งานวิจัยใหม่ที่แชร์กับ Axios ชี้ว่าแฮกเกอร์กำลังหาวิธีใหม่ในการฝังสปายแวร์ลงใน iPhone แม้เหยื่อจะไม่เคยคลิก link อันตรายเลยก็ตาม การค้นพบนี้ชี้ให้เห็นแนวโน้มที่น่ากังวลในเรื่องสปายแวร์ iPhone แบบ zero-click ผ่านการท่องเว็บ ซึ่งเพียงแค่โหลดหน้าเว็บอาจเพียงพอที่จะทำให้อุปกรณ์ตกอยู่ในความเสี่ยง

รายละเอียดที่เปิดเผยจากรายงานมีจำกัด บทความนี้จึงยึดตามสิ่งที่เผยแพร่แล้วและอธิบายว่ามันหมายความอย่างไรในทางปฏิบัติ

การท่องเว็บเพียงอย่างเดียวสามารถติดเชื้อ iPhone ได้อย่างไร

ข้อกล่าวอ้างหลักในงานวิจัยคือแฮกเกอร์สามารถส่งสปายแวร์ไปยัง iPhone ได้โดยที่เหยื่อไม่ต้องคลิก link อันตราย ในการโจมตีแบบฟิชชิงทั่วไป ผู้ใช้ต้องลงมือทำอะไรบางอย่าง เช่น แตะ link เปิดไฟล์ หรืออนุมัติ prompt แต่ในกรณีนี้ ขั้นตอนนั้นถูกรายงานว่าถูกตัดออกจากกระบวนการ

เรื่องนี้สำคัญเพราะคำแนะนำด้านความปลอดภัยส่วนใหญ่มุ่งเน้นที่พฤติกรรมของผู้ใช้ เช่น อย่าคลิก link ที่น่าสงสัย อย่าเปิดไฟล์แนบที่ไม่รู้จัก นิสัยเหล่านี้ยังมีประโยชน์ แต่ให้การปกป้องน้อยลงเมื่อการโจมตีถูกออกแบบมาให้ทำงานเบื้องหลังขณะที่คนกำลังท่องเว็บตามปกติ

เบราว์เซอร์เป็นสถานที่ธรรมชาติสำหรับการโจมตีประเภทนี้ เพราะมันประมวลผลเนื้อหาที่ไม่น่าเชื่อถือจากทั่วอินเทอร์เน็ตอย่างต่อเนื่อง รวมถึงหน้าเว็บ สคริปต์ รูปภาพ และโฆษณา หากผู้โจมตีพบช่องโหว่ในการจัดการเนื้อหาเหล่านั้น หน้าเว็บที่ถูกวางกับดักก็สามารถรันโค้ดบนอุปกรณ์ได้ เราเคยรายงานเกี่ยวกับวิธีที่ผู้โจมตีกำลังเปลี่ยนเส้นทางการส่งมอบผ่านเบราว์เซอร์ในรายงานของเราเรื่อง แฮกเกอร์ที่ประกอบมัลแวร์ในเบราว์เซอร์ และหลักการเดียวกันก็ใช้ได้ที่นี่ นั่นคือตัวเบราว์เซอร์เองกลายเป็นช่องทางในการส่งมอบ

สรุปที่เรา review ไม่ได้ระบุชื่อช่องโหว่ กลุ่มภัยคุกคาม หรือเหยื่อที่เฉพาะเจาะจง เราจึงจะไม่คาดเดาเกี่ยวกับสิ่งเหล่านั้น

ใครที่มีความเสี่ยงสูงสุดจากสปายแวร์นี้

สปายแวร์ประเภทนี้ในอดีตมีความเชื่อมโยงกับการสอดส่องแบบเจาะจงเป้าหมายมากกว่าการติดเชื้อวงกว้าง แต่สรุปงานวิจัยไม่ได้ระบุว่าใครคือเป้าหมายในกรณีนี้ เราไม่สามารถกล่าวอ้างเกี่ยวกับเหยื่อที่เฉพาะเจาะจงได้

สิ่งที่กล่าวได้คือ任何人ที่ท่องเว็บบน iPhone ล้วนเผชิญกับความเสี่ยงประเภทนี้โดยทั่วไป เพราะเส้นทางการโจมตีวิ่งผ่านการท่องเว็บปกติ ผู้ที่มีโปรไฟล์สูง เช่น นักข่าว นักเคลื่อนไหว ผู้บริหาร และเจ้าหน้าที่รัฐ โดยทั่วไปมีเหตุผลมากกว่าที่จะใช้ความระมัดระวังเพิ่มเติม เพราะมีแนวโน้มว่าจะเป็นที่สนใจของผู้โจมตีที่มีทรัพยากรสูง

สำหรับคนส่วนใหญ่ ความเสี่ยงในทางปฏิบัติมักต่ำกว่ากลุ่มเหล่านั้น แต่บทเรียนก็เหมือนกัน นั่นคือสมมติฐานที่ปลอดภัยที่สุดคืออุปกรณ์ที่ไม่ได้รับการแพตช์เป็นอุปกรณ์ที่อ่อนแอกว่า

VPN หยุดอะไรได้และหยุดอะไรไม่ได้

นี่คือจุดที่ความคาดหวังต้องสมจริง VPN เข้ารหัสการรับส่งข้อมูลระหว่างอุปกรณ์ของคุณกับเซิร์ฟเวอร์ VPN และซ่อน IP address ของคุณจากเว็บไซต์ที่คุณเยี่ยมชม สิ่งนี้มีคุณค่าสำหรับความเป็นส่วนตัวบน Wi-Fi สาธารณะและสำหรับจำกัดสิ่งที่ผู้ให้บริการอินเทอร์เน็ตของคุณมองเห็น

แต่ VPN ไม่ได้แก้ไขช่องโหว่ในเบราว์เซอร์หรือระบบปฏิบัติการของคุณ หากหน้าเว็บอันตรายใช้ประโยชน์จากช่องโหว่ในการที่ iPhone ของคุณประมวลผลเนื้อหาเว็บ exploit ก็มาถึงผ่านการเชื่อมต่อที่คุณเลือกใช้ ไม่ว่าการเชื่อมต่อนั้นจะถูกเข้ารหัสหรือไม่ อุโมงค์ VPN นำส่งหน้าเว็บไปยังอุปกรณ์ของคุณเช่นเดียวกับที่มันนำส่งหน้าเว็บอื่นๆ

VPN อาจช่วยได้ทางอ้อมบ้างหากมีฟีเจอร์บล็อกโดเมนอันตรายที่รู้จักแบบเสริม แต่นั่นขึ้นอยู่กับบริการและไม่ใช่สิ่งทดแทนการแพตช์ DNS แบบเข้ารหัส ซึ่งอธิบายไว้ในรายการ glossary ของเราเรื่อง DNS over HTTPS ช่วยให้การค้นหาคงความเป็นส่วนตัวจากบุคคลที่สาม แต่เช่นเดียวกันก็ไม่ได้หยุด browser exploit

สรุปสั้นๆ: VPN เป็นเครื่องมือความเป็นส่วนตัว ไม่ใช่การป้องกันจาก zero-click exploit การอัปเดตซอฟต์แวร์คือการป้องกันหลัก สำหรับตัวอย่างที่เทียบเคียงได้ว่าผู้โจมตีเชื่อมโยงช่องโหว่ในเบราว์เซอร์อย่างไร โปรดดูรายงานของเราเรื่อง แฮกเกอร์จีนใช้ประโยชน์จากช่องโหว่ zero-day ใน Chrome และ Windows

ขั้นตอนในการปกป้อง iPhone ของคุณตอนนี้

คุณควบคุมไม่ได้ว่าช่องโหว่จะมีอยู่หรือไม่ แต่คุณสามารถลดช่วงเวลาที่มันมีประโยชน์ต่อผู้โจมตีได้

  • ติดตั้งอัปเดต iOS ล่าสุด การแพตช์ความปลอดภัยเป็นการป้องกันที่ตรงที่สุดจาก browser-based exploit
  • เปิดการอัปเดตอัตโนมัติ ไปที่ Settings แล้ว General แล้ว Software Update และเปิดการอัปเดตอัตโนมัติเพื่อไม่ให้คุณตามหลัง
  • พิจารณาโหมด Lockdown หากคุณมีความเสี่ยงสูง Lockdown Mode ของ Apple เป็นการตั้งค่าเสริมที่ลดพื้นผิวการโจมตีของอุปกรณ์ โดยจำกัดบางฟีเจอร์ จึงเหมาะกับผู้ที่มีโปรไฟล์ภัยคุกคามสูงมากกว่าทุกคน
  • รีสตาร์ท iPhone เป็นครั้งคราว นี่เป็นนิสัยสุขอนามัยทั่วไปและไม่ใช่การรับประกันการกำจัด
  • อัปเดตแอปและลบแอปที่คุณไม่ได้ใช้

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ข้อคิดสำคัญคือ "อย่าคลิก link ที่น่าสงสัย" ไม่เพียงพออีกต่อไปด้วยตัวมันเอง หากงานวิจัยถูกต้อง การท่องเว็บปกติอาจเป็นส่วนหนึ่งของห่วงโซ่การโจมตี นั่นไม่ได้หมายความว่าคุณควรหยุดใช้โทรศัพท์หรือตื่นตระหนก แต่มันหมายความว่านิสัยการอัปเดตของคุณสำคัญยิ่งกว่าเดิม และคุณควรถือว่า VPN เป็นชั้นหนึ่งของความเป็นส่วนตัว ไม่ใช่โล่ป้องกันสปายแวร์

บทสรุป

สปายแวร์ iPhone แบบ zero-click ผ่านการท่องเว็บเป็นเครื่องเตือนใจว่าเบราว์เซอร์เป็นส่วนหนึ่งของอุปกรณ์ใดๆ ที่เปิดเผยมากที่สุด ติดตั้งอัปเดต iOS ล่าสุดวันนี้ เปิดการอัปเดตอัตโนมัติ และเปิด Lockdown Mode หากคุณเชื่อว่าคุณอาจเป็นเป้าหมาย สำหรับบริบทเพิ่มเติมเกี่ยวกับวิธีการทำงานของการโจมตีผ่านเบราว์เซอร์ โปรดอ่านบทความของเราเรื่อง การประกอบมัลแวร์ในเบราว์เซอร์ และ แคมเปญการใช้ประโยชน์ช่องโหว่ zero-day ใน Chrome