# ปลอมเป็นฝ่ายไอทีผ่าน Teams ขอรีโมตเครื่อง รับมือด้วย IT Support ของ THAI DATA CLOUD

> ผู้โจมตีปลอมเป็นฝ่ายไอทีผ่าน Teams หลอกให้เปิด Quick Assist ตามรายงาน Microsoft 30 ต.ค. 2026 IT Support ของ THAI DATA CLOUD รับเรื่องผ่าน Ticket ที่ยืนยันตัวตน

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-11-04T04:20:00.000Z · อัปเดต: 2026-11-04T04:20:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/it-help-desk-impersonation-it-support-thai-data-cloud/

## สรุปประเด็นสำคัญ

- Microsoft รายงานเมื่อ **30 ตุลาคม 2026** ถึงการบุกรุก **2 กรณี** ที่ผู้โจมตี**ปลอมเป็นฝ่ายไอที**ผ่านข้อความและการโทรใน Microsoft Teams แล้วหลอกให้พนักงานเปิด Quick Assist
- ในกรณีแรก ผู้โจมตีส่งรอบแรกหา **3** บัญชี และอีก **90 นาที**ต่อมาส่งรอบใหญ่หา **16** คน ก่อนได้ใบรับรองของบัญชีสิทธิ์สูงเพิ่มอีก **8** บัญชี
- Microsoft แนะนำให้พนักงานยืนยันคำขอช่วยเหลือที่ไม่ได้ร้องขอผ่าน**ช่องทางภายในที่รู้จัก**ก่อนรับสาย แชร์หน้าจอ หรือเปิดรีโมต
- IT Support ของ THAI DATA CLOUD รับแจ้งปัญหาผ่าน Ticket ใน TDC Enterprise จากอีเมลที่ลงทะเบียนไว้เท่านั้น ไม่รับแจ้งทาง LINE, Facebook Messenger หรือ Live Chat
- SLA ตอบ Ticket ครั้งแรกภายใน **6 ชั่วโมงทำการ**ในระดับ Standard และเร็วสุด **60 นาที**ในระดับ Platinum พร้อมเก็บ Log **90 วัน**ตาม พ.ร.บ.คอมพิวเตอร์

ผู้โจมตีปลอมเป็นฝ่ายไอทีผ่าน Microsoft Teams แล้วหลอกให้พนักงานเปิด Quick Assist ให้ควบคุมเครื่อง ตามรายงานของ Microsoft เมื่อ 30 ตุลาคม 2026 IT Support ของ THAI DATA CLOUD รับแจ้งปัญหาผ่าน Ticket จากอีเมลที่ลงทะเบียนไว้เท่านั้น และตอบ Ticket ครั้งแรกภายใน 6 ชั่วโมงทำการ องค์กรจึงมีช่องทางเดียวที่พนักงานใช้ตรวจว่าใครคือฝ่ายไอทีตัวจริง

บทความนี้เป็นเนื้อหาสนับสนุนจาก THAI DATA CLOUD ซึ่งเป็นผู้ดำเนินงานเว็บไซต์ thaidata.co.th ขอบเขตบริการและ SLA มาจากหน้า IT Support บน thaidata.cloud ณ วันที่ 4 พฤศจิกายน 2026 ส่วนรายละเอียดการโจมตีมาจากรายงานของ Microsoft และ Cisco Talos

## ผู้โจมตีปลอมเป็นฝ่ายไอทีอย่างไร

![หน้าจอสายเข้าใน Microsoft Teams จากผู้โทรภายนอกที่ขึ้นป้าย External และ Scam suspected ตัวอย่างจากรายงานของ Microsoft](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/it-help-desk-impersonation-it-support-thai-data-cloud/microsoft-teams-scam-suspected-call.webp?v=28cd168b) _(ภาพ: Microsoft)_

Microsoft Threat Intelligence สอบสวนการบุกรุก 2 กรณีที่เริ่มแบบเดียวกัน ผู้โจมตีส่งข้อความและโทรผ่าน Teams โดยปลอมเป็นฝ่ายไอทีหรือ Help Desk แล้วแนะนำให้พนักงานเปิด Quick Assist และบอกรหัสเชื่อมต่อ เมื่อพนักงานกดอนุญาต ผู้โจมตีก็ควบคุมเครื่องได้ทันที โดยไม่ต้องส่งไฟล์มัลแวร์แนบมาก่อน

![แผนภาพของ Microsoft ลำดับการโจมตีที่เริ่มจากการปลอมเป็นฝ่ายไอทีใน Teams ไปสู่การรีโมตเครื่อง และการใช้ใบรับรอง AD CS ยึดบัญชีสิทธิ์สูง](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/it-help-desk-impersonation-it-support-thai-data-cloud/microsoft-help-desk-impersonation-attack-chain.webp?v=7e93559e) _(ภาพ: Microsoft)_

หลังปลอมเป็นฝ่ายไอทีจนได้เครื่องแรก ผู้โจมตีใช้ช่องโหว่ในการตั้งค่า Active Directory Certificate Services ขอใบรับรองของบัญชีสิทธิ์สูง ในกรณีแรก รอบแรกส่งหา 3 บัญชีและยึดเครื่องได้ 1 เครื่อง อีกราว 90 นาทีต่อมาส่งรอบใหญ่หา 16 คน ได้อีกเครื่อง และได้ใบรับรองของบัญชีสิทธิ์สูงเพิ่มอีก 8 บัญชี ก่อนคัดลอกข้อมูลจากไฟล์เซิร์ฟเวอร์ออกไป

รายงาน Talos IR Q3 2026 ของ Cisco Talos ก็พบรูปแบบเดียวกัน ผู้โจมตีหลายกลุ่มโทรหลอก (Vishing) โดยปลอมเป็นฝ่ายไอที เพื่อให้เหยื่อยอมเปิดเครื่องมือรีโมตที่ถูกกฎหมาย อ่านรายละเอียดได้ที่[ข่าว Talos IR Q3 2026](/security/talos-ir-q3-2026-help-desk-vishing-ransomware/)

## ทำไมองค์กรที่ไม่มีช่องทางเดียวรับมือคนปลอมเป็นฝ่ายไอทีได้ยาก

ข้อแนะนำแรกของ Microsoft คือให้พนักงานยืนยันคำขอช่วยเหลือที่ไม่ได้ร้องขอผ่านช่องทางภายในที่รู้จัก ก่อนรับสาย แชร์หน้าจอ หรือเปิดรีโมต ข้อแนะนำนี้ใช้ได้เมื่อองค์กรมีช่องทางนั้นจริง องค์กรที่ฝ่ายไอทีรับเรื่องทั้งทางโทรศัพท์ LINE แชท และเดินมาบอก พนักงานจะแยกไม่ออกว่าข้อความไหนมาจากฝ่ายไอทีตัวจริง และผู้โจมตีที่ปลอมเป็นฝ่ายไอทีก็อาศัยความเคยชินนี้

ปัญหานี้หนักขึ้นในองค์กรที่มีพนักงานไอทีคนเดียว เมื่อคนนั้นลาหรือติดงาน พนักงานคนอื่นก็ไม่รู้ว่าควรรอใคร สายจากคนที่ปลอมเป็นฝ่ายไอทีจึงฟังดูน่าเชื่อ

## IT Support ของ THAI DATA CLOUD รับเรื่องผ่าน Ticket ที่ยืนยันตัวตน

![ขั้นตอนแจ้งปัญหา IT Support ผ่านระบบ Ticket เปิดเรื่อง คัดกรองและจัดลำดับ วิศวกรแก้ไข และปิดงานพร้อมสรุปผล](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/it-help-desk-impersonation-it-support-thai-data-cloud/it-support-ticket-flow.webp?v=e74c00c6) _(ภาพ: THAI DATA CLOUD)_

IT Support ของ THAI DATA CLOUD รับแจ้งทุกเรื่องผ่านระบบ Ticket ใน TDC Enterprise ด้วยอีเมลที่ลงทะเบียนไว้กับบริการ หน้าบริการระบุว่าเพื่อยืนยันว่าผู้แจ้งเป็นคนขององค์กรจริงก่อนเจ้าหน้าที่เข้าถึงระบบ ป้องกันมิจฉาชีพแอบอ้าง และเป็นไปตาม PDPA

| ช่องทาง | ใช้ทำอะไร |
| --- | --- |
| Ticket ใน TDC Enterprise จากอีเมลที่ลงทะเบียน | แจ้งปัญหา ส่งข้อมูลระบบ และติดตามงาน |
| LINE, Facebook Messenger และ Live Chat | สอบถามบริการและขอใบเสนอราคาเท่านั้น ไม่รับแจ้งปัญหา |

เมื่อทุกเรื่องเดินผ่านช่องทางเดียว องค์กรก็บอกพนักงานได้ชัดว่าใครคือฝ่ายไอทีตัวจริง ใครที่ติดต่อมาจากช่องทางอื่นเพื่อขอรีโมตอาจเป็นคนปลอมเป็นฝ่ายไอที และต้องตรวจก่อน ทุก Ticket มีสถานะ ผู้รับผิดชอบ และวิธีแก้ ตรวจย้อนหลังได้

![คอนโซล Helpdesk ใน TDC Enterprise แสดง Ticket เปิดใหม่ กำลังแก้ และปิดแล้ว พร้อมป้าย Ticket ยืนยันตัวตนจากอีเมลที่ลงทะเบียนไว้](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/it-help-desk-impersonation-it-support-thai-data-cloud/it-support-helpdesk-ticket-console.webp?v=d3293096) _(ภาพ: THAI DATA CLOUD)_

หน้าบริการแนะนำให้ผู้แจ้งใส่ข้อมูลเหล่านี้ใน Ticket ทีมจะได้แก้ได้เร็วขึ้น

- ระบบหรือผู้ใช้ที่มีปัญหา และเวลาที่เริ่มเกิด
- ข้อความ Error หรือภาพหน้าจอ
- สิ่งที่เปลี่ยนไปก่อนเกิดปัญหา เช่น อัปเดตหรือย้ายเครื่อง
- ผลกระทบ เช่น ทั้งบริษัททำงานไม่ได้ หรือกระทบผู้ใช้คนเดียว

## SLA ของ IT Support ตอบเร็วแค่ไหน

![กราฟเวลาตอบ Ticket ครั้งแรกของ IT Support ตามระดับสมาชิก Standard 6 ชั่วโมงทำการ Silver 4 ชั่วโมงทำการ Gold 2 ชั่วโมง และ Platinum 1 ชั่วโมง](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/it-help-desk-impersonation-it-support-thai-data-cloud/it-support-sla-first-response-hours.webp?v=68195d8b) _(ภาพ: THAI DATA (ข้อมูล: THAI DATA CLOUD))_

SLA ของ THAI DATA CLOUD แบ่งเวลาตอบ Ticket ครั้งแรกตามระดับสมาชิก 4 ระดับ ซึ่งพิจารณาจากการใช้บริการ Managed Services และระบบปรับให้อัตโนมัติ

| ระดับ | ตอบ Ticket ครั้งแรก |
| --- | --- |
| Standard | ภายใน 6 ชั่วโมงทำการ |
| Silver | ภายใน 4 ชั่วโมงทำการ และเลือก priority High ได้เอง |
| Gold | ภายใน 2 ชั่วโมง รับเหตุร้ายแรง (P1) ตลอด 24×7 |
| Platinum | ภายใน 60 นาที ดูแล 24×7 ทุกเรื่อง |

ทีมสรุปรายงานการแก้ไขภายในประมาณ 24 ชั่วโมง มี Online Support ตลอด 24 ชั่วโมงทุกวัน และเก็บ Log 90 วันตาม พ.ร.บ.คอมพิวเตอร์ ตัวชี้วัดเฉพาะของแต่ละสัญญา เช่น เวลาทำการที่ต้องครอบคลุมและลำดับความรุนแรงของเหตุ กำหนดร่วมกันตอนออกแบบขอบเขตงาน

![ตัวเลขใน SLA ของ IT Support ตอบ Ticket 6 ชั่วโมงในเวลาทำการ สรุปรายงาน 24 ชั่วโมง Online Support 24x7x365 และ Uptime เฉลี่ย 99.9%](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/it-help-desk-impersonation-it-support-thai-data-cloud/it-support-sla-figures.webp?v=6e234fc7) _(ภาพ: THAI DATA CLOUD)_

Log มีผลกับการสืบสวนหลังเหตุคนปลอมเป็นฝ่ายไอทีโดยตรง Talos พบว่าการเก็บ Log ไม่พอเป็นจุดอ่อนอันดับหนึ่งในมากกว่า 40% ของงานรับมือเหตุไตรมาสนี้ และแนะนำให้เก็บ Log แบบรวมศูนย์อย่างน้อย 90 วัน

![กราฟของ Cisco Talos จุดอ่อนที่พบมากที่สุดในไตรมาส 3 ปี 2026 คือการเก็บ Log ไม่พอ ตามด้วยการจัดการรหัสผ่านและ MFA](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/it-help-desk-impersonation-it-support-thai-data-cloud/talos-ir-q3-2026-insufficient-logging.webp?v=047c51a0) _(ภาพ: Cisco Talos)_

## IT Support ดูแลอะไรให้องค์กร

นอกจากเป็นช่องทางที่ช่วยแยกฝ่ายไอทีตัวจริงจากคนปลอมเป็นฝ่ายไอทีแล้ว IT Support ยังรับทั้งงานที่ผู้ใช้เจอทุกวันและงานหลังบ้านที่กระทบทุกคน บนระบบ Ticket เดียวกับทีม Managed Services ปัญหาที่ลึกกว่าระดับผู้ใช้จึงส่งต่อถึงวิศวกรเซิร์ฟเวอร์ คลาวด์ เครือข่าย และความปลอดภัยได้โดยผู้ใช้ไม่ต้องเล่าซ้ำ

- **ผู้ใช้และบัญชี** สร้าง ลบ รีเซ็ตรหัสผ่าน และกำหนดสิทธิ์
- **อีเมล** Microsoft 365, Google Workspace และ Mail Server ขององค์กร
- **เครื่องพนักงาน** ตั้งค่า แก้ปัญหาการใช้งาน และดูแล EDR
- **เซิร์ฟเวอร์และคลาวด์** Linux, Windows และระบบบนคลาวด์
- **เครือข่าย Firewall** ในสำนักงาน และการสำรองข้อมูล

![เปรียบเทียบพนักงานไอทีคนเดียวกับ IT Support จากทีม THAI DATA CLOUD เรื่องความต่อเนื่อง การดูแลนอกเวลา และค่าใช้จ่าย](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/it-help-desk-impersonation-it-support-thai-data-cloud/it-support-one-person-vs-team.webp?v=a48f1408) _(ภาพ: THAI DATA CLOUD)_

| ประเด็น | พนักงานไอทีคนเดียว | IT Support จาก THAI DATA CLOUD |
| --- | --- | --- |
| ความต่อเนื่อง | ลาหรือลาออกแล้วงานหยุด | ทีมหลายคน มีบันทึกทุกเคส |
| นอกเวลาทำการ | ไม่มีคนดูแล | Online Support 24x7x365 |
| ปัญหาเฉพาะทาง | ขึ้นกับความรู้ของคนเดียว | ส่งต่อวิศวกรเฉพาะทาง |
| ตรวจสอบย้อนหลัง | มักไม่มีบันทึก | Ticket และรายงานสรุปการแก้ไข |

องค์กรที่มีพนักงานไอทีอยู่แล้วใช้แบบ Co-managed ได้ คือให้คนในดูแลงานที่ใกล้ธุรกิจ แล้วให้ทีมรับงานประจำ งานนอกเวลา และปัญหาเฉพาะทาง IT Support มีมาตรฐาน ISO/IEC 20000-1 ด้านการบริหารบริการไอที และ ISO/IEC 27001

![เปรียบเทียบ Technical Support, IT Support และ Managed Services ว่าบริการไหนเหมาะกับงานแบบใด](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/it-help-desk-impersonation-it-support-thai-data-cloud/it-support-vs-technical-support-managed.webp?v=cc214de0) _(ภาพ: THAI DATA CLOUD)_

## สิ่งที่องค์กรควรทำเพื่อกันคนปลอมเป็นฝ่ายไอที

ข้อแนะนำจาก Microsoft และ Talos ที่ทำได้ทันที

1. **ประกาศช่องทางเดียว** ที่ฝ่ายไอทีใช้ติดต่อพนักงาน และให้ยืนยันทุกคำขอรีโมตผ่านช่องทางนั้นก่อน
2. **สอนให้ดูป้ายเตือน** External และ Scam suspected ในสายและข้อความ Teams
3. **จำกัด Teams External Access** ให้คุยได้เฉพาะโดเมนที่จำเป็นต่อธุรกิจ
4. **จำกัดเครื่องมือรีโมต** ให้ใช้ได้เฉพาะตัวที่อนุมัติและผู้ปฏิบัติงานที่กำหนด
5. **ใช้ MFA ที่ทนฟิชชิง** เช่น FIDO2 และให้การลงทะเบียน MFA ใหม่ต้องผ่านการยืนยันจาก Help Desk ตามที่ Talos แนะนำ

## เริ่มใช้ IT Support ใน 4 ขั้นตอน

1. **บอกความต้องการ** จำนวนผู้ใช้ ระบบที่ใช้ และปัญหาที่เจอบ่อย ผ่านฟอร์ม โทรศัพท์ หรือ LINE ฝ่ายขาย
2. **ประเมินระบบ** ทีมวิศวกรสำรวจระบบแล้วเสนอขอบเขตงาน ตัวชี้วัด และใบเสนอราคา
3. **ตั้งค่าช่องทาง** ลงทะเบียนอีเมลผู้มีสิทธิ์แจ้งเรื่องใน TDC Enterprise และสิทธิ์เข้าถึงระบบที่ต้องดูแล แล้วแจ้งพนักงานว่าคำขอที่ไม่ได้มาทางนี้อาจมาจากคนปลอมเป็นฝ่ายไอที
4. **เริ่มดูแลและรายงาน** รับเรื่องผ่าน Ticket แก้ไข ส่งต่อผู้เชี่ยวชาญ และสรุปผลทุกเคส

ราคาขึ้นกับจำนวนผู้ใช้ จำนวนระบบ และช่วงเวลาที่ต้องดูแล ขอประเมินฟรีได้ที่[หน้า IT Support ของ THAI DATA CLOUD](https://thaidata.cloud/it-support/) ซึ่งทีมงานจะติดต่อกลับภายใน 1 วันทำการ หรือโทร 098-894-2499, 082-653-2659 และ LINE @thaidatacloud

ติดตามข่าวความปลอดภัยไซเบอร์อื่น ๆ ได้ที่[หมวด Security](/security/)

## คำถามที่พบบ่อย

### ผู้โจมตีปลอมเป็นฝ่ายไอทีอย่างไร?

Microsoft พบว่าผู้โจมตีปลอมเป็นฝ่ายไอทีหรือ Help Desk ผ่านข้อความและการโทรใน Microsoft Teams แล้วแนะนำให้พนักงานเปิด Quick Assist และบอกรหัสเชื่อมต่อ ผู้โจมตีจึงควบคุมเครื่องได้โดยไม่ต้องส่งไฟล์มัลแวร์แนบมาก่อน จากนั้นจึงขยายสิทธิ์ไปยังบัญชีผู้ดูแลระบบ

### ถ้ามีคนปลอมเป็นฝ่ายไอทีโทรมาขอรีโมต ควรทำอย่างไร?

Microsoft แนะนำให้ยืนยันคำขอช่วยเหลือที่ไม่ได้ร้องขอผ่านช่องทางภายในที่รู้จักก่อนรับสาย แชร์หน้าจอ หรือเปิดรีโมต และให้สังเกตป้ายเตือน External หรือ Scam suspected ใน Teams องค์กรควรจำกัดเครื่องมือรีโมตให้ใช้ได้เฉพาะตัวที่อนุมัติ

### IT Support ของ THAI DATA CLOUD ตอบเร็วแค่ไหน?

ตาม SLA ทีมตอบ Ticket ครั้งแรกภายใน 6 ชั่วโมงทำการในระดับ Standard 4 ชั่วโมงทำการในระดับ Silver 2 ชั่วโมงในระดับ Gold และ 60 นาทีในระดับ Platinum สรุปรายงานการแก้ไขภายในประมาณ 24 ชั่วโมง และมี Online Support ตลอด 24 ชั่วโมงทุกวัน

### แจ้งปัญหา IT Support ทาง LINE ได้ไหม?

ไม่ได้ ทุกเรื่องต้องแจ้งผ่าน Ticket ใน TDC Enterprise ด้วยอีเมลที่ลงทะเบียนไว้ เพื่อยืนยันว่าผู้แจ้งเป็นคนขององค์กรจริงก่อนเจ้าหน้าที่เข้าถึงระบบ ช่องทาง LINE, Facebook Messenger และ Live Chat ใช้สอบถามบริการและขอใบเสนอราคาเท่านั้น

### IT Support ของ THAI DATA CLOUD ราคาเท่าไร?

ราคาขึ้นกับจำนวนผู้ใช้ จำนวนระบบ และช่วงเวลาที่ต้องดูแล ทีมวิศวกรประเมินระบบแล้วเสนอขอบเขตงาน ตัวชี้วัด และใบเสนอราคาก่อนเริ่มบริการ การปรึกษาไม่มีค่าใช้จ่าย


## แหล่งอ้างอิง

- [IT Support บริการไอทีซัพพอร์ตองค์กร](https://thaidata.cloud/it-support/) — THAI DATA CLOUD
- [From help desk impersonation to AD CS abuse: Investigating ESC1 and ESC8 intrusion paths](https://www.microsoft.com/en-us/security/blog/2026/10/30/help-desk-impersonation-ad-cs-abuse-investigating-esc1-esc8-intrusion-paths/) — Microsoft Security Blog
- [IR trends Q3 2026: Actors impersonate IT help desks in vishing attacks as ransomware activity rises](https://blog.talosintelligence.com/ir-trends-q3-2026/) — Cisco Talos