W komunikacie z 17 października 2026 r., opublikowanym o 05:01 UTC, ConnectWise informuje o wyłączeniu dostępu aplikacji Cloud Backup. Przerywa to działanie usługi kopii zapasowych, ale — jak podaje firma — nie narusza istniejącego archiwum. ConnectWise
Według relacji The Hacker News Huntress zgłosił nieautoryzowane logowania w 173 tenantach partnerów i klientów, czyli odrębnych środowiskach Microsoft 365. Ta liczba dotyczy uwierzytelnień aplikacji, nie potwierdzonych przypadków kradzieży danych. The Hacker News
Co oznaczają 173 logowania
ConnectWise Cloud Backup, wcześniej SkyKick Backup, uzyskiwał tokeny Microsoft Graph przy użyciu przejętego poświadczenia aplikacji. Token to cyfrowy bilet pozwalający aplikacji korzystać z usług w granicach uprawnień przyznanych jej w danym tenantcie. Zależnie od tych uprawnień dostęp mógł obejmować pocztę i załączniki, pliki OneDrive i SharePoint, czaty Teams oraz dane katalogowe; mógł też pozwalać na zapis i przywracanie danych. Huntress Todyl
Obserwacja logowania potwierdza uwierzytelnienie aplikacji, ale sama nie pokazuje, jakie dane odczytano ani skopiowano. Todyl nie znalazł zapisów odczytu poczty ani plików po wydaniu tokenów w monitorowanych przez siebie tenantach bez aktywnej subskrypcji kopii zapasowych. W tenantach z aktywną subskrypcją nie dało się przypisać odczytów napastnikowi zamiast legalnej usłudze backupu, ponieważ oba działania korzystały z tej samej tożsamości aplikacji. Todyl wskazuje też, że logi aktywności Microsoft Graph mogą zawierać adres IP poszczególnych żądań; w monitorowanych tenantach, w których tych logów nie zbierano, takich adresów nie było. Todyl
Dwie aplikacje ConnectWise i osobne zdarzenia
Huntress zaobserwował 15 października od 01:58 UTC przypisywanie ról katalogowych przez tożsamości aplikacji ConnectWise Cloud Management w około 50 monitorowanych tenantach. Najczęściej była to rola Exchange Administrator. Późniejsze zdarzenie dotyczyło innej aplikacji — ConnectWise Cloud Management - MS Teams — a nie Cloud Backup.
| Czas (UTC) | Zaobserwowane zdarzenie | Aplikacja i zakres |
| 15 października, od 01:58 | Przypisywanie ról katalogowych, głównie Exchange Administrator | Aplikacje ConnectWise Cloud Management w około 50 tenantach monitorowanych przez Huntress |
| 15 października, 03:44–03:49 | Aplikacja przypisała sobie rolę Global Administrator i zmieniła dane uwierzytelniające dwóch innych aplikacji. Z dziewięciu zmian sześć się powiodło, a trzy zakończyły się niepowodzeniem. | ConnectWise Cloud Management - MS Teams; jeden tenant; ID aplikacji 24205314-2b89-4e07-a2a4-579e898a5640 |
| 15 października, 06:13–08:34 | Użycie tokenów Microsoft Graph z adresu 144.172.64[.]128 | ConnectWise Cloud Backup; obserwacje Huntress |
| 17 października, 05:01 | ConnectWise informuje o wyłączeniu dostępu aplikacji, co przerywa usługę kopii zapasowych; istniejące archiwum pozostaje nienaruszone przez tę przerwę, według firmy. | ConnectWise Cloud Backup; komunikat firmy |
W jednym tenantcie aplikacja Teams dodała nowe sekrety klienta do aplikacji zarządzającej MSP oraz aplikacji Huntress. Huntress nie miała adresu źródłowego dla tej wcześniejszej aktywności i nie powiązała jej z późniejszym użyciem poświadczenia Cloud Backup przez tego samego operatora. Identyfikator Cloud Backup to 506e08f9-6e9a-4da4-942b-a099a03644ae; starsze środowiska mogą wyświetlać nazwę SkyKick Backup. Huntress
Gdzie sprawdzić logowania aplikacji w Entra
ConnectWise wskazuje w Microsoft Entra ścieżkę Monitoring → Sign-in logs → Service principal sign-ins. Logowania service principal dotyczą tożsamości aplikacji, a nie indywidualnych użytkowników. Wyszukaj identyfikator Cloud Backup 506e08f9-6e9a-4da4-942b-a099a03644ae i sprawdź adres 144.172.64[.]128 oraz inne nieoczekiwane adresy. Domyślna karta User sign-ins nie pokazuje tych zdarzeń. ConnectWise zaznacza, że sam wskaźnik w logach nie przesądza o przejęciu konta lub środowiska.
Wyłączenie aplikacji blokuje wydawanie nowych tokenów, ale Todyl podaje, że tokeny już wystawione mogą pozostać ważne do 90 minut. Microsoft informuje, że opisane zasady Conditional Access dla tożsamości obciążeń nie obejmują aplikacji SaaS firm trzecich, w tym aplikacji wielodostępnych. Todyl Microsoft Learn
