สรุปสั้น

นายหน้าขายการเข้าถึงระบบหรือ initial access broker กำลังทำฟิชชิงกับพนักงานด้วยการโทรหรือส่งข้อความไปยังอุปกรณ์ส่วนตัวของพวกเขา แล้วใช้ Microsoft Graph API ดึงข้อมูลองค์กรออกไปในปริมาณมาก จุดตั้งต้นของการโจมตีคือข้อเท็จจริงที่แทบเลี่ยงไม่ได้ในองค์กรทั่วไปว่าพนักงานย่อมใช้อุปกรณ์ส่วนตัวเข้าถึงทรัพยากรของบริษัท มีเพียงหน่วยงานรัฐ สถาบันวิจัย และองค์กรที่มีความอ่อนไหวสูงเท่านั้นที่ห้ามเด็ดขาด ขณะที่องค์กรซึ่งใส่ใจความปลอดภัยส่วนใหญ่อนุญาตโดยมีเงื่อนไขว่าห้ามใช้อุปกรณ์ส่วนตัวกับทรัพยากรที่อ่อนไหว แต่แม้แต่นโยบายที่สมเหตุสมผลแบบหลังก็กำลังถูกทดสอบโดยผู้โจมตีที่รู้วิธีขยายผลจากเส้นทางที่ดูเหมือนมีความเสี่ยงต่ำ

ตั้งแต่เดือนพฤษภาคม นักวิจัยของ Microsoft ติดตามผู้โจมตีอย่างน้อยสองรายในชื่อเรียกของบริษัทคือ Storm-3032 และ Storm-3121 ซึ่งใช้ประโยชน์จากอุปกรณ์ส่วนตัวเพื่อข้ามมาตรการยืนยันตัวตนขององค์กรไปทั้งชั้น และที่หนักกว่านั้นคือทั้งสองรายมีแนวโน้มส่งต่อสิทธิ์เข้าถึงที่ได้มาให้กลุ่มขู่กรรโชกต่าง ๆ รวมถึง ShinyHunters ที่สร้างปัญหาต่อเนื่องมาตลอด อย่างไรก็ตาม Microsoft ไม่ได้เชื่อมโยงการละเมิดข้อมูลขององค์กรใดที่เป็นข่าวเข้ากับแคมเปญการเข้าถึงครั้งแรกเหล่านี้โดยตรง

หัวใจของเทคนิคอยู่ที่การย้ายสนามรบไปยังที่ที่องค์กรมองไม่เห็น ผู้โจมตีโทรหรือส่งข้อความหาผู้บริหารและผู้ดูแลระบบบนอุปกรณ์ของพวกเขาเอง โดยอ้างตัวเป็นฝ่ายบริการไอทีของบริษัท และอ้างว่าผู้รับต้องอัปเดตวิธียืนยันตัวตนอย่างพาสคีย์ การยืนยันตัวตนหลายปัจจัย หรือการตั้งค่า single sign-on มิฉะนั้นจะเข้าใช้งานระบบงานไม่ได้ เมื่อเหยื่อกดลิงก์ที่ส่งมาทางโทรศัพท์ก็จะพบหน้าเข้าสู่ระบบของ Microsoft ที่ทำเลียนแบบไว้อย่างน่าเชื่อถือ จากนั้นผู้โจมตีจะใช้ทั้งเทคนิคคนกลางหรือ adversary-in-the-middle เพื่อขโมยข้อมูลยืนยันตัวตนกับโทเค็นเซสชัน และใช้กระบวนการ device code phishing ควบคู่กันไป

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 10 กันยายน พ.ศ. 2569 ว่านายหน้าขายการเข้าถึงระบบกำลังทำฟิชชิงกับพนักงานผ่านการโทรและส่งข้อความไปยังอุปกรณ์ส่วนตัว แล้วอาศัย Microsoft Graph API ดึงข้อมูลองค์กรออกไปในปริมาณมาก โดยผู้โจมตีใช้ Graph API ระบุเป้าหมายที่คุ้มค่าก่อน แล้วจึงส่งต่อสิทธิ์เข้าถึงให้กลุ่มขู่กรรโชกอย่าง ShinyHunters

ตรรกะเบื้องหลังการเลือกเป้าหมายนั้นตรงไปตรงมา โดยปกติหากผู้โจมตีต้องการเข้าถึงระบบขององค์กร เส้นทางที่เห็นได้ชัดคือการพุ่งเป้าไปที่บัญชีหรืออุปกรณ์ขององค์กรที่เชื่อมต่ออยู่ ปัญหาคือการทำเช่นนั้นต้องเผชิญกับมาตรการที่บริษัทวางไว้ ทั้งเกตเวย์ความปลอดภัยอีเมลและระบบตรวจจับและตอบสนองที่ปลายทางหรือ EDR การหันไปเล่นกับอุปกรณ์ส่วนตัวของพนักงานจึงง่ายกว่ามาก เพราะอุปกรณ์เหล่านั้นโดยเฉพาะโทรศัพท์มือถือแทบไม่มีกำแพงความปลอดภัยใด ๆ และคนทำงานก็ใช้โทรศัพท์ของตนในที่ทำงานอยู่ตลอดเวลา

รายละเอียดของการหลอกลวงคือผู้โจมตีโทรหรือส่งข้อความหาผู้บริหารและผู้ดูแลระบบบนอุปกรณ์ของพวกเขาเอง โดยสวมรอยเป็นฝ่ายบริการไอทีของบริษัท ข้ออ้างของการติดต่อคือบุคคลนั้นต้องอัปเดตวิธีการยืนยันตัวตนเข้าสู่บัญชีงาน ไม่ว่าจะเป็นพาสคีย์ การยืนยันตัวตนหลายปัจจัย หรือการตั้งค่า single sign-on เพื่อไม่ให้สูญเสียการเข้าถึงงานของตน และผ่านลิงก์ที่ส่งไปยังโทรศัพท์ พวกเขาจะล็อกอินเข้าบัญชีเพื่อทำให้ทุกอย่างกลับสู่ปกติได้ หากผู้รับไม่ทันสังเกตว่าการสื่อสารเรื่องงานที่สำคัญไม่ควรมาถึงตนด้วยช่องทางเช่นนี้ ก็มีแนวโน้มสูงที่จะกดลิงก์ฟิชชิงไปยังหน้าเข้าสู่ระบบของ Microsoft ที่ทำเลียนแบบไว้อย่างแนบเนียน

สิ่งที่สำคัญกว่ารายละเอียดของขั้นตอนฟิชชิงคือข้อเท็จจริงที่ว่าแทบไม่มีส่วนใดของกระบวนการเกิดขึ้นบนระบบขององค์กรเลย ดังที่ Microsoft ระบุไว้ในบล็อกโพสต์ว่าในการสืบสวนหลายครั้ง ความทรงจำของพนักงานเกี่ยวกับสายโทรศัพท์หรือข้อความกลายเป็นหลักฐานชิ้นแรกและบางครั้งเป็นชิ้นเดียวที่อธิบายได้ว่าการบุกรุกเริ่มต้นขึ้นอย่างไร ผลคือผู้สืบสวนมักต้องประกอบภาพการโจมตีขึ้นใหม่ด้วยการเชื่อมรายงานเหล่านั้นเข้ากับการล็อกอินที่ตามมา เหตุการณ์การยืนยันตัวตนด้วย device code กิจกรรมของโทเค็น และการเปลี่ยนวิธียืนยันตัวตน

ผู้โจมตียังใส่รายละเอียดปลีกย่อยเพื่อเพิ่มความน่าเชื่อถือ เช่น การใช้โดเมนที่เป็นอันตรายซึ่งผสมชื่อบริษัทของเหยื่อเข้ากับวลีด้านความปลอดภัยที่เกี่ยวข้อง ตัวอย่างเช่นรูปแบบ company[.]add-passkey[.]com และในบางกรณีซึ่งเป็นส่วนน้อย ผู้โจมตีใช้บัญชีพนักงานที่ยึดได้แล้วไปทำฟิชชิงกับพนักงานอีกคนหนึ่ง เพื่อเพิ่มความสมจริงหรืออาจเพื่อเข้าถึงพนักงานที่มีสิทธิ์สูงกว่า และเมื่อควบคุมตัวตนของพนักงานที่เป็นเหยื่อได้แล้ว พวกเขาจะสร้างการเข้าถึงแบบถาวรด้วยการลงทะเบียนอุปกรณ์ MFA ของตนเองเข้าไปในบัญชีนั้น

ขั้นถัดมาคือการสำรวจสภาพแวดล้อม ซึ่งอาจเป็นขั้นตอนที่สำคัญที่สุดของการโจมตีเพื่อขู่กรรโชก นั่นคือการระบุว่าข้อมูลที่มีมูลค่าอยู่ที่ใดและจะไปถึงได้อย่างไร ผู้โจมตีเลี่ยงการใช้มัลแวร์หรือเครื่องมือที่น่าสงสัยในเครือข่าย และหันไปสอบถามข้อมูลผ่าน Microsoft Graph API ซึ่งเป็นประตูร่วมของบริการคลาวด์ทั้งหมดของ Microsoft แทน Graph API เปิดให้ผู้ใช้ที่มีสิทธิ์จัดทำบัญชีรายการของผู้ใช้ ทรัพยากร เนื้อหา สิทธิ์ และข้อมูลอื่นที่เป็นประโยชน์ต่อการเห็นภาพรวมทั้งหมด นี่จึงเป็นเหตุผลที่ผู้โจมตีเจาะจงไปที่ผู้บริหารและผู้ดูแลระบบระดับ global admin แทนที่จะเป็นพนักงานทั่วไป เพราะคนกลุ่มนี้มักมีสิทธิ์มากที่สุดในสภาพแวดล้อม Microsoft 365 ขององค์กร

วิธีการโจมตี

จุดที่ทำให้การสอดแนมผ่าน Graph API ตรวจจับได้ยากคือความกลมกลืน ดังที่ Microsoft เขียนไว้ว่าการใช้ Microsoft Graph ในทางที่ผิดแทบไม่ดูน่าสงสัยเลยเมื่อมองจากการเรียก API ครั้งเดียว เพราะคำขอไปยังปลายทางอย่าง /users /groups หรือ /sites เป็นเรื่องปกติในสภาพแวดล้อมองค์กร กิจกรรมจะเข้าเกณฑ์ที่นำไปใช้เป็นข่าวกรองเพื่อลงมือได้ก็ต่อเมื่อมีตัวตนเดียวหรือแอปพลิเคชันเดียวเรียกใช้งานในจำนวนที่น่าสงสัย และองค์กรต้องมีความสามารถในการระบุและตั้งธงกิจกรรมนั้นได้ด้วย

เมื่อมีทางเข้าที่ง่ายและแผนที่ของสภาพแวดล้อมอยู่ในมือ ผู้โจมตีก็เดินหน้าดึงข้อมูลองค์กรที่อ่อนไหวออกไป โดย Microsoft สังเกตพบการขโมยข้อมูลที่เกี่ยวข้องกับ SharePoint, OneDrive และ Exchange เป็นหลัก และในขั้นนี้ผู้โจมตีก็ยังคงรักษาโปรไฟล์ต่ำเช่นเดิม ด้วยการเลี่ยงการถ่ายโอนข้อมูลก้อนใหญ่ที่สะดุดตา แล้วเปลี่ยนเป็นการทยอยดาวน์โหลดไฟล์ครั้งละชุดเล็ก ๆ เป็นระยะตลอดช่วงเวลาที่ยาวนานกว่าแทน

เมื่อมองทั้งห่วงโซ่จะเห็นว่าทุกขั้นถูกออกแบบมาให้หลบจุดที่องค์กรเฝ้าดูอยู่ ขั้นตั้งต้นเกิดบนโทรศัพท์ส่วนตัวที่ไม่มีระบบใดของบริษัทบันทึกไว้ ขั้นขโมยตัวตนเกิดบนหน้าเว็บของผู้โจมตีเองผ่านเทคนิคคนกลางและ device code phishing ซึ่งได้โทเค็นที่ผ่านการยืนยันตัวตนมาแล้ว ขั้นคงอยู่ถาวรทำด้วยการลงทะเบียนอุปกรณ์ MFA ของผู้โจมตีเข้าไปในบัญชีอย่างเป็นทางการ ขั้นสำรวจใช้ API ที่เป็นเครื่องมือปกติของระบบ และขั้นดึงข้อมูลใช้การทยอยขนทีละน้อย ไม่มีขั้นใดที่ต้องพึ่งมัลแวร์บนเครื่องขององค์กรเลยแม้แต่ขั้นเดียว

โฆษกของ Microsoft ยอมรับว่าอุปกรณ์ที่ไม่ได้อยู่ในการบริหารจัดการสร้างความยากลำบากในการติดตามกิจกรรมการหลอกลวงทางเสียงในขั้นแรก แต่ย้ำว่าสำหรับห่วงโซ่การโจมตีทั้งชุดนี้ หากผู้ใช้เป้าหมายมีการยืนยันตัวตนหลายปัจจัยแบบต้านฟิชชิงหรือมีนโยบายการเข้าถึงแบบมีเงื่อนไขที่ปิดกั้นการยืนยันตัวตนด้วย device code การโจมตีนี้จะไม่สำเร็จ บริษัทจึงแนะนำอย่างหนักแน่นให้ใช้ MFA ที่ต้านฟิชชิงและเปิดนโยบายการเข้าถึงแบบมีเงื่อนไขสำหรับ device code เฉพาะกรณีที่มีเหตุผลทางธุรกิจจำเป็นเท่านั้น ซึ่งเป็นกุญแจสำคัญในการหยุดการโจมตีนี้

ผลกระทบ

ผู้ที่ได้รับผลกระทบหนักที่สุดคือองค์กรที่ใช้ Microsoft 365 และอนุญาตให้พนักงานใช้อุปกรณ์ส่วนตัวเข้าถึงทรัพยากรของบริษัท ซึ่งครอบคลุมองค์กรส่วนใหญ่ในปัจจุบัน สิ่งที่ทำให้ความเสี่ยงต่างจากฟิชชิงทางอีเมลแบบเดิมคือจุดตั้งต้นอยู่นอกขอบเขตการมองเห็นขององค์กรทั้งหมด ทีมความปลอดภัยไม่มีบันทึกของสายโทรศัพท์และข้อความบนเครื่องส่วนตัว ทำให้การสืบสวนเริ่มต้นจากคำบอกเล่าของพนักงานเป็นหลัก และหากพนักงานไม่รายงาน เหตุการณ์ก็อาจถูกค้นพบช้ามากจนข้อมูลถูกขนออกไปแล้ว

ผลกระทบลำดับถัดมาคือความเสียหายไม่ได้จบที่การถูกดึงข้อมูล เพราะนายหน้าเหล่านี้ทำหน้าที่เป็นผู้ส่งมอบสิทธิ์ให้กลุ่มขู่กรรโชกอย่าง ShinyHunters ต่อ องค์กรที่ตกเป็นเหยื่อจึงอาจเผชิญการเรียกค่าไถ่จากกลุ่มที่ไม่ใช่ผู้บุกรุกตั้งต้น และลำดับเวลาของเหตุการณ์อาจห่างกันหลายสัปดาห์จนทำให้การสืบสวนเชื่อมโยงสองเหตุการณ์เข้าด้วยกันได้ยาก การที่บัญชีถูกฝังอุปกรณ์ MFA ของผู้โจมตีไว้ยังหมายความว่าการรีเซ็ตรหัสผ่านเพียงอย่างเดียวไม่ตัดการเข้าถึง

ในแง่ของการตั้งรับ เหตุการณ์นี้สะท้อนว่าการลงทุนที่ให้ผลตอบแทนสูงสุดไม่ใช่การพยายามกำจัดการใช้อุปกรณ์ส่วนตัว นาย Robert Coles ผู้จัดการอาวุโสฝ่ายข่าวกรองภัยคุกคามของบริษัท Black Duck ให้ความเห็นว่าองค์กรจะได้ประโยชน์จากการเสริมความแข็งแรงของการควบคุมด้านตัวตนและการยืนยันตัวตนมากกว่าการพยายามกำจัดนโยบายนำอุปกรณ์ส่วนตัวมาใช้งาน เพราะการจำกัดการใช้อุปกรณ์ส่วนตัวอาจลดความเสี่ยงได้บ้าง แต่ไม่สมจริงสำหรับองค์กรส่วนใหญ่ และก็ไม่ได้หยุดการหลอกลวงทางวิศวกรรมสังคมที่อธิบายไว้ในกรณีนี้ เขาย้ำว่าผู้โจมตีไม่ได้เจาะอุปกรณ์ แต่โน้มน้าวให้ผู้ใช้เชื่อใจพวกเขา องค์กรจึงควรมุ่งไปที่การจำกัดความเสียหายที่พนักงานจะก่อได้หากตัดสินใจผิดพลาด โดยมีเป้าหมายคือทำให้บัญชีที่ถูกยึดมีประโยชน์ต่อผู้โจมตีน้อยลงมาก

คำแนะนำ

ลำดับแรกตามที่ Microsoft แนะนำคือบังคับใช้การยืนยันตัวตนหลายปัจจัยแบบต้านฟิชชิงกับการล็อกอินทุกครั้ง ซึ่งหมายถึงพาสคีย์หรือกุญแจความปลอดภัยที่ผูกกับโดเมนจริง ไม่ใช่รหัสผ่านครั้งเดียวหรือการกดยืนยันในแอป เพราะวิธีหลังยังถูกส่งต่อผ่านหน้าเว็บคนกลางได้ ควบคู่กับการปิดกั้นการยืนยันตัวตนด้วย device code ผ่านนโยบายการเข้าถึงแบบมีเงื่อนไข โดยเปิดไว้เฉพาะกรณีที่มีเหตุผลทางธุรกิจจำเป็นจริง ๆ เท่านั้น ซึ่งทั้งสองอย่างนี้ Microsoft ระบุว่าเพียงพอที่จะทำให้ห่วงโซ่การโจมตีนี้ล้มเหลว

ลำดับที่สองคือการจำกัดสิ่งที่บัญชีที่ถูกยึดจะทำได้ ได้แก่ การจำกัดสิทธิ์ Graph ของผู้ใช้และของแอปพลิเคชันให้แคบที่สุดเท่าที่งานต้องใช้ การจำกัดการเข้าถึงแอปพลิเคชันให้เฉพาะอุปกรณ์ที่อยู่ในการบริหารจัดการ และการทบทวนว่าบัญชีใดถือสิทธิ์ระดับผู้ดูแลระบบทั่วทั้งองค์กรอยู่บ้าง เนื่องจากผู้โจมตีเจาะจงไปที่ผู้บริหารและ global admin โดยตรง การลดจำนวนบัญชีที่มีสิทธิ์สูงและการแยกบัญชีผู้ดูแลออกจากบัญชีใช้งานประจำวันจึงเป็นมาตรการที่ตรงจุด

ลำดับที่สามคือการเฝ้าระวังที่สอดคล้องกับวิธีการของผู้โจมตี Microsoft แนะนำให้เก็บบันทึกและไล่ล่าหาเหตุการณ์การดึงข้อมูลของแอปพลิเคชันที่น่าสงสัยและการเรียก Graph API เป็นชุด สิ่งที่ควรตั้งเป็นสัญญาณเตือนได้แก่ ตัวตนเดียวหรือแอปเดียวที่เรียกปลายทางอย่าง /users /groups หรือ /sites ในจำนวนมากผิดปกติ การลงทะเบียนวิธียืนยันตัวตนใหม่ในบัญชีที่มีสิทธิ์สูง การยืนยันตัวตนด้วย device code ที่ไม่สอดคล้องกับการใช้งานปกติ และการดาวน์โหลดไฟล์จาก SharePoint หรือ OneDrive เป็นชุดเล็ก ๆ อย่างต่อเนื่องยาวนาน ซึ่งเป็นรูปแบบที่ออกแบบมาเพื่อเลี่ยงเกณฑ์แจ้งเตือนแบบปริมาณ

สุดท้าย เนื่องจากจุดตั้งต้นอยู่บนโทรศัพท์ส่วนตัวที่องค์กรมองไม่เห็น การสร้างช่องทางแจ้งเหตุที่ใช้ง่ายและไม่มีการตำหนิจึงมีค่าเทียบเท่ามาตรการทางเทคนิค พนักงานควรได้รับการสื่อสารชัดเจนว่าฝ่ายไอทีจะไม่ติดต่อเรื่องการตั้งค่าพาสคีย์หรือ MFA ผ่านสายโทรศัพท์หรือข้อความมายังเครื่องส่วนตัว และควรรู้ว่าต้องรายงานที่ใดทันทีเมื่อได้รับการติดต่อลักษณะนี้ เพราะตามที่การสืบสวนของ Microsoft ระบุ คำบอกเล่าของพนักงานมักเป็นหลักฐานชิ้นแรกและบางครั้งเป็นชิ้นเดียวที่อธิบายได้ว่าการบุกรุกเริ่มต้นอย่างไร

แหล่งอ้างอิง