สรุปสั้น
รัฐบาลอินเดียได้สั่งให้ Google และ Apple ถอดแอปพลิเคชันสามตัว ได้แก่ BAT-BMS, Lossigy และ Epoch-i-ion ออกจากสโตร์ หลังถูกกล่าวหาว่าถูกนำไปใช้ในทางที่ผิดเพื่อสั่งปิดการทำงานของรถ e-rickshaw และรถสามล้อไฟฟ้าจากระยะไกลกลางการเดินทาง ซึ่งเป็นภัยต่อความปลอดภัยของผู้โดยสาร ทางการยังเตือนว่าแอปใดก็ตามที่พบว่ามีความสามารถ remote-kill ในลักษณะเดียวกันจะถูกดำเนินการแบบเดียวกัน คำสั่งนี้ตามมาหลังมีคลิปวิดีโอแพร่ระบาดที่แสดงให้เห็นบุคคลใช้แอปเหล่านี้ค้นหา e-rickshaw ที่อยู่ใกล้เคียงผ่านระบบจัดการแบตเตอรี่ที่เชื่อมต่ออยู่ แล้วสั่งปิดด้วยการแตะเพียงครั้งเดียว บางครั้งขณะที่รถกำลังวิ่งพร้อมผู้โดยสาร
แอปเหล่านี้เดิมถูกออกแบบมาเป็นเครื่องมือ Battery Management System (BMS) ที่ถูกต้อง เพื่อให้ผู้ประกอบการฟลีต ผู้ให้สินเชื่อ หรือเจ้าของรถ สามารถตรวจสอบระดับการชาร์จ ติดตามตำแหน่ง และสั่งหยุดรถจากระยะไกลในกรณีผิดนัดชำระหนี้หรือถูกโจรกรรม แต่การใช้งานในทางที่ผิดเกิดขึ้นเมื่อความสามารถ remote-kill switch นี้ถูกฉวยใช้โดยผู้ที่ไม่ได้รับอนุญาต ทั้งคู่แข่งที่ปล่อยสินเชื่อ บุคคลที่มีความแค้น หรือแม้แต่คนที่ต้องการก่อกวน เพื่อสั่งปิดรถ e-rickshaw ของผู้อื่น โดยไม่คำนึงถึงความเป็นเจ้าของหรือความยินยอมที่ถูกต้อง ต้นตอของปัญหาคือช่องโหว่ด้านการออกแบบที่ขาดการควบคุมการยืนยันตัวตนที่เหมาะสม
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 3 กรกฎาคม พ.ศ. 2569 ว่า รัฐบาลอินเดียได้สั่งการให้ Google และ Apple ถอดแอปพลิเคชันสามตัว คือ BAT-BMS, Lossigy และ Epoch-i-ion หลังถูกนำไปใช้ในทางที่ผิดเพื่อสั่งปิดรถ e-rickshaw จากระยะไกล คำสั่งดังกล่าวเกิดขึ้นหลังมีคลิปวิดีโอแพร่กระจายที่แสดงการใช้แอปค้นหารถแล้วสั่งปิดด้วยการแตะครั้งเดียว บางครั้งขณะรถกำลังวิ่งบรรทุกผู้โดยสาร ทางการยังเตือนว่าแอปที่มีฟังก์ชัน remote-kill คล้ายกันจะถูกดำเนินการเช่นเดียวกัน
ต่างจากแอปติดตามรถทั่วไป แอปอย่าง BAT-BMS, Lossigy และ Epoch-i-ion มีรายงานว่ายังคงเชื่อมต่อ API หรือลิงก์ Bluetooth/เซลลูลาร์แบบเปิดตลอดเวลา (always-on) ระหว่างตัวควบคุมแบตเตอรี่ของ e-rickshaw กับแบ็กเอนด์ของแอป หมายความว่าผู้ใช้ใดก็ตามที่มีข้อมูลรับรองการเข้าถึง ซึ่งบางครั้งได้รับการป้องกันที่อ่อนแอหรือถูกใช้ร่วมกันในเครือข่ายตัวแทนจำหน่าย สามารถส่งคำสั่งปิดเครื่องจากระยะไกลได้ ข้อบกพร่องด้านการออกแบบนี้เปลี่ยนฟีเจอร์อำนวยความสะดวกสำหรับการจัดการฟลีตให้กลายเป็นอันตรายด้านความปลอดภัย เพราะขาดการยืนยันตัวตนที่เพียงพอ การตรวจสอบความยินยอมของคนขับ หรือข้อจำกัดแบบ geofencing เพื่อป้องกันการแทรกแซงจากบุคคลที่สาม
นักวิจัยด้านความปลอดภัยเตือนมานานแล้วว่า kill switch ที่เปิดใช้งานผ่าน IoT ในรถยนต์ไฟฟ้าราคาถูกมีความเสี่ยงเป็นพิเศษ เพราะผู้ผลิตมักให้ความสำคัญกับต้นทุนและฟังก์ชันมากกว่าการควบคุมการเข้าถึงที่แข็งแรง ทำให้การรั่วไหลของข้อมูลรับรองหรือการใช้งานในทางที่ผิดจากคนวงในกลายเป็นช่องทางโจมตีที่ทำได้ง่าย
รายละเอียดช่องโหว่
แม้รายละเอียดการบังคับใช้กฎหมายเฉพาะกรณีนี้จะยังเปิดเผยต่อสาธารณะอย่างจำกัด แต่ประเทศอินเดียมีแบบแผนที่ชัดเจนในการแทรกแซงลักษณะนี้ กระทรวงอิเล็กทรอนิกส์และเทคโนโลยีสารสนเทศเคยใช้มาตรา 69A ของ Information Technology Act ในการบล็อกแอปพลิเคชันที่ถูกมองว่าเป็นภัยต่อความปลอดภัยและความสงบเรียบร้อยสาธารณะ ดังที่เห็นในการแบน 59 แอปเมื่อปี พ.ศ. 2563 โดยอ้างเหตุผลด้านความมั่นคง กรอบกฎหมายเดียวกันนี้ผนวกกับคำสั่งที่ออกไปยังสโตร์แอป ดูเหมือนจะเป็นฐานของการดำเนินการปัจจุบันต่อ BAT-BMS, Lossigy และ Epoch-i-ion คล้ายกับกรณีที่หน่วยไซเบอร์รัฐหรือส่วนกลางแจ้ง Google และ Apple อย่างเป็นทางการให้ถอดแอปที่ไม่ปฏิบัติตามหรือไม่ปลอดภัย เช่นเดียวกับที่ Maharashtra Cyber เพิ่งสั่งถอดแอปมอเตอร์ไซค์รับจ้างที่ไม่ได้รับอนุญาตเนื่องจากละเมิดความปลอดภัยผู้โดยสาร
เหตุการณ์นี้ตอกย้ำความกังวลที่เพิ่มขึ้นเกี่ยวกับฟีเจอร์การปิดการทำงานจากระยะไกลที่เปิดใช้ผ่าน IoT ซึ่งฝังอยู่ในรถยนต์ไฟฟ้าราคาย่อมเยาทั่วภาคขนส่ง e-rickshaw และ last-mile ที่กำลังเติบโตของอินเดีย ขณะที่ผู้ผลิต BMS แข่งกันเพิ่มฟีเจอร์ remote-lock และป้องกันการโจรกรรมเพื่อแข่งขันในตลาดที่อ่อนไหวต่อราคา การยืนยันตัวตนที่อ่อนแอและการแบ่งแยกการเข้าถึงที่ไม่ดีสามารถเปลี่ยนฟีเจอร์ความปลอดภัยให้กลายเป็นพื้นผิวการโจมตีได้
ผลกระทบต่อไทย
ไทยกำลังผลักดันการใช้รถยนต์ไฟฟ้าและยานยนต์ไฟฟ้าขนาดเล็กอย่างมอเตอร์ไซค์ไฟฟ้าและรถสามล้อไฟฟ้าอย่างรวดเร็ว ซึ่งหลายรุ่นนำเข้าหรือใช้ระบบ BMS ที่มีฟีเจอร์ติดตามและ remote-lock คล้ายกับกรณีในอินเดีย บทเรียนนี้จึงเกี่ยวข้องโดยตรงกับผู้ประกอบการฟลีต บริษัทเช่ารถ และผู้ให้สินเชื่อรถ EV ในไทย หากระบบ BMS ที่ใช้ขาดการยืนยันตัวตนที่รัดกุมหรือใช้ข้อมูลรับรองร่วมกันในเครือข่ายตัวแทน ก็อาจถูกผู้ไม่หวังดีสั่งปิดรถกลางถนนได้เช่นกัน หน่วยงานกำกับดูแลและผู้ประกอบการไทยควรตรวจสอบว่าแอปควบคุมยานยนต์ที่ใช้อยู่มีมาตรการป้องกันการสั่งปิดขณะรถวิ่ง และควรถือว่า kill switch ที่เชื่อมต่อ IoT เป็นพื้นผิวการโจมตีที่ต้องควบคุมอย่างเข้มงวด
คำแนะนำ
สำหรับผู้ประกอบการฟลีตและผู้ให้บริการยานยนต์ไฟฟ้า ควรบังคับใช้การยืนยันตัวตนหลายปัจจัย (MFA) สำหรับคำสั่งใดก็ตามในแอปที่สามารถสั่งปิดรถที่กำลังเคลื่อนที่จากระยะไกลได้ ควรใช้ geofencing และการล็อกตามความเร็วเพื่อป้องกันคำสั่งปิดขณะรถอยู่ระหว่างการเดินทาง เก็บบันทึกการตรวจสอบ (audit log) ของทุกคำสั่งระยะไกลที่ส่งออกไป โดยผูกกับความเป็นเจ้าของอุปกรณ์ที่ได้รับการยืนยัน และควรทำการตรวจสอบความปลอดภัยของ API แบ็กเอนด์ BMS โดยบุคคลที่สามก่อนเปิดใช้งานสู่สาธารณะ ผู้ผลิตควรหลีกเลี่ยงการใช้ข้อมูลรับรองร่วมกันในเครือข่ายตัวแทนจำหน่าย และไม่ควรให้ความสำคัญกับต้นทุนและฟังก์ชันเหนือการควบคุมการเข้าถึงที่แข็งแรง