สัปดาห์นี้วงการความปลอดภัยมีข่าวร้อนหลายเรื่อง เริ่มจากทางการแคนาดาจับกุมชาย 3 คนที่ใช้ SMS Blaster ปลอมแปลงเป็นเสาสัญญาณมือถือเพื่อส่งข้อความฟิชชิงไปยังโทรศัพท์ใกล้เคียง โดยอุปกรณ์นี้จะหลอกให้เครื่องเชื่อมต่อและแสดงข้อความที่ดูเหมือนมาจากองค์กรน่าเชื่อถือ เพื่อขโมยข้อมูลส่วนตัวและรหัสผ่านธนาคาร นับเป็นครั้งแรกที่พบ SMS Blaster ในประเทศ

อีกหนึ่งประเด็นคือการโจมตีซัพพลายเชนผ่าน npm package ที่ปลอมเป็น TanStack โดยใช้ชื่อแพ็กเกจว่า “tanstack” ซึ่งจะขโมย environment variables จากเครื่องนักพัฒนาในระหว่างการติดตั้ง โดยเฉพาะไฟล์ .env, .env.local และ .env.production เวอร์ชัน 2.0.4 ถึง 2.0.7 ถูกยืนยันว่าเป็นอันตราย

นอกจากนี้ยังมีการเปิดโปงว่า extension ของเบราว์เซอร์หลายตัวกำลังเก็บข้อมูลผู้ใช้กว่า 6.5 ล้านคนและขายต่อเพื่อทำกำไร โดยมีถึง 80 ตัวที่ทำพฤติกรรมนี้อย่างเปิดเผย

ที่มา: The Hacker News

คำศัพท์เทคนิคที่น่าสนใจ

• SMS Blaster – อุปกรณ์ที่ปลอมแปลงเป็นเสาสัญญาณมือถือเพื่อส่งข้อความฟิชชิง
• npm package – แพ็กเกจซอฟต์แวร์ในระบบนิเวศของ Node.js
• environment variables – ตัวแปรสภาพแวดล้อมที่ใช้เก็บค่าคอนฟิก เช่น .env
• supply chain attack – การโจมตีผ่านห่วงโซ่อุปทานซอฟต์แวร์