ConnectWise Cloud Backup: תוקפים השתלטו על זהויות Microsoft 365 של השירות, וספקי שירותים מנוהלים חייבים לבדוק כל לקוח

ConnectWise מאשרת גישה לא מורשית לזהויות האפליקציה של שירות Cloud Backup שלה, לשעבר SkyKick, המתחברות לסביבות Microsoft 365 של ספקי שירותים מנוהלים ושל לקוחותיהם. השירות מושעה, שבע זהויות הושבתו, וכל שותף נדרש לבדוק בעצמו את ה-tenants שלו.

מה קרה

ב-16 באוקטובר 2026 דיווחה ConnectWise על גישה לא מורשית לזהויות אפליקציה בסביבת Cloud Backup, שירות הגיבוי שלה ל-Microsoft 365 המיועד לספקי שירותים מנוהלים (MSP), שנמכר בעבר בשם SkyKick. זהויות אלה הן האפליקציות שהשותפים מאשרים ב-Entra ID כדי שהשירות יוכל לקרוא תיבות דואר, Teams או SharePoint. ב-17 באוקטובר השעתה ConnectWise את Cloud Backup, ובאותו יום בשעה 07:00 UTC השביתה שבע זהויות אפליקציה (Cloud Backup ושישה מודולים של Cloud Management) וביטלה את פרטי ההזדהות שלהן. חברת חקירות פורנזיות חיצונית גויסה.

ב-19 באוקטובר Cloud Backup, ‏SaaS Security ו-Cloud Management עדיין היו מושעים, ללא מועד חזרה: אין גיבויים מתוזמנים, גישה לארכיונים או שחזורים. לדברי היצרן, לא נצפתה פעילות זדונית מוצלחת מאז צעדי הבלימה.

מי מושפע

כל ספקי השירותים המנוהלים המשתמשים בכלים אלה וכל ה-tenants של הלקוחות המחוברים אליהם, כולל חיבורים רדומים. לפי The Hacker News, המצטט חוקרים, פרטי ההזדהות שנפרצו שימשו להתחברות ל-173 ‏tenants של Microsoft 365. ‏ConnectWise מבטיחה שארכיוני הגיבוי נשארים מוצפנים ומבודדים, אך מודה שאינה יכולה לקבוע בעצמה אם tenant מסוים חווה פעילות לא מורשית: הבדיקה מוטלת על כל מנהל מערכת.

מה לעשות עכשיו

1. ייצאו את היומנים עוד היום: ‏Entra ID שומר יומני התחברות וביקורת רק 7 ימים בגרסה החינמית ו-30 ימים ב-P1/P2. הורידו אותם כ-JSON, יחד עם הביקורת של Purview.
2. השביתו את האפליקציות אצלכם: ב-Entra ID, תחת Enterprise applications, אתרו כל Application ID שפרסמה ConnectWise (למשל 506e08f9-6e9a-4da4-942b-a099a03644ae עבור Cloud Backup), חסמו את ההתחברות ואל תמחקו דבר בשלב זה.
3. חפשו בהתחברויות מ-13 באוקטובר (עדיף מה-1 בחודש) את הכתובות 144.172.64.128, ‏144.172.64.99 ו-144.172.64.60 ואת ה-service principals הרלוונטיים.
4. בדקו את יומן הביקורת: סודות או תעודות שנוספו לאפליקציות, אפליקציות חדשות, הסכמות, הקצאות תפקידים, שינויים ב-Conditional Access, העברות דואר וכללי תיבת דואר נכנס.
5. היערכו לגיבוי חלופי כל עוד השירות מושבת.

הדעה שלנו

לכלי גיבוי יש הרשאות רחבות וקבועות על כל ה-tenants שהוא מגן עליהם: כשהזהות שלו נפרצת, כל הלקוחות חשופים בבת אחת. נהלו מלאי של אפליקציות צד שלישי בעלות גישה ל-Microsoft 365 שלכם, צמצמו את הרשאותיהן ושמרו יומנים זמן רב יותר מברירת המחדל של הפלטפורמה.

מקורות

• ConnectWise Trust Center — Advisory on Cloud Backup Service Interruption
• ConnectWise — Cloud Backup technical investigation and remediation guide
• ConnectWise Status — Cloud Backup security issue
• The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
• The Hacker News — ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←