Microsoft เปิดเผยการสอบสวนสองเหตุที่ผู้โจมตีปลอมเป็นฝ่าย IT ผ่านข้อความและสายเรียกใน Teams หลอกให้ผู้ใช้ยอมเปิด remote support ก่อนใช้การตั้งค่า Active Directory Certificate Services (AD CS) ที่ไม่รัดกุมขยายสิทธิ์ หนึ่งเหตุมีการนำข้อมูลบริษัทออกไป

ข้อเท็จจริงและเงื่อนไข

รายงานต้นฉบับวันที่ 30 ตุลาคม 2569 อธิบายการใช้ Quick Assist และเครื่องมือรันสคริปต์ ก่อนแยกเป็นการขอใบรับรองสวมสิทธิ์ผ่าน template ที่เสี่ยง ESC1 หรือการ relay NTLM ไปยัง Web Enrollment ตามเส้นทาง ESC8 เหตุไม่ได้อาศัยช่องโหว่ใน Teams และผู้วิจัยยังไม่ผูกกับกลุ่มผู้โจมตีที่ระบุชื่อ

ใบรับรองยืนยันตัวตนอาจยังใช้งานได้หลังเปลี่ยนรหัสผ่าน จึงต้องตรวจและเพิกถอนใบรับรองที่ออกโดยมิชอบ รวมถึงทบทวน Kerberos tickets และ sessions แยกต่างหาก ในเหตุที่มีข้อมูลถูกนำออก บัญชีสิทธิ์สูงซึ่งได้รับข้อยกเว้นจากการควบคุมยังเป็นทางให้ผู้โจมตีดำเนินการต่อ

ข้อวิเคราะห์ ALPHASEC: สิ่งที่องค์กรไทยควรตัดสินใจ

องค์กรที่ใช้ AD CS ควรนำกระบวนการช่วยเหลือผู้ใช้และระบบใบรับรองเข้ามาอยู่ในแผนตอบสนองเหตุเดียวกัน การอนุมัติรีโมตครั้งเดียวอาจเปิดทางสู่ระบบตัวตนส่วนกลาง ข่าวนี้ไม่ใช่หลักฐานว่าทุกองค์กรที่ใช้ Teams ถูกเจาะ

สิ่งที่ควรดำเนินการ

  • กำหนดให้ตรวจสอบผู้ติดต่อ help desk ผ่านช่องทางภายในที่รู้จักก่อนให้สิทธิ์รีโมต และทบทวน Teams external access ตามความจำเป็นธุรกิจ
  • ตรวจ template ที่ใช้ยืนยันตัวตน สิทธิ์ enrollment และการยอมให้ผู้ขอระบุตัวตนในใบรับรอง
  • ตรวจ Web Enrollment ตาม KB5005413: ใช้ HTTPS พร้อม Extended Protection for Authentication (EPA) และทดสอบผลต่อบริการก่อนบังคับใช้ NTLM restrictions
  • เมื่อเกิดเหตุ ให้เชื่อม timeline การแชต รีโมต process ใบรับรอง และการยืนยันตัวตน เก็บหลักฐาน CA และตรวจบัญชีหรืออุปกรณ์ที่ได้รับข้อยกเว้นจาก containment

แหล่งข้อมูลและเครดิต

ตรวจแหล่งข้อมูลในการเรียบเรียงรอบวันที่ 2 พฤศจิกายน 2569 ข้อเท็จจริงอาจเปลี่ยนตามประกาศล่าสุด