15 października 2026 roku w logach Microsoft Entra ID u części klientów ConnectWise pojawiły się uwierzytelnienia, których nie wykonywał ani administrator, ani użytkownik. Logowała się aplikacja służąca do obsługi kopii zapasowych Microsoft 365. Problem polegał na tym, że poświadczeń nie używał już wyłącznie producent. Ktoś zdobył dostęp do tożsamości aplikacyjnych ConnectWise Cloud Backup, wcześniej znanego jako SkyKick, i zaczął wykorzystywać zaufanie, które klienci przyznali tej integracji.

Autor: 5 min czytania

Usługa backupu musi mieć dostęp do danych, które zabezpiecza: poczty, plików i informacji katalogowych. Dlatego w tenantach klientów działały aplikacje ConnectWise z odpowiednimi uprawnieniami do usług Microsoft 365 i API Microsoft Graph. Gdy napastnik uzyskał poświadczenia aplikacji, mógł występować wobec Entra ID jako ona i uzyskiwać tokeny z przyznanymi wcześniej uprawnieniami. Nie musiał znać hasła pracownika ani inicjować interaktywnego logowania. Nie była to luka w mechanizmie MFA – w tym scenariuszu uwierzytelniał się podmiot aplikacyjny, nie człowiek.

Od jednego dostawcy do wielu środowisk

Pierwsze szczegóły opublikowała firma Huntress, która 15 października odnotowała logowania aplikacji Cloud Backup z nietypowego adresu IP. Już następnego dnia potwierdzono nieautoryzowane logowania w 162 tenantach. Późniejsze analizy pokazały także próby wykorzystania innych aplikacji z rodziny ConnectWise Cloud Management, powiązanych między innymi z Microsoft Teams i Exchange Online.

21 października Microsoft powiązał operację z grupą Storm-0940, którą identyfikuje jako działającą w interesie Chin. Według badaczy atakujący posługiwali się ARTEX-em – narzędziem automatyzującym testy penetracyjne przy użyciu agentów AI. Po przejęciu poświadczeń ConnectWise próbowali uwierzytelnić się w ponad 2250 tenantach. Ta liczba oznacza zasięg prób, a nie ilość skutecznie przejętych środowisk. ARTEX przyspieszał rozpoznanie i kolejne działania, ale sam dostęp wynikał z wykorzystania poświadczeń zaufanej aplikacji.

Z telemetrii Microsoftu wynika, że w części środowisk aktywność nie zakończyła się na otrzymaniu tokenu. Pojawiały się operacje rozpoznawcze przez Microsoft Graph, zmiany poświadczeń aplikacji i próby modyfikowania uprawnień. Nie należy jednak utożsamiać udanego uwierzytelnienia z odczytem danych. Badacze wyraźnie zaznaczają, że obecność narażonej na nadużycie integracji, a nawet skuteczne logowanie, nie przesądzają o wycieku informacji.

Najbardziej niepokojący epizod Huntress zaobserwował w jednym z tenantów 15 października. Aplikacja ConnectWise Cloud Management dla Microsoft Teams przypisała sobie rolę Global Administrator, po czym dodano nowe sekrety do dwóch innych aplikacji, w tym aplikacji Huntress. Cała sekwencja zajęła około pięciu minut. To istotny szczegół –  po wyłączeniu pierwotnie przejętej integracji napastnik mógł nadal próbować korzystać z poświadczeń dopisanych do innych tożsamości. Sama reakcja dostawcy nie usuwa takich zmian z katalogu klienta.

Co powinni sprawdzić administratorzy?

ConnectWise poinformował o unieważnieniu poświadczeń i wyłączeniu zagrożonych połączeń. Ruchy te zakłóciły działanie Cloud Backup i powiązanych usług. 28 października producent rozpoczął etapowe przywracanie tworzenia i odtwarzania kopii Microsoft 365 z użyciem nowej, dodatkowo zabezpieczonej aplikacji. Jednocześnie podał, że nie ma przesłanek wskazujących na naruszenie przechowywanych archiwów backupu. Nie oznacza to jednak, że wszystkie tenanty klientów można uznać za bezpieczne.

Microsoft zaleca przegląd środowisk, w których aplikacje ConnectWise były obecne również w przeszłości. W pierwszej kolejności warto sprawdzić logi Service principal sign-ins, aktywność Microsoft Graph oraz zdarzenia audytowe dotyczące dodawania sekretów, zmian uprawnień i przypisań ról. Identyfikację należy prowadzić po Application ID, nie po nazwie wyświetlanej aplikacji. Podejrzanych obiektów nie warto od razu usuwać – wcześniejsze zabezpieczenie dowodów ułatwia ustalenie, co faktycznie wydarzyło się w danym tenancie. Po analizie konieczne jest usunięcie nieautoryzowanych poświadczeń i uprawnień, także tych dodanych do innych aplikacji.

Dla partnerów zarządzających wieloma środowiskami oznacza to konieczność przeprowadzenia osobnej weryfikacji każdego tenanta. Wyłączenie połączeń przez ConnectWise ogranicza możliwość dalszego wykorzystywania przejętych poświadczeń dostawcy, ale nie cofa operacji wykonanych wcześniej. Incydent przypomina, że bezpieczeństwo Microsoft 365 zależy nie tylko od konfiguracji własnego tenanta. Duże znaczenie ma to, jak dostawcy usług zewnętrznych chronią poświadczenia aplikacji, którym organizacja przyznała dostęp do swoich danych. W tym przypadku przejęcie zaufanej integracji wystarczyło, aby zaatakować środowiska jej klientów, bez konieczności wcześniejszego przejmowania ich kont administracyjnych.