ConnectWise Cloud Backup（旧 SkyKick）：盗まれた認証情報で Microsoft 365 環境に侵入、今すぐ確認すべきこと

自社で Microsoft 365 を使い、メール・OneDrive・SharePoint・Teams のバックアップを IT 業者（MSP）に任せているなら、今日 5 分だけ時間を取って確認してください。確認するのは、ConnectWise Cloud Backup（旧 SkyKick）が自社の環境に入っているかどうかです。2026 年 10 月 13〜16 日、このサービスのアプリの認証情報が第三者に使われ、顧客の Microsoft 365 環境に侵入されました。ユーザーのパスワードも MFA も必要ありませんでした。

ConnectWise はサービスを停止し、7 つのアプリ ID を無効化しました。保存済みのバックアップは隔離されており、アクセスされた形跡はないとしています。ただし同社自身が、接続を無効にしても各環境の中ですでに変更された内容は元に戻らないと注意しています。分かっていること、影響を受ける企業、確認すべき点をまとめます。

何が起きたのか

Cloud Backup は、MSP が Microsoft 365 や Google Workspace の顧客データをバックアップ・復元するためのサービスです。誰もログインしていない状態で動くため、Microsoft Entra ID（旧 Azure AD）に登録されたアプリを通じて接続します。このアプリは管理者が一度承認すると、メールボックス、ファイル、チャットの読み書きといった広い権限を持ちます。

MSP 向けのセキュリティ企業 Huntress によると、このアプリの認証情報が攻撃者の手に渡りました。10 月 15 日 06:13〜08:34 UTC（日本時間 15:13〜17:34）、このアプリが顧客環境にサインインしました。接続元は、正規の通信が通常使う Microsoft のネットワークではなく、ホスティング業者のアドレスでした。数秒おきに次々と環境を回るパターンから、リストを使ったスクリプトによる動きと見られます。10 月 16 日 19:00 UTC 時点で、Huntress は 162 のテナントで不正なサインインを確認しています。

Huntress はさらに次のように報告しています。

• 監視する約 50 のテナントで、ConnectWise Cloud Management のアプリ（Exchange Online、Teams、Graph）が自らにディレクトリロール（主に Exchange 管理者）を割り当てた。
• 1 つのテナントでは、Teams 用の Cloud Management アプリが自らをグローバル管理者にし、約 5 分のうちに別の 2 つのアプリ（MSP の管理ツールと Huntress 自身のアプリ）に新しいシークレットを追加した。これは 2028 年まで有効な「裏口」になる。
• 10 月 13〜14 日には、同じアドレスから法律事務所 4 社のテナントにパスワードスプレー攻撃が行われたが、成功は確認されていない。

Microsoft もこのサービスに関わる悪意ある活動を確認しました。BleepingComputer によると、Microsoft はこれを進行中のサプライチェーン攻撃と位置づけています。一方、9 つのテナントを分析した Todyl が見つけたのはサインインだけで、アカウント作成や永続化はありませんでした。被害の程度は顧客ごとに異なるということです。

ConnectWise がこれまでに行った対応

Trust Center の公式アドバイザリ（10 月 16 日公開、10 月 18 日 01:00 UTC 更新）によると、対応は次のとおりです。

• 10 月 17 日 07:00 UTC に 7 つのアプリ ID（下表）を無効化し、接続に使う証明書を失効させた。Cloud Backup の共有認証情報はもう使えない。
• Cloud Backup は停止中で、定期バックアップは実行されておらず、現在は復元もできない。
• 予防措置として SaaS Security と Cloud Management も停止した。
• 既存のバックアップデータは暗号化・隔離・保全されており、アクセスされた証拠はないとしている。
• 外部のフォレンジック企業に調査を依頼しているが、復旧の見通しはまだない。

ConnectWise 自身が挙げる重要な注意点が 2 つあります。1 つ目は、以前に発行されたアクセストークンは期限切れまで有効なままの可能性があることです。2 つ目は、別の ID を通じて作られた認証情報・権限・アクセスは、顧客側で確認して削除する必要があることです。ConnectWise には各環境の中で何が起きたかは見えません。その確認は自社（または MSP）の仕事です。

認証情報がどう漏れたのか、影響を受けた組織の総数、大規模なデータ窃取があったかどうかはまだ分かっていません。

日本の中小企業にとってなぜ重要か

日本の中小企業の多くは IT を外部に任せていて、業者がどのバックアップツールを入れたのかを知らないこともあります。この種の攻撃が突くのはまさにそこです。何百もの顧客に広い権限を持つ 1 社の業者が、全顧客への近道になってしまいます。サインインするのはユーザーではなくアプリなので、社員の MFA では防げません。しかも、バックアップサービスがメールを大量に読むのは普段どおりの動きに見えます。

「問題は委託先にあった」という同じパターンは、ビッグエコーの件でも見られました。すぐに現れる実務上の影響もあります。Microsoft 365 のバックアップが SkyKick だった場合、今はバックアップがない状態です。3-2-1 ルールを見直し、サービスが戻るまで別の方法で一時的にコピーを取ることを検討してください。

ConnectWise が無効化したアプリ

Entra では名前ではなくアプリケーション ID で検索してください。古い環境では「SkyKick」と表示される場合があります。

ConnectWise と Huntress が公表した指標は 144.172.64[.]128 というアドレスです（リンクにならないよう角かっこで表記しています）。ConnectWise によると、ログにこのアドレスや Python・curl などのツールがあれば調査が必要ですが、それだけで侵害の証明にはなりません。

今すぐ確認すること

• MSP に問い合わせ、自社環境で ConnectWise Cloud Backup、SkyKick、Cloud Management を使っているか確認する（もう使っていない古い接続も含む）。
• Microsoft Entra の「エンタープライズ アプリケーション」で表の ID を検索する。まだ有効なものがあれば、そのアプリのサインインを無効化する（削除はしない。設定は証拠として残す）。
• 監査ログとサインインログ（サービス プリンシパルのサインインを含む）を今すぐエクスポートする。無料プランの Entra の保存期間は約 7 日、P1/P2 でも約 30 日しかない。
• 10 月 13 日以降（可能なら 10 月 1 日以降）のサインインを、アプリ ID と上記のアドレスで絞り込んで確認する。
• 7 つだけでなくすべてのアプリのシークレットと証明書を確認する。10 月 13 日以降に追加され、持ち主の分からないシークレットは永続化の主なサイン。
• 特権ロール（グローバル管理者、Exchange 管理者、アプリケーション管理者）を誰が持っているか、誰も承認していない新しいアプリや最近の同意がないかを確認する。
• 不審な転送ルールや受信トレイ ルール、条件付きアクセスの変更がないか調べる。
• ConnectWise が再接続の手順を公表するまで、アプリを再び有効にしない。
• サービス停止中の代わりのバックアップを計画する。

確認の仕方に自信がない場合は、中小企業向け Microsoft 365 設定ガイドで各設定の場所を確認できます。この機会にパスワードと二要素認証のルールも見直しましょう。

まだ分かっていないこと

ConnectWise はまだ調査段階にあり、大きな変化がなくても Trust Center を更新するとしています。足りない答えは 3 つです。認証情報がどう漏れたのか、何社が影響を受けたのか、実際にどのデータがコピーされたのか。Huntress は 10 月 15 日以降に新たな悪意ある活動は見ていないとしていますが、以前に仕込まれたシークレットは削除するまで使える状態のままだと注意しています。今後も動向を追い、重要な進展があればこの記事を更新します。

参考資料

• ConnectWise Trust Center: Cloud Backup (formerly SkyKick) Service Interruption — advisory
• ConnectWise: Product and Services Status
• Huntress: ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks
• Todyl: Investigation — unauthorized access through the ConnectWise Cloud Backup Microsoft 365 app
• BleepingComputer: Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
• The Hacker News: ConnectWise suspends Cloud Backup after Microsoft 365 tenant compromise
• Coalition: ConnectWise Investigating Unauthorized Access to Cloud Backup App
• Microsoft Learn: Disable user sign-in for an application in Microsoft Entra ID
• Microsoft Learn: Incident response playbook — compromised and malicious applications

---

あなたのビジネスにも導入しませんか？

KGA ITは、中小企業向けにAIアシスタント、業務自動化、Webサイトの導入を支援しています。ご相談は無料で、24時間以内にご返信します。プランは月額5,000円から。

• 電話: 080-9732-1062
• メール: kga-it@outlook.com
• お問い合わせページ: kga-it.com/ja/contact