Secondo un resoconto di Rocket Boys basato su un aggiornamento di Huntress del 17 ottobre, l’attività di accesso ha interessato circa 1.000 tenant Microsoft Entra e ha prodotto oltre 300 accessi riusciti. Sono conteggi di attività di autenticazione, non un totale di organizzazioni con dati sottratti. La vicenda riguarda una credenziale applicativa di ConnectWise Cloud Backup usata per accedere a tenant Microsoft 365 che avevano già autorizzato l’app (resoconto di Rocket Boys; analisi di Huntress).
Che cosa indicano i conteggi
Il dato del 17 ottobre va distinto dalla rilevazione precedente: Huntress aveva segnalato accessi non autorizzati in 162 tenant alle 19:00 UTC del 16 ottobre. Il numero più alto, riportato da Rocket Boys come parte di un aggiornamento successivo di Huntress, descrive tenant con attività di accesso e oltre 300 autenticazioni riuscite. Un accesso riuscito indica che l’app si è autenticata; da solo non dice quali dati siano stati consultati o copiati.
NeoTeo aveva già ricostruito le prime fasi dell’incidente, compresa la precedente stima di Huntress. Le cifre successive ampliano il quadro delle autenticazioni osservate, senza trasformarsi in un conteggio di dati sottratti.
Perché la MFA dell’utente non fermava questa autenticazione
Secondo Huntress, l’accesso è avvenuto tramite una credenziale detenuta dal fornitore e l’identità applicativa di ConnectWise Cloud Backup. L’app ha usato i permessi che gli amministratori dei tenant avevano già concesso per ottenere token di Microsoft Graph, il servizio che permette alle applicazioni di interagire con i dati Microsoft 365.
Questa modalità, detta autenticazione app-only, non richiede che una persona acceda con il proprio account. Perciò la MFA dell’utente, che protegge il login interattivo, non blocca da sola questo specifico percorso. I dati raggiungibili dipendono dai permessi concessi nel singolo tenant; l’autenticazione non prova che ogni dato accessibile sia stato letto o sottratto (analisi di Huntress).
Un episodio separato con privilegi amministrativi
Huntress ha descritto anche un evento distinto in un singolo tenant: l’app ConnectWise Cloud Management – MS Teams si è assegnata il ruolo Global Administrator e ha aggiunto segreti client a due altre applicazioni. Si tratta di una diversa app ConnectWise, non del conteggio generale degli accessi di Cloud Backup.
Huntress non ha collegato in modo conclusivo l’operatore di quella sequenza a chi ha effettuato gli accessi successivi dall’indirizzo IP pubblico osservato. La distinzione conta: il caso amministrativo riguarda un tenant e un’app separati dalle rilevazioni più ampie di accesso (analisi di Huntress).
La sospensione di Cloud Backup e la dichiarazione sugli archivi
Il 17 ottobre ConnectWise ha dichiarato di aver individuato accessi non autorizzati alle identità applicative del proprio ambiente Cloud Backup e di aver disattivato l’accesso all’applicazione (avviso di ConnectWise). Nello stesso avviso, l’azienda ha affermato di non avere, fino a quel momento, indicatori di compromissione dei dati di backup ospitati. La dichiarazione riguarda gli archivi di backup conservati dal servizio; non descrive l’attività segnalata nei tenant Microsoft 365 dei clienti.
