จริงหรือ “มือถือจีน” ใครใช้ก็ถูกขโมยข้อมูลส่วนตัว? (ในข่าวพูดถึงแบรนด์ Xiaomi)

กระทู้สนทนา

เพื่อน ๆ คิดว่ายังไง คนที่ใช้ยี่ห้อนี้อยู่กังวลไหม?

https://mgronline.com/cyberbiz/detail/9570000113515
[Spoil] คลิกเพื่อดูข้อความที่ซ่อนไว้ทันทีที่ผู้ผลิตสมาร์ทโฟนดาวรุ่งจีนอย่าง “เสี่ยวหมี่” (Xiaomi Inc.) ออกมายอมรับว่า สมาร์ทโฟนที่ตัวเองผลิตขึ้นนั้นถูกเขียนโปรแกรมให้ส่งข้อมูลส่วนตัวของผู้ใช้กลับไปที่เซิร์ฟเวอร์ซึ่งตั้งอยู่ในประเทศจีน หลายคนตั้งคำถามว่า แล้วนอกจาก Xiaomi สมาร์ทโฟนจีน แบรนด์อื่นในตลาดจะดำเนินการเช่นเดียวกันหรือไม่? หรือแม้แต่สมาร์ทโฟนแบรนด์ใหญ่ราคาแพงที่หลายคนใช้งานอยู่ จะมีการลักลอบส่งออกข้อมูลส่วนตัวโดยที่ผู้ใช้ไม่รู้ตัวหรือเปล่า?
ก่อนจะไปตอบคำถามเหล่านี้ สิ่งที่เราควรรู้คือ การยอมรับของ Xiaomi นั้นนำไปสู่การต่อต้านและสอบสวนโดยละเอียดจากรัฐบาลไต้หวัน ซึ่งล่าสุดมีรายงานว่า รัฐบาลไต้หวันอาจสั่งห้ามบุคลากรในหน่วยงานรัฐ ทุกคนใช้งานสมาร์ทโฟนแบรนด์ Xiaomi เพื่อป้องกันข้อมูลภายในประเทศรั่วไหลไปถึงจีนที่เป็นไม้เบื่อไม้เมากันมานาน แต่ในขณะนี้ยังไม่มีการลงดาบออกคำสั่งอย่างเป็นทางการ ถือเป็นการบ่งบอกว่าการสอบสวนยังไม่ได้ข้อสรุปที่ชัดเจน
ขณะเดียวกัน แม้ไต้หวันจะเตรียมมาตรการรองรับเฉพาะการใช้งานสมาร์ทโฟน Xiaomi ในภาครัฐ แต่ต้องยอมรับว่า ปัญหาถูกขโมยข้อมูลส่วนตัวนั้นเป็นเรื่องที่มีผลกระทบกับผู้ใช้ทุกคนที่มีโทรศัพท์มือถือในครอบครอง และยังมีประชากรมือถืออีกหลายคนที่ยังไม่ทราบว่าข้อมูลของตัวเองถูกจัดการอย่างไร
ดังนั้น เราผู้ใช้จึงต้องคอยระมัดระวังตัวเองให้มากกว่าเดิม เพราะมีความเป็นไปได้ที่ข้อมูลส่วนตัวของทุกคนจะถูกส่งออกไปยังบุคคลอื่นในทันทีที่เปิดใช้งานเครื่อง
***Xiaomi ขอโทษ
ยักษ์ใหญ่ผู้ผลิตสมาร์ทโฟนสัญชาติจีนอย่าง Xiaomi ออกมายอมรับช่วงปลายเดือนกันยายน 2557 ว่าบริษัทได้ตั้งค่าให้สมาร์ทโฟนที่ตัวเองผลิต ลงมือลักลอบส่งข้อมูลของลูกค้ากลับไปยังเซิร์ฟเวอร์ในประเทศจีน โดยไม่ได้แจ้งให้ลูกค้าทราบหรือขออนุญาตก่อนกระทำการดังกล่าว
มิกโก ฮิปโปเนน จากบริษัทรักษาความปลอดภัย “เอฟ ซีเคียว” (F-Secure) ให้ความเห็นว่าสิ่งที่ Xiaomi ทำนั้นถือเป็นความผิดอย่างร้ายแรง การที่ Xiaomi เข้ามาดึงข้อมูลจากรายชื่อผู้ติดต่อของผู้ใช้และส่งกลับเข้าเซิร์ฟเวอร์ตัวเองโดยที่ลูกค้าไม่อนุญาตเป็นสิ่งที่ผิดมารยาทอย่างมาก และจะยิ่งร้ายแรงมากขึ้น ถ้า Xiaomi ส่งกลับไปโดยไม่ได้เข้ารหัส
Xiaomi ไม่ได้เปิดเผยรายละเอียดว่า การดูดข้อมูลจากสมาร์ทโฟน Xiaomi ที่ผ่านมานั้นถูกเข้ารหัสหรือไม่ แต่ระบุเพียงว่าได้แก้ไขปัญหานี้ด้วยการอัปเดตระบบปฏิบัติการ เพื่อให้แน่ใจว่าผู้ใช้ได้ทราบว่าข้อมูลในรายการผู้ติดต่อกำลังถูกส่งไปเก็บไว้ที่เซิร์ฟเวอร์ของ Xiaomi พร้อมยืนยันว่าจะเป็นการส่งด้วยวิธีเข้ารหัสเท่านั้น
Xiaomi อ้างว่าการดูดข้อมูลนี้เป็นไปเพื่อให้ผู้ใช้ได้รับบริการรับส่งข้อความ SMS ฟรี ด้วยการรับส่งข้อความผ่านเซิร์ฟเวอร์ของบริษัทแทนที่จะเป็นการรับส่งข้อความบนเครือข่ายของโอเปอเรเตอร์ เพื่อให้บริการนี้ บริษัทจำเป็นต้องเข้าถึงรายชื่อในบัญชีผู้ติดต่อของผู้ใช้ โดยในเบื้องต้น ฮิวโก บาร์รา รองประธาน Xiaomi ออกมาขออภัยที่บริษัทเก็บข้อมูลส่วนตัวผู้ใช้โดยไม่ได้รับอนุญาต พร้อมยืนยันว่าการเก็บข้อมูลนี้ครอบคลุมเฉพาะหมายเลขโทรศัพท์ในรายการผู้ติดต่อ เพื่อตรวจสอบว่าผู้ใช้รายใดออนไลน์บ้างเท่านั้น
แม้จะยืนยันความบริสุทธิ์ใจ แต่การออกมายอมรับและอัปเกรดระบบปฏิบัติการของ Xiaomi นั้นเกิดขึ้นหลังจาก Xiaomi ถูกตั้งข้อสงสัยมากมาย ทั้งจากรัฐบาลไต้หวัน รวมถึงบริษัทด้านการรักษาความปลอดภัยที่ออกมาเปิดโปงว่า Xiaomi กำลังทำผิดมหันต์
ในส่วนของไต้หวัน ก่อนหน้านี้ไต้หวันเคยประกาศงดใช้บริการรับส่งข้อความ “ไลน์” (Line) ในคอมพิวเตอร์พีซีทุกเครื่องของรัฐบาล ซึ่งไม่เพียง Line แต่บริการรับส่งข้อความของไมโครซอฟท์ (Microsoft) ที่ปิดฉากลงไปแล้วอย่างเอ็มเอสเอ็น (MSN) ก็ถูกเหมารวมด้วย จุดนี้โฆษกรัฐบาลไต้หวันไม่ให้รายละเอียดการค้นพบที่นำไปสู่การตัดสินใจครั้งนี้ แต่ระบุเพียงว่าคำสั่งนี้ไม่ครอบคลุมเครื่องคอมพิวเตอร์ส่วนตัวและโทรศัพท์มือถือของบุคลากรภาครัฐ
นอกจากนี้ กรมตำรวจไต้หวันยังออกกฎไม่ให้เจ้าพนักงานใช้งานแอปพลิเคชันสนทนาจากจีนอย่าง “วีแชต” (WeChat) ซึ่งเป็นผลงานการพัฒนาของบริษัทเทนเซนต์ (Tencent Holdings Ltd) ทั้งหมดนี้สะท้อนว่า การที่ไต้หวันลงมือสอบสวนกระบวนการเก็บข้อมูลส่วนตัวจากโทรศัพท์แบรนด์ Xiaomi อย่างละเอียดนั้นไม่น่าแปลกใจ ซึ่งผลจากการสอบสวนนี้อาจทำให้ Xiaomi ถูกระงับใช้งานเฉพาะในบุคลากรรัฐเท่านั้น
แต่ในมุมผู้บริโภค สิ่งที่ทุกคนควรรู้คือ Xiaomi ไม่ใช่บริษัทเดียวที่เก็บข้อมูลผู้ใช้ทันทีที่สมาร์ทโฟนถูกเปิดใช้งาน แต่ผู้ผลิตสมาร์ทโฟนทุกรายล้วนสามารถทำได้
***ความปลอดภัยบนสมาร์ทโฟนอยู่หนใด?
ในทางปฏิบัติแล้ว ผู้ที่สามารถ “เก็บข้อมูลผู้ใช้ทันทีที่สมาร์ทโฟนถูกเปิดใช้งาน” อาจแบ่งได้เป็น 3 กลุ่ม คือ กลุ่มผู้ผลิตโทรศัพท์ กลุ่มผู้ให้บริการเครือข่าย และกลุ่มผู้พัฒนาแอปพลิเคชันที่ผู้ใช้ดาวน์โหลดมาติดตั้งในโทรศัพท์ (รวมถึงแอปที่ระบบติดตั้งมาพร้อมกับตัวโทรศัพท์)
หน่วยงานทั้ง 3 กลุ่มนี้สามารถตั้งโปรแกรมให้ตัวเครื่องทำการส่งข้อมูลบางอย่างกลับไปที่ระบบ โดยที่ผู้ใช้อาจทราบหรือไม่ทราบก็ได้ แต่ในกรณีของ Xiaomi นั้น ทันทีที่ผู้ใช้ทำการเปิดเครื่อง มันก็จะเริ่มต้นส่งข้อมูลการใช้งานของผู้ใช้กลับเข้าเซิร์ฟเวอร์แล้ว หรือกรณีให้สิทธิพิเศษแก่ลูกค้าในการส่ง SMS โดยไม่ต้องเสียค่าธรรมเนียม แต่ลูกค้าก็ต้องส่ง SMS ผ่านเซิร์ฟเวอร์ของ Xiaomi ซึ่งทาง Xiaomi ก็จะได้รับข้อมูลต่างๆ ในแอดเดรสบุ๊กของลูกค้ารายนั้นไปด้วย
ไม่เฉพาะค่ายผู้ผลิตโทรศัพท์มือถือเท่านั้นที่แฝงจุดประสงค์ดังกล่าว แต่ทางค่ายผู้ให้บริการเครือข่ายเองก็สามารถทำได้เช่นกัน โดยไบรซ์ โบแลนด์ จากบริษัทด้านซีเคียวริตี้ FireEye ระบุว่า ผู้ให้บริการเครือข่ายสามารถเก็บข้อมูลว่าผู้ใช้อยู่ที่ใดได้จากสัญญาณโทรศัพท์มือถือ
“ปัญหาของอุตสาหกรรมนี้คือ การเก็บข้อมูลเหล่านั้นของบรรดาผู้ให้บริการอาจทำไปเพื่อการใช้งานในหลายจุดประสงค์ ซึ่งอาจจะถูกกฎหมายหรือผิดกฎหมายก็ได้ และบางครั้งอาจกระทบต่อความเป็นส่วนตัว”
ข้อมูลจากบิตดีเฟนเดอร์ (Bitdefender) บริษัทแอนตีไวรัสในโรมาเนีย พบว่าในปีที่ผ่านมา 1 ใน 3 ของแอปในสมาร์ทโฟนแอนดรอยด์ได้อัปโหลดข้อมูลส่วนบุคคลของเครื่องไปยังกลุ่มบริษัทอื่นหรือ Third Party โดยไม่มีการแจ้งให้ผู้ใช้ทราบแต่อย่างใด
ทั้งนี้ คารล์ เป่ย ผู้บริหารจากบริษัทวันพลัส (OnePlus) ค่ายคู่แข่งของ Xiaomi ในจีนได้ออกมาให้สัมภาษณ์ว่า ทาง OnePlus ได้มีการเก็บสถิติต่างๆ จำนวนมากเช่นกัน เช่น มีการเปิดโทรศัพท์นี้ที่ไหน เป็นโทรศัพท์รุ่นใด และใช้ซอฟต์แวร์เวอร์ชันอะไร โดยระบุว่าการเก็บข้อมูลเหล่านี้ทำไปเพื่อช่วยให้เข้าใจยูสเซอร์ได้ดีขึ้น พร้อมบอกด้วยว่า เซิร์ฟเวอร์ของ OnePlus นั้นตั้งอยู่ในสหรัฐฯ ซึ่งหวังว่าจะทำให้ผู้ใช้มั่นใจได้มากกว่าเซิร์ฟเวอร์ของ Xiaomi ที่ตั้งอยู่ในจีน
คำตอบดังกล่าวอาจถือเป็นเรื่องน่ายินดีมากที่แต่ละค่ายต่างออกมาเปิดเผยความจริงกันมากขึ้น ว่าล้วนแล้วแต่มีการแอบเก็บข้อมูลของลูกค้าไปใช้ประโยชน์กันทั้งสิ้น
ข้อมูลนี้ตรงกับแหล่งข่าวในวงการโอเปอเรเตอร์ไทย ที่มองว่าความผิดพลาดครั้งใหญ่ของ Xiaomi คือการไม่ได้สร้างระบบที่ลูกค้าต้องอ่านและทำเครื่องหมายที่ข้อความยินยอม หรือบอกให้ลูกค้าทราบก่อนล่วงหน้าว่าจะมีการส่งข้อมูลในลักษณะนี้กลับไปที่เซิร์ฟเวอร์กลาง
“ส่วนใหญ่แล้วแบรนด์ดังทั้งหลายจะมีการบอกลูกค้าก่อน ซึ่งข้อมูลที่มักมีการบันทึกไว้คือหมายเลข IMEI เครื่อง โดยหลักใหญ่แล้วเป็นไปเพื่อการสำรองข้อมูลมากกว่า ไม่ได้มีจุดประสงค์เรื่องการส่งต่อข้อมูลหรือสร้างความเสียหายให้กับลูกค้า ในแง่ความน่าเชื่อถือของแบรนด์ เมื่อเกิดกรณีเช่นนี้ขึ้น มองว่าก็เป็นเรื่องธรรมดา เมื่อแบรนด์จีนขาดความน่าเชื่อถือก็จะส่งผลดีกับแบรนด์ใหญ่อื่นๆ อยู่แล้วในแง่ยอดขายที่ดีขึ้น”
*** F-Secure ยืนยันการส่งข้อมูล
F-Secure บริษัทด้านความปลอดภัยก็ได้ทำการทดสอบตัวเครื่องรุ่น Xiaomi RedMi 1S อีกครั้ง หลังจากรายงานระบุว่า สมาร์ทโฟน Xiaomi ที่ได้รับผลกระทบหลักคือรุ่น Xiaomi Note ที่วางขายไปทั่วโลกหลายแสนเครื่อง โดยจากการเปิดเครื่องใหม่เพื่อใช้สำหรับทดสอบโดยเฉพาะ พบว่าหลังจากที่ทำการใส่ SIM card เชื่อมต่อ WiFi พร้อมเปิด GPS และเพิ่มเบอร์โทรศัพท์เข้าไปในเครื่อง ตลอดจนรับ-ส่ง SMS, MMS และโทร.เข้า-ออก ก็พบว่า RedMi 1S เริ่มทำการส่งข้อมูลกลับไปที่เซิร์ฟเวอร์ในประเทศจีนทันที โดยไม่ได้มีขั้นตอนการขออนุญาตแต่อย่างใด
ขั้นตอนการส่งข้อมูลกลับไปประเทศจีนนั้น เริ่มต้นขึ้นแม้ว่าจะยังไม่มีการล็อกอินหรือลงชื่อใช้บริการหมี่คลาวด์ (MiCloud) อย่างที่ผู้บริหาร Xiaomi แก้ต่างว่าเป็นการเก็บข้อมูลของระบบคลาวด์แต่อย่างใด
การทดสอบพบว่านับตั้งแต่เปิดเครื่อง Xiaomi RedMi 1S ก็ทำการส่งข้อมูลส่วนตัวพร้อมข้อมูลเครือข่ายที่ใช้งาน, หมายเลข IMEI, หมายเลขโทรศัพท์ของ SIM card ตลอดจนหมายเลขโทรศัพท์ที่บันทึกไว้ในเครื่อง และข้อความสั้น (SMS) รวมทั้งเบอร์โทรศัพท์ที่ใช้ในการรับ-ส่งข้อความสั้นนั้น และรูปภาพที่มีอยู่มีอยู่ในเครื่อง ก็จะถูกส่งกลับไปยัง Server ของ Xiaomi (api.account.xiaomi.com) ที่ตั้งอยู่ในประเทศจีนเช่นเดียวกับการล็อกอินบัญชี Micould ในเครื่องแล้วนั่นเอง
ทั้งนี้ นโยบายความเป็นส่วนตัวของ Xiaomi ระบุไว้อย่างชัดเจนว่าจะมีการเก็บข้อมูลผู้ใช้เครื่องอยู่ 3 ส่วนด้วยกัน คือ 1. ข้อมูลระบุตัวตนของผู้ใช้ 2. ข้อมูลระบุตัวตนของเครื่อง 3. ตำแหน่งของเครื่อง หากแต่การอ้างนโยบายดังกล่าวไม่รวมถึงการส่งข้อมูลด้าน SMS พร้อมข้อมูลหมายเลขโทรศัพท์ที่ได้บันทึกไว้ในเครื่อง ตลอดจนภาพถ่ายที่อยู่ในเครื่องในการส่งกลับไปยังเซิร์ฟเวอร์ที่ประเทศจีนแต่อย่างใด
ภัยร้ายจากข้อความสั้น (SMS) หลุดนั้น ใหญ่หลวงกว่าเจ้าของเครื่องคิดไว้มาก เพราะหลายบริการบนโลกออนไลน์ มักผูกรวมการรักษาความปลอดภัยในการให้บริการเอาไว้กับเบอร์สมาร์ทโฟน ยกตัวอย่างเช่นการบริการธุรกรรมทางการเงินแบบออนไลน์ เมื่อต้องการทำรายการโอนเงินในขั้นตอนสุดท้าย มักใช้บริการ OTP (One Time Password) ยืนยันความเป็นเจ้าของบัญชีก่อนทุกครั้ง แน่นอนว่า OTP มีช่วงเวลาในการใช้งานหลังจากรับรหัส ซึ่งอาจจะเป็นเพียงแค่ช่วงเวลา 15-30 นาทีแล้วก็ตาม แต่เมื่อผู้ไม่หวังดีสามารถเข้าถึงบริการของเครื่องได้ตลอดเวลาที่มีการออนไลน์อยู่ นั่นก็หมายถึงการรับ OTP ไม่ว่าช่วงเวลาไหนก็แล้วแต่ล้วนตกอยู่ในอันตรายได้ทั้งสิ้น
บ่อยครั้งที่การยืนยันตัวบุคคลบนโลกออนไลน์เรียกหาเบอร์โทรศัพท์มือถือ เพื่อส่งรหัสผ่านสำหรับการยืนยันนอกเหนือจากการส่งลิงค์เข้าอีเมล์ และเมื่อมีการผูกบริการไว้กับหมายเลขโทรศัพท์นั้นๆ แล้ว การกู้รหัสผ่านเมื่อเกิดการลืมขึ้นมา ความจำเป็นของการรับรหัสผ่านข้อความสั้นผ่านสมาร์ทโฟนก็เป็นอีกหนึ่งทางเลือกที่ได้รับความนิยม
ทั้งหมดนี้ยังไม่นับรวมการบริการ E-Service ของผู้ให้บริการมือถือในประเทศไทย ที่นิยมให้กรอกหมายเลขโทรศัพท์เพื่อใช้รับรหัสผ่านชั่วคราวสำหรับการเข้าใช้ บริการนั่นเอง
ความสำคัญของการปกป้องการเข้าถึงฟีเจอร์ SMS ก็น่าจะประจักษ์ชัดสำหรับผู้ที่ยังคลางแคลงใจว่า แค่ SMS เข้าถึงแล้วจะเกิดอะไรขึ้น เพราะนั่นหมายถึงบริการที่ผูกไว้ทั้งหมดบนโลกออนไลน์จะถูกดึงข้อมูลไปให้กับผู้ไม่หวังดีรายนั้นได้โจรกรรมทรัพย์สิน หรือความลับ ตลอดจนการบริการของผู้ใช้สมาร์ทโฟนนั้นๆ อย่างที่ไม่มีวันจะกู้กลับมาอีกเลยก็เป็นได้
***ป้องกันตัวเอง-อย่าสนมือถือปลอม
F-Secure ยังแนะนำทางป้องกันตัวเองจากการถูกลักลอบเก็บข้อมูลส่วนตัว ว่าผู้ใช้ควรให้ความสนใจกับการอนุญาตให้เข้าถึงข้อมูลส่วนตัวให้ดีก่อนการติดตั้งแอปพลิเคชันทุกครั้ง รวมถึงการลงทะเบียนใช้งานในสมาร์ทโฟนเครื่องใหม่ ขณะเดียวกัน การเลือกซื้อ “มือถือปลอม” ก็มีอันตรายมากกว่าที่คิด
ในกรณีของแอปแทบทุกแอปพลิเคชันจะร้องขอการอนุญาตให้เข้าถึงความสามารถต่างๆ ของเครื่อง เช่นระบบการโทร. ระบบข้อความสั้น (SMS) ระบบการตั้งค่ากล้องถ่ายภาพ ไมโครโฟน รายชื่อ อินเทอร์เน็ต ไว-ไฟ และ