ConnectWise приостанавливает Cloud Backup после несанкционированного доступа к Microsoft 365

ConnectWise 16 октября 2026 года приостановила работу сервиса Cloud Backup после выявления несанкционированного доступа к идентификаторам приложений Microsoft 365. Доступ к данным резервных копий не подтвержден, но все запланированные задачи приостановлены, а восстановление архивов недоступно.

Хронология инцидента и технические детали

Подозрительная активность фиксировалась с 13 по 15 октября 2026 года, в основном 15 октября в интервале 07:11–08:47 UTC с IP-адресов, включая 144.172.64.128. Компания отключила семь идентификаторов приложений и отозвала сертификаты около 07:00 UTC 17 октября. Дополнительно были выведены из строя сервисы SaaS Security и Cloud Management.

Аналитики Huntress зафиксировали несанкционированные входы в 162–173 тенантах Microsoft 365, а позднее наблюдали около 300 успешных входов почти в 1000 тенантах Entra. Атака использовала механизм app-only authentication, что позволило обойти MFA пользователей. Под угрозой оказались в первую очередь MSP и их клиенты, предоставившие приложениям широкие разрешения Graph и Exchange.

Архивы резервных копий остались зашифрованными и изолированными. ConnectWise заявила об отсутствии признаков их компрометации, однако доступ к ним временно закрыт. Операции в самих тенантах Microsoft 365, включая почту и Teams, продолжаются без изменений.

Рекомендации и дальнейшие действия

ConnectWise опубликовала список затронутых App ID, включая 506e08f9-6e9a-4da4-942b-a099a03644ae, и посоветовала партнерам проверить журналы входов service principal в Entra ID за период с 13 октября. Рекомендуется отключить, но не удалять приложения ConnectWise в разделе Enterprise applications, отозвать новые секреты и разрешения, а также отслеживать активность указанных IP-адресов.

Компания ведет расследование совместно с внешними специалистами и обещает публиковать обновления через Trust Center и страницу статуса. Точных сроков возобновления работы Cloud Backup пока не названо. Партнерам советуют подготовить альтернативные механизмы резервного копирования на время простоя.

Инцидент подчеркивает риски использования приложений с широкими правами доступа в мультитенантных средах Microsoft 365. Подобные атаки на цепочки поставок через OAuth-приложения становятся все более частыми в 2026 году.