ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์จาก Huntress รายงานการโจมตีห่วงโซ่อุปทาน (Supply Chain Attack) ที่เกี่ยวข้องกับ ConnectWise Cloud Backup หรือเดิมชื่อ SkyKick Cloud Backup โดยผู้โจมตีใช้ Application Credentials ที่รั่วไหลหรือถูกขโมย เพื่อเข้าถึง Microsoft 365 Tenants ของลูกค้าหลายองค์กรโดยไม่ได้รับอนุญาต พบผู้ได้รับผลกระทบอย่างน้อย 162 Tenants ขณะที่ Microsoft ยืนยันว่าตรวจพบกิจกรรมการยืนยันตัวตนที่น่าสงสัย ซึ่งเกี่ยวข้องกับแอปพลิเคชันของ ConnectWise และอยู่ระหว่างการตรวจสอบเหตุการณ์

รายละเอียดการโจมตี

ConnectWise Cloud Backup เป็นบริการสำรองและกู้คืนข้อมูลบนคลาวด์สำหรับผู้ให้บริการ Managed Service Provider (MSP) และองค์กร โดยต้องได้รับสิทธิ์เข้าถึงทรัพยากรใน Microsoft 365 เช่น Exchange Online, OneDrive, SharePoint และ Microsoft Teams เพื่อให้สามารถสำรองและกู้คืนข้อมูลได้ ผู้โจมตีอาศัยข้อมูลรับรองของแอปพลิเคชันเพื่อยืนยันตัวตนกับ Microsoft Graph API โดยไม่จำเป็นต้องขโมยบัญชีผู้ใช้โดยตรง Huntress ตรวจพบกิจกรรมจาก IP Address 144.172.64[.]128 เมื่อวันที่ 15 ตุลาคม 2026 พบพฤติกรรมที่อาจเกี่ยวข้องกับการยกระดับสิทธิ์ (Privilege Escalation) และการสร้าง Persistence เช่น การกำหนดสิทธิ์ผู้ดูแลระบบให้ Service Principal และการเพิ่ม Client Secret ให้แอปพลิเคชันอื่น และเข้าถึงทรัพยากรภายใน Tenant ที่แอปพลิเคชันได้รับอนุญาตไว้ก่อนหน้านี้ ลักษณะการโจมตีดังกล่าวแตกต่างจากการขโมยบัญชีผู้ใช้ทั่วไป เนื่องจากเป็นการใช้ตัวตนของแอปพลิเคชัน (Service Principal) ในการเข้าถึงระบบ

ผลกระทบและความเสี่ยง

ผู้โจมตีอาจเข้าถึงอีเมล ไฟล์บน OneDrive และ SharePoint รวมถึงข้อมูลใน Microsoft Teams ตามสิทธิ์ที่แอปพลิเคชันได้รับ ขณะที่ ConnectWise ระบุว่ายังไม่พบหลักฐานว่าข้อมูลสำรองในบริการ Cloud Backup ถูกเข้าถึงโดยไม่ได้รับอนุญาต และได้ระงับการเข้าถึงบริการเพื่อควบคุมสถานการณ์

NT cyfence แนะนำให้องค์กรที่ใช้งาน ConnectWise Cloud Backup และบริการที่เกี่ยวข้อง เร่งตรวจสอบความผิดปกติใน Microsoft Entra ID เพื่อป้องกันการเข้าถึงระบบโดยไม่ได้รับอนุญาตจากการใช้ Application Credentials ที่อาจรั่วไหล องค์กรควรตรวจสอบ Sign-in Logs และ Audit Logs ใน Microsoft Entra ID ตรวจสอบสิทธิ์ของ Enterprise Applications และ Service Principals ที่เชื่อมต่อกับบริการสำรองข้อมูล พร้อมเพิกถอน Credentials ที่มีความเสี่ยง ตรวจสอบ Client Secrets และสิทธิ์ผู้ดูแลระบบที่ผิดปกติ รวมถึงค้นหากิจกรรมการเข้าถึงข้อมูลและการเปลี่ยนแปลงสิทธิ์ที่ไม่ได้รับอนุญาต

การโจมตีครั้งนี้สะท้อนความเสี่ยงจาก Third-party Application ที่ได้รับสิทธิ์เข้าถึงระบบองค์กร แม้ไม่มีการยึดบัญชีผู้ใช้โดยตรง ผู้โจมตีก็อาจเข้าถึงข้อมูลสำคัญผ่าน Application Identity ที่ได้รับความไว้วางใจได้

ที่มา bleepingcomputer.com