Η εταιρεία λογισμικού διαχείρισης υποδομών IT ConnectWise ανακοίνωσε την απενεργοποίηση επτά ταυτοτήτων εφαρμογών (application identities) και την προσωρινή αναστολή της υπηρεσίας Cloud Backup, ύστερα από τον εντοπισμό μη εξουσιοδοτημένης πρόσβασης από αγνώστους.
Η παραβίαση επέτρεψε στους εισβολείς να αποκτήσουν πρόσβαση σε περιβάλλοντα Microsoft 365 πελατών της εταιρείας, εκμεταλλευόμενοι τα αυξημένα δικαιώματα των εφαρμογών.
Cloud Backup: Απενεργοποίηση εφαρμογών και μέτρα αντιμετώπισης
Η εταιρεία προχώρησε στις 17 Οκτωβρίου 2026 στην ανάκληση των πιστοποιητικών που χρησιμοποιούνταν για τις συνδέσεις, απενεργοποιώντας τις σχετικές εφαρμογές διαχείρισης και δημιουργίας αντιγράφων ασφαλείας. Η κίνηση αυτή εμποδίζει νέες προσπάθειες ταυτοποίησης, αν και δεν αναιρεί τις αλλαγές που ενδεχομένως πραγματοποιήθηκαν προγενέστερα στα επηρεαζόμενα περιβάλλοντα.
Παράλληλα, οι προγραμματισμένες διαδικασίες δημιουργίας αντιγράφων ασφαλείας έχουν ανασταλεί, ενώ η πρόσβαση στα αρχεία backup παραμένει προσωρινά μη διαθέσιμη. Η ConnectWise τόνισε ότι τα υφιστάμενα αρχεία παραμένουν κρυπτογραφημένα και απομονωμένα, χωρίς να υπάρχουν ενδείξεις ότι παραβιάστηκαν. Εκτός από το Cloud Backup, εκτός λειτουργίας τέθηκαν προληπτικά και οι υπηρεσίες SaaS Security και Cloud Management μέχρι την ολοκλήρωση της έρευνας.
Ο μηχανισμός της επίθεσης και η εξάπλωση του κινδύνου
Η παραβίαση θεωρείται ιδιαίτερα επικίνδυνη καθώς επέτρεψε στους εισβολείς να κάνουν χρήση των διαπιστευτηρίων των ίδιων των εφαρμογών για να αιτηθούν διακριτικά πρόσβασης (access tokens) από το Microsoft Entra ID. Με αυτόν τον τρόπο απέκτησαν τη δυνατότητα προσπέλασης σε υπηρεσίες όπως το Exchange Online, το SharePoint, το Microsoft Teams και το Graph, χωρίς να χρειαστεί να υποκλέψουν μεμονωμένους κωδικούς πρόσβασης χρηστών.
Σύμφωνα με αναλύσεις της εταιρείας κυβερνοασφάλειας Huntress, εντοπίστηκαν σχεδόν 1.000 περιβάλλοντα Entra με δραστηριότητα σύνδεσης από την ύποπτη διεύθυνση IP “144.172.64[.]128”, εκ των οποίων σε περίπου 300 η σύνδεση στέφθηκε με επιτυχία.
Συστάσεις προς τους συνεργάτες και τους διαχειριστές
Οι διαχειριστές συστημάτων καλούνται να ελέγξουν άμεσα τόσο τα δικά τους περιβάλλοντα Microsoft 365 όσο και αυτά των πελατών τους.
Συνιστάται ο ενδελεχής έλεγχος των αρχείων καταγραφής (logs) για δραστηριότητα από τη συγκεκριμένη διεύθυνση IP από τις 13 Οκτωβρίου 2026 έως σήμερα, η επιβεβαίωση της απενεργοποίησης των επηρεαζόμενων εφαρμογών, καθώς και ο έλεγχος για τυχόν μη εξουσιοδοτημένους κανόνες ανακατεύθυνσης αλληλογραφίας ή δημιουργία νέων εφαρμογών και διαπιστευτηρίων.