ลองนึกภาพว่า Notification บนมือถือเด้งขึ้นมาบอกว่า “เปิดดูเลยที่ amazon.com” — พอเรากดปุ๊บ...กลับกลายเป็น “zon.com” แบบไม่รู้ตัว เพราะตัวอักษรที่เห็นกับ “ลิงก์จริง” ไม่เหมือนกัน! มันเกิดจากการฝัง “ตัวอักษรพิเศษแบบ Unicode ที่มองไม่เห็น” (เช่น zero-width space) ไว้ในลิงก์ พอ Android อ่านลิงก์นั้นก็แปลผลไม่เหมือนที่ผู้ใช้เห็น เช่น: - เห็นว่าเป็น amazon.com - แต่เบื้องหลังคือ ama​zon.com → ระบบตีความว่า zon.com แล้วเปิดลิงก์อันตรายแทน! ถ้าโดนใช้กับ deep link หรือ app link ก็จะยิ่งอันตราย เพราะกดแล้วสามารถสั่งให้แอปทำงาน เช่น โทรออก เปิดช่องแชต หรือดึงข้อมูลได้ทันที ทดลองแล้วว่าแอปดังหลายแอปโดนได้หมด ไม่ว่าจะเป็น WhatsApp, Instagram, Telegram, Discord หรือ Slack และเกิดขึ้นบนมือถือทั้ง Pixel 9, Galaxy S25 และ Android รุ่นก่อน ๆ ความน่ากลัวคือ แอนติไวรัสก็จับไม่ได้ เพราะนี่ไม่ใช่มัลแวร์ แต่เป็นการหลอกสายตาและใช้แอปให้ทำสิ่งที่เราไม่ตั้งใจ — ต้องพึ่งระบบป้องกันที่เข้าใจพฤติกรรมผิดปกติระดับ Endpoint เท่านั้น ✅ ช่องโหว่นี้เกิดจากการใช้ Unicode ที่มองไม่เห็น (เช่น zero-width space) ใน URL ของ Notification บน Android   • ทำให้ลิงก์ที่ผู้ใช้เห็นไม่ตรงกับลิงก์ที่ระบบ Android เปิดจริง ✅ สามารถนำไปใช้สร้างลิงก์ปลอม หรือ deep link ที่เปิดฟีเจอร์อันตรายในแอปอื่น เช่น โทรหาเบอร์ที่ตั้งไว้, เปิดหน้าเว็บปลอม, เรียก API ในแอป ✅ แอปยอดนิยมที่ได้รับผลกระทบจากการทดสอบ ได้แก่ WhatsApp, Telegram, Instagram, Discord, Slack ✅ นักวิจัยสามารถใช้แอปที่เขียนเองเพื่อเลี่ยงการกรองอักขระ และทดสอบเจาะผ่านหลายสถานการณ์ได้สำเร็จ ✅ การโจมตีใช้ได้บนมือถือหลายรุ่น ตั้งแต่ Google Pixel 9 Pro XL, Samsung Galaxy S25 ไปจนถึง Android รุ่นเก่า ✅ มัลแวร์หรือภัยแบบนี้ไม่ต้องใช้การดาวน์โหลดไฟล์ — แค่หลอก Notification หรือ UI ให้ผู้ใช้คลิกผิด https://www.techradar.com/pro/security/hackers-could-trick-users-into-downloading-malware-and-opening-malicious-sites-using-a-flaw-in-android-heres-what-you-need-to-know