ConnectWise zette Cloud Backup-toegang uit na misbruik

In een advies van 17 oktober 2026 meldde ConnectWise dat het de toegang van Cloud Backup had uitgezet. Daardoor werden de back-updiensten onderbroken; volgens het bedrijf was het bestaande cloudarchief niet door die onderbreking geraakt. ConnectWise

Huntress rapporteerde ongeautoriseerde aanmeldingen in 173 partner- en klanttenants. The Hacker News meldde dat aantal op 17 oktober: het telt tenants met bevestigde aanmeldingen, niet bewezen gevallen van datadiefstal. The Hacker News

Wat de 173 aanmeldingen zeggen over data

De aanmeldingen betroffen een gecompromitteerde inloggegevenset van ConnectWise Cloud Backup, voorheen SkyKick Backup. Daarmee werden tokens voor Microsoft Graph verkregen: toegangsbewijzen waarmee een toepassing Microsoft-diensten kan aanspreken. De bestaande toestemming voor de app kon, afhankelijk van de rechten in een tenant, toegang geven tot e-mail en bijlagen, OneDrive- en SharePoint-bestanden, Teams-chats en directorygegevens. Huntress Todyl

Een tokenaanmelding bewijst op zichzelf niet dat gegevens zijn gelezen of gekopieerd. In de door Todyl gemonitorde tenants zonder actief back-upabonnement vond het na tokenuitgifte geen leesrecords voor mailboxen of bestanden. Bij tenants met een actief abonnement kon Todyl leesactiviteit niet toeschrijven aan de aanvaller of aan de legitieme back-updienst: beide gebruikten dezelfde app-identiteit. Waar Microsoft Graph-activiteitslogboeken niet waren verzameld, waren bron-IP-adressen per aanvraag niet beschikbaar. Todyl

Twee afzonderlijke ConnectWise-apps

Huntress beschreef naast het Cloud Backup-tokengebruik ook activiteiten van ConnectWise Cloud Management-apps. Vanaf 01:58 UTC op 15 oktober zagen de onderzoekers service principals — app-identiteiten in Microsoft Entra — in ongeveer 50 gemonitorde tenants directoryrollen toewijzen, meestal de rol Exchange Administrator. In één tenant voegde de afzonderlijke app ConnectWise Cloud Management - MS Teams zichzelf tussen 03:44 en 03:49 UTC toe aan de rol Global Administrator. De app voerde daar negen wijzigingen aan twee andere applicaties uit; zes slaagden en drie mislukten. Huntress

Later die ochtend, tussen 06:13 en 08:34 UTC, zag Huntress Microsoft Graph-tok gebruik door ConnectWise Cloud Backup vanaf 144.172.64[.]128. De onderzoeker had voor de eerdere Teams-appactiviteit geen bronadres en koppelde die fase niet aan dezelfde operator als het latere Cloud Backup-gebruik. [Huntress](https://www.huntress.com/blog/vendor-credential-enables- unauthorized-access)

De twee applicaties hebben verschillende ID's. De ID van ConnectWise Cloud Backup is 506e08f9-6e9a-4da4-942b-a099a03644ae; oudere installaties kunnen de naam SkyKick Backup tonen. ConnectWise Cloud Management - MS Teams heeft ID 24205314-2b89-4e07-a2a4-579e898a5640 en kan in oudere tenants SkyKick Cloud Manager - MS Teams heten. Huntress

Aanmeldingen controleren in Microsoft Entra

ConnectWise verwees beheerders naar Monitoring > Sign-in logs > Service principal sign-ins in Microsoft Entra en adviseerde daar te filteren op de Cloud Backup-app-ID 506e08f9-6e9a-4da4-942b-a099a03644ae. De standaardweergave User sign-ins toont de relevante app-aanmeldingen niet. ConnectWise waarschuwde ook dat een indicator op zichzelf geen bevestiging van een compromittering is. ConnectWise

Todyl meldde dat het uitschakelen van de app nieuwe tokens tegenhoudt, maar dat al uitgegeven tokens nog maximaal 90 minuten geldig kunnen blijven. Todyl

Microsoft schrijft dat de beschreven Conditional Access-beleidsregels voor workload identities niet gelden voor SaaS-apps van derden, waaronder multitenant-apps. Microsoft Learn