พบแอป Password Manager หลายตัวมีความเสี่ยง ผู้ใช้งานกว่า 40 ล้านราย อาจถูกขโมยรหัสผ่าน

การที่ทางองค์กรต้องแชร์รหัสผ่าน หรือ Password ให้ลูกทีมนั้น ถ้าแชร์แบบการจดอาจทำให้รหัสผ่านนั้นรั่วไหล ไม่ปลอดภัยได้ ดังนั้นจึงมักมีการนำเอาเครื่องมือในการจัดการรหัสผ่านอย่าง Password Manager มาใช้งานเพื่อการนี้ แต่ว่าเครื่องมือชนิดนี้หลายตัวกลับมีช่องโหว่ที่อาจทำให้รหัสผ่านรั่วไหลได้

จากรายงานโดยเว็บไซต์ PC World ได้กล่าวถึงการตรวจพบช่องโหว่ความปลอดภัยบนเครื่องมือจัดการรหัสผ่าน หรือ Password Manager ยอดนิยมกว่า 11 ตัว โดย Password Manager ในกลุ่มนี้จะเป็นเครื่องมือที่ถูกปล่อยให้ใช้ในรูปแบบส่วนเสริมของเว็บเบราว์เซอร์ หรือ Extention ที่ถูกพัฒนาขึ้นในรูปแบบ Document Object Model (DOM) ซึ่งแฮกเกอร์สามารถใช้จุดนี้ในการแฮกรหัสผ่านด้วยวิธี Clickjacking (การหลอกให้ผู้ใช้งานคลิกบนองค์ประกอบที่มองไม่เห็นเพื่อให้เกิดการรันสคริปท์อันตราย) ได้ โดยรายชื่อของแอปพลิเคชันที่ตกเป็นประเด็นนั้น มีดังนี้

• 1Password (รับทราบปัญหาแล้ว)
• Bitwarden (อยู่ระหว่างการแก้ไข)
• Dashlane (จากอัปเดตล่าสุด ผู้พัฒนาได้แก้ไขปัญหาแล้ว)
• Enpass (อยู่ระหว่างการแก้ไข)
• iCloud Passwords (อยู่ระหว่างการแก้ไข)
• Keeper (จากอัปเดตล่าสุด ผู้พัฒนาได้แก้ไขปัญหาแล้ว)
• LastPass (แก้ไขแล้วบางส่วน)
• LogMeOnce (ไม่มีการตอบกลับการแจ้งเตือน และไม่มีการแก้ไขใด ๆ)
• NordPass (จากอัปเดตล่าสุด ผู้พัฒนาได้แก้ไขปัญหาแล้ว)
• ProtonPass (จากอัปเดตล่าสุด ผู้พัฒนาได้แก้ไขปัญหาแล้ว)
• RoboForm (จากอัปเดตล่าสุด ผู้พัฒนาได้แก้ไขปัญหาแล้ว)

โดยแอปพลิเคชันทั้งหมดนี้ ล้วนแต่เป็นแบรนด์ยอดนิยมในตลาด Password Manager ที่มีผู้ใช้งานจำนวนมาก ทำให้ปัญหาดังกล่าวนั้นจะทำให้ผู้ใช้งานมากกว่า 40 ล้านรายตกอยู่ภายใต้ความเสี่ยงที่รหัสผ่านจะรั่วไหลเลยทีเดียว ซึ่งขณะที่ผู้พัฒนาบางรายที่พัฒนาแอปพลิเคชันบนรายชื่อนี้ได้รับเรื่อง และแก้ปัญหาอย่างรวดเร็ว แต่หลายตัวนั้นปัญหายังคงไม่ถูกแก้ไข และซ้ำร้าย บางรายยังไม่ได้ตอบรับการแจ้งเตือนจากทีมวิจัยแต่อย่างใด

ภาพจาก : https://www.pcworld.com/article/2887955/password-managers-vulnerable-40-million-users-at-risk-of-stolen-data.html

ทางแหล่งข่าวยังได้อธิบายเพิ่มเติมถึงวิธีการแฮกรหัสผ่านของส่วนเสริม Password Manager ดังกล่าวด้วยวิธีการ Clickjacking ว่า แฮกเกอร์จะทำการหลอกให้เหยื่อเข้าสู่เว็บไซต์ปลอม ที่มีการแอบซ่อนองค์ประกอบ (Elements) ที่มองไม่เห็น ไว้บนเว็บไซต์ ซึ่งเมื่อเผลอคลิ๊กถูก แฮกเกอร์ก็จะสามารถเข้าถึงข้อมูลที่ถูกบันทึกไว้บน Password Manager ได้อย่างง่ายดาย โดยที่ผู้ใช้งานไม่รู้ตัว และไม่ได้รับการแจ้งเตือนว่ามีการเข้าถึงที่ต้องสงสัยแต่อย่างใด ซึ่งข้อมูลที่เสี่ยงรั่วไหลนั้นขึ้นอยู่กับการใช้งานของเหยื่อ เนื่องจาก Password Manager เหล่านี้มีความสามารถในการเก็บข้อมูลที่หลากหลายตั้งแต่รหัสผ่าน, Passkey, หมายเลขบัตรเครดิต ตลอดจนถึงข้อมูลส่วนบุคคลต่าง ๆ ดังนั้นถ้าผู้ใช้งานพลาดท่า ความเสียหายอาจมากกว่าที่คาดการณ์ไว้