ConnectWise 17 октября отключила приложению Cloud Backup доступ к клиентским средам Microsoft 365 после обнаружения несанкционированного доступа к его идентификаторам. Сервис резервного копирования, ранее называвшийся SkyKick Cloud Backup, приостановлен до дальнейшего уведомления. Существующие архивы не затронуты и снова станут доступны после восстановления работы.
Huntress зафиксировала подтверждённые несанкционированные входы в 173 партнёрские и клиентские среды Microsoft 365. Злоумышленники использовали скомпрометированные учётные данные приложения и получали токены с уже выданными Cloud Backup разрешениями. Такая авторизация проходит от имени приложения, поэтому не требует пользовательского пароля или подтверждения через многофакторную аутентификацию.
В зависимости от настроек среды эти разрешения могли открывать доступ к почте и вложениям, файлам OneDrive и SharePoint, переписке Teams и данным каталога. Подтверждённые входы не означают, что во всех 173 средах произошла выгрузка данных: ConnectWise не обнаружила признаков компрометации архивов, а сообщения о краже писем, файлов и переписки компания не подтвердила.
При этом Huntress наблюдала повышение привилегий в части исследованных сред. В одном случае связанное с ConnectWise приложение для Microsoft Teams назначило себе роль глобального администратора и добавило новые учётные данные к двум другим доверенным приложениям. Microsoft охарактеризовала инцидент как активную атаку через цепочку поставок.
Администраторам следует открыть в Microsoft Entra журнал входов служебных приложений, проверить активность ConnectWise Cloud Backup или SkyKick Cloud Backup и обратить внимание на неожиданные адреса и изменения разрешений. Полный порядок проверки опубликован в официальном уведомлении ConnectWise.