วิธีป้องกันตัวจากช่องโหว่ความปลอดภัยล่าสุดของ eBay

eBay มีชื่อเสียงด้านความปลอดภัยที่ไม่ค่อยดีนัก และดูเหมือนจะไม่ดีขึ้นในอะไรเร็วๆ นี้ ช่องโหว่ความปลอดภัยที่เพิ่งถูกเปิดเผย กำลังวางผู้ใช้บางส่วนในอันตราย และ eBay ตัดสินใจแก้ไขเพียง บางส่วน (Partial fix) แทนที่จะแก้ไขให้สมบูรณ์

นี่คือสิ่งที่คุณต้องรู้เกี่ยวกับช่องโหว่นี้ วิธีการทำงาน และวิธีป้องกันตัว

Active Content, XSS, และการหลอกลวงบน eBay

ช่องโหว่ความปลอดภัยเฉพาะนี้ เกี่ยวข้องกับ "Active Content" ที่ผู้ขายสามารถฝังในโฆษณาได้ Active Content ใช้เทคโนโลยีหลากหลาย เพื่อทำให้คำอธิบายสินค้าน่าสนใจหรือมีประโยชน์มากขึ้น — อาจเป็นแอป Flash ขนาดเล็ก เมนู JavaScript, เว็บโพลล์ หรืออะไรก็ตามที่ฝังและโต้ตอบได้ ในโฆษณาตัวอย่างด้านล่าง เป็นสคริปต์ชื่อ "xsellgalleryscript" พยายามให้คุณซื้อสินค้าอื่นจากผู้ขายคนนั้น

ในกรณีส่วนใหญ่ Active Content ปลอดภัย แค่รำคาญเล็กน้อย แต่ด้วย Cross-Site Scripting (XSS) สคริปต์ที่โฮสต์บนเว็บไซต์อื่น สามารถโหลดบนหน้า eBay ได้ และสคริปต์นั้นอาจเป็นอะไรก็ได้ — อาจดาวน์โหลดมัลแวร์ พยายามฟิชชิงข้อมูลเข้าสู่ระบบ หรือสร้างความวุ่นวายอื่นๆ เนื่องจากโจมตีประเภทนี้พบได้บ่อย eBay จึงใช้ฟิลเตอร์พยายามป้องกัน

น่าเสียดาย มีคนพบวิธีผ่าน ใช้เทคนิคชื่อ JSF*ck วิธีน่าสนใจเขียน JavaScript ด้วย เพียง 6 ตัวอักษร: []()!+ ด้วยวงเล็บสองคู่ วงเล็บโค้งสองคู่ จุดอัศเจรีย์ และเครื่องหมายบวก คุณสามารถสร้างและรัน JavaScript ใดๆ ได้

นี่คือการฝึกฝนที่สนุก คล้ายภาษาโปรแกรม Brainf**k แต่มันยัง ใช้หลบฟิลเตอร์ของ eBay ได้

บริษัทความปลอดภัยไซเบอร์ชื่อ Check Point รายงานช่องโหว่นี้ครั้งแรก และระบุว่าสามารถใช้บนเว็บเดสก์ท็อป หรือผ่านแอป iOS/Android เพื่อดาวน์โหลดมัลแวร์ หรือเปลี่ยนทางผู้ใช้ไปหน้าฟิชชิงที่อาจทำให้พวกเขาให้ข้อมูลเข้าสู่ระบบโดยไม่รู้ตัว นี่คือวิดีโอแสดงการโจมตี:

Check Point สาธิตและรายงานช่องโหว่นี้ให้ eBay ใน ธันวาคม 2015 คาดว่า eBay จะอัปเดตซอฟต์แวร์ป้องกัน exploit ตาม BBC eBay บอก Check Point ใน มกราคม ว่า ไม่มีแผนแก้ไขช่องโหว่นี้ แต่ได้ดำเนินการ Partial fix ในกุมภาพันธ์ ทำไมถึงแก้บางส่วน? "[I]t's important to understand that malicious content on our marketplace is extraordinarily uncommon" eBay บอก BBC

แม้ eBay ย้ำว่าความเสี่ยงจากการโจมตีประเภทนี้ ต่ำมาก บริษัทความปลอดภัย Netcraft รายงานว่า ช่องโหว่นี้ ถูกใช้งานจริง เพื่อฟิชชิงอีเมลผู้ซื้อที่เป็นไปได้ และล่อให้ชำระเงินผ่านบริการ Escrow ปลอม และการหลอกลวง ประสบความสำเร็จ — Netcraft แชร์สกรีนชอตผู้ใช้ที่รำคาญ ขอความช่วยเหลือหลังถูกบอกโดย eBay, ตำรวจ, และธนาคารว่า ช่วยไม่ได้

วิธีป้องกันตัวจากช่องโหว่ XSS บน eBay

ตราบใดที่ eBay ไม่แก้ไขปัญหานี้สมบูรณ์ ยังมีโอกาสที่คุณจะเจอรายการที่นักหลอกลวงทำลายและวางคุณในอันตราย มี 몇 อย่างที่ทำได้เพื่อลดความเสี่ยง

ขั้นแรก ควรใช้งานความสามารถ Click-to-play ในเบราว์เซอร์ Chrome มีในตัว Firefox มีส่วนขยาย NoScript ยอดนิยม และ Safari ติดตั้ง JS Blocker 5 ได้ จะป้องกันไม่ให้สคริปต์โหลด จนกว่าคุณจะอนุญาตโดยเฉพาะเจาะจง คุณไม่ควรต้องโหลดสคริปต์บน eBay แตถ้าจำเป็น คุณสามารถเปิดใช้งานได้แค่คลิกเดียว

หากคุณเปิดใช้งานปลั๊กอิน คุณต้องระมัดระวังมากขึ้น ให้แน่ใจว่าคุณไม่ถูกเอาเปรียบ ทุกครั้งที่กำลังจะคลิก Buy It Now, Make Offer, หรือ Bid บน eBay ให้ตรวจสอบว่า URL ในเบราว์เซอร์คือ ebay.com ไม่ใช่สิ่งอื่น หากเป็นฟิชชิง โดเมนจะไม่ใช่ ebay.com

หากใช้แอป eBay มือถือ ให้ตรวจสอบ URL ของหน้าที่ลิงก์ไปทุกครั้ง โดยเฉพาะถ้าขอข้อมูลล็อกอิน eBay และ อย่าดาวน์โหลดแอปอื่น! แอป eBay จะไม่แนะนำให้ดาวน์โหลดสิ่งอื่น ตามกฎ 3 ข้อพื้นฐานความปลอดภัยออนไลน์ของ Brian Krebs (นักเขียนบล็อกความปลอดภัยหนึ่งในท็อป) "ถ้าคุณไม่ได้ไปหามัน อย่าติดตั้ง!"

นอกจากนี้ เป็นเคล็ดลับความปลอดภัยตลาดออนไลน์มาตรฐาน: ติดต่อผ่านเว็บไซต์เท่านั้น อย่าใช้อีเมล ใคร่แค่ไหน ไม่ว่าจะเหมือนจริงแค่ไหน อย่าคลิกลิงก์ในอีเมลจาก eBay แค่ไป ebay.com เอง เผื่ออีเมลมาจากนักหลอกลวง เช็คว่าลิงก์บนเว็บปลอดภัยก่อนใช้ ใช้รหัสผ่านแข็งแกร่ง และเปลี่ยนบ่อย เคล็ดลับ "รักษาความปลอดภัย" ทั่วไปที่เราแบ่งปันตลอดเวลา ใช้ได้ที่นี่เช่นกัน

อย่าให้จับได้ด้วยการหลอกลวง Cross-Site Scripting บน eBay นี้

การป้องกันตัวจากการหลอกลวงบน eBay ต้องการความระมัดระวังเล็กน้อย และการป้องกันล่วงหน้า ระหว่างการใช้เบราว์เซอร์หรือส่วนขยายบล็อกสคริปต์ ดูแล URL ที่น่าสงสัย และระวังการดาวน์โหลดหรือคำขอแปลกๆ คุณควรปลอดภัย แม้ eBay จะไม่แก้ช่องโหว่นี้ (ซึ่งน่าจะไม่แก้ โดยเฉพาะในช่วงแรก) ทำสองสามขั้นตอนเร็วๆ แล้วกลับไปประหยัดเงินด้วยการช็อปบน eBay ได้เลย!

คุณช็อปบน eBay ไหม? ประวัติการไม่ดำเนินการกับช่องโหว่ความปลอดภัยทำให้คุณกังวลไหม? คุณน่าจะไม่ช็อปที่นั่นแล้วเพราะพวกเขาตอบสนองต่อบั๊กนี้ไม่ดี? แชร์ความคิดเห็นด้านล่าง!