ConnectWise Cloud Backup olayı Microsoft 365 tenant’larına sıçradı

ConnectWise Cloud Backup ile ilişkili uygulama kimliklerine yetkisiz erişim sağlanmasının ardından Microsoft 365 tenant’larında şüpheli ve yetkisiz etkinlik tespit edildi. Huntress, olay kapsamında en az 162 tenant’ın etkilendiğini bildirirken ConnectWise, soruşturma sürerken Cloud Backup, SaaS Security ve Cloud Management hizmetlerini devre dışı bıraktı.

Saldırganların, müşterilerin Microsoft Entra ID ortamlarında yedekleme uygulamasına önceden verdiği izinleri kullanarak doğrudan uygulama olarak kimlik doğruladığı bildiriliyor. Bu modelde kullanıcı oturumu bulunmadığı için MFA devreye girmiyor; uygulama kimliğinin mevcut izinleri Exchange Online, OneDrive, SharePoint, Teams ve dizin verilerine erişim sağlayabiliyor. Microsoft ve güvenlik şirketleri, etkinliği aynı IP adresinden gelen kimlik doğrulama girişimleriyle ilişkilendirdi.

Güvenlik araştırmacıları bazı tenant’larda servis sorumlularının yönetici rolleri atadığını ve ek uygulama kimlik bilgileri oluşturmaya çalıştığını gözlemledi. Bununla birlikte bulguların kapsamı konusunda farklılıklar var: Todyl’in incelediği dokuz tenant’ta yalnızca oturum açma etkinliği görülürken ConnectWise, aşağı akıştaki müşteri ortamlarında doğrulanmış bir ihlal tespit etmediğini ve soruşturmanın sürdüğünü belirtiyor. Olay, üçüncü taraf yedekleme ve yönetim araçlarına verilen geniş Microsoft 365 izinlerinin tek bir sağlayıcıdaki kimlik ihlalini çok sayıda tenant’a taşıyabileceğini gösteriyor.

-
Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.