปเดตและคำเตือนในตัวมีความสำคัญ แต่ไม่ได้ทำให้คำขออนุมัติที่มาโดยไม่คาดหมายกลายเป็นคำขอที่เชื่อถือได้
คำแนะนำต่อต้านฟิชชิงของ Signal เองแนะนำให้ตรวจสอบผ่านช่องทางอิสระ เก็บโค้ดเป็นความลับ และระวังคำขอที่ไม่ได้คาดหมาย นอกจากนี้ยังแยกประกาศทางการที่อ่านได้อย่างเดียวออกจากผู้แอบอ้างเป็นฝ่ายช่วยเหลือที่โต้ตอบกับคุณ รายละเอียดเหล่านี้เป็นข้อมูลเฉพาะของ Signal ไม่ใช่ข้ออ้างว่าระบบช่วยเหลือของทุกแอปแชตเป็นเช่นนี้ คำแนะนำของ Signal เรื่องฟิชชิงและการแอบอ้างตัวตน
หากสแกนหรืออนุมัติไปแล้ว
ให้เริ่มจากการกระทำที่เกิดขึ้นจริง:
- แค่เปิดหน้าเว็บ: ปิดหน้าเว็บและหยุดโต้ตอบ ตรวจว่าคุณกรอกข้อมูล ดาวน์โหลดสิ่งใด หรืออนุมัติการทำงานของแอปหรือไม่ อย่าสรุปว่าถูกบุกรุกหรือปลอดภัยจากการสแกนเพียงอย่างเดียว
- กรอกข้อมูลเข้าสู่ระบบหรือแชร์โค้ด: ใช้อุปกรณ์ที่เชื่อถือได้ทำตามคำแนะนำกู้คืนอย่างเป็นทางการของบริการ เปลี่ยนรหัสผ่านที่เปิดเผยและตรวจการเข้าถึงบัญชี ส่วนรหัสผ่านที่ใช้ซ้ำในที่อื่นต้องจัดการแยกต่างหาก
- เชื่อมโยงอุปกรณ์ที่ไม่รู้จัก: เปิดรายการอุปกรณ์หรือเซสชันที่แอปมีให้จริง แล้วนำการเชื่อมต่อที่ไม่ต้องการออก อย่าคิดว่าลบข้อความหลอกลวงแล้วจะเป็นการเพิกถอนสิทธิ์เข้าถึงด้วย
- ติดตั้งซอฟต์แวร์หรือให้สิทธิ์ผิดปกติ: ตรวจสอบเรื่องนี้แยกต่างหาก การเพิกถอนเซสชันบัญชีไม่ได้ลบซอฟต์แวร์อันตรายออกจากโทรศัพท์โดยตัวมันเอง
สำหรับ Signal โดยเฉพาะ คำแนะนำด้านการปกป้องบัญชีระบุให้ตรวจอุปกรณ์ที่เชื่อมโยง นำรายการที่ไม่รู้จักออก และหากไม่แน่ใจให้นำอุปกรณ์ทุกเครื่องในรายการออก คำแนะนำการยกเลิกการเชื่อมโยงอธิบายวิธีเพิกถอนสิทธิ์อุปกรณ์จากโทรศัพท์หลัก บริการอื่นอาจมีวิธีควบคุมแตกต่างกัน คำแนะนำปกป้องบัญชีของ Signal, วิธียกเลิกการเชื่อมโยงอุปกรณ์ของ Signal
การเพิกถอนสิทธิ์ไม่สามารถดึงข้อมูลที่ถูกคัดลอกไปที่อื่นแล้วกลับคืนมาได้ ขอบเขตข้อมูลที่เปิดเผยขึ้นอยู่กับบริการ สิทธิ์ที่อนุญาต ตัวเลือกโอนประวัติที่อาจเลือกไว้ และระยะเวลาที่เข้าถึงได้ ไม่ใช่กฎตายตัวว่าเป็น “ทุกแชต” หากบทสนทนาละเอียดอ่อนอาจถูกเปิดเผย ให้แจ้งผู้ได้รับผลกระทบผ่านช่องทางที่เชื่อถือได้ และปฏิบัติตามกระบวนการรายงานเหตุการณ์ที่เกี่ยวข้อง
ควรตรวจอะไรเมื่อประเมิน Livara หรือแอปแชตอื่น
ถามว่าอุปกรณ์ใหม่ได้รับอนุญาตอย่างไร ดูเซสชันที่ยังใช้งานได้ที่ไหน เพิกถอนสิทธิ์เข้าถึงอย่างไร และประวัติถูกโอนแยกต่างหากหรือไม่ อ่านเอกสารผลิตภัณฑ์ปัจจุบันแทนการคิดว่าป้ายการเข้ารหัสตอบคำถามเหล่านี้ทั้งหมด บทความนี้ไม่ได้ยืนยันว่า Livara ใช้การเข้าสู่ระบบด้วย QR หรือขั้นตอนเชื่อมโยงอุปกรณ์แบบใดแบบหนึ่ง
ข้อสรุปที่นำไปใช้ได้ง่ายคือ ตรวจสอบการกระทำที่คุณกำลังอนุญาต ไม่ใช่ดูเพียงหน้าตาของโค้ด
