ConnectWise ระงับบริการ Cloud Backup หลังผู้โจมตีเจาะช่องทางเข้าถึง Microsoft 365
ConnectWise ระงับแอปพลิเคชันไอเดนทิตี้เจ็ดรายการ หลังผู้ไม่หวังดีเข้าถึงระบบโดยไม่ได้รับอนุญาตและโจมตีผู้เช่าใช้งาน Microsoft 365 เรียนรู้ผลกระทบและแนวทางรับมือ
ConnectWise ผู้ให้บริการโซลูชันด้านไอทีชื่อดัง ประกาศระงับการใช้งานแอปพลิเคชันไอเดนทิตี้จำนวนเจ็ดรายการเมื่อวันเสาร์ที่ผ่านมา หลังพบว่าผู้ไม่หวังดีสามารถเข้าถึงบัญชีแอปพลิเคชันเหล่านี้โดยไม่ได้รับอนุญาต และใช้ช่องทางดังกล่าวเจาะเข้าสู่ระบบ Microsoft 365 ของลูกค้าที่ใช้บริการ
เหตุการณ์ครั้งนี้ถือเป็นอีกหนึ่งบทเรียนสำคัญเกี่ยวกับความเสี่ยงของการเชื่อมต่อระหว่างระบบภายในองค์กรกับบริการคลาวด์ภายนอก โดยเฉพาะอย่างยิ่งเมื่อผู้ให้บริการรายใดรายหนึ่งถูกโจมตี ผลกระทบอาจลุกลามไปยังลูกค้าทุกรายที่ใช้บริการร่วมกัน
รายละเอียดเหตุการณ์
บริษัท ConnectWise เปิดเผยว่า ผู้ไม่หวังดีที่ไม่ทราบตัวตนได้เข้าถึงแอปพลิเคชันไอเดนทิตี้ของบริษัทโดยไม่ได้รับอนุญาต จากนั้นจึงใช้สิทธิ์ของไอเดนทิตี้เหล่านี้ในการเข้าถึงและโจมตีระบบ Microsoft 365 ของลูกค้า ซึ่งถือว่าเป็นการโจมตี Supply Chain รูปแบบหนึ่งที่มุ่งเน้นเป้าหมายไปยังผู้ให้บริการเพื่อขยายผลกระทบไปยังลูกค้าปลายทาง
นักวิจัยด้านความปลอดภัยระบุว่า การที่ผู้โจมตีสามารถควบคุมแอปพลิเคชันไอเดนทิตี้ได้นั้น เปิดโอกาสให้สามารถดำเนินการต่าง ๆ ภายในระบบ Microsoft 365 ได้อย่างกว้างขวาง ตั้งแต่การอ่านอีเมล การเข้าถึงไฟล์ ตลอดจนการเปลี่ยนแปลงการตั้งค่าต่าง ๆ ของผู้เช่าใช้งาน
แอปพลิเคชันไอเดนทิตี้ที่ถูกระงับ
ConnectWise ดำเนินการปิดใช้งานแอปพลิเคชันไอเดนทิตี้ทั้งเจ็ดรายการทันที เพื่อจำกัดความเสียหายและป้องกันไม่ให้ผู้โจมตีสามารถใช้ช่องทางเหล่านี้ได้อีก รายชื่อแอปพลิเคชันไอเดนทิตี้ที่ถูกระงับมีดังนี้
- ConnectWise Cloud Backup รหัส 506e08f9-6e9a-4da4-942b-a099a03644ae
นอกจากนี้ยังมีแอปพลิเคชันไอเดนทิตี้อีกหกรายการที่อยู่ระหว่างการตรวจสอบและถูกระงับการใช้งานชั่วคราว เพื่อให้ทีมรักษาความปลอดภัยสามารถวิเคราะห์หาสาเหตุของการถูกโจมตีและป้องกันไม่ให้เกิดเหตุการณ์ซ้ำ
ผลกระทบต่อผู้เช่าใช้งาน Microsoft 365
การโจมตีในครั้งนี้ส่งผลกระทบโดยตรงต่อผู้เช่าใช้งาน Microsoft 365 ที่เชื่อมต่อกับบริการของ ConnectWise เนื่องจากแอปพลิเคชันไอเดนทิตี้มีสิทธิ์ในการเข้าถึงข้อมูลและทรัพยากรต่าง ๆ ภายในระบบ เมื่อผู้โจมตีสามารถควบคุมไอเดนทิตี้เหล่านี้ได้ จึงอาจนำไปสู่การรั่วไหลของข้อมูล การเข้าถึงอีเมลโดยไม่ได้รับอนุญาต หรือแม้แต่การเปลี่ยนแปลงการตั้งค่าความปลอดภัยของผู้เช่าใช้งาน
บริการ ConnectWise Cloud Backup ซึ่งเป็นหนึ่งในไอเดนทิตี้ที่ถูกระงับ มีบทบาทสำคัญในการสำรองข้อมูลของลูกค้า การระงับบริการนี้อาจส่งผลต่อความต่อเนื่องในการสำรองข้อมูลในช่วงระหว่างการตรวจสอบ
มาตรการรับมือและข้อแนะนำ
ConnectWise อยู่ระหว่างการสืบสวนหาสาเหตุที่แท้จริงของเหตุการณ์ และยืนยันว่าจะดำเนินการทุกมาตรการที่จำเป็นเพื่อความปลอดภัยของลูกค้า ลูกค้าที่ใช้บริการของ ConnectWise ควรติดตามข่าวสารอย่างใกล้ชิด ตรวจสอบบันทึกการเข้าถึงในระบบ Microsoft 365 ของตนเอง และพิจารณาเปลี่ยนรหัสผ่านหรือรีวิวสิทธิ์การเข้าถึงของแอปพลิเคชันที่เชื่อมต่อกับผู้ให้บริการรายนี้
เหตุการณ์นี้ย้ำเตือนให้องค์กรทุกแห่งตระหนักถึงความเสี่ยงจากการพึ่งพาผู้ให้บริการภายนอก และควรมีแนวทางการตรวจสอบสิทธิ์ของแอปพลิเคชันไอเดนทิตี้อย่างสม่ำเสมอ รวมถึงเตรียมแผนรับมือเมื่อผู้ให้บริการที่สำคัญถูกโจมตี
Reference
The Hacker News
หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม
💬 Line @monsteronline
☎️ Tel 02-026-6664
📩 Email [email protected]
🌐 Website mon.co.th