Supply Chain Attack คืออะไร

ในปี 2025 รายงาน Verizon DBIR พบว่า 30% ของ Data Breach เกิดจาก Third-Party ซึ่งเพิ่มขึ้นเป็นสองเท่าจากปีก่อน [1] การโจมตีผ่าน Supply Chain กลายเป็นหนึ่งในภัยคุกคามที่อันตรายที่สุด เพราะ Attacker ไม่ได้โจมตีองค์กรโดยตรง แต่ โจมตีผ่านซอฟต์แวร์ บริการ หรือ Vendor ที่องค์กรไว้ใจ

ตามนิยามของ NIST และ CISA [2]:

Supply Chain Attack คือการที่ Cyber Threat Actor แทรกซึม Malicious Code เข้าไปใน Software, Hardware หรือ Service ของ Vendor ก่อนที่ Vendor จะส่งมอบให้ลูกค้า ทำให้ลูกค้าที่ใช้งาน Vendor ดังกล่าวถูก Compromise ไปด้วย

Supply Chain Attack อันตรายเป็นพิเศษเพราะ:

Trust Exploitation — องค์กรไว้ใจ Vendor อยู่แล้ว → ข้าม Security Control
Scale — Vendor รายเดียวอาจมีลูกค้าหลายพันราย → โจมตีครั้งเดียว กระทบหลายองค์กร
Stealth — Malware มาพร้อมกับ Legitimate Update → ยากต่อการตรวจจับ
Persistence — ฝังตัวอยู่ในระบบนาน เพราะ Vendor Software ได้รับ Trust Level สูง

4 กรณีศึกษา Supply Chain Attack ที่สำคัญ

1. SolarWinds Orion (2020) — Build System Compromise

รายละเอียด
Attacker	APT29 (Cozy Bear / Russia)
เทคนิค	แทรก Backdoor (SUNBURST) เข้าไปใน Build Process ของ SolarWinds Orion
ผลกระทบ	กว่า 18,000 องค์กรติดตั้ง Trojanized Update รวมถึง US Treasury, DHS, Microsoft [2]
บทเรียน	Build System เป็นจุดอ่อนสำคัญ — ต้อง Secure CI/CD Pipeline และ Verify Build Integrity

2. Log4Shell / Log4j (2021) — Open-Source Dependency Vulnerability

รายละเอียด
ช่องโหว่	CVE-2021-44228 (CVSS 10.0) ใน Apache Log4j — Java Logging Library
เทคนิค	Remote Code Execution ผ่าน JNDI Lookup ใน Log Message
ผลกระทบ	กระทบ Application หลายแสนรายทั่วโลก เพราะ Log4j ถูกใช้เป็น Dependency ในซอฟต์แวร์จำนวนมาก
บทเรียน	ต้องรู้ว่า Software ใช้ Dependency อะไร → SBOM (Software Bill of Materials) เป็นสิ่งจำเป็น

3. MOVEit Transfer (2023) — Zero-Day in File Transfer

รายละเอียด
Attacker	Cl0p Ransomware Gang
เทคนิค	SQL Injection Zero-Day (CVE-2023-34362) ใน MOVEit Transfer
ผลกระทบ	กว่า 2,500 องค์กร และข้อมูลส่วนบุคคลกว่า 90 ล้านราย ถูก Exfiltrate [3]
บทเรียน	Managed File Transfer เป็น High-Value Target — ต้อง Monitor, Patch และ Segment

4. 3CX Desktop App (2023) — Cascading Supply Chain Attack

รายละเอียด
Attacker	Lazarus Group (North Korea)
เทคนิค	Compromise 3CX Developer’s Machine ผ่าน Trojanized Trading App → แทรก Malware เข้า 3CX Desktop App
ผลกระทบ	ลูกค้า 3CX กว่า 600,000 องค์กร อาจถูก Compromise [1]
บทเรียน	Supply Chain Attack สามารถ Chain กัน ได้ — Vendor ของ Vendor ก็เป็นความเสี่ยง

Third Party Risk Management (TPRM) Framework

TPRM คือกรอบการบริหารความเสี่ยงจาก Third-Party ทั้งหมดที่องค์กรใช้บริการ ครอบคลุม Vendor, Supplier, Partner และ Service Provider

TPRM Lifecycle 5 ขั้นตอน

┌──────────┐    ┌──────────┐    ┌──────────┐    ┌──────────┐    ┌──────────┐
│ Identify │ →  │ Assess   │ →  │ Mitigate │ →  │ Monitor  │ →  │ Offboard │
│ & Plan   │    │ Risk     │    │ & Accept │    │ Ongoing  │    │ & Review │
└──────────┘    └──────────┘    └──────────┘    └──────────┘    └──────────┘

Identify & Plan — ระบุ Third-Party ทั้งหมด, จัดลำดับ Criticality, กำหนด Risk Criteria
Assess Risk — ทำ Security Assessment (Questionnaire, Pentest, Audit, Certification Review)
Mitigate & Accept — กำหนดมาตรการลดความเสี่ยง หรือ Accept Risk ที่เหลือ
Monitor Ongoing — ติดตาม Security Posture ของ Vendor อย่างต่อเนื่อง
Offboard & Review — ยกเลิก Access เมื่อจบสัญญา, Review Lessons Learned

มาตรฐานที่เกี่ยวข้อง

มาตรฐาน	ข้อกำหนดสำคัญ
NIST SP 800-161 Rev. 1	Cybersecurity Supply Chain Risk Management (C-SCRM) — กรอบการบริหารความเสี่ยง Supply Chain ระดับองค์กร [4]
NIST Cybersecurity Framework 2.0	เพิ่ม Govern Function ที่ครอบคลุม Supply Chain Risk Management
ISO 27001:2022	Annex A.5.19–5.22 กำหนดข้อกำหนด Supplier Relationships
CISA	ICT Supply Chain Risk Management Task Force — แนวทางสำหรับ Critical Infrastructure [2]

มาตรฐานเว็บไซต์ สกมช. พ.ศ. 2568 — ข้อ 6.1.1 Third Party Management

ประกาศ คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (NCSA/สกมช.) เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568 ที่ประกาศในราชกิจจานุเบกษา เมื่อวันที่ 16 กันยายน 2568 [5] กำหนดไว้ในข้อ 6.1.1 ว่า:

หน่วยงานจะต้องดำเนินการด้าน Third Party Management ซึ่งรวมถึง:

Asset Management — จัดการทรัพย์สินสารสนเทศให้ครบถ้วน
Risk Assessment — ประเมินความเสี่ยงจาก Third-Party
Vulnerability Assessment and Penetration Testing — ทดสอบช่องโหว่ของระบบที่ Third-Party ดูแล
Third Party Management — จัดการผู้ให้บริการภายนอกตามมาตรฐาน

มาตรฐานนี้ บังคับใช้กับ: หน่วยงานของรัฐ, หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII (Critical Information Infrastructure) และ ส่งเสริมให้ใช้: หน่วยงานเอกชนทั่วไป

สำหรับรายละเอียดเพิ่มเติมเกี่ยวกับมาตรฐาน สกมช. 2568 สามารถอ่านได้ที่ Compliance Guide: NCSA Website Security 2568

วิธีป้องกัน Supply Chain Attack — 6 แนวทาง

1. Vendor Security Assessment

ส่ง Security Questionnaire ก่อนเลือก Vendor (อ้างอิง SIG Lite, CAIQ)
ตรวจสอบ Certification ของ Vendor: ISO 27001, SOC 2 Type II, CSA STAR
ทำ Pentest กับระบบที่ Vendor ดูแลหรือเข้าถึง
กำหนด Risk Tier (Critical/High/Medium/Low) ตามระดับ Access ที่ Vendor มี

2. Software Composition Analysis (SCA)

ใช้เครื่องมือ SCA สแกน Open-Source Dependencies ทุกครั้งที่ Build: Snyk, Grype, OWASP Dependency-Check
ตรวจสอบ Known Vulnerabilities (CVE) ใน Dependencies
กำหนด Policy: Block Build ถ้าพบ Critical/High Vulnerability

3. Software Bill of Materials (SBOM)

สร้าง SBOM สำหรับทุก Application — รายการ Component ทั้งหมดที่ใช้
ใช้ Format มาตรฐาน: CycloneDX หรือ SPDX
เรียก SBOM จาก Vendor เพื่อรู้ว่า Software ของ Vendor มี Component อะไรบ้าง
เมื่อมี Zero-Day (เช่น Log4j) → ค้นหา SBOM ทันทีว่าระบบไหนได้รับผลกระทบ

4. Secure CI/CD Pipeline

ป้องกัน Build System ด้วย Access Control เข้มงวด
ใช้ Code Signing สำหรับทุก Release
Implement Reproducible Builds — Build ซ้ำแล้วได้ผลเหมือนกัน
สแกน Container Image ก่อน Deploy: Trivy, Grype
อ่านเพิ่มเติม: DevSecOps Guide — วิธีฝัง Security เข้า CI/CD Pipeline

5. Contract Security Clauses

เพิ่มข้อกำหนดด้าน Security ในสัญญากับ Vendor:

Right to Audit — สิทธิ์ในการตรวจสอบ Security ของ Vendor
Incident Notification — Vendor ต้องแจ้ง Breach ภายใน 24–72 ชั่วโมง
Data Handling — กำหนดวิธีจัดการข้อมูลขององค์กร
Subcontractor Control — Vendor ต้องควบคุม Subcontractor ให้ปฏิบัติตามมาตรฐานเดียวกัน
Termination — ข้อกำหนดการลบข้อมูลเมื่อจบสัญญา

6. Continuous Monitoring

Monitor Vendor Security Posture ด้วยเครื่องมือเช่น SecurityScorecard, BitSight
Subscribe CVE Alert สำหรับ Software ที่ Vendor ใช้
ทำ Periodic Reassessment — ประเมินซ้ำทุก 6–12 เดือน หรือเมื่อมี Significant Change
Monitor Dark Web สำหรับ Vendor Data Breach

Supply Chain Attack Prevention Checklist

#	Action	Priority	Status
1	สร้าง Vendor Inventory — รายการ Third-Party ทั้งหมด	สูง	☐
2	จัดลำดับ Risk Tier ของ Vendor ตามระดับ Access	สูง	☐
3	ทำ Security Assessment ก่อนเลือก Vendor ใหม่	สูง	☐
4	เพิ่ม Security Clauses ในสัญญาทุกฉบับ	สูง	☐
5	Implement SCA ใน CI/CD Pipeline	สูง	☐
6	สร้างและเก็บ SBOM สำหรับทุก Application	กลาง	☐
7	เรียก SBOM จาก Critical Vendor	กลาง	☐
8	Secure Build System ด้วย Access Control + Code Signing	สูง	☐
9	Monitor Vendor Security Posture อย่างต่อเนื่อง	กลาง	☐
10	ทำ Periodic Vendor Reassessment ทุก 6–12 เดือน	กลาง	☐

สรุป

Supply Chain Attack เป็นภัยคุกคามที่ เพิ่มขึ้นอย่างต่อเนื่อง และ ป้องกันยาก เพราะ Attacker ใช้ประโยชน์จาก Trust ที่องค์กรมีต่อ Vendor การป้องกันต้อง ผสมผสาน ทั้ง Vendor Assessment, SBOM, SCA, Secure Build Pipeline และ Contract Security Clauses — ไม่ใช่เลือกทำอย่างเดียว

องค์กรไทยที่ต้องปฏิบัติตามมาตรฐาน สกมช. 2568 ต้องให้ความสำคัญกับ Third Party Management เป็นพิเศษ — ติดต่อ ITSL เพื่อประเมินความเสี่ยง จาก Third-Party และวางแผนป้องกัน

อ่านเพิ่มเติม:

แหล่งอ้างอิง:

[1] DeepStrike, “Supply Chain Attack Statistics 2025: Costs, Cases, Defenses,” Updated August 2026. https://deepstrike.io/blog/supply-chain-attack-statistics-2025

[2] CISA, “Defending Against Software Supply Chain Attacks,” April 2021. https://www.cisa.gov/news-events/alerts/2021/04/26/cisa-and-nist-release-new-interagency-resource-defending-against-software-supply-chain-attacks

[3] Progress Software, “MOVEit Transfer Critical Vulnerability,” CVE-2023-34362. https://nvd.nist.gov/vuln/detail/CVE-2023-34362

[4] NIST, “SP 800-161 Rev. 1: Cybersecurity Supply Chain Risk Management Practices,” May 2022. https://csrc.nist.gov/pubs/sp/800/161/r1/final

[5] สกมช., “มาตรฐานการรักษาความมั่นคงปลอดภัยสำหรับเว็บไซต์ พ.ศ. 2568,” ราชกิจจานุเบกษา, 16 กันยายน 2568. https://wss.sth.sh

Supply Chain Attack คืออะไร — วิธีจัดการความเสี่ยงจากคู่ค้าและ Third-Party