เรื่องเล่าจากพอร์ตชาร์จ: เมื่อการเสียบสายกลายเป็นการเปิดประตูให้แฮกเกอร์
ย้อนกลับไปเมื่อสิบปีก่อน โลกเคยตื่นตัวกับภัย “Juice Jacking” ที่ใช้พอร์ต USB สาธารณะในการติดตั้งมัลแวร์หรือขโมยข้อมูลจากมือถือที่เสียบชาร์จ ทำให้ผู้ผลิตระบบปฏิบัติการมือถืออย่าง Apple และ Google ต้องออกมาตรการป้องกัน เช่น การให้ผู้ใช้เลือก “Charge only” หรือ “Transfer files” ทุกครั้งที่เสียบสาย
แต่ในปี 2025 นักวิจัยจาก Graz University of Technology ประเทศออสเตรีย ได้เปิดเผยเทคนิคใหม่ชื่อว่า Choicejacking ซึ่งสามารถหลอกให้มือถืออนุญาตการเชื่อมต่อข้อมูลโดยที่ผู้ใช้ไม่รู้ตัวเลยแม้แต่นิดเดียว
Choicejacking ไม่ใช่มัลแวร์แบบเดิม แต่ใช้การจำลองอุปกรณ์ USB หรือ Bluetooth เช่น คีย์บอร์ด เพื่อส่งคำสั่งปลอมไปยังมือถือให้ตอบตกลงกับหน้าต่างแจ้งเตือนการเชื่อมต่อข้อมูล โดยใช้เวลาเพียง 133 มิลลิวินาที—เร็วกว่าการกระพริบตา!
Choicejacking เป็นเทคนิคใหม่ที่สามารถหลอกมือถือให้อนุญาตการเชื่อมต่อข้อมูลโดยไม่ต้องแตะหน้าจอ
ใช้การจำลองอุปกรณ์ USB หรือ Bluetooth เพื่อส่งคำสั่งปลอม
ใช้เวลาเพียง 133 มิลลิวินาทีในการดำเนินการ
นักวิจัยจาก Graz University of Technology เป็นผู้ค้นพบและนำเสนอที่งาน USENIX Security Symposium 2025
เป็นการพัฒนาต่อจาก Juice Jacking ที่เคยเป็นภัยใหญ่เมื่อสิบปีก่อน
ได้รับการยอมรับจากผู้ผลิตมือถือรายใหญ่ เช่น Apple, Google, Samsung, Xiaomi
Choicejacking สามารถเข้าถึงข้อมูลส่วนตัว เช่น รูปภาพ, เอกสาร, ข้อมูลแอปพลิเคชัน
ทดสอบกับมือถือจาก 8 ผู้ผลิตหลัก และพบว่าทุกเครื่องมีช่องโหว่
บางรุ่นสามารถขโมยข้อมูลได้แม้หน้าจอจะล็อกอยู่
มีการใช้เทคนิคเสริม เช่น การตรวจจับช่วงเวลาที่ผู้ใช้ไม่สังเกตหน้าจอผ่านสายไฟ (power line side-channel)
ใช้ช่วงที่ผู้ใช้กำลังโทรศัพท์หรือดูวิดีโอเพื่อหลบเลี่ยงการตรวจจับ
เพิ่มความแนบเนียนในการโจมตี
ผู้ผลิตระบบปฏิบัติการเริ่มออกแพตช์เพื่อป้องกัน Choicejacking
iOS 18.4 และ Android 15 เพิ่มการยืนยันตัวตนก่อนอนุญาตการเชื่อมต่อ USB
แต่บางรุ่น เช่น Samsung ที่ใช้ One UI 7 ยังไม่มีการบังคับใช้การยืนยัน
การใช้พอร์ต USB สาธารณะ เช่น ที่สนามบิน, โรงแรม, ร้านกาแฟ อาจเสี่ยงต่อการถูกโจมตี
แม้จะดูปลอดภัย แต่พอร์ตอาจถูกดัดแปลงให้เป็นอุปกรณ์โจมตี
การเสียบสายโดยไม่ระวังอาจเปิดช่องให้แฮกเกอร์เข้าถึงข้อมูลได้ทันที
การโจมตีสามารถเกิดขึ้นได้แม้ผู้ใช้ไม่ได้แตะหน้าจอเลย
ใช้การจำลองคีย์บอร์ดหรืออุปกรณ์ Bluetooth เพื่อส่งคำสั่งปลอม
ผู้ใช้ไม่มีโอกาสเห็นหรือยกเลิกการอนุญาต
มือถือบางรุ่นยังไม่มีการบังคับให้ยืนยันตัวตนก่อนอนุญาตการเชื่อมต่อข้อมูล
แม้จะอัปเดตเป็น Android 15 แล้ว แต่บางแบรนด์ยังไม่เปิดใช้ฟีเจอร์นี้
ทำให้ผู้ใช้ยังเสี่ยงต่อการถูกโจมตี Choicejacking
อุปกรณ์ป้องกันแบบเดิม เช่น USB data blocker อาจไม่เพียงพออีกต่อไป
Choicejacking ใช้ช่องทางใหม่ที่ไม่ถูกบล็อกโดยอุปกรณ์เหล่านี้
ต้องใช้มาตรการเสริม เช่น สายชาร์จแบบ “charge-only” หรือ power bank ส่วนตัว
https://hackread.com/choicejacking-attack-steals-data-phones-public-chargers/ 🔌 เรื่องเล่าจากพอร์ตชาร์จ: เมื่อการเสียบสายกลายเป็นการเปิดประตูให้แฮกเกอร์
ย้อนกลับไปเมื่อสิบปีก่อน โลกเคยตื่นตัวกับภัย “Juice Jacking” ที่ใช้พอร์ต USB สาธารณะในการติดตั้งมัลแวร์หรือขโมยข้อมูลจากมือถือที่เสียบชาร์จ ทำให้ผู้ผลิตระบบปฏิบัติการมือถืออย่าง Apple และ Google ต้องออกมาตรการป้องกัน เช่น การให้ผู้ใช้เลือก “Charge only” หรือ “Transfer files” ทุกครั้งที่เสียบสาย
แต่ในปี 2025 นักวิจัยจาก Graz University of Technology ประเทศออสเตรีย ได้เปิดเผยเทคนิคใหม่ชื่อว่า Choicejacking ซึ่งสามารถหลอกให้มือถืออนุญาตการเชื่อมต่อข้อมูลโดยที่ผู้ใช้ไม่รู้ตัวเลยแม้แต่นิดเดียว
Choicejacking ไม่ใช่มัลแวร์แบบเดิม แต่ใช้การจำลองอุปกรณ์ USB หรือ Bluetooth เช่น คีย์บอร์ด เพื่อส่งคำสั่งปลอมไปยังมือถือให้ตอบตกลงกับหน้าต่างแจ้งเตือนการเชื่อมต่อข้อมูล โดยใช้เวลาเพียง 133 มิลลิวินาที—เร็วกว่าการกระพริบตา!
✅ Choicejacking เป็นเทคนิคใหม่ที่สามารถหลอกมือถือให้อนุญาตการเชื่อมต่อข้อมูลโดยไม่ต้องแตะหน้าจอ
➡️ ใช้การจำลองอุปกรณ์ USB หรือ Bluetooth เพื่อส่งคำสั่งปลอม
➡️ ใช้เวลาเพียง 133 มิลลิวินาทีในการดำเนินการ
✅ นักวิจัยจาก Graz University of Technology เป็นผู้ค้นพบและนำเสนอที่งาน USENIX Security Symposium 2025
➡️ เป็นการพัฒนาต่อจาก Juice Jacking ที่เคยเป็นภัยใหญ่เมื่อสิบปีก่อน
➡️ ได้รับการยอมรับจากผู้ผลิตมือถือรายใหญ่ เช่น Apple, Google, Samsung, Xiaomi
✅ Choicejacking สามารถเข้าถึงข้อมูลส่วนตัว เช่น รูปภาพ, เอกสาร, ข้อมูลแอปพลิเคชัน
➡️ ทดสอบกับมือถือจาก 8 ผู้ผลิตหลัก และพบว่าทุกเครื่องมีช่องโหว่
➡️ บางรุ่นสามารถขโมยข้อมูลได้แม้หน้าจอจะล็อกอยู่
✅ มีการใช้เทคนิคเสริม เช่น การตรวจจับช่วงเวลาที่ผู้ใช้ไม่สังเกตหน้าจอผ่านสายไฟ (power line side-channel)
➡️ ใช้ช่วงที่ผู้ใช้กำลังโทรศัพท์หรือดูวิดีโอเพื่อหลบเลี่ยงการตรวจจับ
➡️ เพิ่มความแนบเนียนในการโจมตี
✅ ผู้ผลิตระบบปฏิบัติการเริ่มออกแพตช์เพื่อป้องกัน Choicejacking
➡️ iOS 18.4 และ Android 15 เพิ่มการยืนยันตัวตนก่อนอนุญาตการเชื่อมต่อ USB
➡️ แต่บางรุ่น เช่น Samsung ที่ใช้ One UI 7 ยังไม่มีการบังคับใช้การยืนยัน
‼️ การใช้พอร์ต USB สาธารณะ เช่น ที่สนามบิน, โรงแรม, ร้านกาแฟ อาจเสี่ยงต่อการถูกโจมตี
⛔ แม้จะดูปลอดภัย แต่พอร์ตอาจถูกดัดแปลงให้เป็นอุปกรณ์โจมตี
⛔ การเสียบสายโดยไม่ระวังอาจเปิดช่องให้แฮกเกอร์เข้าถึงข้อมูลได้ทันที
‼️ การโจมตีสามารถเกิดขึ้นได้แม้ผู้ใช้ไม่ได้แตะหน้าจอเลย
⛔ ใช้การจำลองคีย์บอร์ดหรืออุปกรณ์ Bluetooth เพื่อส่งคำสั่งปลอม
⛔ ผู้ใช้ไม่มีโอกาสเห็นหรือยกเลิกการอนุญาต
‼️ มือถือบางรุ่นยังไม่มีการบังคับให้ยืนยันตัวตนก่อนอนุญาตการเชื่อมต่อข้อมูล
⛔ แม้จะอัปเดตเป็น Android 15 แล้ว แต่บางแบรนด์ยังไม่เปิดใช้ฟีเจอร์นี้
⛔ ทำให้ผู้ใช้ยังเสี่ยงต่อการถูกโจมตี Choicejacking
‼️ อุปกรณ์ป้องกันแบบเดิม เช่น USB data blocker อาจไม่เพียงพออีกต่อไป
⛔ Choicejacking ใช้ช่องทางใหม่ที่ไม่ถูกบล็อกโดยอุปกรณ์เหล่านี้
⛔ ต้องใช้มาตรการเสริม เช่น สายชาร์จแบบ “charge-only” หรือ power bank ส่วนตัว
https://hackread.com/choicejacking-attack-steals-data-phones-public-chargers/