ConnectWise ระงับ Cloud Backup หลังผู้โจมตีขโมยข้อมูลรับรองแอปเข้า Microsoft 365 ของลูกค้า — Huntress พบล็อกอินสำเร็จ 300 จากเกือบ 1,000 tenant และรอบที่สองเล็ง 16 องค์กรด้านนโยบาย-ความมั่นคง

สรุปสั้น

บริษัท ConnectWise ผู้ให้บริการซอฟต์แวร์บริหารจัดการไอทีสำหรับผู้ให้บริการไอทีแบบ managed (MSP) ปิดการใช้งาน application identity ของตัวเอง 7 ตัว และระงับบริการ Cloud Backup ทั้งหมด หลังผู้โจมตีที่ยังไม่ทราบตัวตนได้ข้อมูลรับรองของแอปเหล่านี้และใช้เข้าถึง Microsoft 365 tenant ของลูกค้า ConnectWise พบเหตุตั้งแต่วันที่ 14 ตุลาคม 2569 และปิดแอปเมื่อวันที่ 17 ตุลาคม เวลา 07:00 UTC ด้วยการเพิกถอนใบรับรองที่ใช้เชื่อมต่อ แต่ยังไม่ทราบว่าข้อมูลรับรองหลุดออกไปได้อย่างไร และยังไม่ยืนยันว่ามีช่องโหว่ในผลิตภัณฑ์เกี่ยวข้องหรือไม่

การโจมตีแบบนี้อันตรายเพราะผู้โจมตีไม่ต้องขโมยรหัสผ่านของลูกค้าทีละราย เพียงยืนยันตัวตนเป็นแอปที่ได้รับสิทธิ์สูงอยู่แล้ว ก็ขอ access token จาก Microsoft Entra ID เพื่อเข้าถึงอีเมล SharePoint Teams และข้อมูลไดเรกทอรีของลูกค้าทุกรายที่ติดตั้งแอปไว้ บริษัท Huntress พบว่าเกือบ 1,000 tenant มีการล็อกอินจาก IP ที่เกี่ยวข้องกับผู้โจมตี ในจำนวนนี้สำเร็จ 300 แห่ง ยืนยันการใช้แอป Teams ในทางมิชอบใน tenant หนึ่ง และพบการพยายามรอบที่สองที่เล็งเฉพาะ 16 tenant ในภาคนโยบาย ความมั่นคงแห่งชาติ การค้า และแร่ธาตุสำคัญ ซึ่งไม่สำเร็จ ConnectWise เตือนว่าการปิดแอปไม่ได้ย้อนการเปลี่ยนแปลงที่ผู้โจมตีทำไว้ใน tenant แล้ว

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 18 ตุลาคม 2569 ว่า ConnectWise ปิด application identity 7 ตัว ได้แก่ ConnectWise Cloud Backup และ ConnectWise Cloud Management สำหรับ MS Teams, Exchange Online, MS Graph, Partner Center และ SharePoint Online พร้อมเพิกถอนใบรับรองที่ใช้เชื่อมต่อของผู้ใช้ทุกราย ทำให้ข้อมูลรับรอง Cloud Backup ที่ใช้ร่วมกันใช้งานไม่ได้อีก บริษัทระบุว่า “การปิดการเชื่อมต่อป้องกันการยืนยันตัวตนใหม่ แต่ไม่ได้ย้อนการเปลี่ยนแปลงที่เคยทำไว้ภายใน tenant” และ access token ที่ออกไปแล้วอาจยังใช้ได้จนกว่าจะหมดอายุหรือถูกเพิกถอน

ระหว่างนี้งานแบ็กอัปตามกำหนดหยุดทำงาน และไม่สามารถเข้าถึงหรือกู้คืนข้อมูลจากคลังแบ็กอัปได้ แต่ ConnectWise ยืนยันว่าคลังแบ็กอัปที่มีอยู่ยังถูกเข้ารหัส แยกเก็บ และคงสภาพไว้ และไม่พบหลักฐานว่าผู้โจมตีเข้าถึง บริษัทยังปิดบริการ SaaS Security และ Cloud Management ชั่วคราวระหว่างตรวจสอบ และระบุว่าหลังมาตรการแก้ไขไม่พบกิจกรรมคุกคามที่สำเร็จในสภาพแวดล้อมที่บริษัทเฝ้าดูได้ แต่สถานะของ tenant ลูกค้าปลายทางนั้น “บริษัทมองไม่เห็นโดยตรงตามการออกแบบ”

นาย Jon Semon นักวิเคราะห์ปฏิบัติการความปลอดภัยของ Huntress เผยว่าการล็อกอินอันตรายจาก IP เดิมเกิดครั้งสุดท้ายเมื่อ 15 ตุลาคม เวลา 08:45 UTC โดยมีกิจกรรมแบบเจาะจงด้วยมือต่อเนื่องถึงราว 14:20 UTC วันเดียวกัน Huntress มั่นใจสูงว่าผู้โจมตีเล็งแอป Cloud Management สำหรับ Exchange Online, Teams และ SharePoint ด้วย และยืนยันการใช้แอป Teams ในทางมิชอบใน tenant หนึ่ง ทั้งยังระบุว่าแอปเหล่านี้ดูเหมือนยังไม่ถูกปิดในช่วงแรก จึงอาจมีกิจกรรมเพิ่มเติม ข้อมูลที่ ConnectWise ประกาศภายหลังระบุว่าแอปกลุ่ม Cloud Management ถูกปิดแล้ว

วิธีการโจมตี

แอปของ ConnectWise ทำงานด้วยสิทธิ์กว้างใน tenant ของลูกค้าเพื่อทำแบ็กอัปและงานบริหารจัดการ เมื่อผู้โจมตีได้ข้อมูลรับรองของแอป ก็ยืนยันตัวตนเป็นแอปนั้นได้โดยตรงและขอ access token จาก Microsoft Entra ID ตามสิทธิ์ที่แอปมีอยู่ จากนั้นสามารถขยายการเข้าถึงด้วยการเพิ่มแอปเข้าบทบาท Global Administrator เพิ่ม client secret ให้แอปอื่นที่ tenant ไว้วางใจ หรือสร้างแอปใหม่แล้วให้สิทธิ์ โดย client secret ที่ฝังไว้จะกลายเป็นช่องทางคงอยู่ ที่ใช้กลับเข้ามาได้อีกแม้ข้อมูลรับรองเดิมจะถูกเพิกถอนแล้ว

Huntress พบ “การพยายามรอบที่สองแบบเจาะจง” จาก IP 144.172.64[.]128 เมื่อวันที่ 15 ตุลาคม ซึ่งเล็งเพียง 16 tenant ในภาคนโยบาย ความมั่นคงแห่งชาติ การค้า และแร่ธาตุสำคัญ การกวาดรอบแรกระหว่าง 09:25–12:35 UTC ขอ token ของ Microsoft Graph ผ่านแอป SkyKick (บริการแบ็กอัปที่ ConnectWise ซื้อกิจการมา) ส่วนรอบที่สองระหว่าง 13:54–14:20 UTC ดูเหมือนทำด้วยมือและเล็ง Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra และ Office 365 Management API การพยายามรอบนี้ไม่สำเร็จ

โดยรวม Huntress พบเกือบ 1,000 Entra tenant ที่มีการล็อกอินจาก IP ดังกล่าว สำเร็จ 300 แห่ง แต่ใน tenant บางแห่งที่ไม่มี service principal ของแอป ผู้โจมตีก็เข้าถึงข้อมูลไม่ได้แม้ล็อกอินสำเร็จ Huntress ยังไม่พบกิจกรรมอันตรายใหม่หลัง 15 ตุลาคม แต่ไม่มีหลักฐานว่าการหยุดเกิดจากการเปิดเผยต่อสาธารณะ

ความคืบหน้าการแก้ไขและผลตรวจเพิ่มเติม (17–20 ต.ค.)

เว็บไซต์ The Hacker News รายงานต่อเมื่อวันที่ 20 ตุลาคม 2569 ว่าตั้งแต่ ConnectWise เริ่มทยอยใช้มาตรการแก้ไขเมื่อ 17 ตุลาคม เวลา 05:00 UTC หรือสามวันหลังพบเหตุ บริษัทได้ปิดการเชื่อมต่อของแอปที่ได้รับผลกระทบและระงับ Cloud Backup ระงับ SaaS Security และ Cloud Management ไว้ก่อนเพราะเชื่อมกับ Cloud Backup ดึงผู้เชี่ยวชาญภายนอกเข้ามาช่วยรับมือเหตุ เพิ่มการป้องกันการเข้าถึงระดับผู้ดูแลระบบ และเผยแพร่แนวทางเชิงเทคนิคให้พาร์ตเนอร์ตรวจสภาพแวดล้อมของตัวเองกับลูกค้าที่ดูแล ล่าสุดวันที่ 20 ตุลาคม ConnectWise ระบุว่ารีเซ็ตบัญชีและข้อมูลรับรองในสภาพแวดล้อม Cloud Backup ที่ได้รับผลกระทบเสร็จแล้ว และกำลังเตรียมเปิดบริการกลับแบบเป็นระยะ บริษัทยืนยันว่าไม่พบหลักฐานว่าผลิตภัณฑ์อื่นนอกจาก Cloud Backup ได้รับผลกระทบ แต่ย้ำว่าข้อสังเกตนี้ “ไม่ได้บอกว่า Microsoft 365 tenant ของพาร์ตเนอร์หรือลูกค้าแต่ละรายได้รับผลกระทบหรือไม่” ทุก tenant ที่อาจได้รับผลกระทบยังต้องตรวจเอง และแม้ทำตามขั้นตอนครบก็ไม่ได้รับประกันว่า tenant ปลอดภัยหรือกำจัดการเข้าถึงที่ไม่ได้รับอนุญาตหมดแล้ว

ด้าน Huntress ตรวจ sign-in log ของแอปใน tenant กว่า 10,000 แห่งที่ติดตั้งแอปของ ConnectWise (เฉพาะที่มองเห็นล็อกได้) พบว่ามีเพียง 144.172.64[.]128 กับช่วง IP ภายในของ Microsoft เท่านั้นที่ทำให้เกิดการล็อกอินในนามแอป ส่วน IP อีก 3 รายการในช่วงเดียวกันของผู้ให้บริการ RouterHosting (AS14956) พบเพียงการ password spray และล็อกอินผู้ใช้ที่ล้มเหลว ซึ่ง Huntress ประเมินว่าไม่น่าเกี่ยวกับการล็อกอินผ่านแอป Huntress ยังพบการกระทำหลังเจาะระบบใน tenant ที่สองด้วยรูปแบบเดิม คือแอปมอบบทบาท Global Administrator ให้ตัวเอง แล้วเพิ่ม secret ใหม่ให้แอปอื่นจำนวนหนึ่งใน tenant เพื่อคงการเข้าถึง โดยการเลือกแอปที่จะฝัง secret ดูเป็นการสุ่ม สองเหยื่อได้ชุดแอปต่างกันโดยสิ้นเชิง เกณฑ์เดียวที่เห็นคือเป็นแอปที่ลงทะเบียนอยู่ใน tenant นั้นโดยไม่สนว่าแอปทำอะไรได้ การเข้าถึงนี้อาจถูกใช้อ่านไดเรกทอรีผ่าน Microsoft Graph แต่ยังไม่พบการแก้อีเมล ไฟล์ ผู้ใช้ หรือนโยบาย

ผลกระทบ

เหตุการณ์นี้เป็นตัวอย่างชัดเจนของการโจมตีห่วงโซ่อุปทานผ่านผู้ให้บริการที่ได้รับสิทธิ์สูง ข้อมูลรับรองของผู้ขายรายเดียวเปิดทางเข้าสู่ Microsoft 365 ของลูกค้าจำนวนมากพร้อมกัน โดยไม่ต้องผ่าน MFA หรือฟิชชิงผู้ใช้รายใด การที่รอบที่สองเล็งเฉพาะองค์กรด้านนโยบาย ความมั่นคง การค้า และแร่ธาตุสำคัญ บ่งชี้ว่าผู้โจมตีอาจมีเป้าหมายเชิงจารกรรม แม้ยังไม่มีการระบุตัวผู้อยู่เบื้องหลัง

ความเสี่ยงที่ยังค้างคือ client secret หรือแอปที่ผู้โจมตีอาจฝังไว้ใน tenant ระหว่างช่วงที่เข้าถึงได้ ซึ่งการปิดแอปฝั่ง ConnectWise ไม่ได้ลบออก ลูกค้าที่ไม่ตรวจ tenant ของตัวเองอาจยังมีผู้โจมตีแฝงอยู่ ส่วนลูกค้า Cloud Backup ต้องอยู่โดยไม่มีแบ็กอัปและการกู้คืนชั่วคราว ซึ่งเพิ่มความเสี่ยงหากเกิดเหตุแรนซัมแวร์หรือข้อมูลสูญหายในช่วงนี้ องค์กรที่ใช้ MSP ที่พึ่ง ConnectWise หรือเคยใช้ SkyKick ควรสอบถามผู้ให้บริการโดยตรง

คำแนะนำ

• ตรวจสอบ Microsoft 365 tenant ของตัวเองและของลูกค้าที่ดูแลทุกราย รวมถึง tenant ที่ยังมีการเชื่อมต่อ SkyKick ค้างอยู่แม้ไม่ได้ใช้งาน และคงสถานะปิดของแอปที่ ConnectWise ระบุไว้จนกว่าจะมีประกาศใหม่
• ตรวจ sign-in log ของทุก identity ตั้งแต่วันที่ 13 ตุลาคม 2569 เป็นต้นมา โดยเฉพาะกิจกรรมจาก IP 144.172.64[.]128 และเก็บสำรอง sign-in log กับ audit log ก่อนเริ่มควบคุมเหตุ
• ตรวจ client secret และใบรับรองของ app registration, service principal, federation trust, บทบาทในไดเรกทอรี เจ้าของแอป consent grant และการเปลี่ยนนโยบายล่าสุด เพื่อหาข้อมูลรับรองหรือแอปที่ถูกเพิ่มโดยไม่ได้รับอนุญาต
• ตรวจการส่งต่ออีเมล inbox rule, transport rule และสิทธิ์มอบหมายกล่องจดหมายที่ผิดปกติ
• ใช้ application management policy จำกัดหรือห้าม client secret และจำกัดอายุข้อมูลรับรองของแอป และจำกัดผู้ถือบทบาท Application Administrator และ Cloud Application Administrator
• หากมีไลเซนส์ ให้ใช้ Conditional Access สำหรับ workload identity จำกัดตำแหน่งที่แอปล็อกอินได้ และเปิด Entra ID Protection ตรวจจับ service principal ที่มีความเสี่ยง
• ก่อนแก้ไขอะไรใน tenant ให้เก็บหลักฐาน ตรวจยืนยันสิ่งที่พบ และประเมินผลกระทบต่อการใช้งานก่อน และห้ามเชื่อมต่อแอปที่ได้รับผลกระทบกลับเข้าไปใหม่จนกว่า ConnectWise จะออกขั้นตอนเปิดบริการคืนอย่างเป็นทางการ
• ตรวจแอปทุกตัวที่ลงทะเบียนใน tenant ว่ามี secret หรือใบรับรองที่เพิ่มเข้ามาใหม่หรือไม่ ไม่ใช่เฉพาะแอปที่มีสิทธิ์สูง เพราะผู้โจมตีเลือกแอปที่จะฝัง secret แบบสุ่ม
• ระหว่างที่ Cloud Backup หยุดทำงาน พิจารณาจัดทำแบ็กอัปสำรองของข้อมูลสำคัญชั่วคราวด้วยวิธีอื่น

Indicators of Compromise (IoCs)

indicator defang แล้ว ([.]) ก่อนใช้ต้องแปลงกลับ

IP ทั้งหมดอยู่ใน AS14956 (RouterHosting) · Huntress ระบุว่าเฉพาะ 144.172.64[.]128 ที่ล็อกอินในนามแอป อีก 3 รายการน่าจะไม่เกี่ยวกับการล็อกอินผ่านแอป

Application identity ที่ ConnectWise ปิดใช้งาน (App ID)

แหล่งอ้างอิง

• ConnectWise Trust Advisories — ConnectWise
• Vendor credential enables unauthorized access — Huntress
• ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants — The Hacker News
• ConnectWise Resets Credentials as Cloud Backup Remains Offline After Security Incident — The Hacker News