เมื่อกล่องทีวีมีภัยแฝง ใครดูแลคนที่ซื้อไปแล้ว?

แล้วควรติดต่อใคร ร้านที่ขายกล่อง เจ้าของแบรนด์ หรือบริษัทที่เขียนซอฟต์แวร์ในเครื่อง?

เมื่อวันที่ 2 พฤศจิกายน 2569 Google เปิดเผยว่าได้ร่วมกับพันธมิตรปิดเซิร์ฟเวอร์ที่ใช้สั่งงานกล่องทีวีกว่า 1.3 ล้านเครื่องทั่วโลก

กล่องเหล่านี้มีซอฟต์แวร์ชื่อ XCPE ฝังอยู่ในตัวเครื่อง ทำให้ผู้ควบคุมสามารถสั่งงานกล่องจำนวนมากจากระยะไกลได้ เครือข่ายอุปกรณ์ที่ถูกควบคุมแบบนี้เรียกว่า “บอตเน็ต (botnet)”

ทีมวิจัยของ Google ประเมินด้วยความเชื่อมั่นสูงว่า Videostrong บริษัทที่รับออกแบบและผลิตกล่องทีวีให้หลายแบรนด์ จงใจฝังซอฟต์แวร์ XCPE ไว้ในกล่องก่อนวางขาย แล้วขายสิทธิ์เข้าถึงกล่องเหล่านั้นให้กลุ่มอาชญากรไซเบอร์ เพื่อนำไปใช้โดยที่เจ้าของเครื่องไม่รู้ตัว

รายงานของ TrendAI Research ทีมวิจัยภัยไซเบอร์ของ Trend Micro ระบุว่า กล่องเหล่านี้ถูกใช้สร้างยอดแสดงโฆษณาปลอม และเปิดทางให้คนอื่นส่งข้อมูลผ่านอินเทอร์เน็ตบ้านของผู้ซื้อ

เมื่อข้อมูลวิ่งออกไป ปลายทางจะเห็นว่าเป็นการเชื่อมต่อจากเครือข่ายบ้านทั่วไป จึงตรวจจับต้นทางที่แท้จริงได้ยากขึ้น

เจ้าของบ้านยังเปิดกล่องดูรายการได้ตามปกติ โดยไม่รู้ว่ามีคนใช้ทั้งเครื่องและอินเทอร์เน็ตบ้านของตนไปหารายได้ ผู้ซื้อไม่ต้องกดลิงก์แปลก ๆ หรือติดตั้งแอปเพิ่มเลย เพราะซอฟต์แวร์ที่เปิดทางให้คนอื่นสั่งงานเครื่องติดมากับกล่องตั้งแต่ก่อนถึงมือผู้ซื้อ

สิ่งที่ผ่านการทดสอบก่อนขาย อาจทำงานต่างไปหลังเปิดเครื่อง

Google ระบุว่า ผู้ผลิตใช้เทคนิคหลบการทดสอบ แล้วโหลดโค้ดอันตรายหลังเปิดเครื่องครั้งแรก บริษัทจึงปรับกระบวนการตรวจสอบและตัดความสัมพันธ์กับผู้ผลิตรายนี้ พร้อมห้ามผลิตหรือจำหน่ายอุปกรณ์ Android ที่ผ่านการรับรอง และห้ามจัดหาซอฟต์แวร์ให้ผู้ผลิตรายอื่นในระบบรับรอง

กรณีนี้ชวนให้ถามว่า เมื่ออุปกรณ์รับซอฟต์แวร์ใหม่จากระยะไกลได้ ใครจะติดตามว่าสิ่งที่ถูกติดตั้งภายหลังยังตรงกับที่ผู้ใช้เข้าใจ การตรวจตัวอย่างก่อนวางขายช่วยคัดกรองได้ส่วนหนึ่ง ส่วนการตรวจหลังเริ่มใช้งานจริงช่วยให้เห็นสิ่งที่เครื่องทำเมื่อเชื่อมต่ออินเทอร์เน็ตและได้รับอัปเดตแล้ว

เมื่อเซิร์ฟเวอร์หยุดสั่งงาน เครื่องที่บ้านยังต้องได้รับการแก้ไข

TrendAI Research ระบุว่า การปิดเซิร์ฟเวอร์ทำให้ผู้ควบคุมเครือข่าย XCPE ส่งคำสั่งผ่านระบบเดิมไม่ได้ แต่ซอฟต์แวร์อันตรายยังฝังอยู่ในกล่องทีวี และผู้ใช้ลบออกเองด้วยวิธีเดียวกับที่ใช้ถอนแอปทั่วไปไม่ได้ เพราะซอฟต์แวร์นี้ฝังอยู่ในระบบของเครื่อง

เจ้าของแบรนด์และผู้นำเข้าควรระบุให้ชัดว่ากล่องรุ่นใดและล็อตใดได้รับผลกระทบ พร้อมแจ้งว่ามีอัปเดตเพื่อแก้ปัญหาหรือไม่ ส่วนผู้ขายควรแจ้งผู้ซื้อโดยตรงเท่าที่ติดต่อได้ เพราะบางคนอาจไม่เห็นประกาศเตือน

หากแก้ไขให้เครื่องปลอดภัยไม่ได้ ก็ควรแจ้งให้ชัดว่าผู้ซื้อต้องติดต่อใครเพื่อขอเปลี่ยนเครื่องหรือคืนเงิน โดยมีช่องทางเดียวที่รับเรื่องและประสานงานให้จนจบ

สหราชอาณาจักรใช้กติกาความปลอดภัยสำหรับสินค้าเชื่อมต่ออินเทอร์เน็ตตั้งแต่เดือนเมษายน 2567 โดยกำหนดหน้าที่ของผู้ผลิต ผู้นำเข้า และผู้จำหน่าย  รวมถึงกำหนดให้เปิดเผยช่องทางรายงานปัญหาและระยะเวลาขั้นต่ำที่จะมีอัปเดตความปลอดภัย

ข้อมูลสองอย่างนี้ช่วยให้ผู้ซื้อตัดสินใจได้ตั้งแต่หน้าร้านว่าจะได้รับการดูแลนานแค่ไหน และหากเกิดปัญหาจะติดต่อที่ใด

ในไทย ผู้ประกอบการที่นำเข้าหรือจำหน่ายกล่องรับสัญญาณโทรทัศน์ผ่านอินเทอร์เน็ตต้องขอใบอนุญาตจาก กสทช.

กรณีนี้มีข้อมูลที่ควรติดตามต่อ เพราะพบประกาศบนแพลตฟอร์มออนไลน์ในไทยของกล่องรุ่นเดียวกับเครื่องตัวอย่างที่ทีมวิจัยของ Synthient บริษัทด้านความปลอดภัยไซเบอร์ตรวจพบ XCPE ส่วนเครื่องที่เสนอขายในไทยจะมีซอฟต์แวร์ชุดเดียวกันหรือไม่ ยังต้องตรวจตัวเครื่องและรุ่นซอฟต์แวร์ที่ติดตั้งมา

หากต้องออกประกาศเตือนในไทย ควรระบุยี่ห้อ รุ่น และล็อตการผลิตหรือเวอร์ชันซอฟต์แวร์ที่ได้รับผลกระทบ ให้ผู้ซื้อตรวจเทียบกับเครื่องที่บ้านได้ เพราะกล่องชื่อรุ่นเดียวกันอาจใช้ซอฟต์แวร์คนละเวอร์ชัน

ส่วนร้านค้าออนไลน์สามารถใช้ประวัติคำสั่งซื้อเพื่อแจ้งลูกค้าที่ซื้อกล่องรุ่นนั้นโดยตรง พร้อมบอกวิธีตรวจสอบเครื่องและช่องทางติดต่อขอความช่วยเหลือ

เมื่อไทยพัฒนา Connected TV หรือการรับชมโทรทัศน์ผ่านอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ต ความปลอดภัยควรอยู่ในแผนตั้งแต่แรก ผู้ผลิตควรระบุว่าจะอัปเดตซอฟต์แวร์ในตัวเครื่องนานแค่ไหน ส่วนผู้ให้บริการรับชมควรมีช่องทางแจ้งปัญหาเกี่ยวกับแอป

หากยังไม่ชัดว่าปัญหาเกิดจากตัวเครื่องหรือแอป ฝ่ายที่รับเรื่องควรประสานอีกฝ่ายและแจ้งผลให้ผู้ใช้ เพราะคนดูอาจซื้อเครื่องจากร้านหนึ่งและสมัครบริการกับอีกบริษัทหนึ่ง

ลองนึกถึงวันที่มีประกาศว่ากล่องทีวีบางล็อตมีปัญหา ผู้ซื้อควรดูข้อมูลบนเครื่องแล้วตรวจสอบได้ว่าเครื่องของตนได้รับผลกระทบหรือไม่

หากได้รับผลกระทบ ควรมีคำแนะนำที่ทำตามได้ทันทีว่าจะหยุดใช้ชั่วคราวหรืออัปเดตเครื่อง และถ้าแก้ไขไม่ได้ จะติดต่อใครเพื่อขอเปลี่ยนเครื่องหรือคืนเงิน

คนซื้อควรรู้ว่าจะพึ่งใครตั้งแต่วันที่จ่ายเงิน ข้อมูลเรื่องระยะเวลาอัปเดตและช่องทางขอความช่วยเหลือจึงควรอยู่บนหน้าขายสินค้าให้เห็นก่อนตัดสินใจ เมื่อเกิดปัญหาจริง ผู้ซื้อจะได้รู้ว่าต้องทำอะไรต่อและใครจะดูแลเรื่องให้จนจบ

หมายเหตุ:  บทความนี้เป็นข้อคิดเห็นส่วนบุคคลของผู้เขียน และมิได้แสดงความเห็นในนามหน่วยงานใด อ้างอิงรายงาน Google Threat Intelligence Group, TrendAI Research และ Synthient ตลอดจนข้อมูลเผยแพร่ของสำนักงาน กสทช. และรัฐบาลสหราชอาณาจักร