เตือนภัย AI Agent อัตโนมัติ
สแกนเซิร์ฟเวอร์เสี่ยง ขโมย API Key

นักวิจัยด้านความปลอดภัยรายงานการใช้ AI Agent สแกนหาเซิร์ฟเวอร์ที่เปิดเผยข้อมูลสำคัญต่ออินเทอร์เน็ต ก่อนค้นหา API Key ของ OpenAI และ DeepSeek เพื่อนำไปใช้ประมวลผลโดยไม่ต้องรับภาระค่าใช้จ่าย พร้อมพบการรวบรวมข้อมูลส่วนบุคคลของนักศึกษาจีนกว่า 5,132 ราย

รูปแบบการโจมตี: ค้นหาเซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด

ปฏิบัติการดังกล่าวไม่ได้จำกัดอยู่เพียงการเก็บข้อมูลจากเว็บไซต์ทั่วไป แต่ใช้ระบบอัตโนมัติค้นหาและรวบรวมข้อมูลสำคัญจากเซิร์ฟเวอร์ที่เปิดเผยไฟล์หรือค่าการตั้งค่าต่ออินเทอร์เน็ต โดยมุ่งเป้าไปยังไฟล์ .env การตั้งค่า Docker และ Git Repository ที่ไม่มีการป้องกันอย่างเหมาะสม

สร้างระบบสมัครบัญชีอัตโนมัติ เพื่อเพิ่มขีดความสามารถในการค้นหา

ผู้โจมตีใช้บริการ fofa.info เป็นจุดเริ่มต้นในการค้นหาอุปกรณ์และเซิร์ฟเวอร์ที่เชื่อมต่ออินเทอร์เน็ต พร้อมสร้างระบบอีเมลแบบ Catch-all บนโดเมน melocc.cc เพื่อรับอีเมลยืนยันการสมัครบัญชีโดยอัตโนมัติ

ระบบสามารถสมัครบัญชี อ่านอีเมลผ่าน POP หรือ IMAP ดึงลิงก์ยืนยัน และเปิดใช้งานบัญชีได้ภายในเวลาไม่กี่วินาที นักวิจัยพบไฟล์ fofa_accounts.csv และภาพหน้าจอจากแผงควบคุม ซึ่งเป็นหลักฐานว่ามีบัญชีถูกสร้างขึ้นอย่างน้อย 1,438 บัญชี โดยไฟล์ดังกล่าวยังเก็บรหัสผ่านและ JWT Token สำหรับเรียกใช้ API

ขโมย API Key และตรวจสอบสถานะการใช้งาน

เมื่อพบเซิร์ฟเวอร์ที่เปิดเผยข้อมูล AI Agent จะใช้ Regular Expression ค้นหา API Key และจำแนกประเภทข้อมูลที่พบโดยอัตโนมัติ

รายงานอธิบายว่า HTTP 401 อาจบ่งชี้ว่า Key ไม่ถูกต้องหรือถูกยกเลิก ขณะที่ HTTP 429 อาจเกี่ยวข้องกับการจำกัดอัตราการเรียกใช้งานหรือยอดเครดิต จึงไม่ควรตีความว่าเป็นหลักฐานยืนยันว่า Key ใช้งานไม่ได้ในทุกกรณี

นำ Key ที่ขโมยได้ไปใช้กับระบบอัตโนมัติ

Key ที่ได้มาถูกนำไปใช้กับเทอร์มินัล GoTTY ซึ่งใช้ชื่อว่า “Pi AI Coding Assistant” และรองรับสคริปต์สำหรับสร้างกิจกรรมปลอมในระบบการใช้งานของนักศึกษา บอตจะส่งสัญญาณสถานะทุก 30 วินาทีเพื่อให้ดูเหมือนว่านักศึกษากำลังอ่านเนื้อหาอยู่ พร้อมเรียก API ภายในเพื่อสะสมคะแนนโบนัสและตรวจสอบสถานะบัญชี

ข้อมูลส่วนบุคคลนักศึกษา 5,132 รายตกอยู่ในความเสี่ยง

นักวิจัยยังพบฐานข้อมูลข้อมูลส่วนบุคคล (PII) ของนักศึกษาจำนวน 5,132 ราย จากวิทยาเขต Fengxian ของ Shanghai Publishing and Printing College โดยนักศึกษาส่วนใหญ่เกิดระหว่างปี 2006–2008 ข้อมูลที่ถูกรวบรวมตามรายงานประกอบด้วย

• ชื่อ–นามสกุล และรหัสนักศึกษา
• หมายเลขโทรศัพท์ และหมายเลขบัตรประจำตัวประชาชนจีน 18 หลัก
• ที่อยู่บ้านของครอบครัว
• ยอดเงินคงเหลือในบัตรนักศึกษา โดยบางรายมียอดสูงถึง 1,474.84 หยวน
• ประวัติการทำธุรกรรมภายในมหาวิทยาลัย ซึ่งระบบมีการอัปเดตข้อมูลทุก 48 ชั่วโมง

พบโมดูล QR Code ที่อาจเชื่อมโยงกับการทุจริตการชำระเงิน

รายงานระบุว่านักวิจัยพบโมดูล QR Code ที่ควบคุมเซสชันการใช้งานมากกว่า 1,000 เซสชัน และสามารถสร้าง QR Code สำหรับชำระเงินที่ใช้งานได้จากบัตรที่มียอดเงินคงเหลือ ซึ่งอาจเปิดช่องให้ผู้โจมตีนำไปใช้ทุจริตในการชำระเงินภายในสถานที่จริง

กรณีดังกล่าวสะท้อนให้เห็นว่า การตั้งค่าระบบที่ไม่รัดกุมอาจทำให้ข้อมูลรับรองการใช้งาน AI และข้อมูลส่วนบุคคลถูกนำไปใช้โดยไม่ได้รับอนุญาต องค์กรจึงควรให้ความสำคัญกับการจัดเก็บความลับทางระบบ การควบคุมสิทธิ์ และการเฝ้าระวังความผิดปกติอย่างต่อเนื่อง