Volgens ConnectWise’ update van 19 oktober 2026 om 13:45 UTC zijn Cloud Backup, SaaS Security en Cloud Management opgeschort. Geplande back-ups, toegang tot back-uparchieven en herstelacties zijn niet beschikbaar, net als SaaS Security-monitoring en meldingen en het gebruikers- en licentiebeheer van Cloud Management. ConnectWise meldt dat een hersteltijd nog niet is bevestigd. (ConnectWise Trust Center)
Back-uparchieven en actieve tenants zijn verschillende zaken
Op 18 oktober zei ConnectWise dat de bestaande back-uparchieven versleuteld en geïsoleerd waren en dat het geen aanwijzingen had dat ze waren ingezien. Die verklaring gaat over de opgeslagen archieven. ConnectWise zegt dat het niet zelfstandig kan vaststellen of een afzonderlijke Microsoft 365-tenant ongeoorloofde activiteit heeft gehad.
Huntress meldde ongeoorloofde aanmeldingen met de oorspronkelijke leveranciersreferentie in 173 partner- en klanttenants. Daarnaast rapporteerde Huntress aanmeldactiviteit vanaf het bijbehorende IP-adres in bijna 1.000 Entra-tenants en meer dan 300 geslaagde aanmeldingen. Dat zijn bredere maatstaven voor IP-activiteit, geen andere telling van de 173 tenants. (Huntress’ update; Huntress’ analyse)
Todyl beschreef de aanmeldingen als app-only-authenticatie: de applicatie gebruikte haar eigen identiteit om tokens voor Microsoft Graph aan te vragen, zonder interactieve aanmelding door een gebruiker. De app had eerder toegekende machtigingen voor onder meer e-mail en bijlagen, bestanden in OneDrive en SharePoint en Teams-chats. In tenants met actieve back-ups konden sommige leesacties volgens Todyl niet betrouwbaar worden toegeschreven aan de ongeoorloofde activiteit of aan de normale back-updienst, doordat Graph-activiteitslogboeken ontbraken. (Todyl)
Huntress meldde daarnaast dat in één partnertenant een afzonderlijke app, ConnectWise Cloud Management - MS Teams, zichzelf de rol Global Administrator toekende en geheimen toevoegde aan twee andere applicaties. De app is niet dezelfde identiteit als ConnectWise Cloud Backup. (Huntress)
Wat ConnectWise partners adviseert
ConnectWise adviseert partners om beschikbare aanmeld- en auditgegevens te bewaren, de getroffen applicaties uitgeschakeld te houden en hun eigen tenants en die van beheerde klanten te controleren. Daarbij horen controles op applicatie-identiteiten, referenties, machtigingen, rollen en andere wijzigingen in de tenant. Het uitschakelen van de betrokken identiteiten maakt eerder aangebrachte wijzigingen niet ongedaan; ConnectWise vraagt partners te wachten op formele instructies voor herstel of opnieuw verbinden. (ConnectWise Trust Center)
De eerdere berichtgeving over ingetrokken certificaten en ongeldig gemaakte referenties staat in NeoTeo’s eerdere artikel.
