Man-in-the-Middle Attack: เมื่อมีคนแอบฟังอยู่อย่างเงียบ ๆ

ลองนึกภาพว่าคุณส่งจดหมายส่วนตัว แต่ก่อนที่จะถึงปลายทาง มีคนเปิดอ่าน อาจแก้ไขเนื้อหา ปิดซองใหม่ แล้วส่งต่อไปราวกับไม่มีอะไรเกิดขึ้น ทั้งคุณและผู้รับไม่รู้เลยว่าสิ่งนี้เกิดขึ้น นั่นคือสิ่งที่การโจมตีแบบ Man-in-the-Middle (MitM) เป็นอย่างแท้จริง — การบุกรุกการสื่อสารของคุณอย่างเงียบ ๆ และล่องหน

มันคืออะไร

การโจมตีแบบ Man-in-the-Middle คือรูปแบบการโจมตีทางไซเบอร์ที่ผู้ไม่ประสงค์ดีแทรกตัวเข้ามาอย่างลับ ๆ ระหว่างสองฝ่ายที่กำลังสื่อสารกัน ผู้โจมตีสามารถดักฟังการสนทนา ขโมยข้อมูลที่ละเอียดอ่อน หรือแม้แต่ปลอมแปลงข้อมูลที่รับส่งกัน — โดยที่ทั้งสองฝ่ายไม่รู้เลยว่ามีสิ่งผิดปกติเกิดขึ้น

คำว่า "man-in-the-middle" สะท้อนแนวคิดนี้ได้อย่างตรงไปตรงมา: มีบุคคลที่สามซึ่งไม่ได้รับเชิญนั่งอยู่กลางการสนทนาที่ควรเป็นความเป็นส่วนตัว

มันทำงานอย่างไร

การโจมตีแบบ MitM มักเกิดขึ้นใน 2 ขั้นตอน: การดักจับ และ การถอดรหัส

การดักจับ คือวิธีที่ผู้โจมตีแทรกตัวเข้ามาในกลางการรับส่งข้อมูลของคุณ วิธีที่พบบ่อยได้แก่:

  • Evil twin Wi-Fi hotspots — ผู้โจมตีสร้างเครือข่าย Wi-Fi สาธารณะปลอมที่เลียนแบบเครือข่ายจริง (เช่น "Airport_Free_WiFi") เมื่อคุณเชื่อมต่อ ข้อมูลทั้งหมดจะไหลผ่านระบบของพวกเขา
  • ARP spoofing — บนเครือข่ายท้องถิ่น ผู้โจมตีส่งข้อความ ARP (Address Resolution Protocol) ปลอมเพื่อเชื่อมโยง MAC address ของอุปกรณ์ตนเองกับ IP address จริง เพื่อเปลี่ยนเส้นทางการรับส่งข้อมูลมาที่ตัวเอง
  • DNS spoofing — ผู้โจมตีปลอมแปลงข้อมูลใน DNS cache เพื่อเปลี่ยนเส้นทางผู้ใช้จากเว็บไซต์จริงไปยังเว็บไซต์ปลอมโดยไม่มีคำเตือนที่มองเห็นได้
  • SSL stripping — ผู้โจมตีลดระดับการเชื่อมต่อที่ปลอดภัยแบบ HTTPS ให้กลายเป็น HTTP ที่ไม่ได้เข้ารหัส ทำให้สามารถอ่านข้อมูลของคุณในรูปแบบข้อความธรรมดาได้

เมื่อวางตัวอยู่กลางการสื่อสารแล้ว ผู้โจมตีจะพยายาม ถอดรหัส ข้อมูลที่ดักจับมา หากการเชื่อมต่อไม่ได้เข้ารหัส — หรือหากพวกเขาสามารถทำลายการเข้ารหัสได้ — พวกเขาจะสามารถเข้าถึงทุกสิ่งที่คุณส่งและรับ ไม่ว่าจะเป็นข้อมูลการเข้าสู่ระบบ ข้อมูลทางการเงิน ข้อความส่วนตัว และอื่น ๆ อีกมากมาย

เหตุใดจึงสำคัญสำหรับผู้ใช้ VPN

นี่คือจุดที่ VPN มีความสำคัญอย่างยิ่ง VPN สร้างอุโมงค์ที่เข้ารหัสระหว่างอุปกรณ์ของคุณกับเซิร์ฟเวอร์ VPN ทำให้ผู้โจมตีดักจับและอ่านข้อมูลของคุณได้ยากมาก แม้ว่าใครบางคนจะสามารถวางตัวอยู่ระหว่างคุณกับเครือข่ายได้ พวกเขาก็จะเห็นเพียงข้อมูลที่ถูกเข้ารหัสและอ่านไม่ออกเท่านั้น

อย่างไรก็ตาม ผู้ใช้ VPN ควรระวังข้อสำคัญบางประการ:

  • VPN ปกป้องข้อมูลระหว่างการส่ง แต่ไม่ได้ปกป้องคุณจากการโจมตีแบบ MitM ที่เกิดขึ้นในระดับเซิร์ฟเวอร์ VPN หากคุณใช้ผู้ให้บริการที่ไม่น่าเชื่อถือ การเลือกบริการ VPN ที่มีชื่อเสียง ผ่านการตรวจสอบ และมีนโยบาย no-log ที่ชัดเจนจึงมีความสำคัญ
  • VPN ฟรี มีความเสี่ยงเป็นพิเศษ ผู้ให้บริการฟรีบางรายถูกพบว่าทำตัวเป็น "man in the middle" เสียเอง — ด้วยการบันทึก ขาย หรือดักจับข้อมูลของผู้ใช้
  • การตรวจสอบ SSL certificate ยังคงมีความสำคัญแม้ขณะใช้ VPN หากผู้โจมตีนำเสนอ certificate ปลอมและเบราว์เซอร์ของคุณยอมรับมัน ข้อมูลอาจถูกโจมตีได้ก่อนที่จะเข้าสู่อุโมงค์ VPN ด้วยซ้ำ

ตัวอย่างในชีวิตจริง

  • การโจมตีในร้านกาแฟ: คุณเชื่อมต่อกับ Wi-Fi ฟรีของร้านกาแฟ (ซึ่งที่จริงเป็น hotspot ปลอม) แล้วเข้าสู่ระบบธนาคารออนไลน์ ผู้โจมตีดักจับข้อมูลการเข้าสู่ระบบของคุณ
  • การจารกรรมทางธุรกิจ: ผู้โจมตีในเครือข่ายองค์กรใช้ ARP spoofing เพื่อดักจับการสื่อสารภายในระหว่างพนักงาน
  • Session hijacking: หลังจากดักจับ session cookie ที่ผ่านการยืนยันตัวตนแล้ว ผู้โจมตีเข้าครอบครองบัญชีที่คุณล็อกอินอยู่โดยไม่จำเป็นต้องใช้รหัสผ่านของคุณ
  • เครือข่ายในงานสาธารณะ: งานชุมนุมขนาดใหญ่อย่างงานประชุมเป็นเป้าหมายหลัก ที่ผู้โจมตีตั้ง access point ปลอมเพื่อเก็บข้อมูลจากอุปกรณ์ที่เชื่อมต่อหลายร้อยเครื่อง

การป้องกันตัวเอง

นอกจากการใช้ VPN แล้ว วิธีป้องกันการโจมตีแบบ MitM ที่ดีได้แก่ การตรวจสอบ HTTPS ในเบราว์เซอร์เสมอ การเปิดใช้งานการยืนยันตัวตนแบบสองขั้นตอน การหลีกเลี่ยงเครือข่าย Wi-Fi สาธารณะที่ไม่รู้จัก และการอัปเดตซอฟต์แวร์อยู่เสมอเพื่อแก้ไขช่องโหว่ที่รู้จัก การรวมชั้นการป้องกันเหล่านี้เข้าด้วยกันจะทำให้การโจมตีแบบ MitM ที่สำเร็จยากขึ้นอย่างมาก