Пробив в ConnectWise Cloud Backup засегна Microsoft 365 среди чрез доверени приложения

Какво се случи

ConnectWise временно спря услугата си Cloud Backup, известна преди като SkyKick, след като беше установен неоторизиран достъп до приложни идентичности, използвани за връзка с клиентски среди в Microsoft 365.

На 15 октомври бяха засечени необичайни влизания към Microsoft 365 среди чрез приложението на ConnectWise. Според разследването на Huntress до вечерта на 16 октомври са били потвърдени неоторизирани влизания в поне 162 клиентски среди. На 17 октомври ConnectWise деактивира седем свързани приложни идентичности и прекрати използваните сертификати, за да спре нови удостоверявания през засегнатите връзки.

Компанията потвърждава, че разследването продължава. Към момента няма данни, че съхраняваните архиви на Cloud Backup са били компрометирани. Те остават криптирани и изолирани. Това обаче не дава автоматичен отговор дали отделни активни Microsoft 365 среди са били засегнати.

Защо този инцидент е различен

Това не е стандартна атака срещу отделен потребителски акаунт.

Cloud Backup използва приложни идентичности с широк достъп до услуги като:

• Exchange Online;

• OneDrive;

• SharePoint;

• Microsoft Teams;

• данни в Microsoft Entra;

• други ресурси, необходими за архивиране и възстановяване.

Тези права са необходими, за да може услугата да изпълнява функцията си. Същите права обаче означават, че компрометирана приложна идентичност може да се превърне в привилегирован път към множество клиентски среди. Това е същността на риска при атака по веригата на доставки: доверието, което позволява на услугата да работи, може да бъде използвано и от атакуващия.

Проблемът не приключва с изключването на приложението

ConnectWise подчертава важна подробност.

Деактивирането на засегнатите връзки предотвратява ново удостоверяване през тях, но не отменя автоматично действия, които вече са били извършени в клиентската среда. Вече издадени токени за достъп могат да останат валидни до изтичането или принудителното им анулиране.

Освен това трябва да се провери дали атакуващият не е:

• добавил нови данни за удостоверяване;

• променил права на приложения;

• създал допълнителни идентичности;

• присвоил административни роли;

• създал правила за препращане на поща;

• променил настройки в Exchange, Teams или SharePoint;

• установил друг механизъм за запазване на достъп.

Точно затова спирането на интеграцията е само първата стъпка.

Как е използвана приложната идентичност

Huntress установява, че компрометирана идентичност, свързана с ConnectWise Cloud Backup, е била използвана за получаване на Microsoft Graph токени в клиентски среди. При поне един разследван случай друга ConnectWise идентичност е получила ролята Global Administrator, след което са били добавени нови удостоверителни данни към други приложения в същата среда. Това показва важна разлика между компрометиране на акаунт и компрометиране на приложение.

При традиционната атака често се търси необичайно влизане на човек. При този тип инцидент злонамерената активност може да изглежда като действие на доверено приложение, което по принцип има право да комуникира със средата.

Защо приложните идентичности изискват същото внимание като административните акаунти

Организациите често поставят силен фокус върху защитата на потребителски и администраторски акаунти. Приложенията обаче също имат идентичности, права и удостоверителни данни.

В Microsoft 365 това включва service principals и други приложни идентичности, които могат да получават достъп до данни без интерактивно влизане от човек. Ако такава идентичност има широки права, компрометирането ѝ може да даде достъп до значителна част от средата.

Затова трябва да бъде ясно:

• кои приложения имат достъп до Microsoft 365;

• какви права притежават;

• защо тези права са необходими;

• кога са използвани последно;

• кой може да променя разрешенията им;

• как се наблюдават необичайни влизания;

• как се анулират техните удостоверителни данни при инцидент.

Рискът е особено важен за MSP средите

Cloud Backup е услуга, използвана широко от MSP (Managed Service Provider. доставчик на управлявани ИТ услуги) компании за защита на клиентски Microsoft 365 и Google Workspace данни. Това създава естествена концентрация на достъп. Една доверена доставчикова интеграция може да има права в голям брой клиентски среди.

За MSP това означава, че контролът върху доставчиковите приложения не е просто технически детайл. Той е част от управлението на риска за цялото клиентско портфолио.

При инцидент трябва бързо да се установи:

• кои клиенти използват засегнатото приложение;

• какви права са предоставени;

• има ли необичайни влизания;

• извършвани ли са промени по роли и разрешения;

• създадени ли са нови удостоверителни данни;

• има ли действия след първоначалния достъп.

Какво трябва да проверят организациите

ConnectWise препоръчва партньорите и клиентите да прегледат Microsoft Entra журналите за влизане на приложения и промените в разрешенията.

Практически проверката трябва да включва:

• влизания чрез засегнатите приложни идентичности;

• необичайни източници на удостоверяване;

• промени по service principals;

• нови или променени удостоверителни данни;

• предоставени административни роли;

• промени в разрешенията на приложения;

• подозрителни правила в Exchange;

• необичайни действия в SharePoint и Teams;

• валидни токени, издадени преди деактивирането на приложението;

• други механизми за запазване на достъп.

Особено важно е да се разглежда хронологията на действията преди спирането на интеграцията.

DIAMATIX коментар

Този инцидент показва защо доверието към външна услуга не може да бъде равнозначно на неограничено доверие към нейната идентичност. Cloud приложенията често получават значителни права, защото това е необходимо за работата им. Но всяка привилегия създава и потенциален път за атака.

При компрометиране на такава интеграция основният въпрос не е само:

„Изключихме ли приложението?“

Трябва да знаем и:

„Какво успя да направи тази идентичност, докато достъпът беше валиден?“

Това изисква журналите за удостоверяване, административните промени и действията на приложенията да се разглеждат като една последователност. При атаки по веригата на доставки времето между първоначалното предупреждение и проверката на всички засегнати клиентски среди е критично.

Практически извод

ConnectWise Cloud Backup показва един от основните рискове на съвременните облачни среди:

приложението може да бъде едновременно доверен инструмент и привилегирован път към системата.

Затова управлението на приложенията трябва да включва същите принципи, които се прилагат към човешките административни акаунти:

минимални права → наблюдение → периодичен преглед → бързо отнемане на достъпа → проверка след инцидент.

Деактивирането на компрометирана интеграция спира един път за достъп. Разследването трябва да установи дали атакуващият вече е създал друг.

Проверете кои външни приложения имат привилегирован достъп до вашата Microsoft 365 среда и дали можете да проследите какво правят с тези права.

Свържете се с DIAMATIX

Източници

• ConnectWise Trust Center. Cloud Backup Service Interruption and Investigation Updates, 16–18 October 2026.

• Huntress. ConnectWise (SkyKick) Vendor Credentials Abused in Microsoft 365 Attacks, October 2026.

• Microsoft. Investigation and guidance related to unauthorized activity involving ConnectWise Cloud Backup.

• BleepingComputer. Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack, 17 October 2026.