ตั้งแต่อีเมลไปจนถึงหมายเลขโทรศัพท์: แนวทาง OSINT แบบใหม่ (2019)

 (martinvigo.com)
1 คะแนน โดย GN⁺ 2023-11-18 | 1 ความคิดเห็น | แชร์ทาง WhatsApp

สรุป: จากอีเมลสู่หมายเลขโทรศัพท์ แนวทาง OSINT แบบใหม่

  • มีการวิจัยล่าสุดเกี่ยวกับจุดอ่อนและเวกเตอร์การโจมตีของตัวเลือกรีเซ็ตรหัสผ่าน

  • มีการเปิดตัวเครื่องมือชื่อ "Ransombile" ที่งาน BSides Las Vegas ซึ่งช่วยทำให้การรีเซ็ตรหัสผ่านผ่าน SMS เป็นอัตโนมัติ และทำให้การโจมตีแบบเจาะจงเป้าหมายต่ออุปกรณ์พกพาที่ถูกล็อกแต่เข้าถึงตัวเครื่องได้ทำได้ง่ายขึ้น

  • ที่งาน DEF CON และ CCC ได้มีการหยิบยกปัญหาการรีเซ็ตรหัสผ่านทางโทรศัพท์ผ่านช่องโหว่ของระบบวอยซ์เมลขึ้นมาพูดถึง

  • พบว่าระหว่างการรีเซ็ตรหัสผ่าน มีการแสดงตัวเลขบางส่วนของหมายเลขโทรศัพท์บน UI แบบไม่ครบ

  • แต่ละเว็บไซต์ไม่มีมาตรฐานในการปกปิดข้อมูลระบุตัวบุคคล (PII) เหมือนกัน

  • ตัวอย่างเช่น ในกรณีของ Paypal หากรู้อีเมลแอดเดรสอย่างเดียว ก็สามารถทราบตัวเลขได้ 5 หลักจากหมายเลขโทรศัพท์ 10 หลัก

การตรวจสอบเชิงลึก

  • จัดทำและตรวจสอบรายชื่อเว็บไซต์ยอดนิยมที่สามารถเริ่มกระบวนการรีเซ็ตรหัสผ่านได้โดยใช้อีเมลเพียงอย่างเดียว
  • ตัวอย่างเช่น หากมีบัญชี eBay และ LastPass ผู้โจมตีก็สามารถรู้เลข 7 หลักของหมายเลขโทรศัพท์ได้โดยรู้อีเมลแอดเดรสเพียงอย่างเดียว

การหาตัวเลขที่เหลือ

  • หมายเลขโทรศัพท์ในสหรัฐฯ ประกอบด้วยรหัสพื้นที่ รหัสชุมสาย และหมายเลขสมาชิก
  • สามารถตรวจสอบรายการอัปเดตของรหัสพื้นที่และชุมสายที่เกี่ยวข้องได้ผ่าน North American Numbering Plan Administrator (NANPA)
  • ตัวอย่างเช่น ในซานฟรานซิสโก สามารถลดจำนวนหมายเลขที่เป็นไปได้ลงเหลือ 784 หมายเลขได้ จากชุมสาย 216 ชุดที่ยังไม่ได้จัดสรรในรหัสพื้นที่ 415

National Pooling Administration

  • สามารถตัดหมายเลขโทรศัพท์ที่ใช้ไม่ได้ออกได้จาก National Pooling Administration ซึ่งเป็นหน่วยงานที่จัดการการจัดสรรหมายเลขโทรศัพท์ โดยอิงจากหมายเลขสมาชิก
  • ตัวอย่างเช่น สำหรับหมายเลข 415-272-XXXX ใน Sausalito สามารถตัด 415-272-[0-8]XXX ออก และโฟกัสเฉพาะหมายเลขที่ขึ้นต้นด้วย 9 ได้

ยังมีหมายเลขที่เป็นไปได้อีกมาก

  • หลังจากรู้เลข 7 หลักของหมายเลขโทรศัพท์ของเป้าหมายจากอีเมลแอดเดรสแล้ว ก็สามารถใช้ NANPA และ National Pooling Administration เพื่อลดจำนวนหมายเลขที่เป็นไปได้ลงได้
  • แทนที่จะตรวจสอบหมายเลขที่เหลือด้วยตนเอง สามารถใช้เสิร์ชเอนจิน บริการออนไลน์ และบริการระบบโทรศัพท์ออนไลน์เพื่อค้นหาหมายเลขโทรศัพท์ที่เชื่อมโยงกับอีเมลแอดเดรสได้

ใช้เวกเตอร์การโจมตีแบบเดียวกันย้อนกลับ

  • ผ่านบริการอย่าง Amazon และ Twitter สามารถลองรีเซ็ตรหัสผ่านด้วยหมายเลขโทรศัพท์ และดึงตัวอักษรบางส่วนของอีเมลแอดเดรสกลับมาได้
  • สามารถใช้อีเมลแอดเดรสเพื่อรวบรวมตัวเลขของหมายเลขโทรศัพท์จากหลายเว็บไซต์ จากนั้นใช้ข้อมูลสาธารณะของ NANPA และ National Pooling Administration เพื่อลดรายการหมายเลขที่เป็นไปได้ แล้ววนลองรายการหมายเลขที่เหลือเพื่อเทียบความสอดคล้องกับตัวอักษรอีเมลของเป้าหมาย

การทำงานอัตโนมัติ

  • มีเครื่องมือชื่อ "email2phonenumber" ที่สามารถรับหมายเลขโทรศัพท์บางส่วนและส่งกลับรายการหมายเลขโทรศัพท์ที่ใช้ได้ พร้อมทั้งใช้ฟังก์ชันรีเซ็ตรหัสผ่านของ Amazon และ Twitter เพื่อ brute-force หมายเลขที่เหลือและหาอีเมลที่ตรงกัน

ประเทศอื่น ๆ

  • สามารถอาศัยระบบหมายเลขโทรศัพท์ของประเทศอื่นนอกสหรัฐฯ เพื่อรวบรวมตัวเลขทั้งหมดของหมายเลขโทรศัพท์ได้
  • ตัวอย่างเช่น ในสเปน หมายเลขโทรศัพท์มือถือมี 9 หลัก และ eBay หรือ LastPass ไม่ได้ปรับการมาสก์ให้สอดคล้องกับความยาวของหมายเลข จึงทำให้สามารถรู้ได้มากกว่าครึ่งหนึ่งของหมายเลขโทรศัพท์

บทสรุป

  • เนื่องจากไม่มีวิธีมาตรฐานในการมาสก์ PII ข้อมูลบางส่วนของอีเมลแอดเดรสและหมายเลขโทรศัพท์จึงอาจรั่วไหลออกมาจากบริการออนไลน์
  • โดยเฉพาะในประเทศที่หมายเลขโทรศัพท์สั้น หลายบริการไม่ได้ปรับการมาสก์ให้เข้ากับความยาวของหมายเลข จึงอาจทำให้ทราบหมายเลขโทรศัพท์ทั้งหมดได้
  • มีข้อเสนอให้ผู้ใช้สามารถตั้งป้ายกำกับ เช่น "อีเมลส่วนตัว" หรือ "โทรศัพท์ที่ทำงาน" เพื่อให้ระบบแสดงป้ายกำกับแทน PII ระหว่างการรีเซ็ตรหัสผ่าน

ความเห็นของ GN⁺

ประเด็นสำคัญที่สุดของบทความนี้คือการค้นพบแนวทาง OSINT แบบใหม่ที่สามารถหาหมายเลขโทรศัพท์ได้จากอีเมลแอดเดรสเพียงอย่างเดียว วิธีนี้อาจส่งผลกระทบอย่างมากต่อความเป็นส่วนตัวและความปลอดภัย และช่วยเพิ่มการตระหนักรู้ต่อผู้โจมตีที่อาจนำช่องโหว่นี้ไปใช้ในทางที่ผิด บทความนี้นำเสนอหัวข้อที่น่าสนใจสำหรับผู้ที่สนใจวิศวกรรมซอฟต์แวร์และความปลอดภัย พร้อมทั้งเน้นย้ำความสำคัญของการปกป้องข้อมูลส่วนบุคคล

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2023-11-18
ความคิดเห็นใน Hacker News
  • ผู้ใช้คนหนึ่งเล่าว่าเคยซื้ออะไหล่รถยนต์จากคนขายที่เกือบจะเป็นมิจฉาชีพ โดยผู้ขายรับเงินไปแล้วหลายสัปดาห์แต่ยังส่งสินค้าไม่ครบทั้งออเดอร์ หลังจากสื่อสารกันผ่านหลายแพลตฟอร์ม เขาก็ได้ข้อมูลระบุตัวตนบางส่วนของผู้ขายมา และใช้ข้อมูลนั้นโทรไปที่ที่ทำงานของผู้ขายเพื่อขอให้ส่งอะไหล่ หลังจากนั้นผู้ขายก็ส่งสินค้าทั้งหมดในวันถัดมา
  • ผู้ใช้อีกรายกล่าวถึงฐานข้อมูล CNAM (ใช้ได้เฉพาะในสหรัฐฯ) ว่าถูกใช้โดยผู้ให้บริการเครือข่ายเพื่อแสดง caller ID แบบตัวอักษร และแม้ว่าผู้ให้บริการส่วนใหญ่จะไม่แสดงข้อมูลนี้ แต่ก็ยังสามารถเข้าถึงได้ การค้นหาฐานข้อมูล CNAM ไม่ได้ฟรี แต่ก็น่าจะมีวิธีค้นหาหมายเลขหลายร้อยรายการได้ด้วยค่าใช้จ่ายที่ค่อนข้างถูก
  • ผู้ใช้คนหนึ่งชี้ว่า PayPal จะแสดงเลขห้าหลักพร้อมรหัสพื้นที่ถ้ารู้แค่อีเมล แต่ถ้าผู้โจมตีรู้รหัสผ่านของเป้าหมายด้วย ก็จะแสดงเพียงเลขสามหลัก พร้อมวิจารณ์ว่า PayPal มองเรื่องนี้เป็นปัญหาเชิงการออกแบบและไม่ดำเนินการแก้ไข อีกทั้งยังสงสัยว่าจะหาหมายเลขจาก LinkedIn หรือเชื่อมโยงหมายเลขจากที่อื่นได้อย่างไร
  • ผู้ใช้อีกรายแนะนำให้พิจารณาใช้หมายเลขเสมือน และบอกว่าตัวเลือกซิมที่สองยังถือว่าพบไม่บ่อยในสหรัฐฯ นอกจากนี้หลายเว็บไซต์ยังตรวจสอบหมายเลขโทรศัพท์เพื่อบล็อกผู้ให้บริการ VOIP ซึ่งบางครั้งทำให้ไม่สามารถกลับมาใช้บัญชีได้อีก
  • ผู้ใช้จากสวีเดนอธิบายว่าอีเมลและหมายเลขโทรศัพท์ของตนถูกเผยแพร่ไว้สาธารณะในสมุดรายชื่อจำนวนมาก และในสวีเดนการทำให้ค้นหาที่อยู่และหมายเลขโทรศัพท์ได้ถือเป็นแนวปฏิบัติมาตรฐาน เขามองว่าก็มีด้านบวกตรงที่ข้อมูลส่วนบุคคลที่เปิดเผยเช่นนี้ทำให้คนไม่มองว่าข้อมูลเหล่านี้เป็นความลับ และการรู้หมายเลขของใครสักคนก็ไม่ได้ช่วยให้ปลอมตัวเป็นคนนั้นได้
  • ผู้ใช้คนหนึ่งใช้วิธีพูดถึงชื่อแบบดัดแปลงเล็กน้อยเพื่อความเป็นส่วนตัวในเชิงขำขัน
  • นักลงทุนร่วมทุนคนหนึ่งบอกว่านี่เป็นเทคนิคที่มีประโยชน์สำหรับคนที่ชอบเมินอีเมล
  • ผู้ใช้อีกรายมองว่าความยุ่งยากของการใช้อีเมลคนละชุดและหมายเลข Google Voice คนละเบอร์สำหรับแต่ละบริการนั้นสุดท้ายแล้วคุ้มค่า
  • นักวิจัยด้านความปลอดภัยคนหนึ่งตั้งคำถามว่าการเผยแพร่งานวิจัยอย่างเครื่องมือที่สร้างหมายเลขโทรศัพท์จากอีเมลโดยอัตโนมัตินั้นสมเหตุสมผลหรือไม่ โดยให้เหตุผลว่ากรณีการใช้งานในทางไม่ดีมีมากกว่าเหตุผลที่ดีอย่างมาก และสงสัยว่านักวิจัยได้รับการยกเว้นเพียงเพราะทำไปเพื่อ “งานวิจัย” และอยู่ในพื้นที่สีเทาหรือไม่ รวมถึงได้พูดคุยกับบริษัทที่เปิดเผยช่องโหว่เพื่อช่วยแก้ปัญหาจนรู้สึกว่าทำสิ่งที่ถูกต้องแล้วหรือไม่
  • ผู้ใช้คนสุดท้ายบอกว่าตนมักดูหน้าโปรเจ็กต์ Python ที่กำลังมาแรงบน GitHub อยู่บ่อย ๆ และสับสนว่ารีโพซิทอรีนี้ขึ้นเทรนด์ได้อย่างไร เขามองว่าน่าสนใจที่แม้หลายบริการจะแก้ช่องโหว่นี้ไปแล้ว แต่เพียงแค่ถูกโพสต์บน Hacker News ก็ยังขึ้นไปอยู่บนหน้ารวมโปรเจ็กต์ Python ที่กำลังมาแรงได้