อันตรายของลิงก์ย่อ และวิธีอยู่รอด

ลิงก์ย่อ (Shortened links) เป็นเครื่องมือดี บางครั้งเรามีปัญหาอยากแสดง URL ยาวมาก และอยากให้ presentable มากขึ้นหากลิงก์ในสถานการณ์ professional อีกครั้ง ใช้ลดจำนวนตัวอักษรเมื่อโซเชียลมีเดียจำกัดจำนวนที่ใช้ได้ เป้าหมายของลิงก์ย่อ คือทำให้อินเทอร์เน็ตง่ายขึ้น แต่คุณรู้ไหมว่ามีอีกด้านของลิงก์ย่อ ที่ทำ害มากกว่าดี?

ลิงก์ย่อถูกใช้ประโยชน์อย่างไร?

หนึ่งในวิธีดีที่สุดที่นักพัฒนา malware ใช้กระจายซอฟต์แวร์อันตราย คือลิงก์ เราเห็นลิงก์ทุกที่ตลอดเวลาเล่นเว็บ ไม่ว่าบนเว็บไซต์หรือ social media feeds ไฟล์ทุกประเภทถูกกระจายเป็นลิงก์ทุกวัน ทำให้ผู้กระจาย malware มุ่ง "hijack" นิสัยคลิกลิงก์ของเรา เพื่อนำเราไปไฟล์และเว็บไซต์อันตราย มีปัญหา: คุณไม่สามารถแพร่ลิงก์ได้ หาก URL เองชี้ชัดว่าเป็นไฟล์อันตราย คุณอ้างว่าเป็นรูปหรือเว็บไซต์ได้ แต่ถ้าคนเห็น URL นำไป .exe ไม่มีใครจะคลิก!

เทคนิคคือ ลักลอบ URL ใต้เรดาร์ โจมตีลองหลายอย่าง จากโพสต์ลิงก์ในสภาพแวดล้อมวุ่นวาย จับคนไม่สนใจ ไปจนถึงแฮกบัญชีส่งลิงก์ให้เพื่อนหวังว่าเชื่อมั่นอัตโนมัติ จนถึง spoofing URL ให้แสดงอย่างหนึ่ง แต่นำไปอีกอย่าง ลิงก์ย่อ ทำให้งานของพวกเขาง่ายมาก เพราะซ่อนธรรมชาติแท้ของสิ่งหลังลิงก์

อันตรายของลิงก์ย่อ

ตัวอย่าง: ใช้เป้าหมายโง่ๆ – Google นี่คือ URL เว็บไซต์:

https://www.google.com

นี่คือลักษณะ logo Google ตอน hotlinked:

https://www.google.com/images/branding/googlelogo/1x/googlelogo_color_272x92dp.png

คุณเห็นความต่างชัดเจนไหม? หนึ่งเป็นเว็บ อีกอันเป็นไฟล์ภาพ คุณรู้ทันทีว่าจะไปไหน เห็นอะไร ตอนคลิกลิงก์เหล่านี้ เพียงอ่าน URL เดียว แต่เกิดอะไรขึ้นพอผ่าน Bit.ly ทั้งคู่ แล้วเปรียบเทียบ? แยกแยะได้ไหม? ลองดู:

https://bit.ly/1dNVPAW ลิงก์ไป https://www.google.com

https://bit.ly/1JcI49O ลิงก์ไป https://www.google.com/images/branding/googlelogo/1x/googlelogo_color_272x92dp.png

แตกต่างไม่มากใช่ไหม? สิ่งเปลี่ยนแค่สตริงตัวอักษรตัวเลขสุ่มหลัง "bit.ly" เราไม่เห็น副檔名ไฟล์ หรือแม้แต่ร่องรอยว่าลิงก์ไปไหน ตอนนี้เราแยกแยะไม่ได้จากการอ่านลิงก์ว่าตัวไหนไป Google ตัวไหนไป logo แย่กว่า หากเราไม่รู้ก่อนว่าลิงก์ bitly นี้ไป Google และ logo เราไม่รู้เลยว่าจะไปไหน

นี่คือสิ่งที่โจมตี exploit เพื่อกระจายเว็บไซต์หรือโค้ดอันตราย พวกเขาโชว์ลิงก์ย่อ อ้างว่าวิดีโอตลก หรือข่าวเพี้ยน และไม่มีใครบอกจาก URL เดียวว่า นำไปไฟล์หรือเว็บอันตรายจริงๆ

วิธีจับพวกเขา

มีลิงก์ย่อแพร่ ที่คุณ validate ไม่ได้ว่าไปเว็บ legitimate และคุณลังเลว่าควรคลิกหรือไม่ มีวิธีเช็คลิงก์โดยไม่คลิก เพื่อแน่ใจว่าปลอดภัยไหม?

ขอบคุณ มี web services จำนวนหนึ่งสร้างขึ้นเพื่อต่อสู้วิธีโจมตีนี้ นี่คือตัวอย่าง

CheckShortURL เครื่องมือดี ครอบคลุม link shorteners หลายตัวที่ใช้อยู่ ใส่ลิงก์ย่อ CheckShortURL จะวิเคราะห์และบอกว่าไปเว็บไหน ให้ดู snapshot ของเว็บเช็ค legitimacy และหากไม่แน่ใจว่าปลอดภัย มีลิงก์ค้นหาอัตโนมัติบน security advisory services เช่น Web of Trust

GetLinkInfo ดีหากอยากดูว่าลิงก์ทำอะไรตอน redirect คุณ ลิงก์ย่อทำงานโดย redirect ผู้ใช้ที่เข้า short link ไปที่บอกไว้ GetLinkInfo สแกน jumps ของ redirect ให้แน่ใจว่าคุณไปที่ปลอดภัยตอนคลิก บอกความปลอดภัยจาก Google safe browsing advisories ด้วย

ทางเลือก บาง link shortener companies รู้คุณค่าของการให้ผู้ใช้ดูเบื้องหลัง พวกเขาบางครั้งให้วิธีพิเศษเช็คลิงก์ที่เว็บของพวกเขาสร้าง เพื่อไม่ต้องเสี่ยง เช่น คุณรู้ไหมว่าเพิ่ม "+" ท้าย bitly link จะไป preview site เช็ค destination ก่อนเข้า? ลองกับตัวอย่างข้างบน: https://bit.ly/1dNVPAW+

ไม่ใช่ Weakest Link อีกต่อไป

ด้วยลิงก์ย่อถูกใช้กระจาย malware ควรระมัดระวังตอนคลิกลิงก์ไม่รู้จักจากคนแปลกหน้า ตอนนี้คุณรู้ว่า shortened link attack ทำงานอย่างไร และเช็คลิงก์อย่างไรให้แน่ใจว่าถูกต้อง

คุณเคยโดนลิงก์ย่อตกใจไหม? หรือจัดการทุกตัวด้วยความสงสัย? แจ้งเราด้านล่าง