ไมโครซอฟท์ เตือน AI เร่งภัยไซเบอร์ เจาะบัญชีผู้ใช้ขโมยข้อมูล
ไมโครซอฟท์ ชี้ AI เพิ่มความเร็วและขนาดการโจมตีไซเบอร์ มุ่งเจาะตัวตนดิจิทัล แนะใช้การยืนยันตัวตนต้านฟิชชิง คุมสิทธิ และเตรียมพร้อมฟื้นระบบ
KEY
POINTS
- AI กำลังเร่งให้ภัยคุกคามทางไซเบอร์รุนแรงขึ้น โดยช่วยให้ผู้โจมตีสามารถเพิ่มความเร็ว ขยายขนาด และปรับการโจมตีให้เข้ากับเป้าหมายได้อย่างมีประสิทธิภาพมากขึ้น
- ผู้โจมตีมุ่งเป้าไปที่ตัวตนดิจิทัลและผู้ใช้งานเป็นหลัก โดยใช้เทคนิคอย่างฟิชชิงและวิศวกรรมสังคมเพื่อเข้าถึงบัญชี ซึ่งนำไปสู่การขโมยข้อมูลในที่สุด
- การโจมตีส่วนใหญ่มีเป้าหมายเพื่อขโมยข้อมูล (63% ของเหตุบุกรุก) และการยึดบัญชีผู้ใช้ได้เพียงบัญชีเดียวมักนำไปสู่การขโมยข้อมูลยืนยันตัวตนอื่น ๆ ต่อเนื่องเป็นลูกโซ่
ไมโครซอฟท์ ระบุในรายงาน Microsoft Digital Defense Report 2026 ฉบับบทสรุปผู้บริหาร ซึ่งระบุเดือนตุลาคม 2026 ว่า ความเสี่ยงไซเบอร์กำลังเร่งตัวจากความเชื่อมโยงระหว่างตัวตนดิจิทัล ระบบ AI บริการคลาวด์ ห่วงโซ่อุปทานซอฟต์แวร์ โครงสร้างพื้นฐานขอบเครือข่าย และระบบสำคัญ โดย AI ช่วยให้ผู้โจมตีเพิ่มความเร็ว ขยายขนาด และปรับการโจมตีให้เหมาะกับเป้าหมายได้มากขึ้น
รายงานระบุว่า วิธีการและเป้าหมายของผู้โจมตีไม่ได้เปลี่ยนไป แต่ขนาดและประสิทธิผลของการโจมตีเปลี่ยนไป ผู้โจมตีกำลังค้นหาช่องทางเข้าสู่ระบบทุกจุด รวมถึงจุดที่การเจาะเพียงครั้งเดียวสามารถสร้างผลกระทบไกลเกินกว่าเป้าหมายแรก และก่อให้เกิดการบุกรุกต่อเนื่องเป็นลูกโซ่
ข้อมูลจาก Microsoft Threat Intelligence ในบทสรุประบุว่า 63% ของเหตุบุกรุกเกี่ยวข้องกับการขโมยข้อมูล ขณะที่การบุกรุกผ่านตัวตนดิจิทัลนำไปสู่การขโมยข้อมูลยืนยันตัวตน ซึ่งใช้ขยายการโจมตีต่อและสร้างวงจรการเข้าถึงโดยไม่ได้รับอนุญาต
AI เร่งการโจมตี ฝ่ายป้องกันต้องตามให้ทัน
ไมโครซอฟท์ ระบุว่า AI กำลังเปลี่ยนต้นทุนและผลตอบแทนของการโจมตีและการป้องกัน โดยในระยะสั้นความได้เปรียบอยู่กับผู้โจมตี
สำหรับผู้โจมตีที่มีความสามารถสูง AI เพิ่มความเร็ว ขนาด และความสามารถในการปรับแต่งการโจมตี ทำให้ห่วงโซ่การโจมตีลดเวลาจากหลายวันเหลือเพียงไม่กี่วินาที ส่วนผู้โจมตีที่มีความสามารถน้อยกว่า สามารถใช้ AI เข้าถึงความสามารถในการโจมตีอย่างต่อเนื่อง ซึ่งเดิมจำกัดอยู่ในหน่วยงานข่าวกรอง
การใช้ AI ของผู้โจมตีครอบคลุมการค้นหาช่องโหว่ สร้างมัลแวร์เฉพาะเป้าหมาย ลดเวลาการเคลื่อนย้ายภายในเครือข่าย ค้นหาข้อมูลลับ และนำข้อมูลออกจากระบบ รวมถึงควบคุมห่วงโซ่การโจมตีทั้งหมด ตลอดจนขยายฟิชชิงและการหลอกลวงด้วยวิศวกรรมสังคม
ระบบ AI ยังเป็นเป้าหมายของการโจมตี ตั้งแต่ข้อมูลและองค์ประกอบที่ใช้สร้างโมเดล ข้อมูลของโมเดล โครงสร้างพื้นฐานใช้งานจริง ไปจนถึงระบบ AI ข้อมูลผู้ใช้ และผลลัพธ์ที่ระบบสร้างขึ้น
รายงานระบุด้วยว่า AI เป็นเครื่องมือจำเป็นสำหรับฝ่ายป้องกัน โดยความสามารถในการค้นหาและแก้ไขช่องโหว่อย่างอัตโนมัติและต่อเนื่องเปิดโอกาสให้เกิดการป้องกันที่ทำงานตลอดเวลาในระดับที่ไม่เคยทำได้มาก่อน
มุ่งเจาะมนุษย์และตัวตนดิจิทัล
รายงานระบุว่า การทำให้ผู้ใช้เรียกใช้งานบางอย่าง การใช้บัญชีที่ใช้งานได้จริง วิศวกรรมสังคม และฟิชชิง รวมกันคิดเป็น 73.3% ของความพยายามเข้าถึงระบบในขั้นแรก โดยผู้โจมตีมุ่งเป้าที่มนุษย์และตัวตนดิจิทัล
ผู้โจมตีพึ่งมัลแวร์ที่สร้างขึ้นเองน้อยลง และหันมาใช้เครื่องมือที่ถูกต้องตามปกติ บริการคลาวด์ และฟังก์ชันผู้ดูแลระบบ ทำให้ตรวจจับได้ยากขึ้น เพราะกิจกรรมอันตรายมักกลมกลืนกับพฤติกรรมของผู้ใช้ทั่วไป
แนวทางที่กลายเป็นมาตรฐานทั้งของอาชญากรและกลุ่มที่รัฐสนับสนุน ได้แก่ ชุดฟิชชิงแบบแทรกกลางการสื่อสาร หรือ AiTM การใช้แอป OAuth ในทางมิชอบ การโจมตี API และการลองรหัสผ่านจำนวนเล็กน้อยกับหลายบัญชี หรือ password spray
มากกว่าครึ่งของเหตุบุกรุกนำไปสู่การขโมยข้อมูลยืนยันตัวตนเพิ่มเติม เมื่อเข้าสู่ระบบได้ ผู้โจมตีจะรวบรวมข้อมูลเหล่านี้ทันที เพื่อใช้เคลื่อนย้ายภายในระบบหรือขายในดาร์กเว็บ ตัวตนหนึ่งที่ถูกยึดจึงสามารถนำไปสู่การยึดตัวตนอื่นเพิ่มเติม
Microsoft Incident Response พบรูปแบบที่เกิดซ้ำ เริ่มจากการยึดตัวตนของบุคคล ก่อนค้นหาข้อมูลยืนยันตัวตนที่ไม่ใช่มนุษย์ เช่น service principals และ API keys จากนั้นยกระดับสิทธิผ่านการเข้าถึงที่มีอยู่ และดำเนินเป้าหมาย เช่น นำข้อมูลออก หรือวางระบบสั่งการและควบคุม
ตัวเลขภัยคลาวด์ อีเมล์ และฟิชชิงทางเสียง
บทสรุปรายงานระบุ ระยะเวลาเฉลี่ยก่อนเวิร์กโหลดบนคลาวด์ที่เปิดให้เข้าถึงจากภายนอกถูกโจมตีไว้ที่ 5.3 ชั่วโมง
นอกจากนี้ ยังตรวจพบการโจมตีโดยปลอมแอบอ้างผ่านอีเมลธุรกิจมากกว่า 46 ล้านครั้ง ขณะที่ไฟล์แนบในอีเมลฟิชชิง 89–95% นำไปสู่ความพยายามขโมยข้อมูลยืนยันตัวตน
สำหรับฟิชชิงทางเสียง 93% ของการโจมตีสามารถทำให้เหยื่ออยู่ในสายนานพอที่จะเริ่มกระบวนการหลอกลวงด้วยวิศวกรรมสังคม
บทสรุปไม่ได้แจกแจงฐานตัวอย่างและช่วงเก็บข้อมูลของตัวเลขแต่ละรายการ รวมถึงไม่ได้อธิบายจุดเริ่มนับเวลาของค่าเฉลี่ย 5.3 ชั่วโมง
ซัพพลายเชนโอเพนซอร์สถูกโจมตีมากขึ้น
ไมโครซอฟท์ระบุว่า การโจมตีห่วงโซ่อุปทานซอฟต์แวร์โอเพนซอร์สเกิดบ่อยและสร้างความเสียหายมากขึ้น ผู้โจมตีขยับขึ้นไปยังระบบที่องค์กรใช้สร้างและเผยแพร่ซอฟต์แวร์
ข้อมูลยืนยันตัวตนที่ถูกขโมยเพียงชุดเดียว หรือกระบวนการทำงานที่ถูกยึดเพียงจุดเดียว สามารถเปิดทางให้ผู้โจมตีเข้าถึงองค์กรปลายทางหลายแห่งพร้อมกัน
รายงานระบุว่า เนื่องจากซอฟต์แวร์โอเพนซอร์สรองรับโครงสร้างพื้นฐานสำคัญของรัฐบาล เศรษฐกิจ และบริการจำเป็น การรักษาความสามารถในการรับมือและฟื้นตัวต้องอาศัยบทบาทเชิงรุกของภาครัฐ เพื่อเสริมสถาบัน แรงจูงใจ และกรอบกำกับที่สนับสนุนระบบเหล่านี้
แนวทางที่เสนอประกอบด้วยการเร่งใช้เครื่องมือออกแบบให้ปลอดภัยด้วย AI การตรวจหาช่องโหว่อัตโนมัติ การยกระดับธรรมาภิบาลห่วงโซ่อุปทาน การขยายบัญชีส่วนประกอบซอฟต์แวร์ หรือ SBOM และการประสานการเปิดเผยช่องโหว่
โครงสร้างพื้นฐานสำคัญเผชิญภัยต่อบริการ
รายงานระบุว่า ผู้ป้องกันโครงสร้างพื้นฐานสำคัญเผชิญความไม่สอดคล้องระหว่างผู้โจมตีที่ดำเนินงานอย่างต่อเนื่อง กับแผนความปลอดภัยแบบเดิมที่ยังดำเนินเป็นช่วง
ความเสี่ยงที่ไม่ถูกตรวจพบอาจลุกลามจากการสูญเสียข้อมูลไปสู่การหยุดชะงักทางกายภาพ ความไม่เสถียรของบริการ และผลกระทบด้านความปลอดภัย
กลุ่มที่รัฐสนับสนุนกำลังวางตำแหน่งล่วงหน้าในเครือข่ายโครงสร้างพื้นฐาน เพื่อเปิดทางให้เกิดการหยุดชะงักหรือการก่อวินาศกรรมต่อการปฏิบัติงานสำคัญในอนาคต ส่วนผู้โจมตีที่มีแรงจูงใจทางการเงินใช้ประโยชน์จากระบบที่ยังไม่ติดตั้งแพตช์มากขึ้น โดยมุ่งโจมตีความพร้อมให้บริการ
ไมโครซอฟท์เสนอให้การจัดการภัยคุกคามและช่องโหว่เป็นกระบวนการปฏิบัติงานที่ต่อเนื่องและบูรณาการ เชื่อมการมองเห็นสินทรัพย์ การระบุช่องโหว่ การตรวจจับภัย และข้อมูลเชิงลึกที่เร่งด้วย AI
ตัวชี้วัดควรเปลี่ยนจากจำนวนแพตช์ที่ติดตั้ง เป็นความเสี่ยงที่ลดลง ความครอบคลุมการตรวจจับที่เพิ่มขึ้น และระยะเวลาบรรเทาปัญหาที่สั้นลง
ปกป้องตัวตน ควบคุมสิทธิและการใช้ AI
รายงานเสนอให้องค์กรใช้การยืนยันตัวตนที่ต้านฟิชชิง ลดการพึ่งข้อมูลยืนยันตัวตนที่มีอายุใช้งานยาว และติดตามรูปแบบการเข้าถึงผิดปกติ สิทธิที่เพิ่มขึ้น รวมถึงกิจกรรมแอปพลิเคชันหรือ API ที่ไม่เคยพบมาก่อน
สำหรับตัวตนที่ไม่ใช่มนุษย์ องค์กรควรกำหนดสิทธิเท่าที่จำเป็น หมุนเวียนข้อมูลยืนยันตัวตนอย่างสม่ำเสมอ และจำกัดการเข้าถึงจากตำแหน่งที่เชื่อถือได้
ลำดับความสำคัญด้านความปลอดภัยยังรวมถึงการใช้ passkeys และ MFA ที่ต้านฟิชชิง การเพิกถอนหรือหมุนเวียนโทเคนและข้อมูลยืนยันตัวตนของเซสชันอย่างรวดเร็ว ตลอดจนเชื่อมสัญญาณจากอุปกรณ์ปลายทาง ตัวตน คลาวด์ แอปพลิเคชัน อีเมล และเครือข่าย เพื่อตรวจจับการบุกรุกให้เร็วขึ้น
ด้าน AI องค์กรควรมองเห็นเครื่องมือ บริการ และความสามารถของ AI agents ที่ได้รับอนุมัติ พร้อมตรวจสอบการใช้ที่ไม่ได้รับอนุญาตหรือไม่มีการกำกับดูแล และใช้มาตรการเข้าถึงกับการปกป้องข้อมูลตามระดับความอ่อนไหวของข้อมูลที่ระบบเหล่านี้เข้าถึงได้
ความพร้อมระดับชาติและบทบาทผู้นำองค์กร
ในระดับประเทศ รายงานระบุว่า ประสิทธิภาพการตอบสนองต่อเหตุไซเบอร์มักขึ้นกับความพร้อมเชิงสถาบัน ได้แก่ บทบาทที่ชัดเจน อำนาจตัดสินใจ และกลไกประสานงาน
การทำงานในโครงการ Advancing Regional Cybersecurity หรือ ARC ของไมโครซอฟท์พบปัญหาเชิงโครงสร้างที่เกิดซ้ำสามเรื่อง ได้แก่ บทบาทระหว่างหน่วยงานไม่ชัดเจน เส้นทางยกระดับเหตุแยกส่วน และกลไกจัดการวิกฤตของรัฐบาลทั้งระบบมีจำกัด
รายงานเสนอให้กำหนดวงจรตอบสนองร่วมและคู่มือสำหรับเหตุผลกระทบสูง จัดกลไกรายงานเหตุครั้งเดียว เชื่อม SOC ขององค์กรกับโครงสร้างประสานงานระดับภาคส่วน และกำหนดแนวทางแบ่งปันข้อมูลที่รวดเร็วพร้อมปกป้องข้อมูลอ่อนไหว รวมถึงฝึกซ้อมและทบทวนหลังเหตุการณ์อย่างสม่ำเสมอ
สำหรับผู้นำธุรกิจ รายงานระบุว่า ควรให้ความสำคัญกับระยะเวลาที่การดำเนินงานสำคัญสามารถดำเนินต่อภายใต้แรงกดดันไซเบอร์อย่างต่อเนื่อง โดยคำถามสำคัญของคณะกรรมการคือ เมื่อเกิดเหตุขัดข้อง องค์กรจะยังดำเนินงาน จำกัดความเสียหาย ฟื้นตัวอย่างรวดเร็ว และรักษาความไว้วางใจได้หรือไม่
