ConnectWise Cloud Backup üzerinden tedarik zinciri saldırısı: Microsoft 365 ortamlarına sızıldı

BleepingComputer'ın 17 Ekim 2026 tarihli haberine göre ConnectWise, eski adı SkyKick olan Cloud Backup hizmetine müşteri erişimini kapattı. Şirket, Cloud Backup ortamındaki uygulama kimliklerine yetkisiz erişim tespit ettiğini açıkladı. Güvenlik şirketi Todyl'e göre saldırgan, yedekleme uygulamasının gizli anahtarını kullanarak Microsoft 365'e doğrudan uygulama olarak oturum açtı; bunlar kullanıcı girişi olmadığı için çok faktörlü doğrulama işe yaramadı.

• Zararlı etkinlik en geç 15 Ekim'de tek bir IP adresinden başladı; Huntress, 13 ve 14 Ekim'de aynı adresten yapılan otomatik giriş denemeleri de tespit etti.
• Huntress kendi izlediği ortamlarda en az 162 ele geçirilmiş Microsoft 365 ortamı buldu; yaklaşık 50 ortamda ConnectWise Cloud Management uygulamaları kendilerine dizin rolleri, çoğunlukla Exchange Administrator rolü atadı.
• Microsoft, saldırganın büyük olasılıkla Directory.ReadWrite.All dahil mevcut izinleri kötüye kullandığını değerlendirdi; Todyl'e göre bu izinler e-posta, OneDrive/SharePoint dosyaları ve Teams yazışmalarını okuma ve yazma imkânı veriyordu.
• ConnectWise 17 Ekim'de yedi uygulama kimliğini devre dışı bıraktı ve önlem olarak SaaS Security ile Cloud Management hizmetlerini de çevrim dışı bıraktı; saklanan yedeklerin ele geçirildiğine dair kanıt bulunmadığını belirtti.

Neden önemli?

Olay, Microsoft 365'e bağlanan üçüncü taraf uygulamalar geniş izinlerle çalıştığında tek bir tedarikçi sorununun çok sayıda şirkete yayılabileceğine işaret ediyor. Todyl'in uyarısına göre kullanıcı oturumlarını sonlandırmak uygulama tabanlı erişimi kesmiyor ve uygulamayı devre dışı bırakmak daha önce verilmiş erişim belirteçlerini süresi dolana kadar geçersiz kılmıyor. Microsoft 365 kullanan Türk şirketlerinin, ilgili ConnectWise uygulamalarını kullanmasalar bile Entra ID'de kayıtlı üçüncü taraf uygulamaların izinlerini gözden geçirmesi yararlı olur.

Yöneticilere ConnectWise uygulamalarını devre dışı bırakmaları, Entra hizmet sorumlusu girişlerini, OAuth izinlerini ve Graph etkinliğini incelemeleri ve 13 Ekim'den sonra eklenmiş gizli anahtar veya sertifika olup olmadığını kontrol etmeleri öneriliyor. Eski ortamlarda bu uygulamalar SkyKick Cloud Manager adıyla görünebiliyor.