Wprowadzenie do problemu / definicja
Incydent związany z ConnectWise Cloud Backup, wcześniej znanym jako SkyKick, pokazuje rosnące znaczenie zagrożeń wymierzonych w tożsamości aplikacyjne w ekosystemie Microsoft 365. W tym przypadku napastnicy nie przejęli pojedynczego konta użytkownika, lecz skompromitowali poświadczenie aplikacyjne wykorzystywane przez zaufaną usługę backupową działającą w wielu organizacjach jednocześnie.
Tego rodzaju atak ma charakter supply chain, ponieważ punktem wejścia staje się dostawca usługi lub jego integracja, a nie bezpośrednio środowisko końcowej ofiary. Jeśli aplikacja ma wcześniej nadane szerokie uprawnienia OAuth i działa w modelu wielotenantowym, jej przejęcie może otworzyć dostęp do danych i zasobów wielu klientów bez potrzeby interakcji użytkownika.
W skrócie
- Napastnicy wykorzystali skompromitowane poświadczenie aplikacji ConnectWise Cloud Backup.
- Potwierdzono nieautoryzowane logowania typu service principal w 173 tenantach Microsoft 365.
- Aktywność obejmowała pobieranie tokenów Microsoft Graph i rozpoznanie zasobów w środowiskach ofiar.
- W części przypadków zaobserwowano próby utrwalenia dostępu przez dodawanie nowych sekretów do innych aplikacji oraz nadawanie wysokich uprawnień administracyjnych.
- Incydent zwiększa presję na audyt aplikacji wielotenantowych i ograniczanie nadmiernych uprawnień w Entra ID.
Kontekst / historia
ConnectWise Cloud Backup to usługa używana przez partnerów MSP do ochrony danych przechowywanych w Microsoft 365 i innych środowiskach SaaS. Aby wykonywać kopie zapasowe i odtwarzanie, aplikacja wymaga dostępu do skrzynek pocztowych, OneDrive, SharePoint, Teams oraz wybranych danych katalogowych.
Właśnie ten poziom uprzywilejowania stał się kluczowym elementem incydentu. Jeśli dostawca lub jego aplikacja wielotenantowa utraci kontrolę nad poświadczeniem OAuth, atakujący może uwierzytelniać się jako legalna usługa w każdym tenancie, w którym wcześniej udzielono zgody administracyjnej. Oznacza to, że pojedynczy punkt kompromitacji może przełożyć się na dostęp do wielu organizacji jednocześnie.
Według ujawnionych informacji aktywna eksploatacja była obserwowana 15 października 2026 roku. Sprawa wpisuje się w szerszy trend ataków na łańcuch dostaw tożsamości i integracji SaaS, gdzie głównym celem stają się nie konta użytkowników, lecz zaufane aplikacje z szerokimi uprawnieniami.
Analiza techniczna
Technicznie incydent opierał się na nadużyciu zaufanej aplikacji Microsoft Entra ID działającej z uprawnieniami typu application permissions. Po przejęciu poświadczenia napastnik mógł samodzielnie realizować przepływ uwierzytelnienia aplikacyjnego i uzyskiwać tokeny Microsoft Graph w tenantach klientów. Taki model dostępu typu app-only pozwala ominąć część klasycznych mechanizmów wykrywania, które koncentrują się na logowaniach interaktywnych użytkowników.
Zakres ryzyka zależał od faktycznych uprawnień nadanych aplikacji w danym środowisku. W praktyce mogły one obejmować odczyt i zapis poczty, dostęp do załączników, plików OneDrive i SharePoint, danych Teams, a także wybranych informacji katalogowych. To wystarcza nie tylko do eksfiltracji danych, ale również do przygotowania dalszych etapów kompromitacji.
Wskaźniki aktywności sugerują działanie zautomatyzowane. Napastnicy poruszali się między tenantami sekwencyjnie i w krótkich odstępach czasu, co wskazuje na użycie skryptów oraz wcześniej przygotowanej listy celów. Szczególnie niepokojące są doniesienia o próbach rozszerzania i utrwalania dostępu poprzez dodawanie nowych sekretów do innych zaufanych aplikacji oraz przypisywanie sobie wysokich ról administracyjnych.
To ważne rozróżnienie operacyjne: odwołanie sesji użytkownika nie rozwiązuje problemu, gdy zagrożenie dotyczy aplikacji działającej bez udziału człowieka. W takiej sytuacji zespoły bezpieczeństwa muszą analizować przede wszystkim logi service principal sign-ins, aktywność OAuth, zmiany w poświadczeniach aplikacji oraz modyfikacje ról katalogowych.
Konsekwencje / ryzyko
Skutki incydentu mogą być poważniejsze niż w przypadku przejęcia pojedynczego konta. Jeżeli aplikacja miała dostęp do poczty, napastnicy mogli uzyskać wgląd w korespondencję biznesową, dokumenty, załączniki i dane operacyjne. Dostęp do OneDrive, SharePoint i Teams oznacza dodatkowo ryzyko wycieku dokumentacji projektowej, danych klientów, materiałów wewnętrznych oraz treści współpracy zespołów.
Jeszcze większe zagrożenie pojawia się wtedy, gdy aplikacja posiada uprawnienia katalogowe albo możliwość modyfikacji innych aplikacji. W takim scenariuszu incydent przestaje być wyłącznie problemem backupu i przechodzi w pełnowymiarowe naruszenie zaufania w środowisku Entra ID. Napastnik może tworzyć trwałe backdoory aplikacyjne, dodawać własne sekrety i rozszerzać dostęp na kolejne narzędzia używane przez organizację lub dostawcę MSP.
Dla partnerów MSP i dostawców usług zarządzanych dochodzi również wymiar reputacyjny, operacyjny i kontraktowy. Kompromitacja jednej aplikacji wielotenantowej może jednocześnie narazić wielu klientów, w tym podmioty z sektorów regulowanych, gdzie wymagania dotyczące ochrony danych i raportowania incydentów są szczególnie wysokie.
Rekomendacje
Organizacje korzystające z ConnectWise Cloud Backup lub historycznych wdrożeń SkyKick powinny potraktować sprawę jako incydent wysokiego priorytetu. W pierwszej kolejności należy potwierdzić, czy wskazana aplikacja jest obecna w tenantach Microsoft 365, a następnie zweryfikować jej status, zakres uprawnień i ewentualną potrzebę czasowego wyłączenia do momentu zakończenia pełnej remediacji.
Kolejnym krokiem powinna być szczegółowa analiza logów Microsoft Entra, zwłaszcza w obszarze service principal sign-ins. Warto szukać nietypowych logowań aplikacyjnych, aktywności z nieznanych adresów IP, operacji wykonywanych poza standardowym oknem działania usługi backupowej oraz nagłych zmian w uprawnieniach lub konfiguracji aplikacji.
- Sprawdzić dodanie nowych client secrets i certyfikatów w aplikacjach korporacyjnych.
- Zweryfikować nadanie ról katalogowych aplikacjom i service principal.
- Przejrzeć zmiany w delegowanych i aplikacyjnych uprawnieniach OAuth.
- Zidentyfikować nowe service principal powiązane z zaufanymi narzędziami.
- Skontrolować modyfikacje polityk dostępu warunkowego i integracji administracyjnych.
W szerszej perspektywie incydent wzmacnia potrzebę ograniczania application permissions do niezbędnego minimum, okresowej recertyfikacji zgód administracyjnych oraz bieżącego monitorowania aktywności Microsoft Graph. Organizacje powinny też wdrożyć ścisły nadzór nad zarządzaniem sekretami i certyfikatami oraz regularnie przeglądać wszystkie aplikacje wielotenantowe obecne w środowisku.
Podsumowanie
Atak na ConnectWise Cloud Backup jest kolejnym dowodem na to, że tożsamość aplikacyjna stała się jednym z najważniejszych obszarów ryzyka w Microsoft 365. Przejęcie pojedynczego poświadczenia dostawcy umożliwiło dostęp do wielu tenantów klientów bez konieczności kompromitowania kont użytkowników.
Największe zagrożenie nie wynika wyłącznie z potencjalnego odczytu danych, lecz z możliwości dalszej eskalacji, utrwalenia dostępu i nadużywania zaufanych integracji SaaS. Dla organizacji oraz partnerów MSP priorytetem powinny być szybka weryfikacja ekspozycji, przegląd logów service principal i pełny audyt aplikacji z szerokimi uprawnieniami.
Źródła
- https://thehackernews.com/2026/10/hackers-use-compromised-connectwise.html
- https://www.connectwise.com/company/trust/advisories
- https://www.todyl.com/blog/investigation-unauthorized-access-through-the-connectwise-cloud-backup-microsoft-365-app
- https://www.bleepingcomputer.com/news/security/hackers-breach-microsoft-365-tenants-via-connectwise-supply-chain-attack/
- https://www.connectwise.com/company/trust/product-security-incident-faq