ConnectWise ระงับบริการ Cloud หลังพบผู้โจมตีใช้ Credential ของแอปพลิเคชันเข้าถึง Microsoft 365 - Thailand Computer Emergency Response Team (ThaiCERT)

572/69 (IT) ประจำวันอังคารที่ 20 ตุลาคม 2569

ConnectWise ผู้ให้บริการโซลูชันด้าน IT Management และ Cybersecurity ประกาศระงับบริการ Cloud Backup ที่เดิมใช้ชื่อ SkyKick พร้อมหยุดให้บริการ SaaS Security และ Cloud Management ชั่วคราว หลังตรวจพบว่าผู้โจมตีสามารถเข้าถึง Application Identity จำนวน 7 รายการโดยไม่ได้รับอนุญาต และนำ Credential ที่เกี่ยวข้องไปใช้พยายามเข้าถึงระบบ Microsoft 365 ของลูกค้า โดยบริษัทตรวจพบเหตุการณ์จากระบบเฝ้าระวังภายในเมื่อวันที่ 14 ตุลาคม 2569 และดำเนินการปิดใช้งาน Identity ที่ได้รับผลกระทบเมื่อวันที่ 17 ตุลาคม พร้อมเพิกถอน Certificate ที่ใช้เชื่อมต่อแอปพลิเคชัน เพื่อป้องกันการเข้าถึงเพิ่มเติม ทั้งนี้ ConnectWise ระบุว่ายังอยู่ระหว่างสอบสวนว่าผู้โจมตีได้รับ Credential ดังกล่าวมาได้อย่างไร และยังไม่พบข้อบ่งชี้ว่าผลิตภัณฑ์หรือบริการอื่นของบริษัทได้รับผลกระทบ

การโจมตีครั้งนี้ไม่ได้เกิดจากการขโมย Password ของลูกค้าโดยตรง แต่เป็นการใช้ Credential ของแอปพลิเคชัน ConnectWise ที่ได้รับสิทธิ์ให้เข้าถึง Microsoft 365 Tenant ของลูกค้าอยู่แล้ว ทำให้ผู้โจมตีสามารถแอบอ้างเป็นแอปพลิเคชันที่ได้รับความเชื่อถือ และร้องขอ Access Token จาก Microsoft Entra ID เพื่อเข้าถึงข้อมูลหรือบริการต่าง ๆ ตามสิทธิ์ที่ได้รับ เช่น Exchange Online, SharePoint, Teams และ Directory Data โดยบริษัท Huntress รายงานว่าพบกิจกรรม Login ที่น่าสงสัยจาก IP Address 144.172.64.128 ซึ่งเกี่ยวข้องกับ Microsoft Entra Tenant ประมาณ 1,000 รายการ และมีการ Login สำเร็จประมาณ 300 รายการ อย่างไรก็ตาม การ Login สำเร็จไม่ได้หมายความว่าผู้โจมตีสามารถเข้าถึงข้อมูลภายใน Tenant ได้ทุกกรณี นอกจากนี้ Huntress ยังพบความพยายามโจมตีแบบเจาะจงต่อองค์กร 16 แห่งในภาคนโยบาย ความมั่นคงแห่งชาติ การค้า และแร่ธาตุสำคัญ เมื่อวันที่ 15 ตุลาคม แต่ความพยายามทั้งหมดในกลุ่มดังกล่าวไม่ประสบความสำเร็จ

ConnectWise ระบุว่าได้ประสานทีม Security Operations Center หรือ SOC และผู้เชี่ยวชาญ Incident Response จากภายนอกเพื่อสอบสวนและควบคุมเหตุการณ์ โดยยังไม่พบหลักฐานว่า Backup Archive ถูกเข้าถึงหรือ Compromise และข้อมูลสำรองเดิมยังคงได้รับการเข้ารหัสและจัดเก็บแยกไว้ อย่างไรก็ตาม ระหว่างการระงับบริการ Cloud Backup ระบบจะไม่สามารถสำรองข้อมูลตามกำหนดหรือดำเนินการกู้คืนข้อมูลจาก Archive ที่ได้รับผลกระทบได้ ขณะที่ Huntress เตือนว่าการเพิกถอน Credential ที่ถูกขโมยอาจไม่สามารถยุติความเสี่ยงทั้งหมด หากผู้โจมตีได้สร้าง Application ใหม่ เพิ่ม Client Secret หรือเปลี่ยนแปลงสิทธิ์ภายใน Tenant ไว้ก่อนแล้ว จึงแนะนำให้องค์กรที่ใช้งาน ConnectWise Cloud Backup หรือ Cloud Management ตรวจสอบ Microsoft 365 Tenant ของตนและลูกค้าที่อยู่ภายใต้การดูแล โดยเก็บรักษา Sign-in Log และ Audit Log ก่อนดำเนินการแก้ไข พร้อมตรวจสอบกิจกรรมจาก IP Address ดังกล่าวตั้งแต่วันที่ 13 ตุลาคม รวมถึง Application Credential, Directory Role, Consent Grant, Conditional Access Policy และ Mailbox Forwarding Rule เพื่อค้นหาความผิดปกติและป้องกันการเข้าถึงระบบโดยไม่ได้รับอนุญาตเพิ่มเติม

แหล่งข่าว : https://securityaffairs.com/201236/hacking/attackers-abuse-stolen-connectwise-application-credentials-to-target-microsoft-365.html

572/69（IT）2026年10月20日，星期二。

IT 管理和网络安全解决方案提供商 ConnectWise 宣布，由于检测到攻击者未经授权访问了七个应用程序身份，公司已暂时停止其云备份服务（原名 SkyKick）以及 SaaS 安全和云管理服务。攻击者随后利用相关凭据试图访问客户的 Microsoft 365 系统。该公司于 2026 年 10 月 14 日通过内部监控系统发现了此次事件，并于 2026 年 10 月 17 日禁用了受影响的身份，同时吊销了用于连接这些应用程序的证书，以防止进一步访问。ConnectWise 表示，公司仍在调查攻击者如何获取这些凭据，目前没有迹象表明其他产品或服务受到影响。

此次攻击并非直接窃取客户密码，而是利用 ConnectWise 应用程序的凭据，该应用程序已拥有访问客户 Microsoft 365 租户的权限。这使得攻击者能够冒充受信任的应用程序，并从 Microsoft Entra ID 请求访问令牌，从而访问其权限范围内的数据或服务，例如 Exchange Online、SharePoint、Teams 和目录数据。Huntress 报告称，从 IP 地址 144.172.64.128 检测到约 1000 次可疑登录活动，涉及约 300 个 Microsoft Entra 租户，其中约 300 次登录成功。然而，登录成功并不总是能保证获得租户数据的访问权限。此外，Huntress 还发现，10 月 15 日针对政策、国家安全、贸易和关键矿产领域的 16 个组织发起了有针对性的攻击，但所有攻击均未成功。

ConnectWise 表示，已与其安全运营中心 (SOC) 团队和外部事件响应专家协调，对此次事件进行调查和控制。目前尚未发现任何备份存档遭到入侵或访问的证据，原始备份仍然加密并单独存储。然而，在云备份服务暂停期间，将无法进行计划备份，也无法从受影响的存档中恢复数据。Huntress 警告称，如果攻击者已经创建新应用程序、添加客户端密钥或更改租户内的权限，则撤销被盗凭据可能无法完全消除风险。因此，建议使用 ConnectWise 云备份或云管理的组织对其 Microsoft 365 租户及其托管客户进行审核，并在采取任何纠正措施之前维护登录日志和审核日志。他们还应检查自 10 月 13 日以来来自相关 IP 地址的活动，包括应用程序凭据、目录角色、授权许可、条件访问策略和邮箱转发规则，以识别异常情况并防止进一步的未经授权访问。

来源：https://securityaffairs.com/201236/hacking/attackers-abuse-stolen-connectwise-application-credentials-to-target-microsoft-365.html