คำตอบการวิจัย
ประเด็นสำคัญ Storm‑2949 ใช้การหลอกลวงทางสังคมให้ผู้ใช้ที่มีสิทธิ์สูงอนุมัติ MFA ระหว่างกระบวนการรีเซ็ตรหัสผ่าน ทำให้ผู้โจมตีเปลี่ยนรหัสผ่านและลงทะเบียนอุปกรณ์ยืนยันตัวตนของตนเองได้ การโจมตีไม่ใช้มัลแวร์ แต่ใช้ฟีเจอร์คลาวด์จริงของ Microsoft 365 และ Azure เพื่อขยายการเข้าถึงข้อมูล เช่น SharePoint, OneDrive และ Azure Key Vault Microsoft กำลังทยอยเลิกใช้การยืนยันตัวตนด้วย SMS สำหรับบัญชีส่วนบุคคล เพราะเสี่ยงต่อ phishing และ SIM‑swap และผลักดันให้ใช้ passkeys หรือวิธีที่ต้านการฟิชชิงแทน How did the Storm‑2949 cyberattack exploit Microsoft 365 and Azure through the Self‑Service Password Reset (SSPR) process and social enginee Storm‑2949 demonstrates how attackers can exploit identity systems and password‑reset workflows to move across cloud environments. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: How did the Storm‑2949 cyberattack exploit Microsoft 365 and Azure through the Self‑Service Password Reset (SSPR) process and social enginee. Article summary: Storm-2949 used a compromised identity plus Microsoft 365 and Azure’s own legitimate administrative features to turn account access into broad cloud data theft, including abuse of Self-Service Password Reset (SSPR), soci. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Microsoft Security Microsoft Defender Microsoft Entra Microsoft Intune Microsoft Purview Microsoft Security Copilot Microsoft Sentinel View all products AI-powered cybersec" source context "How Storm-2949 turned a compromised identity into a cloud-wide ..." Reference image 2: visual subject "### The Cyber Express
openai.com การโจมตีระบบคลาวด์ยุคใหม่กำลังเปลี่ยนจากการใช้มัลแวร์ มาเน้นการยึด ตัวตนผู้ใช้ (identity) แทน กรณีของ Storm‑2949 เป็นตัวอย่างชัดเจน ผู้โจมตีไม่ได้เจาะช่องโหว่ซอฟต์แวร์โดยตรง แต่ใช้การหลอกลวงผู้ใช้และฟีเจอร์ปกติของ Microsoft 365 และ Azure เพื่อเข้าถึงข้อมูลสำคัญขององค์กร
เหตุการณ์นี้ยังสะท้อนแนวโน้มสำคัญของอุตสาหกรรม: วิธีการยืนยันตัวตนที่ถูกฟิชชิงได้ง่าย เช่น SMS OTP กำลังถูกมองว่าเป็นความเสี่ยงสูง ซึ่งเป็นเหตุผลหนึ่งที่ Microsoft กำลังผลักดันการใช้ passkeys และระบบยืนยันตัวตนแบบไม่ใช้รหัสผ่าน มากขึ้น
คนยังถาม คำตอบสั้น ๆ สำหรับ "Storm‑2949: แฮกเกอร์ใช้ช่องโหว่การรีเซ็ตรหัสผ่าน เจาะ Microsoft 365 และ Azure ได้อย่างไร" คืออะไร Storm‑2949 ใช้การหลอกลวงทางสังคมให้ผู้ใช้ที่มีสิทธิ์สูงอนุมัติ MFA ระหว่างกระบวนการรีเซ็ตรหัสผ่าน ทำให้ผู้โจมตีเปลี่ยนรหัสผ่านและลงทะเบียนอุปกรณ์ยืนยันตัวตนของตนเองได้
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? Storm‑2949 ใช้การหลอกลวงทางสังคมให้ผู้ใช้ที่มีสิทธิ์สูงอนุมัติ MFA ระหว่างกระบวนการรีเซ็ตรหัสผ่าน ทำให้ผู้โจมตีเปลี่ยนรหัสผ่านและลงทะเบียนอุปกรณ์ยืนยันตัวตนของตนเองได้ การโจมตีไม่ใช้มัลแวร์ แต่ใช้ฟีเจอร์คลาวด์จริงของ Microsoft 365 และ Azure เพื่อขยายการเข้าถึงข้อมูล เช่น SharePoint, OneDrive และ Azure Key Vault
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? Microsoft กำลังทยอยเลิกใช้การยืนยันตัวตนด้วย SMS สำหรับบัญชีส่วนบุคคล เพราะเสี่ยงต่อ phishing และ SIM‑swap และผลักดันให้ใช้ passkeys หรือวิธีที่ต้านการฟิชชิงแทน
จุดเริ่มต้นของการโจมตี Storm‑2949 Microsoft Threat Intelligence อธิบายว่า Storm‑2949 เป็นแคมเปญโจมตีที่ “เป็นระบบ ซับซ้อน และหลายชั้น” โดยมีเป้าหมายหลักคือ ขโมยข้อมูลจากทรัพยากรคลาวด์ที่มีมูลค่าสูงขององค์กร
แทนที่จะติดตั้งมัลแวร์ ผู้โจมตีใช้วิธี ยึดบัญชีผู้ใช้และใช้เครื่องมือคลาวด์ที่ถูกต้องตามปกติ ภายใน Microsoft 365 และ Azure เมื่อสามารถเข้าถึงบัญชีหนึ่งได้—โดยเฉพาะบัญชีที่มีสิทธิ์สูง—พวกเขาก็สามารถใช้กระบวนการบริหารระบบปกติในการขยายการเข้าถึงไปยังส่วนอื่นขององค์กรได้
แนวทางนี้ทำให้กิจกรรมของผู้โจมตีดูเหมือนการใช้งานปกติของระบบ จึงยากต่อการตรวจจับด้วยเครื่องมือรักษาความปลอดภัยแบบเดิม
บทบาทของ Self‑Service Password Reset (SSPR) ขั้นตอนสำคัญของการโจมตีคือการใช้ประโยชน์จาก Self‑Service Password Reset (SSPR) ใน Microsoft Entra ซึ่งปกติถูกออกแบบมาเพื่อให้ผู้ใช้รีเซ็ตรหัสผ่านเองได้โดยไม่ต้องติดต่อฝ่าย IT
Storm‑2949 ใช้ social engineering เพื่อหลอกเหยื่อผ่านขั้นตอนนี้ เช่น
• แฮกเกอร์แอบอ้างเป็นเจ้าหน้าที่ IT หรือทีมความปลอดภัยของบริษัทการอนุมัติ MFA ที่เกิดขึ้นระหว่างกระบวนการรีเซ็ตรหัสผ่าน
เมื่อเหยื่อกดอนุมัติ ผู้โจมตีจะสามารถดำเนินขั้นตอนรีเซ็ตรหัสผ่านต่อได้
หลังจากยึดบัญชีสำเร็จ ผู้โจมตีสามารถ:
• เปลี่ยนรหัสผ่านของบัญชี
ผลลัพธ์คือ ผู้ใช้ตัวจริงถูกล็อกออกจากบัญชี ขณะที่ผู้โจมตีมีการเข้าถึงแบบ MFA เต็มรูปแบบ
จากบัญชีเดียวสู่การเจาะระบบทั้งคลาวด์ เมื่อควบคุมบัญชีได้ Storm‑2949 จะเริ่มขยายการเข้าถึงไปทั่วสภาพแวดล้อมคลาวด์ขององค์กร
เนื่องจากบัญชีที่ถูกโจมตีมักเป็นบัญชีของ ผู้ดูแลระบบ IT หรือผู้บริหารระดับสูง ผู้โจมตีจึงสามารถเข้าถึงบริการต่าง ๆ ได้จำนวนมาก
เป้าหมายที่ถูกเข้าถึง เช่น
• ข้อมูลใน Microsoft 365 เช่น SharePoint และ OneDrive
เหตุการณ์นี้ตอกย้ำความจริงสำคัญของระบบคลาวด์: ตัวตนผู้ใช้คือศูนย์กลางการควบคุมระบบ หากบัญชีที่มีสิทธิ์สูงถูกยึด ผู้โจมตีอาจเข้าถึงบริการจำนวนมากโดยไม่ต้องเจาะช่องโหว่ซอฟต์แวร์เลย
ทำไม Microsoft จึงเลิกใช้การยืนยันตัวตนด้วย SMS พร้อมกับเหตุการณ์ด้านความปลอดภัยเหล่านี้ Microsoft ได้ประกาศว่า จะทยอยยกเลิกการส่งรหัสยืนยันผ่าน SMS สำหรับบัญชี Microsoft ส่วนบุคคล
เหตุผลหลักคือ SMS กลายเป็นหนึ่งในช่องทางที่เกิดการฉ้อโกงออนไลน์มากที่สุด
จุดอ่อนสำคัญของ SMS ได้แก่
• การโจมตีแบบ SIM‑swap ที่โอนหมายเลขโทรศัพท์ของเหยื่อไปยังซิมของผู้โจมตี
เนื่องจากรหัสผ่านแบบ SMS สามารถถูกฟิชชิงและส่งต่อได้ง่าย Microsoft จึงมองว่ามีความปลอดภัยต่ำกว่าวิธีใหม่ ๆ
ทางเลือกที่บริษัทกำลังผลักดัน ได้แก่
• Passkeys
ระบบเหล่านี้ใช้การเข้ารหัสและผูกกับอุปกรณ์ ทำให้ถูกฟิชชิงได้ยากกว่ามาก
แนวทางป้องกันที่ Microsoft แนะนำให้องค์กรใช้ เหตุการณ์ Storm‑2949 แสดงให้เห็นว่าการโจมตีด้าน identity สามารถหลบเลี่ยงการป้องกันแบบเดิมได้ Microsoft จึงแนะนำมาตรการหลักหลายข้อ
1. ใช้ MFA ที่ต้านการฟิชชิง องค์กรควรใช้วิธีการยืนยันตัวตนที่ไม่สามารถถูกหลอกให้ส่งต่อได้ เช่น passkeys หรือฮาร์ดแวร์คีย์ที่รองรับมาตรฐานความปลอดภัยสมัยใหม่
2. ใช้หลัก Least‑Privilege กำหนดสิทธิ์ตามบทบาท (RBAC) ให้ผู้ใช้มีสิทธิ์เท่าที่จำเป็นต่อการทำงานเท่านั้น เพื่อลดผลกระทบหากบัญชีหนึ่งถูกยึด
3. ป้องกันกระบวนการรีเซ็ตรหัสผ่าน กระบวนการกู้คืนบัญชี เช่น SSPR ควรถูกมองว่าเป็น จุดเสี่ยงสูง และต้องมีการควบคุมและตรวจสอบอย่างเข้มงวด โดยเฉพาะสำหรับบัญชีที่มีสิทธิ์สูง
4. ตรวจสอบกิจกรรม identity และ control‑plane องค์กรควรเปิด logging และ monitoring สำหรับ
• เหตุการณ์การล็อกอินและการยืนยันตัวตน
การมีข้อมูลเหล่านี้ช่วยให้ทีมความปลอดภัยตรวจจับพฤติกรรมผิดปกติได้เร็วขึ้นระหว่างการโจมตี
บทเรียนสำคัญ: ตัวตนคือพื้นผิวการโจมตีใหม่ Storm‑2949 แสดงให้เห็นการเปลี่ยนแปลงสำคัญของการโจมตีไซเบอร์สมัยใหม่ แทนที่จะโจมตีซอฟต์แวร์โดยตรง ผู้โจมตีหันมา โจมตีระบบยืนยันตัวตนและกระบวนการกู้คืนบัญชี มากขึ้น
ในสภาพแวดล้อมคลาวด์ บัญชีเดียว—โดยเฉพาะบัญชีที่มีสิทธิ์สูง—สามารถกลายเป็นประตูสู่ทั้งระบบได้ การเสริมความแข็งแกร่งของระบบยืนยันตัวตน ลดสิทธิ์ที่ไม่จำเป็น และติดตามกิจกรรมของ identity อย่างใกล้ชิด จึงเป็นแนวป้องกันที่สำคัญที่สุดสำหรับองค์กรในยุคคลาวด์
microsoft.comHow Storm-2949 turned a compromised identity into a cloud-wide ...
bleepingcomputer.comMicrosoft Self-Service Password Reset abused in Azure data theft ...
support.microsoft.comMicrosoft to stop sending SMS codes for personal accounts
windowscentral.comMicrosoft plans to end SMS two-factor authentication, potentially ...