MSP 向けバックアップサービス ConnectWise Cloud Backup (旧 SkyKick Cloud Backup) のアプリ ID が攻撃者に悪用され、顧客の Microsoft 365 テナントに不正アクセスされたと BleepingComputer が報じました。同サービスを導入している MSP とその顧客企業が対象で、ConnectWise はパートナーと顧客のアプリケーションアクセスを停止しています。

主なポイント

  • 攻撃者はバックアップアプリのシークレットで直接認証し、テナントで既に付与されていた権限を引き継ぎました。ユーザーのログインを伴わないため、MFA は効きません。
  • Huntress は 162 件の侵害テナントを確認したとしています (The Hacker News の報道では 173 件)。Microsoft も 10 月 15 日に単一 IP アドレスからの不正な認証試行を確認しました。
  • Huntress は約 50 テナントで ConnectWise の管理アプリが自らに Exchange Administrator などのディレクトリロールを割り当てたのを観測しています。
  • ConnectWise は、パートナーのバックアップデータが侵害された兆候は現時点でないと説明しています。
  • 研究者らは、資格情報の再設定が確認されるまでアプリを無効化し、Entra のサービスプリンシパルのサインインログと 10 月 13 日以降に追加された資格情報を確認するよう勧めています。

出典: Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack