ConnectWise 供應鏈攻擊波及 Microsoft 365 客戶租戶面臨未經授權訪問風險

可信備份服務淪為攻擊入口

ConnectWise Cloud Backup 發生的一起網路安全事件，再次凸顯第三方應用遭入侵所帶來的風險。攻擊者利用與該備份服務相關的憑證，向 Microsoft 365 客戶環境進行身份驗證，潛在訪問範圍包括電子郵件、文件及其他敏感業務資料。

根據 BleepingComputer 的報導，ConnectWise 在發現其環境中的應用程序身份遭到未經授權訪問後，暫停了客戶使用 Cloud Backup 服務的權限。該服務此前名為 SkyKick Cloud Backup。微軟以及 Huntress、Todyl 等網路安全公司也報告了與該服務有關的惡意活動。

Huntress 最初在其監控範圍內發現至少162個受到影響的 Microsoft 365 租戶。後續報導則指出，已確認出現未經授權登錄活動的租戶數量達到173個。這些數字反映了安全研究人員在各自監控範圍內觀察到的情況，並非所有受影響組織的最終統計結果。目前，事件的整體影響範圍仍在調查中。

這起事件揭示了供應鏈安全中的一項關鍵風險：可信賴的軟體供應商通常擁有訪問多個客戶系統的合法權限。一旦供應商的應用憑證遭到竊取或濫用，攻擊者就可能通過同一入口影響多個客戶環境，而不必逐一攻破每家組織的系統。

攻擊者如何繞過傳統登錄防護

ConnectWise Cloud Backup 為託管服務提供商（MSP）及 IT 團隊提供雲端數據備份與恢復服務，支持 Microsoft 365 和 Google Workspace 等平台。為了執行這些任務，該應用需要獲得其所服務的客戶環境中的相應訪問權限。

在 Microsoft 365 環境中，應用程序可以通過 Microsoft Entra ID 中的服務主體（service principal）代表自身進行身份驗證。Microsoft Entra ID 是微軟提供的身份與訪問管理平台。服務主體允許軟體按照客戶先前授予的權限訪問相關資源。

調查人員指出，攻擊者取得了與備份應用相關的憑證，並直接以應用程序本身的身份進行身份驗證。因此，攻擊者能夠繼承該服務主體原本擁有的權限。

由於這種身份驗證使用的是應用程序憑證，而非人類用戶的登錄帳戶，多因素身份驗證（MFA）等面向用戶的安全措施未必能夠阻止相關活動。這凸顯了一個重要問題：即使企業已經加強員工帳戶的安全管理，如果應用程序及自動化整合工具仍擁有過大的訪問權限，系統依然可能面臨風險。

根據每個租戶授予應用程序的權限範圍，遭入侵的應用可能具備訪問電子郵件及附件、OneDrive 和 SharePoint 文件、Teams 對話，以及目錄資訊的能力。

權限提升與持續訪問企圖

安全研究人員觀察到的活動並不侷限於未經授權的登錄。Huntress 報告稱，在其監控的多個租戶中，相關 ConnectWise Cloud Management 應用為自身分配了目錄角色，其中最常見的是 Exchange Administrator（Exchange 管理員）。

在至少一個環境中，調查人員還發現更嚴重的行為：一個與 Microsoft Teams 相關的應用將 Global Administrator（全局管理員）權限授予自身，並向其他可信應用添加憑證。微軟也觀察到攻擊者通過 Microsoft Graph 進行偵察，並嘗試添加額外憑證以維持訪問能力。

這類行為可能使原本針對單一應用的入侵演變為更廣泛的身份安全事件。攻擊者若能修改其他可信應用的憑證或權限，即使最初的入口已經被停用，也可能建立新的訪問途徑。

不過，並非所有租戶都出現了相同程度的異常活動。Todyl 對九個受影響租戶的分析發現，這些環境存在相關登錄活動，但未發現攻擊者通過備份應用創建帳戶、更改密碼或建立持續訪問機制的證據。

這說明企業必須檢查自身日誌並開展獨立調查，而不能假設所有受影響租戶都經歷了相同程度的入侵。

ConnectWise 暫停 Cloud Backup 服務並展開調查

ConnectWise 確認，其 Cloud Backup 環境中的應用程序身份遭到未經授權訪問，並停用了受影響的應用連接。公司同時暫停 Cloud Backup 服務，以便繼續開展調查和補救工作。

ConnectWise 在安全公告中表示，目前沒有證據顯示已儲存的備份檔案遭到訪問或破壞。公司稱，現有備份檔案仍受到保存，但在服務暫停期間，客戶無法正常訪問相關服務及恢復功能。

這裡需要區分兩個問題：攻擊者入侵用於訪問 Microsoft 365 實時環境的應用，並不自動意味著他們已經竊取或篡改備份檔案。然而，即使沒有證據表明備份檔案遭到訪問，企業仍必須調查客戶租戶內部是否發生其他未經授權的活動。

這起事件也反映出供應商端遏制措施的侷限性。停用應用程序可以阻止新的身份驗證，但不一定能夠撤銷攻擊者已經在客戶環境中進行的所有修改。先前簽發的訪問令牌可能在過期或被撤銷前繼續有效，而攻擊者添加至其他應用程序的憑證也可能需要單獨清除。

Microsoft 365 管理員應採取哪些措施

使用 ConnectWise Cloud Backup 或相關 Cloud Management 應用的組織，應遵循供應商最新發布的指引，並檢查 Microsoft Entra 環境是否存在未經授權的活動。

建議採取以下措施：

• 識別受影響的應用程序。 檢查企業應用程序及服務主體，確認是否存在 ConnectWise Cloud Backup、SkyKick 及相關 Cloud Management 整合應用。

• 按照指引停用相關應用。 遵循 ConnectWise 和微軟的建議，在獲得安全重新授權指引之前，停用受到影響的應用程序身份。

• 審查服務主體登錄記錄。 調查異常身份驗證事件，特別是與報告中出現的來源 IP 地址 144.172.64[.]128 有關的活動。

• 審計應用程序憑證。 檢查各應用程序的密鑰和證書是否遭到未經授權的新增或修改，尤其應留意2026年10月13日之後的變更。

• 檢查權限及管理員角色。 查找異常角色分配、新增的 OAuth 授權，以及應用程序所有權或訪問權限的可疑變更。

• 排查持續訪問機制。 檢查相關應用是否被添加新憑證，並在適當情況下調查可疑的信箱規則、郵件轉發設置及委派訪問權限。

• 保存相關日誌。 保留登錄記錄、審計日誌及 Microsoft Graph 活動記錄，以支持後續調查和事件響應。

管理員不應認為，只要停用最初遭入侵的應用程序，就代表事件已經徹底解決。任何在租戶內部未經授權新增的憑證、權限或其他訪問途徑，都需要單獨調查和清除。

供應鏈安全需要更全面的防護策略

ConnectWise 事件凸顯了雲安全領域日益嚴峻的挑戰：企業越來越依賴外部應用程序，而這些應用為了執行合法的業務功能，往往需要獲得廣泛的訪問權限。

備份軟體、遠程管理工具、身份整合服務及其他應用，可能需要訪問多個客戶環境。這些權限雖然有助於提升營運效率，卻也意味著一旦共享憑證或應用程序身份遭到入侵，潛在影響就可能集中擴大。

企業可以通過實施最小權限原則、定期審查第三方應用權限、移除不再使用的整合服務，以及獨立監控應用程序身份驗證活動，降低相關風險。

在條件允許的情況下，企業還應限制服務主體的權限範圍，針對異常憑證變更設置警報，並建立擁有特權訪問權限的應用程序清單。託管服務提供商則應評估，當供應商整合服務發生安全事件時，下遊客戶可能受到的影響。

應將應用程序身份納入日常安全管理

這起攻擊提醒企業，雲端應用程序應與員工帳戶及管理員帳戶一樣，接受嚴格的安全管理。應用程序可能擁有強大的訪問權限，能夠自動進行身份驗證，並訪問大量敏感數據，卻不一定會觸發麵向用戶的同類安全檢查。

因此，企業不僅需要監控哪些用戶正在登錄，還應關注哪些應用程序正在進行身份驗證、它們使用了什麼權限，以及相關權限或憑證是否發生異常變化。

隨著雲端環境之間的互聯程度不斷提高，單一整合應用遭到入侵，就可能影響多個組織。有效的防禦策略必須結合嚴格的第三方風險管理、應用程序層級的監控，以及能夠處理客戶系統內既有訪問權限的事件響應計劃。

資料來源：

• BleepingComputer — 駭客通過 ConnectWise 供應鏈攻擊入侵 Microsoft 365 租戶

• ConnectWise — 安全公告

• The Hacker News — 駭客利用遭入侵的 ConnectWise 憑證登錄 Microsoft 365 租戶

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。