การโจมตีแบบ SIM swap: เบอร์โทรศัพท์ไม่ใช่ตัวตนของคุณ

เมื่อวันที่ 9 มกราคม 2024 บัญชี X อย่างเป็นทางการของสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์สหรัฐฯ (SEC) ประกาศว่ากองทุน ETF บิตคอยน์แบบ spot ได้รับการอนุมัติแล้ว ราคาบิตคอยน์พุ่งขึ้นทันทีที่เห็นพาดหัว แล้วร่วงลงเมื่อ SEC ออกมาบอกว่าโพสต์นั้นเป็นของปลอม ต่อมาสำนักงานยืนยันว่ามันเกิดขึ้นได้อย่างไร ไม่มีใครเจาะระบบ X และไม่มีใครเจาะเครือข่ายของ SEC ผู้โจมตีเข้าควบคุมเบอร์โทรศัพท์ที่ผูกกับบัญชีผ่านการทำ SIM swap — การหลอกกระบวนการบริการลูกค้าตามปกติของค่ายมือถือ — แล้วใช้มันรีเซ็ตรหัสผ่านของบัญชี การอนุมัติ ETF ของจริงมาถึงในอีกหนึ่งวันถัดมา แต่บทเรียนมาถึงในทันที

การโจมตีคริปโตแบบ SIM swap ทุกครั้งตั้งอยู่บนสมมติฐานเงียบ ๆ เดียวกัน ซึ่งควรพูดออกมาตรง ๆ เพื่อจะได้ปฏิเสธมันเสีย นั่นคือ เบอร์โทรศัพท์ของคุณคือตัวคุณ ซึ่งไม่จริง เบอร์โทรศัพท์เป็นเพียงป้ายกำกับเส้นทางที่เช่ามาจากค่ายมือถือ และค่ายมือถือสามารถย้ายมันไปยังซิมการ์ดใบใดก็ได้ภายในไม่กี่นาที — นั่นเป็นฟีเจอร์ ออกแบบไว้สำหรับวันที่คุณทำโทรศัพท์หาย รหัส SMS ทุกรหัส ทุกข้อความ “เราจะส่งลิงก์รีเซ็ตให้ทาง SMS” และทุกบัญชีที่ระบุเบอร์ของคุณเป็นช่องทางกู้คืน ล้วนสืบทอดฟีเจอร์นั้นมา หากคริปโตของคุณอยู่ ณ จุดใดก็ตามที่อยู่ปลายทางของมัน บทสนทนากับฝ่ายบริการที่คุณจะไม่มีวันได้ยินก็เป็นส่วนหนึ่งของโมเดลความปลอดภัยของคุณ

SIM swap คืออะไรกันแน่

SIM swap คือการโจมตีที่มีคนโน้มน้าวหรือติดสินบนค่ายมือถือให้ย้ายเบอร์โทรศัพท์ของเหยื่อไปยังซิมการ์ดที่ผู้โจมตีควบคุมอยู่ ไม่มีอะไรในโทรศัพท์ของเหยื่อถูกแฮ็ก ตัวเครื่องไม่เคยถูกแตะต้องเลย ผู้โจมตีเริ่มจากรวบรวมข้อมูลส่วนตัวจากเหตุข้อมูลรั่วไหล โซเชียลมีเดีย หรือการฟิชชิง แล้วโทรหาฝ่ายบริการของค่ายมือถือโดยปลอมตัวเป็นเหยื่อ พร้อมเรื่องเล่าว่าทำโทรศัพท์หายหรือเครื่องเสีย ในกรณีอื่น ๆ ที่มีบันทึกไว้ ผู้โจมตีเพียงจ่ายเงินให้พนักงานหน้าร้านทำการย้ายจากภายใน หรือย้ายเบอร์ไปยังค่ายมือถืออื่นไปเลย

นับจากวินาทีที่การย้ายเสร็จสมบูรณ์ เครื่องของเหยื่อจะแสดงคำว่า “ไม่มีสัญญาณ” ในขณะที่อุปกรณ์ของผู้โจมตีรับทุกสายและทุกข้อความที่ส่งมายังเบอร์นั้น ขั้นตอนที่ตามมานั้นรวดเร็วและเป็นสูตรสำเร็จ คือ ขอรีเซ็ตรหัสผ่านอีเมลของเหยื่อ อนุมัติด้วยรหัส SMS ที่ตอนนี้ไปโผล่ที่โทรศัพท์ของผู้โจมตี แล้วขยายวงออกไปยังทุกอย่างที่อีเมลนั้นควบคุมอยู่ — บัญชีกระดานเทรดเป็นอันดับแรก การโจรกรรมแบบ SIM swap มักลงมือกันข้ามคืน เสร็จสิ้นก่อนที่เหยื่อจะเข้าใจว่าทำไมโทรศัพท์ของตนถึงเงียบไป

การโจรกรรม 24 ล้านดอลลาร์ หน่วยงานรัฐบาลกลาง และคำเตือนที่มีมานานหลายปี

ไม่มีเรื่องใดในนี้ที่เป็นเพียงทฤษฎี และไม่มีเรื่องใดที่เป็นของใหม่ ในปี 2018 Michael Terpin นักลงทุนคริปโตสูญเสียโทเคนมูลค่าราว 24 ล้านดอลลาร์หลังเบอร์ของเขาถูกย้าย — โดยมีคนในของร้านค่ายมือถือช่วยเหลือ ตามคำบอกเล่าของเขา — และคดีที่เขาฟ้อง AT&T ก็กลายเป็นหนึ่งในคดี SIM swap ที่ถูกรายงานอย่างกว้างขวางที่สุดในยุคนั้น ต่อมาศาลตัดสินให้เขาได้รับค่าเสียหายราว 75 ล้านดอลลาร์จากหนึ่งในผู้อยู่เบื้องหลังการโจรกรรม

เหตุการณ์ SEC ในเดือนมกราคม 2024 แสดงให้เห็นอีกขั้วหนึ่งของสเปกตรัม นั่นคือ เป้าหมายที่ไม่มีเงินให้ขโมย แต่ถูกโจมตีเพื่อเสียงของมัน เบอร์ที่ผูกกับบัญชี X ของสำนักงานถูกย้ายไปยังซิมใหม่ และตามคำบอกเล่าของ SEC เอง การป้องกันแบบหลายปัจจัยเพิ่มเติมบนบัญชีถูกปิดไว้ตั้งแต่หลายเดือนก่อนหน้า — ดังนั้นการควบคุมเบอร์เพียงอย่างเดียวก็เพียงพอที่จะรีเซ็ตรหัสผ่านและโพสต์ได้ อัยการรัฐบาลกลางตั้งข้อหาชายคนหนึ่งในการย้ายเบอร์ครั้งนั้นภายในปีเดียวกัน หากกลเม็ดกับฝ่ายบริการลูกค้าสามารถขยับตลาดบิตคอยน์ได้ชั่วครู่ด้วยการยึดบัญชีของหน่วยงานกำกับดูแล บัญชีกระดานเทรดที่ป้องกันด้วย SMS ก็ไม่ใช่เป้าหมายที่เจาะยากเลย

ศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ต (Internet Crime Complaint Center) ของ FBI เตือนเกี่ยวกับรูปแบบนี้มาหลายปี โดยบันทึกความสูญเสียจาก SIM swap ที่มีการรายงานไว้มากกว่า 68 ล้านดอลลาร์เฉพาะในปี 2021 ปีเดียว — มากกว่ายอดรวมของสามปีก่อนหน้าหลายเท่า นับแต่นั้นหน่วยงานกำกับดูแลได้ผลักดันให้ค่ายมือถือตรวจสอบตัวตนเข้มงวดขึ้นก่อนย้ายเบอร์ ซึ่งช่วยได้บ้างในระดับหนึ่ง แต่ข้อเท็จจริงเชิงโครงสร้างยังคงอยู่ นั่นคือ เบอร์ที่สามารถย้ายได้ผ่านเวิร์กโฟลว์ของฝ่ายบริการ ย่อมสามารถถูกย้ายได้ผ่านเวิร์กโฟลว์ที่ถูกหลอกเช่นกัน

ทำไมคริปโตจึงเป็นเป้าหมายอันดับหนึ่ง

SIM swap มีมาก่อนคริปโต — มันถูกใช้โจมตีบัญชีธนาคารและโซเชียลมีเดียมาหลายปี — แต่คริปโตเปลี่ยนเศรษฐศาสตร์ของการโจมตีนี้ไป การโอนเงินธนาคารที่ฉ้อฉลสามารถถูกตั้งค่าเตือน อายัด และมักย้อนกลับได้ ส่วนการถอนคริปโตนั้นเสร็จสมบูรณ์ในไม่กี่นาทีและถือเป็นที่สิ้นสุด กว่าเหยื่อจะได้เบอร์คืน เงินก็ข้ามเชนไปแล้วหรือเข้าสู่ mixer ไปแล้ว สำหรับผู้โจมตีที่ถือเบอร์ที่ขโมยมาไว้เพียงไม่กี่ชั่วโมง บัญชีกระดานเทรดที่เฝ้าด้วย SMS คือประตูที่มีค่าที่สุดที่เบอร์นั้นเปิดออกได้

ความเป็นธรรมเรียกร้องให้มีข้อแม้ นั่นคือ การยืนยันตัวตนสองปัจจัยผ่าน SMS ก็ยังดีกว่ารหัสผ่านเพียงอย่างเดียว และมันสกัดการโจมตีแบบ credential stuffing จากระยะไกลได้เป็นส่วนใหญ่ กระดานเทรดเองก็พัฒนาขึ้นเช่นกัน — รหัสจากแอป authenticator, กุญแจความปลอดภัยแบบฮาร์ดแวร์, รายการที่อยู่ถอนเงินที่อนุญาต (allowlist) และการถอนเงินแบบหน่วงเวลา ล้วนมีให้ใช้อย่างแพร่หลายบนแพลตฟอร์มใหญ่ ๆ และทั้งหมดนี้ควรค่าแก่การเปิดใช้ตั้งแต่วันนี้ ปัญหาไม่ได้อยู่ที่ SMS 2FA ไม่ได้ทำอะไรเลย ปัญหาคือมันล้มเหลวต่อผู้โจมตีที่ยึดเบอร์ของคุณไปแล้วพอดี — และนั่นคือผู้โจมตีประเภทที่คริปโตดึงดูดเข้ามาพอดิบพอดี

บัญชีใดก็ตามที่กู้คืนได้ด้วยเบอร์โทรศัพท์ สุดท้ายแล้วถูกควบคุมโดยใครก็ตามที่ค่ายมือถือของคุณเชื่อว่าเป็นตัวคุณ

เพิ่มความแข็งแกร่งให้บัญชีที่ยังต้องพึ่งพาเบอร์ของคุณ

บริการบางอย่างจะยืนกรานให้ผูกเบอร์โทรศัพท์ไว้ เป้าหมายคือลดทอนสิ่งที่เบอร์นั้นทำได้ให้เหลือน้อยที่สุด

1. ถอดเบอร์ของคุณออกจากเส้นทางกู้คืน เริ่มจากบัญชีอีเมลหลักของคุณ — มันคือศูนย์กลางที่การรีเซ็ตอื่น ๆ ทุกอย่างวิ่งผ่าน หากบัญชีสามารถกู้คืนได้ด้วย SMS ผู้โจมตีที่มีเบอร์ของคุณก็ไม่จำเป็นต้องใช้รหัสผ่านของคุณเลย
2. เปลี่ยนจาก SMS 2FA ไปใช้แอป authenticator หรือกุญแจฮาร์ดแวร์ รหัสที่สร้างขึ้นบนอุปกรณ์ไม่เคยเดินทางผ่านเครือข่ายของค่ายมือถือ และกุญแจฮาร์ดแวร์แบบ FIDO2 ต้านการฟิชชิงได้อย่างสิ้นเชิง
3. ล็อกเบอร์ของคุณไว้ที่ค่ายมือถือ ค่ายมือถือรายใหญ่ส่วนมากมี PIN สำหรับการย้ายเบอร์ (port-out PIN), การล็อกเบอร์ หรือทั้งสองอย่าง ไม่มีอย่างไหนที่เอาชนะไม่ได้ แต่มันเพิ่มต้นทุนของการหลอกลวงฝ่ายบริการลูกค้าขึ้นอย่างมาก
4. ใช้อีเมลเฉพาะสำหรับบัญชีกระดานเทรด — อีเมลที่ไม่เคยเผยแพร่ที่ใดและไม่มีเบอร์โทรศัพท์ผูกไว้เลย
5. ถือว่าการสูญเสียสัญญาณกะทันหันเป็นเหตุฉุกเฉิน หากโทรศัพท์ของคุณตกไปที่ “ไม่มีสัญญาณ” ในขณะที่เครื่องรอบตัวยังใช้งานได้ ให้โทรหาค่ายมือถือของคุณจากอีกสายหนึ่ง และอายัดบัญชีกระดานเทรดของคุณเป็นอย่างแรก ไม่ใช่อย่างสุดท้าย

ขั้นตอนเหล่านี้ลดพื้นผิวการโจมตี แต่ไม่สามารถกำจัดมันได้ ปัญหาที่รากคือเรื่องของสถาปัตยกรรม — ห่วงโซ่การกู้คืนที่ไปสิ้นสุดที่ฝ่ายบริการลูกค้าซึ่งคุณไม่ได้ควบคุม

ทางแก้เชิงโครงสร้าง: กุญแจที่คุณถือ ไม่ใช่เบอร์ที่คุณเช่า

Self-custody เปลี่ยนรูปทรงของปัญหา แทนที่จะแค่ลบเหลี่ยมมุมของมัน กระเป๋าแบบ self-custody ไม่มีบัญชีให้กู้คืน การควบคุมเงินคือการครอบครอง private key และไม่มีฝ่ายบริการลูกค้าที่ไหนสามารถย้าย private key ได้ Ownbit สร้างขึ้นบนหลักการนั้นพอดี — กุญแจถูกสร้างและเก็บไว้บนอุปกรณ์ของคุณ ไม่มีเส้นทางกู้คืนที่อิงกับเบอร์โทรศัพท์เลยแม้แต่น้อย และโมเดลความปลอดภัยของกระเป๋าตั้งอยู่บนสมมติฐานว่าเซิร์ฟเวอร์ของ Ownbit เองก็ไม่ควรแตะต้องเงินได้เลย พวกมันแค่ประสานการลงนามเท่านั้น แต่ไม่เคยถือกุญแจ

ความซื่อตรงเรียกร้องให้พูดประโยคถัดไปด้วยเช่นกัน นั่นคือ self-custody แลกความเสี่ยงจากค่ายมือถือมาเป็นความเสี่ยงในการจัดการกุญแจ seed phrase ชุดเดียวที่คอยปกป้องทุกสิ่งก็เป็นจุดล้มเหลวเพียงจุดเดียวในตัวมันเอง — สำรองข้อมูลที่ถูกถ่ายรูปไว้เพียงชุดเดียว หรือวลีที่ถูกฟิชไปเพียงชุดเดียว ผลลัพธ์ก็ดูเหมือน SIM swap ที่แค่มีขั้นตอนเพิ่มขึ้น คำตอบไม่ใช่การหวนกลับไปใช้ SMS แต่คือการแบ่งการควบคุมออกจากกัน ในกระเป๋ามัลติซิก การย้ายเงินต้องใช้ลายเซ็นจากกุญแจอิสระหลายดอก — โดยทั่วไปคือสองในสาม ซึ่งเป็นเกณฑ์ที่เราเคยให้เหตุผลไว้ว่าเป็นจุดสมดุลของการเก็บรักษาส่วนบุคคล ผู้โจมตีที่เจาะช่องทางใดช่องทางหนึ่งได้ — วลีที่ถูกฟิชหนึ่งชุด โทรศัพท์ที่ถูกขโมยหนึ่งเครื่อง หรือแม้แต่ซิมที่ถูกย้ายหนึ่งใบที่ใช้หลอกล่อผู้ลงนามด้วยวิศวกรรมสังคม — ก็ยังไม่สามารถถึงเกณฑ์ได้ตามลำพัง

การโจมตีคริปโตแบบ SIM swap สิ้นสุดลง ณ จุดที่การครอบครองกุญแจเริ่มต้นขึ้น กุญแจทุกดอกในมัลติซิกของ Ownbit คือ seed phrase มาตรฐาน BIP39 ดังนั้นการจัดวางนี้จึงยังกู้คืนได้โดยไม่ต้องพึ่งเซิร์ฟเวอร์ของ Ownbit ความต่างระหว่างสองโมเดลนี้คือแก่นของบทความทั้งหมดนี้ โมเดลหนึ่งกระจุกการควบคุมไว้ในข้อมูลยืนยันตัวตนที่บุคคลที่สามสามารถย้ายได้ในไม่กี่นาที ส่วนอีกโมเดลกระจายการควบคุมออกไปยังกุญแจที่มีเพียงคุณและคนที่คุณเลือกเท่านั้นที่เคยครอบครอง

คำถามที่พบบ่อย