ConnectWise meldde op 22 oktober 2026 dat de gefaseerde restauratie van Cloud Backup vorderde en dat elke stap veiligheidsvalidatie kreeg. Instructies voor beschikbaarheid en herverbinding zouden per dienst volgen. Partners moesten getroffen verbindingen uitgeschakeld houden totdat formele instructies voor hun dienst golden. De Trust Center-update van ConnectWise bevat de status. NeoTeo beschreef eerder hoe ConnectWise de toegang tot Cloud Backup uitschakelde.
ConnectWise kondigde ook aan uiterlijk 23 oktober om 01.00 UTC een volgende update te publiceren.
Wat de cijfers van Huntress betekenen
Huntress bekeek app-aanmeldingen in meer dan 10.000 tenants met ConnectWise-applicaties. Het bedrijf zag verdachte activiteit in meer dan 1.000 Microsoft-tenants en meer dan 300 aanmeldingen die succesvol leken. Dat zijn aantallen waargenomen activiteit en aanmeldingen, geen bevestigd aantal getroffen tenants. Huntress meldde dat sommige schijnbaar succesvolle aanmeldingen geen toegang tot de tenant betekenden en dat de telling onvolledig was.
De zeven applicatie-identiteiten van ConnectWise
ConnectWise vermeldde deze zeven applicatie-identiteiten voor het onderzoek naar het incident:
| Applicatie-identiteit | Client-ID |
| ConnectWise Cloud Backup | 506e08f9-6e9a-4da4-942b-a099a03644ae |
| ConnectWise Cloud Management | 2399d300-6fca-4e6a-a686-399fefe75b83 |
| Cloud Management - MS Teams | 24205314-2b89-4e07-a2a4-579e898a5640 |
| Exchange Online | b78f6a77-d4e5-46fb-87e5-d1648bd02519 |
| MS Graph | 0de14c77-b9b0-4137-9360-34878a929827 |
| Partner Center | 412dcf96-176d-4b3a-a1b0-4981ad66971e |
| SharePoint Online | b2b55f5b-7758-4719-8d8f-88ae172e6bdb |
Een verbinding uitschakelen is geen tenantcontrole
Het uitschakelen van een applicatieverbinding voorkomt nieuwe aanmeldingen via die verbinding, maar draait wijzigingen in een Microsoft 365-tenant niet terug. Eerder uitgegeven tokens kunnen bruikbaar blijven totdat ze verlopen of ongeldig zijn gemaakt. Een tenant vereist daarom een afzonderlijke controle.
ConnectWise adviseerde beheerders onder meer aanmeldings- en auditgegevens, applicatiereferenties en -machtigingen, directoryrollen, toestemmingen en federatieve vertrouwensrelaties te bekijken. Ook mailboxregels en doorstuurinstellingen, plus andere identiteiten of beleidsregels die tijdens verdachte activiteit zijn gewijzigd, horen bij die controle.
ConnectWise zei dat bestaande back-uparchieven versleuteld, geïsoleerd en bewaard bleven, zonder aanwijzingen voor compromittering. Dat betreft de back-uparchieven van ConnectWise; individuele Microsoft 365-tenants moeten apart worden onderzocht. ConnectWise meldde op 22 oktober ook geen aanwijzingen te hebben dat andere producten, waaronder ScreenConnect, door het incident waren geraakt.
