แอปขอสิทธิ์ Accessibility แสดงทับหน้าจอ หรืออ่านแจ้งเตือน ควรทำอย่างไร

แอปบางชนิดขอสิทธิ์พิเศษเพื่อช่วยให้ทำงานได้ เช่น โปรแกรมช่วยเหลือผู้พิการหรือแอปจัดการการแจ้งเตือน แต่ถ้าแอปที่ไม่จำเป็นต้องใช้สิทธิ์เหล่านี้กลับขอให้เปิด อาจทำให้ข้อมูลบนหน้าจอและการใช้งานโทรศัพท์เสี่ยงขึ้น โดยเฉพาะเมื่อมีคนส่งลิงก์มาให้ติดตั้ง แล้วเร่งให้เปิดสิทธิ์ตามคำแนะนำ

ComSiam ขอให้จำไว้ว่า การเห็นชื่อสิทธิ์เหล่านี้ไม่ได้แปลว่าแอปเป็นมัลแวร์แน่นอน แต่ควรตรวจว่าแอปมาจากไหน ใครเป็นผู้พัฒนา และสิทธิ์นั้นจำเป็นกับหน้าที่ของแอปจริงหรือไม่

① สิทธิ์ Accessibility คืออะไร และเสี่ยงอย่างไร?

Accessibility หรือบริการช่วยเหลือการเข้าถึง ออกแบบมาเพื่อช่วยผู้ใช้ที่มีข้อจำกัดในการมองเห็น การได้ยิน หรือการควบคุมอุปกรณ์ แอปที่ได้รับสิทธิ์นี้อาจอ่านข้อความบนหน้าจอและโต้ตอบกับแอปอื่นแทนผู้ใช้ได้ ขึ้นอยู่กับบริการและรุ่น Android

จึงเป็นสิทธิ์ที่ควรให้เฉพาะแอปที่เชื่อถือได้และจำเป็นจริง Google เตือนว่าแอปที่เป็นอันตรายอาจอ้างเหตุผลต่าง ๆ เพื่อให้ผู้ใช้เปิดการตั้งค่าที่มีความเสี่ยง

② “แสดงทับหน้าจอ” คืออะไร?

สิทธิ์แสดงทับหน้าจอ (Display over other apps) อนุญาตให้แอปแสดงหน้าต่างหรือเนื้อหาลอยอยู่เหนือแอปอื่นได้ ฟังก์ชันนี้มีประโยชน์กับแอปบางประเภท แต่ถ้าแอปไม่น่าเชื่อถือใช้สิทธิ์นี้ ก็อาจสร้างหน้าจอปลอมบังเนื้อหาจริง หรือทำให้ผู้ใช้เข้าใจผิดว่ากำลังกดปุ่มของแอปธนาคารอยู่

ธนาคารแห่งประเทศไทยระบุถึงรูปแบบมัลแวร์ที่ใช้ Accessibility ร่วมกับการแสดงหน้าจอทับเพื่อปิดบังหน้าจอระหว่างโจมตี และมีมาตรการด้านแอปการเงินเพื่อลดความเสี่ยงจากแอปควบคุมระยะไกลหรือแอปที่ปิดบังข้อมูลบนหน้าจอ

③ สิทธิ์อ่านการแจ้งเตือนอันตรายไหม?

สิทธิ์เข้าถึงการแจ้งเตือน (Notification access) อาจทำให้แอปเห็นเนื้อหาการแจ้งเตือนที่ปรากฏบนเครื่อง เช่น ข้อความจากแอปต่าง ๆ หากการแจ้งเตือนแสดงข้อมูลส่วนตัวหรือรหัสยืนยัน แอปที่ไม่ควรได้รับสิทธิ์ก็อาจเห็นข้อมูลเหล่านั้นได้

อย่าอนุญาตเพียงเพราะมีคนบอกว่า “ต้องเปิดเพื่อยืนยันตัวตน” หรือ “ไม่เปิดแล้วรับเงินไม่ได้” โดยเฉพาะเมื่อคำขอมาจากคนที่ติดต่อผ่านโทรศัพท์ แชต หรือ SMS

④ วิธีตรวจสิทธิ์บน Android

ชื่อเมนูและตำแหน่งอาจต่างกันไปตามยี่ห้อ รุ่น และเวอร์ชัน Android หากหาไม่พบ ให้ค้นชื่อเมนูในช่องค้นหาของ การตั้งค่า (Settings)

• Accessibility: การตั้งค่า > การช่วยเหลือพิเศษ (Accessibility) > แอปที่ติดตั้ง/บริการที่ติดตั้ง
  ตรวจว่ามีแอปใดเปิดใช้งานอยู่บ้าง
• แสดงทับแอปอื่น: การตั้งค่า > แอป (Apps) > สิทธิ์เข้าถึงพิเศษ (Special app access) > แสดงทับแอปอื่น (Display over other apps)
• อ่านการแจ้งเตือน: การตั้งค่า > การแจ้งเตือน (Notifications) > การเข้าถึงการแจ้งเตือน (Notification access) หรือค้นคำว่า “การเข้าถึงการแจ้งเตือน”
• ผู้ดูแลอุปกรณ์: การตั้งค่า > ความปลอดภัยและความเป็นส่วนตัว (Security & privacy) > การตั้งค่าความปลอดภัยเพิ่มเติม หรือแอปผู้ดูแลอุปกรณ์ (Device admin apps)

หากพบแอปที่ไม่รู้จัก ให้จดชื่อหรือถ่ายภาพหน้าจอไว้ก่อน แล้วปิดสิทธิ์ที่ไม่จำเป็นและถอนการติดตั้ง หากปิดไม่ได้ อย่ากดอนุญาตเพิ่ม ให้ขอคำแนะนำจากผู้ให้บริการหรือช่างที่ไว้ใจได้

⑤ เช็กอย่างไรก่อนกดอนุญาต?

ถามตัวเองตามนี้ก่อน:

• แอปนี้ดาวน์โหลดจากร้านแอปทางการหรือไม่?
• ชื่อผู้พัฒนาตรงกับบริษัทหรือหน่วยงานที่อ้างถึงหรือไม่?
• หน้าที่ของแอปจำเป็นต้องใช้สิทธิ์นี้จริงหรือไม่?
• มีคนเร่งให้เปิดสิทธิ์ หรือบอกให้ปิดระบบป้องกันของเครื่องหรือไม่?
• แอปขอหลายสิทธิ์พร้อมกัน เช่น Accessibility, อ่านแจ้งเตือน, แสดงทับหน้าจอ และควบคุมเครื่องหรือไม่?

ถ้าไม่แน่ใจ ให้กดยกเลิกก่อน แล้วติดต่อบริษัทหรือธนาคารผ่านเบอร์โทรหรือเว็บไซต์ทางการที่ค้นหาเอง อย่าใช้เบอร์หรือลิงก์ที่คนส่งมาให้

⑥ ป้องกันทั้งมือถือและแอปธนาคาร

ฝั่งมือถือ

• ติดตั้งแอปจาก Google Play Store หรือร้านแอปทางการของผู้ผลิต และตรวจชื่อผู้พัฒนา
• อัปเดต Android และแอปต่าง ๆ ให้เป็นเวอร์ชันล่าสุด
• เปิด Google Play Protect และอย่าปิดตามคำแนะนำของคนแปลกหน้า
• ให้สิทธิ์เท่าที่จำเป็น ตรวจสิทธิ์พิเศษเป็นระยะ
• ไม่ติดตั้งไฟล์ APK ที่ส่งมาทาง LINE, SMS หรือโซเชียล

ฝั่งแอปธนาคาร

• ติดตั้งแอปธนาคารจากร้านแอปทางการ และตั้ง PIN ที่ไม่ซ้ำกับบริการอื่น
• เปิดการแจ้งเตือนรายการเงินเข้าและออก หากธนาคารมีบริการนี้
• ตั้งวงเงินโอนให้เหมาะกับการใช้งาน และตรวจชื่อผู้รับกับยอดเงินก่อนยืนยัน
• อย่าบอกรหัสผ่าน PIN หรือ OTP ให้ผู้อื่น แม้อ้างว่าเป็นเจ้าหน้าที่
• หากแอปธนาคารเตือนว่าพบแอปเสี่ยงหรือไม่ยอมให้ทำรายการ ให้หยุดและติดต่อธนาคารทางช่องทางทางการ อย่าหาทางปิดระบบป้องกันเอง

ธนาคารแห่งประเทศไทยแนะนำให้ใช้แอปจากแหล่งที่เชื่อถือได้ ตั้งรหัสผ่านให้คาดเดายาก และอัปเดตระบบปฏิบัติการกับ Mobile Banking ให้เป็นเวอร์ชันล่าสุด

⑦ ถ้าเผลอเปิดสิทธิ์ให้แอปน่าสงสัยแล้ว

1. หยุดใช้แอปนั้น และอย่าทำธุรกรรมผ่านโทรศัพท์เครื่องดังกล่าว
2. ปิดอินเทอร์เน็ตชั่วคราว หากสงสัยว่ามีคนควบคุมหน้าจออยู่
3. โทรหาธนาคารจากอุปกรณ์อีกเครื่อง เพื่อแจ้งความเสี่ยงและขอให้ตรวจสอบหรือระงับช่องทางที่จำเป็น
4. จากนั้นตรวจและปิดสิทธิ์ Accessibility, แสดงทับหน้าจอ, อ่านการแจ้งเตือน และผู้ดูแลอุปกรณ์ของแอปที่สงสัย
5. ถอนแอปที่ไม่รู้จัก สแกนเครื่องด้วย Google Play Protect และเปลี่ยนรหัสผ่านจากอุปกรณ์ที่เชื่อถือได้
6. ถ้ามีเงินออกโดยไม่ได้ทำ ให้รีบแจ้งธนาคารและติดต่อ AOC 1441 เพื่อขอคำแนะนำ

อย่าเพิ่งรีเซ็ตเครื่องเป็นค่าโรงงานโดยไม่สำรองข้อมูลหรือเก็บหลักฐาน การรีสตาร์ตเครื่องตามปกติไม่ลบรูปและไฟล์ส่วนตัว แต่ก็ไม่รับประกันว่าจะลบแอปอันตรายได้

เช็กลิสต์สั้น ๆ ก่อนเปิดสิทธิ์

• แอปนี้จำเป็นต้องใช้สิทธิ์จริงหรือไม่?
• รู้จักผู้พัฒนาและแหล่งดาวน์โหลดหรือไม่?
• มีใครสั่งให้เปิดสิทธิ์ระหว่างคุยโทรศัพท์หรือแชตหรือไม่?
• หากเป็นแอปธนาคาร ระบบแจ้งเตือนหรือบล็อกแอปเสี่ยงหรือไม่?

ถ้ายังตอบไม่ได้ ให้กดยกเลิกและตรวจสอบกับผู้ให้บริการก่อน การป้องกันที่ดีที่สุดคือไม่เปิดสิทธิ์ควบคุมเครื่องให้แอปที่ไม่รู้จัก และไม่ติดตั้งแอปตามคำสั่งของคนที่ติดต่อมาเอง

ComSiam สรุปว่า Accessibility, การแสดงทับหน้าจอ และการเข้าถึงการแจ้งเตือนเป็นสิทธิ์ที่ควรตรวจให้รอบคอบ ไม่ใช่กดอนุญาตตามคำบอก หากพบสิทธิ์ผิดปกติ ให้หยุดทำธุรกรรมและติดต่อธนาคารจากอุปกรณ์ที่ปลอดภัย