15 октября 2026 года неизвестные получили доступ к почте, вложениям и документам не менее 162 организаций, работающих в Microsoft 365. Вход выполнили не от имени сотрудников, а от имени стороннего сервиса резервного копирования ConnectWise Cloud Backup, ранее известного как SkyKick Cloud Backup. Похищенные служебные учётные данные позволили атакующим действовать как доверенное приложение с широкими правами. Двухфакторная аутентификация такой вход не остановила: для приложений она не запрашивается. Компания приостановила работу сервиса и связанных приложений. Расследование продолжается, сроки восстановления не объявлены.
Описание
Под угрозой оказались арендаторы - изолированные рабочие пространства организаций в облаке Microsoft 365. Сервис резервного копирования получает широкие права один раз, при установке, и дальше работает без участия человека. Для клиента такой подрядчик выглядит обычным помощником, поэтому его разрешения пересматривают редко. Не менее 162 арендаторов пострадали, как показал разбор, при этом полный охват ещё уточняется. Похищенный секрет приложения (client secret) дал атакующим вход в сервисную учётную запись приложения (service principal) и все разрешения, которые клиент выдал этому сервису ранее. Среди них - чтение и запись писем, доступ к файлам OneDrive и SharePoint, работа с каталогом пользователей и чатами Teams.
Дальше злоумышленники закрепились в чужих средах. В ряде случаев они выдали сервисной учётной записи и связанным приложениям роли администратора Exchange и глобального администратора. Как минимум в одном арендаторе они добавили новые секреты к другим доверенным приложениям. Из-за этого сброс исходного пароля не закрыл бы им доступ. Похожие действия отметили в нескольких средах, что говорит о подготовленном сценарии. Перед этим атакующие перебирали содержимое каталога через программный интерфейс Microsoft Graph. Вредоносных файлов в ходе атаки не применяли: работу выполняли автоматизированные скрипты, обращавшиеся к облачным службам напрямую.
Как развивалась атака
Пострадали в первую очередь поставщики услуг и их клиенты: небольшие и средние компании, отдавшие обслуживание Microsoft 365 на подряд. Приложение установлено у заметно большего числа клиентов, чем подтверждённые 162 арендатора. Первые попытки входа отметили 13 и 14 октября. Служба безопасности ConnectWise заметила аномалию 14 октября и начала реагирование. 15 октября атакующие применили похищенный секрет для доступа к средам клиентов. 17 октября компания отключила скомпрометированные идентификаторы и остановила Cloud Backup. Часть отключённых приложений отвечала за обмен почтой, работу с Teams, SharePoint и партнёрским каталогом.
Что сделать клиентам
Клиентам стоит действовать быстро. Сначала отключают затронутые приложения в центре администрирования Microsoft Entra (бывший Azure AD). Держат их выключенными до подтверждения от ConnectWise. Затем проверяют все секреты, сертификаты и согласия приложений на предмет записей, появившихся после 13 октября. Отдельно просматривают журналы входов сервисных учётных записей и изменения ролей каталога. Проверку ведут по всем арендаторам сразу, включая те, где подозрительных входов не было. Далее проверяют правила пересылки почты, делегированный доступ к ящикам и недавние правки политик. Журналы аудита сохраняют для дальнейшего разбора.
Отключение приложения блокирует выдачу новых токенов - краткосрочных ключей доступа. Ранее выданные ключи при этом живут до истечения срока. Остановка сервиса со стороны поставщика тоже не удаляет учётные данные, которые злоумышленники успели добавить в среду клиента. Поэтому ручная проверка и удаление лишних записей обязательны. Организациям без собственной службы безопасности поможет подрядчик: самостоятельно найти следы в журналах сложно.
Причастность конкретной группы не установлена. Набор приёмов подходит и финансово мотивированным злоумышленникам, и государственным структурам. Публичных данных о вредоносных программах или инфраструктуре, связанной с атакой, нет. Тем не менее схема с кражей учётных данных приложения обходит почти все привычные защиты. Организациям с установленным ConnectWise Cloud Backup следует исходить из того, что их среда могла быть затронута, пока обратное не подтверждено.
Индикаторы компрометации
