Identity-Security

Microsoft เผยแพร่บทความเมื่อ 19 ตุลาคม 2569 เตือนให้องค์กรมองเอเจนต์ AI เป็นคนในที่มีสิทธิ์เข้าถึงข้อมูลและลงมือได้ด้วยความเร็วเครื่อง เอเจนต์อาจผิดพลาด ทำตามคำสั่งแฝงในเอกสาร หรือถูกยึด จึงไม่ควรได้สิทธิ์ทั้งหมดของผู้สร้าง หลักการคือวางระบบควบคุมไว้นอกโมเดล บริษัทประกาศขยาย Entra Agent ID, Agent 365 และ Project Perception พร้อม Dynamic Permissions, Dynamic Conditional Access และ Guardian Agents แต่ยังไม่ระบุวันเปิดใช้งาน

ConnectWise ปิด application identity 7 ตัวและระงับบริการ Cloud Backup หลังผู้โจมตีที่ยังไม่ทราบตัวตนได้ข้อมูลรับรองของแอปและใช้เข้า Microsoft 365 tenant ของลูกค้า บริษัทพบเหตุเมื่อ 14 ต.ค. 2569 และยังไม่ทราบว่าข้อมูลรับรองหลุดอย่างไร Huntress พบเกือบ 1,000 tenant มีการล็อกอินจาก IP ของผู้โจมตี สำเร็จ 300 แห่ง และพบการใช้แอป Teams ในทางมิชอบจริง รอบที่สองเล็ง 16 tenant ในภาคนโยบาย ความมั่นคง การค้า และแร่ธาตุสำคัญแต่ไม่สำเร็จ การปิดแอปไม่ได้ย้อนการเปลี่ยนแปลงที่ผู้โจมตีทำไว้ใน tenant

Unit 42 เปิดเผยเคสธนาคารแห่งหนึ่งในยุโรปที่ถูกบุกรุกผ่านเกตเวย์ VPN ซึ่งผู้ให้บริการภายนอกดูแลและบังคับยืนยันตัวตนไม่เข้มพอ ผู้บุกรุกใช้บัญชีที่ถูกขโมยเข้ามา สแกนระบบหลายพันเครื่อง และเดารหัสผ่านบัญชีแอดมินอยู่หลายเดือน ผู้บุกรุกยังดึงเอกสารภายในจาก share และหน้าเว็บภายในไปด้วย สุดท้ายพยายามใช้ช่องโหว่ RCE ของ WSUS บนเซิร์ฟเวอร์จัดการคอนฟิกกลางแต่ถูกสกัดได้ บทเรียนคือบัญชีที่ใช้ได้จริงบนเกตเวย์ภายนอกเปิดทางเข้าเครือข่ายภายในได้โดยไม่ต้องใช้ช่องโหว่

บริษัท IonQ ลงนามซื้อกิจการบริษัท Elisity ผู้พัฒนาซอฟต์แวร์ Zero Trust แบบแบ่งส่วนเครือข่าย ด้วยหุ้นทั้งหมด มูลค่าสูงสุด 1.3 พันล้านดอลลาร์ คาดปิดดีลไตรมาส 4 ปี 2569 ทั้งสองบริษัทจะเพิ่มข้อมูลคลังการเข้ารหัสและความเสี่ยงลงใน IdentityGraph ของบริษัท Elisity เพื่อช่วยจัดลำดับการอัปเกรดสู่ Post-Quantum Cryptography ทั้งนี้ซีอีโอ IonQ ระบุว่า Q-Day มาเร็วกว่าที่คาด ดีลนี้สะท้อนว่าการเตรียมรับยุคควอนตัมกำลังถูกผูกเข้ากับงานควบคุมสิทธิ์เข้าถึงในปัจจุบัน

บทความใน The Hacker News อ้างรายงาน 2026 State of Agent Security Report ว่าในสภาพแวดล้อมที่ศึกษา มีผลิตภัณฑ์บุคคลที่สามราว 1,280 ตัวที่ฝัง AI แต่มีเพียง 282 ตัวที่อยู่หลัง SSO ที่เหลือราวพันตัวจึงมองไม่เห็นจากระบบ identity เอเจนต์ส่วนใหญ่มากับอัปเดตของแพลตฟอร์มที่ใช้อยู่ โดยไม่มีจังหวะให้ทีมความปลอดภัยตรวจก่อนใช้งาน ผู้เขียนเสนอคำถาม 4 ข้อที่ใช้กับเอเจนต์ใดก็ได้ คือ identity, สิทธิ์, การเชื่อมต่อ และกิจกรรม ตัวเลขทั้งหมดมาจากรายงานของผู้ขายเครื่องมือด้านนี้ ยังไม่มีการตรวจสอบอิสระ

รายงานเปิดเผยแคมเปญฟิชชิงจากชุดเครื่องมือชื่อ N0va ที่เล็งองค์กรในอเมริกาเหนือและยุโรป ทั้งภาครัฐ เทคโนโลยี และสาธารณสุข จุดเด่นคือปลอมเป็นบริการธุรกิจที่คุ้นเคยอย่าง Microsoft Teams, SharePoint, DocuSign และ Zoom แล้วพาเหยื่อผ่านขั้นตอนยืนยันตัวตนจริงแทนหน้าล็อกอินปลอม เมื่อล็อกอินสำเร็จ N0va จะดักโทเคนเข้าถึงและโทเคนรีเฟรช แล้วใช้กลไกแลกเปลี่ยนโทเคนและลงทะเบียนอุปกรณ์เพื่อสร้างการเข้าถึงแบบ SSO ทำให้เข้าถึงอีเมล ไฟล์ และแอปคลาวด์ขององค์กรได้โดยไม่ต้องใช้มัลแวร์ที่สังเกตง่าย

ไมโครซอฟท์เปิดเผยช่องโหว่รันโค้ดระยะไกลระดับวิกฤตใน Entra ID หมายเลข CVE-2026-69836 โดยประกาศฉบับแรกทำเครื่องหมายว่าถูกใช้โจมตีจริง ก่อนจะแก้สถานะเป็นไม่เคยถูกใช้โจมตีในวันถัดมา ต้นเหตุคือการแปลงข้อมูลที่ไม่น่าเชื่อถือกลับเป็นออบเจกต์โดยไม่ตรวจสอบก่อน จัดอยู่ในกลุ่ม CWE-502 ผู้โจมตีส่งข้อมูลที่สร้างขึ้นพิเศษไปยังปลายทางที่มีช่องโหว่แล้วรันโค้ดได้โดยไม่ต้องยืนยันตัวตน ช่องโหว่นี้อยู่ในหมวด CVE ของบริการคลาวด์ ไมโครซอฟท์แก้ที่ฝั่งตัวเองแล้ว ลูกค้าไม่มีแพตช์ให้ติดตั้ง

คณะรัฐมนตรีมีมติเมื่อวันที่ 11 สิงหาคม 2569 อนุมัติสามมาตรการเร่งด่วนหลังข้อมูลภาครัฐรั่วไหลจากรหัสผ่านที่หลุดสู่ดาร์กเว็บ ให้กว่า 300 กรมเปลี่ยนรหัสผ่านเจ้าหน้าที่ทั้งหมดทันที ให้ตรวจสอบระบบสารสนเทศราว 30,000 ระบบและปิดช่องทางหลังบ้านของระบบเก่าที่เลิกใช้แล้วภายใน 15 วัน และให้บังคับใช้การยืนยันตัวตนหลายปัจจัยหรือ ThaID กับระบบภาครัฐทุกระบบ มติดังกล่าวสืบเนื่องจากการประชุมคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติเมื่อวันที่ 10 สิงหาคม

บทวิเคราะห์ชี้ภัยรูปแบบใหม่ที่นำแนวคิดกลโกงตัวตนสังเคราะห์ (synthetic identity fraud) มาใช้กับตัวตนที่ไม่ใช่มนุษย์ (NHI) แทนการขโมยบัญชีที่มีอยู่ ผู้โจมตีสร้างบัญชีเครื่องปลอมที่ผสมคุณลักษณะจริงกับปลอมจนดูกลมกลืน แล้วปล่อยให้สะสมสิทธิ์เงียบๆ โดยไม่มีเจ้าของคอยเฝ้าดู เทคนิคที่ใช้มีทั้ง rogue service account, DCShadow และ shadow credentials ยิ่งยุค agentic AI ที่สร้างตัวตนอัตโนมัติ เส้นแบ่งระหว่างบัญชีจริงกับปลอมยิ่งเลือนราง

ทีม Varonis Threat Labs เปิดตัว Breach at the Beach เกม CTF (Capture The Flag) ฝึกทักษะรับมือการขโมยข้อมูลผ่าน Entra ID ในยุค AI ผู้เล่นสวมบทตามรอยผู้โจมตีผ่านตัวละครแมว Pixel เพื่อค้นหาว่าผู้บุกรุกต้องการข้อมูลอ่อนไหวใด เนื้อหาอ้างอิงจากเคสจริงในสภาพแวดล้อมลูกค้า เน้นสอนการตรวจจับการใช้ฟีเจอร์ที่ถูกต้องไปในทางไม่ดี การอ่านล็อกดิบ และความเสี่ยงจาก Non-Human Identity ที่กำลังเพิ่มขึ้นตามการนำ AI Agent มาใช้ เล่นฟรีออนไลน์และรับ CPE credit ได้