Po wcześniejszym wyłączeniu dostępu do ConnectWise Cloud Backup firma poinformowała 22 października 2026 r., że etapowe przywracanie usługi postępuje, a każdy etap przechodzi kontrolę bezpieczeństwa. Partnerzy mają pozostawić dotknięte połączenia wyłączone do czasu otrzymania formalnych instrukcji dla konkretnej usługi. ConnectWise opublikuje je po potwierdzeniu dostępności w swoim centrum porad.
Co oznacza aktualizacja ConnectWise
Postęp prac nad przywracaniem nie jest zgodą na ponowne podłączenie integracji. ConnectWise zapowiedział instrukcje dotyczące dostępności i ponownego podłączania poszczególnych usług, gdy zostaną potwierdzone. W aktualizacji z 22 października firma poleciła partnerom utrzymać dotknięte połączenia w stanie wyłączonym do czasu formalnych wskazówek dotyczących ich usługi.
Incydent dotyczy ConnectWise Cloud Backup, wcześniej SkyKick, oraz nieautoryzowanego dostępu do poświadczeń aplikacji powiązanych z tą usługą. Połączenia aplikacji dawały dostęp do środowisk Microsoft 365. ConnectWise podał, że jego istniejące archiwa kopii zapasowych pozostają zaszyfrowane, odizolowane i zachowane, a firma nie ma oznak ich naruszenia. To ocena dotycząca archiwów. ConnectWise osobno wskazuje, że środowiska Microsoft 365 wymagają indywidualnego przeglądu.
Co mówią obserwacje Huntress
Huntress przeanalizował logowania w ponad 10 tys. tenantów z aplikacjami ConnectWise i zaobserwował podejrzaną aktywność w ponad 1 tys. tenantów Microsoft. Ponad 300 logowań wyglądało na udane. Huntress zaznaczył, że część takich zdarzeń nie oznaczała dostępu aplikacji do tenanta, a jego obserwacje nie obejmowały pełnej skali incydentu.
Te liczby opisują różne rzeczy: liczbę tenantów z zaobserwowaną aktywnością oraz liczbę logowań, które wyglądały na udane. Nie należy utożsamiać ich ze sobą. Sama informacja o udanym logowaniu nie przesądza, że aplikacja uzyskała dostęp do tenantа ani że doszło do odczytu danych.
Tożsamości aplikacji wymienione przez ConnectWise
ConnectWise wymienił siedem tożsamości aplikacji do sprawdzenia. Identyfikator klienta pozwala rozpoznać aplikację w środowisku, niezależnie od wyświetlanej nazwy.
| Tożsamość aplikacji | Identyfikator klienta |
| ConnectWise Cloud Backup | 506e08f9-6e9a-4da4-942b-a099a03644ae |
| ConnectWise Cloud Management | 2399d300-6fca-4e6a-a686-399fefe75b83 |
| Cloud Management - MS Teams | 24205314-2b89-4e07-a2a4-579e898a5640 |
| Cloud Management - Exchange Online | b78f6a77-d4e5-46fb-87e5-d1648bd02519 |
| Cloud Management - MS Graph | 0de14c77-b9b0-4137-9360-34878a929827 |
| Cloud Management - Partner Center | 412dcf96-176d-4b3a-a1b0-4981ad66971e |
| Cloud Management - SharePoint Online | b2b55f5b-7758-4719-8d8f-88ae172e6bdb |
Dlaczego wyłączenie aplikacji nie kończy przeglądu
Wyłączenie połączenia blokuje nowe uwierzytelnienia przez tę aplikację, ale nie cofa zmian, które mogły już nastąpić w tenantcie. Wydane wcześniej tokeny dostępu mogą pozostać aktywne do wygaśnięcia albo unieważnienia. Dlatego ConnectWise zaleca osobny przegląd logowań aplikacji, poświadczeń i uprawnień, ról katalogowych, zgód, zaufanych relacji federacyjnych oraz reguł i przekazywania poczty. Należy też sprawdzić inne tożsamości i ustawienia zmienione podczas podejrzanej aktywności.
ConnectWise zapowiedział, że kolejna aktualizacja pojawi się najpóźniej 23 października 2026 r. o 01:00 UTC; firma ma przekazać istotne informacje wcześniej, jeśli pojawią się nowe ustalenia.
