ข้ออ้างว่าอาจปิดใช้งานบัญชี WhatsApp ได้ด้วยอีเมลเพียงอย่างเดียว

 (twitter.com/JakeMooreUK)
1 คะแนน โดย GN⁺ 2023-07-18 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • มีข้ออ้างถูกโพสต์บน Hacker News ว่าสามารถปิดใช้งานบัญชี WhatsApp ได้เพียงแค่ส่งอีเมล และ Jake Moore ระบุว่าเขายืนยันแล้วว่าใช้ได้กับอุปกรณ์ทดสอบ
  • ขอบเขตที่ยืนยันได้มีเพียงอุปกรณ์ทดสอบ 1 เครื่องเท่านั้น และเนื้อหาที่ให้มาไม่ได้ระบุว่าสามารถทำซ้ำกับบัญชีจริงหรือในหลายสภาพแวดล้อมได้หรือไม่
  • เนื้อหาที่เผยแพร่ไม่ได้รวมขั้นตอนการทำซ้ำ เช่น ผู้รับอีเมล รูปแบบคำขอ หรือข้อมูลบัญชีที่จำเป็น
  • ยังไม่ยืนยันวิธีการกู้คืนหลังการปิดใช้งาน ระยะเวลาดำเนินการ หรือการตอบสนองจากฝั่ง WhatsApp
  • จากข้อมูลที่เปิดเผยเพียงอย่างเดียว ยังยากที่จะประเมินขอบเขตผลกระทบหรือเงื่อนไขได้ และข้อเท็จจริงที่แน่ชัดจำกัดอยู่ที่คำกล่าวสั้น ๆ ว่า “ใช้ได้กับอุปกรณ์ทดสอบ”

สิ่งที่ยืนยันได้จากโพสต์

  • Jake Moore โพสต์บน X ว่า “ผมลองกับอุปกรณ์ทดสอบของผมแล้ว และมันใช้ได้”
  • หัวข้อใน Hacker News สรุปว่าเพียงแค่ส่งอีเมลก็สามารถปิดใช้งานบัญชี WhatsApp ของใครก็ได้
  • โพสต์มีลิงก์แนบไว้ แต่จากเนื้อหาที่ให้มาเพียงอย่างเดียว ไม่สามารถตรวจสอบรายละเอียดของลิงก์ได้

เงื่อนไขที่ยังไม่ยืนยัน

  • ไม่มีการให้ขั้นตอนการทำซ้ำ
    • ต้องส่งไปยังอีเมลใด
    • ต้องใช้ข้อความหรือรูปแบบแบบใด
    • ต้องใช้ข้อมูลใดในการระบุบัญชีเป้าหมาย
  • ไม่ได้ระบุขอบเขตผลกระทบเช่นกัน
    • สามารถทำซ้ำกับบัญชีอื่นนอกเหนือจากอุปกรณ์ทดสอบได้หรือไม่
    • มีข้อจำกัดตามประเทศ หมายเลข หรือสถานะบัญชีหรือไม่
    • สามารถกู้คืนหลังถูกปิดใช้งานได้หรือไม่
  • จากโพสต์นี้เพียงอย่างเดียว ยังประเมินเงื่อนไขหรือความร้ายแรงของช่องโหว่ได้ยาก และสาระสำคัญที่ตรวจสอบได้คือกรณีที่ทำสำเร็จบนอุปกรณ์ทดสอบ

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2023-07-18
ความคิดเห็นจาก Hacker News

  • ดูเป็นลำดับเหตุการณ์ที่พอคาดได้ในระดับหนึ่ง เลยสงสัยว่าทางเลือกที่เหมาะสมคืออะไร
    ความไม่สะดวกของบัญชีที่ถูกปิดใช้งานนั้นค่อนข้างน้อย เพราะกลับมาได้ด้วย โค้ดยืนยันทาง SMS เพียงตัวเดียว และก็แค่รับข้อความที่ค้างอยู่
    คนที่ทำโทรศัพท์หายอาจไม่มีวิธีที่ดีในการพิสูจน์ตัวตนอย่างรวดเร็วอยู่แล้ว เพราะในโมเดลของ WhatsApp ตัวตนผูกกับหมายเลขโทรศัพท์
    ดูเหมือนว่ากรณีที่ต้องรีบตัดสแปมเมอร์ โจร หรือแฮกเกอร์ออกไป จะมีมากกว่ากรณีที่ฟีเจอร์นี้ถูกนำไปใช้ในทางที่ผิดมาก
    ถ้าการใช้ฟีเจอร์นี้ในทางที่ผิดกลายเป็นปัญหาซ้ำๆ ผมคิดว่า WhatsApp ก็น่าจะปรับขั้นตอนให้เพิ่มภาระกับผู้ใช้มากขึ้น
    ส่วนเรื่องลบอัตโนมัติน่ากังวลกว่าเล็กน้อย แต่ถ้าคุณไม่ได้ใช้ WhatsApp เป็นเวลา 30 วัน บัญชีและการเป็นสมาชิกกลุ่มอาจไม่ได้สำคัญขนาดนั้นอยู่แล้ว การสำรองข้อมูลก็เป็นแบบอัตโนมัติและแยกต่างหาก และการสร้างบัญชีใหม่ด้วยเบอร์เดิมก็ทำได้ง่าย
    ประเด็นสำคัญอาจเป็นว่า “แอปควรเลิกใช้ SMS และหมายเลขโทรศัพท์เป็นแหล่งยืนยันตัวตน” ซึ่งผมก็เห็นด้วยโดยรวม แต่ดูเหมือนคอมเมนต์ส่วนใหญ่ไม่ได้พูดถึงประเด็นนั้น WhatsApp เองก็เป็นแอปตัวอย่างสำคัญที่ประสบความสำเร็จบนแนวคิดนี้โดยตรง

    • นี่แย่มาก ไม่ควรมีทางที่บุคคลซึ่งไม่เกี่ยวข้องจะส่งผลต่อบัญชีคนอื่นที่ตัวเองไม่ได้เป็นเจ้าของได้ ยิ่งถึงขั้น ปิดใช้งาน ได้ยิ่งไม่ควร
      ลองนึกภาพว่าใครสักคนทำระบบอัตโนมัติเพื่อปิดใช้งานบัญชีเป้าหมายจำนวนมากแบบเป็นปฏิปักษ์
    • ถ้ากำลังเดินทางและใช้ SIM อื่นอยู่ โค้ดยืนยันทาง SMS เพียงตัวเดียว ก็ไม่ได้เข้าถึงง่ายเสมอไป
    • ผมเคยออฟไลน์อยู่หลายสัปดาห์พอสมควร แบบนั้นก็เกือบเข้าเงื่อนไขที่ทั้งบัญชีจะถูกลบไปเลย
      อยากให้มีช่วงที่ออฟไลน์ได้เป็นหลายเดือนเหมือนกัน
    • ถ้ามีคนรันระบบอัตโนมัติแบบง่ายๆ เพื่อปิดใช้งานบัญชีทุกชั่วโมง ความไม่สะดวกนั้นก็ไม่เล็กอีกต่อไป
    • ผมว่าทางเลือกน่าจะเป็นแบบนี้ 1. ยืนยันตัวตนกับผู้ให้บริการเครือข่ายและรับ SIM ใหม่ พร้อมปิดใช้งาน SIM เดิม 2. ใส่ SIM ใหม่ในโทรศัพท์อีกเครื่องแล้วกู้บัญชี WhatsApp กลับมา
      นี่น่าจะเป็นวิธีกู้คืนมาตรฐานของแอปที่พึ่งพาหมายเลขโทรศัพท์
      การขอ SIM ใหม่ใช้เวลานานกว่าส่งอีเมล แต่ก็อย่างน้อยไม่มี ช่องให้ถูกนำไปใช้ในทางที่ผิด ได้ง่ายแบบนี้

  • หลายปีก่อนผมเคยซื้อสมาชิก Audible เป็นของขวัญให้พ่อ เพราะเป็นของขวัญเลยสมัครด้วยอีเมลของผมก่อน แล้วค่อยเปลี่ยนเป็นที่อยู่ของพ่อในวันเกิด แต่เพียงเพราะเคยใช้อีเมลนั้น ผมกลับเข้าไปอยู่ในบัญชี Amazon ของพ่อได้ somehow ดูเหมือนลอจิกฝั่งแบ็กเอนด์จะทำให้ถูกต้องตั้งแต่ต้นได้ยาก
    อีกครั้งหนึ่งผมคุยกับ CTO ของสหกรณ์เครดิตแห่งหนึ่ง เขาเล่าว่ามีคนสุ่มใส่เลขบัญชีและกรอกรหัสผ่านผิดสามครั้ง เพื่อบล็อกการเข้าถึงบัญชีของคนอื่น ตอนนั้นสหกรณ์มีนโยบายว่าต้องโทรศัพท์มาเพื่อปลดล็อก และมันสร้างปัญหาใหญ่จริงๆ ในช่วงสุดสัปดาห์เวลาคนต้องใช้เงิน

    • พอพูดถึงขั้นตอนบัญชี Amazon แล้ว มีปัญหาที่น่าหงุดหงิดมาก somehow ผมสร้าง บัญชี Amazon สองบัญชี ด้วยอีเมลเดียวกันได้ แต่ใช้รหัสผ่านต่างกัน
      ประวัติการสั่งซื้อ ที่อยู่ ฯลฯ ต่างกันหมด แต่ชื่อบัญชีกลับเหมือนกัน เลยมีบางครั้งที่ผมงงว่าทำไมออร์เดอร์ที่ตัวเองทำถึงไม่แสดง
      ที่น่าสนใจคือ ถ้าพยายามเปลี่ยนรหัสผ่านของบัญชีหนึ่งให้ตรงกับอีกบัญชีหนึ่ง จะทำไม่ได้ อันนี้ค่อนข้างน่ากังวล
    • สัปดาห์ก่อนที่ Bismarck, North Dakota มีคนที่ชื่อเหมือนผมซื้อ iPhone ใหม่ เขาให้อีเมล iCloud ของผมกับ AT&T ซึ่งเป็นรูปแบบ firstname.lastname น่าจะเป็นความผิดพลาดโดยสุจริต
      AT&T ก็ขอให้อีเมล ‘ของผม’ ยืนยันที่อยู่อีเมลตามขั้นตอน และผมก็ไม่ได้ยืนยัน
      แต่ถึงอย่างนั้นผมก็ยังได้รับ อีเมลบัญชี ของคนนั้นอยู่เรื่อยๆ เลยไม่เข้าใจว่าการยืนยันนั้นมีความหมายอะไร
    • เพื่ออ้างอิงไว้ก่อน นั่นไม่ใช่การพยายามล็อกคนออกจากระบบ แต่เป็น การเจาะบัญชีแบบกระจาย
      สำหรับขโมยแล้ว ไม่สำคัญหรอกว่าเขาจะขโมยเงินของใคร วิธีคือไล่ลองอะไรอย่าง “password” กับทุกบัญชีไปเรื่อยๆ จนกว่าจะเจอบัญชีที่เข้าได้
    • หลายปีก่อนตอนอยู่บ้านแม่กับครอบครัว ผมสร้างบัญชีทดลองใช้ Netflix ขึ้นมา ตั้งใจทำให้แม่ใช้ เลยตั้งชื่อไว้ว่า ‘grandma’ และสุดท้ายผมก็เป็นคนจ่ายเงินเอง แม่ไม่เคยจ่ายเองเลย
      แต่พอไม่ได้มีพวกเราอยู่ด้วย แม่ก็แทบไม่ค่อยใช้ แล้วกลับไปดูทีวีแบบเดิม ส่วนภรรยาและลูกๆ ชอบ Netflix มาก เลยกลายเป็นส่วนหนึ่งของชุดสตรีมมิงของบ้านเรา
      สุดท้ายมันเลยกลายเป็นบัญชี Netflix ที่เป็นชื่อคนอื่น แม้จะยังเป็นคนในครอบครัวก็ตาม แม่ได้รับอีเมลว่าใครบางคนล็อกอินเข้าบัญชีอยู่เรื่อยๆ และผมก็ตอบทุกครั้งว่า “ใช่ คนใดคนหนึ่งในบ้านเรานี่แหละ”
      สุดท้ายผมเลยเปลี่ยนอีเมลบัญชีเป็นของตัวเอง ตอนนี้ Netflix ก็เลยเรียกผมว่า ‘grandma’ ตลอด ทั้งที่จริงเวลาที่แม่ดู Netflix คือเฉพาะตอนพวกเราอยู่แถวนั้น ซึ่งก็คือตอนที่เด็กๆ ดูนั่นเอง
      เมื่อไม่กี่วันก่อน ภรรยาผมเจอข้อผิดพลาดประมาณว่ากำลังตรวจสอบว่าบัญชีนี้เป็นของเราหรือไม่ และหลังจากนั้นก็ดูเหมือนปัญหานี้กำลังจะย้อนกลับมาเล่นงาน
      การชำระเงินก็ทำได้แค่ด้วยบัตรของขวัญหรือโอนเงินผ่านธนาคารแบบแมนนวลเท่านั้น ระบบตัดเงินอัตโนมัติใช้ไม่ได้และบัตรก็ถูกปฏิเสธทุกครั้ง พูดตรงๆ คือ ฝ่ายบริการลูกค้า แย่มาก ภรรยาผมพยายามแก้หลายครั้งแล้วแต่ก็ยังพังอยู่
    • ผมอยู่ฝั่งตรงข้าม เลยค่อนข้างเพลิดเพลินกับเรื่องแบบนี้นิดหน่อย ผมมีอีเมลแบบ firstlast@gmail.com ที่อิงชื่อจริง และชื่อผมก็ค่อนข้างไม่ซ้ำ
      บางครั้งมันก็น่าหงุดหงิดและน่ากังวลที่แค่ค้นหา Google ด้วยชื่อก็เจอข้อมูลส่วนตัวมากมายที่ผมอยากให้หาเจอยาก
      แต่อย่างน้อยก็ไม่ต้องได้รับอีเมลสารพัดจากคนแปลกหน้าที่กรอกอีเมลผิดจากที่ไหนสักแห่ง

  • ถ้าอันนี้ใช้ได้กับฐานผู้ใช้ทั้งหมดของ Meta ก็คงดี คงได้ปลดปล่อยโลกเลย คงเหมือนฉากใน Independence Day ที่อัปโหลดไวรัสเข้าไปในยานแม่แล้วมันตายหมด

    • ถ้าเป็นหนึ่งในแอปโซเชียลมีเดียของ Meta ผมก็พอเข้าใจว่าทำไมถึงรู้สึกแบบนั้น แต่ WhatsApp เป็นหนึ่งในแอปส่งข้อความที่ใหญ่ที่สุดในหลายประเทศ
      มันอาจช่วยโค่นแพ็กเกจ SMS ราคาแพงของผู้ให้บริการเครือข่าย และบีบให้ค่า SMS ถูกลงด้วยซ้ำ อันที่จริง WhatsApp อาจเป็นสิ่งที่ Meta มอบคุณค่าให้โลกได้ดีที่สุด และทำให้โลกใกล้กันมากขึ้น
    • ในโลกอุดมคติก็คงใช่ แต่ในความเป็นจริงมันคงเป็นแค่การล่มระยะสั้น น่าจะใช้เวลารวมราว 10 ชั่วโมงในการย้อนฐานข้อมูลและอุดช่องโหว่
    • อุปมาให้ดีกว่านี้คงเป็น Fight Club แบบไม่มีการระเบิด

  • เรื่องนี้ทำให้นึกถึงระบบของภาครัฐที่สามารถล็อกผู้ใช้บางคนได้ถ้ากรอกรหัสผ่านผิดหลายครั้ง

    • อีกวิธีที่น่ารำคาญมากคือเวลาใช้ “ลืมรหัสผ่าน” แล้วระบบเปลี่ยนรหัสผ่านให้พร้อมส่งสำเนาไปทางอีเมล แบบนี้คนที่มาก่อกวนก็แค่กด “ลืมรหัสผ่าน” ซ้ำ ๆ เพื่อบังคับให้รหัสผ่านถูกเปลี่ยนได้เรื่อย ๆ
    • เรื่องแบบนี้ไม่ได้เกิดแค่กับระบบรัฐเท่านั้น กรณีเดียวที่ฉันเคยเจอคือระบบของสถาบันการเงิน
      ตอนจะรีเซ็ตต้องไปถึงสาขาด้วยตัวเอง น่าอึดอัดมาก
    • มีเว็บแบบนี้เยอะเกินไป

  • มีเว็บเปรียบเทียบประกันแห่งหนึ่งในประเทศเรา แค่กรอกเบอร์โทรลงไป เบอร์นั้นก็จะถูกใส่ในรายชื่อให้โทรมาขายประกันวันละ 5 ครั้งโดยไม่ตรวจสอบเบอร์เลย บ้าบอสิ้นดี
    เป็นสิ่งที่อยากให้เกิดกับศัตรูตัวฉกาจที่สุดเท่านั้น แต่ในความเป็นจริงกลับทำได้จริง

  • เห็นได้ชัดว่าโจทย์ LeetCode ไม่ได้สอนวิธีหลีกเลี่ยงกระบวนการกู้คืนที่โง่ที่สุดในโลก

    • มันอาจจะโง่ แต่ล็อกบัญชีได้ใน O(1)
    • ถึงอย่างนั้นก็คงมีใครสักคนได้เลื่อนตำแหน่งจากอิทธิพลของการสร้างบริการดูแลง่ายที่มีประวัติล่ม 0%

  • เพื่อนของฉันหลายคนโดนแฮ็ก WhatsApp แบบเต็ม ๆ มาแล้ว ถ้าแฮ็กเกอร์ส่งคำขอกู้คืนรัว ๆ ระบบจะโทรหาผู้เสียหาย และถ้าผู้เสียหายไม่รับสาย รหัสกู้คืนก็จะไปอยู่ในวอยซ์เมล
    แล้วแฮ็กเกอร์ก็เข้าถึงวอยซ์เมลได้ แม้จะมีรหัสผ่าน แต่คนจำนวนมากก็ใช้วันเกิด, 1234, 0000 หรือ 4 หลักท้ายของเบอร์โทร พอเป็นแบบนั้นก็ได้สิทธิ์เข้าถึง WhatsApp
    แม้จะอ่านข้อความไม่ได้ แต่จะเห็นทุกกลุ่มที่สมัครอยู่และส่งข้อความไปในกลุ่มเหล่านั้นได้
    เปิดใช้การยืนยันตัวตนสองขั้นตอนของ WhatsApp ไว้จะกันเรื่องนี้ได้ทั้งหมด

    • บางระบบทุกวันนี้ยังไม่ถาม PIN ถ้าโทรมาจากโทรศัพท์ของเจ้าของเอง เพราะงั้นถ้าปลอมหมายเลขผู้โทรได้ ซึ่งทำได้ง่ายมาก ก็เข้าได้โดยไม่ต้องมีรหัสผ่าน
    • ฉันก็เคยโดน แต่โชคดีที่ฟีเจอร์PINของ WhatsApp กันไม่ให้แฮ็กเกอร์ไปต่อได้ มันอาจไม่ปลอดภัยเท่าการยืนยันตัวตนสองขั้นตอน แต่วันนั้นมันช่วยฉันไว้ได้ แนะนำมาก
    • นี่เป็นข้อดีแบบไม่ตั้งใจอีกอย่างของการพยายามยึดติดกับ Google Voice เอาไว้สุดชีวิต เพียงแต่ฉันไม่ได้ใช้ WhatsApp
    • ฉันเปิดการยืนยันตัวตนสองขั้นตอนของ WhatsApp ไว้แล้ว แต่พูดตามตรงว่ามันน่ารำคาญ เพราะแอปจะถามให้ยืนยัน PIN ใหม่ทุก ๆ สองสามวัน

  • สงสัยว่าตอนนี้มีใครทำสคริปต์ไล่หมายเลขโทรศัพท์ทั้งหมดเพื่อปิดใช้งานบัญชี WhatsApp ทุกบัญชีไปแล้วหรือยัง

    • สงสัยว่าถ้ามีคนที่เก่งมากในการป้อนข่าวให้สื่อ ซื้อ put option ไว้กองโต แล้วขายทันทีหลังข่าวออก จะกลายเป็นจังหวะทำกำไรได้หรือเปล่า
      Meta เป็นบริษัทใหญ่ขนาดนั้น ก็เลยน่าแปลกใจเหมือนกันถ้าค่า option premium จะต่ำกว่ามูลค่าที่รีดออกมาจากเรื่องนี้ได้ แต่อาจเป็นไปได้ก็ได้
    • น่าล่อใจมาก แต่เรื่องความเสี่ยงทางกฎหมายน่ากลัวเกินไป

  • นี่เหมาะสมอย่างยิ่งสำหรับกำจัดพวกมิจฉาชีพ

    • “อ้อ? เมื่อกฎหมายด่านสุดท้ายพังทลายลง และปีศาจหันกลับมาเล่นงานคุณ ตอนที่กฎหมายทั้งหมดล้มลงรอบตัวคุณ คุณจะไปซ่อนที่ไหนล่ะ, Roper?”
      — A Man for All Seasons, Robert Bolt, 1960

  • ถ้าอย่างนั้นก็ควรมีบริการแบบรวมศูนย์ที่ช่วยปิดบัญชีในนามของทุกคน เรียกว่าช่วยพวกเขาก็แล้วกัน