Apple ออกแพตซ์อัปเดตด้านความปลอดภัยเมื่อวันอังคารที่ผ่านมา (11 มีนาคม 2025) เพื่อแก้ไขช่องโหว่ Zero-day ที่บริษัทระบุว่ากำลังถูกใช้ในการโจมตี (more…)

Apple ออกแพตซ์อัปเดตด้านความปลอดภัยเร่งด่วนเพื่อแก้ไขช่องโหว่ Zero-day ซึ่งบริษัทระบุว่ากำลังถูกใช้ในการโจมตีแบบกำหนดเป้าหมาย และมีความซับซ้อนสูง (more…)

ทีมนักวิจัยด้านความปลอดภัยเปิดเผยช่องโหว่ Side-Channel รูปแบบใหม่ในโปรเซสเซอร์รุ่นใหม่ของ Apple ซึ่งอาจถูกใช้เพื่อขโมยข้อมูลสำคัญจากเว็บเบราว์เซอร์ได้ (more…)

Apple ออกอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Zero-Day รายการแรกของปี 2025 ซึ่งถูกระบุว่ากำลังถูกใช้ในการโจมตีอย่างต่อเนื่องโดยกำหนดเป้าหมายไปที่ผู้ใช้ iPhone (more…)

พบกลุ่ม Hacker กำลังใช้กลวิธีเพื่อหลอกล่อให้ผู้ใช้งานปิดฟีเจอร์ Phishing Protection สำหรับข้อความของ Apple iMessage และหลังจากนั้นก็เปิดกลับมาอีกครั้ง

(more…)

ช่องโหว่ระดับ Critical หมายเลข CVE-2024-44308 กำลังถูกนำไปใช้ในการโจมตีอย่างต่อเนื่อง โดยกระทบกับ Apple Safari หลายเวอร์ชันบนแพลตฟอร์ม iOS, visionOS และ macOS

ช่องโหว่ดังกล่าวอยู่ภายในคอมไพเลอร์ DFG JIT ของ WebKit ทำให้เกิดการโจมตีในรูปแบบการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ (RCE) (more…)

Apple ได้ออกอัปเดตแพตซ์ความปลอดภัยฉุกเฉินเพื่อแก้ไขช่องโหว่ Zero-Day 2 รายการที่ถูกนำไปใช้ในการโจมตีระบบ Mac ที่ใช้ Intel-based (more…)

 

Apple ได้แก้ไขช่องโหว่สองรายการที่อาจส่งผลกระทบกับเจ้าของ iPhone และ iPad ที่ให้ความสำคัญกับความเป็นส่วนตัว

ช่องโหว่แรก เป็นปัญหาที่เกี่ยวข้องกับฟีเจอร์การเข้าถึง VoiceOver ของ Apple ซึ่งอาจทำให้ iPhone หรือ iPad ออกเสียงรหัสผ่านที่สำคัญได้ ส่วนข้อผิดพลาดอีกรายการส่งผลกระทบกับข้อความเสียงใน iPhone รุ่นใหม่ ซึ่งอาจทำให้บันทึกเสียงผู้ใช้งานในช่วงเวลาสั้น ๆ ก่อนที่พวกเขาจะรู้ว่ากำลังถูกบันทึกเสียงอยู่

ระบบปฏิบัติการเวอร์ชันใหม่พร้อมใช้งานสำหรับทั้ง iOS และ iPadOS (18.0.1) ซึ่งได้แก้ไขช่องโหว่ด้วยการปรับปรุงการตรวจสอบ และการยืนยันตามลำดับ ผู้ใช้ควรอัปเดตอุปกรณ์ของตนเพื่อหลีกเลี่ยงความเสี่ยงที่อาจเกิดขึ้น

ตามที่ Michael Covington รองประธานฝ่าย portfolio strategy ของ Jamf ระบุว่า "ข่าวดีคือช่องโหว่ทั้งสองรายการนั้น ไม่เกี่ยวข้องกับการโจมตี แต่เป็นช่องโหว่ที่เกิดขึ้นจากการใช้งานอุปกรณ์ และความเป็นส่วนตัวของผู้ใช้"

อย่างไรก็ตาม สำหรับธุรกิจที่ใช้มือถือในการทำงาน ขอแนะนำให้ให้ความสำคัญกับช่องโหว่ทั้งสองรายการนี้ และดำเนินการที่เหมาะสมเพื่ออัปเดตอุปกรณ์ให้เร็วที่สุดเท่าที่จะเป็นไปได้

ช่องโหว่ #1: การอ่านออกเสียงรหัสผ่าน

ช่องโหว่แรกเกี่ยวข้องกับ VoiceOver ซึ่งเป็นฟีเจอร์การเข้าถึงที่ให้คำบรรยายเสียงแก่ผู้ใช้ที่มีความบกพร่องทางการมองเห็นเกี่ยวกับองค์ประกอบต่าง ๆ บนหน้าจอ เช่น ข้อความ, ปุ่ม, รูปภาพ และอื่น ๆ นอกจากนี้ VoiceOver ยังอนุญาตให้ผู้ใช้สามารถนำทางอุปกรณ์ของตนด้วยคำสั่งเสียง และท่าทางต่าง ๆ ได้อีกด้วย

อย่างไรก็ตาม อาจไม่ใช่ทุกอย่างในอุปกรณ์ที่จะต้องอ่านออกเสียง เช่น รหัสผ่าน เมื่อเดือนที่แล้ว ในส่วนของ iOS และ iPadOS 18 แอปพลิเคชันใหม่ชื่อ 'Passwords' ได้ถูกเปิดตัวโดย Apple ซึ่งช่วยให้ผู้ใช้งานสามารถเก็บ และจัดการข้อมูลการเข้าสู่ระบบได้อย่างง่ายดาย โดย CVE-2024-44204 เป็นช่องโหว่ด้าน logic ที่อาจทำให้ VoiceOver อ่านรหัสผ่านของผู้ใช้งานออกมาได้

VoiceOver ปิดใช้งานโดยค่าเริ่มต้น ซึ่งหมายความว่าผู้ใช้ iPhone เพียงบางกลุ่มเท่านั้นที่อาจได้รับผลกระทบ

Covington ระบุไว้ว่า "เหตุการณ์นี้ไม่ใช่ครั้งแรกที่พบการใช้ accessibility ฟีเจอร์ในทางที่ผิด ตัวอย่างก่อนหน้านี้รวมถึงเทคโนโลยีอ่านหน้าจอที่ถูกใช้โดยแอปพลิเคชันที่ทำงานผิดปกติเพื่อดึงข้อมูลรายละเอียดบนหน้าจอ และขโมยข้อมูลจากอุปกรณ์ โชคดีที่ accessibility ฟีเจอร์ส่วนใหญ่ต้องผ่านการทดสอบด้านความปลอดภัย และความเป็นส่วนตัวอย่างเข้มงวด ดังนั้นเหตุการณ์เหล่านี้จึงไม่ค่อยเกิดขึ้นบ่อยนัก"

ช่องโหว่ #2: เริ่มต้นบันทึกเสียงก่อนเวลา

หากผู้ใช้ iPhone อยู่ระหว่างเดินทาง มีอะไรจะพูดมากมาย หรืออาจจะไม่อยากพิมพ์ พวกเขาอาจเลือกที่จะบันทึกข้อความเสียงใน iMessage แทนการพิมพ์ข้อความธรรมดา หลังจากที่พวกเขากดเครื่องหมายบวกที่ด้านซ้ายของกล่องข้อความ และเลือก "เสียง" อุปกรณ์จะแจ้งว่าเริ่มบันทึกโดยมีคลื่นเสียงสีแดงที่แสดงแทนกล่องข้อความ และมีจุดสีส้มเล็ก ๆ ที่ด้านบนของหน้าจอ

นักวิจัยด้านความปลอดภัยเพิ่งค้นพบว่าข้อความเสียงอาจบันทึกเสียงได้ไม่กี่วินาทีก่อนที่ผู้ใช้จะรู้ว่ามีการเปิดไมโครโฟนอยู่ โดยช่องโหว่ CVE-2024-44207 ส่งผลกระทบกับ iPhone 16 รุ่นใหม่ทั้งหมด

แม้ว่าจะดูเหมือนเป็นปัญหาที่เล็กน้อย แต่ Covington แสดงให้เห็นว่า "การขาดการเชื่อมต่อระหว่างฟังก์ชั่นของอุปกรณ์ และ visual indicators ที่เกี่ยวข้องนี้ เป็นสิ่งที่ทีมวิจัยภัยคุกคามของ Jamf ได้เชื่อมโยงกับเทคนิคการแฝงตัวที่ใช้โดยผู้ไม่หวังดีเพื่อรักษาการมีอยู่บนอุปกรณ์หลังจากการโจมตีสำเร็จ การแก้ไขช่องโหว่นี้ก่อนที่มันจะถูกนำไปใช้ในทางที่ผิดถือเป็นความสำเร็จครั้งใหญ่ของ Apple"

ทั้งนี้ช่องโหว่ VoiceOver และช่องโหว่การส่งข้อความเสียงยังไม่ได้รับการจัดอันดับในระบบการให้คะแนนช่องโหว่ทั่วไป (CVSS) ในขณะนี้ และยังไม่มีรายละเอียดเพิ่มเติมที่เผยแพร่ออกมาในเวลานี้

ที่มา : https://www.

นักวิจัยด้านความปลอดภัยทางไซเบอร์พบมัลแวร์ขโมยข้อมูลตัวใหม่ที่ออกแบบมาเพื่อโจมตีระบบปฏิบัติการ macOS ของ Apple และรวบรวมข้อมูลหลากหลายประเภท ซึ่งแสดงให้เห็นว่ากลุ่มแฮ็กเกอร์กำลังมุ่งเป้ามาที่ระบบปฏิบัติการนี้เพิ่มมากขึ้นเรื่อย ๆ

(more…)

Apple ระบุในการวิเคราะห์การป้องกันการฉ้อโกงประจำปีล่าสุดว่า เทคโนโลยีในการต่อต้านการฉ้อโกงของ Apple ได้ปิดกั้นการทำธุรกรรมที่อาจเป็นการฉ้อโกงมูลค่ามากกว่า 7 พันล้านดอลลาร์ในสี่ปี

ตั้งแต่ปี 2020 ถึง 2023 บริษัทตรวจพบบัตรเครดิตที่ถูกขโมยมาใช้มากกว่า 14 ล้านใบ และบล็อกไม่ให้ทำธุรกรรมบนแพลตฟอร์มพร้อมกับบัญชี 3.3 ล้าน accounts

สถิติในปีที่แล้วแสดงให้เห็นว่า Apple หยุดธุรกรรมที่น่าสงสัยมูลค่า 1.8 พันล้านดอลลาร์ ซึ่งน้อยกว่าในปี 2022 ที่บล็อกธุรกรรมที่น่าสงสัยไป 2 พันล้านดอลลาร์เล็กน้อย

รายงานยังระบุว่า ตลอดปี 2023 Apple ยังป้องกันการใช้งานบัตรเครดิตที่ถูกขโมยมากว่า 3.5 ล้านใบสำหรับการซื้อที่ App Store และแบน accounts มากกว่า 1.1 ล้าน accounts จากการทำธุรกรรมอีกครั้ง

ในแง่ของความปลอดภัยของแอป และการบังคับใช้นโยบายความเป็นส่วนตัว เมื่อปีที่ผ่านมา Apple ปฏิเสธที่แอปที่ถูกส่งเข้ามามากกว่า 1.7 ล้านรายการที่ไม่เป็นไปตามมาตรฐานของ App Store ในด้านความเป็นส่วนตัว ความปลอดภัย และเนื้อหา

ในจำนวนนี้ 248,000 รายการถูกปฏิเสธเนื่องจากเป็นสแปม ลอกเลียนแบบ หรือทำให้ผู้ใช้งานเข้าใจผิด
38,000 รายการถูกปฏิเสธเนื่องจากมีคุณลักษณะที่ซ่อนอยู่ หรือไม่มีเอกสารอ้างอิง
375,000 รายการถูกปฏิเสธเนื่องจากการละเมิดความเป็นส่วนตัวต่าง ๆ
47,000 รายการถูกปฏิเสธเนื่องจากเป็นแอปที่ผิดกฎหมายละเมิดลิขสิทธิ์
40,000 รายการถูกถอดออก หรือปฏิเสธเพราะใช้กลยุทธ์ "bait-and-switch"
และ 98,000 รายการคาดว่า "อาจฉ้อโกง" และถูกบล็อกไว้ก่อน

ทีมตรวจสอบแอปซึ่งประกอบด้วยผู้เชี่ยวชาญ 500 คน ตรวจสอบแอปที่ส่งเข้ามา 6.9 ล้านรายการในปี 2023 และพบการละเมิดที่นำไปสู่การปฏิเสธคำขอ 1.7 ล้านคำขอ

นอกจากนี้ ปีที่แล้ว Apple ได้แบน accounts ไป 118,000 accounts และ turned down accounts ไป 91,000 accounts

ในส่วนของ accounts ของลูกค้า พบว่ามีการฉ้อโกง 153 ล้าน accounts หรือมีส่วนร่วมในกิจกรรมที่ผิดกฎหมาย 374 ล้าน accounts ซึ่งนำไปสู่การบล็อก หรือปิดการใช้งาน

สุดท้ายนี้ จากคะแนน และรีวิวแอป 1.1 พันล้านรายการที่ผู้ใช้ส่งไปยัง App Store ในปี 2023 มี 152 ล้านรายการที่ถูกพิจารณาว่าเป็นแอปปลอม/ฉ้อโกง และถูกลบออก

Apple แสดงความมุ่งมั่นที่จะยกระดับความความปลอดภัย และความสมบูรณ์ของ App Store การลงทุนด้านความปลอดภัย ขยายโครงการต่อต้านการฉ้อโกง และเสริมความแข็งแกร่งให้กับเทคโนโลยีการชำระเงินที่ปลอดภัย เช่น Apple Pay และ StoreKit

อย่างไรก็ตาม ผู้ใช้ยังงานสามารถดำเนินการเพื่อปกป้องตนเองจากการฉ้อโกงได้ดังนี้:

ดาวน์โหลดเฉพาะแอปจาก App Store อย่างเป็นทางการเท่านั้น หลีกเลี่ยงการใช้งาน third-party แอป
อ่าน reviews ของผู้ใช้งานอื่น ๆ อย่างละเอียด และมองหาสัญญาณของการฉ้อโกง เช่น การให้คะแนนที่สูงอย่างน่าสงสัย พร้อม reviews ที่มีรายละเอียดเพียงเล็กน้อย
ใช้ซอฟต์แวร์จากนักพัฒนาที่มีชื่อเสียงซึ่งมีผลงานจากโครงการที่น่าเชื่อถือเท่านั้น
สังเกตการขอ permissions ที่แอปร้องขอ และปฏิเสธการเข้าถึงที่ไม่จำเป็น
อัปเดตระบบปฏิบัติการ และแอปของอุปกรณ์ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ
ลบแอปที่ไม่ได้ใช้งาน และเพิกถอน permissions สำหรับแอปที่ไม่ได้ใช้
อย่างไรก็ตาม แม้จะมีนโยบายที่เข้มงวดสำหรับแอปพลิเคชันที่จะเข้าสู่ App Store แต่ผู้โจมตีบางรายยังคงสามารถหลีกเลี่ยงกลไกการตรวจสอบ และส่งแอปที่เป็นอันตรายเข้าสู่ App Store ได้

ในปีนี้ มีกรณีแอปปลอมที่มีชื่อเสียงโด่งดังสองกรณีถูกเพิ่มเข้าไปใน App Store ของ Apple โดยกรณีหนึ่งเป็นการเลียนแบบเครื่องมือจัดการรหัสผ่าน LastPass และอีกกรณีหนึ่งแอบอ้างเป็นกระเป๋าเงินดิจิทัลของ Leather

ที่มา: bleepingcomputer