ConnectWise Cloud Backup (dahulu SkyKick): kelayakan dicuri buka akses ke Microsoft 365 — apa perlu disemak

Jika syarikat anda menggunakan Microsoft 365 dan sandaran e-mel, OneDrive, SharePoint serta Teams dibuat oleh pembekal IT (MSP), luangkan lima minit hari ini untuk menyemak satu perkara: sama ada ConnectWise Cloud Backup, dahulunya SkyKick, dipasang dalam persekitaran anda. Antara 13 dan 16 Oktober 2026, kelayakan aplikasi perkhidmatan itu digunakan oleh pihak luar untuk masuk ke persekitaran Microsoft 365 pelanggan, tanpa memerlukan kata laluan pengguna atau MFA.

ConnectWise telah menggantung perkhidmatan itu, menyahaktifkan tujuh identiti aplikasi dan menyatakan arkib sandaran yang disimpan kekal terasing tanpa tanda diakses. Namun syarikat itu sendiri memberi amaran bahawa menyahaktifkan sambungan tidak membatalkan apa-apa yang mungkin sudah diubah dalam setiap persekitaran. Berikut apa yang diketahui, siapa yang perlu berwaspada dan apa yang perlu disemak.

Apa yang berlaku

MSP menggunakan Cloud Backup untuk membuat sandaran dan memulihkan data pelanggan dalam Microsoft 365 dan Google Workspace. Supaya boleh berjalan tanpa sesiapa log masuk, perkhidmatan ini bersambung melalui aplikasi yang didaftarkan dalam Microsoft Entra ID (dahulu Azure AD). Aplikasi ini diluluskan sekali oleh pentadbir dengan kebenaran yang luas: membaca dan menulis peti mel, fail dan sembang.

Menurut Huntress, syarikat keselamatan yang berkhidmat kepada MSP, kelayakan aplikasi itu jatuh ke tangan yang salah. Pada 15 Oktober, antara 06:13 dan 08:34 UTC (15:13 hingga 17:34 waktu Jepun), aplikasi itu log masuk ke persekitaran pelanggan dari alamat penyedia hos, bukan dari rangkaian Microsoft yang biasanya digunakan oleh trafik sah. Coraknya, satu tenant demi satu tenant dengan jarak beberapa saat, menunjukkan skrip yang bekerja berdasarkan senarai. Setakat 19:00 UTC pada 16 Oktober, Huntress telah mengesahkan log masuk tanpa kebenaran dalam 162 tenant.

Huntress juga melaporkan bahawa:

• dalam kira-kira 50 tenant yang dipantaunya, aplikasi ConnectWise Cloud Management (Exchange Online, Teams dan Graph) memberikan peranan direktori kepada diri sendiri, kebanyakannya Exchange Administrator;
• dalam satu tenant, aplikasi Cloud Management untuk Teams menjadikan dirinya Pentadbir Global dan, dalam kira-kira lima minit, menambah rahsia baharu pada dua aplikasi lain (alat pengurusan MSP dan aplikasi Huntress sendiri), lalu mewujudkan pintu belakang yang sah hingga 2028;
• pada 13 dan 14 Oktober, alamat yang sama cuba meneka kata laluan pada tenant empat firma guaman, tanpa kejayaan yang disahkan.

Microsoft mengesahkan aktiviti berniat jahat yang melibatkan perkhidmatan itu dan, menurut BleepingComputer, menyifatkannya sebagai serangan rantaian bekalan yang aktif. Todyl, yang menganalisis sembilan tenant, hanya menemui log masuk tanpa penciptaan akaun atau kegigihan. Ini menunjukkan kesannya berbeza antara pelanggan.

Tindakan ConnectWise setakat ini

Menurut notis rasmi Trust Center (diterbitkan 16 Oktober, dikemas kini 18 Oktober pada 01:00 UTC):

• pada 07:00 UTC, 17 Oktober, syarikat itu menyahaktifkan tujuh identiti aplikasi (senarai di bawah) dan membatalkan sijil yang digunakan untuk sambungan itu; kelayakan kongsi Cloud Backup tidak lagi sah;
• Cloud Backup digantung: sandaran berjadual tidak berjalan dan pemulihan tidak boleh dibuat buat masa ini;
• SaaS Security dan Cloud Management juga dimatikan sebagai langkah berjaga-jaga;
• arkib sandaran sedia ada kekal disulitkan, terasing dan dipelihara, dan syarikat itu berkata tiada bukti ia diakses;
• firma forensik luar telah dilantik, dan belum ada tarikh pemulihan.

ConnectWise sendiri memberi dua amaran penting. Pertama, token akses yang dikeluarkan sebelum ini mungkin kekal sah sehingga tamat tempoh. Kedua, sebarang kelayakan, kebenaran atau akses yang dicipta melalui identiti lain mesti disemak dan dibuang oleh pelanggan. ConnectWise tidak dapat melihat apa yang berlaku dalam setiap persekitaran, jadi semakan itu tanggungjawab anda (atau MSP anda).

Masih belum diketahui bagaimana kelayakan itu diperoleh, berapa banyak organisasi terjejas secara keseluruhan, atau sama ada data dicuri secara besar-besaran.

Mengapa ini penting untuk PKS di Jepun

Banyak syarikat kecil di Jepun menyerahkan urusan IT kepada pihak luar dan tidak tahu alat sandaran apa yang dipasang oleh pembekal. Itulah titik lemah yang diambil kesempatan oleh serangan seperti ini: satu pembekal dengan akses luas kepada ratusan pelanggan menjadi jalan pintas kepada semua pelanggan itu. Oleh sebab log masuk dibuat oleh aplikasi dan bukan pengguna, MFA pekerja tidak memberi perlindungan. Bacaan e-mel secara besar-besaran pula kelihatan biasa bagi perkhidmatan sandaran.

Kita pernah melihat corak "masalahnya pada pembekal" yang sama dalam kes Big Echo. Ada juga kesan praktikal serta-merta: jika sandaran Microsoft 365 anda ialah SkyKick, hari ini anda tiada sandaran. Semak semula peraturan 3-2-1 dan pertimbangkan salinan sementara melalui cara lain sehingga perkhidmatan kembali.

Aplikasi yang dinyahaktifkan oleh ConnectWise

Cari dalam Entra menggunakan ID aplikasi, bukan nama. Pemasangan lama mungkin dipaparkan sebagai "SkyKick".

Penunjuk yang diterbitkan oleh ConnectWise dan Huntress ialah alamat 144.172.64[.]128 (ditulis dengan kurungan supaya tidak menjadi pautan). ConnectWise mengingatkan bahawa menemui alamat ini, atau alat seperti Python dan curl, dalam log memerlukan siasatan, tetapi itu sahaja tidak membuktikan pencerobohan.

Apa yang perlu disemak sekarang

• Tanya MSP anda sama ada ia menggunakan ConnectWise Cloud Backup, SkyKick atau Cloud Management dalam persekitaran anda, termasuk sambungan lama yang tidak digunakan lagi.
• Dalam Microsoft Entra, di bawah Aplikasi perusahaan, cari ID dalam jadual. Jika masih ada yang aktif, nyahaktifkan log masuk aplikasi itu (jangan padam: simpan konfigurasi sebagai bukti).
• Eksport sekarang log audit dan log masuk (termasuk log masuk prinsipal perkhidmatan). Pada pelan percuma, Entra hanya menyimpan kira-kira 7 hari; pada P1/P2, kira-kira 30 hari.
• Semak log masuk sejak 13 Oktober (sejak 1 Oktober jika boleh), menapis mengikut ID aplikasi dan alamat di atas.
• Semak rahsia dan sijil semua aplikasi, bukan hanya tujuh itu: rahsia yang ditambah sejak 13 Oktober tanpa pemilik yang diketahui ialah tanda utama kegigihan.
• Lihat siapa yang memegang peranan istimewa (Pentadbir Global, Exchange Administrator, Application Administrator) dan sama ada terdapat aplikasi baharu atau persetujuan terkini yang tiada siapa luluskan.
• Cari peraturan pemajuan dan peraturan peti masuk yang mencurigakan, serta perubahan pada Akses Bersyarat.
• Jangan aktifkan semula aplikasi sehingga ConnectWise menerbitkan arahan penyambungan semula.
• Rancang sandaran alternatif semasa perkhidmatan tergendala.

Jika anda tidak pasti cara membuat semakan ini, panduan kami tentang konfigurasi Microsoft 365 untuk syarikat kecil menunjukkan lokasi pilihan-pilihan ini. Ini juga masa yang sesuai untuk menyemak dasar kata laluan dan pengesahan dua faktor.

Apa yang masih belum diketahui

ConnectWise masih dalam fasa siasatan dan berkata akan mengemas kini Trust Center walaupun tiada perubahan penting. Tiga jawapan masih tiada: bagaimana kelayakan itu bocor, berapa banyak organisasi terjejas dan data apa yang benar-benar disalin. Huntress berkata ia tidak melihat aktiviti berniat jahat baharu sejak 15 Oktober, tetapi mengingatkan bahawa rahsia yang ditanam lebih awal terus berfungsi sehingga dibuang. Kami akan terus mengikuti perkembangan dan mengemas kini artikel ini jika ada perkembangan penting.

Sumber

• ConnectWise Trust Center: Cloud Backup (formerly SkyKick) Service Interruption — advisory
• ConnectWise: Product and Services Status
• Huntress: ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks
• Todyl: Investigation — unauthorized access through the ConnectWise Cloud Backup Microsoft 365 app
• BleepingComputer: Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
• The Hacker News: ConnectWise suspends Cloud Backup after Microsoft 365 tenant compromise
• Coalition: ConnectWise Investigating Unauthorized Access to Cloud Backup App
• Microsoft Learn: Disable user sign-in for an application in Microsoft Entra ID
• Microsoft Learn: Incident response playbook — compromised and malicious applications

---

Mahu manfaatkan ini untuk perniagaan anda?

KGA IT membantu perniagaan kecil dan sederhana menyediakan pembantu AI, automasi dan laman web. Konsultasi adalah percuma dan kami membalas dalam masa 24 jam. Pelan bermula dari ¥5,000/bulan.

• Telefon: 080-9732-1062
• E-mel: kga-it@outlook.com
• Halaman hubungi: kga-it.com/ms/contact