แฮกเกอร์ใช้ข้อมูลรับรอง ConnectWise ที่ถูกขโมย เจาะ Microsoft 365 ถึง

นักวิจัยด้านความปลอดภัยทางไซเบอร์เตือนถึงแคมเปญโจมตีที่กำลังดำเนินอยู่ โดยกลุ่มผู้ไม่หวังดีที่ไม่ทราบชื่อกำลังใช้ประโยชน์จากข้อมูลรับรอง Microsoft 365 ของบริการ ConnectWise Cloud Backup ที่ถูกขโมย เพื่อเข้าถึงสภาพแวดล้อม M365 ของลูกค้าโดยไม่ได้รับอนุญาต

ConnectWise Cloud Backup เดิมชื่อ SkyKick เป็นบริการสำรองข้อมูลและกู้คืนบนคลาวด์ที่ออกแบบมาสำหรับผู้ให้บริการด้านการจัดการ หรือ MSP โดยเฉพาะ ทำให้เหตุการณ์นี้ถือเป็นการโจมตีแบบ Supply Chain ผ่านช่องทางของ MSP ที่ส่งผลกระทบต่อองค์กรลูกค้าจำนวนมากในคราวเดียว

ขอบเขตของการโจมตี

ผู้โจมตีสามารถใช้ข้อมูลรับรองที่ถูกขโมยไปลงชื่อเข้าใช้ M365 ของลูกค้าได้ถึง 173 ราย ซึ่งแสดงให้เห็นถึงความรุนแรงของปัญหาเมื่อข้อมูลรับรองของผู้ให้บริการเพียงรายเดียวถูกเปิดเผย ผลกระทบสามารถลุกลามไปยังลูกค้าทุกรายที่ใช้บริการสำรองข้อมูลผ่าน MSP รายนั้น

การโจมตีในลักษณะนี้ถือว่าอันตรายอย่างยิ่ง เนื่องจากผู้โจมตีสามารถเข้าถึงข้อมูลสำคัญขององค์กร เช่น อีเมล ไฟล์เอกสาร และข้อมูลภายในอื่น ๆ ที่จัดเก็บในระบบ M365 โดยตรง โดยไม่ต้องผ่านการตรวจสอบสิทธิ์เพิ่มเติม

กลไกการโจมตี

ผู้โจมตีใช้ประโยชน์จากข้อมูลรับรอง M365 ที่เชื่อมโยงกับบัญชี ConnectWise Cloud Backup ซึ่งมีสิทธิ์ในการเข้าถึง M365 ของลูกค้าทุกรายที่ MSP รายนั้นดูแล เมื่อข้อมูลรับรองนี้รั่วไหลหรือถูกขโมย ผู้โจมตีสามารถใช้เข้าสู่ระบบในฐานะผู้ดูแลระบบและทำการโจมตีต่อได้ทันที

วิธีการนี้ต่างจากการโจมตีด้วยช่องโหว่ทางเทคนิค เพราะผู้โจมตีไม่จำเป็นต้องเจาะระบบแต่อย่างใด เพียงแค่มีข้อมูลรับรองที่ถูกต้องก็สามารถเข้าถึงระบบได้โดยตรง ทำให้การตรวจจับทำได้ยากขึ้น

ความเสี่ยงจากการโจมตีผ่าน MSP

เหตุการณ์นี้ชี้ให้เห็นถึงความเสี่ยงที่เพิ่มขึ้นของการโจมตีผ่านห่วงโซ่อุปทานทางไอที โดยเฉพาะอย่างยิ่งการพึ่งพา MSP ในการจัดการระบบคลาวด์ เมื่อ MSP ถูกโจมตี ลูกค้าทุกรายที่ใช้บริการจะได้รับผลกระทบไปด้วยโดยปริยาย

องค์กรที่ใช้บริการ MSP จึงควรตรวจสอบมาตรการรักษาความปลอดภัยของผู้ให้บริการอย่างสม่ำเสมอ รวมถึงการใช้การยืนยันตัวตนแบบหลายปัจจัย และการจำกัดสิทธิ์การเข้าถึงของ MSP ให้เหมาะสมกับความจำเป็น

แนวทางการป้องกัน

องค์กรควรตรวจสอบบัญชีที่มีสิทธิ์ระดับผู้ดูแลระบบใน M365 อย่างสม่ำเสมอ พร้อมทั้งเปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัยสำหรับทุกบัญชีที่มีสิทธิ์สูง นอกจากนี้ควรติดตามกิจกรรมการลงชื่อเข้าใช้ที่ผิดปกติ และตั้งค่าการแจ้งเตือนเมื่อมีการเข้าถึงจากสถานที่หรืออุปกรณ์ที่ไม่รู้จัก

การใช้หลักการ Zero Trust และการแยกสิทธิ์การเข้าถึงตามหน้าที่ จะช่วยลดความเสี่ยงจากการโจมตีในลักษณะนี้ได้อย่างมีประสิทธิภาพ และควรทบทวนนโยบายความปลอดภัยกับผู้ให้บริการ MSP อย่างสม่ำเสมอ

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th