ConnectWise Cloud Backup: مهاجمون استولوا على هويات Microsoft 365 الخاصة بالخدمة، وعلى مزوّدي الخدمات المُدارة تدقيق كل عميل

تؤكد ConnectWise حدوث وصول غير مصرّح به إلى هويات التطبيقات الخاصة بخدمة Cloud Backup، المعروفة سابقًا باسم SkyKick، والتي تتصل ببيئات Microsoft 365 لدى مزوّدي الخدمات المُدارة وعملائهم. الخدمة معلّقة، وعُطّلت سبع هويات، وعلى كل شريك فحص بيئاته بنفسه.

ماذا حدث

في 16 أكتوبر 2026، أبلغت ConnectWise عن وصول غير مصرّح به إلى هويات تطبيقات في بيئة Cloud Backup، خدمتها للنسخ الاحتياطي لـ Microsoft 365 الموجّهة إلى مزوّدي الخدمات المُدارة (MSP)، والتي كانت تُباع سابقًا باسم SkyKick. هذه الهويات هي التطبيقات التي يأذن بها الشركاء في Entra ID كي تتمكن الخدمة من قراءة صناديق البريد وTeams وSharePoint. علّقت ConnectWise الخدمة في 17 أكتوبر، ثم عطّلت في اليوم نفسه عند الساعة 07:00 بالتوقيت العالمي سبع هويات تطبيقات (Cloud Backup وست وحدات من Cloud Management) وألغت بيانات اعتمادها. كما استعانت بشركة تحقيقات جنائية رقمية خارجية.

حتى 19 أكتوبر، بقيت خدمات Cloud Backup وSaaS Security وCloud Management معلّقة دون موعد للاستئناف: لا نسخ مجدولة ولا وصول إلى الأرشيف ولا استعادة. وتقول الشركة إنها لم ترصد أي نشاط خبيث ناجح منذ إجراءات الاحتواء.

من المتأثر

كل مزوّدي الخدمات المُدارة الذين يستخدمون هذه الأدوات، وكل بيئات العملاء المرتبطة بها، بما فيها الاتصالات الخاملة. وبحسب The Hacker News، نقلًا عن باحثين، استُخدمت بيانات الاعتماد المخترقة لتسجيل الدخول إلى 173 بيئة Microsoft 365. تؤكد ConnectWise أن أرشيفات النسخ الاحتياطي ما زالت مشفّرة ومعزولة، لكنها تقرّ بأنها لا تستطيع وحدها تحديد ما إذا كانت بيئة معيّنة قد تعرّضت لنشاط غير مصرّح به: هذا التحقق يقع على عاتق كل مسؤول.

ماذا تفعل الآن

1. صدّر السجلات اليوم: يحتفظ Entra ID بسجلات تسجيل الدخول والتدقيق 7 أيام فقط في النسخة المجانية و30 يومًا في P1/P2. نزّلها بصيغة JSON مع سجل تدقيق Purview.
2. عطّل التطبيقات لديك: في Entra ID، ضمن Enterprise applications، ابحث عن كل Application ID نشرته ConnectWise (مثل 506e08f9-6e9a-4da4-942b-a099a03644ae لـ Cloud Backup)، وامنع تسجيل الدخول دون حذف أي شيء حاليًا.
3. افحص عمليات تسجيل الدخول منذ 13 أكتوبر (ويُفضّل منذ الأول من الشهر) بحثًا عن العناوين 144.172.64.128 و144.172.64.99 و144.172.64.60 وعن كيانات الخدمة المعنية.
4. راجع سجل التدقيق: أسرار أو شهادات أُضيفت إلى تطبيقات، تطبيقات جديدة، موافقات، إسناد أدوار، تغييرات في الوصول المشروط، إعادة توجيه البريد وقواعد صندوق الوارد.
5. جهّز نسخًا احتياطيًا بديلًا طالما بقيت الخدمة متوقفة.

رأينا

تملك أداة النسخ الاحتياطي صلاحيات واسعة ودائمة على كل البيئات التي تحميها: إذا اختُرقت هويتها، انكشف جميع العملاء دفعة واحدة. احتفظ بجرد للتطبيقات الخارجية التي تصل إلى Microsoft 365 لديك، وقلّص صلاحياتها، واحفظ السجلات مدة أطول مما توفره المنصة افتراضيًا.

المصادر

• ConnectWise Trust Center — Advisory on Cloud Backup Service Interruption
• ConnectWise — Cloud Backup technical investigation and remediation guide
• ConnectWise Status — Cloud Backup security issue
• The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
• The Hacker News — ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants

كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←