ConnectWise остановила Cloud Backup после компрометации Microsoft 365
ConnectWise отключила Cloud Backup и семь удостоверений своих приложений после того, как неизвестные злоумышленники получили несанкционированный доступ к ним и скомпрометировали арендаторов Microsoft 365. По оценке Huntress, подозрительные входы с одного IP-адреса наблюдались почти в 1 000 арендаторов Microsoft Entra, около 300 попыток были успешными.
17 октября 2026 года в 07:00 UTC компания деактивировала перечисленные подключения, включая ConnectWise Cloud Backup и компоненты Cloud Management для Microsoft Teams, Exchange Online, Microsoft Graph, Partner Center и SharePoint Online. Одновременно ConnectWise отозвала сертификаты, используемые затронутыми подключениями Cloud Backup для всех пользователей.
Что изменилось для клиентов
Плановые резервные копии не выполняются, доступ к затронутым архивам и возможность восстановления временно недоступны. ConnectWise заявляет, что существующие архивы остаются зашифрованными, изолированными и сохранёнными; признаков доступа к ним со стороны атакующих компания не обнаружила.
Отключение подключений блокирует новую аутентификацию через них, но не отменяет изменения, уже сделанные внутри арендатора. Ранее выданные токены доступа могут оставаться действительными до истечения срока или отдельной аннуляции. ConnectWise также временно вывела из работы SaaS Security и Cloud Management на время проверки.
Компания обнаружила инцидент 14 октября с помощью средств мониторинга и начала внутреннее и внешнее расследование. После внедрения мер защиты ConnectWise не наблюдала успешной активности в контролируемых ею средах, но отдельно подчеркнула, что не может напрямую оценивать состояние клиентских сред. Механизм раскрытия учётных данных и возможная связь с уязвимостью продукта пока не установлены.
Почему риск выходит за пределы одного сервиса
Сервисные учётные данные приложения позволяют аутентифицироваться от его имени и запрашивать в Microsoft Entra ID токены в пределах уже выданных разрешений. Для приложений резервного копирования и управления это потенциально открывает доступ к почтовым ящикам, документам SharePoint, сообщениям Teams и данным каталога без кражи отдельного пароля каждого пользователя.
В зависимости от разрешений атакующий может попытаться расширить доступ: добавить приложение в роль Global Administrator, создать секреты для других доверенных приложений либо зарегистрировать новое приложение и выдать ему разрешения. Добавленный секрет создаёт альтернативный путь для повторного входа даже после отзыва исходных скомпрометированных данных.
Наблюдения Huntress и действия партнёров
Huntress сообщила, что последняя вредоносная аутентификация с исходного адреса наблюдалась 15 октября в 08:45 UTC, а целевая ручная активность продолжалась примерно до 14:20 UTC. Исследователи подтвердили злоупотребление приложением Teams в одном арендаторе и с высокой уверенностью связывают попытки также с приложениями Cloud Management для Exchange Online, Teams и SharePoint.
Вторая волна попыток с IP-адреса 144.172.64[.]128 15 октября была нацелена на 16 арендаторов из сфер политики, национальной безопасности, торговли и критических минералов, но оказалась безуспешной. В ней проверялись токены Microsoft Graph, а затем интерфейсы Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra и Office 365 Management.
Для бизнеса практический вывод — сохранить журналы входов и аудита до изоляции, проверить собственный и клиентские арендаторы Microsoft 365 с 13 октября, а также провести ревизию секретов приложений, ролей каталога, согласий, федеративных связей и недавних изменений политик. Отдельного внимания требуют правила пересылки почты, правила папки «Входящие» и делегированный доступ: отзыв исходного подключения не устраняет закрепление, если атакующий успел создать другие учётные данные.