แฉ!! กลโกง 6 วิธีการเข้าถึงบัญชีเฟซบุ๊กคนอื่น-การป้องกัน

2 พ.ค. 2559 เว็บไซต์ข่าวสารเรื่องความปลอดภัยด้านไอที Hacker ระบุถึง 6 วิธีที่ทำให้คนถูกแฮกเข้าบัญชีเฟซบุ๊กของตัวเองได้ ถึงแม้ว่าเฟซบุ๊กจะเป็นเว็บไซต์ที่มีการดูแลความปลอดภัยค่อนข้างดี เป็นเรื่องยากที่จะใช้วิธีเจาะระบบความปลอดภัยของเว็บนี้ แต่ก็ยังมีวิธีการบางวิธีที่ทำให้เข้าถึงบัญชีของผู้อื่นได้โดยง่าย Hacker ระบุว่า ส่วนมากแล้วเหตุที่ทำให้ผู้คนถูกแฮกเฟซบุ๊กมักจะมาจากความผิดพลาดของพวกเขาเอง โดยการแนะนำเหล่านี้เป็นไปเพื่อการเตือนภัยและแนะนำให้ป้องกันเท่านั้น ไม่ได้ต้องการให้นำไปกระทำต่อผู้อื่นแต่อย่างใด  

1. การใช้โปรแกรมจดจำการกดปุ่มคีย์บอร์ด ที่เรียกว่า 'คีย์ล็อกเกอร์' (Keylogger)

Hacker9 ระบุว่าวิธีการใช้โปรแกรมจดจำการกดปุ่มคีย์บอร์ดเป็นวิธีการที่ง่ายและได้ประสิทธิภาพสูงสุดในการแฮกรหัสผ่านเฟซบุ๊ก ซึ่งมาทั้งในรูปแบบซอฟต์แวร์ (software) และฮาร์ดแวร์ (hardware) ในสำนักงานหลายแห่งนำคีย์ล็อกเกอร์มาใช้เพื่อจับตามองการทำงานของลูกจ้าง แต่คีย์ล็อกเกอร์ยังสามารถใช้เป็นเครื่องมือของแฮกเกอร์ในการบันทึกชื่อผู้ใช้และรหัสผ่านของผู้ใช้ได้ด้วย

คีย์ล็อกเกอร์แบบซอฟต์แวร์เป็นโปรแกรมบันทึกการกดแป้นคีย์บอร์ดทุกๆ ตัวอักษรหลังจากที่มีการลงโปรแกรมในเครื่องเป้าหมายไปแล้ว แน่นอนว่ารวมถึงการพิมพ์ชื่อและการพิมพ์รหัสผ่านด้วยซึ่งโปรแกรมเหล่านี้จะทำงานแบบซ่อนตัวอยู่ในเครื่องและไม่ทำให้สามารถมองเห็นได้ โดยคนที่จะใช้โปรแกรมคีย์ล็อกเกอร์เช่นนี้แค่มีทักษะความรู้คอมพิวเตอร์ระดับพื้นฐานก็ใช้ได้แล้ว

คีย์ล็อกเกอร์อีกแบบหนึ่งคือแบบฮาร์ดแวร์ มีแบบ PS2 ซึ่งจะเป็นตัวท่อต่อระหว่างปลั๊กกับคีย์บอร์ด กับอีกแบบหนึ่งคือ USB ที่จะเป็นแท่งต่อช่อง USB สามารถจับการทำงานของผู้ใช้ได้ทั้งหมด ซึ่งต้องอาศัยการเข้าถึงเครื่องคอมพิวเตอร์ของผู้ต้องการสอดแนม

2. การหลอกลวง (Phishing) ด้วยการสร้างเพจปลอมเพื่อล่อให้ล็อกอินเข้าเฟซบุ๊ก

การหลอกลวงหรือล่อลวงให้ใส่ชื่อและรหัสในล็อกอินปลอมเช่นนี้เป็นวิธีที่มีใช้มานานและเมื่อคุณพลาดไปแล้วครั้งเดียวบัญชีเฟซบุ๊กของคุณจะตกเป็นเป้าการเข้าถึงทันที จริงๆ แล้วมีวิธีการล่อลวงทางอินเทอร์เน็ตหลายวิธี แต่วิธีที่นิยมมากที่สุดคือการหลอกเอารหัสผ่านด้วยการสร้างหน้าเว็บปลอมที่ล่อให้คนล็อกอินด้วยเฟซบุ๊กและมักจะมีการส่งเว็บเหล่านี้ให้เหยื่อผ่านทางอีเมลโดยสร้างให้ดูคล้ายการล็อกอินเข้าสู่เฟซบุ๊กแบบปกติมาก แต่ทว่าแทนที่จะทำให้เราล็อกอินเข้าสู่เฟซบุ๊ก มันจะเอาข้อมูลชื่อและรหัสผ่านที่เรากรอกลงไป

ฉะนั้นจึงควรระวังเมื่อมีคนส่งข้อความแปลกๆ ล่อลวงให้เราล็อกอินเข้าไป ถึงแม้ว่าคนส่วนมากจะสามารถจับได้ว่ามันเป็นหน้าล็อกอินของปลอม แต่ก็มักจะสามารถหลอกผู้ใช้เฟซบุ๊กผ่านโทรศัพท์มือถือได้โดยง่ายเพราะไม่ค่อยมีคนเช็คว่า URL หรือชื่อแหล่งที่อยู่ในอินเทอร์เน็ตเป็นของเฟซบุ๊กจริงหรือไม่

3. ใช้โทรศัพท์มือถือของเหยื่อในการแก้ไขเปลี่ยนแปลงรหัสผ่าน

วิธีนี้ไม่จำเป็นต้องรู้รหัสผ่านดั้งเดิมของเหยื่อเลยแม้แต่น้อย เพียงแค่มิจฉาชีพสามารถเข้าถึงโทรศัพท์มือถือของเหยื่อได้ โดยใช้วิธีการกดแจ้งว่าลืมรหัสผ่าน (forgot my password page) แล้วก็ระบุเบอร์โทรศัพท์ของเหยื่อลงไปจากเลือกให้ส่ง SMS เข้ามือถือของเหยื่อเพื่อเข้าสู่กระบวนการขอคืนบัญชี
หมายความว่า ถ้าบุคคล A มีมือถือของบุคคล B อยู่ในมือ เขาสามารถแกล้งแจ้งว่าลืมรหัสผ่านในเฟซบุ๊กเพื่อให้เฟซบุ๊กส่ง SMS เข้ามือถือของ B ก็จะทำให้ A ซึ่งถือโทรศัพท์ของ B อยู่สามารถเข้าถึงเฟซบุ๊กของ B ได้ทั้งที่ไม่รู้รหัสดั้งเดิมเลย ดังนั้นผู้ใช้จึงควรพยายามหาวิธีป้องกันการเข้าถึงโทรศัพท์ได้โดยง่ายด้วยการตั้งค่ารหัสการใช้โทรศัพท์หรือวิธีการอื่นๆ

4. ขโมยประวัติการเข้าเว็บหรือ 'คุกกี้' (cookies) ของผู้ใช้

'คุกกี้' เป็นข้อมูลหรือลายลักษณ์ที่เว็บไซต์ส่งให้กับเว็บเบราเซอร์หรือโปรแกรมที่เราใช้เข้าเว็บต่างๆ จากนั้นเบราเซอร์ของเราก็จะบันทึกข้อมูลเหล่านี้ไว้แล้วจะส่งให้กับเว็บไซต์ต่างๆ เวลาที่เราเข้าเว็บเหล่านั้นอีก คุกกี้เหล่านี้มีไว้ใช้รับรองที่มาและระบุตัวตนของผู้ใช้และปรับเว็บตามความชอบของผู้ใช้งาน ถึงแม้ว่าคุกกี้จะไม่ใช่ซอฟต์แวร์จึงไม่สามารถติดไวรัสได้ แต่พวกที่ใช้คีย์ล็อกเกอร์ก็สามารถใช้ติดตามกิจกรรมการเข้าเว็บต่างๆ ของผู้ใช้งานได้

นอกจากนี้ยังอาจจะถูกแฮกเกอร์ขโมยคุกกี้ไปเพื่อเข้าถึงบัญชีเว็บของผู้ใช้ได้ด้วย ซึ่งหมายความว่าถ้าผู้ใช้เว็บเลือกให้มีการล็อกอินเฟซบุ๊กค้างไว้ในเว็บแม้จะมีการปิดเว็บหรือปิดเครื่องไปแล้วแฮกเกอร์จะสามารถขโมยคุกกี้จากเบราเซอร์ผู้ใช้นั้นได้ อย่างไรก็ตามถ้าหากมีการใช้เฟซบุ๊กแบบเข้ารหัสการส่งข้อมูล คือมี https (แสดงถึงการเชื่อมต่ออย่างปลอดภัยหรือ secure connection) นำหน้าแทน http ก็จะสามารถป้องกันวิธีการขโมยคุกกี้ได้

5. การให้โปรแกรมเข้าเว็บจดจำรหัสผ่านเราไว้

ในเวลาที่เราใส่รหัสผ่านเข้าสู่บัญชีใดๆ ก็ตาม เว็บเบราเซอร์หรือโปรแกรมเข้าเว็บบางตัวเช่น Chrome หรือ Firefox มักจะถามว่าจะให้พวกมันช่วยจดจำรหัสผ่านให้หรือไม่ วิธีนี้อาจจะสะดวกแต่ไม่ปลอดภัยเพราะทำให้คนที่เข้าถึงเครื่องเราเข้าถึงรหัสผ่านได้ง่ายมากด้วยการเข้าไปในตัวเลือกระบบความปลอดภัยของเบราเซอร์ซึ่งจะเผยแพร่รหัสผ่านที่เราสั่งให้พวกมันจดจำไว้ทันที

6. วิธีการผ่านคำถามคุ้มกันความปลอดภัย (Security Question) ของเฟซบุ๊ก

ในหลายเว็บที่มีการล็อกอินมักจะมีการให้ตั้งคำถามคุ้มกันความปลอดภัยเอาไว้สำหรับเวลา "ลืมรหัสผ่าน" แล้วสามารถขอรหัสผ่านหรือขอเข้าถึงบัญชีได้ ในส่วนของเฟซบุ๊กนั้น เมื่อผู้ที่ต้องการเข้าบัญชีเราอ้างว่า "ลืมรหัสผ่าน" แล้วเลือกใส่อีเมลลงไป (ซึ่งอาจจะเป็นอีเมลที่เขามีอยู่แล้วหรืออีเมลสร้างใหม่) เฟซบุ๊กก็จะส่งคำถามคุ้มกันความปลอดภัยไปให้อีเมลนั้น แต่ว่าขั้นตอนนี้ของเฟซบุ๊กมีความหละหลวมและมีความเสี่ยงสูงมาก คือการที่หลังจากคุณตอบคำถามผิด 3 ครั้งมันก็จะไม่สนใจคำถามนี้อีกต่อไปแล้วหันไปใช้วิธีการอื่นแทนคือการให้คุณเข้าถึงบัญชีของตัวเองจากความช่วยเหลือของเพื่อน 3 คน จากนั้นก็จะส่ง "รหัสความปลอดภัย" (security code) ไปให้อีเมลเพื่อนทั้ง 3 คน

ส่วนที่เหลือคือการโทรศัพท์ไปถามรหัสความปลอดภัยที่เพื่อนเหล่านั้นได้รับ เมื่อใส่รหัสความปลอดภัยทั้ง 3 แล้วจะสามารถเข้าไปเปลี่ยนรหัสผ่านของบัญชีที่ถูกอ้างว่า "ลืมรหัสผ่าน" ได้ แต่เมื่อมีการเปลี่ยนแปลงรหัสผ่านด้วยวิธีนี้ก็จะมีการแจ้งเตือนส่งไปยังอีเมลของคุณรวมถึงชื่อเพื่อน 3 คนที่ให้การรับรองรหัสความปลอดภัยด้วย แต่หลังจากนั้นเฟซบุ๊กคุณจะถูกล็อกไม่ให้การเข้าใช้ 24 ชม. ทำให้ช่วงเวลา 24 ชม.นี้เป็นช่วงที่คุณต้องทำอะไรสักอย่างกับบัญชีตัวเอง

Hacker 9 แนะนำว่าไม่ควรจะตั้งคำถามคุ้มกันความปลอดภัยกับเว็บเฟซบุ๊ก เพราะจะกลายเป็นการเพิ่มความเสี่ยงดังกล่าวหลังจากนั้นเลือกตัวเลือกที่เข้าเฟซบุ๊กในแบบเชื่อมต่อด้วยความปลอดภัย (https) เลือกให้มีการส่งอีเมลแจ้งเตือนทุกครั้งที่มีการเข้าถึงเฟซบุ๊กของคุณจากเครื่องอื่นหรือจากเบราเซอร์อื่น รวมถึงมีระบบล็อกอินสองชั้น (login approvals) เมื่อมีการพยายามเข้าถึงจากเครื่องอื่นหรือเบราเซอร์อื่นซึ่งจะเป็นการส่งรหัสยืนยันอีกขั้นตอนหนึ่งไปให้ในโทรศัพท์มือถือจึงต้องมีการป้องกันโทรศัพท์มือถือด้วยเผื่อเกิดกรณีข้อ 3

นอกจากนี้ยังมีคำแนะนำการป้องกันอื่นๆ เช่น ไม่รับเพื่อนที่ไม่รู้จัก หรือในกรณีที่ต้องไปพักร้อนไม่ควรบอกผ่านสเตตัสว่าคุณจะไปพักร้อนเพราะจะเป็นเป้าหมายให้ผู้ไม่หวังดีพยายามเข้าถึงบัญชีเฟซบุ๊กคุณได้ อีกทั้งยังควรเช็คอีเมลอย่างน้อยวันละ 1 ครั้งเพื่อดูว่าเกิดอะไรขึ้นกับเฟซบุ๊กคุณหรือไม่

Hacker9 ยังเตือนอีกว่าจนถึงตอนนี้ยังไม่มีซอฟต์แวร์ใดที่สามารถแฮกเข้าไปในเฟซบุ๊กได้จริงและมักจะมีแค่การอ้างเพื่อหลอกลวงเท่านั้นนอกจากนี้ยังควรระวังการใช้อีเมลที่มีชื่อน่าสนใจ เช่น password.recovery@facebook.com มาใช้หลอกลวงต้มตุ๋น วิธีการที่ได้มาซึ่งรหัสผ่านของผู้ใช้ในตอนนี้มักจะมาจากแค่การล่อหลอกหรือต้มตุ๋นให้ได้มาซึ่งรหัสผ่านด้วยวิธีต่างๆ เท่านั้น

เรียบเรียงจาก :

How Facebook hacking is Carried out? - 6 ways (methods) you can get hacked, Hacker 9, 18-02-2016

http://www.hacker9.com/how-facebook-hacking-carried-out-password-methods.html

Facebook's Security Question vulnerability - Bypassing Security Question!, Hacker 9, 18-02-2016

http://www.hacker9.com/facebooks-security-question-vulnerability-bypassing-security-question.html