ConnectWise Cloud Backup ถูกใช้เจาะผู้เช่า Microsoft 365 บริษัทระงับบริการสำรองข้อมูล

ข้อมูลใน ConnectWise Cloud Backup รั่วหรือไม่ ConnectWise กับนักวิจัยพูดไม่ตรงกัน

ConnectWise ยืนยันว่าพบการเข้าถึง application identity โดยไม่ได้รับอนุญาต แต่ระบุในคำถามที่พบบ่อยว่ายัง "ไม่พบการถูกเจาะที่ยืนยันได้ในฝั่งลูกค้าปลายทาง" และไม่มีข้อบ่งชี้ว่าข้อมูลสำรองของพาร์ตเนอร์ถูกเจาะ โดยให้เหตุผลว่าบริษัทมองไม่เห็นสภาพแวดล้อมของพาร์ตเนอร์และลูกค้าปลายทาง ส่วน Huntress ยืนยันการล็อกอินโดยไม่ได้รับอนุญาตในผู้เช่า 162 ราย และพบการตั้งบทบาทผู้ดูแลให้ตัวเองในราว 50 ราย ซึ่งเป็นสิ่งที่เกิดขึ้นภายในผู้เช่าของลูกค้าแล้ว

ทั้งสองฝ่ายตรงกันในเรื่องสำคัญข้อหนึ่ง ConnectWise เตือนว่าโทเคนที่ออกไปก่อนหน้า "อาจยังใช้ได้จนกว่าจะหมดอายุหรือถูกเพิกถอน" และการปิดแอปไม่ได้ย้อนการเปลี่ยนแปลงที่เกิดขึ้นในผู้เช่าไปแล้ว ผู้ดูแลจึงต้องตรวจเองว่ามีบทบาท สิทธิ์ หรือ client secret ใหม่ถูกเพิ่มไว้หรือไม่

Todyl ระบุว่าในผู้เช่าที่ไม่ได้สมัครบริการสำรองข้อมูล ไม่พบบันทึกการอ่านอีเมลหรือไฟล์หลังได้โทเคน จึงน่าจะเป็นขั้นสำรวจ แต่ในผู้เช่าที่ใช้บริการอยู่ แยกไม่ได้ว่าการอ่านข้อมูลมาจากผู้โจมตีหรือจากระบบสำรองข้อมูล เพราะใช้ตัวตนของแอปเดียวกัน

ทำไมเรื่องนี้สำคัญ

แอปของผู้ให้บริการภายนอกที่ได้สิทธิ์ทั้งผู้เช่า เช่น ระบบสำรองข้อมูล ระบบความปลอดภัย และเครื่องมือจัดการของ MSP เป็นช่องทางที่การยืนยันตัวตนหลายปัจจัยของผู้ใช้ป้องกันไม่ได้ Todyl ชี้ว่า Conditional Access ใช้กับแอปหลายผู้เช่าแบบนี้ไม่ได้ ขณะที่ Huntress ระบุว่าการอ่านข้อมูลไดเรกทอรีผ่าน Graph ไม่ทิ้งร่องรอยใน audit log

กรณี ConnectWise Cloud Backup ยังแสดงว่าผู้โจมตีพยายามฝังตัวต่อ ด้วยการเพิ่ม client secret ให้แอปอื่นที่มีสิทธิ์สูง รวมถึงแอปของบริษัทความปลอดภัยเอง ซึ่ง Huntress ระบุว่า secret ที่ถูกเพิ่มมีอายุถึงปี 2028 ถ้าองค์กรปิดแค่แอปของ ConnectWise แต่ไม่ตรวจแอปอื่น ผู้โจมตีอาจยังมีทางกลับเข้ามา

สิ่งที่องค์กรไทยควรทำ

• หาแอปของ ConnectWise และ SkyKick ในทุกผู้เช่า ทั้งผู้เช่าขององค์กรเองและของลูกค้าที่ MSP ดูแล รวมถึงแอปเก่าที่ไม่ได้ใช้แล้วหรือติดมากับการซื้อผ่านตัวแทน ConnectWise ให้จับคู่ด้วย Application ID เช่น Cloud Backup คือ 506e08f9-6e9a-4da4-942b-a099a03644ae เพราะชื่อในระบบเก่าอาจขึ้นว่า SkyKick Cloud Manager
• ปิดแอป ConnectWise Cloud Backup อย่าลบ และอย่าเปิดคืนเอง ตั้ง Enabled for users to sign-in เป็น No แล้วรอจนกว่า ConnectWise ยืนยันว่ารีเซ็ตข้อมูลยืนยันตัวตนครบ การปิดแอปหยุดการสำรองข้อมูลชั่วคราวแต่ไม่ลบข้อมูลสำรองเดิม
• เก็บ log ก่อนหมดอายุ ผู้เช่าที่ใช้ Entra ID Free เก็บ log เพียง 7 วัน Todyl แนะนำให้ส่งออก sign-in log ของ service principal, directory audit log และ unified audit log ย้อนไปถึง 1 ตุลาคม แล้วค้นหา IP ทั้ง 3 รายการที่ ConnectWise ประกาศ
• ตรวจสิ่งที่ถูกเปลี่ยนตั้งแต่ 13 ตุลาคม ได้แก่ client secret และใบรับรองที่ถูกเพิ่มในแอปทุกตัว บทบาท Global Administrator หรือ Exchange Administrator ที่แอป ConnectWise ได้รับโดยไม่ได้ตั้งใจ กฎส่งต่ออีเมล และสิทธิ์เข้ากล่องจดหมายของผู้อื่น
• ทบทวนแอปภายนอกที่มีสิทธิ์ทั้งผู้เช่า ลดสิทธิ์ให้น้อยที่สุด ลบแอปที่ไม่ใช้ เปิด Microsoft Graph activity logs (ต้องใช้ Entra ID P1/P2 และไม่ย้อนหลัง) และตรวจสัญญากับ MSP ว่าต้องแจ้งเหตุภายในกี่ชั่วโมง ถ้าข้อมูลส่วนบุคคลของลูกค้าอาจถูกเข้าถึง องค์กรมีหน้าที่ประเมินการแจ้งเหตุตาม PDPA ด้วย ติดตามข่าวความปลอดภัยอื่น ๆ ได้ที่หมวด Security