ConnectWise oprește Cloud Backup după ce identități de aplicație furate au deschis accesul în tenant-uri Microsoft 365

Atacatorii au obținut credențialele mai multor identități de aplicație ConnectWise și le-au folosit ca să intre în tenant-urile Microsoft 365 ale clienților. ConnectWise a dezactivat șapte aplicații Entra ID, a suspendat Cloud Backup și a scos temporar offline SaaS Security și Cloud Management cât timp investighează. Pentru furnizorii de servicii IT gestionate (MSP) și clienții lor, mesajul e clar: oprirea aplicației la furnizor nu șterge ce a lăsat atacatorul în tenant-ul tău.

Ce s-a întâmplat

• 14 octombrie 2026 — ConnectWise spune că monitorizarea sa a detectat problema și a pornit răspunsul la incident, intern și extern.
• 15 octombrie — Huntress, un furnizor de servicii de securitate gestionate, a văzut autentificări malițioase de pe 144.172.64[.]128 până la 08:45 UTC, apoi activitate manuală până pe la 14:20 UTC. În aceeași zi a văzut un al doilea val, țintit, împotriva a 16 tenant-uri din zona politicilor publice, securității naționale, comerțului și mineralelor critice. Huntress spune că aceste încercări au eșuat.
• 17 octombrie, 07:00 UTC — ConnectWise a dezactivat identitățile afectate și a revocat certificatele din spatele conexiunilor Cloud Backup pentru toți utilizatorii.

Huntress numără aproape 1.000 de tenant-uri Entra cu autentificări de pe acel IP. Aproximativ 300 dintre aceste autentificări au reușit. În unele tenant-uri atacatorul tot nu a obținut acces, pentru că acolo nu exista un service principal corespunzător.

ConnectWise spune că arhivele de backup rămân criptate, izolate și intacte și că nu a văzut semne că ar fi fost accesate. Backup-urile programate și restaurările sunt deocamdată oprite. Compania nu a spus cum au fost expuse credențialele și nici dacă a fost implicată o vulnerabilitate de produs; ambele întrebări sunt încă deschise. ConnectWise subliniază și că nu are vizibilitate în tenant-urile clienților.

Identități de aplicație dezactivate de ConnectWise

De ce contează

Atacatorii nu au avut nevoie de parola niciunui client. Aplicațiile de backup și administrare primesc consimțământ larg în fiecare tenant pe care îl deservesc. Dacă cineva fură credențialul aplicației, poate cere token-uri Microsoft Entra ID cu toate permisiunile ei. În funcție de acel consimțământ, asta poate însemna căsuțe de e-mail, documente SharePoint, mesaje Teams și date din director, la multe organizații deodată.

Riscul mai mare este persistența. O identitate cu atâtea privilegii se poate adăuga în rolul de Global Administrator, poate planta secrete noi pe alte aplicații de încredere sau își poate înregistra propriile aplicații. Fiecare dintre acestea îi oferă atacatorului o cale de întoarcere după ce credențialul inițial e revocat. Cum spune chiar ConnectWise, dezactivarea conexiunii oprește autentificările noi, dar nu anulează modificările deja făcute în tenant. În plus, token-urile emise deja pot funcționa până expiră.

Huntress spune și că are indicii puternice că atacatorul a vizat aplicațiile Cloud Management pentru Exchange Online, Teams și SharePoint. A confirmat abuzul aplicației Teams într-un tenant. În al doilea val, atacatorul a urmărit token-uri Graph ale aplicației SkyKick, apoi a sondat Exchange Online, SharePoint, Teams, Azure Resource Manager, Entra și API-urile Office 365 Management.

Ce trebuie făcut

Dacă folosiți ConnectWise sau SkyKick ori administrați tenant-uri care le folosesc:

1. Verificați fiecare tenant. Adică pe al vostru și pe al fiecărui client, inclusiv cele cu conexiuni SkyKick vechi pe care nu le mai folosește nimeni.
2. Lăsați aplicațiile din listă dezactivate până la noi instrucțiuni de la ConnectWise. Confirmați-le starea după ID-urile din tabel.
3. Salvați dovezile înainte să schimbați ceva. Exportați întâi jurnalele de autentificare Entra și jurnalul de audit unificat, pentru că pașii de izolare le pot suprascrie.
4. Căutați începând cu 13 octombrie 2026. Urmăriți autentificările de pe 144.172.64[.]128 și orice identitate modificată sau folosită în timpul activității suspecte.
5. Căutați mecanisme de persistență. Verificați secrete sau certificate noi pe aplicații, aplicații și consimțăminte noi, roluri și proprietari modificați, relații de federare noi și schimbări recente de politici.
6. Verificați căsuțele de e-mail. Căutați redirecționări, reguli de inbox sau de transport și delegări de acces neașteptate.
7. Pregătiți-vă pentru data viitoare. Folosiți politici de administrare a aplicațiilor ca să blocați sau să limitați în timp secretele client. Păstrați rolurile Application Administrator și Cloud Application Administrator la un grup mic de oameni. Unde aveți licențele necesare, folosiți Conditional Access pentru identități de tip workload și detecțiile Entra ID Protection pentru service principal-uri riscante.

Aplicațiile terțe cu consimțământ larg sunt printre cele mai puțin verificate părți ale majorității mediilor Microsoft 365. De aceea echipa noastră de testare de penetrare include identitatea în cloud în analiză: cine are ce permisiuni, ce service principal-uri au mai mult acces decât le trebuie și cât de departe ar putea ajunge un credențial de aplicație furat. Așa găsiți aplicația supra-privilegiată înaintea unui atacator.

Credit: povestea a fost relatată inițial de The Hacker News, cu detalii tehnice de la Huntress și din comunicările ConnectWise despre incident. Analiza și recomandările de mai sus ne aparțin.