เครื่องมือภาคบังคับกลายเป็นกับดักที่มองไม่เห็น
ผู้ใช้อินเทอร์เน็ตในเกาหลีใต้ถูกกำหนดให้ต้องติดตั้งปลั๊กอินด้านความปลอดภัยและธนาคารเฉพาะมาอย่างยาวนาน เพียงเพื่อทำธุรกรรมออนไลน์ขั้นพื้นฐาน ระบบที่ออกแบบมาเพื่อปกป้องกิจกรรมทางการเงิน ข้อกำหนดเดียวกันนี้ได้กลายเป็นจุดเริ่มต้นของการบุกรุกที่ร้ายแรงซึ่งได้รับการสนับสนุนจากรัฐ ตามคำแนะนำร่วมจากสำนักงานอินเทอร์เน็ตและความมั่นคงแห่งชาติเกาหลีใต้ (KISA) และหน่วยงานภาครัฐอีกสามแห่ง ผู้โจมตีใช้ช่องโหว่แบบ zero-day ใน AnySign4PC ซึ่งเป็นเครื่องมือยืนยันตัวตนทางธนาคารที่ถูกบังคับใช้อย่างกว้างขวาง เพื่อติดตั้งประตูหลังลงในคอมพิวเตอร์ของผู้ที่เพียงเข้าเยี่ยมชมเว็บไซต์บางแห่งอย่างเงียบ ๆ
นี่คือการโจมตีแบบ watering-hole ซึ่งเป็นเทคนิคที่แฮ็กเกอร์จะโจมตีเว็บไซต์ที่ถูกต้องตามกฎหมายและได้รับความไว้วางใจ แทนที่จะโจมตีเป้าหมายโดยตรง เมื่อพฤติกรรมออนไลน์ปกติของเป้าหมายนำพวกเขาไปยังเว็บไซต์ที่ถูกวางยา โค้ดอันตรายจะจัดการส่วนที่เหลือ ในกรณีนี้ คำแนะนำระบุว่าเว็บไซต์สำนักข่าวและโรงพยาบาลที่ถูกต้องตามกฎหมาย 15 แห่งถูกโจมตีเพื่อส่งช่องโหว่นี้
เหตุใดช่องโหว่แบบ Zero-Click ถึงอันตราย
สิ่งที่ทำให้แคมเปญนี้เป็นที่น่าตกใจอย่างยิ่งคือสิ่งที่มันไม่ต้องการ: ไม่ต้องดาวน์โหลดไฟล์แนบ ไม่มีลิงก์ฟิชชิง ไม่มีข้อผิดพลาดของผู้ใช้ใด ๆ ทั้งสิ้น เนื่องจาก AnySign4PC ถูกติดตั้งเป็นบริการเบื้องหลังในระบบของเกาหลีจำนวนมากเพื่อตอบสนองข้อกำหนดของธนาคารและพอร์ทัลภาครัฐ การโหลดเพียงบทความข่าวหรือหน้าเว็บนัดหมายของโรงพยาบาลที่ถูกโจมตีก็เพียงพอที่จะเรียกใช้ช่องโหว่และปล่อยประตูหลังลงในเครื่องของผู้เยี่ยมชม
นี่คือคุณสมบัติสำคัญของการโจมตีแบบ zero-day: ช่องโหว่นี้ไม่เป็นที่รู้จักของนักพัฒนาซอฟต์แวร์และผู้ป้องกันในขณะที่ถูกใช้ในการโจมตีจริง หมายความว่าไม่มีแพตช์หรือการตรวจจับแบบลายเซ็นมาขวางทาง เมื่อรวมกับวิธีการส่งมอบแบบ watering-hole ผู้โจมตีได้เปลี่ยนซอฟต์แวร์ที่ผู้คนหลายล้านคนถูกบังคับให้ต้องรันให้กลายเป็นเครื่องมือเฝ้าระวังและเข้าถึงข้อมูลขนาดใหญ่ โดยที่คนเหล่านั้นไม่จำเป็นต้องทำผิดพลาดใด ๆ เลย
การพุ่งเป้าไปที่สำนักข่าวและโรงพยาบาลก็เป็นที่น่าสังเกตเช่นกัน สถานที่เหล่านี้เป็นจุดหมายที่มีทราฟฟิกสูงและได้รับความไว้วางใจสูง ซึ่งผู้เข้าชมหลากหลายกลุ่ม รวมถึงนักข่าว เจ้าหน้าที่ด้านสุขภาพ และผู้ป่วย จะเข้าเยี่ยมชมเป็นประจำและไม่มีความสงสัย ส่วนผสมของซอฟต์แวร์ภาคบังคับและจุดหมายที่เชื่อถือได้นั้นสร้างสภาวะที่สมบูรณ์แบบสำหรับการบุกรุกเงียบ ๆ ในวงกว้าง
การโจมตีโครงสร้างพื้นฐานสาธารณะโดยรัฐสนับสนุนเป็นรูปแบบที่เพิ่มขึ้น
เหตุการณ์นี้สอดคล้องกับแนวโน้มที่กว้างขึ้นของกลุ่มที่มีความเชื่อมโยงกับรัฐที่มุ่งเป้าไปที่ซอฟต์แวร์และโครงสร้างพื้นฐานที่ประชาชนทั่วไปถูกบังคับให้ต้องพึ่งพาอย่างหลีกเลี่ยงไม่ได้ ไม่ว่าจะโดยกฎหมาย จารีตประเพณี หรือความจำเป็น ระบบของรัฐและระบบที่เผชิญหน้ากับสาธารณะกลายเป็นเป้าหมายที่น่าสนใจเพราะการบุกรุกนั้นสามารถส่งผลกระทบต่อคนจำนวนมากในคราวเดียว เว็บไซต์ทำเนียบประธานาธิบดีเคนยาเพิ่งถูกโจมตีด้วยแรนซัมแวร์จนทางการต้องจำกัดการเข้าถึงของสาธารณะ นั่นเป็นอีกตัวอย่างหนึ่งของโครงสร้างพื้นฐานสาธารณะที่สำคัญถูกขัดขวางโดยผู้โจมตีที่มุ่งมั่น แม้ว่าแรงจูงใจและวิธีการจะแตกต่างจากกรณี AnySign4PC ก็ตาม
บทเรียนสำคัญนั้นคล้ายกันทั้งสองกรณี: เมื่อซอฟต์แวร์หรือบริการกลายเป็นสิ่งที่บังคับหรือหลีกเลี่ยงไม่ได้สำหรับพลเมือง ความปลอดภัยของซอฟต์แวร์นั้นจะกลายเป็นเรื่องที่เกี่ยวข้องกับความมั่นคงของชาติ ไม่ใช่เพียงปัญหาของบริษัทเอกชนอีกต่อไป ข้อบกพร่องเพียงจุดเดียวในเครื่องมือที่ได้รับการสนับสนุนจากภาครัฐและติดตั้งอย่างกว้างขวางสามารถลุกลามไปเป็นเหตุการณ์ที่เปิดกว้างระดับประเทศได้เร็วกว่าช่องโหว่ในซอฟต์แวร์ทางเลือกเฉพาะกลุ่มมาก
สิ่งนี้มีความหมายต่อคุณอย่างไร
หากคุณไม่ได้อยู่ในเกาหลีใต้หรือไม่ได้ใช้ AnySign4PC ช่องโหว่นี้จะไม่ส่งผลกระทบต่อคุณโดยตรง แต่รูปแบบที่มันเป็นตัวแทนนั้นมีความสำคัญในทุกที่ที่ข้อบังคับด้านซอฟต์แวร์มาบรรจบกับการท่องเว็บในชีวิตประจำวัน ทุกครั้งที่คุณถูกกำหนดให้ต้องติดตั้งปลั๊กอินเบื้องหลัง ตัวแทน หรือเครื่องมือยืนยันตัวตนเพื่อเข้าถึงบริการธนาคาร ภาครัฐ หรือสุขภาพ ซอฟต์แวร์นั้นจะกลายเป็นส่วนหนึ่งของพื้นผิวการโจมตีของคุณ ไม่ว่าคุณจะโต้ตอบกับมันโดยตรงหรือไม่ก็ตาม
สำหรับผู้ใช้ในเกาหลีใต้โดยเฉพาะ คำแนะนำจาก KISA และหน่วยงานพันธมิตรคือแหล่งข้อมูลที่เชื่อถือได้สำหรับขั้นตอนการแก้ไข แพตช์ และตัวบ่งชี้การบุกรุก ติดตามการอัปเดตอย่างเป็นทางการสำหรับ AnySign4PC และนำไปใช้ทันทีที่พร้อมใช้งาน และระมัดระวังการแจ้งเตือนหรือพฤติกรรมที่ไม่คาดคิดเมื่อเยี่ยมชมเว็บไซต์ข่าวหรือโรงพยาบาลในระยะใกล้นี้
ในภาพรวม เหตุการณ์นี้เป็นเครื่องเตือนใจว่าซอฟต์แวร์ความปลอดภัยภาคบังคับไม่ได้มีความหมายเท่ากับความปลอดภัยที่แข็งแกร่งโดยอัตโนมัติ รัฐบาลที่กำหนดให้ต้องใช้เครื่องมือเฉพาะสำหรับการเข้าถึงทางการเงินหรือธุรการมีหน้าที่รับผิดชอบในการตรวจสอบให้แน่ใจว่าเครื่องมือเหล่านั้นถูกทดสอบอย่างเข้มงวดและได้รับแพตช์อย่างรวดเร็ว เนื่องจากผู้ใช้มักไม่มีทางเลือกที่มีความหมายในการติดตั้ง การถกเถียงเกี่ยวกับเครื่องมือดิจิทัลที่ถูกบังคับก็ไม่ได้จำกัดอยู่แค่ซอฟต์แวร์ธนาคารเท่านั้น ความพยายามเช่น ข้อเสนอการควบคุมการแชทที่ถูกฟื้นขึ้นมาใหม่ของสหภาพยุโรป แสดงให้เห็นว่าเทคโนโลยีที่ถูกบังคับหรือฝังตัวสามารถสร้างข้อแลกเปลี่ยนด้านความเป็นส่วนตัวและความปลอดภัยที่กระเพื่อมไปไกลกว่าเจตนาเดิมได้อย่างไร
บทเรียนที่นำไปปฏิบัติได้
- หากคุณใช้ AnySign4PC หรือซอฟต์แวร์ธนาคารเกาหลีภาคบังคับที่คล้ายกัน ให้ตรวจสอบแพตช์อย่างเป็นทางการจาก KISA และดำเนินการปรับใช้ทันที
- ตื่นตัวต่อพฤติกรรมที่ผิดปกติเมื่อเยี่ยมชมเว็บไซต์ข่าวหรือโรงพยาบาลในเกาหลีใต้จนกว่าเว็บไซต์ทั้ง 15 แห่งที่ได้รับผลกระทบจะได้รับการยืนยันว่าแก้ไขเรียบร้อยแล้ว
- ตระหนักว่าซอฟต์แวร์ความปลอดภัยที่ถูกบังคับหรือมัดรวมควรได้รับการตรวจสอบเช่นเดียวกับโปรแกรมอื่น ๆ ที่เข้าถึงระบบของคุณ
- ปฏิบัติตามคำแนะนำอย่างเป็นทางการของภาครัฐมากกว่ารายงานที่ไม่ผ่านการทวนสอบสำหรับแนวทางแก้ไขช่องโหว่ zero-day ที่กำลังถูกใช้โจมตีเช่นนี้
- สนับสนุนการอภิปรายในวงกว้างเกี่ยวกับความรับผิดชอบของซอฟต์แวร์ที่ถูกบังคับ เนื่องจากผู้ใช้มักไม่สามารถเลือกไม่ใช้ได้แม้ในขณะที่ช่องโหว่ถูกเปิดเผย
