ลูกค้าคนหนึ่งโทรมาด้วยความตื่นตระหนกหลังจากโทรศัพท์ของเขาสั่นไม่หยุดนานถึงสิบนาที โดยมีรหัสยืนยันตัวตนจากเว็บไซต์ที่เขาไม่เคยเข้าใช้งานส่งมาถึงสี่ร้อยรหัส เหตุการณ์ที่ถาโถมเข้ามานี้คือการโจมตีแบบ SMS-bombing ซึ่งเป็นการระดมส่งข้อความสั้น (SMS) ที่ถูกกฎหมายจำนวนมหาศาลเพื่อทำให้โทรศัพท์ทำงานหนักเกินไปและเพื่อบดบังกิจกรรมที่เป็นอันตรายอื่นๆ

วิธีการสร้างการโจมตี

ผู้โจมตีจะเขียนสคริปต์เพื่อส่งแบบฟอร์มลงทะเบียนบนเว็บไซต์หลายร้อยแห่งพร้อมกัน แต่ละแบบฟอร์มจะขอหมายเลขโทรศัพท์เพื่อส่งรหัสยืนยันตัวตน สคริปต์จะใส่หมายเลขของผู้เสียหายลงในทุกช่อง โดยที่เว็บไซต์เหล่านั้นไม่ทราบถึงการกระทำที่ผิดปกติ จึงทำการสร้างและส่ง SMS มาตรฐานไปยังหมายเลขที่ระบุ การโจมตีนี้ไม่ได้เป็นการเจาะระบบเครือข่ายผู้ให้บริการ แต่สแปมเหล่านี้มีต้นกำเนิดมาจากบริการส่งข้อความทางธุรกิจตามปกติ

ทำไมการส่งข้อความจำนวนมหาศาลจึงเป็นปัญหา

การถาโถมของข้อความมีวัตถุประสงค์สองประการ ประการแรก คือการสร้างฉากบังหน้า ในขณะที่ผู้เสียหายกำลังวุ่นวายกับการล้างกล่องข้อความ ผู้โจมตีก็สามารถดำเนินการอย่างรวดเร็วในด้านอื่นๆ เช่น การดูดเงินออกจากบัญชีธนาคาร หรือการทำรายการซื้อสินค้าโดยไม่ได้รับอนุญาต การแจ้งเตือนที่แท้จริงซึ่งควรจะเตือนผู้ใช้เกี่ยวกับกิจกรรมดังกล่าวจะถูกฝังอยู่ภายใต้ข้อความขยะจำนวนมาก

ประการที่สอง การระดมส่งข้อความนี้ช่วยปกปิดการโจมตีแบบ SIM-swap เมื่อผู้ให้บริการเครือข่ายแจ้งเตือนผู้ใช้ว่าหมายเลขของพวกเขากำลังถูกโอนย้าย ข้อความจำนวนมหาศาลจะกลบข้อความแจ้งเตือนนั้นไป กว่าที่การระดมส่งข้อความจะสงบลง อาชญากรก็อาจเข้าควบคุมหมายเลขโทรศัพท์ของผู้เสียหายได้แล้ว ทำให้พวกเขาสามารถเข้าถึงบริการใดๆ ก็ตามที่ต้องใช้การยืนยันตัวตนผ่าน SMS

ขั้นตอนเร่งด่วนสำหรับผู้ใช้งาน

  • ติดต่อผู้ให้บริการเครือข่าย – สอบถามเกี่ยวกับตัวกรองสแปมที่สามารถบล็อกข้อความจากรหัสสั้น (short codes) ที่ไม่ได้รับการยืนยัน
  • เปิดใช้งานการป้องกันสแปมที่มีมาให้ในเครื่อง – สมาร์ทโฟนส่วนใหญ่สามารถย้ายผู้ส่งที่ไม่รู้จักไปยังโฟลเดอร์แยกต่างหากได้
  • ตรวจสอบบัญชีต่างๆ จากอุปกรณ์ที่เชื่อถือได้ – มองหาการเข้าสู่ระบบหรือการเปลี่ยนรหัสผ่านที่คุณไม่ได้เป็นคนทำ
  • ลบข้อความจำนวนมากในคราวเดียว – หลีกเลี่ยงการคลิกลิงก์ใดๆ ภายในข้อความ เพราะมักจะเป็นกับดักฟิชชิง (phishing)

การปกป้องแอปพลิเคชัน

นักพัฒนาที่เปิดให้มีการกรอกช่องหมายเลขโทรศัพท์ในขั้นตอนการลงทะเบียนหรือการรีเซ็ตรหัสผ่านต้องเตรียมพร้อมรับมือกับการถูกโจมตี แนวทางการป้องกันที่นำไปใช้ได้จริง ได้แก่:

  • Rate limiting – จำกัดจำนวนการขอ SMS ที่ IP address หนึ่งสามารถส่งได้ต่อชั่วโมง
  • Behavioral analysis – ตรวจจับรูปแบบที่เป็นลักษณะของบอท เช่น การส่งแบบฟอร์มอย่างรวดเร็ว หรือการส่งข้อมูลชุดเดิมซ้ำๆ ในหลายคำขอ
  • Invisible honeypot fields – เพิ่มช่องกรอกข้อมูลที่ซ่อนอยู่ซึ่งผู้ใช้ที่เป็นมนุษย์จะไม่มีวันกรอก หากมีบอทมาเติมข้อมูลในช่องนี้ ให้ตัดการเชื่อมต่อทันที
  • Outbound log monitoring – ตั้งค่าการแจ้งเตือนเมื่อมีการส่งข้อความพุ่งสูงขึ้นอย่างกะทันหัน ซึ่งมักจะเป็นสัญญาณก่อนที่จะเกิดปัญหาค่าบริการบานปลาย
  • Geographic restrictions – หากบริการของคุณดำเนินงานในประเทศเดียว ให้บล็อกการส่ง SMS ไปยังภูมิภาคอื่นเพื่อป้องกันการนำไปใช้ในทางที่ผิดกับหมายเลขบริการที่มีค่าบริการพิเศษข้ามพรมแดน

ต้นทุนที่แฝงอยู่สำหรับธุรกิจ

นอกเหนือจากความรำคาญของผู้ใช้งานแล้ว SMS bombing ยังสามารถกลายเป็นภาระทางการเงินได้ ผู้โจมตีบางครั้งบังคับให้ระบบที่ถูกเจาะสามารถส่งข้อความไปยังหมายเลขที่มีค่าบริการพิเศษในต่างประเทศ ส่งผลให้ค่าโทรศัพท์ของผู้เสียหายพุ่งสูงขึ้น และผู้โจมตีจะได้รับส่วนแบ่งจากค่าธรรมเนียมนั้น ธุรกิจสตาร์ทอัพหลายแห่งรายงานความสูญเสียหลายพันดอลลาร์ภายในช่วงสุดสัปดาห์เดียวเมื่อการโจมตีลักษณะนี้ไม่ได้รับการตรวจสอบ

สิ่งที่ควรเฝ้าระวังต่อไป

  • ความผิดปกติของค่าบริการ – คอยตรวจสอบใบแจ้งหนี้จากผู้ให้บริการเครือข่ายเพื่อดูว่ามีการเรียกเก็บค่าบริการพิเศษที่ไม่ได้คาดคิดหรือไม่
  • แดชบอร์ดปริมาณข้อความ – ตรวจสอบบันทึกการส่งข้อความออก (outbound logs) และตั้งค่าการแจ้งเตือนเมื่อปริมาณข้อความพุ่งสูงขึ้นอย่างกะทันหัน

สรุปสาระสำคัญ

SMS bombing ใช้ข้อความยืนยันตัวตนทั่วไปเพื่อสร้างการถาโถมที่สร้างความรบกวนและปกปิดการฉ้อโกง ซึ่งสามารถสร้างความเสียหายต่อทั้งผู้ใช้และธุรกิจ ผู้ใช้ควรใช้ประโยชน์จากตัวกรองของผู้ให้บริการและรีบล้างกล่องข้อความให้เร็วที่สุด ในขณะที่นักพัฒนาต้องติดตั้งระบบ rate limits, การตรวจจับบอท และการตรวจสอบบันทึกข้อมูล (logging) อย่างเข้มงวดในทุกขั้นตอนที่มีการส่ง SMS การเพิกเฉยต่อภัยคุกคามนี้ไม่เพียงแต่จะนำมาซึ่งความรำคาญ แต่ยังนำไปสู่ความเสียหายทางการเงินและความปลอดภัยที่แท้จริง