Credențiale ConnectWise Cloud Backup furate, folosite pentru acces în 173 de tenanți Microsoft 365

Un atacator care deține credențiale compromise ale aplicației ConnectWise Cloud Backup (fost SkyKick) s-a autentificat în mediile Microsoft 365 ale clienților, cu acces neautorizat confirmat în 173 de tenanți de parteneri și clienți. Pentru că acreditarea aparține aplicației de backup, nu unui utilizator anume, orice tenant în care aplicația are consimțământ este potențial expus până când furnizorul o rotește.

Ce s-a întâmplat

ConnectWise Cloud Backup este folosit de furnizorii de servicii gestionate (MSP) pentru a proteja datele Microsoft 365 și Google Workspace ale clienților. Pentru asta, aplicația primește permisiuni foarte largi: căsuțe de e-mail, OneDrive, SharePoint, Teams și date de director, în fiecare tenant în care este instalată.

Potrivit cercetătorilor Huntress, un actor necunoscut a folosit acreditarea aplicației pentru a obține token-uri Microsoft Graph în tenanții clienților pe 15 octombrie 2026, între 06:13 și 08:34 UTC, de la adresa IP 144.172.64[.]128. Autentificările au parcurs tenanții în ordinea sortată a GUID-urilor, la câteva secunde distanță — un tipar specific unui script automat care lucrează după o listă de ținte. Aceeași adresă IP a fost văzută făcând password spraying asupra a patru tenanți ai unor case de avocatură pe 13–14 octombrie, însă Huntress nu a raportat autentificări reușite ale utilizatorilor.

În cel puțin un tenant de partener, atacul a mers mai departe. O altă aplicație ConnectWise (ConnectWise Cloud Management for Microsoft Teams) s-a adăugat singură în rolul de Global Administrator, apoi, printr-un script Python, a adăugat noi secrete de client la alte două aplicații privilegiate — un instrument de management MSP și o platformă de securitate. Secretele plantate în astfel de aplicații pot depăși un singur tenant, deoarece aceste instrumente au adesea consimțământ în mulți tenanți ai clienților.

Todyl a raportat independent o parte neautorizată care se autentifica în Microsoft Graph drept aplicația Cloud Backup, moștenind consimțământul existent — inclusiv acces de citire/scriere la e-mail prin Exchange Web Services, la fișierele OneDrive și SharePoint și la conversațiile Teams.

ConnectWise a închis accesul aplicației Cloud Backup până la noi informații și afirmă că nu a găsit dovezi că datele de backup ale partenerilor ar fi fost compromise. Atribuirea nu a fost făcută publică, iar investigația continuă.

De ce contează

Este un caz clasic de risc legat de terți și de identități non-umane. Nicio parolă de utilizator nu a fost obținută prin phishing și niciun MFA nu a fost ocolit — atacatorul pur și simplu a devenit o aplicație de încredere care avea deja consimțământ larg.

• Revocarea sesiunilor utilizatorilor nu ajută. Accesul aparține unui service principal, nu unei persoane.
• Dezactivarea aplicației nu e instantanee. Oprește emiterea de token-uri noi în acel tenant, dar cele deja emise pot rămâne valide până la aproximativ 90 de minute.
• Vizibilitatea este limitată. Unele activități Graph, precum citirile din director, pot lăsa implicit urme minime sau deloc — lipsa dovezilor nu înseamnă lipsa accesului.
• Impactul se multiplică prin MSP-uri. O singură acreditare de furnizor, mulți tenanți — și potențial și mai mulți, dacă au fost adăugate secrete în alte instrumente multi-tenant.

Ce trebuie făcut

Dacă tu sau MSP-ul tău folosiți ConnectWise Cloud Backup / SkyKick:

1. Dezactivează aplicația în tenant până când ConnectWise confirmă că toate acreditările au fost rotite.
2. Caută în jurnalele de autentificare Entra. În Microsoft Entra admin center mergi la Monitoring → Sign-in logs → Service principal sign-ins (vizualizarea implicită pentru utilizatori nu afișează aceste date) și filtrează după Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae.
3. Verifică adresele IP sursă. Caută autentificări din afara intervalelor Microsoft/Azure așteptate — aplicația iese în mod normal prin IPv6 privat Azure — și în special de la 144.172.64[.]128.
4. Auditează acreditările noi. Verifică toate aplicațiile și service principal-urile pentru secrete sau certificate adăugate după 13 octombrie 2026, cu atenție sporită la instrumentele de management MSP și de securitate.
5. Verifică schimbările de roluri. Caută în jurnalele de audit Entra orice aplicație ConnectWise sau SkyKick care s-a adăugat într-un rol de director, mai ales Global Administrator.
6. Activează Microsoft Graph activity logs, ca activitatea viitoare a service principal-urilor să fie înregistrată.
7. Întreabă direct MSP-ul dacă folosește produsul, ce a verificat și dacă vreuna dintre aplicațiile sale multi-tenant a primit secrete noi.

Pe termen lung, tratează consimțământul acordat aplicațiilor terțe ca pe un acces privilegiat: inventariază-l, redu permisiunile la strictul necesar și monitorizează service principal-urile la fel de atent ca pe conturile de administrator.

Articol bazat pe cercetările publice Huntress și Todyl, pe notificarea de incident ConnectWise și pe relatarea inițială The Hacker News.