ConnectWise, Microsoft 365 saldırısı sonrası Cloud Backup'ı askıya aldı

ConnectWise, bilinmeyen tehdit aktörlerinin uygulama kimliklerine yetkisiz erişerek Microsoft 365 tenant'larını tehlikeye attığı olayı araştırırken yedi uygulama kimliğini devre dışı bıraktı. Şirket 17 Ekim 2026'da Cloud Backup hizmetini askıya aldı ve etkilenen bağlantılarda kullanılan sertifikaları tüm kullanıcılar için iptal etti.

Bu işlem yeni authentication taleplerini engellese de tenant'larda daha önce yapılmış değişiklikleri geri almıyor. Paylaşılan Cloud Backup kimlik bilgileri artık geçerli değil; daha önce üretilmiş access token'lar süreleri dolana veya ayrıca geçersiz kılınana kadar kullanılabilir. ConnectWise, planlanmış yedeklemelerin çalışmadığını, etkilenen arşivlere ve restore yeteneklerine erişimin de kullanılamadığını açıkladı. Mevcut arşivlerin şifreli, izole ve korunduğu; saldırganların bu arşivlere eriştiğine veya arşivleri ihlal ettiğine dair kanıt bulunmadığı belirtildi.

Uygulama kimliklerinin sahip olduğu izinlere bağlı olarak saldırganlar, müşteri parolalarını ele geçirmeden Microsoft Entra ID üzerinden token alarak posta kutularına, SharePoint belgelerine, Teams mesajlarına ve dizin bilgilerine erişebilir. ConnectWise ayrıca SaaS Security ve Cloud Management hizmetlerini inceleme tamamlanana kadar geçici olarak offline duruma aldı. Şirket, 14 Ekim'de olayı tespit ettiğini ve uygulanan önlemlerden sonra izlediği ortamlarda başarılı tehdit faaliyeti gözlemediğini söylerken, müşterilerin downstream ortamlarındaki durumun doğrudan gözlemlenemediğini vurguladı.