13 października 2026 roku rozpoczął się atak łańcucha dostaw na ConnectWise Cloud Backup, dawniej SkyKick. To popularne wśród firm IT narzędzie do kopii zapasowych Microsoft 365. Według Huntress napastnicy uzyskali dostęp do co najmniej 173 środowisk partnerów i klientów, a Microsoft określił incydent jako aktywny atak na łańcuch dostaw. 17 października ConnectWise wyłączył siedem tożsamości aplikacyjnych i odciął klientom dostęp do usługi. Nie wiadomo jeszcze, w jaki sposób przestępcy weszli w posiadanie poświadczeń producenta.
Dlaczego MFA nie pomogło
Atakujący nie logowali się na konta użytkowników. Uwierzytelniali się jako sama aplikacja, używając jej sekretu, za pomocą prostych skryptów. Takie logowanie nie podlega uwierzytelnianiu wieloskładnikowemu. Aplikacja backupowa ma z natury szerokie uprawnienia, nadane wcześniej przez klientów: odczyt i zapis poczty, plików OneDrive i SharePoint, czatów Teams oraz danych katalogu. Z tymi samymi uprawnieniami wszedł do środowisk intruz. Środowiska odwiedzał jedno po drugim, w odstępach kilku sekund, co wskazuje na działanie według gotowej listy celów.
Eskalacja uprawnień
W części tenantów aplikacje ConnectWise Cloud Management przyznawały sobie role administracyjne, najczęściej Exchange Administrator. W jednym przypadku aplikacja Teams dostała rolę Global Administratora, a następnie do narzędzia zarządzającego MSP oraz do aplikacji Huntress dodano nowe sekrety. To szczególnie groźne, bo przejęcie narzędzia dostawcy usług może dać dostęp do wielu kolejnych klientów. ConnectWise ostrzega, że samo wyłączenie jego aplikacji nie usuwa poświadczeń i uprawnień, które napastnicy zdążyli dodać w środowiskach klientów.
Co zrobić
Administratorzy powinni w Entra ID otworzyć logi logowań w zakładce “Service principal sign-ins” i przefiltrować je po identyfikatorze aplikacji Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae). Warto szukać logowań z adresów spoza zakresów Microsoft, w szczególności z IP 144.172.64.128. Należy wyłączyć aplikacje ConnectWise do czasu zakończenia śledztwa i sprawdzić, czy od 13 października nie dodano nowych sekretów lub certyfikatów do jakichkolwiek aplikacji. Trzeba też przejrzeć audyt ról katalogowych pod kątem samoczynnie przyznanych uprawnień. Pamiętajmy, że wydane tokeny mogą działać jeszcze do 90 minut, a unieważnienie sesji użytkowników nie przerywa dostępu aplikacji. Warto włączyć logi aktywności Microsoft Graph, bo część odczytów katalogu bez nich nie zostawia śladu.
Wnioski
Ten incydent pokazuje, że zgoda nadana zewnętrznej aplikacji w Microsoft 365 działa jak klucz zapasowy do całej firmy, a MFA go nie chroni. Dwie zasady wystarczą, by ograniczyć skutki podobnych ataków: regularnie przeglądać zgody i aplikacje korporacyjne oraz usuwać zbędne uprawnienia typu Directory.ReadWrite.All. Firmy korzystające z usług zewnętrznych dostawców IT powinny zapytać ich wprost, czy używają tego narzędzia i jakie ma uprawnienia w ich tenancie.