Hackerlar, 173 Microsoft 365 Hesabını Ele Geçirmek İçin Ele Geçirilmiş ConnectWise Yedekleme Kimlik Bilgilerini Kullandı

Bilgisayar korsanları, 173 Microsoft 365 iş ortağı ve müşteri kiracısında oturum açmak için çalınan ConnectWise Cloud Backup kimlik bilgilerini kullanarak güvenilir bir yedekleme uygulaması aracılığıyla erişim sağladı. Olay, sızdırılmış bir satıcı sırrının, çok kiracılı bir uygulama zaten geniş izinlere sahip olduğunda birçok kuruluşta nasıl risk oluşturabileceğini göstermektedir. Etkilenen ürün, daha önce SkyKick Backup olarak bilinen ConnectWise Cloud Backup'tır. Yönetilen servis sağlayıcılar, Microsoft 365 ve Google Workspace verilerini korumak için platformu kullanır. Yedekleme ve kurtarma görevlerini gerçekleştirmek için Microsoft 365 uygulaması Exchange posta kutularına, OneDrive, SharePoint, Teams ve dizin bilgilerine erişim sağlayabilir. Microsoft Threat Intelligence, ConnectWise Cloud Backup'ı (eski adıyla SkyKick Backup) içeren aktif bir tedarik zinciri saldırısını takip ettiğini doğruladı. Microsoft Threat Intelligence is tracking an active supply chain attack in which a threat actor compromised the trusted OAuth App of the backup application ConnectWise Cloud Backup (AppId: 506e08f9-6e9a-4da4-942b-a099a03644ae), formerly SkyKick Backup, to obtain access tokens… pic.twitter.com/5FF8H30jaX— Microsoft Threat Intelligence (@MsftSecIntel) October 17, 2026

Compromised Credential Used Across Tenants

Huntress confirmed that an API secret belonging to the vendor was compromised and used for unauthorized Microsoft 365 access. Daha sonraki raporlar, onaylanmış ortak ve müşteri kiracılarının sayısını 173 olarak belirlemiştir. Oturum açma kayıtları bir müşteri iddiası gösterdi, yani sır, her müşteri ortamındaki bir parola veya eylemden ziyade satıcının ev kiracısından geldi. Saldırganlar, ConnectWise Cloud Backup uygulaması ID 506e08f9 -6e9a -4da4 -942b – a099a03644ae'yi kullandı. 15 Ekim 2026 'da uygulama 144.172.64 [.]128' den oturum açtı ve 06:13 ile 08:34 UTC arasında Microsoft Graph erişim belirteçleri aldı. Oyuncu, kiracı tanımlayıcılarını sırayla, yalnızca saniyeler arayla hareket ettirdi, bu da hazırlanmış bir hedef liste kullanarak otomatik bir komut dosyasına işaret ediyor.