นักวิจัยพบการโจมตีแบบ DoubleClick แค่ดับเบิ้ลคลิกบนเว็บปลอมก็โดนขโมยบัญชีได้

การแฮกเพื่อขโมยบัญชีใช้งานของเหยื่อมักจะมาในหลากหลายรูปแบบ อย่างที่ชัดสุดคือ การหลอกใช้มัลแวร์ขโมยรหัสผ่าน แต่ตอนนี้การขโมยบัญชีได้มีเทคนิครูปแบบใหม่ที่น่ากลัวกว่าเดิมเป็นที่เรียบร้อยแล้ว

จากรายงานโดยเว็บไซต์ Bleeping Computer ได้รายงานถึงการตรวจพบเทคนิคการขโมยบัญชีผู้ใช้งานในรูปแบบใหม่ ซึ่งเป็นเทคนิคที่ถูกเรียกว่า "DoubleClickjacking" ซึ่งจะเป็นการหลอกล่อให้เหยื่อทำการคลิก 2 ครั้ง หรือ Double Clicks ในจุดที่กำหนด อันจะนำไปสู่การให้สิทธิ์ (Permission) บางอย่างกับแฮกเกอร์ เช่น การอนุญาตให้แอปพลิเคชันยืนยันตัวตนเชื่อมต่อกับบัญชีของแฮกเกอร์ อันจะนำไปสู่การขโมยบัญชีการใช้งานบริการของเหยื่อได้

ภาพจาก : https://www.bleepingcomputer.com/news/security/new-doubleclickjacking-attack-exploits-double-clicks-to-hijack-accounts/

โดยทางนักวิจัยด้านความปลอดภัยไซเบอร์ คุณ Paulos Yibelo ได้ออกมาทำการเปิดโปงถึงขั้นตอนการทำงานของแฮกเกอร์ด้วยวิธีการดังกล่าวว่า แฮกเกอร์จะเริ่มต้นด้วยการล่อลวงเหยื่อเข้ามายังเว็บไซต์ที่ดูเหมือนจะไม่มีพิษมีภัยใด ๆ โดยบนเว็บไซต์นั้น โดยมากมักจะสร้างโดยให้มีปุ่มสำหรับการคลิกเพื่อรับรางวัล หรือ รับชมวิดีโอคลิป ในรูปแบบ [Click Here]

หลังจากที่เหยื่อหลวมตัวคลิกลิงก์ที่อยู่บนปุ่มดังกล่าวเป็นที่เรียบร้อยแล้ว ก็จะเข้าสู่จุดลวงที่ 2 คือ เหยื่อจะต้องทำการแก้ Captcha เพื่อไปต่อ ขณะที่ JavaScript เบื้องหลัง Captcha ได้ทำการเปลี่ยนหน้าเพจไปสู่อีกเว็บไซต์หนึ่งที่ดูมีความน่าเชื่อถือ เพื่อหลอกให้เหยื่อตายใจทำตามที่ Captcha กำหนด โดยถ้าเหยื่อทำการ Double Click บนตัวเฟรมของ Captcha ตามคำสั่งที่ได้รับ ขั้นตอนสคริปท์ในการมอบสิทธิ์ให้แฮกเกอร์เข้าถึงสิ่งที่แฮกเกอร์ต้องการ อันจะนำไปสู่การเข้ายึดบัญชี ก็จะเริ่มทำงานในทันที

นอกจากนั้นแล้ว ทางนักวิจัยยังได้เตือนอีกว่า การหลอกลวงดังกล่าวไม่เพียงแต่จะเกิดขึ้นบนเว็บไซต์ปลอมของแฮกเกอร์เท่านั้น แต่แฮกเกอร์ยังสามารถฝังสคริปท์ดังกล่าวบนเว็บไซต์ที่มีการรักษาความปลอดภัยไม่เพียงพออีกด้วย ทั้งยังสามารถใช้การหลอกลวงในรูปแบบเดียวกับผู้ใช้งานโทรศัพท์มือถือได้ในรูปแบบที่เรียกว่า ให้กด 2 ครั้ง หรือ DoubleTab ซึ่งสำหรับวิธีการป้องกันนั้นจะสามารถป้องกันได้โดยการจัดการของผู้พัฒนาเว็บไซต์เท่านั้น ซึ่งคุณ Paulos Yibelo ได้ทำการแจก JavaScript สำหรับฝังบนเว็บไซต์เพื่อป้องกันการแทรกแซงจากแฮกเกอร์ในรูปแบบดังกล่าว ซึ่งผู้พัฒนาเว็บไซต์สามารถติดต่อกับทางนักวิจัยได้โดยตรงในการขอสคริปท์ดังกล่าวมาใช้งานบนเว็บไซต์