เตือนภัย Microsoft 365 โดนเจาะผ่านแอปสำรองข้อมูล ConnectWise ไม่ต้องผ่าน MFA

ระบบคลาวด์ Microsoft 365 ขององค์กรอย่างน้อย 162 แห่งถูกผู้ไม่หวังดีล็อกอินเข้าถึงข้อมูลโดยตรงผ่านกุญแจลับของแอปพลิเคชันสำรองข้อมูลที่ถูกขโมยไป โดยที่การตั้งค่ารหัสผ่านของผู้ใช้และการยืนยันตัวตนสองชั้นที่ทุกคนคุ้นเคยไม่สามารถตรวจจับหรือส่งสัญญาณเตือนได้เลยครับ

ถ้าบริษัทของคุณจ้างทีมไอทีภายนอกมาดูแลอีเมล ไฟล์เอกสาร และระบบงานออฟฟิศ ข่าวความปลอดภัยที่เพิ่งเปิดเผยเมื่อวานนี้ (17 ตุลาคม 2026) กำลังกระทบหลังบ้านของระบบคลาวด์โดยตรงครับ บริษัทจำนวนมากทั่วโลกจ่ายเงินให้ผู้ให้บริการจัดการระบบไอที หรือ Managed Service Provider (MSP) เพื่อดูแล Microsoft 365 ให้ทำงานได้อย่างต่อเนื่อง และทีมผู้ดูแลเหล่านี้มักจะติดตั้งแอปพลิเคชันสำรองข้อมูลอัตโนมัติเอาไว้ในระบบของลูกค้าเพื่อคอยสำรองกล่องจดหมายและไฟล์สำคัญ ทว่าเกิดเหตุการณ์โจมตีห่วงโซ่อุปทานระดับโลก เมื่อข้อมูลรับรองหรือกุญแจลับประเภท API Secret ของแอปสำรองข้อมูลยอดนิยมอย่าง ConnectWise Cloud Backup ซึ่งเดิมรู้จักกันในชื่อ SkyKick ถูกขโมยและนำไปใช้ล็อกอินเข้าสู่ระบบของลูกค้าเพื่อขอรับโทเค็น Microsoft Graph ส่งผลให้คนร้ายสามารถเดินเข้าประตูหลังของระบบออฟฟิศหลายร้อยแห่งได้ทันทีโดยไม่ต้องผ่านหน้าล็อกอินของพนักงานเลยครับ

สรุป 30 วินาที: เกิดอะไรขึ้น

กุญแจลับทางดิจิทัลหรือข้อมูลรับรองประเภท Client Assertion ของแอปพลิเคชัน ConnectWise Cloud Backup (เดิมคือ SkyKick) หลุดไปอยู่ในมือของผู้ไม่หวังดี และถูกนำไปใช้ล็อกอินเข้าสู่ระบบ Microsoft 365 ของลูกค้าโดยไม่ได้รับอนุญาต ตามรายงานของ Huntress
การโจมตีเริ่มปรากฏร่องรอยชัดเจนตั้งแต่วันที่ 14 ถึง 15 ตุลาคม 2026 โดยคนร้ายใช้สคริปต์อัตโนมัติขอโทเค็นการเข้าถึงผ่านระบบ Microsoft Graph ต่อเนื่องกันเป็นชุด ตามการเปิดเผยของ The Hacker News
ระบบความปลอดภัย Multi-Factor Authentication (MFA) ไม่มีการแจ้งเตือนเลยแม้แต่ครั้งเดียว เพราะเหตุการณ์นี้เป็นการยืนยันตัวตนระหว่างแอปพลิเคชันกับระบบคลาวด์โดยตรง ไม่ใช่การล็อกอินของบัญชีผู้ใช้มนุษย์ ตามที่บริษัทวิจัยความปลอดภัย Todyl ระบุผ่านรายงานของ BleepingComputer
ในระบบของลูกค้าบางราย คนร้ายไม่ได้เพียงแค่เข้ามาขอโทเค็น แต่ยังพบว่าแอปพลิเคชันในเครือเดียวกันอย่าง ConnectWise Cloud Management แอบเพิ่มสิทธิ์ให้ตัวเองเป็นผู้ดูแลระบบระดับสูง และในองค์กรหนึ่งพบการแอบฝังกุญแจลับชุดใหม่ลงในแอปพลิเคชันอื่นเพื่อเปิดทางเข้าถาวร ตามข้อมูลจาก Huntress
ConnectWise ได้ประกาศปิดระบบการเชื่อมต่อของ Cloud Backup ชั่วคราว และทำการสั่งปิดการทำงานของอัตลักษณ์แอปพลิเคชันจำนวน 7 รายการเมื่อวันที่ 17 ตุลาคม 2026 เวลา 14:00 น. ตามเวลาประเทศไทย (ตรงกับ 07:00 UTC) ตามประกาศทางการบน ConnectWise Trust Center
ทาง ConnectWise ยืนยันว่ายังไม่พบหลักฐานว่าข้อมูลแบ็กอัปที่เก็บไว้ในคลังสำรองได้รับความเสียหายหรือถูกดึงออกไป แต่ฟังก์ชันการสำรองข้อมูลตามรอบและการกู้คืนไฟล์ต้องหยุดให้บริการทั้งหมดชั่วคราวระหว่างการตรวจสอบ ตามประกาศของ ConnectWise Trust Center

ทำไมเรื่องนี้เกี่ยวกับคุณ

สำหรับคนทำงานออฟฟิศทั่วไป เจ้าของธุรกิจ หรือผู้บริหาร คุณอาจคิดว่าเรื่องนี้เป็นเพียงปัญหาทางเทคนิคของฝ่ายไอทีที่อยู่ไกลตัว แต่ความจริงคือระบบนี้คือที่เก็บข้อมูลสำคัญที่สุดในการดำเนินธุรกิจของคุณครับ

เมื่อบริษัทของคุณใช้บริการ Microsoft 365 เพื่อรับส่งอีเมลกับคู่ค้า บันทึกไฟล์ใบเสนอราคา สัญญาจ้างงาน ข้อมูลทางการเงิน หรือประชุมผ่าน Microsoft Teams ข้อมูลเหล่านั้นไม่ได้อยู่อย่างโดดเดี่ยว แต่มีระบบสำรองข้อมูลอัตโนมัติคอยคัดลอกเก็บไว้อีกชั้นหนึ่งเพื่อป้องกันเหตุข้อมูลสูญหาย ซึ่งแอปพลิเคชันสำรองข้อมูลอย่าง ConnectWise Cloud Backup จำเป็นต้องได้รับอนุญาตให้เข้าถึงข้อมูลระดับกว้างมากตั้งแต่ขั้นตอนการติดตั้ง เพื่อให้มันสามารถอ่านและเขียนอีเมลทุกฉบับ ไฟล์ทุกชิ้นบน OneDrive และ SharePoint ตลอดจนข้อความแชตทั้งหมดในองค์กรได้

ความน่ากลัวอยู่ตรงที่ ต่อให้คุณจะตั้งรหัสผ่านยาวและรัดกุมมากเพียงใด ไม่เคยกดลิงก์แปลกปลอมในอีเมล และเปิดใช้งานระบบยืนยันตัวตนสองชั้นบนโทรศัพท์มือถือทุกครั้ง บัญชีส่วนตัวของคุณก็ไม่ได้ถูกแฮกเลยครับ แต่สิ่งที่คนร้ายใช้คือ “ทางเข้าของแอปพลิเคชันเบื้องหลัง” ซึ่งได้รับสิทธิ์อ่านข้อมูลทุกอย่างในบริษัทของคุณไปเรียบร้อยแล้วตั้งแต่แรก หากข้อมูลรับรองของผู้พัฒนาแอปพลิเคชันตัวนี้ตกไปอยู่ในมือของคนร้าย ผู้โจมตีก็มีสิทธิ์ทางเทคนิคในการเข้าถึงข้อมูลลับของบริษัท รายชื่อลูกค้า และข้อความสื่อสารภายในได้ทันที โดยที่ไม่มีพนักงานคนใดในองค์กรได้รับแจ้งเตือนความผิดปกติเลยแม้แต่คนเดียวครับ

ทำงานยังไง

เพื่อให้เห็นภาพชัดเจน ลองจินตนาการถึง นิติบุคคลคอนโดที่จ้างบริษัทแม่บ้านเข้ามาดูแลความสะอาด ครับ

ในคอนโดมิเนียมแห่งหนึ่ง ลูกบ้านทุกคนมีกุญแจห้องส่วนตัวและมีระบบสแกนลายนิ้วมือหน้าประตูห้องอย่างแน่นหนา แต่เพื่ออำนวยความสะดวกในการเข้าไปทำความสะอาดหรือซ่อมท่อน้ำกรณีฉุกเฉิน นิติบุคคลจึงมอบ “กุญแจผี” ที่สามารถไขเปิดได้ทุกห้องแก่บริษัทแม่บ้านเอาไว้หนึ่งดอก วันหนึ่ง กุญแจผีของบริษัทแม่บ้านดอกนี้ดันถูกขโมยไปจากสำนักงานใหญ่ของบริษัทแม่บ้านเอง ทีนี้คนร้ายก็สามารถเดินถือกุญแจผีดอกนั้นมาไขเข้าห้องของลูกบ้านทุกคนในคอนโดได้สบายๆ ต่อให้ลูกบ้านจะเปลี่ยนแม่กุญแจหน้าห้องตัวเอง หรือตั้งรหัสผ่านกดเข้าห้องใหม่แค่ไหนก็ไม่ช่วยอะไรครับ เพราะกุญแจผีที่บริษัทแม่บ้านถืออยู่มันถูกออกแบบมาให้ผ่านระบบรักษาความปลอดภัยทุกบานประตูได้อยู่แล้ว ทางแก้เดียวคือต้องเดินไปยึดกุญแจผีดอกนั้นคืนและสั่งระงับสิทธิ์การใช้งานของแม่บ้านทันที

ในระบบคลาวด์องค์กร กลไกการทำงานก็เป็นแบบเดียวกันอย่างยิ่งครับ แอปพลิเคชันอย่าง ConnectWise Cloud Backup เป็นแอปแบบมัลติเทแนนต์ (Multi-tenant) ซึ่งทางผู้พัฒนาจดทะเบียนแอปพลิเคชันไว้ที่ระบบของตนเองเพียงครั้งเดียว จากนั้นเมื่อทีมไอทีของลูกค้ากด “ยินยอม” (Consent) ให้แอปพลิเคชันเข้ามาทำงานในระบบ Microsoft 365 ของบริษัท ระบบจะสร้างตัวตนของแอปที่เรียกว่า Service Principal ขึ้นมาภายในองค์กรนั้น

จากบทวิเคราะห์เชิงลึกของ Inforcer กลไกของเหตุการณ์นี้มีลักษณะสำคัญดังนี้ครับ:

การยืนยันตัวตนระดับแอปพลิเคชัน (App-only Authentication): เมื่อระบบสำรองข้อมูลต้องการเข้าไปดึงข้อมูลอีเมลหรือไฟล์ มันจะใช้ข้อมูลรับรองทางดิจิทัลที่เป็นความลับ (Client Assertion) ซึ่งจัดเก็บอยู่บนระบบของผู้พัฒนาแอปพลิเคชันโดยตรง เพื่อมายืนยันตัวตนกับระบบคลาวด์ของไมโครซอฟท์ การทำงานลักษณะนี้เป็นการสื่อสารระหว่างเซิร์ฟเวอร์กับเซิร์ฟเวอร์โดยไม่มีมนุษย์เข้ามาเกี่ยวข้อง จึงไม่มีหน้าต่างเด้งถามรหัสผ่าน และระบบยืนยันตัวตนสองชั้น (MFA) ก็ไม่มีโอกาสได้ทำงานเลยแม้แต่น้อย ตามที่ BleepingComputer รายงาน
การกวาดขอสิทธิ์ด้วยสคริปต์อัตโนมัติ: เมื่อคนร้ายได้ข้อมูลรับรองลับนี้ไป พวกเขาได้ใช้สคริปต์ส่งคำขอโทเค็นการเข้าถึงข้อมูลผ่าน Microsoft Graph ไปยังระบบของเหยื่อทีละแห่ง โดยทาง Huntress พบว่าคนร้ายยิงคำขอเรียงตามลำดับรหัสประจำองค์กรอย่างเป็นระเบียบภายในเวลาห่างกันเพียงไม่กี่วินาที
พฤติกรรมการออกโทเค็นของ Microsoft Graph: ข้อมูลเชิงลึกจาก Inforcer ชี้ให้เห็นพฤติกรรมที่น่าสนใจ คือแม้ว่าองค์กรนั้นจะถอนการติดตั้งแอปพลิเคชันออกไปแล้ว แต่เมื่อมีสคริปต์ส่งคำขอเข้ามา ระบบ Microsoft Graph ก็ยังคงออกโทเค็นสำเร็จกลับไปให้ เพียงแต่โทเค็นนั้นจะไม่มีสิทธิ์เข้าถึงข้อมูลใดๆ เลย ซึ่งสร้างความสับสนให้ผู้ดูแลระบบที่เข้ามาตรวจประวัติการล็อกอินอย่างมาก
ปัญหาความยินยอมตกค้าง (Permissions Debt): ปกติแล้วเมื่อองค์กรยกเลิกการใช้บริการสำรองข้อมูล ฝ่ายไอทีมักจะเพียงแค่หยุดจ่ายเงินหรือยกเลิกแพ็กเกจ แต่ไม่ได้เข้าไปลบสิทธิ์หรือถอนความยินยอมของแอปพลิเคชันออกจากระบบ ทำให้ประตูบานนี้เปิดทิ้งไว้ข้ามปีโดยไม่มีใครรู้ตัว จนกระทั่งมีคนร้ายนำกุญแจลับมาลองไขเข้าสู่องค์กรครับ

จุดหักมุม: แอปจัดการระบบในเครือเดียวกันยกระดับสิทธิ์และแอบฝังกุญแจลับ

สิ่งที่ทำให้นักวิจัยความปลอดภัยตื่นตัวอย่างมากไม่ใช่แค่การล็อกอินเข้ามาขอโทเค็นเพื่ออ่านไฟล์ครับ แต่มันคือการที่คนร้ายสามารถใช้เครื่องมือบริหารจัดการอื่นในเครือเดียวกันยกระดับสิทธิ์ขึ้นมาควบคุมระบบคลาวด์ได้

ตามรายงานการสืบสวนของ Huntress พบว่าในระบบของลูกค้าประมาณ 50 องค์กรที่ทีมงานเฝ้าระวังอยู่ ตัวตนแอปพลิเคชันในกลุ่มจัดการคลาวด์ของ ConnectWise (เช่น สำหรับ Exchange Online, Microsoft Teams และ Microsoft Graph) ได้มีการแต่งตั้งบทบาทผู้ดูแลระบบให้ตัวเอง ซึ่งส่วนใหญ่คือบทบาท Exchange Administrator

ยิ่งไปกว่านั้น ในระบบของลูกค้ารายหนึ่ง แอปพลิเคชัน ConnectWise Cloud Management for Microsoft Teams ได้เพิ่มสิทธิ์ให้ตัวเองกลายเป็น Global Administrator ซึ่งเป็นตำแหน่งผู้มีอำนาจสูงสุดในระบบ Microsoft 365 จากนั้นได้ทำการสั่งรันสคริปต์อัตโนมัติเข้าไปดัดแปลงแอปพลิเคชันตัวอื่นที่อยู่ในระบบ รวมถึงเครื่องมือจัดการของ MSP และแอปพลิเคชันของแพลตฟอร์มความปลอดภัยอย่าง Huntress Security Platform โดยการแอบยัดกุญแจลับชุดใหม่ (Client Secret) เข้าไปในแอปพลิเคชันเหล่านั้น และตั้งเวลาหมดอายุของกุญแจไว้ยาวนานถึงปี 2028 นั่นหมายความว่า ต่อให้ ConnectWise จะปิดการเชื่อมต่อของระบบสำรองข้อมูลเพื่อตัดวงจรคนร้ายไปแล้ว แต่ถ้าผู้ดูแลระบบไม่ได้เข้าไปไล่ลบกุญแจลับที่ถูกแอบฝังไว้ในแอปพลิเคชันอื่นๆ คนร้ายก็ยังมีช่องทางเดินกลับเข้ามาในระบบได้ตลอดเวลาผ่านแอปพลิเคชันตัวอื่นที่ถูกวางกับดักไว้นั่นเองครับ

เรื่องเงิน

ผลกระทบในมิติด้านการเงินและต้นทุนการดำเนินงานจากเหตุการณ์ครั้งนี้มีความสำคัญอย่างยิ่งต่อทั้งผู้ให้บริการและองค์กรธุรกิจครับ:

ต้นทุนค่าแรงและเวลาในการสืบสวน: บริษัทผู้ให้บริการไอทีและ MSP ที่มีลูกค้าหลายสิบหรือหลายร้อยราย จำเป็นต้องระดมกำลังเจ้าหน้าที่เข้าตรวจสอบประวัติการล็อกอินและตรวจเช็กสิทธิ์ของแอปพลิเคชันในระบบของลูกค้าทีละแห่งอย่างละเอียด ซึ่งสร้างภาระค่าใช้จ่ายและต้นทุนเวลาในการตอบสนองต่อเหตุการณ์ความปลอดภัยอย่างมหาศาล
ความเสียหายจากการหยุดชะงักของบริการที่จ่ายเงินซื้อ: องค์กรธุรกิจที่จ่ายค่าบริการสำรองข้อมูลและบริการจัดการระบบคลาวด์ต้องเผชิญกับภาวะที่ระบบไม่สามารถใช้งานได้ตามสัญญา โดยฟังก์ชันการสำรองข้อมูลตามรอบและระบบการกู้คืนไฟล์ต้องหยุดทำงานชั่วคราว ทำให้ธุรกิจต้องแบกรับความเสี่ยงในการดำเนินงานโดยไม่มีระบบสำรองข้อมูลรองรับในระหว่างนี้
ความเสี่ยงทางการเงินจากการเข้าถึงข้อมูลธุรกิจ: หากผู้ไม่หวังดีสามารถใช้โทเค็นเข้าถึงกล่องจดหมายและไฟล์เอกสารที่มีข้อมูลทางธุรกิจ ข้อมูลทางการเงิน สัญญาจ้าง หรือใบแจ้งหนี้ ความเสี่ยงดังกล่าวอาจนำไปสู่การปลอมแปลงอีเมลหลอกลวงให้โอนเงินไปยังบัญชีอื่น (Business Email Compromise) หรือการขู่กรรโชกทรัพย์ ซึ่งสร้างความสูญเสียทางการเงินอย่างรุนแรงต่อองค์กรได้ครับ

ผลกระทบ

ในภาพรวมของระบบและผู้ใช้งาน เหตุการณ์นี้ส่งผลกระทบเป็นวงกว้างในหลายระดับ:

บริการสำรองข้อมูลกลายเป็นอัมพาตชั่วคราว: จากการที่ ConnectWise Trust Center ได้ระงับการทำงานของ Cloud Backup ทำให้ในขณะนี้ไม่มีการสำรองข้อมูลตามรอบเวลา และไม่สามารถสั่งกู้คืนไฟล์ได้ โดย ConnectWise ระบุว่าคลังสำรองข้อมูลเดิมยังคงถูกเข้ารหัส แยกส่วน และเก็บรักษาไว้อย่างปลอดภัย แต่จะไม่สามารถเข้าถึงได้จนกว่าการฟื้นฟูระบบจะเสร็จสิ้น
การปิดบริการเสริมอื่นในเครือชั่วคราว: เพื่อความปลอดภัยเพิ่มเติม ทาง ConnectWise ได้ประกาศปิดให้บริการ SaaS Security และ Cloud Management ชั่วคราว ส่งผลให้ระบบตรวจจับภัยคุกคามใน SaaS Security และฟังก์ชันการจัดการผู้ใช้งานรวมถึงการจัดการไลเซนส์ใน Cloud Management ไม่สามารถใช้งานได้ โดยผู้ดูแลระบบต้องติดต่อฝ่ายดูแลพันธมิตรโดยตรงหากต้องการปรับเปลี่ยนข้อมูลผู้ใช้ ตามที่ระบุใน ConnectWise Trust Center
การปิดอัตลักษณ์แอปพลิเคชัน 7 รายการ: ConnectWise ได้ดำเนินการปิดอัตลักษณ์แอปพลิเคชันของตนเองจำนวน 7 ตัวจากศูนย์กลางเมื่อวันที่ 17 ตุลาคม 2026 เวลา 14:00 น. ตามเวลาประเทศไทย เพื่อตัดช่องทางการยืนยันตัวตนใหม่ทั้งหมด
ความเสี่ยงตกค้างของโทเค็นและกุญแจลับ: ตามที่ Todyl ชี้แจงผ่าน The Hacker News การสั่งปิดแอปพลิเคชันจะป้องกันไม่ให้มีการออกโทเค็นใหม่ แต่โทเค็นที่ถูกออกไปก่อนหน้านั้นอาจยังคงมีอายุใช้งานได้นานถึง 90 นาที และการปิดแอปพลิเคชันของผู้ผลิตไม่ได้ช่วยลบกุญแจลับที่คนร้ายแอบไปฝังไว้ในแอปพลิเคชันอื่นภายในองค์กรของลูกค้า

ข้อมูลที่ยังไม่ชัดเจน และจุดที่แหล่งข่าวระบุต่างกัน

เนื่องจากสถานการณ์นี้เพิ่งเกิดขึ้นและอยู่ระหว่างการสอบสวนเชิงลึก จึงมีข้อมูลสำคัญบางประเด็นที่แต่ละแหล่งข่าวยังระบุไม่ตรงกัน หรือยังไม่มีข้อสรุปที่แน่ชัด:

จำนวนองค์กรที่ได้รับผลกระทบ (162 เทียบกับ 173): ทาง Huntress รายงานตัวเลขยืนยันขั้นต่ำ ณ วันที่ 17 ตุลาคม 2026 เวลา 02:00 น. ตามเวลาประเทศไทย (19:00 UTC วันที่ 16 ตุลาคม) ว่าพบระบบของลูกค้าถูกล็อกอินโดยไม่ได้รับอนุญาตอย่างน้อย 162 องค์กร แต่ในพาดหัวข่าวของ The Hacker News ระบุตัวเลขผู้เสียหายว่าอยู่ที่ 173 องค์กร ขณะที่การตรวจสอบเพิ่มเติมของ Huntress ในเวลาต่อมาพบว่ามีระบบที่พบกิจกรรมการล็อกอินจากที่อยู่ต้นทางของผู้ไม่หวังดีเกือบ 1,000 แห่ง และมีกว่า 300 แห่งที่ล็อกอินสำเร็จ ดังนั้นตัวเลขความเสียหายสุทธิยังคงอยู่ระหว่างการประเมินครับ
ข้อมูลถูกขโมยออกไปจริงหรือไม่: ทาง ConnectWise Trust Center แถลงยืนยันว่าไม่มีสิ่งบ่งชี้ว่าข้อมูลที่สำรองเก็บไว้ในคลังสำรองถูกเข้าถึงหรือได้รับความเสียหาย ส่วนทาง Todyl ระบุผ่าน BleepingComputer ว่าจากการตรวจสอบใน 9 องค์กร พบเพียงประวัติการล็อกอิน แต่ไม่พบหลักฐานว่าคนร้ายได้สร้างบัญชี เพิ่มสิทธิ์ เปลี่ยนรหัสผ่าน หรือสร้างการฝังตัว อย่างไรก็ตาม ทาง Huntress และ Inforcer ชี้แจงตรงกันว่า การอ่านข้อมูลผ่าน Microsoft Graph ปกติจะไม่มีการบันทึกประวัติการอ่านไฟล์ใน Audit Log ทั่วไป ทำให้สถานะในปัจจุบันคือ “ยังไม่พบหลักฐานการดึงข้อมูลออกไป แต่ไม่สามารถตัดความเป็นไปได้ทิ้งได้ทั้งหมด” ครับ
วิธีการที่กุญแจลับรั่วไหล: ยังไม่มีข้อมูลเปิดเผยแน่ชัดว่า ผู้โจมตีใช้วิธีการใดในการเข้าถึงและขโมยข้อมูลรับรองดิจิทัลของ ConnectWise ออกไปจากระบบต้นทาง
ขอบเขตกลุ่มเป้าหมาย: ในรายงานของ Inforcer มีการตรวจพบกิจกรรมในสหราชอาณาจักร สหภาพยุโรป สหรัฐอเมริกา ออสเตรเลีย และนิวซีแลนด์ ขณะที่ Huntress ระบุว่าพบความพยายามระลอกที่สองในวันที่ 15 ตุลาคม ซึ่งพุ่งเป้าแคบไปยังองค์กรในกลุ่มนโยบาย ความมั่นคงแห่งชาติ การค้า และแร่ธาตุสำคัญ โดยไม่มีรายงานระบุรายชื่อองค์กรในประเทศไทยเป็นการเฉพาะ

แล้วเราควรทำอะไร

สถานการณ์นี้จำเป็นต้องอาศัยความร่วมมือระหว่างฝ่ายบริหาร ผู้ใช้งานทั่วไป และฝ่ายไอทีผู้ดูแลระบบ โดยผมขอสรุปแนวทางปฏิบัติออกเป็น 2 กลุ่มอย่างชัดเจนครับ:

สำหรับเจ้าของธุรกิจ ผู้บริหาร และพนักงานออฟฟิศ

สอบถามทีมไอทีหรือบริษัทผู้ดูแลระบบของคุณทันที: ติดต่อไปยังฝ่ายไอทีหรือบริษัท MSP ที่ดูแล Microsoft 365 ของบริษัทในวันนี้ ถามโดยตรงว่าในระบบขององค์กรมีการติดตั้งใช้งานแอปพลิเคชัน ConnectWise Cloud Backup, SkyKick หรือเครื่องมือบริหารจัดการในเครือ ConnectWise หรือไม่
เฝ้าระวังสิ่งผิดปกติในกล่องข้อความ: หมั่นสังเกตว่ามีอีเมลแปลกปลอมถูกส่งออกจากกล่องข้อความของคุณหรือไม่ หรือมีคู่ค้าแจ้งเตือนเรื่องการขอเปลี่ยนเลขบัญชีธนาคารกะทันหันหรือเปล่า หากพบความผิดปกติให้รีบแจ้งผู้ดูแลระบบทันที
อย่าตื่นตระหนกสั่งลบระบบสำรองข้อมูลทิ้ง: เจ้าของธุรกิจไม่ควรสั่งยกเลิกหรือลบคลังสำรองข้อมูลทิ้งอย่างผลีผลาม เพราะข้อมูลสำรองเดิมยังคงมีความสำคัญและได้รับการแยกส่วนปกป้องไว้ การสั่งลบข้อมูลโดยขาดความเข้าใจอาจทำให้สูญเสียประวัติไฟล์สำคัญของบริษัทไปอย่างถาวรครับ

สำหรับผู้ดูแลระบบไอทีและบริษัทผู้ให้บริการ (IT Admins & MSPs)

สั่งปิดการทำงานของแอปที่เกี่ยวข้อง (Disable, do not delete): เข้าไปที่ศูนย์จัดการ Microsoft Entra ไปที่เมนู Enterprise applications ค้นหาแอปพลิเคชัน ConnectWise Cloud Backup (หรือ SkyKick) รวมถึงแอปพลิเคชันในเครือ ConnectWise Cloud Management แล้วเข้าไปที่ Properties จากนั้นปรับค่า “Enabled for users to sign-in?” ให้เป็น No โดยเด็ดขาด ห้ามกด Delete เด็ดขาด เพราะการลบแอปจะทำลายบันทึกหลักฐานและสิทธิ์การยินยอมเดิมที่ต้องใช้ในการกู้คืนระบบในอนาคต ตามคำแนะนำของ Huntress
ตรวจสอบประวัติการล็อกอินและ Audit Logs ย้อนหลัง: ตรวจสอบประวัติการล็อกอินในแท็บ Service principal sign-ins และบันทึก Audit logs ย้อนหลังโดยเน้นช่วงวันที่ 14 ถึง 16 ตุลาคม 2026 (หรือขยายการตรวจสอบตั้งแต่ 13 ตุลาคมเป็นต้นมา) คอยมองหาการยืนยันตัวตนที่มาจากที่อยู่เครือข่ายแปลกปลอมภายนอกที่ไม่ใช่การทำงานปกติของระบบ Azure ตามแนวทางบน ConnectWise Trust Center
ตรวจสอบกุญแจลับและสิทธิ์ในแอปพลิเคชันทุกตัวในระบบ: การสั่งปิดแอปพลิเคชันของ ConnectWise ไม่ได้ช่วยล้างกุญแจลับที่คนร้ายอาจแอบไปฝังไว้ในแอปพลิเคชันอื่น ผู้ดูแลระบบต้องเข้าไปตรวจสอบ Certificates & secrets ในแอปพลิเคชันทุกตัว โดยเฉพาะเครื่องมือจัดการระบบและซอฟต์แวร์ความปลอดภัย หากพบกุญแจลับใหม่ที่ถูกสร้างขึ้นโดยไม่ได้รับอนุญาตตั้งแต่วันที่ 13 ตุลาคมเป็นต้นมา ให้รีบประสานงานเพื่อเพิกถอนทิ้งทันที ตามคำเตือนของ Huntress
ตรวจสอบการแต่งตั้งบทบาทผู้ดูแลระบบ: ตรวจสอบในเมนู Roles and administrators และ Audit logs ในระบบ Entra ID เพื่อดูว่ามีแอปพลิเคชันใดแอบแต่งตั้งตัวเองหรือมอบสิทธิ์ระดับสูง เช่น Global Administrator หรือ Exchange Administrator หรือไม่ หากพบความผิดปกติให้ถอนสิทธิ์ออกทันที
รอการยืนยันการผลัดเปลี่ยนกุญแจจากผู้ผลิต: ห้ามเปิดใช้งานแอปพลิเคชันที่ปิดไว้กลับมาใหม่ จนกว่าทาง ConnectWise จะออกประกาศยืนยันอย่างเป็นทางการว่าได้ทำการผลัดเปลี่ยนกุญแจลับ (Credential Rotation) เรียบร้อยแล้ว โดยในระหว่างนี้ระบบสำรองและกู้คืนไฟล์จะยังคงออฟไลน์อยู่
ติดตามตัวบ่งชี้ภัยคุกคามจากช่องทางทางการ: สำหรับรายละเอียดเชิงลึกและค่าตัวบ่งชี้ภัยคุกคาม (IOCs) ขอให้ผู้ดูแลระบบอ้างอิงและติดตามจากหน้าประกาศทางการของ ConnectWise Trust Center และบทวิเคราะห์ของ Huntress โดยตรงครับ

ผมมองว่า…

ผมมองว่าเหตุการณ์นี้ไม่ใช่แค่เรื่องของแอปพลิเคชันตัวหนึ่งถูกโจมตี แต่คือสัญญาณเตือนครั้งใหญ่ต่อโมเดลความปลอดภัยของระบบคลาวด์องค์กรในปัจจุบันครับ

ตลอดหลายปีที่ผ่านมา พวกเราในวงการไอทีต่างรณรงค์ให้ทุกคนเปิดใช้งาน MFA และบอกว่าการยืนยันตัวตนสองชั้นคือเกราะป้องกันที่สำคัญที่สุด แต่เหตุการณ์นี้พิสูจน์ให้เห็นว่า เมื่อคนร้ายเปลี่ยนเป้าหมายจากการงัดประตูหน้าของบัญชีผู้ใช้ ไปสู่การเดินเข้าประตูส่งของหลังร้านผ่านแอปพลิเคชันที่ได้รับความยินยอมไว้ล่วงหน้า ระบบป้องกันฝั่งผู้ใช้ทั้งหมดก็แทบจะไร้ความหมายในทันที

สิ่งที่น่ากลัวไม่แพ้กันคือเรื่องของ “หนี้สินทางสิทธิ์” (Permissions Debt) ในระบบคลาวด์ครับ หลายบริษัทเปลี่ยนผู้ดูแลระบบหรือยกเลิกสัญญาซอฟต์แวร์ไปนานแล้ว แต่ไม่มีใครเคยเข้าไปตรวจสอบและกดเพิกถอนสิทธิ์ของแอปพลิเคชันเก่าที่ไม่ได้ใช้งาน แอปเหล่านั้นจึงยังคงมีสิทธิ์อ่านอีเมลและไฟล์สำคัญของบริษัทอย่างเงียบๆ พอเกิดเหตุกุญแจลับของฝั่งผู้ผลิตรั่วไหล แอปที่ถูกลืมเหล่านี้ก็พร้อมจะกลายเป็นช่องทางให้คนร้ายบุกเข้ามาได้ทันที บทเรียนนี้จึงเตือนใจเราว่า การบริหารความปลอดภัยระบบไม่ได้จบแค่การดูแลรหัสผ่านของพนักงาน แต่ต้องรวมถึงการตรวจสอบและทำความสะอาดสิทธิ์ของแอปพลิเคชันภายนอกอย่างสม่ำเสมอด้วยครับ

ปิดท้าย: สิ่งที่ต้องจับตา

หลังจากนี้สิ่งที่เราต้องจับตาดูอย่างใกล้ชิดคือ รายงานผลการตรวจสอบทางนิติวิทยาศาสตร์จาก ConnectWise และบริษัทผู้เชี่ยวชาญภายนอกที่ได้รับการว่าจ้างเข้ามาร่วมตรวจสอบ ว่ามีข้อมูลของลูกค้าถูกเข้าถึงหรือดึงออกไปจากระบบจริงหรือไม่ รวมถึงการเปิดเผยถึงสาเหตุและเส้นทางที่ทำให้ข้อมูลรับรองของระบบสำรองข้อมูลรั่วไหลในครั้งนี้

นอกจากนี้ ต้องติดตามความคืบหน้าในการผลัดเปลี่ยนกุญแจลับและกำหนดการฟื้นฟูระบบ Cloud Backup ว่าจะสามารถกลับมาเปิดให้บริการสำรองข้อมูลและกู้คืนไฟล์ได้เมื่อใด หากคุณเป็นผู้ดูแลระบบหรือมีส่วนเกี่ยวข้องกับการดูแลข้อมูลขององค์กร อย่าลืมเข้าไปสำรวจสิทธิ์ของแอปพลิเคชันในระบบ Microsoft 365 ของคุณตั้งแต่วันนี้เลยครับ

Recap

แอปพลิเคชัน ConnectWise Cloud Backup (SkyKick) ถูกคนร้ายนำกุญแจลับไปใช้ล็อกอินเข้า Microsoft 365 อย่างน้อย 162 tenant ตามที่ Huntress ยืนยัน
การโจมตีเกิดขึ้นระดับแอปพลิเคชัน ทำให้ระบบยืนยันตัวตนสองชั้น (MFA) ไม่มีการแจ้งเตือนผู้ใช้งาน
มีการตรวจพบพฤติกรรมของแอปพลิเคชันในเครือเดียวกันยกระดับสิทธิ์ตนเองเป็นผู้ดูแลระบบ และแอบฝังกุญแจลับใหม่ในแอปอื่นเพื่อเปิดทางเข้าถาวร
ConnectWise สั่งปิดระบบสำรองข้อมูลชั่วคราว และระงับอัตลักษณ์ของแอปพลิเคชันที่เกี่ยวข้องแล้ว 7 รายการ
ทางบริษัทยืนยันว่าคลังข้อมูลสำรองที่เข้ารหัสไว้ยังไม่มีหลักฐานการถูกเข้าถึง แต่ระบบกู้คืนไฟล์ต้องหยุดทำงานชั่วคราว
ผู้ดูแลระบบไอทีต้องสั่งปิดการทำงาน (Disable) ของแอปพลิเคชันที่เกี่ยวข้องทันที แต่ห้ามกดลบ (Delete) ทิ้ง
ต้องตรวจสอบประวัติการล็อกอินของ Service Principal และตรวจเช็กกุญแจลับตกค้างในแอปพลิเคชันอื่นๆ ทั้งหมด
ธุรกิจทั่วไปควรติดต่อสอบถามผู้ให้บริการไอทีทันทีว่ามีแอปพลิเคชันนี้ติดตั้งอยู่ในระบบของตนเองหรือไม่