ConnectWise ถูกเจาะ คือเหตุที่ ConnectWise ประกาศเมื่อ 17 ตุลาคม 2569 (ค.ศ. 2026) ว่าพบการเข้าถึงข้อมูลยืนยันตัวตนของแอปโดยไม่ได้รับอนุญาต จนต้องระงับบริการ Cloud Backup ส่วน Huntress รายงานว่าอย่างน้อย 162 ผู้เช่า Microsoft 365 ถูกบุกรุก บทความนี้เหมาะกับฝ่ายไอที DPO และ MSP ในไทย อ่านแล้วจะรู้ว่าต้องตรวจอะไรและเริ่มนับ 72 ชั่วโมงเมื่อไร
ลองนึกภาพบริษัท 20 คนที่เปิด MFA ให้พนักงานทุกคนแล้วสบายใจ แต่ปล่อยแอปสำรองข้อมูลของผู้ให้บริการภายนอกถือสิทธิ์อ่านเมลและไฟล์ทั้งบริษัท เหตุครั้งนี้แสดงว่าผู้โจมตีไม่ต้องผ่าน MFA ของใครเลย เพราะล็อกอินเข้ามาในฐานะตัวแอปเอง
สรุปสั้น: ตามรายงานของ BleepingComputer และ Huntress ผู้โจมตีใช้ความลับของแอป (application secret) ล็อกอินเป็นแอปโดยตรง MFA จึงไม่มีผล Huntress พบอย่างน้อย 162 ผู้เช่า Microsoft 365 ถูกบุกรุกในสภาพแวดล้อมที่ตนเฝ้าดู ยังไม่ทราบจำนวนเหยื่อทั้งหมด และยังไม่พบรายงานผู้เสียหายในไทย องค์กรไทยควรตรวจแอปบุคคลที่สามและประเมินการแจ้ง สคส. ภายใน 72 ชั่วโมงหากข้อมูลส่วนบุคคลถูกเข้าถึง
ConnectWise ถูกเจาะ คืออะไร เกิดอะไรขึ้น
ConnectWise ถูกเจาะ หมายถึงการที่ผู้โจมตีเข้าถึงข้อมูลยืนยันตัวตนของแอป (application identities) ของ ConnectWise โดยไม่ได้รับอนุญาต ConnectWise ประกาศเมื่อ 17 ตุลาคม 2569 เวลา 05:01 UTC และระงับบริการ Cloud Backup โดยยังไม่แจ้งกำหนดกลับมา
ผู้โจมตีใช้ความลับของแอปล็อกอินเป็นแอปโดยตรงด้วยสคริปต์อัตโนมัติ ไม่ผ่านการล็อกอินของผู้ใช้ จึงไม่ต้องผ่านด่าน MFA แอปนี้ได้รับสิทธิ์กว้างจากลูกค้าอยู่แล้ว ซึ่งตามผู้วิเคราะห์รายหนึ่ง (Todyl) รวมการอ่านและเขียนเมล OneDrive SharePoint และ Teams ไมโครซอฟท์ยืนยันว่าเป็นการโจมตีห่วงโซ่อุปทาน (supply-chain attack) ที่กำลังเกิดอยู่
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้ประกาศเหตุ | ConnectWise เมื่อ 17 ต.ค. 2569 05:01 UTC |
| มาตรการ | ระงับบริการ Cloud Backup ยังไม่แจ้งกำหนดกลับมา |
| ผู้เสียหายที่ Huntress พบ | อย่างน้อย 162 ผู้เช่า Microsoft 365 (ในสภาพแวดล้อมที่ตนเฝ้าดู) |
| ผู้เช่าที่ตั้งสิทธิ์ผู้ดูแลให้ตัวเอง | เกือบ 50 ราย ส่วนใหญ่เป็น Exchange Administrator |
| ช่วงเวลาเริ่มเหตุ | ราว 13–15 ตุลาคม 2569 |
| สิ่งที่ยังไม่ยืนยัน | จำนวนเหยื่อทั้งหมด ขอบเขตข้อมูลที่ถูกขโมย วิธีที่ผู้โจมตีได้ข้อมูลยืนยันตัวตนของผู้ขาย |
คำแนะนำตามรายงานคือปิดแอปที่เกี่ยวข้อง ตรวจรหัสลับหรือใบรับรองที่ถูกเพิ่มตั้งแต่ 13 ตุลาคม 2569 และต้องสังเกตว่าโทเคนเดิมยังใช้ได้จนหมดอายุแม้ปิดแอปแล้ว
ConnectWise ถูกเจาะ กระทบธุรกิจไทยอย่างไร
ConnectWise ถูกเจาะ ยังไม่พบรายงานผู้เสียหายในไทย แต่ผู้ให้บริการไอที MSP และองค์กรไทยที่ใช้ Microsoft 365 พร้อมบริการสำรองข้อมูลหรือจัดการคลาวด์จากผู้ให้บริการภายนอกมีความเสี่ยงโดยตรง ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
องค์กรไทยที่ใช้ Microsoft 365 ต้องตรวจอะไรภายใน 24–48 ชั่วโมง
องค์กรไทยต้องตรวจก่อนว่าใช้ ConnectWise Cloud Backup หรือ SkyKick Cloud Manager หรือไม่ จากนั้นดูบันทึกการลงชื่อเข้าใช้ของ service principal และสิทธิ์ที่ให้แอปภายนอก (OAuth grants) หากพบร่องรอยต้องเริ่มประเมินว่าข้อมูลส่วนบุคคลใดถูกเข้าถึง เหตุคล้ายกันที่เกี่ยวกับ Microsoft 365 ดูได้ใน Microsoft ปิด 3 แพลตฟอร์มฟิชชิงจีน ข้อความกว่า 1 พันล้านฉบับ องค์กรไทยที่ใช้ Microsoft 365 ต้องรับมืออย่างไร
องค์กรไทยต้องแจ้ง สคส. ภายในกี่ชั่วโมงถ้าข้อมูลส่วนบุคคลถูกเข้าถึง
ต้องแจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ตามมาตรา 37(4) ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การนับเวลาเริ่มเมื่อองค์กรทราบว่ามีเหตุ ไม่ใช่เมื่อผู้ให้บริการแจ้งช้า
ตัวอย่างการตอบ 72 ชั่วโมงในเหตุจริงอยู่ใน H.I.S. ไทยถูกเจาะ ข้อมูลพาสปอร์ตสูงสุด 627 คนอาจรั่ว ธุรกิจท่องเที่ยวไทยจะตอบ PDPA 72 ชั่วโมงได้อย่างไร
สัญญากับ MSP และผู้ให้บริการสำรองข้อมูลควรมีอะไร
สัญญากับ MSP และผู้ให้บริการสำรองข้อมูลควรกำหนดหลักสิทธิ์ขั้นต่ำ ห้ามขอสิทธิ์เกินความจำเป็น และมีหน้าที่แจ้งเหตุให้ลูกค้าภายในเวลาที่ตกลงกัน ข้อตกลงประมวลผลข้อมูลที่กฎหมายกำหนดให้มีเมื่อให้ผู้อื่นทำงานแทน อธิบายไว้ใน สัญญาประมวลผลข้อมูลส่วนบุคคล (ผู้ควบคุม–ผู้ประมวลผล) ต้องมีอะไรบ้าง
ทำไม MFA ถึงไม่ช่วยในเหตุนี้
MFA ปกป้องการล็อกอินของคน แต่ตามรายงานผู้โจมตีล็อกอินเป็นแอปด้วยความลับของแอป ซึ่งไม่ผ่านขั้นตอนของผู้ใช้เลย องค์กรจึงต้องมองแอปบุคคลที่สามเป็น “ตัวตน” ที่ต้องควบคุมสิทธิ์เหมือนพนักงานคนหนึ่ง
ประเด็นเรื่องรหัสลับหลุดในสัญญาจ้างภายนอกดูได้ใน พบรหัสผ่านและคีย์ที่ยังใช้ได้ 543,699 รายการบน GitHub สาธารณะ บริษัทไทยที่จ้าง outsource เขียนโค้ดต้องเขียนอะไรในสัญญา
ถ้าไม่ทำอะไรเลย องค์กรไทยเสี่ยงอะไร
ถ้าไม่ทำอะไร องค์กรเสี่ยงที่แอปของผู้ให้บริการภายนอกยังถือสิทธิ์อ่านเมลและไฟล์ทั้งองค์กรอยู่ โดยไม่มีใครรู้ว่าถูกเปิดใช้ด้วยรหัสลับที่อาจรั่ว โทเคนที่ออกไปแล้วอาจใช้ได้ต่อจนหมดอายุแม้ปิดแอป
อีกความเสี่ยงคือแจ้ง สคส. ไม่ทัน 72 ชั่วโมง เพราะไม่มีบันทึกพอจะรู้ว่าข้อมูลส่วนบุคคลใดถูกเข้าถึง เมื่อเริ่มตรวจช้า เวลาที่เหลือสำหรับแจ้งเหตุก็น้อยลงตามไปด้วย
องค์กรที่ใช้ Microsoft 365 ควรทำอะไรตอนนี้
องค์กรที่ใช้ Microsoft 365 ร่วมกับบริการสำรองข้อมูลหรือจัดการคลาวด์จากผู้ให้บริการภายนอก ควรทำ 4 เรื่องตามลำดับ เพื่อตรวจว่าตนได้รับผลจากเหตุที่ ConnectWise ถูกเจาะหรือไม่
- 1. หาให้เจอว่าใช้ ConnectWise หรือ SkyKick Cloud Manager หรือไม่ ตรวจรายการแอปองค์กร (enterprise applications) ใน Microsoft 365 และถามผู้ให้บริการไอทีที่ดูแลระบบ
- 2. ตรวจบันทึกของ service principal และ OAuth grants ดูว่าแอปล็อกอินจากที่ใด ถูกให้สิทธิ์อะไร และมีบทบาทผู้ดูแลถูกเพิ่มโดยไม่มีคนสั่งหรือไม่
- 3. ตรวจรหัสลับและใบรับรองที่ถูกเพิ่มตั้งแต่ 13 ตุลาคม 2569 แล้วเพิกถอนโทเคนเดิม เพราะการปิดแอปอย่างเดียวอาจไม่ตัดโทเคนที่ออกไปแล้ว
- 4. เริ่มประเมินการแจ้งเหตุ PDPA ทันทีที่พบร่องรอย จดเวลาที่ทราบเหตุ เพราะ 72 ชั่วโมงนับจากเวลานั้น และเก็บหลักฐานว่าข้อมูลส่วนบุคคลใดถูกเข้าถึง
ถ้าต้องการคนช่วยทบทวนสัญญากับผู้ให้บริการและแผนแจ้งเหตุ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านเรื่องความรับผิดเมื่อผู้ให้บริการภายนอกทำข้อมูลรั่วเพิ่มใน 44 รัฐสหรัฐฯ ปรับ Labcorp $2.3M เพราะ vendor ทำข้อมูลรั่ว บทเรียน Vendor Governance ที่ธุรกิจไทยใช้ได้ทันที
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ จุดอ่อนของเหตุนี้อยู่ที่ตัวตนของแอป ไม่ใช่ตัวตนของคน องค์กรส่วนใหญ่ลงทุนกับ MFA ให้พนักงาน แต่ปล่อยให้แอปภายนอกถือกุญแจทั้งองค์กรโดยไม่มีใครถามว่าจำเป็นหรือเปล่า จุดที่องค์กรมักพลาดคือไม่มีรายการแอปที่ได้รับสิทธิ์ และไม่มีข้อสัญญาที่ให้ผู้ให้บริการแจ้งเหตุภายใน 24 ชั่วโมง ทั้งสองอย่างแก้ได้ก่อนเกิดเหตุ
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ ConnectWise ถูกเจาะ
ConnectWise ถูกเจาะ มีผู้เสียหายกี่ราย
Huntress รายงานว่าอย่างน้อย 162 ผู้เช่า Microsoft 365 ในสภาพแวดล้อมที่ตนเฝ้าดูถูกบุกรุก และเกือบ 50 ผู้เช่าพบ service principal ตั้งบทบาทผู้ดูแลให้ตัวเอง ยังไม่ทราบจำนวนเหยื่อทั้งหมด
MFA ป้องกัน ConnectWise ถูกเจาะ ได้หรือไม่
ไม่ได้ในเหตุนี้ ตามรายงานผู้โจมตีใช้ความลับของแอปล็อกอินเป็นแอปโดยตรง ไม่ผ่านการล็อกอินของผู้ใช้ MFA ของผู้ใช้จึงไม่มีผล
ConnectWise ถูกเจาะ กระทบองค์กรไทยหรือยัง
ยังไม่พบรายงานผู้เสียหายในไทย แต่ผู้ให้บริการไอที MSP และองค์กรไทยที่ใช้ Microsoft 365 ร่วมกับบริการสำรองข้อมูลภายนอกอาจได้รับผลโดยตรง จึงควรตรวจก่อนว่าใช้ผลิตภัณฑ์ที่เกี่ยวข้องหรือไม่
ถ้าข้อมูลส่วนบุคคลถูกเข้าถึงต้องแจ้ง สคส. เมื่อไร
ต้องแจ้งภายใน 72 ชั่วโมงนับแต่ทราบเหตุตามมาตรา 37(4) ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ถ้าเหตุนั้นมีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล องค์กรควรจดเวลาที่ทราบเหตุไว้เป็นหลักฐาน
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- จดหมายแจ้งเจ้าของข้อมูลเมื่อข้อมูลรั่ว ต้องมีอะไรบ้าง — หนังสือแจ้งเจ้าของข้อมูลเมื่อเหตุมีความเสี่ยงสูง ตาม PDPA มาตรา 37(4) (aipdpa.com)
- คู่มือ: มาตรการรักษาความมั่นคงปลอดภัยขั้นต่ำตาม PDPA ต้องมีอะไรบ้าง? — รายการมาตรการขั้นต่ำที่ใช้เทียบกับการคุมสิทธิ์แอปบุคคลที่สาม (aipdpa.com)
แหล่งอ้างอิง
- BleepingComputer — (อ่านต้นฉบับ) — อ่านข่าวที่ BleepingComputer
- Huntress — (อ่านต้นฉบับ) — อ่านบล็อกที่ Huntress
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
