ส่งข้อความนี้ให้คนรอบตัวคุณด้วย ใครก็ตามที่ใช้อินเทอร์เน็ต ซึ่งก็คือแทบจะทุกคน จำเป็นต้องรู้ว่ากำลังเกิดอะไรขึ้น และพวกเขาทำอะไรได้บ้างเพื่อปกป้องตัวเอง**
ตอนนี้ ในขณะที่คุณกำลังอ่านข้อความนี้ มีฝูง AI agent จำนวนมากที่กำลังพยายามเจาะเข้าเว็บไซต์ที่คุณใช้อยู่ ไม่ใช่แค่ตัวเดียว แต่เป็นจำนวนมาก
เรากำลังอยู่ท่ามกลางเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ที่ใหญ่ที่สุดในรอบหลายปี ผู้เชี่ยวชาญด้านความปลอดภัยบางคนเรียกมันว่า Black October ไปแล้ว
ผมไม่ได้เขียนเรื่องนี้มาเพื่อขู่ให้คุณกลัว หลายอย่างอยู่นอกเหนือการควบคุมของคุณ แต่มี สิ่งง่าย ๆ ที่คุณทำได้เพื่อปกป้องตัวเอง และการลงมือทำอะไรสักอย่างย่อมดีกว่าไม่ทำอะไรเลย
ทุกชั่วโมงในสัปดาห์นี้ มีการเปิดเผยการโจมตีครั้งใหม่ออกมาเรื่อย ๆ และเมื่อคุณอ่านบทความนี้จบ ก็น่าจะมีการโจมตีเพิ่มขึ้นมาอีกอย่างน้อยหนึ่งครั้ง
นี่คือสิ่งที่กำลังเกิดขึ้น และสิ่งที่คุณควรทำ
ตอนนี้เกิดอะไรขึ้น
ถ้าข้อมูลนี้เยอะเกินไปสำหรับตอนนี้ คุณสามารถข้ามไปที่หัวข้อ สิ่งที่ควรทำ ได้เลย แต่ผมแนะนำให้อ่านทั้งหมดจริง ๆ
เมื่อวานนี้ มีการเปิดเผยช่องโหว่ร้ายแรงใน PHP ซึ่งเป็นซอฟต์แวร์ที่อยู่เบื้องหลังเว็บไซต์ประมาณ 70%
ลองนึกภาพตามนี้: มีคนพบว่าตึกนับล้านแห่งในประเทศใช้กุญแจล็อกแบบเดียวกันที่พังอยู่แล้ว และตอนนี้ทุกคนรู้วิธีไขมัน บริษัทผู้ผลิตกุญแจได้ส่งชิ้นส่วนซ่อมแซมออกไปแล้ว แต่เจ้าของตึกแต่ละแห่งต้องเป็นคนติดตั้งเอง ซึ่งหลายคนยังไม่ได้ทำ
ภายในสองชั่วโมงหลังจากข่าวออก ผู้โจมตีได้ลองไขกุญแจนั้นไปแล้วหลายแสนครั้ง ตามที่ CEO ของ Cloudflare ระบุ และตอนนี้เพิ่มขึ้นเป็นหลักล้าน Amazon บอกว่ามีคนพยายามเจาะช่องโหว่นี้ตั้งแต่สี่วันก่อนจะมีการประกาศด้วยซ้ำ และหัวหน้าฝ่ายความปลอดภัยของพวกเขาก็กล่าวว่าช่องโหว่นี้ "กำลังถูกนำไปใช้ในวงกว้างแล้ว" (นี่คือ Amazon กำลังเตือนภัย ไม่ใช่ Amazon ถูกแฮ็ก) จนถึงตอนนี้ยังไม่มีใครยืนยันว่ามีการเจาะระบบสำเร็จผ่านช่องทางนี้ แต่ผู้โจมตีก็กำลังลองกันทุกที่ เพื่อเป็นการป้องกันไว้ก่อน องค์กรที่ดูแล Wikipedia ได้ปิดระบบบางส่วนลง และรัฐบาลในเนเธอร์แลนด์ ฟินแลนด์ เยอรมนี ฝรั่งเศส และประเทศอื่น ๆ ก็ สั่งปิดเว็บไซต์ชั่วคราว
นั่นเป็นแค่เรื่องเดียว และเป็นเพียงยอดภูเขาน้ำแข็งเท่านั้น ผมขอเล่าเหตุการณ์ใหญ่ ๆ บางส่วนให้ฟัง เพราะถ้าผมลิสต์มาทั้งหมด คุณคงต้องนั่งอ่านกันหลายชั่วโมง
- Microsoft ระบุว่า กลุ่มแฮ็กเกอร์ที่มีความเชื่อมโยงกับรัฐจีนได้ใช้เครื่องมือแฮ็กที่ขับเคลื่อนด้วย AI พยายามเจาะระบบ กว่า 2,000 องค์กร ผ่านบริการสำรองข้อมูลที่บริษัทไอทีพึ่งพา
- แพลตฟอร์มคลาวด์ที่มีนักพัฒนาใช้งานราวสองล้านรายแจ้งว่า คีย์ลับของลูกค้าอาจถูกเข้าถึง เพื่อนของผมคนหนึ่งเพิ่งโดนคนดูดเงินออกจากบัญชีผ่านแพลตฟอร์มเหล่านี้เมื่อเช้านี้เอง
- ธนาคารที่ใหญ่ที่สุดของอินเดียแจ้งว่า ข้อมูลส่วนบุคคลของลูกค้าเกือบ 3,900 ราย หลุดไปอยู่บน Dark Web
- แก๊งอาชญากรใช้เครื่องมือ AI โจมตีธนาคารและสถาบันการเงินกว่า 400 แห่ง ทั่วละตินอเมริกา
- แฮ็กเกอร์เจาะระบบ สถาบันการเงิน 16 แห่งในเกาหลีใต้ รวมถึงธนาคารขนาดใหญ่
- รัฐบาลญี่ปุ่น แจ้งเตือนบริษัทต่าง ๆ ให้ยกระดับการป้องกัน หลังจากเกิดการรั่วไหลที่ อาจทำให้ข้อมูลของคนหลายสิบล้านคนถูกเปิดเผย
- เว็บไซต์และแอปพลิเคชันของ Stop & Shop, Hannaford และ Food Lion ล่มนานกว่าหนึ่งสัปดาห์
- FBI, NSA และหน่วยงานอีกสามแห่ง ออกคำเตือน ว่าแฮ็กเกอร์ที่ใช้สคริปต์โจมตีซึ่งเขียนโดย AI กำลังสอดแนมระบบที่ควบคุมโรงผลิตน้ำ พลังงาน และโรงงานอุตสาหกรรม
รัฐบาลต่าง ๆ เห็นสัญญาณนี้มาก่อนแล้ว ในเดือนมิถุนายน สหรัฐฯ และพันธมิตรที่ใกล้ชิดที่สุดได้ออกมาเตือนเกี่ยวกับการแฮ็กที่ขับเคลื่อนด้วย AI ว่า "เวลาที่เราเหลือไม่ใช่ระดับปี แต่เป็นระดับเดือน" สี่เดือนต่อมา เราก็มาถึงจุดนี้
บทความต้นฉบับ อ่านได้ที่นี่
ทำไมครั้งนี้ถึงต่างจากเดิม
คุณได้ยินเรื่องการแฮ็กระบบมาหลายปีแล้ว แต่นี่คือสิ่งที่เปลี่ยนไป
ทุกอาคารมีจุดอ่อน เช่น หน้าต่างที่ล็อกไม่แน่น หรือประตูหลังที่ใช้กุญแจราคาถูก ซอฟต์แวร์ก็เช่นกัน มันเต็มไปด้วยจุดอ่อนที่ซ่อนอยู่ ตลอดหลายทศวรรษที่ผ่านมา การหาจุดอ่อนเหล่านั้นต้องใช้คนที่เก่งและมีทักษะสูงเป็นพิเศษ ซึ่งมีจำนวนไม่มาก นั่นแหละคือเกราะป้องกันของเรา ไม่ใช่เพราะเรามีแม่กุญแจที่ดี แต่เป็นเพราะเราขาดแคลนโจร
ยุคขาดแคลนโจรจบลงแล้ว มีสามสิ่งเกิดขึ้นพร้อมกันในตอนนี้
อย่างแรก ตอนนี้ AI สามารถหาจุดอ่อนได้แล้ว ช่องโหว่ PHP นั้น ถูกค้นพบด้วยความช่วยเหลือของ AI และ เครื่องมือ AI กำลังค้นพบบั๊กนับพันจุดที่ถูกปล่อยทิ้งไว้นานหลายปีโดยไม่มีใครสังเกตเห็น
อย่างที่สอง ตอนนี้ AI สามารถเจาะระบบได้ด้วยตัวเอง โดยไม่ต้องพึ่งแฮ็กเกอร์ฝีมือดี มีคนป้อนคำสั่งให้ AI agent ด้วยข้อความที่สั้นกว่าทวีตหนึ่งโพสต์ ไม่ถึง 100 ตัวอักษร แล้วปล่อยให้พวกมันทำงานกันเอง ผลคือพวกมันเจาะเข้า เว็บไซต์ของบริษัทกว่า 100 แห่ง รวมถึง John Deere ด้วยต้นทุนประมาณ 50 ดอลลาร์ต่อการเจาะหนึ่งครั้ง พวกมันไม่นอนหลับและไม่รู้จักเบื่อ มันแค่พยายามต่อไปเรื่อย ๆ จนกว่าจะหาทางเข้าได้
อย่างที่สาม ฝ่ายป้องกันต้องวิ่งไล่กวดให้ทัน ทุกจุดอ่อนยังคงต้องได้รับการแก้ไข ทดสอบ และติดตั้ง บนระบบนับล้านที่ดูแลโดยคนที่ทำงานหนักจนล้นมืออยู่แล้ว แม้แต่บั๊กที่ร้ายแรงที่สุด ก็ใช้เวลาเฉลี่ย ประมาณสองสัปดาห์ กว่าแพตช์แก้ไขจะถูกปล่อยออกมา และเว็บไซต์อีกมากมายก็ไม่เคยได้รับการแก้ไขเลย บริษัทด้านความปลอดภัยอย่าง Cisco ประเมินว่าเซิร์ฟเวอร์ที่เชื่อมต่อกับอินเทอร์เน็ตและรันซอฟต์แวร์ดังกล่าว ประมาณครึ่งหนึ่ง เก่าเกินกว่าจะได้รับแพตช์แก้ไขอย่างเป็นทางการ
เมื่อนำทุกอย่างมารวมกัน คุณจะเห็นเกมแมวจับหนูที่ฝั่งผู้โจมตีต้องการชนะแค่ครั้งเดียวก็พอ ช่องว่างระหว่างผู้โจมตีและผู้ป้องกันนี้แหละ คือสิ่งที่คุณจะได้เห็นในข่าวตลอดหลายวันต่อจากนี้
เรื่องนี้จะเกิดขึ้นต่อไป และจะแย่ลงกว่าเดิม
นี่ไม่ใช่แค่อัปเดตสัปดาห์ที่เลวร้าย แต่มันคือจุดเริ่มต้นของบางสิ่งที่พวกเราทุกคนต้องเตรียมรับมือ
ลองดูตัวเลขเหล่านี้ บริษัทด้านความปลอดภัย CrowdStrike ระบุว่า การโจมตีที่พวกเขาสังเกตเห็นว่าน่าจะมี AI agent เข้ามาเกี่ยวข้อง เพิ่มขึ้นมากกว่าสองเท่าในเดือนสิงหาคม แล้วก็เพิ่มเป็นสองเท่าอีกครั้งในเดือนกันยายน และถ้าวัดจากสัปดาห์นี้ มันยิ่งเร่งความเร็วขึ้นไปอีก AI เก่งขึ้นทุก ๆ สองสามเดือน ในขณะที่ต้นทุนการใช้งานกลับถูกลง เครื่องมือที่แฮ็กเกอร์ใช้ในวันนี้ จะเป็นเครื่องมือที่ห่วยที่สุดที่พวกเขาเคยมี
แถมตอนนี้เครื่องมือเหล่านั้นก็หลุดออกไปสู่สาธารณะแล้ว ตอนที่เครื่องมือแฮ็ก AI ตัวหนึ่งถูกโยงไปถึงการโจมตีธนาคารในเกาหลีใต้ ผู้สร้างก็หยุดปล่อยอัปเดตสาธารณะและปิดหน้าดาวน์โหลดไป แต่ก็ไม่มีความหมายอะไร เพราะใครก็ตามที่เคยดาวน์โหลดไปแล้ว ก็ยังใช้งานมันได้อยู่ดี
แต่ข่าวดีคือ ฝ่ายป้องกันก็มี AI เช่นกัน และมันก็ช่วยค้นหาและอุดจุดอ่อนได้เร็วกว่าที่เคยเป็นมา ในท้ายที่สุด ซอฟต์แวร์จะถูกเจาะได้ยากกว่าปัจจุบันมาก แต่ ณ ตอนนี้ เกมรุกนำหน้าเกมรับ และอาจจะเป็นแบบนี้ไปอีกพักใหญ่
เรื่องนี้ส่งผลอย่างไรกับคุณ
ตอนนี้ ธนาคารใหญ่ในสหรัฐฯ อย่าง JPMorgan, Bank of America และ Wells Fargo กำลัง พบ AI agent ที่ไม่ได้รับอนุญาตแฝงอยู่ในบัญชีลูกค้า ตามรายงานของ Axios บางส่วนลูกค้าเป็นคนตั้งค่าเอง แต่หลายธนาคารแยกไม่ออกว่าตัวไหนทำงานแทนลูกค้าจริง ๆ และตัวไหนไม่ใช่ ผู้บริหารธนาคารบรรยายสถานการณ์นี้ว่า "น่าสะพรึงกลัว" อย่างไรก็ตาม Axios ไม่ได้รายงานว่ามีการสูญเสียเงิน
แต่สำหรับคนส่วนใหญ่ในปัจจุบัน อันตรายที่ใหญ่กว่ายังคงเป็น 3 เรื่องนี้ ข้อมูลของคุณรั่วไหล ทำให้มิจฉาชีพรู้ชื่อ วันเกิด ที่อยู่ และธนาคารของคุณ แล้วโทรศัพท์หรือข้อความที่ส่งมาก็ดูสมจริง บัญชีของคุณถูกยึดผ่านเว็บที่คุณเคยสมัครไว้ครั้งเดียวเมื่อหลายปีก่อน ด้วยรหัสผ่านเดียวกับที่คุณใช้ทุกที่ และบริการที่คุณพึ่งพา เช่น แอปพลิเคชัน ร้านขายยา หรือเว็บไซต์ร้านค้า ล่มไปหลายวัน
ขอย้ำให้ชัด: เรื่องนี้กำลังดำเนินอยู่ แต่สถานการณ์เลวร้ายที่สุดที่คนกลัวกันยังไม่เกิดขึ้น ผมหวังว่ามันจะไม่เกิดขึ้นเลย แต่กันไว้ดีกว่าแก้ โดยเฉพาะเมื่อเรื่องแบบนี้จะเกิดขึ้นต่อไปเรื่อย ๆ
สิ่งที่ควรทำวันนี้
อย่างแรก หลีกเลี่ยงเว็บไซต์ที่คุณไม่คุ้นเคยจนกว่าสถานการณ์จะสงบลง ใช้เฉพาะเว็บใหญ่ ๆ ที่รู้จักกันดี เช่น ธนาคารของคุณ, Amazon, Google เพราะเว็บไซต์เล็ก ๆ มีโอกาสน้อยที่สุดที่จะได้อัปเดตแพตช์แล้ว และคุณไม่สามารถรู้ได้จากภายนอก ในช่วงสองสามสัปดาห์ข้างหน้า อย่าพิมพ์รหัสผ่านหรือเลขบัตรเครดิตลงในเว็บใด ๆ ที่คุณไม่คุ้นเคย
อย่างที่สอง อัปเดตทุกอย่าง ทั้งมือถือ คอมพิวเตอร์ แท็บเล็ต และเว็บเบราว์เซอร์ เมื่อเมนู Settings ของมือถือหรือคอมพิวเตอร์แจ้งเตือนว่ามีอัปเดตใหม่ ให้ติดตั้งทันที นั่นคือแม่กุญแจของคุณ ทำเช่นเดียวกันกับเราเตอร์ และถ้ามันเก่าจนไม่มีการปล่อยอัปเดตแล้ว ก็ซื้อใหม่ซะ แต่อย่าติดตั้ง "อัปเดต" จากหน้าต่างป๊อปอัปบนเว็บไซต์ หรือจากลิงก์ใน SMS หรืออีเมลเด็ดขาด เพราะนั่นคือกลลวงที่เจอบ่อย ไม่แน่ใจว่าจะทำยังไงใช่ไหม? นี่คือคู่มือแบบทีละขั้นตอนที่เข้าใจง่าย
อย่างที่สาม ปิดประตูที่คุณไม่ได้ใช้ ถอดปลั๊กอุปกรณ์สมาร์ทโฮมที่ไม่จำเป็น และลบแอปพลิเคชันที่คุณไม่ได้ใช้ ทุกอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตคืออีกหนึ่งช่องทางให้คนอื่นเข้ามาได้
อย่างที่สี่ ปกป้องบัญชีธนาคารของคุณ ถ้ามีคนโทร ส่งข้อความ หรืออีเมลมาขอรหัสผ่าน หรือขอรหัส OTP ที่เพิ่งส่งเข้ามือถือคุณ นั่นคือมิจฉาชีพ ทุกกรณีไม่มีข้อยกเว้น รหัสพวกนั้นมีไว้ให้คุณพิมพ์ในแอปหรือเว็บไซต์ของธนาคารคุณเท่านั้น ให้สงสัยทุกสายโทรเข้า ข้อความ หรืออีเมลที่เกี่ยวกับธนาคารไว้ก่อน จนกว่าคุณจะตรวจสอบด้วยตัวเอง: อย่าคลิกลิงก์ที่พวกเขาส่งมา และอย่าโทรกลับไปที่หมายเลขที่พวกเขาบอก วางสายแล้วโทรไปที่หมายเลขด้านหลังบัตรของคุณเอง ถ้าเป็นธนาคารของคุณจริง พวกเขาจะช่วยคุณได้
พิมพ์ชื่อผู้ใช้และรหัสผ่านธนาคารในแอปหรือเว็บไซต์ของธนาคารนั้นเท่านั้น อย่าให้ข้อมูลเหล่านี้กับใคร รวมถึงผู้ช่วย AI หรือแอปพลิเคชันอื่น ไม่ว่ามันจะดูมีประโยชน์แค่ไหนก็ตาม Chase แนะนำ ว่าอย่าให้ข้อมูลเหล่านี้กับใครเลย เปิดใช้งานการเข้าสู่ระบบแบบสองขั้นตอน (Two-step login) สำหรับอีเมลและบัญชีธนาคารของคุณ (วิธีทำอยู่ที่นี่) และเลิกใช้รหัสผ่านซ้ำกันในทุกเว็บ โปรแกรมจัดการรหัสผ่าน (Password manager) จะช่วยให้เรื่องนี้ง่ายขึ้น และ iPhone หรือ Android ของคุณก็มีฟีเจอร์นี้ในตัวอยู่แล้ว
ถ้าอยากเพิ่มความระมัดระวัง ให้เก็บเงินสดไว้ที่บ้านเล็กน้อย พอสำหรับซื้อของกินของใช้สักสองสามวัน พร้อมอาหารและน้ำดื่มสำรองไว้ด้วย นี่คือชุดเตรียมความพร้อมฉุกเฉินพื้นฐาน ซึ่งควรมีติดบ้านไว้อยู่แล้ว
สิ่งที่ไม่ควรทำคือการถอนเงินทั้งหมดออกจากธนาคาร ความตื่นตระหนกคือสิ่งที่มิจฉาชีพต้องการ ถ้าคุณกังวลว่าธนาคารจะล้ม เงินฝากในธนาคารที่ได้รับการคุ้มครองจาก FDIC จะ ได้รับความคุ้มครองสูงสุด 250,000 ดอลลาร์ ต่อบุคคล ต่อธนาคาร แต่ประกันนี้ไม่ครอบคลุมเงินที่ถูกขโมยจากการแฮ็กบัญชี อย่างไรก็ตาม กฎหมายกลางมักจะจำกัดความเสียหายที่คุณต้องรับผิดชอบจากการโอนเงินโดยไม่ได้รับอนุญาต หากคุณรีบแจ้งเรื่อง ดังนั้นหมั่นตรวจสอบบัญชีบ่อย ๆ และโทรหาธนาคารทันทีหากพบสิ่งผิดปกติ ส่วนเงินที่คุณถูกหลอกให้โอนไปเองนั้นจะทวงคืนได้ยากกว่ามาก นี่จึงเป็นเหตุผลว่าทำไมสายโทรจากมิจฉาชีพถึงอันตรายกว่า
สองสามวันต่อจากนี้อาจจะดูแปลก ๆ ไปสักหน่อย จะมีประกาศต่าง ๆ ออกมาอีก ผมหวังว่าระบบส่วนใหญ่จะยังทำงานได้ตามปกติ วันนี้แค่ทำเรื่องน่าเบื่อ ๆ พวกนี้ให้เรียบร้อยก็พอ
ส่งข้อความนี้ให้คนรอบตัวคุณเดี๋ยวนี้เลย พ่อแม่ ปู่ย่าตายาย เพื่อน ๆ หรือกลุ่มแชทของคุณ ใครก็ตามที่เชื่อมต่ออินเทอร์เน็ต ซึ่งก็คือทุกคนจริง ๆ จำเป็นต้องรู้ว่ากำลังเกิดอะไรขึ้น คนที่มีโอกาสได้รับรู้น้อยที่สุด มักจะเป็นคนที่ได้รับผลกระทบมากที่สุด
บทความต้นฉบับ อ่านได้ที่นี่
