ConnectWise meldde in zijn update van 17 oktober 2026 dat het certificaten voor getroffen app-koppelingen had ingetrokken en gedeelde Cloud Backup-inloggegevens ongeldig had gemaakt. De versleutelde archieven bleven geïsoleerd en bewaard, maar waren op dat moment niet toegankelijk of herstelbaar. ConnectWise zei ook dat het niet kon vaststellen of afzonderlijke Microsoft 365-omgevingen van klanten ongeoorloofde activiteit hadden ondervonden. (ConnectWise)
Wat er in Microsoft 365-tenants gebeurde
Bij app-only-authenticatie meldt niet een medewerker zich aan: een applicatie gebruikt haar eigen identiteit, een zogeheten serviceprincipal. De beschreven aanmeldingen verliepen dus via een app-identiteit, niet via een menselijk gebruikersaccount. Huntress meldde dat de Cloud Backup-app in Microsoft 365-tenants ongeoorloofde aanmeldingen deed. In de telemetrie van Huntress ging het op 16 oktober om 19.00 UTC om 162 tenants. (Huntress)
De betrokken app was ConnectWise Cloud Backup, voorheen SkyKick Backup, met App-ID 506e08f9-6e9a-4da4-942b-a099a03644ae. Huntress zag aanmeldingen vanaf 144.172.64[.]128 op 15 oktober tussen 06.13 en 08.34 UTC. Todyl registreerde in de eigen gemonitorde tenants aanmeldingen tussen 07.11 en 08.47 UTC die dag. (Huntress; Todyl)
Microsoft Threat Intelligence omschreef de activiteit als een actieve supplychainaanval in een Engelstalig bericht:
De Teams-beheerapp was een andere applicatie
Huntress meldde daarnaast dat ConnectWise Cloud Management-apps in bijna 50 gemonitorde tenants directoryrollen toekenden, meestal Exchange Administrator. In één tenant kende de afzonderlijke app ConnectWise Cloud Management - MS Teams zichzelf de rol Global Administrator toe en voegde zij clientgeheimen toe aan twee andere applicaties, waaronder een tenantgebonden Huntress-app. Die reeks duurde ongeveer vijf minuten. (Huntress)
De Teams-beheerapp is niet dezelfde app als Cloud Backup. Huntress vermeldde voor ConnectWise Cloud Management - MS Teams de App-ID 24205314-2b89-4e07-a2a4-579e898a5640. Dat onderscheid is van belang wanneer beheerders de afzonderlijke applicatieaanmeldingen en wijzigingen in hun tenant nalopen.
Waarom sommige leesacties niet aan een actor waren toe te schrijven
In tenants met actieve back-ups zag Todyl leesactiviteit die niet betrouwbaar aan de ongeoorloofde partij of aan de legitieme back-updienst kon worden gekoppeld. Beide gebruikten dezelfde applicatie-identiteit. Microsoft Graph-activiteitslogboeken met het bron-IP-adres per verzoek werden in de onderzochte tenants niet verzameld. (Todyl)
In de door Todyl onderzochte tenants zonder actief abonnement waren na uitgifte van het token geen mailbox- of bestandsleesregistraties zichtbaar. Todyl meldde ook dat eerder uitgegeven app-tokens na het uitschakelen van een app nog tot 90 minuten geldig kunnen blijven.
Welke aanmeldingen beheerders konden controleren
ConnectWise verwees beheerders naar Microsoft Entra Admin Center > Monitoring > Sign-in logs > Service principal sign-ins. Daar konden zij filteren op de Cloud Backup-App-ID 506e08f9-6e9a-4da4-942b-a099a03644ae. Het standaardtabblad User sign-ins toont de relevante app-authenticatie niet. (ConnectWise)
Wat de onderbreking betekende voor herstel
In de update van 17 oktober meldde ConnectWise dat geplande back-uptaken niet draaiden en dat archieven niet konden worden ingezien of teruggezet. Daardoor konden nieuwe of gewijzigde gegevens buiten de bestaande herstelpunten vallen. Het bedrijf had op dat moment nog geen hersteltijdstip vastgesteld. (ConnectWise)
