Nếu công ty bạn dùng Microsoft 365 và việc sao lưu email, OneDrive, SharePoint, Teams do một nhà cung cấp IT (MSP) đảm nhận, hãy dành năm phút hôm nay để kiểm tra một điều: ConnectWise Cloud Backup, trước đây là SkyKick, có đang được cài trong môi trường của bạn hay không. Từ ngày 13 đến 16/10/2026, thông tin xác thực của các ứng dụng thuộc dịch vụ này đã bị người ngoài dùng để vào môi trường Microsoft 365 của khách hàng, không cần mật khẩu người dùng hay MFA.
ConnectWise đã tạm dừng dịch vụ, vô hiệu hóa bảy định danh ứng dụng và cho biết các kho sao lưu đã lưu vẫn được cô lập, không có dấu hiệu bị truy cập. Nhưng chính công ty cũng cảnh báo rằng việc tắt các kết nối không đảo ngược những gì có thể đã bị thay đổi bên trong từng môi trường. Dưới đây là những gì đã biết, ai cần lưu ý và cần kiểm tra gì.
Chuyện gì đã xảy ra
Các MSP dùng Cloud Backup để sao lưu và khôi phục dữ liệu khách hàng trên Microsoft 365 và Google Workspace. Để chạy khi không có ai đăng nhập, dịch vụ kết nối qua một ứng dụng đăng ký trong Microsoft Entra ID (trước đây là Azure AD). Quản trị viên chỉ cần phê duyệt một lần là ứng dụng có quyền rộng: đọc và ghi hộp thư, tệp và tin nhắn.
Theo Huntress, công ty bảo mật phục vụ các MSP, thông tin xác thực của ứng dụng đó đã rơi vào tay kẻ xấu. Ngày 15/10, từ 06:13 đến 08:34 UTC (15:13 đến 17:34 giờ Nhật), ứng dụng đăng nhập vào môi trường khách hàng từ địa chỉ của một nhà cung cấp hosting. Lưu lượng hợp lệ thường đến từ mạng của Microsoft, không phải từ địa chỉ như vậy. Kiểu hoạt động lần lượt từng tenant, cách nhau vài giây, cho thấy đây là một script chạy theo danh sách. Tính đến 19:00 UTC ngày 16/10, Huntress đã xác nhận đăng nhập trái phép tại 162 tenant.
Huntress còn cho biết:
- tại khoảng 50 tenant họ giám sát, các ứng dụng ConnectWise Cloud Management (Exchange Online, Teams và Graph) đã tự gán cho mình vai trò thư mục, chủ yếu là Exchange Administrator;
- tại một tenant, ứng dụng Cloud Management cho Teams tự nâng mình lên Quản trị viên toàn cục. Trong khoảng năm phút, nó thêm khóa bí mật mới vào hai ứng dụng khác (một công cụ quản lý của MSP và chính ứng dụng của Huntress), tạo ra một cửa hậu có hiệu lực đến năm 2028;
- ngày 13 và 14/10, cùng địa chỉ đó đã thử dò mật khẩu vào tenant của bốn công ty luật, chưa xác nhận thành công.
Microsoft xác nhận có hoạt động độc hại liên quan đến dịch vụ. Theo BleepingComputer, Microsoft gọi đây là một cuộc tấn công chuỗi cung ứng đang diễn ra. Còn Todyl, đơn vị phân tích chín tenant, chỉ thấy các lần đăng nhập, không có việc tạo tài khoản hay duy trì truy cập. Điều này cho thấy mức độ ảnh hưởng khác nhau giữa các khách hàng.
ConnectWise đã làm gì
Theo thông báo chính thức trên Trust Center (đăng ngày 16/10, cập nhật ngày 18/10 lúc 01:00 UTC):
- lúc 07:00 UTC ngày 17/10, công ty vô hiệu hóa bảy định danh ứng dụng (danh sách bên dưới) và thu hồi chứng chỉ dùng cho các kết nối đó; thông tin xác thực dùng chung của Cloud Backup không còn hiệu lực;
- Cloud Backup bị tạm dừng: các bản sao lưu theo lịch không chạy và hiện chưa thể khôi phục;
- SaaS Security và Cloud Management cũng được tạm tắt để phòng ngừa;
- các kho sao lưu hiện có vẫn được mã hóa, cô lập và bảo toàn, công ty cho biết không có bằng chứng chúng bị truy cập;
- đã thuê một công ty điều tra số độc lập và chưa có thời điểm khôi phục.
Chính ConnectWise đưa ra hai lưu ý quan trọng. Thứ nhất, token truy cập đã cấp trước đó có thể vẫn dùng được cho đến khi hết hạn. Thứ hai, mọi thông tin xác thực, quyền hoặc quyền truy cập được tạo qua các định danh khác đều phải do khách hàng tự rà soát và gỡ bỏ. ConnectWise không nhìn thấy những gì xảy ra bên trong từng môi trường, nên việc kiểm tra là của bạn (hoặc MSP của bạn).
Hiện vẫn chưa rõ thông tin xác thực bị lấy bằng cách nào, tổng cộng bao nhiêu tổ chức bị ảnh hưởng, hay có xảy ra đánh cắp dữ liệu quy mô lớn hay không.
Vì sao điều này quan trọng với doanh nghiệp nhỏ tại Nhật
Nhiều công ty nhỏ ở Nhật thuê ngoài IT và thậm chí không biết nhà cung cấp đã cài công cụ sao lưu nào. Đó chính là điểm yếu mà kiểu tấn công này khai thác: một nhà cung cấp có quyền truy cập rộng vào hàng trăm khách hàng trở thành lối tắt đến tất cả khách hàng đó. Vì ứng dụng chứ không phải người dùng thực hiện đăng nhập, MFA của nhân viên không bảo vệ được. Việc đọc email hàng loạt cũng trông bình thường đối với một dịch vụ sao lưu.
Chúng ta đã thấy cùng kiểu "vấn đề nằm ở nhà cung cấp" trong vụ Big Echo. Còn có một hệ quả thực tế ngay lập tức: nếu bản sao lưu Microsoft 365 của bạn là SkyKick, hôm nay bạn đang không có bản sao lưu nào. Hãy xem lại quy tắc 3-2-1 và cân nhắc tạo bản sao tạm thời bằng cách khác cho đến khi dịch vụ hoạt động lại.
Các ứng dụng bị ConnectWise vô hiệu hóa
Hãy tìm trong Entra theo ID ứng dụng, không theo tên. Các bản cài đặt cũ có thể hiển thị là "SkyKick".
| Ứng dụng | ID ứng dụng |
|---|---|
| ConnectWise Cloud Backup | 506e08f9-6e9a-4da4-942b-a099a03644ae |
| ConnectWise Cloud Management | 2399d300-6fca-4e6a-a686-399fefe75b83 |
| Cloud Management - MS Teams | 24205314-2b89-4e07-a2a4-579e898a5640 |
| Cloud Management - Exchange Online | b78f6a77-d4e5-46fb-87e5-d1648bd02519 |
| Cloud Management - MS Graph | 0de14c77-b9b0-4137-9360-34878a929827 |
| Cloud Management - Partner Center | 412dcf96-176d-4b3a-a1b0-4981ad66971e |
| Cloud Management - SharePoint Online | b2b55f5b-7758-4719-8d8f-88ae172e6bdb |
Dấu hiệu nhận diện mà ConnectWise và Huntress công bố là địa chỉ 144.172.64[.]128 (viết kèm ngoặc vuông để không thành liên kết). ConnectWise lưu ý: thấy địa chỉ này, hoặc các công cụ như Python và curl, trong nhật ký là cần điều tra, nhưng riêng điều đó chưa chứng minh đã bị xâm nhập.
Cần kiểm tra gì ngay bây giờ
- Hỏi MSP của bạn xem họ có dùng ConnectWise Cloud Backup, SkyKick hoặc Cloud Management trong môi trường của bạn không, kể cả các kết nối cũ không còn ai dùng.
- Trong Microsoft Entra, mục Ứng dụng doanh nghiệp, tìm các ID trong bảng. Nếu còn ứng dụng nào đang bật, hãy tắt đăng nhập của ứng dụng đó (đừng xóa: giữ cấu hình làm bằng chứng).
- Xuất ngay nhật ký kiểm tra và nhật ký đăng nhập (kể cả đăng nhập của service principal). Ở gói miễn phí, Entra chỉ lưu khoảng 7 ngày; ở P1/P2 khoảng 30 ngày.
- Rà soát các lần đăng nhập từ ngày 13/10 (từ ngày 1/10 nếu có thể), lọc theo ID ứng dụng và địa chỉ ở trên.
- Kiểm tra khóa bí mật và chứng chỉ của mọi ứng dụng, không chỉ bảy ứng dụng kia: khóa bí mật được thêm từ ngày 13/10 mà không rõ chủ sở hữu là dấu hiệu chính của việc duy trì truy cập.
- Xem ai đang giữ vai trò đặc quyền (Quản trị viên toàn cục, Exchange Administrator, Application Administrator) và có ứng dụng mới hay sự đồng ý gần đây nào mà không ai phê duyệt không.
- Tìm các quy tắc chuyển tiếp và quy tắc hộp thư đáng ngờ, cùng các thay đổi trong Truy cập có điều kiện.
- Không bật lại các ứng dụng cho đến khi ConnectWise công bố hướng dẫn kết nối lại.
- Lên kế hoạch sao lưu thay thế trong thời gian dịch vụ ngừng.
Nếu chưa chắc cách thực hiện các bước kiểm tra này, hướng dẫn cấu hình Microsoft 365 cho doanh nghiệp nhỏ của chúng tôi chỉ ra vị trí các tùy chọn. Đây cũng là dịp tốt để xem lại chính sách mật khẩu và xác thực hai yếu tố.
Những gì vẫn chưa rõ
ConnectWise vẫn đang trong giai đoạn điều tra và cho biết sẽ cập nhật Trust Center kể cả khi không có thay đổi quan trọng. Còn thiếu ba câu trả lời: thông tin xác thực bị lộ thế nào, bao nhiêu tổ chức bị ảnh hưởng và dữ liệu nào thực sự đã bị sao chép. Huntress cho biết không thấy hoạt động độc hại mới kể từ ngày 15/10, nhưng nhắc rằng các khóa bí mật đã cài trước đó vẫn hoạt động cho đến khi bị gỡ bỏ. Chúng tôi sẽ tiếp tục theo dõi và cập nhật bài viết nếu có diễn biến quan trọng.
Nguồn
- ConnectWise Trust Center: Cloud Backup (formerly SkyKick) Service Interruption — advisory
- ConnectWise: Product and Services Status
- Huntress: ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks
- Todyl: Investigation — unauthorized access through the ConnectWise Cloud Backup Microsoft 365 app
- BleepingComputer: Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
- The Hacker News: ConnectWise suspends Cloud Backup after Microsoft 365 tenant compromise
- Coalition: ConnectWise Investigating Unauthorized Access to Cloud Backup App
- Microsoft Learn: Disable user sign-in for an application in Microsoft Entra ID
- Microsoft Learn: Incident response playbook — compromised and malicious applications
Bạn muốn áp dụng điều này cho doanh nghiệp của mình?
KGA IT hỗ trợ doanh nghiệp vừa và nhỏ triển khai trợ lý AI, tự động hóa và website. Tư vấn miễn phí và chúng tôi phản hồi trong vòng 24 giờ. Gói dịch vụ từ ¥5.000/tháng.
- Điện thoại: 080-9732-1062
- Email: kga-it@outlook.com
- Trang liên hệ: kga-it.com/vi/contact