ConnectWise: drie clouddiensten stil, back-ups vallen uit

ConnectWise schortte op 17 oktober 2026 drie clouddiensten op na ongeoorloofde toegang tot Cloud Backup-applicatie-identiteiten: Cloud Backup, SaaS Security en Cloud Management. Volgens de leveranciersupdate van 20 oktober om 19.00 uur UTC zijn de diensten nog steeds buiten gebruik. Geplande back-ups, toegang tot bestaande archieven en restores zijn daardoor niet beschikbaar; beheerders moeten daarnaast hun eigen Microsoft 365-tenant en die van klanten op ongeoorloofde applicatietoegang onderzoeken.

Voor klanten van de Nederlandse dienstverlener Universal.cloud worden sinds de stillegging geen nieuwe Microsoft 365-back-ups gemaakt en zijn restores niet mogelijk. Mail, Teams, OneDrive en SharePoint blijven bij hen wel werken. Dat verschil is wezenlijk: een onderbroken back-updienst zegt op zichzelf niets over mogelijke handelingen in een live klanttenant.

Van ontdekking tot stillegging

ConnectWise begon na de ontdekking van het probleem op 14 oktober een onderzoek en publiceerde op 16 oktober zijn eerste advies. Op 17 oktober om 07.00 uur UTC schakelde het zeven betrokken applicatie-identiteiten uit. Het trok certificaten voor de verbindingen in en maakte gedeelde Cloud Backup-inloggegevens ongeldig. Een toegangstoken dat vóór die ingreep is uitgegeven, kan nog werken totdat het verloopt of afzonderlijk ongeldig wordt gemaakt. De maatregel draait evenmin wijzigingen terug die eerder binnen een klanttenant zijn aangebracht.

Cloud Backup was de direct getroffen dienst. SaaS Security en Cloud Management gingen uit voorzorg ook offline omdat ze ermee zijn geïntegreerd. Naast de ontbrekende back-ups en restores betekent dat een onderbreking van SaaS Security-monitoring en waarschuwingen en van gebruikers- en licentiebeheer via Cloud Management. Het is dus een bredere operationele stilstand dan alleen een gemiste geplande back-uptaak.

Op 19 oktober rondde ConnectWise een reset van accounts en inloggegevens in de getroffen Cloud Backup-omgeving af. De leverancier bereidt een gefaseerde herstart voor, waarbij eerst de kerninfrastructuur en daarna gevoelige verbindingen veiligheidscontroles moeten doorstaan. Er is nog geen bevestigd startmoment voor herstel; zodra het begint, verwacht ConnectWise dat het proces meerdere dagen duurt.

Bewaarde archieven, afzonderlijk risico voor live tenants

Bestaande ConnectWise Cloud Backup-archieven blijven bewaard, terwijl toegang tot live Microsoft 365-tenants afzonderlijk onderzocht moet worden.

Bestaande Cloud Backup-archieven zijn volgens ConnectWise versleuteld, geïsoleerd en bewaard. Het bedrijf heeft geen aanwijzingen dat die opgeslagen kopieën zijn ingezien of gecompromitteerd. Tijdens de onderbreking zijn ze echter ook voor klanten onbereikbaar. De toestand van het archief geeft geen uitsluitsel over de live Microsoft 365-omgeving: de betrokken applicatie-identiteiten konden daar met eerder verleende rechten werken.

Huntress bevestigde op 16 oktober om 19.00 uur UTC ongeoorloofde aanmeldingen in 162 onderzochte Microsoft 365-tenants. De onderzoekers zagen op 15 oktober dat de Cloud Backup-identiteit vanaf 144.172.64.128 Microsoft Graph-tokens verkreeg. In twee nader onderzochte tenants zagen zij ook dat een Cloud Management-app zichzelf de rol Global Administrator gaf en nieuwe geheimen aan andere applicaties toevoegde. In één daarvan zouden die geheimen tot 2028 geldig blijven.

Die laatste handelingen verklaren waarom het uitschakelen van de oorspronkelijke ConnectWise-verbinding niet voldoende is om alle toegang te beëindigen. Een nieuw geheim op een andere, vertrouwde applicatie kan met de rechten van die applicatie worden gebruikt. Een geslaagde aanmelding bewijst op zichzelf niet dat mail of bestanden zijn gekopieerd; daarvoor moeten beheerders de latere acties en de beschikbare auditgegevens beoordelen. ConnectWise heeft vanuit zijn back-upomgeving geen volledig zicht op wat in afzonderlijke klanttenants is gebeurd.

Controlekaart voor Entra-beheerders

De applicatie-identiteit van ConnectWise Cloud Backup en een verdacht bronadres vormen concrete aanknopingspunten voor controle van Entra-aanmeldingen.

De zeven uitgeschakelde identiteiten zijn te herkennen aan hun Application ID, ook wanneer een oudere installatie nog een SkyKick-naam toont. Het gaat om Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae), Cloud Management (2399d300-6fca-4e6a-a686-399fefe75b83) en de Cloud Management-verbindingen voor MS Teams (24205314-2b89-4e07-a2a4-579e898a5640), Exchange Online (b78f6a77-d4e5-46fb-87e5-d1648bd02519), MS Graph (0de14c77-b9b0-4137-9360-34878a929827), Partner Center (412dcf96-176d-4b3a-a1b0-4981ad66971e) en SharePoint Online (b2b55f5b-7758-4719-8d8f-88ae172e6bdb). De ingreep bij de leverancier toont niet aan dat de lokale instelling van elke enterprise-applicatie in iedere klanttenant is veranderd.

Controleer in de MSP-tenant en elke beheerde klanttenant onder Entra ID → Enterprise applications of de betrokken applicaties aanwezig zijn. Leg per vermelding de Application ID, de lokale Object ID en de status vast. Schakel aanmelden uit als een betrokken verbinding lokaal nog actief is. Verwijder de applicatie niet als eerste ingreep: daarmee kunnen configuratie en onderzoekssporen verloren gaan.
Bewaar beschikbare gegevens snel, zonder dringend uitschakelen op een export te laten wachten. Exporteer Entra-auditlogboeken en afzonderlijk de interactieve en niet-interactieve gebruikersaanmeldingen, service-principal-aanmeldingen en managed-identity-aanmeldingen. Verzamel ook relevante Microsoft Purview Audit-gegevens en bestaande SIEM-registraties. Entra bewaart audit- en aanmeldgegevens normaal zeven dagen bij Free en dertig dagen bij P1/P2; een latere licentiewijziging haalt verlopen geschiedenis niet terug.
Zoek in Service principal sign-ins vanaf 13 oktober naar de genoemde Application ID’s en breid de periode, waar gegevens bestaan, uit tot 1 oktober. Controleer in de beschikbare aanmeldcategorieën het adres 144.172.64.128 en leg tijdstip, resultaat, gebruikte resource en correlatie-ID vast. Neem 144.172.64.99 en 144.172.64.60 eveneens mee, maar behandel ze niet als bewijs van dezelfde applicatieaanmeldingen: ze zijn ook in verband gebracht met mislukte gebruikersaanmeldingen. Een adresmatch vraagt om context, niet om een automatische conclusie.
Leg verdachte aanmeldingen naast Entra-gebeurtenissen in ApplicationManagement, RoleManagement, Policy en UserManagement. Kijk vooral naar nieuwe geheimen of certificaten, eigenaren, toestemmingen, beheerdersrollen en gewijzigde toegangsregels, ook bij andere vertrouwde applicaties. Onderzoek daarnaast beschikbare Exchange-gegevens over doorsturen, inbox- en transportregels en mailboxrechten, plus relevante SharePoint-, OneDrive- en Teams-activiteiten. Bewaar de bevindingen voordat een bevoegde beheerder bevestigde ongeoorloofde wijzigingen terugdraait.

Het herstelgat verschilt per klant

Voor de gevolgen van de stilstand telt per workload het tijdstip van de laatste geslaagde back-up. Veranderingen daarna krijgen geen nieuw Cloud Backup-herstelpunt zolang geplande taken uitblijven. Voor onlangs verwijderde gegevens kunnen ingebouwde Microsoft 365-voorzieningen soms helpen, zoals Verwijderde items in Outlook of de prullenbak van OneDrive en SharePoint, maar die maken een Cloud Backup-restore tijdens de onderbreking niet beschikbaar.

De getroffen verbindingen moeten uitgeschakeld blijven totdat ConnectWise formele instructies voor herinschakeling geeft. Na de eerste volledige dag van het gefaseerde herstel verwacht de leverancier een betrouwbaarder tijdpad te kunnen geven. Tot die tijd bepaalt het laatste bruikbare herstelpunt per tenant hoe groot het gat wordt als gegevens moeten worden teruggezet.