ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ขอแจ้งเตือนผู้ใช้งานเกี่ยวกับความเสี่ยงจากการใช้งานฟังก์ชัน Cloud Sync ของ Google Authenticator ซึ่งช่วยสำรองและ Sync ข้อมูลที่ใช้สร้างรหัสยืนยันตัวตนแบบใช้ครั้งเดียว หรือ Time-based One-Time Password (TOTP) ผ่าน Google Account เพื่อให้สามารถเรียกคืนหรือใช้งานรหัสบนอุปกรณ์เครื่องใหม่ได้สะดวก
แม้ฟังก์ชันดังกล่าวจะช่วยลดความเสี่ยงจากการสูญหายของข้อมูล Authenticator เมื่อเปลี่ยนอุปกรณ์หรืออุปกรณ์สูญหาย แต่ในอีกด้านหนึ่งทำให้ Google Account ที่ใช้สำหรับ Cloud Sync มีความสำคัญต่อข้อมูลการยืนยันตัวตนของบริการอื่น เนื่องจากข้อมูล TOTP อาศัย Secret Key หรือ Seed สำหรับสร้างรหัส OTP หากผู้ไม่หวังดีสามารถเข้าควบคุม Google Account และเข้าถึงข้อมูล Authenticator ที่ Sync ไว้ได้ อาจเพิ่มความเสี่ยงต่อการเข้าถึงบัญชีหรือบริการอื่นที่ใช้ข้อมูลดังกล่าวในการยืนยันตัวตน ทั้งนี้ ประเด็นดังกล่าวเป็น ความเสี่ยงด้านการออกแบบและการรวมศูนย์ของข้อมูลการยืนยันตัวตน (Architectural / Design Risk) ซึ่งผู้ใช้งานควรพิจารณาให้เหมาะสมกับระดับความสำคัญของบัญชีและบริการที่นำมาใช้งาน
1. ความเสี่ยงจาก Google Authenticator Cloud Sync
ในเดือนเมษายน 2566 Google ได้เพิ่มฟังก์ชัน Cloud Sync ใน Google Authenticator [1] เพื่อสำรองและซิงก์ข้อมูลรหัสยืนยันตัวตนแบบใช้ครั้งเดียว (MFA/2FA) ผ่าน Google Account ช่วยให้ผู้ใช้งานสามารถเรียกคืนข้อมูล Authenticator และใช้งานต่อบนอุปกรณ์อื่นได้ โดย Google Authenticator ใช้มาตรฐาน Time-based One-Time Password (TOTP) ซึ่งอาศัย Secret Key หรือ Seed ร่วมกับเวลาในการคำนวณรหัส OTP
ต่อมา นักวิจัยด้านความมั่นคงปลอดภัยจาก Mysk ได้วิเคราะห์การทำงานของ Cloud Sync [2] และตั้งข้อสังเกตเกี่ยวกับการ Sync ข้อมูลผ่าน Google Authenticator ในขณะนั้น ยังไม่มีการเข้ารหัสแบบ End-to-End Encryption (E2EE) อย่างไรก็ตาม ข้อมูลทางการของ Google ในปัจจุบันระบุว่า Authenticator codes ได้รับการเข้ารหัสทั้งระหว่างการรับส่งข้อมูล (in transit) และขณะจัดเก็บข้อมูล (at rest) [3]
ดังนั้น ความเสี่ยงสำคัญที่ผู้ใช้งานควรพิจารณาคือ การที่ Google Account ซึ่งใช้สำหรับ Cloud Sync ถูกเข้าควบคุม อาจทำให้ผู้โจมตีเข้าถึงข้อมูล Authenticator ที่เชื่อมโยงกับบัญชีดังกล่าว และเพิ่มความเสี่ยงต่อบัญชีหรือบริการอื่นที่ใช้ TOTP เป็นปัจจัยในการยืนยันตัวตน ส่งผลให้ Google Account อาจกลายเป็นจุดรวมความเสี่ยงเชิงความปลอดภัย (single point of compromise) ของข้อมูลการยืนยันตัวตน ซึ่งลดประสิทธิผลของแนวคิด Defense in Depth หากปัจจัยการยืนยันตัวตนไม่ได้ถูกแยกออกจากบัญชีหลักอย่างเหมาะสม
2. ตัวอย่างเหตุการณ์และรูปแบบการโจมตี
กรณีเหตุการณ์การโจมตีบัญชีพนักงานของ Retool ในปี 2566 [4] สะท้อนให้เห็นถึงความเสี่ยงจากการรวมปัจจัยการยืนยันตัวตนไว้ภายใต้บัญชี Cloud โดยผู้โจมตีใช้ SMS-based Phishing และ Social Engineering หลอกพนักงานในช่วงที่ Retool อยู่ระหว่างการย้ายระบบเข้าสู่ Okta ก่อนเข้าถึงบัญชี Okta และเพิ่มอุปกรณ์ของผู้โจมตี จากนั้นจึงขยายการเข้าถึงไปยัง Google Workspace และข้อมูล MFA ที่ Sync ไว้ใน Google Authenticator ซึ่งถูกนำไปใช้เข้าถึง VPN และระบบภายในอื่นต่อไป เหตุการณ์ดังกล่าวแสดงให้เห็นว่า แม้ Cloud Sync จะไม่ใช่จุดเริ่มต้นของการโจมตี แต่หากบัญชี Cloud ถูกเข้าควบคุมและมีข้อมูลการยืนยันตัวตนที่ Sync อยู่ ผลกระทบอาจขยายไปยังบัญชีหรือบริการอื่นที่พึ่งพาข้อมูลดังกล่าวได้
นอกจากนี้ พบรายงานในเดือนสิงหาคม 2569 กรณีผู้ถือครอง Bitcoin รายหนึ่งสูญเสียสินทรัพย์ดิจิทัลมูลค่าประมาณ 750,000 ดอลลาร์สหรัฐ ภายหลังจากโอน Bitcoin ไปยังแพลตฟอร์มซื้อขายสินทรัพย์ดิจิทัลรายใหญ่ในต่างประเทศ [5] โดยผู้โจมตีสามารถเข้าควบคุม Google Account ของผู้เสียหายเป็นระยะเวลาประมาณ 3 เดือน และเข้าถึงข้อมูลการยืนยันตัวตนผ่าน Google Authenticator Cloud Sync ก่อนใช้บัญชีที่ถูกต้อง (Valid Accounts) เพื่อเข้าถึงบัญชีซื้อขายและดำเนินการถอนสินทรัพย์ออก ลักษณะดังกล่าวสอดคล้องกับการยึดครองบัญชี (Account Takeover: ATO) และแสดงให้เห็นว่า การเข้าควบคุม Google Account อาจถูกนำมาใช้เป็นจุดเริ่มต้นในการเข้าถึงบัญชีและสินทรัพย์ที่มีความสำคัญในลำดับถัดไป
3. บัญชีและระบบที่ควรพิจารณาความเสี่ยง ผู้ใช้งานและหน่วยงานควรให้ความสำคัญเป็นพิเศษกับกรณีดังต่อไปนี้
3.1 บัญชีที่ใช้งาน Google Authenticator และเปิดใช้ฟังก์ชัน Cloud Sync
3.2 บัญชีที่ใช้ Google Account หรือบัญชีอีเมลเดียวกันสำหรับการเข้าสู่ระบบ การกู้คืนบัญชี และการ Sync ข้อมูล Authenticator
3.3 บัญชีที่สามารถเข้าถึงระบบสำคัญ เช่น บัญชีผู้ดูแลระบบ ระบบ Cloud ระบบภายในองค์กร ระบบการเงิน หรือระบบที่เกี่ยวข้องกับสินทรัพย์ดิจิทัล
3.4 บัญชีที่ใช้ TOTP เป็นปัจจัยหลักในการยืนยันตัวตนโดยไม่มีวิธีที่ป้องกันการโจมตีแบบ Phishing
4. แนวทางการป้องกันเพื่อลดความเสี่ยง
4.1 ตรวจสอบการตั้งค่า Google Authenticator และพิจารณาความจำเป็นในการเปิดใช้ Cloud Sync โดยเฉพาะบัญชีที่ใช้สำหรับเข้าถึงระบบสำคัญ
4.2 เพิ่มความปลอดภัยให้ Google Account ที่ใช้สำหรับ Cloud Sync โดยใช้รหัสผ่านที่รัดกุมและไม่ซ้ำกับบริการอื่น และควรใช้ Passkey หรือ Security Key ที่รองรับ FIDO2/WebAuthn เป็นวิธีการยืนยันตัวตนหลักสำหรับบัญชีที่มีความสำคัญ ทั้งนี้ ไม่ควรพึ่งพา TOTP ที่ Sync อยู่ใน Google Account เดียวกันเป็นปัจจัยหลักเพียงอย่างเดียวในการปกป้อง Google Account นั้นเอง และควรแยกวิธีการกู้คืนบัญชีออกจากปัจจัยดังกล่าว [6]
4.3 สำหรับบัญชีที่มีสิทธิ์สูงหรือระบบที่มีความสำคัญ ควรพิจารณาใช้ Passkey หรือ Security Key ที่รองรับ FIDO2/WebAuthn ซึ่งมีคุณสมบัติป้องกันการโจมตีแบบ Phishing ได้ดีกว่า TOTP [7]
4.4 ควรหลีกเลี่ยงการรวมปัจจัยสำคัญทั้งหมดไว้ภายใต้บัญชีเดียวกัน เช่น การใช้บัญชีเดียวกันสำหรับเข้าสู่ระบบ กู้คืนบัญชี และ Sync ข้อมูล Authenticator
4.5 เปิดใช้ฟีเจอร์ Privacy Screen เพื่อกำหนดให้ต้องยืนยันตัวตนด้วย PIN, Pattern หรือ Biometric ก่อนเข้าถึงรหัสภายใน Google Authenticator โดยฟังก์ชันดังกล่าวช่วยป้องกันการเปิดดูรหัสจากอุปกรณ์ที่อยู่ในมือของบุคคลอื่น แต่ไม่ได้ป้องกันการเข้าควบคุม Google Account หรือการเข้าถึงข้อมูล Authenticator ที่ซิงก์ไว้จากอุปกรณ์อื่น
4.6 สำหรับผู้ที่ไม่ต้องการใช้ Cloud Sync สามารถเลือกใช้งาน Google Authenticator โดยไม่ผูกกับบัญชี Google เพื่อจัดเก็บข้อมูล Authenticator ไว้เฉพาะบนอุปกรณ์ ทั้งนี้ ควรเตรียมวิธีสำรองหรือโอนข้อมูลก่อนเปลี่ยนหรือสูญเสียอุปกรณ์
4.7 จัดเก็บ Recovery Code หรือ Backup Code สำหรับบัญชีสำคัญไว้ในสถานที่ที่ปลอดภัย และหลีกเลี่ยงการจัดเก็บไว้ร่วมกับบัญชีหรือบริการที่ใช้สำหรับการยืนยันตัวตน
5. แนวทางตรวจสอบเมื่อสงสัยว่าบัญชีถูกเข้าควบคุม
5.1 เปลี่ยนรหัสผ่านของ Google Account ที่ได้รับผลกระทบ และยกเลิก Session หรืออุปกรณ์ที่ไม่รู้จักออกจากบัญชีโดยเร็ว
5.2 ตรวจสอบประวัติการเข้าสู่ระบบ อุปกรณ์ที่เชื่อมต่อ ตำแหน่งการเข้าสู่ระบบ และกิจกรรมด้านความปลอดภัยย้อนหลัง เพื่อค้นหาการใช้งานที่ผิดปกติ
5.3 ตรวจสอบการเปลี่ยนแปลงข้อมูลสำหรับกู้คืนบัญชี เช่น อีเมลสำรอง หมายเลขโทรศัพท์ อุปกรณ์ที่เชื่อถือได้ รวมถึงวิธีการยืนยันตัวตนที่ถูกเพิ่มเข้ามาโดยไม่ได้รับอนุญาต
5.4 พิจารณายกเลิกและสร้าง TOTP Secret ใหม่ สำหรับบริการสำคัญที่เคย Sync ผ่านบัญชีดังกล่าว เนื่องจากการเปลี่ยนรหัสผ่านของ Google Account เพียงอย่างเดียวไม่ได้ทำให้ TOTP Secret ของบริการอื่นเปลี่ยนแปลง
5.5 ตรวจสอบบัญชีและบริการอื่นที่ใช้ข้อมูล Authenticator จากบัญชีดังกล่าว โดยเฉพาะระบบ VPN ระบบ Cloud ระบบผู้ดูแลระบบ ระบบการเงิน และบริการที่เกี่ยวข้องกับสินทรัพย์ดิจิทัล
5.6 สำหรับบัญชีที่เกี่ยวข้องกับระบบสำคัญหรือสินทรัพย์ที่มีมูลค่าสูง ควรตรวจสอบประวัติการทำรายการ การเปลี่ยนแปลงสิทธิ์ และกิจกรรมที่เกิดขึ้นในช่วงเวลาที่คาดว่าบัญชีอาจถูกเข้าควบคุม
การเปิดใช้ Cloud Sync ไม่ได้หมายความว่า Google Authenticator ถูกโจมตีโดยตรงหรือเป็นช่องโหว่ของแอปพลิเคชัน แต่ทำให้ Google Account มีความสำคัญต่อความปลอดภัยของข้อมูล Authenticator มากขึ้น หาก Google Account ถูกเข้าควบคุม ความเสี่ยงอาจขยายไปยังบัญชีหรือบริการอื่นที่ใช้ข้อมูลการยืนยันตัวตนที่ Sync ไว้ ดังนั้น ผู้ใช้งานควรพิจารณาเลือกรูปแบบการจัดเก็บและการยืนยันตัวตนให้เหมาะสมกับระดับความสำคัญของบัญชี และแยกวิธีการปกป้องบัญชีหลัก วิธีการกู้คืนบัญชี และข้อมูล Authenticator ออกจากกันเท่าที่สามารถดำเนินการได้
แหล่งอ้างอิง
[1] https://dg.th/afcslvgx02
[2] https://dg.th/dujyx1mz9q
[3] https://dg.th/ecf3p1kirl
[4] https://dg.th/csu815go2d
[5] https://dg.th/xfvtijmuns
[6] https://dg.th/b6uo9g2dcv
[7] https://dg.th/ct91q4lj73