ข้อบกพร่องของ Bing ทำให้แฮกเกอร์ปรับเปลี่ยนผลการค้นหา ขโมยไฟล์ของคุณได้

เมื่อเร็วๆ นี้ นักวิจัยด้านความปลอดภัยสามารถเปลี่ยนผลลัพธ์อันดับต้นๆ ของ Microsoft ได้ เครื่องมือค้นหา Bing และเข้าถึงไฟล์ส่วนตัวของผู้ใช้ อาจทำให้ผู้ใช้หลายล้านคนตกอยู่ในความเสี่ยง — และสิ่งที่ต้องทำก็แค่ลงชื่อเข้าใช้หน้าเว็บที่ไม่ปลอดภัย

ช่องโหว่นี้ถูกค้นพบโดยนักวิจัย Hillai Ben-Sasson ในทีมของพวกเขาที่ Wiz ซึ่งเป็นบริษัทรักษาความปลอดภัยบนคลาวด์ ตามคำกล่าวของเบน-ซัสสันไม่เพียงแต่จะอนุญาตให้ผู้โจมตีเปลี่ยนผลการค้นหาของ Bing ได้ แต่ยังอนุญาตให้พวกเขาเข้าถึงไฟล์และข้อมูลส่วนตัวของผู้ใช้หลายล้านคนอีกด้วย

กลุ่มวิจัยขนานนาม BingBang โดยมีศูนย์กลางอยู่ที่ Azure Active Directory ของ Microsoft ซึ่งองค์กรต่างๆ ใช้เพื่อจัดการข้อมูลประจำตัวผู้ใช้และการเข้าถึงแอป ขออภัย หากมีการกำหนดค่าแอปไม่ถูกต้อง ผู้ใช้ Azure ทุกคนในโลกสามารถเข้าสู่ระบบได้โดยไม่ต้องมีข้อมูลประจำตัวที่เหมาะสม

น่าตกใจที่นักวิจัยตั้งข้อสังเกตไว้ใน การวิเคราะห์ทางเทคนิค ของข้อบกพร่องที่มากถึง 25% ของแอปที่มีผู้ใช้หลายคนที่พวกเขาสแกนมีช่องโหว่ รวมถึงแอป Microsoft ที่ชื่อ Bing Trivia

หลังจากใช้ประโยชน์จากข้อบกพร่องเพื่อเข้าสู่แอป Bing Trivia ทีม Wiz พบระบบจัดการเนื้อหา (CMS) ที่เชื่อมโยงกับ Bing.com ที่ควบคุมผลลัพธ์สดของเครื่องมือค้นหา ด้วยอารมณ์ขัน จากนั้นพวกเขาก็เปลี่ยนรายการใดรายการหนึ่ง โดยเปลี่ยนผลลัพธ์อันดับต้นๆ สำหรับ "เพลงประกอบภาพยนตร์ที่ดีที่สุด" จากเพลง Dune ไปเป็นภาพยนตร์ Hackers ในปี 1995

อย่างไรก็ตาม ไม่มีอะไรตลกเกี่ยวกับความหมายของข้อบกพร่องนี้ ดังที่นักวิจัยอธิบายว่า “ผู้ประสงค์ร้ายที่ลงจอดบนหน้าแอป Bing Trivia อาจมี ดัดแปลงข้อความค้นหาและเปิดตัวแคมเปญข้อมูลที่ไม่ถูกต้อง ตลอดจนฟิชชิงและแอบอ้างบุคคลอื่น เว็บไซต์”

ขโมยไฟล์ส่วนตัวและอีเมล

ยิ่งไปกว่านั้น นักวิจัยยังสามารถเพิ่ม payload cross-site scripting (XSS) ที่ไม่เป็นอันตรายลงใน Bing ขณะที่พวกเขาเข้าสู่ระบบได้ สิ่งนี้สามารถทำงานได้ตามที่คาดไว้โดยไม่มีการรบกวน หลังจากรายงานปัญหาไปยัง Microsoft แล้ว นักวิจัยได้พยายามแก้ไขเพย์โหลด XSS นี้เพื่อดูว่าเป็นไปได้อย่างไร

เพราะ Bing ผสานรวมเข้ากับ ไมโครซอฟต์ 365ทีม Wiz สามารถสร้างสคริปต์ที่อาจขโมยโทเค็นการเข้าถึงของผู้ใช้ที่เข้าสู่ระบบ ทำให้พวกเขาสามารถเข้าถึงข้อมูลคลาวด์ของผู้ใช้นั้นได้ นั่นอาจรวมถึง อีเมล Outlook, ปฏิทิน, ข้อความของทีม, ไฟล์ OneDrive และอื่นๆ

เมื่อรวมเข้าด้วยกัน นั่นหมายความว่าแฮกเกอร์อาจมีอำนาจในการเปลี่ยนเส้นทางผลการค้นหา Bing ไปยังผู้ประสงค์ร้าย เว็บไซต์ และในขณะเดียวกันก็เก็บเกี่ยวข้อมูลส่วนตัวจากผู้ใช้ที่เข้าสู่ระบบด้วยบัญชี Microsoft 365 ทั้งหมดนี้เกิดจากการใช้ประโยชน์จากช่องโหว่ในการเข้าสู่ระบบแบบง่ายๆ

โชคดีที่นักวิจัยรายงานข้อบกพร่องดังกล่าวให้ Microsoft ทราบทันที และได้รับการแก้ไขหลังจากนั้นไม่นาน ส่งผลให้ได้รับรางวัลรางวัล Bug Bounty มูลค่า 40,000 ดอลลาร์ อย่างไรก็ตาม มันยังคงเป็นตัวอย่างที่น่าตกใจว่าต้องใช้ความพยายามเพียงเล็กน้อยในการขโมยข้อมูลส่วนตัวจากผู้ใช้ที่ไม่สงสัยหลายล้านคน

คำแนะนำของบรรณาธิการ

• การหาประโยชน์ที่สำคัญนี้อาจทำให้แฮกเกอร์สามารถเลี่ยงการป้องกันของ Mac ของคุณได้
• คุณลักษณะ Microsoft Bing Chat ใหม่นี้ช่วยให้คุณเปลี่ยนลักษณะการทำงานได้
• ตรวจสอบกล่องจดหมายของคุณ — Microsoft เพิ่งส่งคำเชิญ ChatGPT Bing คลื่นลูกแรกออกไป
• แฮกเกอร์ขโมยบันทึกของผู้คน 1 พันล้านคนจากการละเมิดข้อมูลที่ไม่เคยเกิดขึ้นมาก่อน
• แฮกเกอร์มุ่งเป้าไปที่ AMD เพื่อขโมยข้อมูลลับสุดยอดขนาดใหญ่ถึง 450GB

อัพเกรดไลฟ์สไตล์ของคุณDigital Trends ช่วยให้ผู้อ่านติดตามโลกแห่งเทคโนโลยีที่เปลี่ยนแปลงไปอย่างรวดเร็วด้วยข่าวสารล่าสุด รีวิวผลิตภัณฑ์สนุกๆ บทบรรณาธิการที่เจาะลึก และการแอบดูที่ไม่ซ้ำใคร