Stryker โดนลบอุปกรณ์ 80,000 เครื่องผ่าน Intune

Timeline การโจมตี Stryker ผ่าน Microsoft Intune

เวลา	เหตุการณ์
ต้นเดือน มี.ค. 2569	แฮกเกอร์ได้ credentials ของ Admin Account (คาดว่าจาก Phishing หรือ Credential Exposure)
หลายวันก่อนโจมตี	ทำ Privilege Escalation สร้าง Global Administrator Account ใหม่ในระบบ
11 มี.ค. 2569 เวลา 05:00 UTC	เริ่มสั่ง Remote Wipe ผ่าน Microsoft Intune
11 มี.ค. 2569 เวลา 08:00 UTC	อุปกรณ์กว่า 80,000 เครื่องถูกลบข้อมูลเรียบร้อย — ภายใน 3 ชั่วโมง
เช้าวันเดียวกัน	พนักงาน Stryker ทั่วโลกมาทำงานพบว่าอุปกรณ์ถูกล้างข้อมูลทั้งหมด
11 มี.ค. 2569	Stryker ยื่น SEC 8-K ยืนยันเหตุการณ์โจมตีร้ายแรงต่อ Microsoft Environment
17 มี.ค. 2569	Stryker ประกาศว่ากำลังกู้คืนระบบ กลุ่ม Handala อ้างความรับผิดชอบ
18 มี.ค. 2569	CISA ออก Advisory เร่งด่วนให้ทุกองค์กรเสริมความปลอดภัย Endpoint Management

Microsoft Intune คืออะไร และทำไมถึงเป็นเป้าหมาย?

Microsoft Intune เป็นระบบ Endpoint Management (MDM/MAM) ที่ใช้จัดการอุปกรณ์ขององค์กรจากส่วนกลาง — ทั้งโน้ตบุ๊ก, มือถือ, แท็บเล็ต ที่ลงทะเบียนในระบบ ผู้ดูแลระบบสามารถ:

• ติดตั้งซอฟต์แวร์และอัปเดตจากระยะไกล
• ตั้งค่า Security Policy บังคับใช้ทั่วองค์กร
• สั่ง Remote Wipe ลบข้อมูลอุปกรณ์ที่สูญหายหรือถูกขโมย
• บังคับ Compliance Policy (เช่น ต้องมี PIN, ต้องเข้ารหัส)

วิธีโจมตี vs วิธีป้องกัน

สิ่งที่แฮกเกอร์ทำ	วิธีป้องกัน
ขโมย Admin Credential (Phishing / Credential Stuffing)	ใช้ Phishing-Resistant MFA เช่น FIDO2 Key หรือ Passkey
สร้าง Global Admin Account ใหม่	จำกัดจำนวน Global Admin ให้น้อยที่สุด + แจ้งเตือนเมื่อมีการสร้าง Admin ใหม่
สั่ง Remote Wipe อุปกรณ์ทั้งหมด	เปิด Multi-Admin Approval ให้คำสั่ง Wipe ต้องมี Admin 2 คนอนุมัติ
โจมตีตอนกลางคืน (05:00 UTC)	ตั้ง Alert สำหรับ Mass Action นอกเวลาทำการ + SIEM Monitoring 24/7
ไม่ใช้มัลแวร์ — ใช้ฟีเจอร์ของระบบเอง	ใช้ Zero Trust Architecture — ไม่ไว้ใจแม้แต่ผู้ดูแลระบบภายใน
กระทบอุปกรณ์ใน 79 ประเทศพร้อมกัน	แบ่ง Scope ของ Admin ตาม Region — ไม่ให้ Admin คนเดียวจัดการทุกประเทศ

CISA Advisory — คำแนะนำหลังเหตุการณ์ Stryker

เมื่อวันที่ 18 มีนาคม 2569 CISA (Cybersecurity and Infrastructure Security Agency) ของสหรัฐอเมริกา ออก Advisory เรื่อง "Endpoint Management System Hardening" โดยมีคำแนะนำสำคัญดังนี้:

1. Least Privilege Access (สิทธิ์น้อยที่สุดเท่าที่จำเป็น)

ใช้ Role-Based Access Control (RBAC) ของ Intune กำหนดสิทธิ์ให้ Admin แต่ละคนทำได้เฉพาะสิ่งที่จำเป็นเท่านั้น ลด Blast Radius เมื่อ Account ถูกยึด

2. Multi-Admin Approval (ต้องมี Admin 2 คนอนุมัติ)

คำสั่งที่มีผลกระทบสูง เช่น Device Wipe, Script Deployment, Application Push, RBAC Modification ต้องมี Admin คนที่สองอนุมัติก่อนดำเนินการ — นี่คือมาตรการที่ถ้า Stryker เปิดใช้ จะป้องกันเหตุการณ์นี้ได้ทั้งหมด

3. Phishing-Resistant MFA

บังคับใช้ Multi-Factor Authentication แบบ Phishing-Resistant สำหรับทุก Privileged Account — ไม่ใช่แค่ SMS OTP แต่ต้องเป็น FIDO2 Security Key หรือ Passkey

4. Zero Trust Principles

ตั้งค่า Microsoft Intune ตามหลัก Zero Trust — ตรวจสอบทุก Session, ทุก Device, ทุก Request ไม่ว่าจะมาจากภายในหรือภายนอก

Checklist สำหรับองค์กรไทย — ป้องกันไม่ให้เกิดเหตุแบบ Stryker

ลำดับ	สิ่งที่ต้องตรวจสอบ	รายละเอียด
1	จำนวน Global Admin	มีกี่คน? ควรมีไม่เกิน 2-3 คน และทุกคนต้องใช้ Phishing-Resistant MFA
2	Multi-Admin Approval	เปิดใช้สำหรับ Device Wipe, Script Deploy, RBAC Change หรือยัง?
3	MFA ของ Admin Account	ใช้ FIDO2/Passkey หรือยังใช้แค่ SMS OTP? (SMS OTP ไม่ปลอดภัยพอ)
4	Alert สำหรับ Mass Action	มี Alert เมื่อมีการสั่ง Wipe มากกว่า 10 เครื่องพร้อมกันหรือไม่?
5	RBAC Scope	Admin แต่ละคนจัดการได้เฉพาะอุปกรณ์ในขอบเขตของตนหรือไม่?
6	Conditional Access Policy	Admin ต้อง Login จาก Trusted Device / Trusted Location เท่านั้นหรือไม่?
7	Audit Log Monitoring	มีการ Monitor Audit Log แบบ Real-time หรือไม่? โดยเฉพาะการสร้าง Admin ใหม่
8	Disaster Recovery Plan	ถ้าอุปกรณ์ทั้งหมดถูก Wipe วันนี้ กู้คืนได้ภายในกี่ชั่วโมง? มี Backup Image หรือไม่?

เชื่อมโยง ERP Security — ทำไมองค์กรต้องมี Zero Trust

เหตุการณ์ Stryker ไม่ได้เกี่ยวข้องกับ ERP โดยตรง แต่ บทเรียนสำคัญนำมาใช้กับทุกระบบในองค์กรได้ — รวมถึงระบบ ERP ที่เป็นหัวใจของข้อมูลธุรกิจ:

• ERP Admin Account มีอำนาจสูง — เหมือน Intune Admin สามารถลบข้อมูล แก้ไข Master Data หรือปิดระบบได้ทั้งหมด
• ถ้า ERP Admin ถูกยึด — แฮกเกอร์สามารถลบข้อมูลทางการเงิน แก้ไขยอดบัญชี หรือดึงข้อมูลลับออกไปได้
• การป้องกันเหมือนกัน — MFA, Least Privilege, Audit Trail, Separation of Duties ใช้ได้กับทุกระบบ

หลัก Zero Trust	ใช้กับ Intune	ใช้กับ ERP
Verify Explicitly	ตรวจสอบทุก Admin Session ด้วย MFA + Conditional Access	ตรวจสอบทุก Login ด้วย MFA + IP Restriction
Least Privilege	Admin แต่ละคนจัดการได้เฉพาะ Scope ของตน	แต่ละ User เข้าถึงได้เฉพาะโมดูลที่เกี่ยวข้อง
Assume Breach	เตรียม DR Plan สำหรับกรณี Wipe + Monitor ตลอด	เตรียม Backup + Audit Trail สำหรับตรวจสอบย้อนหลัง

สรุป — บทเรียนจาก Stryker ที่ทุกองค์กรต้องจำ

บทเรียน	รายละเอียด
1. ไม่ต้องมีมัลแวร์ก็ทำลายได้	แฮกเกอร์ใช้ฟีเจอร์ของระบบเองโจมตี — Antivirus ช่วยไม่ได้
2. Admin Account คือเป้าหมายหลัก	ต้องปกป้อง Admin Account ด้วย MFA ที่แข็งแกร่งที่สุด
3. คนเดียวไม่ควรมีอำนาจทำลายทั้งองค์กร	ต้องมี Multi-Admin Approval สำหรับคำสั่งอันตราย
4. เครื่องมือดีไม่พอ ต้องตั้งค่าให้ถูก	Intune มีฟีเจอร์ป้องกัน แต่ Stryker ไม่ได้เปิดใช้
5. Disaster Recovery ต้องพร้อมเสมอ	ถ้าอุปกรณ์ทั้งหมดถูกลบ คุณกู้คืนได้ภายในกี่ชั่วโมง?

"เหตุการณ์ Stryker พิสูจน์ว่าภัยคุกคามที่อันตรายที่สุดไม่ใช่มัลแวร์ — แต่คือ Admin Account ที่ไม่ได้รับการปกป้อง ทุกองค์กรที่ใช้ระบบจัดการอุปกรณ์หรือ ERP ต้องทบทวนสิทธิ์ผู้ดูแลระบบวันนี้"

- ทีมงาน Saeree ERP

หากองค์กรของคุณต้องการระบบ ERP ที่ออกแบบมาด้วยหลัก Security by Design พร้อม Audit Trail, Role-Based Access Control และ Multi-Factor Authentication — ติดต่อทีมงาน Saeree ERP เพื่อรับคำปรึกษาฟรี

แหล่งอ้างอิง

• CISA — Endpoint Management System Hardening Advisory (18 มี.ค. 2569)
• BleepingComputer — Stryker attack wiped tens of thousands of devices, no malware needed
• Krebs on Security — Iran-Backed Hackers Claim Wiper Attack on Medtech Firm Stryker
• TechCrunch — CISA urges companies to secure Microsoft Intune systems