في هذا المقال
أي تطبيق خارجي ربطته شركتك بحساب مايكروسوفت 365، سواء للنسخ الاحتياطي أو التوقيع الإلكتروني أو إدارة البريد، يحمل مفتاحا يدخل به بريدكم وملفاتكم دون كلمة مرور ودون رمز تحقق. هذا ما استغله مهاجمون هذا الشهر: سرقوا بيانات تطبيقات ConnectWise Cloud Backup (المعروف سابقا باسم SkyKick)، واستهدفوا بها أكثر من 2,250 بيئة مايكروسوفت 365 لشركات حول العالم، ووصلوا في بعضها إلى صلاحيات المدير العام في أقل من 3 ساعات. افعل اليوم ثلاثة أشياء: اطلب من مسؤول التقنية قائمة التطبيقات المتصلة بحسابكم وصلاحياتها، وعطّل ما لا تعرفه أو لا تستخدمه، وراجع من أُضيف إلى دور المدير العام منذ 1 أكتوبر.
ماذا حدث بالضبط؟
بحسب تقرير مايكروسوفت الأمني المنشور في 21 أكتوبر 2026، تقف وراء الهجوم مجموعة مرتبطة بالصين تسميها مايكروسوفت Storm-0940، واستخدمت أداة اختبار اختراق مفتوحة المصدر تعمل بالذكاء الاصطناعي اسمها ARTEX. بدأت المجموعة بين 10 و14 أكتوبر بحملة تخمين كلمات مرور آلية سجلت أكثر من 151,000 محاولة دخول فاشلة على 327 حسابا في 8 منظمات، وبلغت ذروتها يوم 11 أكتوبر بنحو 2,900 محاولة في الدقيقة.
ثم جاءت الخطوة الأخطر. حصل المهاجمون على بيانات اعتماد تطبيقات ConnectWise Cloud Backup، وهي خدمة تنسخ بريد مايكروسوفت 365 وملفاته احتياطيا، وتعتمد عليها شركات كثيرة عبر مزودي خدمات تقنية الذين يديرون أنظمتها. ولأن هذه التطبيقات حصلت مسبقا على موافقة الشركات للوصول إلى بياناتها، استطاع المهاجمون الدخول بصفة التطبيق نفسه لا بصفة موظف، فلم يحتاجوا إلى كلمة مرور أحد ولا إلى رمز تحقق ثنائي. وبعد الدخول غيّروا بيانات اعتماد تطبيقات، ومنحوا أنفسهم دور المدير العام (Global Administrator)، واستكشفوا البيئة عبر واجهة Microsoft Graph.
كيف تعاملت ConnectWise مع الحادثة؟
بحسب صفحة الإشعارات الرسمية في مركز الثقة لدى ConnectWise، اكتشفت الشركة المشكلة في 14 أكتوبر، وأعلنتها في 16 أكتوبر، وفي الساعة 07:00 بالتوقيت العالمي يوم 17 أكتوبر عطّلت سبع هويات تطبيقات مرتبطة بالخدمة، وأوقفت Cloud Backup ومعها SaaS Security وCloud Management. وتقول الشركة إن أرشيفات النسخ الاحتياطي ما زالت مشفرة ومعزولة ولا يوجد ما يدل على اختراقها، وتستهدف بدء إعادة الخدمة للشركاء على مراحل يوم الإثنين 26 أكتوبر.
لكن في الإشعار نفسه جملة مهمة لكل صاحب منشأة: تعطيل هذه الاتصالات يمنع الدخول الجديد عبرها، لكنه لا يلغي التغييرات التي أجراها المهاجم داخل حساب شركتك من قبل. أي إن الحساب الإداري الذي أضافه المهاجم، أو التطبيق الذي غيّر مفاتيحه، يبقى كما هو حتى يزيله فريقك بنفسه.
لماذا يعنيك هذا وإن لم تستخدم ConnectWise؟
القصة ليست عن منتج واحد. كل حساب مايكروسوفت 365 فيه قائمة تطبيقات خارجية وافق عليها موظف أو مدير يوما ما: أداة توقيع، أو تقويم مواعيد، أو نظام نسخ احتياطي، أو إضافة ذكاء اصطناعي تقرأ البريد. بعض هذه التطبيقات يملك صلاحية على مستوى الشركة كلها، أي يقرأ بريد كل الموظفين وملفاتهم، ويبقى هذا الإذن قائما حتى بعد أن ينسى الجميع التطبيق. وإذا اخترق مزود التطبيق، فإن مفتاحه يصبح مفتاح المهاجم.
وفي الحادثة درس ثان: الشركات التي اعتمدت على Cloud Backup بقيت أكثر من أسبوع دون خدمة النسخ الاحتياطي التي تدفع لها. إذا كان مزود واحد يحمل نسختك الوحيدة ويملك في الوقت نفسه مفتاح بياناتك الحية، فقد جمعت مخاطرتين في مكان واحد.
خمس خطوات تطلبها من فريقك هذا الأسبوع
- اجرد التطبيقات المتصلة: من مركز إدارة Microsoft Entra افتح Enterprise apps ثم All applications، واستعرض الصلاحيات من تبويب Permissions كما يشرح دليل مايكروسوفت الرسمي لمراجعة صلاحيات التطبيقات. ابدأ بالتطبيقات التي تملك صلاحية على مستوى المنظمة كلها.
- عطّل ولا تحذف: إن وجدت تطبيقات ConnectWise أو SkyKick فعطّلها حتى تصدر الشركة تعليمات تخص خدمتك. وتنصح مايكروسوفت بالإبقاء على التطبيق معطلا بدل حذفه، حتى لا تضيع آثار التحقيق.
- راجع الأدوار الإدارية: اطلب قائمة بكل من يحمل دور المدير العام، وأي تغيير عليها منذ 1 أكتوبر. يجب أن تعرف كل اسم فيها.
- افحص السجلات: راجع سجلات الدخول والتدقيق من 1 أكتوبر على الأقل، وابحث عن دخول من العناوين 144.172.64.99 و144.172.64.60 و144.172.64.128 التي نشرتها ConnectWise. وجود أحدها لا يثبت الاختراق وحده، لكنه يستحق تحقيقا.
- أغلق الباب أمام الموافقات العشوائية: فعّل سير موافقة المدير حتى لا يمنح موظف تطبيقا جديدا صلاحية على بيانات الشركة بنقرة واحدة، كما يشرح دليل مايكروسوفت لإعداد موافقة المستخدمين.
وإن قرأت مقالنا عن نسخة LiteLLM المخترقة، فالنمط واحد: المهاجم لا يكسر بابك، بل يدخل من باب مورد تثق به. ولمن يعيد التفكير في نسخه الاحتياطي، راجع دليلنا عن النسخ الاحتياطي والتعافي من الكوارث.
رأي أوريجامي
لم يحتج المهاجمون هنا إلى ثغرة في مايكروسوفت ولا إلى خداع موظف؛ استخدموا ثقة منحتها الشركات نفسها لتطبيق خارجي ثم نسيتها. ولهذا نتعامل في أوريجامي مع كل تكامل نبنيه مع مايكروسوفت 365 أو أي منصة سحابية على أنه صلاحية تحتاج إلى سبب ومالك وتاريخ مراجعة: أقل الصلاحيات التي يحتاجها التكامل، ومفاتيح تتجدد، وسجل واضح لما يفعله التطبيق باسم شركتك. وإذا أردت مراجعة التطبيقات المتصلة بحسابات شركتك أو بناء تكامل لا يملك أكثر مما يحتاج، تواصل معنا.
المصادر
- Microsoft Security Blog: مجموعة Storm-0940 تستخدم ARTEX في اختراق سلسلة إمداد ConnectWise، 21 أكتوبر 2026
- ConnectWise Trust Center: إشعار انقطاع خدمة Cloud Backup وتحديثاته حتى 24 أكتوبر 2026
- Microsoft Learn: مراجعة الصلاحيات الممنوحة لتطبيقات المؤسسة في Microsoft Entra
- Microsoft Learn: إعداد طريقة موافقة المستخدمين على التطبيقات
أسئلة شائعة
كيف أعرف التطبيقات المتصلة بحساب مايكروسوفت 365 في شركتي؟
من مركز إدارة Microsoft Entra افتح Enterprise apps ثم All applications، ثم افتح كل تطبيق واطلع على تبويب Permissions. ابدأ بالتطبيقات التي تملك صلاحية على مستوى المنظمة كلها لأنها تقرأ بيانات كل الموظفين.
هل يحمينا التحقق الثنائي من هذا النوع من الهجمات؟
لا. التطبيق الذي وافقت عليه شركتك يدخل بصفته تطبيقا لا بصفة موظف، فلا يمر بكلمة مرور ولا رمز تحقق. الحماية هنا هي تقليل صلاحيات التطبيقات ومراجعتها وتعطيل غير المستخدم منها.
وجدنا تطبيق ConnectWise أو SkyKick في حسابنا، فماذا نفعل؟
عطّله ولا تحذفه حتى تصدر ConnectWise تعليمات تخص خدمتك، ثم راجع سجلات الدخول والتدقيق منذ 1 أكتوبر وقائمة من يحمل دور المدير العام. تعطيل الشركة للتطبيقات لا يلغي ما غيّره المهاجم داخل حسابك.
هل تسربت النسخ الاحتياطية المحفوظة لدى ConnectWise؟
تقول ConnectWise في تحديث 24 أكتوبر 2026 إن الأرشيفات ما زالت مشفرة ومعزولة ولا يوجد ما يدل على اختراقها، وإنها تستهدف بدء إعادة الخدمة على مراحل يوم 26 أكتوبر.
تابع أوريجامي في نتائج قوقل
ثبت أوريجامي كمصدر مفضل، فتظهر لك مقالاتنا أولا في نتائج قوقل وفي الأخبار الرائجة.
الإضافة إلى المصادر المفضلة في Google
