ConnectWise vypnul cloudové zálohy, útočník zneužil účet do Microsoft 365

ConnectWise 17. října 2026 vypnul přístup ke Cloud Backup po neoprávněném přístupu k aplikačním identitám služby; stavová stránka ConnectWise uvádí, že k aktualizaci z 20. října stále nefungovaly plánované zálohy, přístup k archivům ani obnova. Pozastavené zůstaly také navázané služby SaaS Security a Cloud Management.

Útočník použil kompromitované aplikační tajemství k přihlášení do zákaznických tenantů Microsoft 365; technický rozbor Huntress dokládá neoprávněná přihlášení 15. října a následné změny oprávnění ve dvou tenantech. Přístup do živých prostředí je doložen přihlašovacími a auditními záznamy. Existující šifrované záložní archivy zůstávají zachované a přístup útočníka k nim zatím není doložen.

Jak se incident vyvíjel

ConnectWise zjistil problém 14. října a první veřejné oznámení zveřejnil 16. října. Neoprávněná přihlášení přes identitu Cloud Backup se odehrála 15. října: aplikace získávala přístupové tokeny Microsoft Graph z adresy 144.172.64.128, zatímco její obvyklý provoz vycházel z privátního adresního prostoru Azure. Přihlášení aplikace nevyžaduje uživatelský účet ani výzvu k vícefaktorovému ověření; rozhodující jsou oprávnění, která už aplikace v tenantu dostala.

Dne 17. října přibližně v 05:00 UTC začal ConnectWise vypínat přístup Cloud Backup a v 07:00 UTC deaktivoval související aplikační identity. Zrušil certifikáty dotčených spojení a zneplatnil sdílené přihlašovací údaje. Tím zabránil novému ověřování přes vypnutá spojení, ale dříve vydané tokeny mohly zůstat použitelné do vypršení platnosti a samostatně přidané přihlašovací údaje vyžadují zásah v příslušném tenantu.

V dotčeném prostředí Cloud Backup dokončila firma 19. října reset účtů a přihlašovacích údajů. Ke stavu zveřejněnému 20. října v 19:05 UTC připravovala obnovu po etapách, její zahájení však ještě neoznámila. Po zahájení očekává několikadenní postup s bezpečnostním ověřením jednotlivých kroků.

Identit je sedm, název aplikace nestačí

Bezpečnostní oznámení ConnectWise uvádí sedm aplikačních identit deaktivovaných 17. října v 07:00 UTC. Pro kontrolu v Microsoft Entra ID je podstatné ID aplikace: starší instalace mohou používat název SkyKick Cloud Manager. Správce má u nalezené podnikové aplikace zaznamenat také její místní ID objektu, které se používá při dohledávání změn v daném tenantu.

• ConnectWise Cloud Backup — 506e08f9-6e9a-4da4-942b-a099a03644ae.
• ConnectWise Cloud Management — 2399d300-6fca-4e6a-a686-399fefe75b83.
• Cloud Management – MS Teams — 24205314-2b89-4e07-a2a4-579e898a5640.
• Cloud Management – Exchange Online — b78f6a77-d4e5-46fb-87e5-d1648bd02519.
• Cloud Management – MS Graph — 0de14c77-b9b0-4137-9360-34878a929827.
• Cloud Management – Partner Center — 412dcf96-176d-4b3a-a1b0-4981ad66971e.
• Cloud Management – SharePoint Online — b2b55f5b-7758-4719-8d8f-88ae172e6bdb.

Deaktivace u dodavatele sama o sobě neprokazuje, že je každá podniková aplikace vypnutá i v zákaznickém tenantu. Kontrola proto zahrnuje tenant poskytovatele spravovaných služeb i zákaznické tenanty, včetně těch se starším, zdánlivě nevyužívaným spojením SkyKick. Samotná přítomnost legitimní aplikace však není známkou napadení konkrétní organizace.

Přihlášení v tenantu a stav archivů jsou různé nálezy

V jednom z prověřovaných tenantů si identita Cloud Management pro Microsoft Teams přidělila roli globálního správce a přidala nová tajemství dvěma dalším aplikacím, včetně Huntress Security Platform. V dalším tenantu se objevilo obdobné přidání role a nových tajemství. Takto vytvořený přístup může přetrvat i po vypnutí původního spojení ConnectWise, dokud správce neprověří a neodebere neoprávněné údaje v cílových aplikacích.

Oprávnění zálohovací aplikace mohou podle konfigurace zahrnovat poštu, soubory v OneDrive a SharePointu, obsah Teams i adresářové údaje. Úspěšné přihlášení a vydání tokenu ukazují, že aplikace získala přístup, samy však neurčují, která data byla skutečně čtena nebo změněna. Některá čtení přes Microsoft Graph nezanechávají záznam, z něhož by šlo rozsah zpětně úplně rekonstruovat.

Uložené archivy Cloud Backup zůstávají šifrované, izolované a zachované; dosavadní šetření neukázalo, že k nim útočník přistoupil. Pro zákazníky má výpadek přesto přímý dopad: nepřibývají nové body obnovy a existující archivy nejsou po dobu pozastavení služby dostupné pro obnovu. Současně nefunguje dohled a upozornění SaaS Security ani správa uživatelů a licencí přes Cloud Management.

Co má správce prověřit v Microsoft 365

Kontrola musí spojit přihlášení instančních objektů služeb s auditními záznamy o změnách. Shoda s podezřelou IP adresou je důvod k prošetření; neúspěšný pokus, úspěšné přihlášení, přidání tajemství a přístup k datům jsou odlišné nálezy. Vyhledávání podle jediné adresy nestačí, protože část následných změn přišla z privátního adresního prostoru Azure.

1. V Microsoft Entra ID otevřít podnikové aplikace, ověřit stav uvedených ID a ponechat dotčená spojení vypnutá. Zachovat dostupné přihlašovací a auditní záznamy; aplikace hned nemazat, aby zůstala její konfigurace a vazby pro šetření.
2. V přihlašovacích protokolech vybrat Service principal sign-ins, nikoli výchozí pohled na uživatelská přihlášení. Projít uvedená ID od 13. října, rozlišit úspěšné a neúspěšné události a zkontrolovat adresu 144.172.64.128 i další neobvyklé zdroje.
3. V auditních protokolech dohledat přidělení správcovských rolí, nová tajemství, certifikáty, vlastníky aplikací a udělená oprávnění. Prověřit také změny zásad, přesměrování pošty, pravidla doručené pošty a delegovaný přístup; neznámé položky porovnat se schválenými změnami.

Potvrzený neoprávněný přístup je třeba odstranit i v dalších aplikacích, do nichž mohlo být vloženo nové tajemství. Záznam o přihlášení z adresy 144.172.64.128 pomůže vymezit část aktivity, ale nepostihne každou možnou navazující změnu. Rozsah v jednotlivém zákaznickém tenantu musí určit jeho vlastní protokoly a kontrola současných oprávnění.

Obnova čeká na bezpečnostní ověření

ConnectWise připravuje postupné obnovení služeb a před opětovným zapnutím spojení má partnerům dát pokyny. Do té doby se mezera bez nových bodů obnovy dál prodlužuje; její skutečnou délku určuje poslední úspěšná záloha každého tenantu. Rozhodující další zprávou bude zahájení obnovy a potvrzení, kdy budou znovu dostupné zálohovací úlohy a obnovy z archivů.

Přečtěte si také:

• Maia 300 má pohánět Microsoft AI, slibuje o 40 % více tokenů
• Gemini, nebo Microsoft 365 Copilot: rozhoduje balík, ve kterém už pracujete
• Asana, nebo monday.com: tři placená místa mění účet malého týmu