Záloha pustila útočníkov do Microsoft 365, heslo ani MFA nepomohli

Útočníci zneužili identitu zálohovacej aplikácie ConnectWise Cloud Backup, predtým SkyKick, na vstup do zákazníckych prostredí Microsoft 365. Podľa slovenského Centrálneho portálu kybernetickej bezpečnosti sa podozrivá aktivita objavila 15. októbra 2026 a do večera 16. októbra boli potvrdené neoprávnené prihlásenia v 162 prostrediach. Prihlasovala sa aplikácia, nie zamestnanec, takže útočníci nepotrebovali jeho heslo ani výzvu na viacfaktorové overenie.

V oznámení ConnectWise z 27. októbra sa uvádza, že firma dokončila prípravy na postupné obnovenie služieb, no čaká na overenie treťou stranou; dotknuté aplikačné spojenia majú dovtedy zostať vypnuté. Uložené šifrované zálohy podľa nej nevykazujú známky kompromitácie. Toto zistenie však neurčuje, čo sa mohlo stať v živých prostrediach Microsoft 365 zákazníkov.

Prečo heslo používateľa útok nezastavilo

Cloud Backup potrebuje na zálohovanie oprávnenia čítať údaje v Microsoft 365 a na obnovu aj vykonávať zmeny. Organizácia ich aplikácii udelí vopred; následne môže jej identita žiadať prístupové tokeny bez interaktívneho prihlásenia konkrétneho človeka. Útočník s prihlasovacím údajom dodávateľskej aplikácie tak môže využiť oprávnenia, ktoré už má táto aplikácia v danom prostredí.

Heslo a MFA chránia používateľské prihlásenie, kým tu išlo o prihlásenie aplikačnej identity. Možný dosah preto závisí od oprávnení udelených aplikácii v každom prostredí: môžu sa týkať pošty, súborov, údajov Teams či adresára. Vydanie tokenu pre Microsoft Graph preukazuje možnosť prístupu v rozsahu týchto oprávnení, samo však ešte nepreukazuje, že niekto čítal poštu alebo odniesol súbory.

Pre slovenské ministerstvá, úrady a ďalšie organizácie využívajúce externé cloudové služby je podstatné, že prístup dodávateľa môže pretrvať aj bez bežného používania jeho služby. Pri hodnotení incidentu treba preto odlíšiť povolenú aplikáciu, jej skutočné prihlásenie a následné operácie. Každá z týchto stôp vypovedá o inej časti možného zásahu.

V jednom prostredí pribudla administrátorská rola aj nové tajomstvá

Technická analýza Huntress opisuje prípad, v ktorom si aplikácia ConnectWise Cloud Management – MS Teams pridelila rolu Global Administrator a pridala nové prihlasovacie údaje dvom ďalším aplikáciám vrátane aplikácie Huntress Security Platform. V tom istom prostredí sa jeden z nových údajov následne použil na prihlásenie. Pôvodné spojenie ConnectWise preto nie je jedinou identitou, ktorú treba po takomto zásahu preveriť.

Prvých 162 potvrdených neoprávnených prihlásení predstavuje stav pozorovaní do večera 16. októbra, nie konečný počet prostredí s únikom dát. Neskoršie pozorovania z adresy spojenej s aktivitou zachytili prihlásenia v takmer tisícke prostredí Entra, z toho úspešné vo viac než 300. Tieto skupiny majú odlišný časový rozsah a samotná úspešná autentifikácia neurčuje, aké údaje boli použité.

V podrobne skúmanom prostredí audit neukázal prístup k pošte ani súborom. Nie každé čítanie cez Microsoft Graph však zanechá dostatočnú auditnú stopu. Hranica potvrdených zistení je preto presná: zaznamenané sú neoprávnené prihlásenia a konkrétne zmeny rolí či prihlasovacích údajov, nie rozsah prípadného stiahnutia zákazníckych dát.

Čo má správca preveriť v Microsoft Entra

Kontrola patrí do vlastného prostredia organizácie aj do každého spravovaného zákazníckeho prostredia, v ktorom bol ConnectWise alebo SkyKick povolený. V Enterprise applications je spoľahlivejšie hľadať podľa identifikátora aplikácie než iba podľa názvu: staršie spojenia sa môžu zobrazovať ako SkyKick Cloud Manager. Pri nájdenej aplikácii treba zaznamenať jej miestny service principal, udelené oprávnenia a pridelené adresárové roly.

1. Vyhľadajte ConnectWise Cloud Backup s ID 506e08f9-6e9a-4da4-942b-a099a03644ae a ConnectWise Cloud Management – MS Teams s ID 24205314-2b89-4e07-a2a4-579e898a5640. Ide o dve aplikácie, pri ktorých technické odporúčanie výslovne žiada vypnutie. Preverte aj ďalšie prítomné spojenia ConnectWise Cloud Management: základnú aplikáciu 2399d300-6fca-4e6a-a686-399fefe75b83, Exchange Online b78f6a77-d4e5-46fb-87e5-d1648bd02519, MS Graph 0de14c77-b9b0-4137-9360-34878a929827, Partner Center 412dcf96-176d-4b3a-a1b0-4981ad66971e a SharePoint Online b2b55f5b-7758-4719-8d8f-88ae172e6bdb.
2. V Sign-in logs otvorte kartu Service principal sign-ins; predvolená karta používateľských prihlásení túto aktivitu neukáže. Filtrujte podľa ID aplikácií a skúmajte úspešné aj neúspešné pokusy od 15. októbra, najmä spojenia z adresy 144.172.64[.]128. Pri ďalších spojeniach môže byť v zázname súkromná adresa siete Microsoftu, ktorá sama osebe nerozlíši oprávnenú a škodlivú činnosť.
3. V audite Entra hľadajte pridelenie rolí aplikáciám, zmeny súhlasov a úpravy iných aplikačných identít. Pri nových tajomstvách a certifikátoch skontrolujte, ktorá aplikácia zmenu vykonala a ku ktorej identite bol údaj pridaný. Porovnajte ich so schválenými zmenami správcu; neoprávnené prihlasovacie údaje a roly treba odstrániť aj vtedy, keď je pôvodná aplikácia už vypnutá.
4. Prepojte čas podozrivých prihlásení s dostupným auditom pošty, súborov a ďalších služieb. Uchovajte záznamy potrebné na vyšetrovanie a skontrolujte aj nečakané presmerovanie pošty či zmeny prístupu k schránkam. Prázdny výsledok jednej karty alebo jedného filtra neuzatvára kontrolu ostatných identít.

Vypnutie aplikácie nie je vymazanie vykonaných zmien

Vlastnosť povoľujúcu prihlasovanie dotknutej aplikácie možno v Entra vypnúť bez vymazania jej záznamu. Vypnutie zastaví tento spôsob ďalšej autentifikácie, no neodstráni tajomstvo pridané k inej aplikácii ani rolu pridelenú počas incidentu. Vymazanie aplikácie by zároveň odstránilo udelený súhlas a pri neskoršom obnovení služby by vyžadovalo jeho nové udelenie.

Pozastavené spojenie prerušuje automatické zálohovanie; existujúce archívy tým nie sú vymazané, prístup k obnove však závisí od postupu opätovného spustenia služby. Správca preto potrebuje oddelene posúdiť zmeny vo vlastnom prostredí Microsoft 365 a medzeru v nových zálohách. Ďalším rozhodujúcim krokom bude zverejnenie pokynov na opätovné pripojenie po dokončení bezpečnostného overenia dodávateľa.

Prečítajte si aj:

• TikTok pustil reklamy mimo aplikácie, sieť siaha do 400-tisíc služieb
• Google či Microsoft Authenticator: záloha nemusí obnoviť pracovné účty
• Export Slacku nie je záloha: ZIP obsahuje odkazy na súbory, nie súbory