พบช่องโหว่ 'Pixnapping' บนแอนดรอยด์ เสี่ยงถูกขโมยวลีการกู้คืนคริปโตและรหัส 2FA

แพลตฟอร์มแอนดรอยด์ของกูเกิลถูกเปิดเผยว่ามีช่องโหว่ด้านความปลอดภัยใหม่ ซึ่งสามารถถูกใช้ในการ ‘ขโมยวลีการกู้คืนกระเป๋าเงินคริปโตและรหัสยืนยันแบบสองขั้นตอน (2FA)’ ได้ ช่องโหว่ใหม่นี้ใช้เทคนิคขั้นสูงในการดึงข้อมูล โดยอาศัยสีของ *พิกเซลเดี่ยว* บนหน้าจอเพื่อเข้าถึงข้อมูลลับ แทนที่จะใช้การเจาะระบบในรูปแบบทั่วไป

จากรายงานล่าสุดของกลุ่มนักวิจัยด้านความปลอดภัย ช่องโหว่ดังกล่าวถูกตั้งชื่อว่า ‘พิกซ์แน็ปปิง (Pixnapping)’ และถูกประเมินว่ามีขอบเขตผลกระทบกว้างกว่าที่คิด เนื่องจากไม่จำกัดแค่ภายในเบราว์เซอร์เท่านั้น แต่สามารถขยายผลไปยัง *แอปพลิเคชันกระเป๋าเงินคริปโต* และแอปอื่นๆ ที่ไม่ใช้เบราว์เซอร์ด้วย การโจมตีอาศัยอินเทอร์เฟซโปรแกรมประยุกต์ (API) ของแอนดรอยด์เพื่อสังเกตค่าพิกเซลที่แสดงบนหน้าจอ จนสามารถคาดเดาข้อมูลสำคัญได้

ลักษณะการโจมตีไม่ได้เกิดจากการเห็นข้อความโดยตรง แต่เป็นการซ้อนหน้าต่าง UI แบบโปร่งใสที่แฮกเกอร์สามารถควบคุมได้หลายชั้น ทำให้มองเห็นเพียงพิกเซลที่เลือกไว้บนหน้าจอ เมื่อแฮกเกอร์เปลี่ยนสีของพิกเซลนั้นซ้ำๆ และวัดระยะเวลาในการแสดงผลภาพ ก็สามารถวิเคราะห์และ ‘ประกอบคืน’ ข้อมูลที่ผู้ใช้กำลังดูอยู่ได้ทีละนิด

แม้ว่าการโจมตีในลักษณะนี้จะใช้เวลานานและซับซ้อน ทำให้ไม่เหมาะกับการขโมยข้อมูลที่แสดงผลบนหน้าจอเป็นเวลาสั้นๆ แต่หากเป้าหมายคือ *วลีการกู้คืนหรือโค้ดยืนยัน 2FA* ซึ่งมักจะแสดงผลบนหน้าจอเป็นเวลานานกว่า โอกาสในการเจาะระบบสำเร็จก็จะเพิ่มขึ้นอย่างมาก ความเห็นจากนักวิจัยชี้ว่า นี่เป็นปัญหาที่ *ระบบความปลอดภัยแบบเดิมไม่สามารถป้องกันได้โดยง่าย*

ผู้ใช้ควรระมัดระวังการเปิดเผยข้อมูลบนหน้าจอในระยะเวลานาน หลีกเลี่ยงการติดตั้งแอปจากแหล่งที่ไม่เป็นทางการ และปฏิบัติตามแนวทางการรักษาความปลอดภัยอย่างเคร่งครัด เพื่อลดความเสี่ยงจากภัยคุกคามรูปแบบใหม่เช่นนี้