การโจมตี ‘MFA Bombing’ ล่าสุดที่มุ่งเป้าผู้ใช้ Apple

 (krebsonsecurity.com)
1 คะแนน โดย GN⁺ 2024-03-28 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • การแจ้งเตือน รีเซ็ตรหัสผ่าน ของ Apple แสดงซ้ำจำนวนมาก ทำให้ผู้ใช้บางรายเผชิญการโจมตีฟิชชิงในระดับที่ใช้อุปกรณ์ตามปกติได้ยาก
  • หลังจากถล่มด้วยการแจ้งเตือน ผู้โจมตีปลอม หมายเลขผู้โทรของ Apple Support แล้วโทรหา โดยทำเหมือนเป็นขั้นตอนปกป้องบัญชีและขอรหัสแบบใช้ครั้งเดียว
  • ในกรณีของ Parth Patel แม้แต่ นามแฝงที่ไม่ถูกต้อง ใน PeopleDataLabs ก็ถูกนำไปใช้ในทางที่ผิด และหากส่งรหัสรีเซ็ต Apple ID ให้ไป อาจนำไปสู่การล็อกบัญชีและการลบข้อมูลอุปกรณ์จากระยะไกลได้
  • กรณีของ Chris และ Ken แสดงให้เห็นว่า หมายเลขโทรศัพท์ ที่ลงทะเบียนกับบัญชีอาจเป็นเบาะแสสำคัญในลำดับการโจมตี และ Apple Recovery Key เพียงอย่างเดียวไม่สามารถหยุดการส่งการแจ้งเตือนรีเซ็ตได้
  • มีการพูดถึงวิธีบรรเทา เช่น ใช้ หมายเลข VOIP ที่ไม่ค่อยเป็นที่รู้จักหรือใช้นามแฝงอีเมล แต่หากเอาหมายเลขมือถือจริงออก iMessage และ Facetime อาจถูกปิดใช้งาน

การโจมตีแบบ MFA fatigue ที่ใช้การแจ้งเตือนรีเซ็ตรหัสผ่านของ Apple

  • เมื่อเร็ว ๆ นี้ ลูกค้า Apple หลายรายเผชิญการโจมตีแบบ MFA Bombing หรือ MFA fatigue
  • การโจมตีใช้พฤติกรรมที่ดูเหมือนบั๊กในฟังก์ชันรีเซ็ตรหัสผ่านของ Apple
    • อุปกรณ์ Apple ของเป้าหมายจะแสดงการแจ้งเตือนระดับระบบหลายสิบรายการ
    • ผู้ใช้ต้องกด Allow หรือ Don’t Allow ในแต่ละการแจ้งเตือน
    • เมื่อการแจ้งเตือนสะสมต่อเนื่อง อาจเกิดสถานการณ์ที่ใช้อุปกรณ์ไม่ได้เลย
  • ผู้โจมตีหวังให้ผู้ใช้เหนื่อยล้าจากคำขอซ้ำ ๆ จนเผลอกด Allow หรือยอมอนุมัติเพื่อให้กลับมาใช้โทรศัพท์ได้
  • หลังปฏิเสธการแจ้งเตือนทั้งหมด จะมีสายโทรเข้าที่ปลอมหมายเลขผู้โทรให้ดูเหมือน Apple Support ตามมา
    • หมายเลขโทรศัพท์อาจแสดงเป็น 1-800-275-2273 ซึ่งเป็นหมายเลขฝ่ายสนับสนุนลูกค้าจริงของ Apple
    • มิจฉาชีพจะบอกว่าบัญชีกำลังถูกโจมตีและต้องยืนยันรหัสแบบใช้ครั้งเดียว

กรณีของ Parth Patel: สายสนับสนุนปลอมที่ตามมาหลังการถล่มด้วยการแจ้งเตือน

  • Parth Patel ได้บันทึกแคมเปญฟิชชิงที่มุ่งเป้ามาที่เขาไว้บน Twitter/X เมื่อวันที่ 23 มีนาคม
  • การแจ้งเตือนถาโถมเข้ามาพร้อมกันบน Apple Watch, แล็ปท็อป และโทรศัพท์ของเขา และเขาต้องปฏิเสธการแจ้งเตือนรีเซ็ตรหัสผ่านมากกว่า 100 รายการ
  • หลังปฏิเสธการแจ้งเตือนทั้งหมด iPhone ของเขาก็ได้รับสายที่ดูเหมือนโทรมาจาก Apple Support
  • เมื่อ Patel ขอให้มิจฉาชีพยืนยันข้อมูลของเขา มิจฉาชีพให้ข้อมูลส่วนบุคคลได้ถูกต้อง แต่บอกชื่อจริงไม่ถูก
    • ชื่อที่มิจฉาชีพบอกเป็น นามแฝงที่ไม่ถูกต้อง ซึ่ง Patel เคยเห็นเฉพาะในรายงานประวัติของ PeopleDataLabs
    • Patel กล่าวว่าเขาพยายามลบข้อมูลของตนจากเว็บไซต์ค้นหาบุคคลหลายแห่งแล้ว แต่ใน PeopleDataLabs นามแฝงดังกล่าวยังคงแสดงอยู่ในโปรไฟล์ผู้บริโภค
  • เป้าหมายของวอยซ์ฟิชชิงคือทำให้รหัสรีเซ็ต Apple ID ถูกส่งไปยังอุปกรณ์ของผู้ใช้ แล้วหลอกเอา รหัสแบบใช้ครั้งเดียว นั้นมา
    • หากผู้ใช้บอกรหัส ผู้โจมตีสามารถรีเซ็ตรหัสผ่านบัญชีและล็อกผู้ใช้ออกจากบัญชีได้
    • หลังจากนั้นยังอาจลบข้อมูลจากระยะไกลบนอุปกรณ์ Apple ของผู้ใช้ได้ด้วย

หมายเลขโทรศัพท์อาจเป็นเบาะแสของการโจมตี

  • Chris เจ้าของกองทุนเฮดจ์ฟันด์คริปโต ก็เผชิญความพยายามฟิชชิงคล้ายกันเมื่อปลายเดือนกุมภาพันธ์
  • ทันทีหลังปฏิเสธการแจ้งเตือนแรกด้วย Don’t Allow ก็มีการแจ้งเตือนประมาณ 30 รายการตามมาติด ๆ และการแจ้งเตือนรีเซ็ตยังคงเกิดขึ้นต่อเนื่องหลายวัน
  • เขายังได้รับสายที่ดูเหมือนมาจาก Apple Support แต่ Chris บอกว่าจะโทรกลับเองแล้ววางสาย
    • เมื่อโทรหา Apple จริง ๆ Apple ไม่สามารถยืนยันได้ว่าเพิ่งมีการโทรคุยกับฝ่ายสนับสนุนหรือไม่
    • Apple แจ้งว่าจะไม่โทรหาลูกค้าก่อน เว้นแต่ลูกค้าจะร้องขอให้ติดต่อ
  • Chris เปลี่ยนรหัสผ่าน ซื้อ iPhone เครื่องใหม่ที่ Apple Store แล้วสร้างบัญชี iCloud ใหม่ด้วยที่อยู่อีเมลใหม่
  • แต่ระหว่างนั่งอยู่ที่ Apple Genius Bar การแจ้งเตือนระดับระบบก็ยังคงส่งมาถึง iPhone เครื่องใหม่และบัญชี iCloud ใหม่
    • Chris มองว่าองค์ประกอบเดียวที่ไม่เปลี่ยนในบัญชีใหม่คือ หมายเลขโทรศัพท์ที่ลงทะเบียนกับบัญชี
    • เขาสงสัยว่าผู้โจมตีอาจต้องรู้หมายเลขโทรศัพท์ของบัญชี Apple เป้าหมายจึงจะสร้างการแจ้งเตือนระบบของ Apple ได้อย่างรวดเร็ว

การแจ้งเตือนของ Ken ที่ Recovery Key ก็หยุดไม่ได้

  • Ken ซึ่งมีประสบการณ์ในวงการความปลอดภัย ได้รับการแจ้งเตือนระบบที่ไม่ต้องการบนอุปกรณ์ Apple ตั้งแต่ต้นปีนี้ แต่ต่างจากกรณีอื่นตรงที่ไม่ได้รับสายสนับสนุน Apple ปลอม
  • ครั้งหนึ่งเขาตื่นขึ้นเพราะการแจ้งเตือนบน Apple Watch เวลา 00:30 น. และบน Watch จะแสดง Allow ก่อน ส่วนถ้าจะกด Don’t Allow ต้องเลื่อนล้อ
  • การกด Allow เพียงอย่างเดียวไม่ได้ทำให้ผู้โจมตีเปลี่ยนรหัสผ่านของ Ken ได้
    • เมื่อกด Allow อุปกรณ์ของ Ken จะแสดง PIN 6 หลักที่จำเป็นต่อการเปลี่ยนรหัสผ่าน
    • การแจ้งเตือนรีเซ็ตซ้ำ ๆ ดูเหมือนถูกใช้เพื่อทำให้สายโทรศัพท์ที่ปลอมเป็น Apple ในภายหลังดูน่าเชื่อถือขึ้น
  • Ken ติดต่อฝ่ายสนับสนุน Apple จริง และได้รับคำแนะนำจากวิศวกร Apple ระดับอาวุโสว่า หากเปิด Apple Recovery Key การแจ้งเตือนจะหยุด
  • Apple Recovery Key เป็นฟีเจอร์เสริมเพื่อเพิ่มความปลอดภัยให้บัญชี Apple ID และเป็นโค้ดสุ่ม 28 ตัวอักษร
    • เมื่อเปิดใช้งาน ตามที่ระบุไว้ควรจะปิดขั้นตอนกู้คืนบัญชีมาตรฐานของ Apple
    • หากทำ Recovery Key และอุปกรณ์ Apple ทั้งหมดหาย อาจถูกล็อกออกจากบัญชีอย่างถาวร
  • Ken เปิด Recovery Key แล้ว แต่การแจ้งเตือนระบบที่ไม่ต้องการยังคงปรากฏบนอุปกรณ์ทั้งหมดทุก ๆ ไม่กี่วัน
  • ผลการทดสอบพบว่า แม้เปิด Recovery Key แล้ว ก็ไม่ได้ปิดกั้นลำดับขั้นตอนที่ iforgot.apple.com ใช้ส่งการแจ้งเตือนรีเซ็ตรหัสผ่านไปยังอุปกรณ์ Apple
    • หน้าเว็บขอที่อยู่อีเมลและ CAPTCHA
    • จากนั้นจะแสดงเลขสองหลักสุดท้ายของหมายเลขโทรศัพท์ที่ผูกกับบัญชี
    • หากกรอกตัวเลขที่เหลือและส่งคำขอ การแจ้งเตือนระบบจะถูกส่งออกไป ไม่ว่าจะเปิดใช้งาน Recovery Key หรือไม่

คำถามเรื่องการจำกัดอัตราและกรณี MFA Bombing ในอดีต

  • ยังเป็นที่น่าสงสัยว่าระบบยืนยันตัวตนถูกออกแบบอย่างไรจึงยอมให้ส่งคำขอเปลี่ยนรหัสผ่านหลายสิบครั้งภายในไม่กี่นาที ทั้งที่ผู้ใช้ยังไม่ตอบสนองต่อคำขอแรกด้วยซ้ำ
  • Apple ยังไม่ได้ตอบกลับคำขอความเห็น
  • ในปี 2022 กลุ่มแฮ็กอาชญากรรม LAPSUS$ ใช้ MFA Bombing ได้ผลในการบุกรุก Cisco, Microsoft และ Uber
  • Microsoft เริ่มใช้ MFA number matching เป็นมาตรการรับมือ
    • แสดงชุดตัวเลขให้ผู้ที่พยายามล็อกอินเห็น
    • เจ้าของบัญชีต้องกรอกตัวเลขดังกล่าวในแอป Microsoft Authenticator บนอุปกรณ์มือถือ เพื่อยืนยันการล็อกอินให้เสร็จสมบูรณ์
  • นักวิจัยด้านความปลอดภัย Kishan Bagaria มองว่าปัญหาอยู่ฝั่ง Apple
    • เขาเคยรายงานบั๊ก AirDoS ให้ Apple ในปี 2019
    • บั๊กนี้ทำให้สามารถแสดงพรอมป์แชร์ไฟล์ AirDrop บนอุปกรณ์ iOS ที่อยู่ใกล้ได้ไม่สิ้นสุด
    • Apple แก้บั๊กดังกล่าวในเดือนธันวาคม 2019 และขอบคุณ Bagaria ในประกาศความปลอดภัยที่เกี่ยวข้อง
    • ตามที่ Bagaria ระบุ การแก้ไขของ Apple คือเพิ่มการจำกัดอัตราที่เข้มงวดขึ้นสำหรับคำขอ AirDrop
  • อาจมีใครบางคนพบวิธีเลี่ยง การจำกัดอัตรา ของคำขอรีเซ็ตรหัสผ่าน Apple และอาจเป็นบั๊กด้านการจำกัดอัตราของ Apple ที่ควรรายงานอย่างเป็นทางการ

มาตรการบรรเทาที่ผู้ใช้ลองทำได้

  • บัญชี Apple ดูเหมือนจำเป็นต้องมีหมายเลขโทรศัพท์ แต่หลังตั้งค่าบัญชีแล้ว ไม่จำเป็นต้องเป็นหมายเลขมือถือเสมอไป
  • ผลการทดสอบพบว่า Apple ยอมรับ หมายเลข VOIP เช่น Google Voice
    • การเปลี่ยนหมายเลขโทรศัพท์ของบัญชีเป็นหมายเลข VOIP ที่ไม่ค่อยเป็นที่รู้จักอาจเป็นวิธีบรรเทาได้
  • อย่างไรก็ตาม หากไม่มีหมายเลขมือถือจริงรวมอยู่ด้วย iMessage และ Facetime บนอุปกรณ์นั้นจะถูกปิดใช้งาน
    • สำหรับผู้ใช้ที่ต้องการลดพื้นผิวการโจมตีโดยรวมของอุปกรณ์ Apple นี่อาจเป็นข้อดีได้เช่นกัน
    • ซีโร่คลิกซีโร่เดย์ของ iMessage และ Facetime ถูกผู้จำหน่ายสปายแวร์นำไปใช้ซ้ำแล้วซ้ำเล่า
  • ระบบรีเซ็ตรหัสผ่านของ Apple ดูเหมือนยอมรับและเคารพนามแฝงอีเมล
    • สามารถใส่ + และป้ายกำกับเฉพาะเว็บไซต์ต่อท้ายชื่อผู้ใช้ เพื่อสร้างที่อยู่อีเมลเฉพาะที่ผูกกับบัญชีเดียวกันได้
    • ตัวอย่างเช่น รูปแบบ krebsonsecurity+example@gmail.com
    • สำหรับนามแฝงที่ใช้กับ Apple อาจควรใช้นามแฝงที่ไม่ชัดเจนเกินไป แทนป้ายกำกับที่เห็นเด่นอย่าง +apple

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2024-03-28
ความคิดเห็นจาก Hacker News

  • มีส่วนสำคัญที่บทความและคอมเมนต์ยอดนิยมไม่ได้พูดถึง: ต่อให้เผลอกด Allow ไป ผู้โจมตีก็ไม่ได้เปลี่ยนรหัสผ่านจากเบราว์เซอร์ของตัวเองได้ทันที
    เมื่อกด Allow บนอุปกรณ์ จะมี PIN 6 หลักแสดงบนอุปกรณ์นั้น และต้องใช้ PIN นั้นเพื่อเปลี่ยนรหัสผ่านบนอุปกรณ์ของคุณเอง ขั้นตอนสุดท้ายของการโจมตีคือ ผู้โจมตีโทรเข้ามาด้วยหมายเลขโทรศัพท์ Apple ปลอม แล้วขอให้อ่าน PIN 6 หลักนั้นให้ฟัง หากบอก PIN นั้นให้ผู้โจมตีทางสายโทรศัพท์ ผู้โจมตีก็จะรีเซ็ตรหัสผ่านจากเบราว์เซอร์ของตัวเองได้
    น่าแปลกที่ Krebs ละรายละเอียดเล็ก ๆ นี้ไว้ในบล็อกความปลอดภัย และดูเหมือนยืนยันราวกับว่าเราสามารถยกสิทธิ์เข้าถึงบัญชีทั้งหมดให้คนอื่นได้ขณะหลับอยู่

    • ในย่อหน้าแรกของบทความอธิบายไว้แล้วแบบนี้:

      Assuming the user manages not to fat-finger the wrong button on the umpteenth password reset request, the scammers will then call the victim while spoofing Apple support in the caller ID, saying the user’s account is under attack and that Apple support needs to “verify” a one-time code.

    • อยู่ในบทความ:

      Ken didn’t know it when all this was happening (and it’s not at all obvious from the Apple prompts), but clicking “Allow” would not have allowed the attackers to change Ken’s password. Rather, clicking “Allow” displays a six digit PIN that must be entered on Ken’s device — allowing Ken to change his password. It appears that these rapid password reset prompts are being used to make a subsequent inbound phone call spoofing Apple more believable.

    • ก็จริงและควรรู้ไว้ แต่ถึงอย่างนั้นก็ดูเหมือนคนที่มีเหตุผลดีพอก็ยังถูกหลอกได้ ไม่ใช่ปัญหาของผู้สูงอายุวัย 80 เท่านั้น
      ต่อให้ไม่ถูกหลอก ก็ยังมีความน่ารำคาญรุนแรงที่ Apple น่าจะกำจัดได้เพียงแค่ตั้ง การจำกัดความถี่ของคำขอ กับคำขอแบบนี้ ไม่เข้าใจว่าทำไมถึงส่งได้เป็นร้อยครั้งในเวลาอันสั้น

  • จะเรียกว่า “ล่าสุด” ก็ออกจะก้ำกึ่ง
    ในปี 2021 หรืออย่างช้าที่สุดปี 2022 ผมกับภรรยาเจอเรื่องเดียวกันห่างกันไม่กี่วัน ตอนแรกวันละไม่กี่ครั้ง แล้วต่อมาก็เพิ่มเป็นมาทุกชั่วโมง ผมคิดว่าเราทั้งคู่ยังได้รับ SMS ที่ดูเหมือนมาจาก Apple อยู่สองสามครั้งด้วย
    ทันทีที่มันพุ่งขึ้น เราตั้งค่า คีย์กู้คืน ให้ทั้งสองบัญชี ซึ่งเดิมก็เป็นมาตรการที่วางแผนไว้อยู่แล้ว ด้วยเหตุผลว่า Apple หรือใครก็ตามที่กดดันหรือยึดครอง Apple ได้ ไม่ควรเข้าถึงบัญชีของเราได้ วิธีนี้หยุดการโจมตีได้ทันที
    ด้วยเหตุผลคล้ายกัน พอ Advanced Data Protection ออกมาก็เปิดใช้ทันที และปิดการเข้าถึงผ่านเว็บด้วย เฉพาะอุปกรณ์ที่เชื่อถือแล้วเท่านั้นที่ดูข้อมูลได้ และการลงทะเบียนอุปกรณ์ใหม่ก็ทำได้จากอุปกรณ์ที่เชื่อถือแล้วเท่านั้น

    • ผมไม่รู้ว่า Recovery Key คืออะไร เลยพบว่าเป็นเอกสารนี้: https://support.apple.com/en-us/109345
      อันนี้ก็น่ากลัวพอสมควร ถ้าทำคีย์หาย จะไม่มีใครช่วยกู้บัญชีได้
    • น่าสนใจที่บอกว่าใช้คีย์กู้คืนแล้วปัญหาหยุดลง แต่ตอนนี้ดูเหมือนมันจะไม่ได้ทำหน้าที่นั้นแล้ว
      ตามบทความ “Ken said he enabled a recovery key for his account as instructed, but that it hasn’t stopped the unbidden system alerts from appearing on all of his devices every few days.
      KrebsOnSecurity tested Ken’s experience, and can confirm that enabling a recovery key does nothing to stop a password reset prompt from being sent to associated Apple devices.”
    • วิธีการเองไม่ใช่ของใหม่ แต่ดูเหมือนเป็น แคมเปญล่าสุด ที่นำไปใช้กับคนจำนวนมาก เป็นไปได้สูงว่ามีใครเพิ่งได้รายชื่อรหัสผ่านที่ถูกแฮ็กจากดัมป์ข้อมูลรั่วไหลล่าสุด แล้วกำลังกวาดบัญชี Apple ที่อยู่ในนั้น
    • ควรซื้อ YubiKey สักหลายอัน อย่างน้อยสามอัน แล้วใช้กับการยืนยันตัวตน Apple ID แทนการยืนยันหลายปัจจัยแบบพุชโง่ ๆ
      https://support.apple.com/en-gb/HT213154
    • แปลกใจที่เรื่องแบบนี้แน่นอนว่าควรมี การจำกัดความถี่ หลังลองสักสองครั้งก็ควรเพิ่มเป็นหนึ่งครั้งทุก 15 นาที จากนั้นเป็นหนึ่งชั่วโมง, 4 ชั่วโมง, หนึ่งวัน อะไรทำนองนั้น แค่จัดการเหมือนความพยายามล็อกอินผิดก็พอ

  • ถ้าหลังจากกด Allow แล้วสามารถรีเซ็ตรหัสผ่านจากอุปกรณ์อื่นได้ ข้อความนั้นก็ออกแบบมาแย่มาก ข้อความเขียนชัดเจนว่า Use this iPhone to reset ดังนั้นคนที่กด Allow ก็น่าจะคิดว่าเป็นขั้นตอนที่ให้ตั้งรหัสผ่านใหม่บนอุปกรณ์เครื่องเดียวกัน
    แต่ถ้ามันเด้งบน Apple Watch ด้วย ก็แปลว่าไม่ใช่แค่การมิเรอร์การแจ้งเตือนสายโทรศัพท์แบบธรรมดาที่ข้ามโหมดเงียบ จึงนึกภาพยากว่านี่ตั้งใจให้กด Allow บนนาฬิกา แล้วพิมพ์รหัสผ่านด้วยคีย์บอร์ดบนนั้น

    • ผมมองว่าการกด Allow เองไม่มีความเสี่ยง หลังจากนั้นยังมีการยืนยันแบบ 2 ขั้นตอน และยังต้องเลือกรหัสผ่านใหม่ด้วย ความเสี่ยงทั้งหมดมาจากการคุยโทรศัพท์ ซึ่งดูเหมือนเป็นการพยายามหลอกเอาโค้ดยืนยันแบบ 2 ขั้นตอน
    • ฟีเจอร์นี้ช่วยชีวิตจริง ๆ ตอนคุณแม่วัย 90 ของผมลืมรหัสผ่าน iMac ผมเองก็ลืมไปแล้วว่าเคยสร้างบัญชีผู้ดูแลระบบบัญชีที่สองไว้
      แม้จะถูกล็อกออกจาก iMac แต่ยังเข้า iPad ได้ เลยรีเซ็ตได้ แม่ผมลืม PIN ของ iPad ด้วย แต่โชคดีที่หาโน้ตที่จดไว้เจอ

  • ตั้งแต่จุดหนึ่ง ผมคิดว่าการที่อุปกรณ์ Apple สามารถแสดง prompt แบบนี้ได้เองก็น่าจะเป็นปัญหาแล้ว เรื่อง prompt ตั้งค่าอุปกรณ์ใหม่ผ่าน Bluetooth ที่เคยเป็นประเด็นเมื่อปีก่อนก็เหมือนกัน
    แน่นอนว่าการรีเซ็ตรหัสผ่านต้องทำได้ แต่จากในบทความ ดูเหมือนว่าจะสามารถส่ง คำขอรีเซ็ตรหัสผ่าน 30 ครั้ง ภายในเวลาอันสั้นได้
    ในสถานการณ์ที่ไม่ได้มีเจตนาร้าย มันจะมีเหตุผลอะไรที่ต้องเกิดแบบนั้นกัน?

    • ไม่มีหรอก แค่ไม่ได้เพิ่ม logic สำหรับตรวจสอบแบบนั้นเข้าไปเท่านั้นเอง แต่ก็ไม่ได้แปลว่าต้องด่า Apple อย่างรุนแรงเสมอไป
      พอย้อนกลับไปดูมันก็ดูเป็นเรื่องชัดเจน แต่ท่ามกลาง sprint, OKR/KPI และเอกสารประกอบการเลื่อนตำแหน่ง ฟีเจอร์ที่ไม่หวือหวาแบบนี้หลุดรอดไปได้ง่าย

  • สงสัยว่าอีกนานแค่ไหน เป้าหมายอีกอย่างของสายโทรศัพท์แบบนี้จะกลายเป็นขั้นตอนเก็บตัวอย่างเสียงให้มากพอสำหรับ การโคลนเสียง ที่น่าเชื่อถือ

    • มีรูปแบบย่อยอยู่แล้วที่ทำให้ใครสักคนพูดว่า “yes” แล้วเอาเสียงบันทึกนั้นไปใช้เป็น “หลักฐาน” ว่ายินยอมในสัญญาบางอย่าง
    • ผมว่าให้พูด “hello?” 100 ครั้งก็คงยังโคลนเสียงไม่ได้ แต่การโคลนเสียงก็ไม่จำเป็นต้องใช้ MFA bombing เสมอไป
      แค่โทรไปด้วยเหตุผลที่ดูสมเหตุสมผลแล้วทำให้คุยนาน ๆ ก็พอ เช่น “เป็นคนขับ Uber/Doordash ครับ”, “โทรจากโรงพยาบาล/โรงเรียน/ศูนย์เด็กเล็กครับ” ประมาณนี้
    • นี่จึงเป็นอีกเหตุผลหนึ่งที่ไม่ควรใช้สายโทรศัพท์หรือหมายเลขโทรศัพท์เพื่อยืนยันตัวตนผู้ใช้ สิ่งที่เรียกว่า การระบุตัวตนด้วยเสียง หรือ voice ID ก็ถูกเจาะได้ง่ายด้วยการโคลนเสียงขั้นสูง

  • งงอยู่ ถ้ากด Allow แล้วหลังจากนั้นเกิดอะไรขึ้นกันแน่? ไม่แน่ใจว่า Apple จะแสดงแบบฟอร์มรีเซ็ตรหัสผ่านให้คนที่อยู่บนเว็บ iForgot เห็น หรือแสดงเฉพาะบนอุปกรณ์เท่านั้น

    • ดูเหมือนว่าบนอุปกรณ์จะแสดง รหัสยืนยัน จากนั้นมิจฉาชีพก็จะโทรมาเพื่อหลอกถามรหัสนั้น

  • มีส่วนที่บอกว่า iPhone แสดงเหมือนเป็นสายจาก Apple Support และหมายเลขก็เป็นเบอร์ฝ่ายบริการลูกค้าจริงของ Apple คือ 1-800-275-2273
    ผมก็เคยเจอครั้งเดียวพอดี คือสองวันหลังจากสั่ง MacBook เครื่องใหม่จาก Apple Store ออนไลน์ ระหว่างรอของส่งมาเลยเกือบจะรับสายแล้ว แต่ผมเลือกโทรหา Apple Support เองเพื่อถามว่าเมื่อกี้ได้โทรมาหรือไม่ และได้รับคำตอบว่าไม่ได้โทร

    • สงสัยว่าสั่งหลังรุ่นใหม่เพิ่งออกพอดีหรือเปล่า หรือแค่บังเอิญโชคดีที่โทรมาหลังสั่งของพอดี

  • Instagram ก็มีปัญหาเดียวกัน บริษัทใหญ่ขนาดนี้ไม่มี rate limit ใน กระบวนการกู้คืนบัญชี นี่ไม่น่าเชื่อ

    • ปัญหาของการเพิ่ม rate limit โดยเฉพาะถ้าตั้งขีดจำกัดแบบรวมต่อผู้ใช้ คือคราวนี้จะเกิดปัญหา denial of service แบบใหม่ ที่ทำให้คนกู้คืนบัญชีของตัวเองไม่ได้

  • ตั้งแต่ไม่กี่วันก่อน บัญชี LinkedIn ของผมก็เจอแบบนี้เหมือนกัน ทุกไม่กี่ชั่วโมงจะมีอีเมลที่มี ลิงก์ล็อกอินวิเศษ ส่งมา ดูเหมือนถูกส่งมาจากหลายภูมิภาคทั่วโลกและดูถูกต้องตามกฎหมาย

    • ผมก็เจอเมื่อวาน ตอนแรกตกใจ แต่พบว่าแค่รู้ email ที่ผูกกับบัญชี LinkedIn ก็ขอรหัสผ่านใช้ครั้งเดียวได้แล้ว ดังนั้นรหัสผ่านไม่ได้รั่ว
      ถึงอย่างนั้นก็ยังเปลี่ยนทั้งรหัสผ่านและอีเมลหลัก แล้วลบการเปิดเผยอีเมลออกจากการตั้งค่าความเป็นส่วนตัวของ LinkedIn ด้วย
    • ผมก็ได้รับแบบนี้เหมือนกัน ในเมื่อใช้การยืนยันตัวตนสองขั้นตอนหลายรูปแบบอยู่แล้ว เช่น TOTP และ Passkey ถ้าปิดฟีเจอร์นี้ในบัญชีได้ก็คงดี
    • ของผมเป็น Uber

  • ผมไม่ชอบ push MFA มาตั้งแต่ตอนมันออกมาแรก ๆ แล้ว
    ไม่รู้ว่าการพิมพ์โค้ดหนึ่งชุดมันยากขนาดนั้นเลยหรือ สุดท้ายพอพยายามกัน push bombing ก็ต้องกลับไปเป็น push notification ที่ขอให้กรอกโค้ดอยู่ดี

    • สำหรับ Apple ID MFA สามารถใช้ HSM แทนได้ ผมเองก็มี YubiKey 3 อัน วางไว้หลายที่เพื่อจุดประสงค์นี้
      https://support.apple.com/en-gb/HT213154
    • อย่างน้อยสำหรับการล็อกอิน iCloud ส่วนการรีเซ็ตรหัสผ่านเป็นแบบเดียวกันไหมขี้เกียจเช็ก แต่การกด Allow ไม่ได้อนุญาตให้ล็อกอินทันที แค่แสดงรหัส 6 หลักที่ต้องนำไปกรอกตอนล็อกอินเท่านั้น