Ta strona używa plików cookies, aby zapewnić najlepszą jakość korzystania z naszego serwisu oraz do celów analitycznych. Klikając "Akceptuję", wyrażasz zgodę na używanie wszystkich plików cookies. Możesz również odrzucić zgodę, co spowoduje zablokowanie plików cookies analitycznych. Więcej informacji znajdziesz w naszej Polityce Prywatności.
ConnectWise wstrzymuje Cloud Backup po przejęciu tożsamości aplikacyjnych Microsoft 365
ConnectWise wyłączył siedem tożsamości aplikacyjnych i unieważnił powiązane certyfikaty.
Cloud Backup nie wykonuje zaplanowanych kopii, a dostęp do archiwów i przywracania pozostaje niedostępny.
Huntress wykrył aktywność logowania w niemal 1000 dzierżaw Microsoft Entra, z czego około 300 logowań zakończyło się powodzeniem.
Nie ma dowodów na naruszenie lub dostęp do istniejących, zaszyfrowanych archiwów kopii zapasowych.
Sponsorowane
Odkryj rewolucyjną metodę nauki języków
Sprawdź jak w 30 dni opanować podstawy dowolnego języka obcego bez wychodzenia z domu.
ConnectWise poinformował 17 października 2026 roku, że wyłączył siedem tożsamości aplikacyjnych po wykryciu nieautoryzowanego dostępu, który doprowadził do naruszenia części środowisk Microsoft 365 klientów. Firma prowadzi dochodzenie, a za incydent odpowiadają według obecnych ustaleń nieznani sprawcy. W ramach reakcji zawieszono usługę Cloud Backup, a także tymczasowo wyłączono usługi SaaS Security i Cloud Management. Decyzja ma ograniczyć możliwość dalszego wykorzystywania przejętych połączeń, ale sama nie odwraca zmian, które mogły zostać wcześniej wprowadzone w dzierżawach klientów.
Wyłączenie siedmiu tożsamości nastąpiło 17 października o godzinie 07:00 czasu UTC. ConnectWise unieważnił również certyfikaty używane przez dotknięte połączenia aplikacyjne we wszystkich środowiskach użytkowników. Oznacza to, że za pomocą tych połączeń nie powinny powstawać nowe uwierzytelnienia. Wspólne dane uwierzytelniające usługi Cloud Backup nie są już ważne, jednak wcześniej wydane tokeny dostępu mogą pozostać użyteczne do czasu wygaśnięcia lub osobnego unieważnienia. Firma zaznacza także, że inne poświadczenia, uprawnienia
Słownik artykułu
Pojęcia, które warto znać
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
lub mechanizmy dostępu utworzone za pośrednictwem odrębnych tożsamości wymagają osobnego sprawdzenia.
Wyłączono siedem tożsamości aplikacyjnych powiązanych z usługami ConnectWise.
Zawieszono Cloud Backup i unieważniono certyfikaty używane przez dotknięte połączenia.
Zaplanowane kopie zapasowe nie są wykonywane, a przywracanie danych pozostaje niedostępne.
Istniejące archiwa mają pozostać zaszyfrowane, odizolowane i zachowane; nie ma dowodów na ich naruszenie.
Kopie zapasowe są niedostępne, ale nie ma dowodów ich przejęcia
Zawieszenie Cloud Backup oznacza, że zaplanowane zadania tworzenia kopii nie są obecnie uruchamiane. Klienci nie mogą także korzystać z objętych incydentem archiwów ani z funkcji przywracania. ConnectWise podkreśla jednak, że istniejące archiwa pozostają zaszyfrowane i odseparowane. Na obecnym etapie firma nie znalazła dowodów, aby sprawcy uzyskali do nich dostęp albo je naruszyli. Jest to istotne rozróżnienie: przerwanie działania usługi ogranicza nowe operacje, ale nie przesądza o tym, czy w poszczególnych dzierżawach wcześniej zmieniono uprawnienia lub dodano nowe mechanizmy dostępu.
ConnectWise podał, że problem wykryto 14 października dzięki zaawansowanemu monitoringowi bezpieczeństwa i działaniom kontrolnym. Po identyfikacji incydentu uruchomiono wewnętrzne i zewnętrzne procedury dochodzeniowe oraz reagowania. Firma twierdzi, że po wdrożeniu opisanych zabezpieczeń nie zaobserwowała skutecznej aktywności sprawców w monitorowanych przez siebie środowiskach. Jednocześnie zaznacza, że nie ma bezpośredniej widoczności środowisk klientów znajdujących się poza zakresem jej monitoringu. Nie ustalono jeszcze, czy do przejęcia tożsamości przyczyniła się podatność produktu. Mechanizm ujawnienia lub pozyskania poświadczeń jest nadal analizowany.
Przejęta tożsamość mogła otworzyć dostęp do wielu usług
Ryzyko wynika z modelu działania aplikacji mających szerokie uprawnienia w Microsoft 365. Sprawca, który uzyska dane uwierzytelniające aplikacji, nie musi przejmować hasła każdego użytkownika osobno. Może próbować uwierzytelnić się jako sama aplikacja i uzyskać tokeny dostępu w Microsoft Entra ID, korzystając z uprawnień już przypisanych do tej tożsamości. Zakres potencjalnego dostępu zależy od konfiguracji konkretnej dzierżawy. Przy odpowiednio szerokich uprawnieniach w grę mogą wchodzić skrzynki pocztowe, dokumenty SharePoint, wiadomości Teams oraz informacje katalogowe. Samo udane logowanie aplikacji nie dowodzi jednak, że wszystkie te dane zostały odczytane.
W materiale dotyczącym incydentu wskazano również na ryzyko utrzymania dostępu po początkowym przejęciu. Sprawca mógł próbować przypisać aplikacji rolę Global Administrator, dodać sekrety aplikacji do innych zaufanych rejestracji albo utworzyć nowe aplikacje z odpowiednimi uprawnieniami. Takie działania, jeśli doszły do skutku, tworzyłyby dodatkowe ścieżki uwierzytelniania. W praktyce oznacza to, że samo unieważnienie pierwotnego poświadczenia nie zawsze wystarcza. Konieczne jest także sprawdzenie zmian w rejestracjach aplikacji, rolach, sekretach, zgodach i logach aktywności w każdej potencjalnie dotkniętej dzierżawie.
Huntress potwierdza aktywność w środowiskach Microsoft 365
Firma Huntress przekazała, że ostatnie złośliwe logowania z pierwotnie wykorzystywanego adresu zaobserwowała 15 października o 08:45 czasu UTC. Ukierunkowana, ręczna aktywność miała trwać do około 14:20. Huntress nie wykrył później nowej aktywności tego typu, ale nie ma dowodów, że zatrzymanie działań było skutkiem publicznego ujawnienia incydentu. Według firmy z dużą pewnością celem były również aplikacje ConnectWise Cloud Management związane z Exchange Online, Microsoft Teams i SharePoint. Potwierdzono nadużycie aplikacji Teams w jednej dzierżawie. Według dostępnych ustaleń te aplikacje nie zostały wyłączone przez ConnectWise, dlatego dodatkowa aktywność mogła pochodzić także z ich użyciem.
Huntress zidentyfikował aktywność logowania z powiązanego źródła w niemal 1000 dzierżaw Microsoft Entra. Około 300 logowań zakończyło się powodzeniem, ale nie oznacza to automatycznie, że w każdej z tych dzierżaw doszło do przejęcia danych lub trwałego dostępu. W części środowisk brak odpowiedniego obiektu service principal miał uniemożliwić sprawcy dalsze działania. Wykryto także drugą, ukierunkowaną falę prób skierowaną do 16 dzierżaw. Obejmowały one podmioty z sektorów polityki, bezpieczeństwa narodowego, handlu i surowców krytycznych. Próby te miały być nieskuteczne, a ich zakres obejmował między innymi Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra i interfejsy zarządzania Microsoft 365.
Jak ograniczać skutki podobnego incydentu
Huntress zaleca partnerom i administratorom rozpoczęcie od przeglądu poświadczeń, uprawnień i zmian w rejestracjach aplikacji, a nie tylko od zmiany haseł użytkowników. Warto sprawdzić, czy w środowisku nie pojawiły się nowe aplikacje, sekrety klienta, nietypowe role administracyjne lub zgody przyznane aplikacjom. Szczególnej uwagi wymagają role Application Administrator i Cloud Application Administrator, ponieważ osoby je posiadające mogą zarządzać aplikacjami i ich poświadczeniami. Ograniczenie liczby administratorów z tymi rolami zmniejsza możliwość nieautoryzowanego dodania nowego poświadczenia.
Jako dodatkowe zabezpieczenia Huntress wskazuje zasady zarządzania aplikacjami, które mogą ograniczać lub blokować sekrety klienta oraz skracać czas ich ważności. Conditional Access dla tożsamości obciążeń może ograniczać miejsca, z których aplikacja może się uwierzytelniać, natomiast Microsoft Entra ID Protection może sygnalizować ryzykowne service principals. Mechanizmy te nie zastępują ręcznego przeglądu poświadczeń i zmian w środowisku, ale mogą utrudnić wykorzystanie nieautoryzowanego sekretu albo ułatwić wykrycie takiej próby. Dochodzenie ConnectWise trwa, a firma nie potwierdziła dotąd, czy źródłem problemu była podatność produktu, czy inny sposób ujawnienia danych uwierzytelniających.
