ConnectWise vypol Cloud Backup po neoprávnenom prístupe k aplikačným identitám

ConnectWise Cloud Backup bol preventívne odstavený po tom, ako dodávateľ 17. októbra potvrdil neoprávnený prístup k aplikačným identitám služby. Prerušené je tak vytváranie nových záloh až do odvolania. ConnectWise uvádza, že existujúci archív záloh má zostať zachovaný a zatiaľ nemá indikáciu kompromitácie partnerských záložných dát.

Incident sa týka identity aplikácie, nie bežného používateľského konta. Podľa zistení bezpečnostnej firmy Huntress útočníci zneužili kompromitované API tajomstvo Cloud Backup/SkyKick na získanie tokenov Microsoft Graph. Takýto prístup môže byť významný najmä pre poskytovateľov spravovaných služieb a ich zákazníkov s tenantmi Microsoft 365.

ConnectWise Cloud Backup je dočasne nedostupný

ConnectWise vypol prístup aplikácie Cloud Backup ako ochranné opatrenie. Zákazníci preto počas odstávky nemôžu prostredníctvom tejto služby vytvárať nové zálohy. ConnectWise zatiaľ neuviedol podrobnosti o obnovení služby; ďalší postup sa očakáva.

Dodávateľ zverejnil aj indikátory, ktoré majú administrátori preveriť v záznamoch svojich prostredí. Ide o service-principal prihlásenia pre App ID 506e08f9-6e9a-4da4-942b-a099a03644ae a IP adresu 144.172.64.128. ConnectWise zároveň upozornil, že samotná prítomnosť takéhoto indikátora automaticky nepotvrdzuje kompromitáciu konkrétneho tenantu.

Huntress potvrdil 162 neoprávnených prihlásení

Huntress k 16. októbru 19:00 UTC uvádzal 162 potvrdených neoprávnených prihlásení tenantov. Bezpečnostní výskumníci popísali scenár, v ktorom kompromitované API tajomstvo umožnilo získať tokeny Microsoft Graph. Aplikácia mala podľa Huntress rozsiahle oprávnenia, čo zvyšuje význam kontroly prístupov v zasiahnutých prostrediach.

V jednom detailne preverovanom tenante Huntress nezistil prístup k e-mailom ani súborom. To však samo osebe nepotvrdzuje, že k čítaniu alebo exfiltrácii dát nedošlo inde. Výskumníci upozorňujú, že niektoré čítania adresára cez Microsoft Graph nemusia vytvoriť auditnú stopu.

Huntress navyše v jednom tenante zaznamenal eskaláciu oprávnení prostredníctvom ďalšej aplikácie ConnectWise. Nie je potvrdené, či sa tento postup uplatnil aj v ďalších prostrediach, ani či po ňom útočníci získali trvalejší prístup.

Prečo nejde o bežné prihlásenie používateľa

Prípad sa netýka potvrdeného zneužitia softvérovej zraniteľnosti ani klasického prihlásenia používateľa. Kľúčovým prvkom bola kompromitovaná aplikačná identita a jej tajomstvo. Viacfaktorové overovanie používateľov preto samo osebe takémuto typu prístupu nezabráni, keďže aplikácie sa môžu autentifikovať samostatne prostredníctvom vlastných poverení.

Pre správcov je bezprostredným problémom aj medzera v nových zálohách počas odstávky služby. Existujúce archívy majú podľa ConnectWise zostať zachované, no organizácie používajúce službu potrebujú zohľadniť, že nové dáta sa cez Cloud Backup dočasne nezálohujú.

Čo majú administrátori preveriť

• Skontrolovať service-principal prihlásenia súvisiace s App ID 506e08f9-6e9a-4da4-942b-a099a03644ae.
• Vyhľadať v relevantných záznamoch IP adresu 144.172.64.128.
• Overiť stav a pokrytie aktuálnych záloh počas prerušenia Cloud Backup.
• Sledovať ďalšie oznámenia ConnectWise o obnovení služby a postupe pri povereniach.

Otvorenou otázkou zostáva, či útočníci pristupovali k zákazníckym dátam alebo ich exfiltrovali. Sekundárne správy uviedli počet 173 zasiahnutých tenantov, no aktuálne dostupný primárny blog Huntress výslovne potvrdzuje 162 tenantov. Vyššie číslo preto zatiaľ nemožno považovať za nezávisle potvrdené.

Overené a aktualizované: 17. 10. 2026 15:21