ระวัง Ghost Admin บัญชีไร้ตัวตนแต่สิทธิ์สูง ช่องโหว่เงียบที่องค์กรปล่อยทิ้งไว้โดยไม่รู้ตัว

เบื้องหลังโครงสร้างพื้นฐานระดับ Enterprise สิ่งที่น่ากลัวที่สุดสำหรับการรักษาความมั่นคงปลอดภัยไม่ใช่แค่การโจมตีจากภายนอก แต่คือ Ghost Admin หรือบัญชีระดับผู้ดูแลระบบที่ไร้เจ้าของดูแลแต่กลับมีอำนาจในการจัดการข้อมูลและควบคุมสิทธิ์การเข้าถึงอย่างเต็มรูปแบบ และถูกทิ้งร้างไว้โดยปราศจากธรรมาภิบาลและการกำกับดูแลที่เหมาะสม

Craig Birch ผู้เชี่ยวชาญด้านเทคโนโลยีจาก Cayosoft ระบุว่า Ghost Admin มักเริ่มต้นจากการเป็น Service Account หรือบัญชีที่สร้างขึ้นมาเพื่อรันงานอัตโนมัติ เช่น งานสำรองข้อมูลรอบดึก หรืองานสร้างรายงานตามรอบเวลา ซึ่งช่วยแบ่งเบาภาระของทีม IT แต่เมื่อผู้ดูแลเดิมลาออก หรือโปรเจกต์สิ้นสุดลง บัญชีเหล่านี้กลับไม่ถูกเพิกถอนสิทธิ์

ยิ่งไปกว่านั้น กุญแจและรหัสผ่านมักถูกทิ้งไว้ในระบบจัดการงาน โค้ด หรือช่องทางสื่อสารภายใน ทำให้กลายเป็นช่องทางให้แฮกเกอร์สามารถสวมสิทธิ์เจาะเข้าสู่ระบบ Active Directory และ Core Infrastructure ได้โดยไม่ส่งสัญญาณแจ้งเตือน เนื่องจากเป็นบัญชีที่ระบบมองว่าถูกต้องตามกฎเกณฑ์มาตั้งแต่แรก

Erich Kron CISO Advisor จาก KnowBe4 ชี้ให้เห็นว่า บัญชีเหล่านี้มักเกิดขึ้นจากกระบวนการทำงานที่เร่งรีบ เช่น การให้สิทธิ์ระดับสูงแก่บัญชีทั่วไปเพื่อแก้ปัญหาทางเทคนิคเฉพาะหน้าให้ระบบทำงานได้รวดเร็ว หรือการย้ายระบบ On-premises ไปยังบริการคลาวด์อย่าง Cloud Email และ Azure Active Directory รวมถึงสิทธิ์ Global Admin เริ่มต้นในสภาพแวดล้อมระบบทดสอบที่ไม่มีการเคลียร์สิทธิ์ออกหลังจบงาน

สถานการณ์นี้นำไปสู่ช่องโหว่ระดับวิกฤตดังนี้

• ขาดการยืนยันตัวตนหลายปัจจัย (MFA): รายงาน Data Breach Investigations Report ประจำปี 2026 ของ Verizon พบว่า มากกว่า 1 ใน 3 หรือราว 37% ขององค์กรที่สำรวจ มีการปิดใช้งาน MFA บนบัญชีระดับ Admin ภายในระบบ Infrastructure-as-a-Service
• รหัสผ่านไม่เคยถูกเปลี่ยน: Proofpoint รายงานกรณีศึกษาการโจมตีในประเทศชิลี ที่แฮกเกอร์ประสบความสำเร็จในการยึดครอง Service Account ที่ไม่มีการดูแลถึง 7 บัญชี ซึ่งไม่มีการกำหนด Baseline การเข้าใช้งานที่ถูกต้อง และใช้รหัสผ่านเริ่มต้นที่คาดเดาได้ง่ายโดยไม่มีการหมุนเวียนรหัสผ่านเลย

การจัดการกับความเสี่ยงจาก Ghost Admin ไม่สามารถพึ่งพาแค่เครื่องมือป้องกันปลายทาง แต่ต้องเริ่มจากการตรวจสอบและวางนโยบายการควบคุมตัวตนอย่างเข้มงวด

1. ตรวจสอบและทำ Inventory การใช้งานจริง: ดำเนินการ Audit บัญชี Service Account ทั้งหมด และตรวจสอบประวัติการใช้งานล่าสุด โดยสามารถใช้ฟีเจอร์ Auto-discovery ของระบบ เช่น การตรวจสอบบัญชีที่ไม่มีการล็อกอินเกิน 90 วัน
2. ตัดสิทธิ์แบบเป็นขั้นตอน: ก่อนลบบัญชีทิ้ง แนะนำให้ตั้งรหัสผ่านที่มีความซับซ้อนสูงและสั่งระงับการใช้งานชั่วคราวเป็นระยะเวลา 2–3 เดือน เพื่อทดสอบผลกระทบและการพึ่งพาของระบบงานอื่น
3. กำหนดผู้รับผิดชอบที่ชัดเจน: ทุกลิขสิทธิ์และบัญชีระบบต้องมีผู้รับผิดชอบระบุตัวตนได้ หากพนักงานลาออก ต้องส่งมอบความรับผิดชอบทันที พร้อมให้เจ้าของบัญชียืนยันความจำเป็นในการใช้งานอย่างสม่ำเสมอ
4. บริหารจัดการ Non-human Identity เทียบเท่าบุคลากรจริง: ให้สิทธิ์เฉพาะเท่าที่จำเป็นและบันทึก Identity ของแอปพลิเคชันและเซิร์ฟเวอร์ไว้ในฐานข้อมูล เพื่อปลดระวางสิทธิ์ไปพร้อมกันเมื่อมีการรีเฟรชหรือยกเลิกการใช้งานเซิร์ฟเวอร์

การปล่อยให้บัญชีสิทธิ์สูงล่องหนอยู่ในระบบ Active Directory เท่ากับเปิดประตูบ้านทิ้งไว้ให้ผู้ไม่ประสงค์ดี องค์กรยุคใหม่จึงต้องยกระดับการกำกับดูแลตัวตนดิจิทัลที่ไม่ใช่มนุษย์ ให้มีมาตรฐานและความรัดกุมเทียบเท่ากับบัญชีของพนักงานทุกคนในองค์กร

ที่มา: https://www.itbrew.com/stories/boo-beware-the-ghost-admin