Android 17 ปิดทางแอปมิจฉาชีพยึดเครื่อง: โหมด Advanced Protection ให้ใช้สิทธิ์ Accessibility ได้เฉพาะแอปช่วยการเข้าถึงตัวจริง พร้อมกันเสียบ USB ตอนล็อกจอ

แอปดูดเงินที่ระบาดในไทยหลายตัวทำงานด้วยการหลอกให้เหยื่อเปิดสิทธิ์ Accessibility แล้วใช้สิทธิ์นั้นกดแอปธนาคารแทนเจ้าของเครื่อง Google เพิ่มการป้องกัน 6 อย่างให้โหมด Advanced Protection บน Android 17 และอย่างที่ใกล้ตัวที่สุดคือการจำกัดสิทธิ์นี้ให้ใช้ได้เฉพาะแอปที่เป็นเครื่องมือช่วยการเข้าถึงจริง เช่น โปรแกรมอ่านหน้าจอ ส่วนแอปอื่นจะขอสิทธิ์นี้ไม่ได้อีกต่อไปเมื่อเปิดโหมดนี้ไว้

Accessibility Service คือช่องทางที่ Android เปิดให้แอปช่วยผู้พิการอ่านสิ่งที่อยู่บนจอและกดปุ่มแทนผู้ใช้ได้ ความสามารถเดียวกันนี้ถูกแอปอันตรายนำไปใช้ดักข้อความ ซ้อนหน้าจอเข้าสู่ระบบปลอม และสั่งโอนเงินในแอปธนาคารโดยไม่ต้องเจาะระบบปฏิบัติการเลย เมื่อเปิด Advanced Protection แอปที่ไม่ได้ประกาศตัวเป็นเครื่องมือช่วยการเข้าถึง และไม่ผ่านการยืนยันจาก Google จะใช้สิทธิ์นี้ไม่ได้ แอปกลุ่มอื่น เช่น แอปทำความสะอาดเครื่อง ตัวเปิดแอป หรือแอปอัตโนมัติ ไม่นับเป็นเครื่องมือช่วยการเข้าถึง

การป้องกันอีก 5 อย่างที่มาพร้อมกัน ได้แก่ USB Protection ซึ่งให้พอร์ต USB ชาร์จไฟได้อย่างเดียวขณะล็อกจอ กันการต่ออุปกรณ์ดึงข้อมูล Failed Authentication Lock ซึ่งล็อกเครื่องหนักขึ้นเมื่อมีการเดารหัสผิดซ้ำ ๆ การปิด WebGPU ใน Chrome เพื่อลดช่องทางโจมตีผ่านหน้าเว็บ Intrusion Logging ซึ่งเก็บบันทึกเหตุการณ์ด้านความปลอดภัยแบบเข้ารหัสไว้ในคลาวด์ 12 เดือนให้เจ้าของเครื่องใช้ตรวจย้อนหลัง และหน้ารวมแอปที่ทำงานร่วมกับโหมดนี้

ทุกอย่างใช้ได้บนเครื่อง Android 17 ยกเว้น USB Protection และ Failed Authentication Lock ที่ใช้ได้เฉพาะบางรุ่น Google ออกแบบโหมดนี้สำหรับคนที่มีความเสี่ยงสูง เช่น นักข่าวหรือผู้มีชื่อเสียง แต่ใครก็เปิดได้ด้วยสวิตช์เดียวในหน้าตั้งค่าความปลอดภัย ข้อแลกเปลี่ยนคือฟีเจอร์บางอย่างจะถูกจำกัด จึงเหมาะกับคนที่ต้องการความปลอดภัยมากกว่าความสะดวก

สำหรับทีมพัฒนาแอป ถ้าแอปของคุณพึ่ง Accessibility Service เพื่อทำงานอัตโนมัติหรืออ่านหน้าจอแอปอื่น ผู้ใช้ที่เปิดโหมดนี้จะใช้ฟีเจอร์นั้นไม่ได้ ควรเริ่มหาทางใช้ API เฉพาะทางที่ Android เตรียมไว้แทน และขอสิทธิ์เท่าที่จำเป็นจริง

ธนาคารและแอปการเงินไทยเจอแอปดูดเงินที่อาศัยสิทธิ์ Accessibility มาหลายปี การที่ระบบปฏิบัติการปิดช่องทางนี้ได้ตั้งแต่ต้นช่วยลดภาระการตรวจจับฝั่งแอปลงมาก ส่วนแอปธุรกิจทั่วไปควรออกแบบให้ทำงานได้โดยไม่ต้องขอสิทธิ์ระดับนี้ ทีมงาน Smart Cyber Tech พัฒนาแอปมือถือที่ขอสิทธิ์เท่าที่จำเป็น และทดสอบกับการตั้งค่าความปลอดภัยรุ่นใหม่ของ Android ปรึกษาได้ที่ แบบฟอร์มติดต่อ