สรุปสั้น

นักวิจัยของบริษัทด้านความปลอดภัย Calif สร้างเวิร์มที่ยึดบัญชี WeChat ได้ผ่านสายเรียกเข้าเพียงสายเดียว และสาธิตให้เห็นว่ามันแพร่ต่อกันเองระหว่างโทรศัพท์ทดสอบสามเครื่องได้จริง จุดที่ทำให้กรณีนี้น่ากังวลคือผู้ที่ถูกโทรหาไม่ต้องกดรับสายและไม่ต้องแตะเครื่องเลยแม้แต่น้อย การโจมตีก็ทำงาน ซึ่งเป็นลักษณะของการโจมตีแบบไม่ต้องคลิกที่ผู้ใช้ไม่มีทางป้องกันตัวเองด้วยความระมัดระวัง เงื่อนไขเดียวที่ผู้โจมตีต้องมีคือต้องอยู่ในรายชื่อผู้ติดต่อ WeChat ของเป้าหมายอยู่ก่อนแล้ว

เงื่อนไขข้อนั้นฟังดูเหมือนเป็นกำแพง แต่ Calif ชี้ว่าในทางปฏิบัติกลับเป็นตรงกันข้าม เพราะเมื่อบัญชีของผู้ติดต่อรายหนึ่งถูกยึดไปแล้ว ความไว้ใจพิเศษที่ WeChat มอบให้กับผู้ติดต่อจะกลายเป็นเครื่องมือของผู้โจมตีแทนที่จะเป็นของผู้ใช้ นี่คือกลไกที่ทำให้มันเป็นเวิร์ม ไม่ใช่แค่การโจมตีรายบุคคล และเป็นสิ่งที่การสาธิตแสดงให้เห็น คือโทรศัพท์ Android เครื่องหนึ่งโทรหา iPhone แล้วยึด WeChat ของเครื่องนั้นได้ขณะที่โทรศัพท์ยังส่งเสียงเรียกเข้าอยู่ จากนั้น iPhone ที่ถูกยึดก็โทรหา Android อีกเครื่องและยึดมันด้วยวิธีเดียวกัน

Calif แจ้งช่องโหว่นี้ไปยังบริษัท Tencent เมื่อเดือนกรกฎาคม และระบุว่าบริษัทได้ปิดกั้นการโจมตีนี้ให้ผู้ใช้ทุกคนแล้ว ยังไม่มีรายงานการโจมตีจริงที่ใช้ช่องโหว่นี้ และ Calif เองก็ไม่ได้อ้างว่ามี อย่างไรก็ตามข้อจำกัดของข้อมูลชุดนี้มีอยู่หลายชั้น ทั้งการที่ยังไม่มีหมายเลข CVE ไม่มีประกาศด้านความปลอดภัยจาก Tencent ไม่มีรายชื่อเวอร์ชันที่ได้รับผลกระทบครบถ้วน และ Calif ยังไม่เปิดเผยรายละเอียดทางเทคนิคเพราะเตรียมนำไปนำเสนอในงานประชุมภายหลัง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 8 กันยายน 2569 ว่านักวิจัยของบริษัท Calif ได้สร้างเวิร์มที่ยึดบัญชี WeChat ผ่านสายเรียกเข้าและสาธิตการแพร่กระจายระหว่างโทรศัพท์ทดสอบสามเครื่อง โดยเผยแพร่ผลงานในชื่อ WeWorm บนเว็บไซต์ของบริษัทเอง

รายละเอียดที่ควรเน้นคือการกดรับสายไม่ได้หยุดการโจมตี Calif ระบุว่าผู้ที่กดรับจะไม่ได้ยินอะไรเลยและการโจมตียังทำงานได้ตามปกติ ส่วนการกดปฏิเสธสายจะจบความพยายามในครั้งนั้น แต่ผู้โจมตีสามารถโทรเข้ามาใหม่ในภายหลังได้ เช่น ในช่วงที่เป้าหมายกำลังนอนหลับ

สิ่งที่ผู้โจมตีได้เมื่อโค้ดทำงานสำเร็จคือการควบคุมบัญชี WeChat อย่างเต็มรูปแบบ ทั้งการอ่านและส่งข้อความ การโทร และการกระทำต่าง ๆ ในฐานะเจ้าของบัญชี แต่ Calif ระบุชัดว่าโดยตัวมันเองไม่ได้ให้การควบคุมตัวเครื่องโทรศัพท์ ทั้งนี้ในโพสต์ของ Calif เป็นการอธิบายเส้นทางที่ผู้โจมตีอาจใช้ต่อได้ มากกว่าจะเป็นเส้นทางที่นักวิจัยทดสอบเองจริง ๆ ซึ่งเป็นความแตกต่างที่ควรระบุไว้ให้ตรง

น้ำหนักของช่องโหว่ตัวนี้อยู่ที่ว่าบัญชี WeChat สำหรับผู้ใช้จำนวนมากไม่ได้เป็นเพียงแอปแชต หน้ารายละเอียดของแอปบน App Store ระบุความสามารถที่ครอบคลุมทั้งการชำระเงิน บัญชีทางการ และมินิโปรแกรมภายในตัวแอป ขณะที่ Tencent รายงานตัวเลขผู้ใช้ที่ใช้งานต่อเดือนของ WeChat และ Weixin รวมกันไว้ที่ 1.439 พันล้านราย ณ วันที่ 30 มิถุนายน 2569 ในผลประกอบการไตรมาสที่สอง

ในแง่การแก้ไข Tencent ปล่อยเวอร์ชัน 8.0.77 สำหรับ Android และ 8.0.76 สำหรับ iOS เมื่อวันที่ 21 สิงหาคม ตามบันทึกการปล่อยเวอร์ชันของบริษัทเอง โดย Calif ระบุว่าเวอร์ชันเหล่านั้นบรรเทาปัญหาได้ และเมื่อวันที่ 28 สิงหาคมได้ยืนยันแล้วว่าการโจมตีถูกปิดกั้นที่ฝั่งเซิร์ฟเวอร์ของ Tencent ด้วย นักวิจัยระบุว่า Tencent “ได้บรรเทาการโจมตีของเราให้ผู้ใช้ทุกคนแล้ว” แต่เมื่อถูกถามว่าช่องโหว่ที่เป็นต้นเหตุได้รับการแก้ไขด้วยหรือไม่ Calif ตอบ The Hacker News ว่าไม่สามารถให้ความเห็นได้

ประเด็นความโปร่งใสเป็นจุดที่ต้องระบุไว้ให้ครบ Tencent ยังไม่ได้เผยแพร่ประกาศด้านความปลอดภัยใด ๆ เกี่ยวกับช่องโหว่นี้ และบันทึกการปล่อยเวอร์ชันสำหรับ iOS รวมถึงข้อมูลบน App Store อธิบายการอัปเดตไว้เพียงว่าเป็นการแก้ไขข้อบกพร่องเท่านั้น การตรวจสอบเมื่อวันที่ 8 กันยายนไม่พบหมายเลข CVE สำหรับช่องโหว่นี้ และไม่พบประกาศบนเว็บไซต์รับแจ้งปัญหาความปลอดภัยของ Tencent ซึ่งประกาศล่าสุดที่ปรากฏอยู่ลงวันที่เดือนเมษายน 2565 ขณะที่ The Hacker News ระบุว่าได้ติดต่อ Tencent เพื่อขอความเห็นแล้ว

วิธีการโจมตี

Calif ยังไม่เปิดเผยรายละเอียดทางเทคนิคของช่องโหว่ เนื่องจากเตรียมนำการวิเคราะห์ฉบับเต็มไปนำเสนอในงานประชุม สิ่งที่เปิดเผยจึงเป็นเพียงโครงของกลไก คือสายเรียกเข้าจากบัญชีที่อยู่ในรายชื่อผู้ติดต่อทำให้โค้ดของผู้โจมตีทำงานบนเครื่องเป้าหมายได้โดยไม่ต้องอาศัยการกระทำใด ๆ จากผู้ใช้ จากนั้นผู้โจมตีจึงเข้าควบคุมบัญชี WeChat บนเครื่องนั้น และใช้สถานะของบัญชีที่ยึดได้เป็นฐานโทรออกไปยังผู้ติดต่อรายอื่นต่อเป็นทอด ๆ

จุดที่นักวิจัยเน้นคือความไว้ใจตามลำดับชั้นในตัวแอป ผู้ใช้ทั่วไปเข้าใจว่าการรับสายจากคนแปลกหน้าคือความเสี่ยง แต่ในกรณีนี้ความเสี่ยงมาจากคนที่อยู่ในรายชื่อผู้ติดต่ออยู่แล้ว และไม่ต้องรับสายด้วยซ้ำ กลไกที่แอปให้สิทธิ์พิเศษกับผู้ติดต่อจึงกลายเป็นตัวเร่งการแพร่กระจาย ไม่ใช่เครื่องป้องกัน ซึ่งเป็นเหตุผลที่การสาธิตแบบสามเครื่องมีความหมายมากกว่าการยึดบัญชีเดี่ยว ๆ

ในแง่ขอบเขตที่ทดสอบจริง Calif ระบุกับ The Hacker News ว่าทดสอบการโจมตีกับ WeChat เวอร์ชัน 8.0.76 บน Android และ 8.0.75 บน iOS ซึ่งในแต่ละกรณีเป็นเวอร์ชันที่ต่ำกว่าเวอร์ชันที่ Tencent ปล่อยเมื่อวันที่ 21 สิงหาคมอยู่หนึ่งลำดับ และระบุว่าการทดสอบรันบน iOS 26.6 กับ Android เวอร์ชันเก่ากว่านั้นบางเวอร์ชัน ทั้งสองบริษัทไม่ได้เผยแพร่รายชื่อเวอร์ชันที่ได้รับผลกระทบทั้งหมด ผู้ใช้ที่อยู่บนบิลด์อื่นจึงไม่มีทางรู้ว่าเครื่องของตัวเองเคยมีช่องโหว่นี้หรือไม่

นอกจากนี้ Tencent ยังปล่อยไคลเอนต์ WeChat สำหรับ HarmonyOS, Windows, Mac และ Linux ตามรอบการปล่อยเวอร์ชันของแต่ละแพลตฟอร์มเอง ซึ่ง Calif ปฏิเสธที่จะระบุว่าได้ทดสอบแพลตฟอร์มใดในกลุ่มนี้หรือไม่ และ Tencent ก็ยังไม่ได้พูดถึงแพลตฟอร์มเหล่านั้นเช่นกัน

อีกประเด็นที่ควรบันทึกไว้คือคำอธิบายเรื่องการใช้ AI ช่วยค้นหาช่องโหว่ Calif ระบุว่าทำงานร่วมกับ AI เพื่อค้นหาบั๊กและเขียนโค้ดโจมตีตัวแรกที่รันโค้ดบนโทรศัพท์ได้ภายในเวลาราวสองวัน และใช้เวลาอีกหนึ่งสัปดาห์สร้างตัวเวิร์ม พร้อมระบุว่าได้ออกแบบชุดทักษะที่ชี้นำให้ AI สำรวจและระบุพื้นผิวการโจมตีในแอปรับส่งข้อความ อย่างไรก็ตามไทม์ไลน์ที่บริษัทเผยแพร่เองให้ช่วงเวลาที่ยาวกว่านั้น คือทีมวิศวกรรมรู้เรื่องบั๊กเมื่อวันที่ 23 กรกฎาคม โค้ดโจมตีตัวแรกบน Android เสร็จวันที่ 30 กรกฎาคม และการสาธิตเวิร์มเกิดขึ้นวันที่ 11 สิงหาคม โดยโพสต์ไม่ได้ระบุว่าตัวเลขที่สั้นกว่านั้นนับเฉพาะเวลาที่ลงมือทำจริงหรือไม่

ผลกระทบ

ขนาดของฐานผู้ใช้เป็นตัวกำหนดน้ำหนักของเรื่องนี้ ด้วยตัวเลข 1.439 พันล้านบัญชีที่ใช้งานต่อเดือน และการที่บัญชีเดียวผูกทั้งการสนทนา การชำระเงิน และมินิโปรแกรมเข้าด้วยกัน การยึดบัญชีจึงไม่เท่ากับการอ่านแชตอย่างเดียว แต่หมายถึงการสวมตัวตนของเจ้าของบัญชีในบริบทที่คนรอบตัวเชื่อถืออยู่แล้ว ซึ่งเป็นจุดตั้งต้นที่ดีที่สุดสำหรับการหลอกลวงทางการเงินและการขยายวงต่อ

ลักษณะการแพร่แบบเวิร์มทำให้การประเมินความเสี่ยงต่างจากช่องโหว่ทั่วไป ช่องโหว่ที่ต้องอาศัยความสัมพันธ์ที่มีอยู่แล้วมักถูกมองว่าเป็นข้อจำกัด แต่เมื่อการยึดสำเร็จหนึ่งบัญชีเปิดทางไปยังผู้ติดต่อทั้งหมดของบัญชีนั้น ข้อจำกัดจึงกลายเป็นเชื้อเพลิง องค์กรที่ใช้ WeChat เป็นช่องทางติดต่อกับคู่ค้าหรือลูกค้าจึงมีความเสี่ยงที่ไม่ได้จบอยู่ที่พนักงานคนเดียวที่ถูกยึดบัญชี

ข้อที่ช่วยลดความกังวลคือการแก้ไขไม่ได้ขึ้นอยู่กับผู้ใช้ Calif ระบุว่าการปิดกั้นทำงานอยู่บนเซิร์ฟเวอร์ของ Tencent จึงไม่ต้องให้ผู้ใช้ติดตั้งอะไร แต่การอยู่บนเวอร์ชันปัจจุบันก็ยังเป็นทางเลือกที่ปลอดภัยกว่า โดยเมื่อวันที่ 8 กันยายนข้อมูลบน App Store แสดงเวอร์ชัน 8.0.76 ที่ปล่อยเมื่อวันที่ 21 สิงหาคมเป็นเวอร์ชันปัจจุบัน

สิ่งที่ควรกังวลที่สุดกลับเป็นด้านการตรวจสอบย้อนหลัง Calif ไม่ได้เผยแพร่สิ่งที่ฝ่ายป้องกันจะเอาไปค้นหาได้เลย และผู้ใช้เองก็ไม่มีวิธีตรวจสอบว่าเคยถูกโทรหาด้วยวิธีนี้หรือไม่ เมื่อรวมกับการที่ Tencent ไม่ได้ออกประกาศและไม่มีรายชื่อเวอร์ชันที่ได้รับผลกระทบ องค์กรที่ต้องการประเมินว่าตัวเองเคยเสี่ยงหรือไม่จึงทำได้เพียงตั้งสมมติฐานว่าเสี่ยงไว้ก่อน แล้วดูจากพฤติกรรมของบัญชีแทน

คำแนะนำ

อัปเดต WeChat ให้เป็นเวอร์ชันล่าสุดบนทุกอุปกรณ์ที่ใช้งาน แม้การปิดกั้นจะทำงานที่ฝั่งเซิร์ฟเวอร์แล้วก็ตาม เพราะการอยู่บนเวอร์ชันที่ผู้ผลิตแก้ไขแล้วเป็นชั้นป้องกันที่ไม่ขึ้นกับการตัดสินใจของผู้ให้บริการในอนาคต และครอบคลุมกรณีที่การปิดกั้นฝั่งเซิร์ฟเวอร์ถูกปรับเปลี่ยน

ตรวจสอบพฤติกรรมของบัญชีย้อนหลัง โดยเฉพาะข้อความหรือสายที่ถูกส่งออกไปโดยเจ้าของบัญชีไม่ได้ทำเอง รายชื่อผู้ติดต่อที่เพิ่มขึ้นโดยไม่มีที่มา และการทำรายการชำระเงินที่ผิดปกติ เนื่องจากนักวิจัยไม่ได้เผยแพร่ตัวบ่งชี้ใด ๆ ให้ค้นหา การตรวจจับจึงต้องอาศัยพฤติกรรมของบัญชีเป็นหลัก

องค์กรที่ใช้ WeChat เป็นช่องทางติดต่อธุรกิจ ควรทบทวนว่าข้อมูลระดับใดถูกส่งผ่านช่องทางนี้ และกำหนดให้การยืนยันคำสั่งที่มีผลทางการเงินหรือการเปลี่ยนแปลงข้อมูลสำคัญต้องผ่านช่องทางที่สองเสมอ เพราะการยึดบัญชีในกรณีนี้ทำให้ผู้โจมตีสวมตัวตนได้เต็มรูปแบบโดยที่คู่สนทนาไม่มีทางแยกออก

พิจารณาจำกัดรายชื่อผู้ติดต่อบนบัญชีที่ใช้งานเชิงธุรกิจให้เหลือเฉพาะที่จำเป็น เนื่องจากเงื่อนไขของการโจมตีนี้คือผู้โจมตีต้องอยู่ในรายชื่อผู้ติดต่ออยู่ก่อน การลดจำนวนผู้ติดต่อที่ไม่ได้ใช้งานจริงจึงลดทั้งพื้นผิวการโจมตีและจำนวนบัญชีที่อาจถูกใช้เป็นทางผ่านมาหาเรา

ติดตามการเปิดเผยรายละเอียดทางเทคนิคของ Calif ในงานประชุมที่จะถึง เพื่อประเมินใหม่ว่าช่องโหว่ต้นเหตุได้รับการแก้ไขจริงหรือถูกปิดกั้นเฉพาะเส้นทางที่นักวิจัยใช้ ซึ่งเป็นคำถามที่ยังไม่มีคำตอบจากทั้งสองฝ่ายในขณะนี้

แหล่งอ้างอิง