ConnectWise Cloud Backup（原 SkyKick）：凭据被盗导致 Microsoft 365 环境遭入侵——现在要检查什么

如果你的公司使用 Microsoft 365，并把邮件、OneDrive、SharePoint 和 Teams 的备份交给 IT 服务商（MSP）负责，今天请花五分钟确认一件事：你的环境里是否安装了 ConnectWise Cloud Backup（前身为 SkyKick）。2026 年 10 月 13 日至 16 日，该服务应用程序的凭据被外部人员用来进入客户的 Microsoft 365 环境，过程中不需要任何用户密码，也绕过了 MFA。

ConnectWise 已暂停该服务，停用了七个应用程序标识，并表示已存储的备份归档仍处于隔离状态，没有被访问的迹象。但该公司自己也提醒：停用连接并不能撤销每个环境中可能已经发生的更改。下面整理已知情况、哪些企业需要关注，以及需要检查什么。

发生了什么

Cloud Backup 是 MSP 用来备份和恢复客户 Microsoft 365 与 Google Workspace 数据的服务。为了在无人登录时运行，它通过一个在 Microsoft Entra ID（原 Azure AD）中注册的应用程序连接。管理员批准一次后，这个应用就拥有广泛权限，可以读写邮箱、文件和聊天记录。

据面向 MSP 的安全公司 Huntress 称，该应用的凭据落入了攻击者手中。10 月 15 日 06:13 至 08:34 UTC（日本时间 15:13 至 17:34），该应用从一个托管服务商的地址登录到客户环境，而正常流量通常来自 Microsoft 自己的网络。它每隔几秒就进入下一个租户，这种模式表明是脚本在按名单逐个操作。截至 10 月 16 日 19:00 UTC，Huntress 已在 162 个租户中确认了未授权登录。

Huntress 还报告：

• 在其监控的约 50 个租户中，ConnectWise Cloud Management 的应用（Exchange Online、Teams 和 Graph）为自己分配了目录角色，主要是 Exchange 管理员；
• 在一个租户中，Teams 版 Cloud Management 应用把自己设为全局管理员，并在大约五分钟内为另外两个应用（一个 MSP 管理工具和 Huntress 自己的应用）添加了新的密钥，留下一个有效期到 2028 年的后门；
• 10 月 13 日和 14 日，同一地址还对四家律师事务所的租户进行了密码喷洒攻击，尚未确认成功。

Microsoft 确认了与该服务相关的恶意活动。据 BleepingComputer 报道，Microsoft 将其定性为正在进行的供应链攻击。分析了九个租户的 Todyl 则只发现了登录行为，没有创建账户或建立持久化，说明不同客户受到的影响各不相同。

ConnectWise 已采取的措施

根据 Trust Center 的官方公告（10 月 16 日发布，10 月 18 日 01:00 UTC 更新）：

• 10 月 17 日 07:00 UTC，停用了七个应用程序标识（见下表），并吊销了这些连接使用的证书；Cloud Backup 的共享凭据已失效；
• Cloud Backup 已暂停：定时备份没有运行，目前也无法恢复数据；
• 出于谨慎，SaaS Security 和 Cloud Management 也已下线；
• 现有备份归档仍然加密、隔离并被保全，公司表示没有证据显示它们被访问过；
• 已聘请外部取证公司，目前还没有恢复时间表。

ConnectWise 自己给出了两条重要提醒：一是此前签发的访问令牌在到期前可能仍然有效；二是通过其他身份创建的凭据、权限或访问，需要客户自行检查并清除。ConnectWise 看不到每个环境内部发生了什么，这项检查需要由你（或你的 MSP）来做。

目前仍不清楚凭据是如何泄露的、总共有多少组织受影响，以及是否发生了大规模数据窃取。

为什么这对在日本的中小企业很重要

日本许多中小企业把 IT 外包出去，甚至不知道服务商安装了哪款备份工具。这正是此类攻击利用的弱点：一家对数百个客户拥有广泛权限的供应商，会变成通往所有客户的捷径。由于登录的是应用程序而不是用户，员工的 MFA 起不到保护作用；而备份服务大量读取邮件，看起来又完全正常。

“问题出在供应商”的同样模式，我们在 Big Echo 事件中也见过。此外还有一个立刻显现的实际影响：如果你的 Microsoft 365 备份用的是 SkyKick，那么你现在没有任何备份。请重新检查 3-2-1 备份原则，并考虑在服务恢复前通过其他途径做一份临时副本。

ConnectWise 停用的应用程序

请在 Entra 中按应用程序 ID 搜索，而不是按名称。较早的安装可能显示为 “SkyKick”。

ConnectWise 和 Huntress 公布的指标是地址 144.172.64[.]128（用方括号书写，避免变成链接）。ConnectWise 指出，在日志中发现这个地址或 Python、curl 等工具需要进一步调查，但单凭这一点并不能证明已被入侵。

现在要检查什么

• 询问你的 MSP 是否在你的环境中使用 ConnectWise Cloud Backup、SkyKick 或 Cloud Management，包括已经没人使用的旧连接。
• 在 Microsoft Entra 的“企业应用程序”中搜索表中的 ID。如果仍有启用的，禁用该应用的登录（不要删除，保留配置作为证据）。
• 立即导出审核日志和登录日志（包括服务主体登录）。免费版 Entra 只保留约 7 天，P1/P2 约 30 天。
• 按应用程序 ID 和上面的地址筛选，检查 10 月 13 日以来（如可能，从 10 月 1 日起）的登录记录。
• 检查所有应用程序的密钥和证书，而不只是这七个：10 月 13 日以后添加、来历不明的密钥是持久化的主要迹象。
• 查看谁拥有特权角色（全局管理员、Exchange 管理员、应用程序管理员），以及是否有无人批准的新应用或近期授权同意。
• 查找可疑的转发规则和收件箱规则，以及条件访问的变更。
• 在 ConnectWise 发布重新连接说明之前，不要重新启用这些应用程序。
• 在服务中断期间规划替代备份。

如果不确定如何进行这些检查，可以参考我们的中小企业 Microsoft 365 配置指南，了解这些选项的位置；也可以趁此机会检查一下密码与双重身份验证策略。

仍未知的情况

ConnectWise 仍处于调查阶段，并表示即使没有重大变化也会更新 Trust Center。还缺三个答案：凭据如何泄露、多少组织受影响、实际被复制了哪些数据。Huntress 表示自 10 月 15 日以来未再发现新的恶意活动，但提醒此前植入的密钥在被删除之前仍然可用。我们会持续关注，如有重要进展将更新本文。

来源

• ConnectWise Trust Center: Cloud Backup (formerly SkyKick) Service Interruption — advisory
• ConnectWise: Product and Services Status
• Huntress: ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks
• Todyl: Investigation — unauthorized access through the ConnectWise Cloud Backup Microsoft 365 app
• BleepingComputer: Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
• The Hacker News: ConnectWise suspends Cloud Backup after Microsoft 365 tenant compromise
• Coalition: ConnectWise Investigating Unauthorized Access to Cloud Backup App
• Microsoft Learn: Disable user sign-in for an application in Microsoft Entra ID
• Microsoft Learn: Incident response playbook — compromised and malicious applications

---

想把这些带到您的业务中吗？

KGA IT 帮助中小企业部署 AI 助手、业务自动化和网站。咨询免费，我们会在 24 小时内回复。方案每月 ¥5,000 起。

• 电话: 080-9732-1062
• 邮箱: kga-it@outlook.com
• 联系页面: kga-it.com/zh/contact