WorkOS ถูกเจาะระบบฝ่ายขาย ผู้โจมตีใช้ AI อัตโนมัติ ARTEX

ระบบตรวจจับของ WorkOS พบทราฟฟิกผิดปกติเข้าหาระบบธุรกิจภายในเมื่อ 30 ต.ค. 2569 เวลาประมาณ 23:39 น. ตามเวลาไทย เมื่อไล่ตรวจย้อนหลัง บริษัทพบว่าผู้บุกรุกเข้าถึง API ภายในที่ทีมขายและการตลาดใช้งาน แล้วอาศัยช่องทางนั้นดึงข้อมูลจาก Salesforce และ Snowflake ของบริษัทออกไป ไอพีที่ใช้โจมตีมาจากฮ่องกงและจีน

ข้อมูลที่หลุดเป็นข้อมูลธุรกิจของลูกค้า ได้แก่ ชื่อ อีเมล เบอร์โทร ตำแหน่งงาน ที่อยู่บริษัท ประวัติบัญชีลูกค้า ตั๋วซัพพอร์ต รวมถึงสรุปและข้อความบางส่วนจากการคุยงานขาย การคุยซัพพอร์ต และแชต Slack กับลูกค้า WorkOS ระบุว่ายังไม่พบหลักฐานว่าข้อมูลแอปของลูกค้าหรือระบบให้บริการจริง (production) ถูกเข้าถึง และได้ปิดการเข้าถึงเครื่องมือดังกล่าวจากภายนอกแล้ว พร้อมจ้างบริษัทนิติวิทยาศาสตร์ดิจิทัลอิสระเข้ามาตรวจ

จุดที่ทำให้เรื่องนี้น่าสนใจคือ WorkOS ระบุว่าการโจมตีน่าจะขับเคลื่อนโดย ARTEX ซึ่งเป็นเฟรมเวิร์ก AI ที่สั่งงานเอเจนต์ให้สำรวจและเจาะระบบได้เองหลายขั้นตอน เฟรมเวิร์กเดียวกันนี้ CrowdStrike เคยรายงานว่ากลุ่มแฮกเกอร์สายจีนนำไปใช้โจมตีองค์กรกว่า 200 แห่งใน 14 ประเทศ ซีอีโอ Michael Grinich ยอมรับว่านี่เป็นตัวอย่างที่ชัดว่าเครื่องมือของผู้โจมตีพัฒนาเร็วมาก

ผลกระทบต่อคนไทยโดยตรงมีจำกัด เพราะ WorkOS เป็นบริการหลังบ้านสำหรับบริษัทซอฟต์แวร์ (ระบบล็อกอินองค์กร SSO และ directory sync) ไม่ใช่แอปที่คนทั่วไปใช้ แต่บริษัทไทยที่ใช้ WorkOS ควรระวังอีเมลหลอกที่อ้างเรื่องงานหรือบทสนทนาเก่ากับ WorkOS เพราะข้อมูลที่หลุดทำให้ข้อความหลอกดูน่าเชื่อขึ้นมาก การสอบสวนยังไม่จบ ขอบเขตความเสียหายจึงอาจเปลี่ยนได้

ควรทำอะไร

• ถ้าบริษัทใช้ WorkOS ให้ติดตามประกาศในหน้า security bulletin ของ WorkOS และรออีเมลแจ้งจากบริษัทโดยตรง
• ระวังอีเมลหรือข้อความที่อ้างชื่อพนักงาน WorkOS หรืออ้างบทสนทนาซัพพอร์ตเดิม ตรวจสอบผ่านช่องทางที่รู้จักก่อนทำตาม
• ทีมไอทีควรตรวจสิทธิ์เข้าถึงเครื่องมือภายใน (CRM ระบบฝ่ายขาย) ที่เปิดออกอินเทอร์เน็ต เพราะการโจมตีด้วย AI หาจุดอ่อนแบบนี้ได้เร็วขึ้น
• เปิดใช้ 2FA และหมุนเปลี่ยนคีย์ API ที่เคยส่งผ่านตั๋วซัพพอร์ตหรือแชต หากเคยแชร์ไว้