616/69 (IT) ประจำวันอังคารที่ 10 พฤศจิกายน 2569
บริษัทความมั่นคงปลอดภัยคลาวด์ Wiz เปิดเผยเหตุการณ์ที่ผู้ไม่หวังดีเข้าถึงบัญชี Amazon Web Services (AWS) ขององค์กรที่เป็นลูกค้าของ Qubole ซึ่งเป็นแพลตฟอร์มจัดการข้อมูลขนาดใหญ่ ในช่วงวันที่ 14 ถึง 26 ตุลาคมที่ผ่านมา เพื่อขโมยข้อมูลและรหัสลับที่จัดเก็บไว้ในระบบ โดยผู้โจมตีได้ใช้ข้อมูลรับรองตัวตน (Credentials) ของบัญชี AWS ของ Qubole ที่ใช้สำหรับเชื่อมต่อกับระบบของลูกค้าในการเข้าถึงข้อมูล ซึ่งพฤติกรรมการโจมตีดังกล่าวถูกตรวจพบครั้งแรกโดยบริษัท Sentra ในระบบของลูกค้าหลายราย ก่อนจะแจ้งเตือนให้นักวิจัยของ Wiz เข้าตรวจสอบ ซึ่งส่วนใหญ่เป็นการสวมสิทธิ์ผ่าน IAM Role ที่ลูกค้าเคยตั้งค่าอนุญาตไว้แต่ไม่ได้ใช้งานแล้ว แต่ยังไม่ได้ยกเลิกสิทธิ์ความเชื่อถือ (Trust Policy) จึงทำให้ผู้โจมตียังคงใช้เป็นช่องทางเข้าถึงระบบได้
สำหรับรูปแบบการโจมตี แฮกเกอร์ได้ส่งคำสั่งขอสวมสิทธิ์ (AssumeRole) จากบัญชี AWS ของ Qubole พร้อมแนบรหัส External ID ที่ถูกต้อง ทำให้ระบบของ AWS อนุมัติการเข้าถึงตามเงื่อนไขที่ตั้งไว้ เนื่องจาก External ID ไม่ได้ถูกจัดเก็บในรูปแบบความลับและสามารถตรวจสอบดูได้โดยผู้ที่มีสิทธิ์เข้าถึง Role ดังกล่าว เมื่อเข้าสู่ระบบได้แล้ว ผู้โจมตีจะค้นหาข้อมูลรับรองตัวตนที่เก็บไว้ในส่วนต่าง ๆ จากนั้นจึงนำข้อมูลที่ได้ เช่น AWS Access Keys, Entra ID Client Secrets และ Okta Client Credentials ไปตรวจสอบสถานะการใช้งานผ่านเครื่องมือ TruffleHog นอกจากนี้ ผู้โจมตียังได้คัดลอกข้อมูลออกจากพื้นที่จัดเก็บข้อมูล S3 ทุกบัคเก็ตที่ Role นั้นมีสิทธิ์เข้าถึง ซึ่งในบางกรณีเป็นการดาวน์โหลดข้อมูลทั้งบัคเก็ตออกไปในการเชื่อมต่อครั้งเดียว ขณะเดียวกันยังมีรายงานเหตุการณ์แยกกันในช่วงวันที่ 8 ถึง 11 ตุลาคม ที่พบผู้โจมตีนำ AWS Access Keys ของลูกค้าที่คาดว่าสร้างไว้สำหรับเชื่อมต่อกับ Qubole ไปใช้เจาะระบบคลาวด์โดยตรง ซึ่งยังไม่พบความเชื่อมโยงกับการโจมตีผ่านคำสั่ง AssumeRole ข้างต้น
เพื่อเป็นการป้องกันและลดความเสี่ยง ผู้ดูแลระบบของทุกองค์กรที่เคยเชื่อมต่อระบบกับแพลตฟอร์ม Qubole ควรตรวจสอบบันทึกระบบ CloudTrail ตั้งแต่วันที่ 1 ตุลาคมเป็นต้นมา โดยให้สังเกตหาคำขอ AssumeRole จากหมายเลขบัญชี 805246085872 ที่มาจากหมายเลขไอพีภายนอกเครือข่าย AWS หากพบความเคลื่อนไหวที่ผิดปกติ ควรเร่งดำเนินการเปลี่ยนกุญแจการเข้าถึงและข้อมูลความลับทั้งหมดที่ Role นั้นสามารถเข้าถึงได้ พร้อมทั้งเพิกถอนเซสชันการทำงานที่ค้างอยู่ทันที นอกจากนี้ แนวทางปฏิบัติที่องค์กรควรดำเนินการคือการลบ IAM Role ของผู้ให้บริการภายนอกที่ไม่ได้ใช้งานแล้วออกให้หมด และควรตั้งค่าจำกัดการเข้าถึงแบบข้ามบัญชีให้รัดกุมยิ่งขึ้น เช่น การจำกัดหมายเลขไอพีต้นทาง (Source IP) หรือการใช้เงื่อนไขตรวจสอบเครือข่าย เพื่อป้องกันไม่ให้ผู้ไม่ประสงค์ดีอาศัยช่องว่างนี้ลักลอบเข้าสู่ระบบได้อีกในอนาคต
แหล่งข่าว : https://thehackernews.com/2026/11/hackers-exploit-quboles-trusted-aws.html