สรุปสั้น
นักวิจัยด้านความปลอดภัยเปิดเผยรายละเอียดของแคมเปญ TeamFiltration ที่กำลังดำเนินอยู่ในชื่อรหัส UNK_CondorFiltration ซึ่งเล็งเป้าบัญชีมากกว่า 5,700 บัญชีใน 28 tenant ของ Microsoft 365 ตามข้อมูลของบริษัท Proofpoint กิจกรรมนี้มุ่งเป้าไปที่สถาบันค้าปลีกและการเงินในชิลีเป็นหลัก โดยมีต้นทางจาก IP บน AWS EC2 ที่ไม่ซ้ำกันถึง 1,487 จุด แคมเปญนี้ยึดบัญชีได้ 7 บัญชี ซึ่งทั้งหมดเป็นบัญชีเชิงหน้าที่หรือบัญชีบริการที่ไม่มีผู้ดูแล ไม่ใช่บัญชีของพนักงานรายบุคคล สะท้อนช่องว่างความเสี่ยงสำคัญรอบตัวตนที่ไม่ใช่มนุษย์ซึ่งถูกลืม ใช้รหัสผ่านตั้งต้นหรือไม่เคยเปลี่ยน และไม่มีการยืนยันตัวตนหลายปัจจัย (MFA)
การโจมตีแบบ brute-force บน Microsoft 365 นี้เกิดขึ้นสามระลอกตั้งแต่ปลายกรกฎาคมถึงสิงหาคม 2569 โดยผู้ค้าปลีกในชิลีรายหนึ่งที่ไม่เปิดเผยชื่อรับภาระมากถึง 78.3% ของเหตุการณ์การยืนยันตัวตนทั้งหมดที่สังเกตพบ หลักฐานบ่งชี้ว่าผู้โจมตีน่าจะพ่นรหัสผ่านตั้งต้น รวมถึงข้อมูลรับรองที่ทีมไอทีตั้งไว้แล้วไม่เคยหมุนเปลี่ยน โดยเน้นบัญชีบริการที่ไม่ได้ใช้งานเป็นหลัก เพราะบัญชีผู้ใช้จริงถูกบังคับให้เปลี่ยนรหัสผ่านเป็นระยะ
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 กันยายน 2569 ว่า บริษัท Proofpoint เปิดเผยแคมเปญ TeamFiltration ในชื่อ UNK_CondorFiltration ที่เล็งเป้ากว่า 5,700 บัญชีใน 28 tenant ของ Microsoft 365
การโจมตีเกิดขึ้นสามระลอก ระลอกแรกวันที่ 21-24 กรกฎาคม เล็งเป้าราว 100-120 บัญชีต่อวัน มุ่งไปที่ธนาคารใหญ่สองแห่งในชิลี ระลอกที่สองวันที่ 26-28 กรกฎาคม พุ่งสูงสุดราว 1,520 บัญชีในวันที่ 27 กรกฎาคมก่อนลดลงอย่างรวดเร็ว มุ่งไปที่สถาบันการเงินใหญ่อีกแห่ง และระลอกที่สามวันที่ 13-16 สิงหาคม พุ่งสูงสุดราว 1,560 บัญชีในวันที่ 15 สิงหาคม มุ่งไปที่ผู้ค้าปลีกรายใหญ่ จนนำไปสู่การยึดบัญชี 7 บัญชี ทุกการยึดเชื่อมโยงกับบัญชีบริการที่ไม่มีการเฝ้าระวังและใช้รหัสผ่านตั้งต้น
บัญชีบริการเหล่านี้ตามข้อมูลของ Proofpoint ถูกตั้งขึ้นเพื่อรันงานดำเนินธุรกิจแล้วปล่อยทิ้งไว้โดยไม่มีการเฝ้าระวัง ขณะที่ยังคงข้อมูลรับรองเดิมไว้ หกในเจ็ดบัญชีที่ถูกยึดถูกเจาะภายใน 7 นาที ซึ่งน่าจะบ่งชี้ว่าเป็นชุดรหัสผ่านที่ใช้ร่วมกันหรือเป็นรหัสตั้งต้น ไม่ใช่การเดารหัสแบบเจาะจงรายบัญชี
วิธีการโจมตี
แคมเปญนี้มีลักษณะเด่นที่การใช้ TeamFiltration ซึ่งเป็นเฟรมเวิร์กเชิงรุกข้ามแพลตฟอร์มที่ถูกออกแบบมาเพื่อ “แจงนับ พ่นรหัส ดูดข้อมูล และฝัง backdoor” บัญชี Entra ID โดยเปิดให้ผู้ปฏิบัติการตรวจสอบบัญชีอีเมล ทดสอบรหัสผ่านทั่วไปหรือแบบเจาะจงกับบัญชีที่แจงนับได้ ดูดข้อมูลอ่อนไหว และเข้าถึง OneDrive แบบโต้ตอบอย่างแอบแฝง ในบัญชีที่ถูกยึดส่วนใหญ่ ผู้โจมตีใช้จุดยึดหัวสะพานเพื่อเข้าถึง Microsoft Office, OneDrive และ Teams ซึ่งอาจบ่งชี้ถึงการเก็บเกี่ยวและลอบส่งข้อมูลออก แม้เหตุการณ์การล็อกอินเพียงอย่างเดียวจะยังไม่ถือเป็นหลักฐานการลอบส่งข้อมูล
ภายในไม่ถึง 2 นาทีหลังยึดสำเร็จ ผู้ปฏิบัติการถูกพบว่าย้ายไปใช้โหนด VPN ในเยอรมนีเพื่อตรวจสอบ VPN ขององค์กร เข้าถึง Azure Portal เปิดดู SharePoint Online และเริ่มขอโทเคน Microsoft Graph API นี่ไม่ใช่ครั้งแรกที่ TeamFiltration ถูกใช้ในการโจมตี เพราะในเดือนมิถุนายน 2568 Proofpoint เคยเปิดเผยกลุ่มภัยคุกคามชื่อ UNK_SneakyStrike ที่เล็งเป้ากว่า 80,000 บัญชีในองค์กรหลายร้อยแห่งด้วยเฟรมเวิร์กทดสอบเจาะระบบโอเพนซอร์สตัวเดียวกันนี้
ผลกระทบ
แคมเปญนี้ตอกย้ำว่าจุดอ่อนที่สุดจุดหนึ่งของแนวป้องกันตัวตนในองค์กร มักไม่ใช่พนักงานที่ถูกฟิชชิงหรือช่องโหว่ zero-day แต่เป็นบัญชีที่ถูกลืม บัญชีบริการที่ตั้งขึ้นเพื่อความสะดวกแล้วไม่เคยกลับมาทบทวน กลายเป็นพื้นผิวโจมตีที่ไม่มีการป้องกันเชิงโครงสร้าง เพราะไม่มี MFA ไม่มีการหมุนรหัสผ่าน และไม่มีการเฝ้าระวัง การที่ผู้โจมตียึด 6 ใน 7 บัญชีได้ภายใน 7 นาทีแสดงให้เห็นว่าเมื่อรหัสตั้งต้นยังใช้งานได้ การป้องกันแทบไม่มีความหมาย และเมื่อเข้าถึงได้แล้วก็ต่อยอดไปยัง SharePoint, Azure Portal และ Graph API ได้อย่างรวดเร็ว
คำแนะนำ
องค์กรควรค้นหาและจัดทำบัญชีของ “ตัวตนที่ไม่ใช่มนุษย์” ทั้งหมด โดยเฉพาะบัญชีบริการและบัญชีเชิงหน้าที่ที่อาจถูกลืม แล้วบังคับหมุนรหัสผ่านที่ตั้งต้นหรือไม่เคยเปลี่ยน พร้อมเปิดใช้ MFA หรือกลไกยืนยันตัวตนที่เข้มแข็งเท่าที่บัญชีประเภทนั้นรองรับ ควรจำกัดสิทธิ์ของบัญชีบริการให้เหลือเท่าที่จำเป็น และตั้งการเฝ้าระวังการล็อกอินที่ผิดปกติ เช่น การล็อกอินสำเร็จจากหลาย IP บน AWS EC2 หรือการเข้าถึง OneDrive/SharePoint/Graph API ทันทีหลังล็อกอิน รวมถึงตรวจสอบเหตุการณ์การพ่นรหัสจำนวนมากในช่วงเวลาสั้น ๆ เพื่อจับสัญญาณแคมเปญลักษณะนี้ตั้งแต่เนิ่น ๆ