Ele geçirilen ConnectWise hesabıyla 173 Microsoft 365 tenant’ına erişildi

Bilinmeyen tehdit aktörleri, ConnectWise Cloud Backup’a ait ele geçirilmiş bir Microsoft 365 kimlik bilgisiyle 173 partner ve müşteri tenant’ında yetkisiz oturum açtı. Huntress’in gözlemlerine göre olay, uygulamanın kurulu olduğu ve ConnectWise hesabının consent edildiği tenant’ları etkiliyor. Cloud Backup, görevini yerine getirmek için posta kutuları, OneDrive, SharePoint, Teams ve dizin verilerine geniş erişim izinlerine sahip.

Saldırganların, yedekleme hizmetine benzer kendi araçlarıyla Microsoft Graph token’ları aldığı ve uygulamanın mevcut izinlerini devraldığı bildirildi. Bu izinler posta ve eklerine, OneDrive ve SharePoint dosyalarına, Teams sohbetlerine ve dizin verilerine erişimi kapsayabiliyor. Aynı IP adresi 13 ve 14 Ekim 2026’da dört hukuk firması tenant’ında password spraying için kullanılırken, Huntress bu denemelerde başarılı kullanıcı oturumu tespit etmedi. En az bir tenant’ta ise ConnectWise’a ait başka bir uygulamanın kendisini Global Administrator rolüne eklediği ve iki ayrı güvenilir uygulamaya yeni client secret’lar eklediği görüldü.

ConnectWise, olayın ardından Cloud Backup uygulamasının erişimini ikinci bir duyuruya kadar kapattı ve partner yedekleme verilerinin ele geçirildiğine dair kanıt bulunmadığını açıkladı. Todyl’e göre kullanıcı oturumlarını iptal etmek bu erişimi sonlandırmıyor; tenant’ta uygulamayı devre dışı bırakmak yeni token üretimini durdursa da mevcut token’lar 90 dakikaya kadar geçerli kalabiliyor. Olay, MSP’lerin ve Microsoft 365 yöneticilerinin üçüncü taraf uygulama izinlerini ve service principal sign-in kayıtlarını ayrıca izlemesi gereken tedarik zinciri riskini ortaya koyuyor.