Third-Party-Risk

บริษัท Keystone ผู้ผลิตกระเป๋าคริปโตแบบฮาร์ดแวร์ เผยว่าผู้โจมตีเจาะเว็บไซต์แล้วได้กุญแจที่เครื่องใช้พิสูจน์ว่าเป็นของแท้ ไปพร้อมข้อมูลผู้ซื้อ 25,964 รายการ ผู้ที่มีกุญแจนี้ผลิตเครื่องปลอมที่ผ่านการตรวจของแท้ออนไลน์ได้ แต่กุญแจไม่เกี่ยวกับ recovery phrase หรือ private key ของผู้ใช้ Keystone จะทำลายเครื่องที่ยังไม่ขาย 18,835 เครื่อง เพราะกุญแจถูกเขียนลงหน่วยความจำแบบเขียนได้ครั้งเดียว ผู้ที่ได้รับเครื่องหลัง 20 ตุลาคม 2569 ควรติดต่อ Keystone ให้ยืนยันก่อนใช้

นาย Daniel B. Garrie จาก Law and Forensics เสนอ 3 กรอบช่วย CISO รับมือคำถามว่าใครต้องรับผิดเมื่อระบบ AI ถูกเจาะ บนเวที ISC2 Security Congress 2026 กรอบแรกให้คะแนนความเสี่ยงก่อน deploy เครื่องมือ AI จาก 5 มิติ กรอบที่สองบันทึกการตัดสินใจของบอร์ดอย่างละเอียด และกรอบที่สามเป็นเช็กลิสต์เก็บสถานะของระบบ AI ตอนเกิดเหตุ เขาย้ำว่าสิทธิ์เข้าถึงล็อกและ snapshot ของโมเดลต้องเขียนไว้ในสัญญากับผู้ให้บริการ AI ตั้งแต่แรก CISO ควรทดลองใช้กรอบนี้กับระบบ AI หนึ่งตัวภายใน 30 วัน

นาย Greg Pollock จาก UpGuard พบว่าคำขอถอดเนื้อหาตามกฎหมาย DMCA ที่ครีเอเตอร์ OnlyFans ส่งถึง Google ช่วยเผยเว็บไซต์ที่ถูกเจาะฝัง SEO spam ได้ เว็บมหาวิทยาลัยและรัฐบาลถูกเล็งมากเพราะ Google ให้ความน่าเชื่อถือสูงและมักมีระบบเก่าค้างจำนวนมาก ปริมาณคำขอเพิ่มจากศูนย์เป็นหลักล้านในปี 2567-2568 และจำนวนโดเมนที่ถูกเจาะก็เพิ่มขึ้นมาก ข้อมูลนี้ไม่ใช่เครื่องมือตรวจจับแบบเรียลไทม์ แต่เป็นคลังย้อนหลังถึงปี 2554 สำหรับตรวจผู้ให้บริการภายนอก ผู้ดูแลเว็บควรเฝ้าผลการค้นหาของโดเมนตัวเองเป็นประจำ

กระทรวงศึกษาธิการแคลิฟอร์เนียแจ้งว่าข้อมูลนักเรียนรัฐบาลทั้งปัจจุบันและอดีตถูกคัดลอกจากเว็บ SFTP ของ ETS ผู้รับจ้างจัดสอบของรัฐ ผู้บุกรุกใช้บัญชีที่รหัสผ่านหลุดเข้าออกเป็นระยะตั้งแต่ 22 พฤษภาคมถึง 18 กันยายน 2569 ข้อมูลครอบคลุมนักเรียนทุกคนใน 3 ปีการศึกษาล่าสุด ซึ่งปีล่าสุดมีกว่า 5.7 ล้านคน บางรายการมีสถานะความพิการ ผลสอบ และสถานะเด็กไร้บ้าน แต่ไม่มีเลขประกันสังคมหรือข้อมูลการเงิน ETS ปิดบัญชีและถอดเว็บ SFTP ออฟไลน์แล้ว

ConnectWise ปิด application identity 7 ตัวและระงับบริการ Cloud Backup หลังผู้โจมตีที่ยังไม่ทราบตัวตนได้ข้อมูลรับรองของแอปและใช้เข้า Microsoft 365 tenant ของลูกค้า บริษัทพบเหตุเมื่อ 14 ต.ค. 2569 และยังไม่ทราบว่าข้อมูลรับรองหลุดอย่างไร Huntress พบเกือบ 1,000 tenant มีการล็อกอินจาก IP ของผู้โจมตี สำเร็จ 300 แห่ง และพบการใช้แอป Teams ในทางมิชอบจริง รอบที่สองเล็ง 16 tenant ในภาคนโยบาย ความมั่นคง การค้า และแร่ธาตุสำคัญแต่ไม่สำเร็จ การปิดแอปไม่ได้ย้อนการเปลี่ยนแปลงที่ผู้โจมตีทำไว้ใน tenant

ศาลล้มละลายของรัฐบาลกลางสหรัฐฯ ทั่วประเทศส่งหมายแจ้งผ่าน Bankruptcy Noticing Center ไม่ได้มานานกว่าหนึ่งสัปดาห์ หลังเกิดเหตุความปลอดภัยกับโครงสร้างพื้นฐานที่ BAE Systems ดำเนินการแทนฝ่ายตุลาการ BAE แจ้งปัญหาครั้งแรกช่วงดึกวันที่ 9 ต.ค. 2569 ระบบและเว็บไซต์ที่เกี่ยวข้องทั้งหมดใช้งานไม่ได้ รวมถึงบริการลงทะเบียนเจ้าหนี้แห่งชาติ ทั้งศาลและ BAE ยังไม่ระบุว่าเป็นการโจมตีหรือมีข้อมูลรั่วหรือไม่ และยังไม่มีกำหนดกู้คืนบริการ

Unit 42 เปิดเผยเคสธนาคารแห่งหนึ่งในยุโรปที่ถูกบุกรุกผ่านเกตเวย์ VPN ซึ่งผู้ให้บริการภายนอกดูแลและบังคับยืนยันตัวตนไม่เข้มพอ ผู้บุกรุกใช้บัญชีที่ถูกขโมยเข้ามา สแกนระบบหลายพันเครื่อง และเดารหัสผ่านบัญชีแอดมินอยู่หลายเดือน ผู้บุกรุกยังดึงเอกสารภายในจาก share และหน้าเว็บภายในไปด้วย สุดท้ายพยายามใช้ช่องโหว่ RCE ของ WSUS บนเซิร์ฟเวอร์จัดการคอนฟิกกลางแต่ถูกสกัดได้ บทเรียนคือบัญชีที่ใช้ได้จริงบนเกตเวย์ภายนอกเปิดทางเข้าเครือข่ายภายในได้โดยไม่ต้องใช้ช่องโหว่

บทความใน The Hacker News อ้างรายงาน 2026 State of Agent Security Report ว่าในสภาพแวดล้อมที่ศึกษา มีผลิตภัณฑ์บุคคลที่สามราว 1,280 ตัวที่ฝัง AI แต่มีเพียง 282 ตัวที่อยู่หลัง SSO ที่เหลือราวพันตัวจึงมองไม่เห็นจากระบบ identity เอเจนต์ส่วนใหญ่มากับอัปเดตของแพลตฟอร์มที่ใช้อยู่ โดยไม่มีจังหวะให้ทีมความปลอดภัยตรวจก่อนใช้งาน ผู้เขียนเสนอคำถาม 4 ข้อที่ใช้กับเอเจนต์ใดก็ได้ คือ identity, สิทธิ์, การเชื่อมต่อ และกิจกรรม ตัวเลขทั้งหมดมาจากรายงานของผู้ขายเครื่องมือด้านนี้ ยังไม่มีการตรวจสอบอิสระ

กระทรวงยุติธรรมสหรัฐฯ ตั้งข้อหาฉ้อโกงทางสายโทรคมนาคม 2 กระทงและสมคบคิดอีก 1 กระทงกับนาย Zohar Pinhasi เจ้าของบริษัทกู้ข้อมูลแรนซัมแวร์ MonsterCloud ในฟลอริดา เขาถูกกล่าวหาว่าบอกเหยื่อว่ามีเครื่องมือถอดรหัสเฉพาะและเตือนไม่ให้จ่ายค่าไถ่ แต่แอบติดต่อจ่ายค่าไถ่ให้ผู้โจมตีเพื่อซื้อตัวถอดรหัสเอง แล้วเรียกเก็บค่าบริการสูงกว่าค่าไถ่หลายเท่า รวมแล้วเก็บเงินลูกค้ากว่า 19 ล้านดอลลาร์ ขณะจ่ายค่าไถ่ไปกว่า 8 ล้านดอลลาร์ หากถูกตัดสินว่าผิดอาจได้รับโทษจำคุกสูงสุด 20 ปีต่อกระทง

Bloomberg รายงานโดยอ้างรายงานของอัยการสูงสุดเท็กซัสว่าเหตุเจาะระบบ Cerner รุ่นเก่าของ Oracle Health เมื่อต้นปี 2568 กระทบข้อมูลส่วนบุคคลและข้อมูลทางการแพทย์ของคนเกือบ 20 ล้านคน สูงกว่าตัวเลขที่เคยแจ้งหลายเท่า ผู้โจมตีใช้ credential ของลูกค้าที่ถูกขโมยเข้าเซิร์ฟเวอร์เก่าที่ยังไม่ย้ายขึ้น Oracle Cloud และคัดลอกข้อมูลออกไป ข้อมูลที่รั่วรวมถึงชื่อ หมายเลข SSN การวินิจฉัย ยา ผลตรวจ และภาพถ่ายทางการแพทย์ Oracle ยังไม่ยืนยันตัวเลขต่อสาธารณะ หากยืนยันจะเป็นหนึ่งในเหตุรั่วด้านสุขภาพใหญ่สุดของสหรัฐฯ