572/69 (IT) ประจำวันอังคารที่ 20 ตุลาคม 2569
ConnectWise ผู้ให้บริการโซลูชันด้าน IT Management และ Cybersecurity ประกาศระงับบริการ Cloud Backup ที่เดิมใช้ชื่อ SkyKick พร้อมหยุดให้บริการ SaaS Security และ Cloud Management ชั่วคราว หลังตรวจพบว่าผู้โจมตีสามารถเข้าถึง Application Identity จำนวน 7 รายการโดยไม่ได้รับอนุญาต และนำ Credential ที่เกี่ยวข้องไปใช้พยายามเข้าถึงระบบ Microsoft 365 ของลูกค้า โดยบริษัทตรวจพบเหตุการณ์จากระบบเฝ้าระวังภายในเมื่อวันที่ 14 ตุลาคม 2569 และดำเนินการปิดใช้งาน Identity ที่ได้รับผลกระทบเมื่อวันที่ 17 ตุลาคม พร้อมเพิกถอน Certificate ที่ใช้เชื่อมต่อแอปพลิเคชัน เพื่อป้องกันการเข้าถึงเพิ่มเติม ทั้งนี้ ConnectWise ระบุว่ายังอยู่ระหว่างสอบสวนว่าผู้โจมตีได้รับ Credential ดังกล่าวมาได้อย่างไร และยังไม่พบข้อบ่งชี้ว่าผลิตภัณฑ์หรือบริการอื่นของบริษัทได้รับผลกระทบ
การโจมตีครั้งนี้ไม่ได้เกิดจากการขโมย Password ของลูกค้าโดยตรง แต่เป็นการใช้ Credential ของแอปพลิเคชัน ConnectWise ที่ได้รับสิทธิ์ให้เข้าถึง Microsoft 365 Tenant ของลูกค้าอยู่แล้ว ทำให้ผู้โจมตีสามารถแอบอ้างเป็นแอปพลิเคชันที่ได้รับความเชื่อถือ และร้องขอ Access Token จาก Microsoft Entra ID เพื่อเข้าถึงข้อมูลหรือบริการต่าง ๆ ตามสิทธิ์ที่ได้รับ เช่น Exchange Online, SharePoint, Teams และ Directory Data โดยบริษัท Huntress รายงานว่าพบกิจกรรม Login ที่น่าสงสัยจาก IP Address 144.172.64.128 ซึ่งเกี่ยวข้องกับ Microsoft Entra Tenant ประมาณ 1,000 รายการ และมีการ Login สำเร็จประมาณ 300 รายการ อย่างไรก็ตาม การ Login สำเร็จไม่ได้หมายความว่าผู้โจมตีสามารถเข้าถึงข้อมูลภายใน Tenant ได้ทุกกรณี นอกจากนี้ Huntress ยังพบความพยายามโจมตีแบบเจาะจงต่อองค์กร 16 แห่งในภาคนโยบาย ความมั่นคงแห่งชาติ การค้า และแร่ธาตุสำคัญ เมื่อวันที่ 15 ตุลาคม แต่ความพยายามทั้งหมดในกลุ่มดังกล่าวไม่ประสบความสำเร็จ
ConnectWise ระบุว่าได้ประสานทีม Security Operations Center หรือ SOC และผู้เชี่ยวชาญ Incident Response จากภายนอกเพื่อสอบสวนและควบคุมเหตุการณ์ โดยยังไม่พบหลักฐานว่า Backup Archive ถูกเข้าถึงหรือ Compromise และข้อมูลสำรองเดิมยังคงได้รับการเข้ารหัสและจัดเก็บแยกไว้ อย่างไรก็ตาม ระหว่างการระงับบริการ Cloud Backup ระบบจะไม่สามารถสำรองข้อมูลตามกำหนดหรือดำเนินการกู้คืนข้อมูลจาก Archive ที่ได้รับผลกระทบได้ ขณะที่ Huntress เตือนว่าการเพิกถอน Credential ที่ถูกขโมยอาจไม่สามารถยุติความเสี่ยงทั้งหมด หากผู้โจมตีได้สร้าง Application ใหม่ เพิ่ม Client Secret หรือเปลี่ยนแปลงสิทธิ์ภายใน Tenant ไว้ก่อนแล้ว จึงแนะนำให้องค์กรที่ใช้งาน ConnectWise Cloud Backup หรือ Cloud Management ตรวจสอบ Microsoft 365 Tenant ของตนและลูกค้าที่อยู่ภายใต้การดูแล โดยเก็บรักษา Sign-in Log และ Audit Log ก่อนดำเนินการแก้ไข พร้อมตรวจสอบกิจกรรมจาก IP Address ดังกล่าวตั้งแต่วันที่ 13 ตุลาคม รวมถึง Application Credential, Directory Role, Consent Grant, Conditional Access Policy และ Mailbox Forwarding Rule เพื่อค้นหาความผิดปกติและป้องกันการเข้าถึงระบบโดยไม่ได้รับอนุญาตเพิ่มเติม