ต่อจากเรื่อง MCP เมื่อวาน ข่าวนี้คือภาคต่อที่โหดกว่า Microsoft เพิ่งเปิดเคสของกลุ่ม JADEPUFFER (ติดตามในชื่อ Storm-3168) ที่ได้ Service Principal ของ Azure ไปตัวนึง
แล้วได้มายังไง? พนักงานเอา Client ID + Client Secret + Tenant ID ไปวางใน GitHub issue สาธารณะ ลบออกแล้วแต่ edit history ยังอยู่ แค่นั้นเลยครับ หลุดทั้ง Tenant
Timeline การโจมตี 18 ชั่วโมง
Service Principal ตัวแรกส่องอย่างเดียว ยิง Read กว่า 300 ครั้ง ดู VM, Subscription, Resource Group
รื้อ App Service Configuration Stores เพื่อหา credential ที่ฝังไว้อีกที
ยิงคำสั่งทำลาย 150 ครั้ง พยายามลบ Storage Account กว่า 100 ครั้ง ทั้ง Key Vault, Function App, SQL, App Service
ที่น่ากลัวคือเขาตั้งใจลบตัว Backup และ Recovery Lock ด้วย กะไม่ให้กู้กลับ ที่รอดมาได้เพราะบางอันตั้ง Resource Lock กับ Deletion Protection ไว้ก่อน
🔐 บทเรียนสำคัญ
1. ลบ Secret ออกจาก GitHub ไม่ได้แปลว่าปลอดภัย ต้อง Revoke → Rotate → เช็ค Log
2. เรากันหลุด 100% ไม่ได้ แต่เราออกแบบให้หลุดแล้วลบทุกอย่างไม่ได้ – Resource Lock คือชีวิต
Security ไม่ใช่แค่กันไม่ให้โดน แต่ต้องคิดว่าถ้าโดนแล้วจะกู้ยังไงให้ธุรกิจไปต่อได้
Protect → Detect → Recover ด้วย Arcserve SaaS Backup
ถ้าใช้ Microsoft 365 อย่างเดียว พอโดนลบคือจบ แต่ถ้ามี Arcserve SaaS Backup ที่เป็น Cloud-to-Cloud แยกออกไป ครอบทั้ง Exchange Online, OneDrive, SharePoint, Teams และ Entra ID ข้อมูลอยู่อีก Cloud นึง เข้ารหัสหมด ต่อให้ใน Azure โดนลบเกลี้ยง ก็กด Restore กลับมาได้
- Backup แยก Tenant ไม่โดนลบพร้อมกัน
- Immutable & Encrypted
- กู้เมล ไฟล์ Teams ย้อนหลังได้