ConnectWise Cloud Backup (dating SkyKick): ninakaw na credential, nagbukas sa Microsoft 365 — ano ang susuriin

Kung gumagamit ang kumpanya mo ng Microsoft 365 at ang backup ng email, OneDrive, SharePoint at Teams ay ginagawa ng isang IT provider (MSP), maglaan ng limang minuto ngayong araw para suriin ang isang bagay: kung naka-install sa environment mo ang ConnectWise Cloud Backup, na dating SkyKick. Mula Oktubre 13 hanggang 16, 2026, ginamit ng mga tagalabas ang mga credential ng mga application ng serbisyong ito para makapasok sa mga Microsoft 365 environment ng mga customer. Hindi nila kinailangan ang password ng user o ang MFA.

Sinuspinde ng ConnectWise ang serbisyo, dinisable ang pitong application identity at sinabing nananatiling hiwalay ang mga naka-imbak na backup archive at walang palatandaan na na-access ang mga ito. Pero babala mismo ng kumpanya: ang pag-disable sa mga koneksyon ay hindi nagbabalik sa anumang nabago na sa loob ng bawat environment. Narito ang alam na, kung sino ang dapat mag-ingat at kung ano ang dapat suriin.

Ano ang nangyari

Ginagamit ng mga MSP ang Cloud Backup para mag-backup at mag-restore ng data ng customer sa Microsoft 365 at Google Workspace. Para gumana kahit walang naka-log in, kumokonekta ang serbisyo sa pamamagitan ng isang application na naka-rehistro sa Microsoft Entra ID (dating Azure AD). Inaaprubahan ito nang isang beses ng administrator, at may malawak itong pahintulot: magbasa at magsulat sa mga mailbox, file at chat.

Ayon sa Huntress, isang security company na nagsisilbi sa mga MSP, napunta sa maling kamay ang credential ng application na iyon. Noong Oktubre 15, mula 06:13 hanggang 08:34 UTC (15:13 hanggang 17:34 sa oras ng Japan), nag-sign in ang application sa mga environment ng customer mula sa address ng isang hosting provider. Hindi ito galing sa network ng Microsoft na karaniwang pinanggagalingan ng lehitimong trapiko. Ang pattern, sunod-sunod na tenant na ilang segundo lang ang pagitan, ay nagpapakita na script ang gumagawa nito batay sa isang listahan. Hanggang 19:00 UTC ng Oktubre 16, nakumpirma ng Huntress ang hindi awtorisadong pag-sign in sa 162 tenant.

Iniulat din ng Huntress na:

• sa humigit-kumulang 50 tenant na binabantayan nito, nagbigay sa sarili ng mga directory role, karamihan ay Exchange Administrator, ang mga app ng ConnectWise Cloud Management (Exchange Online, Teams at Graph);
• sa isang tenant, ginawang Global Administrator ng Cloud Management app para sa Teams ang sarili nito. Sa loob ng mga limang minuto, nagdagdag ito ng bagong secret sa dalawa pang application (isang MSP management tool at ang mismong app ng Huntress), kaya nagkaroon ng backdoor na may bisa hanggang 2028;
• noong Oktubre 13 at 14, sinubukan ng parehong address na hulaan ang mga password sa tenant ng apat na law firm, nang walang kumpirmadong tagumpay.

Kinumpirma ng Microsoft ang mapanganib na aktibidad na may kinalaman sa serbisyo. Ayon sa BleepingComputer, tinawag nito ang kaso na aktibong supply-chain attack. Ang Todyl naman, na nagsuri ng siyam na tenant, ay sign-in lang ang nakita at walang paggawa ng account o persistence. Ipinapakita nito na iba-iba ang epekto sa bawat customer.

Ano na ang ginawa ng ConnectWise

Ayon sa opisyal na abiso sa Trust Center (inilathala noong Oktubre 16, in-update noong Oktubre 18, 01:00 UTC):

• noong 07:00 UTC ng Oktubre 17, dinisable nito ang pitong application identity (nakalista sa ibaba) at binawi ang mga certificate na ginamit sa mga koneksyon; hindi na balido ang mga shared credential ng Cloud Backup;
• suspendido ang Cloud Backup: hindi tumatakbo ang mga naka-iskedyul na backup at hindi pa puwedeng mag-restore;
• pansamantala ring pinatay ang SaaS Security at Cloud Management bilang pag-iingat;
• nananatiling naka-encrypt, hiwalay at napapanatili ang mga kasalukuyang backup archive, at walang ebidensya ayon sa kumpanya na na-access ang mga ito;
• kumuha ito ng panlabas na forensics firm, at wala pang petsa ng pagbabalik.

May dalawang mahalagang paalala mismo ang ConnectWise. Una, maaaring manatiling balido ang mga access token na naibigay na hanggang mag-expire ang mga ito. Ikalawa, ang anumang credential, pahintulot o access na nilikha sa pamamagitan ng ibang identity ay kailangang suriin at alisin ng customer. Hindi nakikita ng ConnectWise ang nangyari sa loob ng bawat environment, kaya ikaw (o ang MSP mo) ang dapat magsuri.

Hindi pa alam kung paano nakuha ang credential, kung ilang organisasyon ang naapektuhan sa kabuuan, o kung nagkaroon ng malawakang pagnanakaw ng data.

Bakit ito mahalaga sa mga SMB sa Japan

Maraming maliliit na kumpanya sa Japan ang nag-a-outsource ng IT at hindi man lang alam kung anong backup tool ang in-install ng provider. Iyan mismo ang kahinaang sinasamantala ng ganitong atake: ang isang vendor na may malawak na access sa daan-daang customer ay nagiging shortcut papunta sa lahat ng iyon. Dahil application ang nagsa-sign in at hindi user, walang proteksyong naibibigay ang MFA ng mga empleyado. Mukha ring normal para sa isang backup service ang maramihang pagbasa ng email.

Nakita na natin ang parehong pattern na "nasa supplier ang problema" sa kaso ng Big Echo. May agarang praktikal na epekto rin: kung SkyKick ang backup ng Microsoft 365 mo, wala kang backup ngayon. Balikan ang 3-2-1 rule at pag-isipan ang pansamantalang kopya sa ibang paraan hanggang bumalik ang serbisyo.

Mga application na dinisable ng ConnectWise

Maghanap sa Entra gamit ang Application ID, hindi ang pangalan. Maaaring lumabas bilang "SkyKick" ang mga lumang installation.

Ang indicator na inilathala ng ConnectWise at Huntress ay ang address na 144.172.64[.]128 (isinulat na may bracket para hindi maging link). Paalala ng ConnectWise: kung makita ang address na ito, o mga tool gaya ng Python at curl, sa mga log, kailangan itong imbestigahan, pero hindi ito sapat na patunay ng pagpasok.

Ano ang dapat suriin ngayon

• Tanungin ang MSP mo kung gumagamit ito ng ConnectWise Cloud Backup, SkyKick o Cloud Management sa mga environment mo, kasama ang mga lumang koneksyon na wala nang gumagamit.
• Sa Microsoft Entra, sa Enterprise applications, hanapin ang mga ID sa talahanayan. Kung may naka-enable pa, i-disable ang sign-in ng app (huwag burahin: itago ang configuration bilang ebidensya).
• I-export ngayon ang mga audit at sign-in log (kasama ang service-principal sign-in). Sa libreng plan, mga 7 araw lang ang itinatago ng Entra; sa P1/P2, mga 30.
• Suriin ang mga sign-in mula Oktubre 13 (mula Oktubre 1 kung kaya), at i-filter ayon sa mga application ID at sa address sa itaas.
• Tingnan ang mga secret at certificate ng lahat ng application, hindi lang ang pito: ang mga secret na idinagdag mula Oktubre 13 na walang kilalang may-ari ang pangunahing palatandaan ng persistence.
• Alamin kung sino ang may privileged role (Global Administrator, Exchange Administrator, Application Administrator) at kung may bagong app o kamakailang consent na walang nag-apruba.
• Maghanap ng kahina-hinalang forwarding rule at inbox rule, pati mga pagbabago sa Conditional Access.
• Huwag i-enable muli ang mga application hangga't hindi naglalabas ang ConnectWise ng mga tagubilin sa muling pagkonekta.
• Magplano ng alternatibong backup habang nakahinto ang serbisyo.

Kung hindi ka sigurado kung paano gawin ang mga pagsusuring ito, ipinapakita ng aming gabay sa pag-set up ng Microsoft 365 para sa maliliit na negosyo kung nasaan ang mga opsyong ito. Magandang pagkakataon din ito para suriin ang patakaran sa password at two-factor authentication.

Ano pa ang hindi alam

Nasa yugto pa ng imbestigasyon ang ConnectWise at sinabi nitong ia-update ang Trust Center kahit walang mahalagang pagbabago. Tatlong sagot ang kulang: kung paano tumagas ang credential, ilang organisasyon ang naapektuhan at anong data ang talagang nakopya. Sabi ng Huntress, wala na itong nakitang bagong mapanganib na aktibidad mula Oktubre 15, pero paalala nito na gumagana pa rin ang mga secret na naitanim na hangga't hindi inaalis. Patuloy naming susubaybayan ito at ia-update ang artikulong ito kung may mahahalagang balita.

Mga Sanggunian

• ConnectWise Trust Center: Cloud Backup (formerly SkyKick) Service Interruption — advisory
• ConnectWise: Product and Services Status
• Huntress: ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks
• Todyl: Investigation — unauthorized access through the ConnectWise Cloud Backup Microsoft 365 app
• BleepingComputer: Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
• The Hacker News: ConnectWise suspends Cloud Backup after Microsoft 365 tenant compromise
• Coalition: ConnectWise Investigating Unauthorized Access to Cloud Backup App
• Microsoft Learn: Disable user sign-in for an application in Microsoft Entra ID
• Microsoft Learn: Incident response playbook — compromised and malicious applications

---

Gusto mo ba ito para sa iyong negosyo?

Tinutulungan ng KGA IT ang maliliit at katamtamang negosyo na mag-set up ng mga AI assistant, automation at website. Libre ang konsultasyon at sasagot kami sa loob ng 24 oras. Ang mga plano ay nagsisimula sa ¥5,000/buwan.

• Telepono: 080-9732-1062
• Email: kga-it@outlook.com
• Pahina ng contact: kga-it.com/fil/contact