СреднийII Кибервойна и критическая инфраструктура17 октября 2026 г., суббота
Через ключ резервного копирования ConnectWise взломаны 173 арендатора Microsoft 365
С помощью украденных учётных данных приложения ConnectWise Cloud Backup злоумышленник 15 октября за 2 часа 21 минуту вошёл в среды клиентов. На 17 октября Huntress подтвердила несанкционированный вход у 173 арендаторов; ConnectWise отключила приложение.
Как сообщила The Hacker News 17 октября, злоумышленник завладел учётными данными приложения, ранее известного как SkyKick, которое резервирует данные Microsoft 365 для клиентов поставщиков управляемых услуг. Арендатор — это отдельная среда организации внутри Microsoft 365. Huntress зафиксировала, что 15 октября с 06:13 до 08:34 UTC с адреса 144.172.64.128 запрашивались токены доступа Microsoft Graph. Злоумышленник обходил арендаторов по порядку их идентификаторов с интервалом в несколько секунд, что указывает на скрипт, работающий по готовому списку целей.
Поскольку учётные данные принадлежали не пользователю, а приложению, злоумышленник унаследовал все разрешения, которые клиенты ранее выдали этому приложению; многофакторная аутентификация так и не сработала. Microsoft квалифицировала инцидент как активную атаку на цепочку поставок и указала, что могли быть использованы разрешения на запись в каталог, например Directory.ReadWrite.All. Как минимум у одного арендатора-партнёра второе приложение ConnectWise добавило себя в роль глобального администратора, после чего Python-скрипт записал новые секретные ключи ещё в два доверенных приложения.
По данным Todyl, отключение приложения останавливает выпуск новых токенов, однако уже выданные остаются действительными до 90 минут. ConnectWise закрыла доступ приложения до особого уведомления и заявила, что не нашла доказательств компрометации резервных данных партнёров. Как были украдены учётные данные, не раскрывается. В записке SpecterOps от 17 октября приводится подсчёт Huntress в 162 арендатора; в течение дня число выросло до 173.
Оценка Talay
Вывод
С одной учётной записью приложения злоумышленник одновременно получил доступ к почте, файлам и каталогам сотен организаций; многофакторная аутентификация этот путь вообще не видела. Главный риск — не резервные данные, а замеченные как минимум у одного арендатора повышение привилегий и запись новых секретных ключей. Это может оставить постоянный бэкдор даже после отключения приложения. Наиболее вероятный путь — рост числа затронутых арендаторов ещё несколько дней и волна проверок разрешений сторонних приложений.
Возможные последствия
- Поставщики управляемых услугНегативноНедели
Пока приложение отключено, резервное копирование Microsoft 365 у клиентов стоит; поставщикам приходится одновременно справляться с простоем и проверкой ключей, добавленных после 13 октября.
- Разрешения облачных приложенийНегативно1–6 месяцев
Широкие разрешения, выданные приложению, а не пользователю, оказались путём входа в обход многофакторной аутентификации; организациям придётся провести инвентаризацию разрешений.
- Пользователи Microsoft 365 в ТурцииНеопределённоНедели
Турецкие организации, использующие облачное резервное копирование через поставщика управляемых услуг, несут ту же модель разрешений; список затронутых стран не раскрыт.
Вероятные сценарии
- 1Число растёт, начинается аудит разрешений55 %
Число затронутых арендаторов растёт, ConnectWise обновляет учётные данные, а поставщики сужают разрешения сторонних приложений.
Что отслеживать: Актуальное число арендаторов от Huntress и ConnectWise и объявление о смене учётных данных
- 2Случаев с бэкдором становится больше30 %
Растёт число арендаторов с новыми секретными ключами; доступ сохраняется и после отключения приложения, появляются сообщения об утечках данных.
Что отслеживать: Новое предупреждение Microsoft о ключах, добавленных к субъектам-службам
- 3Инцидент остаётся ограниченным15 %
Подтверждается, что злоумышленника остановили до выгрузки данных, и арендаторы быстро возвращаются к резервному копированию.
Что отслеживать: Итоговый отчёт ConnectWise о том, что данные не выгружались
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Подтверждено арендаторов▼ 173
- Окно несанкционированного входа▼ 2 ч 21 мин