ผู้ใช้ Android ระวัง! ช่องโหว่ Gemini ข้ามหน้าล็อก ส่ง SMS แทนเจ้าของได้

ปกติหน้าจอล็อกควรเป็นด่านสำคัญที่ป้องกันไม่ให้บุคคลอื่นเข้าถึงข้อมูลหรือสั่งงานโทรศัพท์ของเรา แต่ล่าสุดมีการค้นพบช่องโหว่บน Android ที่อาจเปิดทางให้ผู้ที่หยิบมือถือไปใช้งาน สามารถสั่ง Gemini ส่งข้อความ SMS หรือข้อความผ่านแอปบางประเภทได้ โดยไม่ต้องทราบรหัส PIN ของเจ้าของเครื่อง

Google รับทราบปัญหาดังกล่าวแล้วและอยู่ระหว่างทยอยปล่อยการแก้ไข อย่างไรก็ตาม ระหว่างที่รออัปเดต ผู้ใช้งานควรตรวจสอบการตั้งค่า Gemini บนหน้าจอล็อก โดยเฉพาะคนที่มักวางโทรศัพท์ทิ้งไว้ในพื้นที่สาธารณะหรือมีผู้อื่นหยิบเครื่องไปใช้งานได้ง่าย

ช่องโหว่ Gemini บนหน้าจอล็อกเกิดขึ้นอย่างไร?

ช่องโหว่นี้จัดอยู่ในกลุ่มการข้ามขั้นตอนยืนยันตัวตน หรือ Authentication Bypass โดยเกิดกับอุปกรณ์ Android บางเครื่องที่เปิดให้ Gemini ทำงานจากหน้าจอล็อก

ตามรายงาน ผู้ที่เข้าถึงตัวเครื่องได้สามารถเรียก Gemini จากหน้าจอล็อก จากนั้นใช้ท่าทางสัมผัสหลายจุดในจังหวะเฉพาะ เพื่อกดคำสั่ง “ดำเนินการต่อ” พร้อมกับปุ่มเพิ่มไฟล์แนบ ทำให้ระบบข้ามหน้าต่างที่ควรขอให้ผู้ใช้ยืนยันตัวตนก่อน

เมื่อข้ามขั้นตอนนี้สำเร็จ บุคคลดังกล่าวอาจสั่งให้ Gemini ส่ง SMS หรือข้อความผ่าน WhatsApp ในนามของเจ้าของเครื่องได้ แม้จะไม่ทราบรหัส PIN รหัสผ่าน หรือรูปแบบการปลดล็อกก็ตาม

ใครได้รับผลกระทบบ้าง?

รายงานเบื้องต้นพบปัญหาบนอุปกรณ์ที่ใช้ Android 16 และเปิดใช้งาน Gemini บนหน้าจอล็อก แต่ยังไม่มีข้อมูลยืนยันว่ามือถือ Android ทุกรุ่นหรือทุกยี่ห้อจะได้รับผลกระทบเหมือนกันทั้งหมด

ช่องโหว่นี้ยังมีเงื่อนไขสำคัญคือ ผู้โจมตีต้องสามารถหยิบและสัมผัสตัวโทรศัพท์ได้โดยตรง จึงไม่ใช่การแฮ็กจากระยะไกลผ่านอินเทอร์เน็ต อย่างไรก็ตาม ความเสี่ยงยังถือว่าน่ากังวล เพราะข้อความที่ถูกส่งออกไปจะดูเหมือนมาจากเจ้าของเครื่องจริง

อันตรายแค่ไหน?

แม้ช่องโหว่จะไม่เปิดหน้าจอหลักหรือเปิดเผยข้อมูลทั้งหมดภายในเครื่อง แต่การส่งข้อความแทนเจ้าของโทรศัพท์อาจนำไปใช้สร้างความเสียหายได้หลายรูปแบบ เช่น

• ส่งข้อความขอยืมเงินไปยังคนในครอบครัวหรือเพื่อน
• ส่งข้อมูลผิด ๆ หรือข้อความที่สร้างความเข้าใจผิด
• ใช้บัญชีของเจ้าของเครื่องแอบอ้างติดต่อบุคคลอื่น
• ส่งข้อความไปยังเบอร์บริการที่อาจมีค่าใช้จ่าย
• สร้างหลักฐานการสนทนาที่เจ้าของเครื่องไม่ได้เป็นผู้ส่ง

ความเสี่ยงจึงไม่ได้อยู่แค่การเสียค่า SMS แต่อาจกระทบทั้งความน่าเชื่อถือ ความสัมพันธ์ และนำไปสู่การหลอกลวงทางการเงินได้

Google รับทราบแล้ว กำลังปล่อยตัวแก้ไข

Google ยืนยันว่ารับทราบปัญหาและได้ดำเนินการแก้ไขแล้ว โดยตัวแก้ไขจะถูกทยอยปล่อยให้ผู้ใช้งาน อย่างไรก็ตาม ควรอัปเดตระบบ Android, แอป Google, Gemini และ Google Play system update ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ

เนื่องจากฟีเจอร์ของ Gemini หลายส่วนทำงานผ่านบริการของ Google การแก้ไขอาจไม่ได้มาในรูปแบบอัปเดตระบบครั้งใหญ่เพียงอย่างเดียว แต่อาจทยอยอัปเดตผ่านแอปหรือบริการเบื้องหลังด้วย

วิธีปิด Gemini บนหน้าจอล็อกชั่วคราว

ผู้ที่กังวลและยังไม่แน่ใจว่าเครื่องได้รับการแก้ไขแล้วหรือไม่ สามารถปิดการใช้งาน Gemini ขณะล็อกหน้าจอชั่วคราวได้ ดังนี้

1. เปิดแอป Gemini
2. แตะเมนู แล้วเลือก รูปโปรไฟล์หรือชื่อบัญชี
3. เข้าเมนู Settings หรือการตั้งค่า
4. เลือก Gemini on lock screen
5. ปิด Use Gemini without unlocking

หากยังต้องการถามคำถามทั่วไปผ่าน Gemini จากหน้าจอล็อก แต่ไม่ต้องการให้สั่งโทรหรือส่งข้อความ สามารถปิดเฉพาะตัวเลือก Make calls and send messages without unlocking ได้

ชื่อและตำแหน่งเมนูอาจแตกต่างกันเล็กน้อยตามเวอร์ชันของแอป ภาษาในเครื่อง และผู้ผลิตสมาร์ตโฟน

ควรตั้งค่าอะไรเพิ่มเติมเพื่อความปลอดภัย?

• อัปเดต Android และ Google Play system update ให้เป็นเวอร์ชันล่าสุด
• อัปเดตแอป Gemini และแอป Google ผ่าน Google Play Store
• ปิดการส่งข้อความจากหน้าจอล็อก หากไม่ได้ใช้งานเป็นประจำ
• ตั้งค่าให้ซ่อนเนื้อหาการแจ้งเตือนสำคัญบนหน้าจอล็อก
• ใช้รหัส PIN อย่างน้อย 6 หลัก หรือรหัสผ่านที่คาดเดาได้ยาก
• เปิดระบบค้นหาและล็อกเครื่องจากระยะไกล
• ไม่วางโทรศัพท์ที่ปลดล็อกหรือเข้าถึงง่ายไว้ในที่สาธารณะ

ฟีเจอร์ส่งข้อความตอนล็อกหน้าจอเป็นบั๊กหรือไม่?

ต้องแยกออกเป็น 2 เรื่อง โดยปกติ Google อนุญาตให้ผู้ใช้เปิดฟีเจอร์ให้ Gemini โทรและส่งข้อความจากหน้าจอล็อกได้อยู่แล้ว เพื่อความสะดวกขณะขับรถ ทำอาหาร หรือไม่สะดวกหยิบโทรศัพท์ขึ้นมาปลดล็อก

แต่ผู้ใช้ต้องเลือกเปิดสิทธิ์ดังกล่าวเอง และระบบยังควรมีขั้นตอนยืนยันตัวตนสำหรับคำสั่งหรือสถานการณ์ที่มีความละเอียดอ่อน ช่องโหว่ที่ถูกรายงานครั้งนี้คือการใช้ท่าทางเฉพาะเพื่อข้ามการตรวจสอบที่ควรเกิดขึ้น ไม่ใช่พฤติกรรมปกติของฟีเจอร์นี้ แต่ว่าาจะมีฟีเจอร์นี้แก้ไขตอนไหนต้องรอติดตามกันต่อไป