มีการระบุช่องโหว่เฉพาะในแอพ Android Deepseek

1. การกำหนดค่าเครือข่ายที่ไม่มีหลักประกัน: แอพไม่มีมาตรการรักษาความปลอดภัยเครือข่ายที่เหมาะสมทำให้มีความอ่อนไหวอย่างมากต่อการโจมตี Man-in-the-Middle (MITM) เมื่อผู้ใช้เชื่อมต่อกับเครือข่าย Wi-Fi สาธารณะหรือเครือข่ายที่ไม่น่าเชื่อถือผู้โจมตีสามารถสกัดกั้นและจัดการข้อมูลการขโมยข้อมูลรับรองการเข้าสู่ระบบข้อความส่วนตัวและรายละเอียดการชำระเงิน เพื่อลดสิ่งนี้ Deepseek สามารถใช้ HTTPS กับ HSTS และใช้ SSL Pinning เพื่อตรวจสอบใบรับรองเซิร์ฟเวอร์ [1]

2. ไม่มีการตรวจสอบความถูกต้องของ SSL หรือการตรึงใบรับรอง: Deepseek ล้มเหลวในการตรวจสอบใบรับรอง SSL ทำให้เสี่ยงต่อการถูกโจมตี แฮ็กเกอร์สามารถเลียนแบบเซิร์ฟเวอร์ที่เชื่อถือได้และการสกัดกั้นข้อมูลที่ละเอียดอ่อนเช่นข้อมูลรับรองการเข้าสู่ระบบและข้อมูลส่วนบุคคล การใช้ Pinning ใบรับรอง SSL และโปรโตคอลการตรวจสอบ SSL ที่เข้มงวดสามารถแก้ไขปัญหานี้ได้ [1]

3. การตรวจจับรูทที่อ่อนแอ: การตรวจหารากที่ไม่มีประสิทธิภาพของแอปช่วยให้ผู้โจมตีสามารถเข้าถึงรูทเพื่อบายพาสควบคุมความปลอดภัยและแยกข้อมูลที่ละเอียดอ่อน อุปกรณ์ที่ถูกรูทมีความเสี่ยงต่อมัลแวร์และการโจมตีทางไซเบอร์ขั้นสูง การเสริมสร้างกลไกการตรวจจับรูทด้วยการตรวจสอบความปลอดภัยขั้นสูงและการรวมไลบรารีของบุคคลที่สามเช่น Safetynet สามารถปรับปรุงความปลอดภัย [1]

4. ความอ่อนแอต่อช่องโหว่ของ Strandhogg: Deepseek มีความเสี่ยงต่อช่องโหว่ของ Strandhogg ซึ่งช่วยให้แอพที่เป็นอันตรายสามารถใช้งานแอพที่ถูกต้องตามกฎหมายแสดงหน้าจอเข้าสู่ระบบปลอมเพื่อขโมยข้อมูลรับรองผู้ใช้ สิ่งนี้สามารถนำไปสู่การขโมยฟิชชิ่งและตัวตน การอัปเดตแอพเพื่อกำหนดเป้าหมายเวอร์ชัน Android ที่ใหม่กว่าด้วยแพตช์ความปลอดภัยที่ได้รับการปรับปรุงและการใช้งานการตั้งค่าความสัมพันธ์ที่เข้มงวดสามารถลดความเสี่ยงนี้ได้ [1]

5. การสัมผัสกับช่องโหว่ของ Janus: แอพนี้สัมผัสกับช่องโหว่ของ Janus ช่วยให้ผู้โจมตีสามารถปรับเปลี่ยนไฟล์ APK ของแอปโดยไม่ทำลายลายเซ็นดิจิตอลทำให้การฉีดมัลแวร์ การใช้การตรวจสอบความสมบูรณ์ของแอพโดยใช้การลงนามแอป Google Play และการใช้แอปพลิเคชันแอปพลิเคชัน Android สามารถป้องกันการแก้ไขโดยไม่ได้รับอนุญาต [1]

6. การเข้ารหัสที่อ่อนแอและความเสี่ยงด้านความเป็นส่วนตัว: แอพใช้กลไกการเข้ารหัสที่อ่อนแอทำให้ข้อมูลผู้ใช้ไวต่อการสกัดกั้น มันใช้อัลกอริทึมการเข้ารหัสที่ล้าสมัยและขาดการตรึงใบรับรองที่เหมาะสมซึ่งอาจอนุญาตให้ผู้โจมตีใช้ประโยชน์จากใบรับรองปลอมและการรับส่งข้อมูล สิ่งนี้ทำให้ผู้ใช้มีการขโมยข้อมูลประจำตัวการฉ้อโกงทางการเงินและการเฝ้าระวังที่ไม่ได้รับอนุญาต การใช้มาตรฐานการเข้ารหัสที่แข็งแกร่งเช่นการเข้ารหัสแบบ end-to-end (E2EE) หรือโปรโตคอล TLS ที่แข็งแกร่งเป็นสิ่งจำเป็น [3]

7. ความเสี่ยงในการฉีด SQL และปุ่ม Hardcoded: แอพนี้ยังต้องเผชิญกับความเสี่ยงในการฉีด SQL และใช้ปุ่มเข้ารหัสแบบ hardcoded ทำให้ท่าทางความปลอดภัยลดลง แนวทางปฏิบัติเหล่านี้เพิ่มความเสี่ยงของการละเมิดข้อมูลและการเข้าถึงที่ไม่ได้รับอนุญาต [6]

8. การรวบรวมข้อมูลและข้อกังวลเกี่ยวกับความเป็นส่วนตัว: แอพของ Deepseek รวบรวมสิทธิ์มากกว่าที่จำเป็นรวบรวมข้อมูลเมตาและการติดตามพฤติกรรมผู้ใช้ที่อาจเกิดขึ้นนอกเหนือจากที่เปิดเผยในนโยบายความเป็นส่วนตัว การใช้งานมากเกินไปนี้อาจนำไปสู่การเก็บเกี่ยวข้อมูลที่ไม่ได้รับอนุญาตและความขัดแย้งกับกฎความเป็นส่วนตัวเช่น GDPR และ CCPA [3]

ช่องโหว่เหล่านี้เน้นถึงความจำเป็นสำหรับ Deepseek เพื่อแก้ไขปัญหาความปลอดภัยและความเป็นส่วนตัวเพื่อปกป้องข้อมูลผู้ใช้อย่างมีประสิทธิภาพ

การอ้างอิง:
[1] https://www.appknox.com/blog/is-your-ai-app-safe-analyzing-deepseek
[2] https://blogs.cisco.com/security/evaluating-security-risk-in-deepseek-and-other-frontier-reasoning-models
[3] https://moxso.com/blog/deepseeks-android-app-flaws-privacy-risks
[4] https://approov.io/blog/deepseek-apps-security-failures-how-approov-could-have-prevented-mage
[5] https://www.infosecurity-magazine.com/news/deepseek-r1-security/
[6] https://securityscorecard.com/blog/a-deep-peek-at-deepseek/
[7] https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak
[8] https://thehackernews.com/2025/02/deepseek-app-transmits-sensitive-user.html
[9] https://uwaterloo.ca/information-systems-technology/news/deepseek-app-security-and-privacy-weaknesses
[10] https://www.ownowsecure.com/blog/2025/02/06/nowsecure-uncovers-multiple-security-and-privacy-flaws-in-deepseek-ios-mobile-app/
[11] https://krebsonsecurity.com/2025/02/experts-flag-security-privacy-risks-in-deepseek-ai-app/