W komunikacie z 19 października 2026 r. o 13:45 UTC ConnectWise podało, że Cloud Backup, SaaS Security i Cloud Management były zawieszone. Niedostępne pozostawały zaplanowane kopie zapasowe, dostęp do archiwów i przywracanie danych, monitoring i alerty SaaS Security oraz zarządzanie użytkownikami i licencjami Cloud Management. ConnectWise nie podało potwierdzonego terminu przywrócenia usług. Komunikat ConnectWise
Co wiadomo o aktywności w tenantach Microsoft 365
Huntress podało, że nieautoryzowane logowania z użyciem pierwotnie przejętych danych dostępowych dostawcy odnotowano w 173 tenantach partnerów i klientów. Osobno firma zgłosiła aktywność logowań z powiązanego adresu IP w blisko 1000 tenantach Entra oraz ponad 300 udanych logowań. To szersze miary aktywności, a nie liczba potwierdzonych tenantów z nieautoryzowanymi logowaniami. Aktualizacja Huntress i analiza Huntress
Todyl opisało uwierzytelnianie aplikacyjne, czyli logowanie aplikacji bez interaktywnego logowania użytkownika. Aplikacja korzystała z uprawnień wcześniej przyznanych jej w tenantach Microsoft 365; MFA przeznaczone do ochrony logowania użytkowników nie obejmowało zaobserwowanego przez Todyl przepływu tokenów aplikacyjnych. Analiza Todyl
Huntress opisało też odrębne zdarzenie w jednym monitorowanym tenancie. Aplikacja ConnectWise Cloud Management - MS Teams, o identyfikatorze 24205314-2b89-4e07-a2a4-579e898a5640, przypisała sobie rolę Global Administrator i dodała sekrety klienta do dwóch innych aplikacji. Była to inna tożsamość niż ConnectWise Cloud Backup.
Archiwa kopii zapasowych a dane w aktywnych tenantach
ConnectWise podało, że istniejące archiwa kopii zapasowych pozostawały zaszyfrowane i odizolowane, a firma nie miała dowodów, że uzyskano do nich dostęp. To oświadczenie dotyczy przechowywanych archiwów. ConnectWise podało również, że nie może samodzielnie ustalić, czy w konkretnym tenantcie klienta doszło do nieautoryzowanej aktywności.
Todyl wskazało, że w tenantach z aktywnymi kopiami zapasowymi części odczytów nie można było odróżnić od zwykłych działań usługi, ponieważ nie zbierano tam dzienników aktywności Microsoft Graph. Sama informacja o stanie archiwów nie rozstrzyga więc, co działo się w aktywnych środowiskach Microsoft 365.
Co ConnectWise zaleciło partnerom
17 października o 07:00 UTC ConnectWise wyłączyło siedem tożsamości aplikacji i unieważniło certyfikaty używane w objętych incydentem połączeniach Cloud Backup. Firma zaznaczyła, że wyłączenie blokuje nowe uwierzytelnienia przez te połączenia, ale nie cofa zmian już wprowadzonych w tenantach. Wcześniej wydane tokeny mogły pozostać ważne do wygaśnięcia lub unieważnienia. Wskazówki ConnectWise dla partnerów
ConnectWise zaleciło partnerom zachowanie dostępnych dzienników, pozostawienie wyłączonych objętych incydentem aplikacji oraz sprawdzenie logowań, zapisów audytowych, danych dostępowych, uprawnień, ról i innych zmian w tenantach. Firma poleciła też czekać na formalne instrukcje dotyczące przywrócenia usług i ponownego połączenia. Wcześniejszy tekst NeoTeo opisywał unieważnienie certyfikatów i danych dostępowych Cloud Backup.
