Microsoft เผยกลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับจีนใช้เครื่องมือ AI โจมตี ConnectWise

เปิดเผยว่ากลุ่มแฮ็กเกอร์ที่บริษัทติดตามในชื่อ Storm-0940 ใช้เครื่องมือทดสอบการเจาะระบบที่มีความสามารถด้าน AI ในปฏิบัติการโจมตี ConnectWise Cloud Backup ซึ่งเกี่ยวข้องกับองค์กรหลายร้อยแห่งทั่วโลก เหตุการณ์นี้ทำให้ความเสี่ยงจากการโจมตีผ่านผู้ให้บริการเทคโนโลยีและบัญชีที่มีสิทธิ์สูงกลับมาเป็นประเด็นสำคัญสำหรับองค์กรที่ใช้บริการคลาวด์

Microsoft เปิดเผยปฏิบัติการโจมตี ConnectWise ที่ใช้เครื่องมือ AI

Microsoft เปิดเผยเมื่อวันที่ 21 ตุลาคม 2569 ว่ากลุ่มแฮ็กเกอร์ที่บริษัทติดตามในชื่อ Storm-0940 ใช้เครื่องมือทดสอบการเจาะระบบที่มีความสามารถด้าน AI ในปฏิบัติการโจมตี ConnectWise Cloud Backup โดยมีเป้าหมายเป็นองค์กรในหลายอุตสาหกรรมทั่วโลก

Reuters รายงานว่ากลุ่มดังกล่าวถูกเชื่อมโยงกับจีนโดย Microsoft ขณะที่เครื่องมือที่ใช้มีชื่อว่า ARTEX ซึ่งสามารถช่วยทำงานด้านการทดสอบความปลอดภัยบางประเภทโดยอัตโนมัติได้ ทั้งนี้ การระบุแหล่งที่มาของปฏิบัติการเป็นข้อประเมินจากบริษัทด้านความปลอดภัย ไม่ใช่ข้อสรุปที่ทุกฝ่ายยอมรับโดยไม่มีข้อโต้แย้ง

เหตุใด ConnectWise Cloud Backup จึงเป็นเป้าหมายสำคัญ

---

ConnectWise ให้บริการเครื่องมือและระบบที่องค์กรกับผู้ให้บริการจัดการไอทีใช้ดูแลโครงสร้างพื้นฐานของลูกค้า เมื่อบริการลักษณะนี้ถูกโจมตี ผลกระทบอาจไม่ได้จำกัดอยู่ที่บริษัทผู้ให้บริการเท่านั้น แต่ยังอาจขยายไปยังองค์กรลูกค้าที่เชื่อมต่อกับระบบเดียวกันด้วย

กรณี ConnectWise Cloud Backup มีรายงานเกี่ยวกับการเข้าถึงระบบโดยไม่ได้รับอนุญาตและการใช้ข้อมูลรับรองของแอปพลิเคชันเพื่อเข้าถึงสภาพแวดล้อม Microsoft 365 ของลูกค้าบางราย บริษัทจึงระงับการเข้าถึงบริการบางส่วนเพื่อควบคุมสถานการณ์และตรวจสอบความปลอดภัย

เครื่องมือ AI ช่วยผู้โจมตีได้อย่างไร

---

เครื่องมือที่ใช้ AI ในงานทดสอบการเจาะระบบอาจช่วยลดเวลาที่ต้องใช้กับงานบางขั้นตอน เช่น การสำรวจระบบ การรวบรวมข้อมูล การจัดลำดับเป้าหมาย และการดำเนินงานตามขั้นตอนที่กำหนดไว้

ความสามารถเหล่านี้มีประโยชน์ในงานทดสอบความปลอดภัยที่ได้รับอนุญาต แต่ก็อาจถูกนำไปใช้ในทางที่ผิดได้เช่นกัน โดยเฉพาะเมื่อผู้ใช้เครื่องมือมีข้อมูลรับรองที่ถูกขโมยหรือมีช่องทางเข้าถึงระบบเป้าหมายอยู่แล้ว

อย่างไรก็ตาม การมีเครื่องมือ AI ไม่ได้หมายความว่าผู้โจมตีสามารถเจาะระบบทุกแห่งได้โดยอัตโนมัติ ความสำเร็จยังขึ้นอยู่กับสิทธิ์การเข้าถึง การตั้งค่าระบบ และมาตรการรักษาความปลอดภัยขององค์กรเป้าหมาย

ความเสี่ยงจากบัญชีสิทธิ์สูงและการโจมตีผ่านห่วงโซ่อุปทาน

---

การโจมตีผ่านผู้ให้บริการเทคโนโลยีหรือ Supply Chain Attack เป็นรูปแบบที่องค์กรต้องระวัง เพราะผู้ให้บริการอาจมีสิทธิ์เข้าถึงข้อมูลหรือระบบของลูกค้าหลายแห่ง

หากข้อมูลรับรองหรือบัญชีแอปพลิเคชันที่มีสิทธิ์สูงถูกเปิดเผย ผู้โจมตีอาจใช้ช่องทางดังกล่าวเข้าถึงระบบที่เชื่อมต่ออยู่ได้ แม้องค์กรลูกค้าจะไม่ได้เปิดช่องทางดังกล่าวให้ผู้โจมตีโดยตรงก็ตาม

ด้วยเหตุนี้ องค์กรควรทบทวนสิทธิ์ของแอปพลิเคชันภายนอก ตรวจสอบการใช้งานโทเคนและบัญชีบริการ ตลอดจนจำกัดสิทธิ์ให้เหลือเท่าที่จำเป็น

องค์กรควรทำอย่างไรหลังเกิดเหตุ

---

องค์กรที่ใช้บริการซึ่งเกี่ยวข้องกับเหตุการณ์ควรติดตามประกาศจาก ConnectWise และผู้ให้บริการความปลอดภัยอย่างใกล้ชิด พร้อมตรวจสอบการเข้าสู่ระบบที่ผิดปกติและบัญชีที่มีสิทธิ์สูง

หากพบสัญญาณที่น่าสงสัย ควรเพิกถอนข้อมูลรับรองที่อาจได้รับผลกระทบ ตรวจสอบการเชื่อมต่อของแอปพลิเคชัน และพิจารณาแยกระบบที่มีความเสี่ยงระหว่างการตรวจสอบ

องค์กรไม่ควรสันนิษฐานว่าการที่ผู้ให้บริการกลับมาเปิดระบบแล้วหมายความว่าทุกบัญชีลูกค้าปลอดภัยโดยอัตโนมัติ เพราะการเข้าถึงที่ไม่ได้รับอนุญาตอาจต้องตรวจสอบแยกเป็นรายสภาพแวดล้อม

สรุป

เหตุการณ์ ConnectWise แสดงให้เห็นความเสี่ยงจากการผสมผสานระหว่างเครื่องมือ AI ที่ช่วยทำงานด้านการเจาะระบบกับการเข้าถึงบริการคลาวด์ที่มีสิทธิ์สูง องค์กรควรให้ความสำคัญกับการจัดการข้อมูลรับรอง การจำกัดสิทธิ์ และการตรวจสอบระบบที่เชื่อมต่อกับผู้ให้บริการภายนอกอย่างต่อเนื่อง

---

ที่มา: Reuters , ConnectWise , SecurityWeek