Útok na dodávateľský reťazec (supply-chain attack) zasiahol cloudové služby spoločnosti ConnectWise a vystavil zákazníkov Microsoft 365 neoprávnenému prístupu cez aplikácie. Výskumníci hlásia úspešné prihlásenia v 173 partnerských a zákazníckych tenantoch. Incident sa týka prihlasovacích údajov spojených so službou ConnectWise Cloud Backup (predtým SkyKick) a upozorňuje na riziko, že útočníci zneužívajú oprávnenia, ktoré už boli firemnému softvéru udelené.
ConnectWise potvrdil neoprávnený prístup k identitám aplikácií v prostredí Cloud Backup. V aktualizácii zo 17. októbra na stránke so stavom služieb spoločnosť uviedla, že vypína prístup aplikácií, čím prerušuje zálohovanie zákazníkov, kým pokračuje vyšetrovanie a náprava.
Spoločnosť tvrdí, že nenašla indikátory kompromitácie uložených záloh partnerov. Toto vyhlásenie treba chápať v rámci jeho rozsahu: bezpečnosť záložných archívov je iná otázka než to, k čomu mohol útočník získať prístup v pripojených tenantoch Microsoft 365.
Dôveryhodná integrácia sa stala vstupným bodom
Technický význam spočíva v identite, ktorá sa použila na získanie prístupu. Aplikácia schválená na plnenie firemných úloh môže fungovať nezávisle od zamestnancov, ktorých údaje spracúva.
Dokumentácia Microsoftu k prístupu „application-only“ vysvetľuje, že služba sa môže autentifikovať vlastnou identitou a vyžiadať si prístupový token Microsoft Graph. Administrátori vopred schvaľujú oprávnenia aplikácie (application permissions) a následné žiadosti o token už nevyžadujú ďalší súhlas.
To je nevyhnutné pre služby bežiace bez dohľadu. Aplikácia na pozadí nemôže pri každej oprávnenej operácii čakať na schválenie prihlásenia. Vzniká tak však bezpečnostná závislosť: kto ovláda autentifikačný materiál aplikácie, môže využívať oprávnenia udelené jej identite.
Tento rozdiel vysvetľuje, prečo môže byť organizácia vystavená riziku v cloude bez nového phishingového e-mailu alebo bez toho, aby zamestnanec schválil škodlivé prihlásenie. Útočník môže využívať vzťah, ktorý organizácia schválila dávno pred incidentom.
Prečo môže jedna identita dodávateľa zasiahnuť mnoho zákazníkov
Microsoft vo svojom výklade o aplikáciách a service principals popisuje, že multi-tenant aplikácia vytvára lokálnu identitu v každom zákazníckom prostredí, kde sa používa. Táto lokálna identita, nazývaná service principal, určuje prístup aplikácie v rámci tenantu.
Globálny identifikátor aplikácie a jej lokálny objekt service principal spolu súvisia, ale nie sú totožné. Pre administrátorov to znamená, že identifikácia správnej aplikácie dodávateľa je len začiatok: musia zistiť aj to, aké oprávnenia má jej lokálna inštancia.
Širším dôsledkom je, že incident s prihlasovacími údajmi dodávateľa môže cez existujúce autorizácie prekročiť hranice organizácií. Každý zákazník môže mať samostatné prostredie Microsoft 365, no tieto prostredia môžu závisieť od rovnakej externej identity aplikácie.
Preto je inventúra aplikácií otázkou obchodného rizika. Vedieť, ktorý dodávateľ službu poskytuje, nestačí – treba poznať aj to, ktoré identity prepájajú službu s firemnými dátami, čo môžu robiť a kto ich môže počas incidentu vypnúť.
Vyšetrovanie sa rozširuje za hranice Cloud Backup
V aktualizácii zo 17. októbra spoločnosť Huntress uviedla, že s vysokou istotou vie, že útočníci zneužili aj aplikácie ConnectWise Cloud Management pre Exchange Online, Microsoft Teams a SharePoint Online.
(V pôvodnom texte na tomto mieste nasleduje tabuľka s identifikátormi aplikácií, ktorá sa v poskytnutom texte nezachovala – označená ako „Article content“.)
Huntress odporučil dotknuté aplikácie vypnúť (disable), nie odstrániť, skontrolovať tajomstvá (secrets) a certifikáty aplikácií pridané od 13. októbra a odstrániť neoprávnené prihlasovacie údaje a adresárové roly. Upozornil, aby sa dotknuté integrácie znova nezapínali, kým ConnectWise nepotvrdí reset prihlasovacích údajov.
Rozširujúci sa rozsah znamená, že zákazníci by mali sledovať aktualizované upozornenia a nepovažovať prvý zverejnený identifikátor aplikácie za úplný zoznam rizika.
Útočníkom pridané prihlasovacie údaje komplikujú obnovu
Vo verejnej aktualizácii vyšetrovania Huntress opísal samostatnú aplikáciu ConnectWise Teams management, ktorá si udelila rolu Global Administrator a pridala prihlasovacie údaje do partnerskej, single-tenant aplikácie Huntress.
Toto zistenie neznamená kompromitáciu celej platformy Huntress. Popisuje manipuláciu s identitou aplikácie v prostredí konkrétneho partnera.
Huntress zároveň varoval pred pripisovaním aktivity len na základe zaznamenanej privátnej IPv6 adresy: legitímna prevádzka ConnectWise a nesúvisiaca zákaznícka prevádzka sa môžu objaviť z rovnakého rozsahu adries cloudu Microsoftu.
Základný mechanizmus perzistencie je dobre známy. MITRE ATT&CK dokumentuje, ako protivníci pridávajú prihlasovacie údaje k existujúcim cloudovým aplikáciám a service principals, aby si udržali prístup. Novo pridané heslo alebo certifikát dáva útočníkovi ďalší spôsob, ako sa autentifikovať ako už dôveryhodná identita.
Praktický dôsledok: obnova musí preveriť aj zmeny vykonané po vstupe. Uzavretie pôvodnej cesty prístupu automaticky neznehodnotí prihlasovacie údaje pripojené k inej aplikácii.
Pre tímy reagujúce na incidenty z toho vyplývajú dve prepojené úlohy: zadržať (contain) kompromitovanú integráciu dodávateľa a identifikovať ďalšie identity, prihlasovacie údaje alebo oprávnenia, ktoré by mohli prístup udržať.
Rozsah úniku dát sa ťažko meria
Vyšetrovanie spoločnosti Todyl, ktoré zverejnil vedúci detekčného inžinierstva Nicholas Koken, nezávisle identifikovalo neoprávnené prihlásenia aplikácie v monitorovaných tenantoch.
Todyl uviedol, že oprávnenia aplikácie poskytovali prístup k e-mailom a prílohám, súborom v OneDrive a SharePoint a k chatom v Teams. V preskúmaných prostrediach nenašiel žiadne zmeny v adresári, ktoré by zakladali perzistenciu cez zálohovaciu aplikáciu.
Tieto zistenia nie sú v rozpore s Huntressom opísaným zneužitím inej aplikácie v inom tenante. Týkajú sa rozdielnych pozorovaní a nemožno ich zlúčiť do tvrdenia, že každá postihnutá organizácia zažila rovnaký scenár.
Todyl opísal aj forenzné obmedzenie: tam, kde bolo aktívne legitímne zálohovanie, nebolo možné z dostupných záznamov spoľahlivo oddeliť čítanie dát od aktivity útočníka. V týchto tenantoch sa nezbierali podrobné logy aktivity Microsoft Graph.
Úspešná autentifikácia, schopnosť pristupovať k dátam a potvrdená exfiltrácia sú preto odlišné zistenia. Zverejnené dôkazy potvrdzujú neoprávnený prístup, no nepodporujú záver, že každá dostupná schránka alebo súbor boli dokázateľne odcudzené.
Prečo MFA zamestnancov tento útok nerieši
Dokumentácia Microsoftu k zabezpečeniu workload identities vysvetľuje, že identity aplikácií nemôžu vykonávať viacfaktorovú autentifikáciu (MFA) tak, ako ľudskí používatelia.
Preto silnejšia autentifikácia zamestnancov, hoci je nevyhnutná, sama o sebe nezabezpečí nezávislý prístup aplikácie. Reset hesla používateľa sa týka inej identity než service principal, ktorý používa integrácia bežiaca bez dohľadu.
Existuje aj dôležité obmedzenie pokrytia Conditional Access. Microsoft uvádza, že jeho politiky pre workload identities sa vzťahujú na oprávnené single-tenant service principals registrované v tenante organizácie; SaaS aplikácie tretích strán vrátane multi-tenant aplikácií sú mimo pokrytia týchto politík.
Bezpečnostné tímy by preto mali overiť, že navrhovaná kontrola sa na dotknutú identitu skutočne vzťahuje. Predpoklad, že obmedzenie lokality alebo MFA pre zamestnancov riadi aj aplikáciu tretej strany, môže zanechať vážnu medzeru.
Logy, ktoré by mali administrátori preskúmať
Microsoft vedie samostatnú kategóriu service-principal sign-in logs pre autentifikáciu aplikácií. Tieto udalosti nezahŕňajú prihlásenie používateľa.
Toto oddelenie je pri vyšetrovaní dôležité: kontrola samotnej aktivity prihlasovania zamestnancov môže relevantné dôkazy prehliadnuť. Microsoft navyše zoskupuje zhodné udalosti prihlásenia service principal do jedného riadku, ktorý možno rozbaliť a zobraziť jednotlivé časové značky.
Pokyny ConnectWise odkazujú zákazníkov na toto zobrazenie prihlásení aplikácií a označujú adresu 144.172.64[.]128 za podozrivú, vyžadujúcu preskúmanie. Dodávateľ upozorňuje, že samotné indikátory kompromitáciu nepotvrdzujú.
Záznamy o autentifikácii odpovedajú len na časť otázky. Logy aktivity Microsoft Graph poskytujú informácie na úrovni požiadaviek, vrátane identifikátorov aplikácií, IP adries klientov, metód požiadaviek, cieľových URI a odpoveďových kódov.
Tieto záznamy pomáhajú korelovať autentifikáciu aplikácie s jej následnou aktivitou cez API. Microsoft na ich zber vyžaduje licenciu tenantu Entra ID P1 alebo P2 a príslušnú logovaciu infraštruktúru Azure.
Pre bezpečnostných lídrov je ponaučenie operačné: logovanie musí pokrývať vydanie prístupu aj akcie vykonané s ním. Alert na úspešné prihlásenie sám o sebe nedokáže určiť, aké informácie boli získané.
Prerušené zálohovanie ako druhý biznisový problém
Popri bezpečnostnom vyšetrovaní musia zákazníci riešiť aj prerušené zálohovanie. ConnectWise uviedol, že existujúce archívy neboli prerušením služby dotknuté a budú dostupné po obnovení služieb.
Pre postihnuté organizácie z toho vyplýva otázka plánovania obnovy: koľko nových informácií sa hromadí, kým je bežné zálohovanie pozastavené, a čo by bolo možné obnoviť, ak by v tom čase nastal ďalší incident?
Ide o posúdenie kontinuity podnikania (business continuity), nie o dôkaz straty produkčných dát Microsoft 365. Organizácie by mali zistiť svoj posledný úspešný bod obnovy a overiť si možnosti obnovy u svojho poskytovateľa.
Z dlhodobého hľadiska Microsoftove pokyny k zabezpečeniu service principals odporúčajú posúdiť oprávnenia aplikácií, chrániť prihlasovacie údaje a obmedziť oprávnenia na to, čo úloha vyžaduje.
V prípade integrácií dodávateľov to znamená určiť jasnú zodpovednosť, preskúmať prístup pri zmene služieb alebo skončení zmlúv a sledovať autentifikáciu aplikácií ako bezpečnostne citlivú aktivitu.
Vyšetrovanie zostáva otvorené. Okamžitou prioritou je zistiť expozíciu každého tenantu, odstrániť neoprávnené cesty prístupu a overiť nápravu pred obnovením dotknutých integrácií. Širšou otázkou je, či dokážu organizácie vysvetliť – a rýchlo kontrolovať – výkonné identity aplikácií, ktoré fungujú v ich cloudových prostrediach.
Viac informácii:
https://www.linkedin.com/pulse/warning-connectwise-supply-chain-attack-exposes-b2y7e
https://thehackernews.com/2026/10/hackers-use-compromised-connectwise.html