555 มีอะไรที่บอกไม่หมดแน่นอน หาโพสตฺแปป อยากได้ลิงก์ที่บอกว่ากดแล้วเงินหาย อยากลอง

ปล. คนที่โดนหลอกก็ใช้ iphone น่ะ เห็นลงรูป Promax อยู่

เรื่องนี้ผมเคยสงสัยเหมือนกัน คืออยากรู้ว่าไอที่บอกว่าเข้าลิงค์แล้วโดนดูดเงินเลยอะ มันทำได้จริงหรอ ถ้ามันทำได้จริง มันแฝงไว้ในเว็บหนังAV 18+ ไม่ง่ายกว่าหรอครับเพราะยังไงคนก็คลิ๊กเข้าไปแน่นอน
ตอนนั้นถ้าจำไม่ผิดว่าเคยมีคนมาตอบแล้วว่ามันทำไม่ได้ ยังไงก็ต้องมีการโหลดหรือติดตั้งอะไรในเครื่องเท่านั้นถึงจะโดนดูดเงินได้

รบกวนถามเพิ่มเติมคนไม่รู้ระบบไอทีครับ ทำไมIOSถึงไม่โดนครับ ระบบต่างจากandroidมากไหมครับ

กดลิงค์แล้วไปโผล่สล็อตรึเปล่า เงิน 500k เวลาออกทีข้อความไม่ก็ไลน์เด้งละ หรือเต็มที่ก็มิจรีโมตมาคุมเครื่องแล้วโทรมาหลอกดูรูปไม่ก็หน้าถึงโอนได้

iOS ลงโปรแกรมที่อยู่นอกสโตร์ไม่ได้ครับ หรือทำได้ก็ยุ่งยาก ทำให้มันปลอดภัยจากมิจฉาชีพในระดับหนึ่ง พูดง่ายๆถ้าไม่พยายามอย่างมาก ยังไงใช้ iOS ก็ไม่โดนดูดเงินครับ

แม่ผมโดนไป 1.4M หมดตัวเลย มีคนกลุ่มขายของบอกย้ายไลน์กลุ่ม ให้สแกนโค้ด แม่สแกนคิวอาร์โค้ด น่าจะกดอะไรที่มันขึ้นมาหมด
แล้วทีนี้ มันโทรมา แม่กดวางสายไม่ได้ครับ ปิดเครื่องไม่ได้ มันน่าจะใช้ช่วงนั้นรีโมท เลยไปสถานีตำรวจ
สุดท้ายเงินหายหมด ร้องทั้งบ้าน
ต้องไปอ้อนวอนขอเงินพ่อใช้

ปล.แต่แม่ผมใช้ iphone นะ ทำไมถึงโดน เว้นแต่แม่เล่าให้ผมฟังไม่หมด เพราะกลัวผมด่า

มีครับเว็ป av ปลอมๆเยอะแยะที่คนโดนกัน ส่วนใหญ่จะอ้างว่าไม่เคยกดลิงค์ไม่เคยทำอะไรมาก่อนนั้นแหละครับ เคยเข้าเว็ป AV ชัวแล้วโดนฝัง malware มา แต่ไม่กล้าบอก

ไอ่คำว่ากดแล้วโดนดูดเลยมัน simplify เกินไปทางเทคนิคครับ มันเหมือนลอยๆง่ายๆ ที่จริงข้างหลังคือ malware ทั้งนั้นอะครับที่อย่างที่ผมบอก การคลิ๊กเป็นแค่การเปิดช่องให้ลง malware แค่นั้นมันเลยเหมือนง่าย

อย่างที่ผมกล่าวไปไงครับ สมัยก่อนพวกระบบ os กับ web browser มันไม่ได้ secure พอ มันกดิลิงค์แล้วลงติดตั้ง apk ได้เลยสำหรับ android แต่ถ้าคุณอัพ version os กับ browser อยู่ตลอดก็ไม่ต้องห่วงมากครับมันกันได้หมดแล้วเวอร์ชั่นใหม่ๆ

จากข้อ2ที่ท่านว่ามา ที่เริ่มมาจากการกดลิ้งค์นั้น
การที่จะติดตั้งพวกแอปอื่น ตามระบบโทรศัพท์ยุคปัจจุบันนี้(สมัยนี้) ระบบบจะต้องมีเด้งให้กดยืนยันก่อนที่จะลงครับ ถ้าไม่กดยืนยัน จะไม่สามารถลงไปเองได้ครับ ย้ำอีกที ไม่มีทางครับ

ผมทำงานsoftware engineer โดยรูปแบบที่ท่านว่ามานี้นั้น จะไม่สามารถลงไปได้ครับ ถ้าเราไม่กดยืนยันครับ หรือทำอะไรเองไปมากกว่านี้ครับ

โทรศัพท์ยุคปัจจุบันตอนนี้ ระบบมันช่วยป้องกันด้วยตัวมันเองในระดับนึงแล้วครับ ไม่ใช่ว่า ไม่เซฟอะไรเลย

ไม่ว่าจะไอโฟน แอนดรอย พอกันครับ

ก็เหมือนที่ผมพูดไปข้างบนหมดแล้วครับข้อ 3 ให้อัพเดท os กับ browser เสมอครับเพราะเวอร์ชั่นเก่าๆมีช่องโหว่พวกนี้อยู่ครับ และเราก็ไม่รู้ว่าเหยื่อใช้ os version อะไร แล้วก็ไม่รู้ว่ามิจเจอช่องโหว่ใหม่ของ os แล้วหรือยังด้วยซ้ำครับ เพราะฉะนั้นทางเทคนิคเป็นไปได้ครับ cyber sec ก็เหมือนตีตัวตุ่นครับปิดได้ตุ่นก็โผล่มาอีกช่องได้ ขนาด linux ไม่กี่เดือนก่อนยังมีคนฝัง backdoor อันเบอเริ่มไว้เลย อัพเดทก็จ้าละหวั่นทั้งโลก

แล้วก็ทั้งนี้ทั้งนั้นผมก็บอกไปแล้วว่า ไม่ต้องมีอะไรเกิดขึ้นก่อนคลิ๊กลิงค์เหมือนที่ท่านบอกไงครับ เพราะคลิ๊กลิงค์คือจุดเริ่มต้น ส่วนไอ่กด consent ตกลงอะไรนั่นไม่เรียกป้องกันแล้วครับ เวลาคนเจอ pop up ตอนจะทำอะไร 90% ไม่อ่านกันหรอกครับกด ok รัวๆ เรื่องนี้ก็รู้ๆกันนอยู่และเป็นปัญหาใหญ่ที่ dev ปวดหัวกันมาตลอด เค้าไม่นับปุ่ม consent เป็นการป้องกันหรอกครับ

Apple เป็นค่ายเดียวที่ตัดปัญหาเรื่องนี้ก่อนใครเพื่อนโดยการไม่ให้ลง 3rd party มันสะเลย (นอกจากดันทุรังไป jail break ก็เรื่องของมันละ 555) จะได้ไม่ต้องไปลุ้นว่า user จะกด consent หรือไม่

ปล.ผมก็ soft ware eng ครับไม่ได้โม้

สมมติว่าเหยื่อบอกไม่หมด
กดลิงก์แล้วยังไปกดยินยอมติดตั้งมัลแวร์อีก
แต่แอปธนาคารส่วนใหญ่น่าจะบล็อกบันทึกหน้าจอหมดแล้วนะครับ
ถ้ามี screen recording อยู่มันไม่ให้เข้าแอปเลย
และกด passcode เดี๋ยวนี้มันก็ไม่เห็นแล้วว่ากดปุ่มไหนไม่มีแอนิเมชันขึ้น
ยิ่งโอนเงินเยอะ ๆ ก็ต้องตั้งค่าเพิ่มวงเงิน หรือไม่ก็สแกนหน้าเพิ่มอีก
สเต็ปนี้มันจะดูดได้จริง ๆ เหรอ

พูดยากครับมันกออกได้ทุกหน้าเลยครับอย่างที่ผมอธิบายไปข้างบนว่า cyber security มันเป็นเหมือนเกมส์ทุบตัวตุ่นอะครับ ผมแค่มาอธิบายว่า "คลิ๊กลิงค์แล้วโดนดูดเงินโดนไม่เคยทำอะไรเลยมาก่อนเป็นไปได้ไหม"? คำตอบคือได้ครับ

สมมุติเราคิดว่าเราปิดช่องโหว่ไปแล้วโดยการใช้วิธีสักวิธี detect โปรแกรม screen recording แล้วล๊อคแอปเลย มันฟังดูง่ายใช่ไหมครับแค่นี้ก็จะใช้วิธี malware screen record ไม่ได้ตลอดชาติแล้วแน่นอนหรือเปล่า? คำตอบคือไม่ครับ

ยกตัวอย่างเช่น มันขึ้นอยู่กับว่า malware ที่เขียนขึ้นมามันจะ peneltrate ตรงนี้หลบเลี่ยงการ detect ของ app ธนาคารได้หรือเปล่า ไม่มีใครในโลกสามารถพูดได้ว่า "ปิดช่องโหว่แล้ว ไม่เกิดขึ้นแน่นอน 100%"

ที่ผมคิดแบบนี้เพราะผมสู้กับพวกนี้มาตลอด ปิดทางนึงมันก็พยายามหาวิธีมาโจมตีอีกจนได้ คนส่วนใหญ่คิดไม่น่าถึงหรอกว่าพวกนี้มันความคิดสร้างสรรค์บรรเจิดขนาดไหน นี่อยากจะชมอยู่เหมือนกัน

เห้อ มาอีกแล้ว

ถกกันไปก็เท่านั้น ถ้าฝั่งผู้เสียหายหรือตำรวจไม่สรุปอะไรออกมาให้เห็นชัดๆ

ถ้าเอาตามที่แคปมาแล้วผู้เสียหายพูดจริงหมด ก็คือโจรมันแฝงมาเป็นลูกค้า บอกว่าโอนเงินแล้วและส่งลิ้งที่อ้างเป็นสลิปโอนเงินให้เขาคลิกไปดู พอเขาคลิกไปดูเงินหายหมดภายใน 1 นาที โดยลิ้งที่คลิกเข้าไปมันจะไม่เห็นอะไรเลย คลิกเข้าไปปุ๊บหน้าจอดับ ไม่เกิน 1 นาทีเงินในบัญชีหายหมด 5 แสน

แต่เอาตามหลักความจริง เราจะโอนเงินออกจากบัญชี 5 แสนได้ภายใน 1 นาทีจริงๆเหรอ เดี่ยวนี้มันไม่ได้โอนง่ายขนาดนั้นนะ เอาแบบเราจะโอนเองภายใน 1 นาทีนี้ยังไม่ทันเลยมั้ง คนมีปัญหากันเยอะแยะที่จะโอนเกิน 5 หมื่นเนี่ย เดี่ยวนี้มันบังคับให้แสกนหน้าหมดแล้ว ยอดรวมเกิน 2 แสนก็ต้องแสกนอีกที คือจะโอนเงิน 5 แสนออกเองเนี่ยยังล่าบากเลยนะ คนบ่นกันเยอะแยะว่ายุ่งยาก เสียเวลา ยังไงก็เกิน 1 นาทีแน่ๆ

ถ้าที่เขาเล่ามันคือเรื่องจริง ก็คือโดนจากอะไรที่นอกเหนือความเข้าใจกันแล้วละครับ ไม่ใช่แค่ไปเผลอคลิกลิ้งโดนฝังโปรแกรม remote เข้ามาทำหรอก จะรีโมทเครื่องเขาได้ ต่อให้ลงโปรแกรมไว้ยังไงผู้เสียหายก็ต้องกดยอมรับตอนกำลังจะโดน remote ก่อนอีกครั้งแน่ๆ แถมต้องไปดักรู้รหัส pin ก่อนจะมา remote ด้วย(ถ้าแค่ remote มาเครื่องนี้ครั่้งแรกยังไงก็ไม่มีทางรู้รหัส pin เข้าโอน) ไหนจะเรื่องโอนเงินที่ถ้าโอนเงินไปบัญชีใหม่ครั้งแรกหลายๆธนาคารก็ต้องให้ใส่ OTP ก่อน(แต่ถ้าโดน remote จริง OTP ก็ไม่ใช่ปัญหาแล้วละ) แล้วถึง remote มาได้แบบทุกอย่างพร้อมหมด สุดท้ายก็ต้องยืนยันทั้งหมดเหมือนที่เราทำเองอยู่ดี

เพราะฉะนั้นถ้าคนที่เล่า เขาเล่าความจริง ที่ถกๆกันไม่ใช่แน่ๆ แต่เคสพวกนี้อยากได้สรุปแน่ชัดจริงๆเหมือนกัน แต่ก็เหมือนจะยังไม่เห็นเลย เห็นแต่แจกเตือนตอนโดนเนี่ยแหละแล้วก็เงียบหายไป

แต่ที่เขาเตือนมันก็ถูกละครับ ทุกฝ่ายก็เตือนกันนี้แหละว่าอย่าไปคลิดลิ้งมั่วๆ ลิ้งไม่รู้ที่มา ลิ้งจากคนไม่รู้จัก อันนี้ก็ระวังไว้เบื้องต้นถูกแล้ว

คือถ้าจะโอน มันต้องการหลายอย่างมากนะครับ
endpoint Api , ค่าdevice, เลขบัญชีที่มีในแอพ ไรต่อไร เยอะอยู่นะ

จนทุกวันนี้ก็ยังไม่มีข้อมูลว่า มีข้อบกพร่องมาจากทางฝั่งระบบธนาคารเลยครับ
โดนเจาะจากฝั่งผู้เสียหาย

ผมว่าขั้นตอนมีมากกว่านั้น
คนร้ายอาจรวบรวมจากเหยื่อหลายแบบอยู่ครับ กรณีนี้น้องเค้าไม่น่ารู้ตัว



ใครกังวลก็ไปใช้ ios ได้ครับ ช่วยได้มาก เพราะว่าตัว OS เป็นระบบปิด
แอนดรอยบางเวอร์ชั่น ก็มีช่องโหว่ครับ