01. กลไกการโจมตีแบบสลับซิมการ์ด (SIM Swapping)
ผู้ไม่หวังดีใช้เทคนิควิศวกรรมสังคม (Social Engineering) หลอกลวงหรือติดสินบนพนักงานของผู้ให้บริการเครือข่ายมือถือเพื่อขอออกซิมการ์ดใหม่โดยใช้หมายเลขโทรศัพท์ของเหยื่อ ทันทีที่ซิมใหม่เปิดใช้งาน สัญญาณบนโทรศัพท์ของเหยื่อจะดับลง และข้อความ SMS รหัสผ่านใช้ครั้งเดียวทั้งหมดจะถูกส่งตรงไปยังเครื่องของผู้โจมตี
02. ช่องโหว่โปรโตคอลระบบส่งสัญญาณ SS7
โปรโตคอล Signaling System No. 7 (SS7) ที่ใช้เชื่อมต่อระหว่างเครือข่ายผู้ให้บริการมือถือทั่วโลกถูกออกแบบมาตั้งแต่ยุค 1970 โดยไม่มีการเข้ารหัสหรือการยืนยันตัวตนที่เข้มงวด แฮกเกอร์ระดับสูงสามารถเข้าถึงโครงข่าย SS7 เพื่อดักฟังหรือโอนสาย SMS รหัส 2FA ได้จากระยะไกลโดยที่เหยื่อไม่รู้ตัว
03. ฟิชชิ่งแบบ Adversary-in-the-Middle (Evilginx)
เครื่องมือฟิชชิ่งสมัยใหม่อย่าง Evilginx ทำหน้าที่เป็น Reverse Proxy คั่นระหว่างเหยื่อกับเว็บไซต์จริง เมื่อเหยื่อกรอกรหัสผ่านและรหัส SMS บนหน้าเว็บปลอม ข้อมูลจะถูกส่งต่อไปยังเว็บจริงแบบเรียลไทม์ และแฮกเกอร์จะขโมยเซสชันคุกกี้ (Session Cookie) ที่ผ่านการยืนยันตัวตนแล้วไปใช้งานได้ทันที
04. ทางเลือกที่ปลอดภัยตามมาตรฐาน NIST SP 800-63B
สถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐฯ (NIST) แนะนำให้เลิกใช้ SMS สำหรับการยืนยันตัวตน และเปลี่ยนไปใช้วิธีที่มีความปลอดภัยสูงกว่า:
- FIDO2 / WebAuthn Hardware Keys (เช่น YubiKey): ป้องกันการฟิชชิ่งได้ 100%
- แอปพลิเคชัน TOTP (เช่น 2FA-Tool, Aegis, Bitwarden): คำนวณรหัสผ่านแบบออฟไลน์บนอุปกรณ์
- Push Notification พร้อม Number Matching: ลดความเสี่ยงจากการกดอนุมัติโดยไม่ตั้งใจ