📱 “แอปมือถือรั่วข้อมูลหนัก — iOS แย่กว่า Android และ API กลายเป็นช่องโหว่หลักขององค์กร” รายงานล่าสุดจาก Zimperium เผยให้เห็นภาพที่น่าตกใจของความเสี่ยงด้านความปลอดภัยในแอปมือถือ โดยเฉพาะในระบบ iOS และ Android ซึ่งกลายเป็นสนามรบใหม่ของการโจมตีผ่าน API โดยตรง รายงานระบุว่า “มากกว่าครึ่ง” ของแอป iOS และ “หนึ่งในสาม” ของแอป Android มีการรั่วไหลของข้อมูลสำคัญ เช่น ข้อมูลส่วนตัว (PII), token, และข้อมูลระบบที่สามารถนำไปใช้โจมตีต่อได้ทันที สิ่งที่ทำให้สถานการณ์เลวร้ายยิ่งขึ้นคือการที่แฮกเกอร์สามารถดัดแปลงแอปจากฝั่ง client ได้โดยตรง เช่น การ reverse-engineer โค้ด, การปลอม API call ให้ดูเหมือนถูกต้อง, หรือแม้แต่การฝัง SDK ที่แอบส่งข้อมูลออกไปโดยผู้ใช้ไม่รู้ตัว แม้จะมีการใช้ SSL pinning หรือ API key validation ก็ยังไม่สามารถป้องกันได้ทั้งหมด เพราะการโจมตีเกิด “ภายในแอป” ไม่ใช่แค่ที่ขอบระบบอีกต่อไป นอกจากนี้ยังพบว่า 6% ของแอป Android ชั้นนำเขียนข้อมูลส่วนตัวลงใน console log และ 4% เขียนลง external storage ที่แอปอื่นสามารถเข้าถึงได้ ซึ่งถือเป็นการเปิดช่องให้มัลแวร์หรือแอปไม่พึงประสงค์เข้าถึงข้อมูลได้ง่ายขึ้น อีกทั้ง 37% ของแอปยอดนิยมยังส่งข้อมูลไปยังเซิร์ฟเวอร์ภายนอกโดยไม่มีการเข้ารหัสที่เพียงพอ Zimperium แนะนำให้เปลี่ยนแนวทางการป้องกันจาก “ขอบระบบ” มาเป็น “ภายในแอป” โดยใช้เทคนิคเช่น code obfuscation, runtime protection, และการตรวจสอบว่า API call มาจากแอปที่ไม่ถูกดัดแปลงเท่านั้น ✅ ข้อมูลสำคัญจากข่าว ➡️ มากกว่าครึ่งของแอป iOS และหนึ่งในสามของแอป Android มีการรั่วไหลของข้อมูลสำคัญ ➡️ API กลายเป็นช่องโหว่หลักที่แฮกเกอร์ใช้โจมตีผ่านแอปมือถือ ➡️ การโจมตีเกิดจากฝั่ง client เช่น reverse-engineering และการปลอม API call ➡️ SSL pinning และ API key validation ไม่สามารถป้องกันการโจมตีภายในแอปได้ ➡️ 6% ของแอป Android ชั้นนำเขียนข้อมูลลง console log และ 4% เขียนลง external storage ➡️ 37% ของแอปยอดนิยมส่งข้อมูลไปยังเซิร์ฟเวอร์ภายนอกโดยไม่มีการเข้ารหัส ➡️ SDK บางตัวสามารถแอบส่งข้อมูล, บันทึกตำแหน่ง GPS และพฤติกรรมผู้ใช้ ➡️ Zimperium แนะนำให้ใช้ in-app defense เช่น code obfuscation และ runtime protection ✅ ข้อมูลเสริมจากภายนอก ➡️ API เป็นหัวใจของแอปยุคใหม่ แต่ก็เป็นจุดที่ถูกโจมตีมากที่สุด ➡️ อุปกรณ์ที่ถูก root หรือ jailbreak สามารถเปิดช่องให้แฮกเกอร์ควบคุมได้เต็มรูปแบบ ➡️ การป้องกันแบบ perimeter เช่น firewall และ gateway ไม่สามารถตรวจสอบความถูกต้องของแอปที่ส่ง request ได้ ➡️ การใช้ Bring-Your-Own-Device (BYOD) ในองค์กรเพิ่มความเสี่ยงจากแอปที่ไม่ปลอดภัย ➡️ การตรวจสอบพฤติกรรมแอปและการตั้งค่าความปลอดภัยพื้นฐาน เช่น screen lock และ OS update เป็นสิ่งจำเป็น https://www.techradar.com/pro/security/apple-ios-apps-are-worse-at-leaking-sensitive-data-than-android-apps-finds-worrying-research-heres-what-you-need-to-know