A ConnectWise mentési szolgáltatásán át jutottak be több mint 300 M365-környezetbe
Egy már kikapcsolt mentési integráció is érintett lehetett, ha az alkalmazás regisztrációja megmaradt a Microsoft 365-környezetben. A ConnectWise megerősítette a Cloud Backup ügyfeleit érő támadást: az elkövetők szolgáltatói szinten ellopott hitelesítő adatokkal léptek be. Az érintett rendszergazdáknak a rövid naplómegőrzés miatt mielőbb ellenőrizniük kell a környezetüket.
A mentési szolgáltatás hozzáférését használták fel
A korábban SkyKick néven ismert ConnectWise Cloud Backup a Microsoft 365 adatait menti, köztük az Exchange Online leveleit, valamint a SharePoint és a OneDrive fájljait. Elsősorban a gyártó szolgáltatópartnerei értékesítik az ügyfeleknek.
A Microsoft ellátásilánc-támadásnak minősítette az esetet. Az ilyen szolgáltatások központi rendszerből, alkalmazásként jelentkeznek be az ügyfelek elkülönült M365-környezeteibe. A mentéshez és a visszaállításhoz rendszerint széles körű jogosultságokat kapnak.
A támadók ezt a szolgáltatói hozzáférést használták fel. A ConnectWise állítása szerint a kezelt biztonsági másolatokat nem másolták ki és nem módosították. Az egyéb károk mértéke egyelőre nem ismert; az ügyfélkörnyezetek érintettségének megállapítása külön vizsgálatot igényel.
Több mint 300 környezetben sikerült a belépés
A Huntress először 162 ügyfélkörnyezetben igazolt jogosulatlan bejelentkezést. A későbbi elemzésben már csaknem 1000 olyan környezetet talált, ahol a gyanús IP-címről belépési aktivitás látszott; több mint 300 esetben sikerrel jártak.
A szakértők több mint 10 000, ConnectWise-alkalmazást tartalmazó M365-környezet bejelentkezési naplóit vizsgálták át. Az érintettek tényleges száma nem ismert: a ConnectWise nem lát rá közvetlenül ügyfelei rendszereire.
A Huntress megfigyelései szerint 2026. október 13-án kezdődtek a kezdetben sikertelen próbálkozások, október 15-től pedig jogosulatlan hozzáférést is észleltek. Ezek szinte teljes egészében egyetlen, egy nagyobb szolgáltató címtartományába tartozó IP-címhez kötődtek.
Nem felhasználóként, hanem alkalmazásként jelentkeztek be
Az elemzők feltételezése szerint az elkövetők a ConnectWise szoftverének bejelentkezéséhez használt, ellopott hitelesítési adatot vetettek be. A Microsoft felhője ezt szabályos alkalmazásbelépésnek látta. Azt egyelőre nem tudni, hogyan szerezték meg a hozzáféréshez szükséges adatokat.
A forrás szerint ennél az alkalmazásszintű hozzáférésnél nem érvényesült a többtényezős hitelesítés, vagyis az MFA. Ez a védelem a sikeres belépéshez több, különböző típusú tényezőt kér. A támadás nem az egyes ügyfelek tevékenységétől vagy beállításaitól függött.
A Huntress a feltört környezetekben automatizált és kézzel végzett műveleteket is megfigyelt. Egyes lépések magasabb jogosultság megszerzésére, mások további bejutási lehetőségek kialakítására irányultak.
A kikapcsolt integráció sem zárja ki az érintettséget
A vizsgálat azoknak a rendszergazdáknak szól, akiknek az M365-környezetében ConnectWise Cloud Backup vagy korábbi SkyKick-alkalmazás van regisztrálva. Akkor is indokolt az ellenőrzés, ha az integráció már nem működött: a megmaradt regisztráció bizonyos esetekben továbbra is hozzáférést adhatott a támadóknak.
Nincs egyszerű ellenőrzés, amely egyértelműen megmutatná, hogy történt-e behatolás. Ehhez a naplóadatok részletes átvizsgálása szükséges. A ConnectWise PDF-formátumú útmutatót tett közzé a környezetek ellenőrzéséhez és a kockázatok mérsékléséhez.
A rendelkezésre álló idő korlátozott. Kiterjesztett naplózás hiányában az Entra ID bejelentkezési naplóit hét nap után törli a Microsoft. Fizetős Entra ID P1 vagy P2 licenccel 30 nap a megőrzés, de egyes támadói műveletek ezekben sem láthatók.
A leállítás után megszűntek a sikeres támadói belépések
A ConnectWise október 17-én központilag leállította a szolgáltatást; ezt követően már nem észleltek sikeres támadói bejelentkezést. A vállalat a Cloud Backup mellett több más felhőkezelő termékét is ideiglenesen kikapcsolta.
Azóta megkezdődött a szolgáltatások fokozatos visszaállítása. A gyártó tájékoztatása szerint ez több napot vesz igénybe.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum