吳明宜ConnectWise 是一家 IT 管理平台業者。駭客竊得其雲端備份服務的應用程式身分存取權，並藉此危及客戶的 Microsoft 365(M365) 租戶。事件被發現後，ConnectWise 緊急撤銷憑證，並暫停雲端備份服務。
ConnectWise 的雲端備份解決方案提供備份與復原服務。託管服務業者及 IT 部門可用它保護及復原 M365 、 Google Workspace 等雲端環境中的客戶資料，例如電子郵件與檔案。
微軟在週末證實，這起惡意行動與 ConnectWise Cloud Backup 服務有關。微軟表示，上週 (10/15) 發現由同一個 IP 發出的未授權驗證請求。上週五有企業管理員反映，公司存放在 M365 的客戶資料遭竊，原因可能是 SkyKick/CW(ConnectWise) 資料外洩。資安公司 Huntress 隨後證實，至少有 162 個 M365 租戶被駭入。
ConnectWise 在官方聲明中表示，近日發現雲端備份 (Cloud Backup) 環境遭未授權存取。駭客取得了該公司 7 個應用程式身分（Application Identities／服務主體）的存取權，進而危及客戶的 M365 租戶。
資安公司 Todyl 分析，攻擊者可能利用從 ConnectWise Cloud Backup 取得的憑證，以自動化腳本直接登入 Microsoft 365 。駭客利用 ConnectWise 已取得的租戶存取權限，得以讀取受害企業的郵件與附件，並存取 OneDrive 和 SharePoint 檔案及 Teams 聊天內容。證據顯示，至少有三個使用者代理程式涉及惡意活動。
ConnectWise 已關閉合作夥伴與客戶存取該服務的管道，之後會重新開放。該公司表示，目前沒有跡象顯示雲端備份合作夥伴的備份資料受到影響，現有雲端備份也不受這次關閉影響。
ConnectWise 建議管理員檢查 Microsoft Entra 中應用程式身分（又稱 service principal）的登入活動，篩選 ConnectWise Cloud Backup 的應用程式 ID，並留意陌生的存取 IP 。微軟也建議管理員檢查應用程式憑證變更、 OAuth 授權許可及相關的 Graph 活動。
資安業者建議用戶先停用受影響的 ConnectWise 應用程式，並檢查應用程式憑證及整合的應用程式是否有異常。
（綜合外電報導）