งานวิจัยใหม่ที่ตีพิมพ์ในวารสารของ Privacy Enhancing Technologies Symposium (PETS) เผยว่า 18 จาก 100 แอป VPN ที่ถูกดาวน์โหลดมากที่สุดบน Google Play แท้จริงแล้วแอบเชื่อมโยงกันเป็น 3 “ครอบครัว” แม้จะอ้างว่าเป็นผู้ให้บริการอิสระ และถูกจัดวางในร้านแอปให้เป็นคนละผลิตภัณฑ์ ทั้งหมดนี้มียอดดาวน์โหลดรวมบน Android มากกว่า 700 ล้านครั้ง
ทีมวิจัยพบไม่ใช่แค่ความสัมพันธ์เบื้องหลังที่ไม่โปร่งใส แต่ยังมีปัญหาด้านความปลอดภัยหนักๆ ในโครงสร้างที่ใช้ร่วมกัน แอปดังอย่าง Turbo VPN, VPN Proxy Master และ X-VPN ถูกระบุว่ามีช่องโหว่ที่อาจทำให้ผู้โจมตีเห็นพฤติกรรมการท่องเว็บของผู้ใช้ และฉีดข้อมูลที่ถูกดัดแปลงเข้าไปได้ นอกจากนี้ แอปทั้ง 18 ใช้โปรโตคอล Shadowsocks โดยฝังรหัสผ่านตายตัวไว้ในโค้ด ทำให้เสี่ยงถูกยึดควบคุมได้ทั้งฝั่งเซิร์ฟเวอร์ (นำไปสู่การแพร่มัลแวร์) และฝั่งไคลเอนต์ (ดักฟังการใช้งานเว็บ)
งานวิจัย “Hidden Links: Analyzing Secret Families of VPN apps” ได้แรงบันดาลใจจากการสืบสวนของ VPN Pro จากนั้นนักวิจัยจึงรวบรวมข้อมูลจากเอกสารธุรกิจ เว็บไซต์ และโค้ดของแต่ละแอปในกลุ่มยอดดาวน์โหลดสูง แล้วไล่หาความเชื่อมโยง โดยเฉพาะจากความคล้ายกันของโค้ด จนจัดแอป 18 ตัวออกเป็น 3 กลุ่มหลัก
Family A มี Turbo VPN, Turbo VPN Lite, VPN Monster, VPN Proxy Master, VPN Proxy Master Lite, Snap VPN, Robot VPN และ SuperNet VPN ซึ่งถูกแบ่งใช้โดย 3 ผู้ให้บริการคือ Innovative Connecting, Lemon Clove และ Autumn Breeze ทั้งสามถูกเชื่อมโยงไปถึง Qihoo 360 บริษัทจากจีนแผ่นดินใหญ่ที่กระทรวงกลาโหมสหรัฐจัดให้เป็น “Chinese military company” ส่วน Family B มี Global VPN, XY VPN, Super Z VPN, Touch VPN, VPN ProMaster, 3X VPN, VPN Inf และ Melon VPN ซึ่งแม้จะมาจาก 5 ผู้ให้บริการต่างกัน แต่กลับใช้งาน IP ชุดเดียวกันจากโฮสต์เจ้าเดียว ขณะที่ Family C คือ X-VPN และ Fast Potato VPN แม้คนละผู้ให้บริการ แต่โค้ดใกล้เคียงกันมากและใช้โปรโตคอล VPN แบบ custom ตัวเดียวกัน
สาระสำคัญมีสองเรื่อง: หนึ่ง ผู้ให้บริการที่ดูแลข้อมูลส่วนบุคคลของเราไม่ได้โปร่งใสเรื่องเจ้าของหรือที่ตั้ง สอง ตัวแอปเองก็มีช่องโหว่หนัก ทั้งสองอย่างสะท้อนว่าบางแอปอาจถูกออกแบบมาเพื่ออย่างอื่นที่ไม่ใช่ความปลอดภัยของผู้ใช้ ที่สำคัญคือการคัดกรองของร้านแอปไม่พอเป็นเกราะป้องกัน งาน “Hidden Links” จึงย้ำว่าควรหลีกเลี่ยงการโหลดฟรีโดยไม่ตรวจสอบ และถ้าจะใช้ฟรี ให้เลือกบริการที่มีรุ่นเสียเงินสนับสนุน เช่น Proton VPN
ความเห็น (0)
เข้าสู่ระบบเพื่อแสดงความเห็น
เข้าสู่ระบบ