Atac asupra ConnectWise Cloud Backup: ce trebuie să verifice urgent firmele cu Microsoft 365
Un incident de securitate care implică ConnectWise Cloud Backup, serviciu cunoscut anterior ca SkyKick Cloud Backup, pune din nou în prim-plan unul dintre cele mai incomode riscuri din cloud: nu trebuie să fie spart contul unui angajat pentru ca un atacator să ajungă în Microsoft 365. În acest caz, accesul ar fi fost obținut prin identitatea tehnică a unei aplicații de backup, folosită de furnizori IT și MSP-uri pentru a salva și restaura date din Microsoft 365. ConnectWise a suspendat accesul aplicației sale de Cloud Backup după ce a identificat acces neautorizat la identități de aplicație. Activitatea suspectă a fost observată cel puțin din 15 octombrie 2026, iar cercetătorii Huntress au raportat inițial minimum 162 de tenant-uri Microsoft 365 compromise în mediul lor. (bleepingcomputer.com)
Ce s-a întâmplat și de ce nu este un atac obișnuit de tip phishing
ConnectWise Cloud Backup este un produs folosit pentru backup și recuperare de date din servicii precum Microsoft 365 și Google Workspace. În ecosistemul Microsoft, aplicația are nevoie de permisiuni în Microsoft Entra ID pentru a citi și, în anumite scenarii, a gestiona date necesare operațiunilor de backup: emailuri, fișiere OneDrive, documente SharePoint sau alte resurse din tenant.
Ghid ServerSpan relevant: Funcția Recall de la Microsoft, sub presiune: O analiză aprofundată a unei dileme de confidențialitate.
Problema este că astfel de aplicații nu se autentifică precum un angajat care își introduce parola și aprobă un cod MFA. Ele folosesc o identitate de aplicație, numită service principal: practic, un „cont tehnic” care reprezintă software-ul în tenant-ul companiei. Microsoft explică faptul că un service principal poate folosi propriile credențiale — de exemplu, un secret sau un certificat — pentru a accesa resurse, fără autentificare interactivă de utilizator. (learn.microsoft.com)
Asta schimbă complet natura riscului. Dacă identitatea furnizorului este compromisă, atacatorul poate încerca să intre în organizațiile cliente folosind permisiunile deja acordate aplicației. Nu este, deci, neapărat o breșă clasică în Microsoft 365 și nici un caz în care un utilizator a apăsat pe un link malițios. Este un atac de tip supply-chain, în care încrederea acordată unui furnizor devine calea de acces spre clienții acelui furnizor.
Pentru mai multe detalii despre această parte a subiectului, vezi Bitwarden CLI compromis printr-un atac supply chain – Ce s-a întâmplat și ce trebuie să faci chiar acum (23 aprilie 2026).
ConnectWise spune că a întrerupt accesul aplicației Cloud Backup pentru parteneri și clienți, că investighează incidentul și că, până acum, nu are indicii că arhivele de backup ale partenerilor au fost compromise. Este importantă nuanța: arhiva de backup și accesul activ al aplicației la tenant sunt lucruri diferite. Faptul că backupurile nu par afectate nu exclude nevoia unei investigații în tenant-ul Microsoft 365. (reddit.com)
Cine este afectat în România și cât de mare este riscul real
Prioritatea este clară pentru companiile românești care folosesc sau au folosit în trecut SkyKick ori ConnectWise Cloud Backup, direct sau printr-un furnizor de servicii IT administrate. În practică, sunt vizate mai ales IMM-urile și organizațiile care externalizează administrarea Microsoft 365, backupul, migrarea de email sau securitatea către un MSP.
Riscul nu este limitat la firmele care cred că folosesc în prezent produsul. O aplicație SaaS poate rămâne autorizată în Microsoft Entra după ce contractul s-a terminat, după o migrare sau după schimbarea furnizorului IT. Cu alte cuvinte, o companie poate avea o „ușă” tehnică veche rămasă în tenant, deși nimeni din echipa actuală nu o mai asociază cu un serviciu activ.
Din informațiile publice disponibile, activitatea suspectă a fost legată de adresa IP 144.172.64.128, iar ConnectWise a indicat și user-agent-urile Python-urllib/3.12 și python-requests/2.31 ca indicatori relevanți pentru investigație. Totuși, prezența unui indicator nu înseamnă automat compromitere: trebuie corelată cu autentificările aplicației, permisiunile existente și modificările făcute în tenant. (isdown.app)
Pentru utilizatorul obișnuit, mesajul este mai simplu: nu este momentul pentru schimbarea panicată a parolei personale, dacă firma nu are niciun indiciu de acces neautorizat. Pentru administratorii IT, în schimb, este un incident care merită tratat ca prioritate ridicată. O aplicație de backup poate avea acces la volume mari de date, iar compromiterea ei poate însemna expunerea mailboxurilor, documentelor sau a metadatelor organizației.
Ce trebuie verificat în Microsoft Entra și Microsoft 365
Primul pas este inventarierea aplicațiilor enterprise din Microsoft Entra ID. Administratorii trebuie să caute ConnectWise Cloud Backup, SkyKick Backup și orice aplicație ConnectWise asociată proceselor istorice de backup, migrare sau administrare. Dacă aplicația este prezentă și nu mai este necesară, accesul trebuie dezactivat sau eliminat controlat, după consultarea recomandărilor actualizate ale furnizorului și după evaluarea impactului asupra restaurărilor.
Al doilea pas este analiza logurilor. Microsoft recomandă verificarea autentificărilor de tip service principal, care arată activitatea aplicațiilor și date precum adresa IP, resursa accesată și rezultatul autentificării. Separat, audit logs pot arăta modificări la aplicații, service principals, roluri și permisiuni. (learn.microsoft.com)
În această investigație, merită urmărite în special:
- autentificări reușite sau eșuate ale aplicației începând cu 15 octombrie 2026;
- autentificări asociate indicatorilor publicați;
- adăugarea de secrete, certificate sau alte credențiale la aplicații existente;
- acordarea ori extinderea permisiunilor Microsoft Graph;
- atribuirea de roluri privilegiate către aplicații;
- conturi nou create, reguli suspecte în Exchange, exporturi neobișnuite sau acces masiv la fișiere.
Microsoft clasifică adăugarea de credențiale la aplicații existente drept semnal cu risc ridicat și recomandă monitorizarea strictă a rolurilor privilegiate acordate service principal-urilor. O aplicație care primește drepturi administrative sau își modifică propriile credențiale poate deveni o mecanism de persistență pentru un atacator. (learn.microsoft.com)
Detaliile despre toate acțiunile efectuate de atacatori nu sunt încă pe deplin confirmate public. De aceea, ar fi greșit să presupunem automat exfiltrare de date în fiecare tenant care a avut aplicația instalată. Dar este la fel de greșit să se considere incidentul rezolvat doar fiindcă serviciul de backup a fost oprit de furnizor.
Lecția importantă: aplicațiile SaaS sunt identități cu privilegii, nu simple „integrări”
Multe firme tratează integrarea unei aplicații cu Microsoft 365 ca pe instalarea unui plugin: se aprobă rapid, pentru că promite backup, semnătură de email, CRM, raportare sau automatizare. În realitate, fiecare astfel de integrare poate deveni o identitate cu acces persistent la date corporative.
Aici se vede diferența dintre securitatea conturilor și securitatea identităților. Poți avea MFA obligatoriu pentru toți angajații, parole puternice și laptopuri gestionate corect, dar acestea nu blochează automat un atac care folosește o aplicație terță autorizată. Microsoft subliniază că identitățile de workload nu beneficiază de protecțiile centrate pe utilizator, cum ar fi MFA, iar principiul privilegiilor minime și revizuirea regulată sunt esențiale. (learn.microsoft.com)
Există și limite tehnice care merită înțelese. Conditional Access pentru workload identities și mecanismele de evaluare continuă a accesului pot ajuta în anumite contexte, însă Microsoft precizează că aplicațiile SaaS terțe și multi-tenant sunt în afara ariei de acoperire pentru unele dintre aceste controale. Cu alte cuvinte, nu există un buton universal care rezolvă riscul furnizorilor externi. (learn.microsoft.com)
Pentru firmele din România, concluzia practică este că relația cu un MSP sau cu un furnizor de cloud trebuie să includă o evidență actualizată a aplicațiilor conectate, a permisiunilor acordate și a procedurii de revocare în caz de incident. Backupul rămâne obligatoriu, dar backupul trebuie privit și ca o componentă de securitate cu acces sensibil, nu doar ca o poliță de asigurare pentru fișiere șterse accidental.
Lucruri de făcut acum:
- Verifică dacă tenant-ul a avut vreodată SkyKick sau ConnectWise Cloud Backup.
- Cere furnizorului IT o confirmare scrisă privind expunerea și măsurile aplicate.
- Analizează logurile Entra pentru perioada începând cu 15 octombrie 2026.
- Revizuiește aplicațiile cu acces la Microsoft 365 și elimină integrările abandonate.
- Păstrează și testează backupuri independente de aplicația investigată.
- Monitorizează actualizările oficiale ConnectWise și recomandările Microsoft.
Incidentul ConnectWise este un reminder incomod că, în cloud, o aplicație de încredere poate avea acces mai amplu decât un angajat obișnuit. Firmele nu trebuie să ignore alertele, dar nici să transforme cazul într-o presupunere generală că toate datele au fost furate. Răspunsul bun este disciplinat: identifici aplicația, verifici logurile, cauți modificări de privilegii, limitezi accesul inutil și documentezi ce s-a întâmplat. În securitatea Microsoft 365, lista aplicațiilor autorizate trebuie tratată cu aceeași seriozitate ca lista administratorilor.