พนักงาน T-Mobile ทั่วประเทศได้รับข้อเสนอเป็นเงินสดเพื่อสลับ SIM อย่างผิดกฎหมาย

• พนักงาน T-Mobile กำลังได้รับข้อเสนอให้รับเงินสดแลกกับการสลับ SIM อย่างผิดกฎหมาย

  • ผู้ไม่หวังดีกำลังติดต่อพนักงาน T-Mobile และเสนอเงิน $300 ต่อการสลับ SIM หนึ่งครั้ง
  • ข้อเสนอนี้ขอให้ติดต่อกลับผ่าน Telegram โดยใช้หมายเลขจากหลายรหัสพื้นที่ และอ้างว่าได้เบอร์มาจากไดเรกทอรีพนักงานของ T-Mobile
  • ตามโพสต์หลายรายการบน Reddit และบุคคลที่ส่งข้อมูลให้ The Mobile Report ระบุว่าพนักงาน T-Mobile ทั่วประเทศได้รับผลกระทบ

• คำถามเกี่ยวกับเส้นทางการรั่วไหลของข้อมูลส่วนบุคคลของพนักงาน

  • ประเด็นใหญ่ที่สุดคือผู้ไม่หวังดีได้หมายเลขโทรศัพท์ของพนักงานมาอย่างไร
  • ในบรรดาพนักงานที่ได้รับผลกระทบ มีบางส่วนเป็นอดีตพนักงานที่ไม่ได้ทำงานกับบริษัทมาหลายเดือนแล้ว จึงมีความเป็นไปได้ว่าข้อมูลเป็นของเมื่อหลายเดือนก่อน
  • เนื่องจากดูเหมือนจะมีพนักงานองค์กรรวมอยู่ด้วย จึงน่าจะเป็นแหล่งข้อมูลคนละชุดกับเหตุข้อมูลรั่วของ Connectivity Source
  • T-Mobile ตอบว่าไม่มีการเจาะระบบ และกำลังสืบสวนข้อความที่ชักชวนให้ทำผิดกฎหมายเหล่านี้ต่อไป

• ผลกระทบต่อลูกค้าและมาตรการป้องกัน

  • การที่อาชญากรยังมองว่า SIM swapping เป็นช่องทางทำเงิน แปลว่าความพยายามป้องกันของบริษัทต่าง ๆ ยังไม่เพียงพอ
  • เมื่อมีการยื่นข้อเสนอให้พนักงานจำนวนมาก ก็มีโอกาสที่บางคนจะตอบรับ ทำให้บัญชีลูกค้าและเงินทุนเสี่ยงตกอยู่ในอันตราย
  • ลูกค้าสามารถป้องกันตัวได้ด้วยการใช้การยืนยันตัวตนแบบสองขั้นตอนผ่านแอปแทน SMS และเปิดใช้ฟีเจอร์ป้องกัน SIM ในบัญชี T-Mobile
  • หากธนาคารหรือกระเป๋าเงินคริปโตของคุณรองรับเฉพาะ SMS ก็ควรพิจารณาเปลี่ยนบริการ

• หวังว่านี่จะไม่ใช่ข้อมูลรั่วไหลครั้งใหม่จากผู้ให้บริการเครือข่ายที่มีชื่อเสียเรื่องข้อมูลรั่วในช่วงหลัง

  • สถานการณ์ที่ดีที่สุดคือเรื่องนี้เชื่อมโยงกับเหตุข้อมูลรั่วในเดือนกันยายน แต่ก็ยังมีความเป็นไปได้ว่าเป็นการรั่วไหลครั้งใหม่
  • The Mobile Report ระบุว่าจะอัปเดตต่อไปเมื่อมีข้อมูลใหม่

ความเห็นของ GN⁺

• SIM swapping ไม่ใช่ปัญหาใหม่ แต่ความพยายามอย่างเป็นระบบที่พุ่งเป้าไปยังพนักงานของผู้ให้บริการเครือข่ายถือว่าไม่ปกติ ดูเหมือนว่าจำเป็นต้องเสริมมาตรการความปลอดภัยของผู้ให้บริการต่อภัยคุกคามจากคนใน
• ลูกค้าของผู้ให้บริการรายใหญ่ทั้ง 3 ส่วนมากยังใช้ SMS สำหรับการยืนยันตัวตนแบบสองขั้นตอน จึงมีขนาดความเสียหายที่อาจเกิดขึ้นสูงมาก นอกจากการสร้างความตระหนักให้ลูกค้าแล้ว ยังจำเป็นต้องเร่งจัดทำมาตรการทางเทคนิคเสริมด้วย
• ช่วงหลัง T-Mobile มีความน่าเชื่อถือลดลงจากเหตุข้อมูลลูกค้ารั่วบ่อยครั้ง จึงคาดว่าเหตุครั้งนี้จะส่งผลกระทบไม่น้อย จำเป็นต้องมีการสอบสวนอย่างละเอียดและจัดทำมาตรการป้องกันการเกิดซ้ำ
• สำหรับเส้นทางที่ข้อมูลพนักงานรั่วไหล ยังตัดความเป็นไปได้ของการกระทำจากคนในทิ้งไม่ได้ โดยเฉพาะเมื่อพิจารณาว่ามีข้อมูลของอดีตพนักงานที่ย้ายงานไปแล้วรวมอยู่ด้วย จึงมีจุดที่น่าสงสัย
• ไม่ควรมองว่าเป็นเพียงปัญหาระดับผู้ให้บริการเครือข่ายเท่านั้น แต่ควรมีการกำกับดูแลทางกฎหมายต่อ SIM swapping และเพิ่มระดับโทษให้สูงขึ้น เพราะเมื่อเทียบกับขนาดความเสียหายแล้ว บทลงโทษยังเบาเกินไปจนกลายเป็นแรงจูงใจของอาชญากรรม

[GN⁺]

ความคิดเห็นบน Hacker News

• การที่ T-Mobile ส่ง SMS ปลอมเพื่อไล่พนักงานออกนั้นเป็นเรื่องผิดจริยธรรมและอาจก่อให้เกิดข้อถกเถียงได้
• จากเหตุข้อมูลรั่วไหลของ T-Mobile เมื่อไม่นานมานี้ ทำให้อาชญากรได้หมายเลขโทรศัพท์ของพนักงานจำนวนมาก และเกิดเทคนิคการโจมตีแบบใหม่เพื่อชักจูงให้เกิดการสลับ SIM
• การแก้ปัญหา SIM สลับจำเป็นต้องเพิ่มความเข้มงวดของขั้นตอนยืนยันตัวตนลูกค้า แต่ในสหรัฐฯ ไม่มีระบบบัตรประจำตัวที่ใช้กันอย่างทั่วถึง จึงทำได้ยาก
• มีปัญหาเชิงโครงสร้างที่หมายเลขโทรศัพท์กลายเป็นฐานความเชื่อถือของชีวิตดิจิทัล และการปรับปรุงในระดับ OS เช่น Passkey อาจช่วยได้
• SMS OTP ยังถูกใช้อย่างแพร่หลาย ทั้งที่เท่ากับเปลี่ยนไปใช้ช่องทางโจมตีที่อ่อนแอกว่าเดิม
• FCC มีแผนบังคับใช้กฎป้องกันการสลับ SIM ตั้งแต่เดือนกรกฎาคม 2024 แต่ยังไม่แน่ชัดว่าจะป้องกันการโจมตีจากคนในได้หรือไม่
• จำเป็นต้องมีนิยามทางกฎหมายและมาตรฐานของ MFA โดยควรจัด SMS เป็น 2SA และจำกัด MFA ให้เป็นวิธีการยืนยันตัวตนด้วยฮาร์ดแวร์
• ค่าจ้างที่ต่ำของเจ้าหน้าที่บริการลูกค้าฝั่งผู้ให้บริการโทรคมนาคม อำนาจที่มากเกินไป และการควบคุมสิทธิ์เข้าถึงที่อ่อนแอ ล้วนเป็นสาเหตุของการโจมตีจากคนใน
• ต่อให้แก้ปัญหา SIM ได้แล้ว ผู้โจมตีก็จะมองหาช่องโหว่อื่นอยู่ดี จึงจำเป็นต้องยกระดับความปลอดภัยอย่างต่อเนื่อง
• อาจพิจารณาแนวทางที่ให้เปลี่ยนไปใช้ SIM ใหม่ได้ก็ต่อเมื่อ SIM เดิมออฟไลน์แล้วเท่านั้น และต้องเป็นกรณีที่ผู้ใช้ยินยอมไว้ล่วงหน้า