สรุปสั้น

บริษัท Google ประกาศมาตรการความปลอดภัยใหม่ใน Android 17 ที่จะจำกัดการเข้าถึง AccessibilityService API ให้เฉพาะแอปที่ผ่านการตรวจสอบและจัดอยู่ในหมวด “Accessibility Tools” เท่านั้น เมื่อผู้ใช้เปิดโหมด Advanced Protection ซึ่งเป็นโหมดที่เปิดฟีเจอร์ความปลอดภัยทั้งหมดของ Android พร้อมกัน บริษัท Google ระบุว่าการเปลี่ยนแปลงนี้ปิดช่องทางการโจมตีสายหลักลงได้ โดยยังคงเก็บเทคโนโลยีช่วยเหลือที่ผู้พิการจำเป็นต้องใช้ไว้ เหตุผลคือ AccessibilityService กลายเป็นเครื่องมือมาตรฐานของมัลแวร์บนแอนดรอยด์ทั้งโทรจันธนาคารและสปายแวร์ เพราะเมื่อผู้ใช้ถูกหลอกให้เปิดสิทธิ์นี้ มัลแวร์ก็อ่านหน้าจอ ดักการพิมพ์ ครอบหน้าล็อกอินปลอม และกดสั่งโอนเงินในแอปธนาคารแทนผู้ใช้ได้โดยไม่ต้องมีสิทธิ์ root

นอกจากการล็อก Accessibility แล้ว Android 17 ยังเพิ่มฟีเจอร์ใหม่ใต้ร่ม Advanced Protection อีกหลายรายการ ได้แก่ Intrusion Logging ที่เก็บล็อกเชิงพิสูจน์หลักฐานแบบถาวรสำหรับสืบสวนการโจมตีด้วยสปายแวร์ระดับสูง USB Protection ที่กันการเข้าถึงเครื่องผ่านสาย USB การปิด WebGPU เพื่อลดพื้นผิวการโจมตีผ่านเบราว์เซอร์ Failed Authentication Lock ที่ล็อกเครื่องเมื่อมีการเดารหัสซ้ำ และหน้าจอแสดงว่าแอปใดตรวจสถานะ Advanced Protection อยู่บ้าง ข้อจำกัดสำคัญคือมาตรการทั้งหมดนี้ทำงานเฉพาะเมื่อผู้ใช้เปิด Advanced Protection เอง ซึ่งเป็นโหมดที่ออกแบบมาสำหรับกลุ่มเสี่ยงสูง ไม่ใช่ค่าเริ่มต้นของผู้ใช้ทั่วไป

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 2 ตุลาคม 2569 ว่าบริษัท Google ประกาศเมื่อวันพฤหัสบดีที่ 1 ตุลาคมว่า “ใน Android 17 การเปิด Advanced Protection จะจำกัดการเข้าถึง AccessibilityService ให้เฉพาะแอปที่ผ่านการตรวจสอบและจัดหมวดเป็น Accessibility Tools โดยอัตโนมัติ ปิดช่องทางการโจมตีสายหลักไปพร้อมกับรักษาเทคโนโลยีช่วยเหลือที่จำเป็นไว้” บริษัท Google อธิบายว่าเนื่องจาก accessibility service ถูกออกแบบให้โต้ตอบกับหน้าจอโดยตรง ผู้ไม่หวังดีจึงใช้มันอ่านข้อมูลอ่อนไหว ติดตั้งมัลแวร์ หรือขัดขวางการถอนการติดตั้งได้

AccessibilityService API เป็นเฟรมเวิร์กที่มีพลังสูง เปิดให้แอปทำงานเบื้องหลัง ดักเหตุการณ์บนหน้าจอ และโต้ตอบกับแอปอื่นแทนผู้ใช้ได้ จุดประสงค์ดั้งเดิมคือช่วยผู้พิการผ่านโปรแกรมอ่านหน้าจอหรือระบบสั่งงานด้วยเสียง แต่สิทธิ์ระดับนี้ก็ทำให้มันเป็นเป้าของมัลแวร์มาตลอด ตัวอย่างที่ Cloud Thunder เคยรายงาน เช่น ToxicPanda 2.0 และ GoldDigger (08/122) หรือ RatHat (09/138) ที่ส่งผัง Accessibility ของหน้าจอให้ผู้ช่วย GenAI วิเคราะห์แล้วสั่งแตะหน้าจออัตโนมัติ

ที่ผ่านมาบริษัท Google ทยอยออกมาตรการรับมือการใช้ API นี้ในทางที่ผิดหลายชั้น ได้แก่ การบล็อกแอปที่ติดตั้งจากนอกสโตร์ (sideload) ไม่ให้เปิด accessibility service การป้องกันระหว่างการสนทนาทางโทรศัพท์ที่ห้ามผู้ใช้ปิด Google Play Protect ติดตั้งแอปจากนอกสโตร์ หรือให้สิทธิ์ accessibility ขณะคุยสาย การเพิ่มแฟล็ก accessibilityDataSensitive ให้นักพัฒนาระบุว่าส่วนใดของแอปมีข้อมูลอ่อนไหว เพื่อกันแอปอันตรายไม่ให้อ่านหรือโต้ตอบกับส่วนนั้น และการใช้ Android Advanced Protection Mode (AAPM) กันแอปบางประเภทไม่ให้ใช้ API นี้ มาตรการใน Android 17 จึงเป็นการขยับจาก “บล็อกแอปบางประเภท” ไปเป็น “อนุญาตเฉพาะแอปที่ผ่านการรับรอง” สำหรับผู้ใช้ที่เปิด Advanced Protection

วิธีการโจมตี

รูปแบบการโจมตีที่มาตรการนี้มุ่งปิดเริ่มจากวิศวกรรมสังคมเสมอ มัลแวร์ไม่ได้เจาะช่องโหว่ของระบบเพื่อให้ได้สิทธิ์ accessibility แต่หลอกให้ผู้ใช้เปิดสิทธิ์ให้เอง เช่น อ้างว่าแอปต้องการสิทธิ์นี้เพื่อทำงานได้สมบูรณ์ หรือให้มิจฉาชีพโทรศัพท์มาพูดนำทางผู้ใช้ทีละขั้นตอน เมื่อได้สิทธิ์แล้ว มัลแวร์ก็เปลี่ยนฟีเจอร์ช่วยเหลือให้กลายเป็นอาวุธ ทั้งการสั่งโอนเงินจากแอปการเงินที่ติดตั้งอยู่ในเครื่องแบบอัตโนมัติ การบันทึกการกดแป้นพิมพ์ การวาดหน้าล็อกอินปลอมครอบแอปจริง และการกดอนุญาตสิทธิ์อ่อนไหวอื่น ๆ ให้ตัวเองโดยที่ผู้ใช้ไม่ต้องแตะหน้าจอ บางตัวยังใช้สิทธิ์นี้กดปุ่ม “ย้อนกลับ” ทุกครั้งที่ผู้ใช้เข้าหน้าถอนการติดตั้ง เพื่อไม่ให้ถูกลบออกจากเครื่อง

ในโหมด Advanced Protection ของ Android 17 แอปที่ไม่ได้ผ่านการรับรองในหมวด Accessibility Tools จะเปิดใช้ AccessibilityService ไม่ได้เลย แม้ผู้ใช้จะถูกหลอกให้กดอนุญาตก็ตาม จึงตัดขั้นตอนสำคัญที่สุดของห่วงโซ่การโจมตีออกไป ทั้งนี้ บริษัท Google ไม่ได้เปิดเผยรายละเอียดว่ากระบวนการรับรองแอปในหมวดนี้ตรวจสอบเข้มงวดเพียงใด และไม่ได้ระบุว่ามาตรการนี้จะขยายไปสู่ผู้ใช้ที่ไม่ได้เปิด Advanced Protection หรือไม่

ฟีเจอร์อื่นใน Android 17 ตอบโจทย์ภัยคนละรูปแบบ Intrusion Logging เก็บล็อกเชิงพิสูจน์หลักฐานแบบถาวรที่ออกแบบให้รักษาความเป็นส่วนตัว เพื่อให้สืบสวนการโจมตีด้วยสปายแวร์ระดับสูงย้อนหลังได้ ซึ่งผู้ใช้ต้องเข้าไปเปิดเองในหน้าตั้งค่า Advanced Protection ส่วน USB Protection กันการเข้าถึงเครื่องผ่านการเชื่อมต่อ USB ทางกายภาพ ซึ่งเป็นช่องทางที่เครื่องมือเจาะโทรศัพท์เพื่อดึงข้อมูลใช้ การปิด WebGPU ลดพื้นผิวการโจมตีที่ exploit ผ่านเบราว์เซอร์ระดับสูงใช้ และ Failed Authentication Lock ล็อกเครื่องทั้งหมดเมื่อพบการพยายามเดารหัสหรือการงัดแงะทางกายภาพ เพื่อหยุดการลองต่อไป

ผลกระทบ

มาตรการนี้แก้ปัญหาได้ตรงจุดสำหรับกลุ่มผู้ใช้ที่เปิด Advanced Protection เช่น นักข่าว นักการเมือง นักกิจกรรม และผู้บริหาร ซึ่งเป็นเป้าของสปายแวร์เชิงพาณิชย์และการโจมตีแบบเจาะจงบุคคล แต่จุดอ่อนอยู่ที่ขอบเขต เพราะเหยื่อจำนวนมหาศาลของโทรจันธนาคารบนแอนดรอยด์คือผู้ใช้ทั่วไปที่ไม่เคยเปิดโหมดนี้ และมิจฉาชีพก็อาจหลอกให้ปิดโหมดได้เช่นเดียวกับที่เคยหลอกให้เปิดสิทธิ์ ผลในทางปฏิบัติจึงขึ้นกับว่าบริษัท Google จะขยายแนวทาง “อนุญาตเฉพาะแอปที่รับรอง” ไปเป็นค่าเริ่มต้นในอนาคตหรือไม่

สำหรับผู้พัฒนาแอปที่ใช้ AccessibilityService อย่างถูกกฎหมายแต่ไม่ได้อยู่ในหมวด Accessibility Tools เช่น แอปจัดการรหัสผ่าน แอปอัตโนมัติ หรือแอปควบคุมระยะไกล แอปเหล่านี้อาจทำงานไม่ได้บนเครื่องที่เปิด Advanced Protection ส่วนองค์กรที่ต้องสืบสวนเหตุบนอุปกรณ์มือถือจะได้ประโยชน์จาก Intrusion Logging ซึ่งช่วยลดปัญหาเดิมที่โทรศัพท์แทบไม่มีล็อกให้ย้อนตรวจหลังถูกเจาะ

คำแนะนำ

  • ผู้ใช้กลุ่มเสี่ยงสูง เช่น ผู้บริหาร เจ้าหน้าที่ที่ถือข้อมูลลับ นักข่าว ควรเปิด Advanced Protection เมื่ออัปเดตเป็น Android 17 และเปิด Intrusion Logging ด้วยตนเองในหน้าตั้งค่า
  • ทีมดูแลอุปกรณ์มือถือขององค์กร (MDM) ควรทดสอบผลกระทบต่อแอปภายในที่ใช้ AccessibilityService ก่อนบังคับใช้ Advanced Protection ในวงกว้าง
  • นักพัฒนาแอปการเงินควรใช้แฟล็ก accessibilityDataSensitive กับหน้าจอที่มีข้อมูลอ่อนไหว และตรวจสถานะ Advanced Protection เพื่อเปิดมาตรการป้องกันเพิ่มสำหรับผู้ใช้กลุ่มนี้
  • ผู้ใช้ทั่วไปควรปฏิเสธคำขอเปิดสิทธิ์ Accessibility จากแอปที่ไม่ใช่เครื่องมือช่วยเหลือ และไม่ทำตามคำแนะนำทางโทรศัพท์ให้ติดตั้งแอปหรือเปิดสิทธิ์ใด ๆ
  • ทีม SOC ควรรวมข้อมูลจาก Intrusion Logging เข้ากับกระบวนการตอบสนองเหตุบนอุปกรณ์มือถือ เมื่อมีอุปกรณ์ที่รองรับ

แหล่งอ้างอิง