YüksekII Siber Savaş ve Kritik Altyapı19 Ekim 2026, Pazartesi
ConnectWise ihlalinde saldırgan kendine küresel yönetici yetkisi verdi, yedekleme durdu
Huntress 19 Ekim'de saldırganın bir müşteri hesabında kendine Entra ID küresel yönetici yetkisi verdiğini ve 2028'e kadar geçerli kimlik bilgileri eklediğini açıkladı. ConnectWise'ın Cloud Backup hizmeti ve 6 bağlı uygulaması 17 Ekim'den beri kapalı, geri dönüş tarihi yok.
ConnectWise saldırıyı 15 Ekim'de fark etti ve 17 Ekim'de 7 uygulama kimliğini devre dışı bırakıp sertifikalarını iptal etti. Help Net Security'ye göre Cloud Backup, SaaS Security ve Cloud Management 19 Ekim itibarıyla askıda; zamanlanmış yedek alınmıyor, müşteriler veri de geri yükleyemiyor. Eski adı SkyKick olan ürün 2024'te satın alındı ve şirketin 100.000'den fazla yönetilen hizmet sağlayıcıya ulaşan platformunun parçası. Yönetilen hizmet sağlayıcı (MSP), müşterilerinin bilgi sistemlerini uzaktan işleten firma demek.
Ölçek konusunda rakamlar ayrışıyor. Huntress en az 162 Microsoft 365 kiracısında yetkisiz erişimi doğruladı; saldırı adresinden yaklaşık 1.000 hesaba giriş denendi ve 300'den fazlası başarılı oldu. Bank Info Security'ye göre saldırgan çoğu vakada ilk belirtiden sonraki 5 dakika içinde kalıcı erişim kurdu ve hedefleri alfabetik sırayla işledi. Bir vakada Cloud Management Teams uygulaması kendini küresel yönetici yaptı, ardından Huntress'in kendi uygulaması dahil 2 güvenilir uygulamaya 2028'e kadar geçerli kimlik bilgisi ekledi.
Hedef seti dikkat çekiyor. Aynı adres 15 Ekim'de politika, ulusal güvenlik, ticaret ve kritik mineral alanlarında çalışan 16 kuruma da yöneldi; bu kurumlarda ConnectWise uygulaması bulunmadığı için girişimler başarısız oldu. Microsoft olayı tedarik zinciri saldırısı olarak tanımladı. Kimlik bilgisinin nasıl sızdığı ve saldırganın kim olduğu 19 Ekim itibarıyla açıklanmadı; ConnectWise bir ürün açığının payı olup olmadığının henüz belirlenmediğini söyledi.
Talay değerlendirmesi
Sonuç
Olay bir yedekleme ürününün ihlalinden çıkıp MSP zincirinin yönetici katmanına yayıldı. Saldırganın 5 dakikada kalıcılık kurması ve 2028'e kadar geçerli kimlik bilgileri bırakması, uygulamaları kapatmanın temizlik için yetmediğini gösteriyor. Kritik mineral ve ticaret politikası kurumlarına yönelen ikinci dalga, amacın fidyeden çok bilgi toplama olabileceğine işaret ediyor; atıf yapılmadığı için bu bir okuma, kesinlik değil.
Olası etkiler
- Yönetilen hizmet sağlayıcılarıOlumsuzKısa vade
Yedek alınamayan ve geri yükleme yapılamayan her gün, 100.000'den fazla MSP'nin müşterilerinde fidye saldırısına karşı son savunma hattını boş bırakıyor.
- Bulut uygulama güveniOlumsuzOrta vade
Güvenilir uygulamaların kendine yönetici yetkisi verebilmesi, Microsoft 365 kiracılarında üçüncü taraf uygulama izinlerinin topyekûn denetlenmesini gündeme taşıyor.
- Politika kurumlarıOlumsuzOrta vade
Kritik mineral ve ticaret alanındaki 16 kuruma yönelen dalga, tedarik zinciri müzakerelerini yürüten kurumların doğrudan hedef olduğunu gösteriyor.
İhtimaller
- 1Kademeli geri dönüş, yeni kurban bildirimleri%55
ConnectWise hizmetleri yeni kimlik bilgileriyle adım adım açar, ama MSP'ler gizli kalıcılık izleri buldukça etkilenen kiracı sayısı yükselir.
İzlenecek: ConnectWise'ın hizmet geri dönüş duyurusu ve Huntress'in güncel kiracı sayısı
- 2Devlet bağlantılı bir gruba atıf%30
Kritik mineral hedefleri ve sessiz kalıcılık, olayın bir casusluk operasyonuna bağlanmasına yol açar; CISA ve ortakları uyarı yayımlar.
İzlenecek: CISA ya da Microsoft'un faile ilişkin teknik açıklaması
- 3Fidye ya da veri sızıntısı%15
Saldırgan elde ettiği erişimi para kazanmak için kullanır; MSP müşterilerinde fidye notu ya da sızıntı sitesinde ilan görülür.
İzlenecek: Fidye sızıntı sitelerinde ConnectWise müşterisi kurumların listelenmesi
Olasılıklar kaynaklara dayanan kalibre yargıdır, ölçüm değildir; yeni bilgiyle güncellenir. Yatırım tavsiyesi değildir.
Piyasa tepkisi
Etkilenen göstergeler
- Doğrulanan kiracı▼ 162+
- Başarılı giriş▼ 300+
- Kapalı hizmet▼ 7