आपकी कंपनी ने बैकअप, ई-सिग्नेचर या ईमेल प्रबंधन के लिए Microsoft 365 से जो भी बाहरी ऐप जोड़ा है, उसके पास एक चाबी है जो बिना पासवर्ड और बिना सत्यापन कोड के आपके ईमेल और फ़ाइलें खोल देती है। हमलावरों ने इस महीने ठीक इसी का फ़ायदा उठाया: उन्होंने ConnectWise Cloud Backup (पहले SkyKick) ऐप के क्रेडेंशियल चुराए, उनसे दुनिया भर में 2,250 से ज़्यादा Microsoft 365 परिवेशों को निशाना बनाया और कुछ मामलों में 3 घंटे से भी कम समय में ग्लोबल एडमिनिस्ट्रेटर अधिकार हासिल कर लिए। आज तीन काम करें: अपने IT प्रमुख से अपने खाते से जुड़े ऐप और उनकी अनुमतियों की सूची माँगें, जो भी आप नहीं पहचानते या अब इस्तेमाल नहीं करते उसे निष्क्रिय करें, और जाँचें कि 1 अक्टूबर से ग्लोबल एडमिनिस्ट्रेटर भूमिका में किसे जोड़ा गया है।

आख़िर हुआ क्या?

21 अक्टूबर 2026 को प्रकाशित Microsoft की सुरक्षा रिपोर्ट के अनुसार यह हमला चीन से जुड़े एक समूह ने किया, जिसे Microsoft Storm-0940 नाम से ट्रैक करता है। इसने ARTEX का इस्तेमाल किया, जो AI से चलने वाला एक ओपन-सोर्स पेनिट्रेशन टेस्टिंग टूल है। 10 से 14 अक्टूबर के बीच समूह ने पासवर्ड अनुमान लगाने का एक स्वचालित अभियान चलाया, जिसमें 8 संगठनों के 327 खातों पर 151,000 से ज़्यादा असफल साइन-इन हुए, और 11 अक्टूबर को यह लगभग 2,900 प्रयास प्रति मिनट के शिखर पर पहुँचा।

फिर आया ज़्यादा ख़तरनाक कदम। हमलावरों ने ConnectWise Cloud Backup ऐप के क्रेडेंशियल हासिल कर लिए। यह सेवा Microsoft 365 के ईमेल और फ़ाइलों का बैकअप लेती है और कई कंपनियाँ इसे उन IT सेवा प्रदाताओं के ज़रिए इस्तेमाल करती हैं जो उनके सिस्टम चलाते हैं। चूँकि इन ऐप को ग्राहकों के डेटा तक पहुँचने की सहमति पहले से मिली हुई थी, हमलावर कर्मचारी के बजाय ख़ुद ऐप के रूप में साइन इन कर सके, इसलिए उन्हें न किसी का पासवर्ड चाहिए था और न टू-फ़ैक्टर कोड। अंदर पहुँचकर उन्होंने ऐप क्रेडेंशियल बदले, ख़ुद को ग्लोबल एडमिनिस्ट्रेटर (Global Administrator) की भूमिका दी और Microsoft Graph के ज़रिए परिवेश की टोह ली।

ConnectWise ने क्या कदम उठाए?

ConnectWise Trust Center के आधिकारिक सूचना पेज के अनुसार कंपनी को 14 अक्टूबर को समस्या का पता चला, 16 अक्टूबर को उसने इसकी घोषणा की और 17 अक्टूबर को 07:00 UTC पर सेवा से जुड़ी सात ऐप पहचानें निष्क्रिय कर दीं, साथ ही Cloud Backup के अलावा SaaS Security और Cloud Management भी रोक दिए। ConnectWise का कहना है कि बैकअप आर्काइव अब भी एन्क्रिप्टेड और अलग-थलग हैं और उनमें सेंध का कोई संकेत नहीं है, और वह सोमवार, 26 अक्टूबर से साझेदारों के लिए चरणबद्ध तरीक़े से सेवा फिर शुरू करने का लक्ष्य रख रही है।

उसी सूचना में एक वाक्य है जिसे हर व्यवसाय मालिक को पढ़ना चाहिए: इन कनेक्शनों को निष्क्रिय करने से उनके ज़रिए नए साइन-इन रुक जाते हैं, लेकिन हमलावर ने आपके टेनेंट में जो बदलाव पहले ही कर दिए हैं, वे वापस नहीं होते। हमलावर द्वारा जोड़ा गया एडमिन खाता, या जिस ऐप की चाबियाँ उसने बदलीं, वह तब तक वैसा ही रहता है जब तक आपकी अपनी टीम उसे हटा न दे।

ConnectWise कभी इस्तेमाल न किया हो, तब भी यह आपके लिए क्यों मायने रखता है

यह किसी एक उत्पाद की कहानी नहीं है। हर Microsoft 365 खाते में बाहरी ऐप की एक सूची होती है जिसे किसी कर्मचारी या एडमिन ने कभी स्वीकृत किया था: कोई सिग्नेचर टूल, अपॉइंटमेंट कैलेंडर, बैकअप सिस्टम, या ईमेल पढ़ने वाला AI ऐड-ऑन। इनमें से कुछ के पास पूरे संगठन की अनुमति होती है, यानी वे हर कर्मचारी के ईमेल और फ़ाइलें पढ़ सकते हैं, और यह अनुमति सबके ऐप भूल जाने के बहुत बाद तक बनी रहती है। अगर ऐप बनाने वाली कंपनी में सेंध लगती है, तो उसकी चाबी हमलावर की चाबी बन जाती है।

एक दूसरा सबक़ भी है। जो कंपनियाँ Cloud Backup पर निर्भर थीं, वे एक हफ़्ते से ज़्यादा समय से उस बैकअप सेवा के बिना हैं जिसके लिए वे भुगतान करती हैं। अगर एक ही विक्रेता आपकी इकलौती कॉपी रखता है और साथ ही आपके लाइव डेटा की चाबी भी उसके पास है, तो आपने दो जोखिम एक ही जगह इकट्ठा कर दिए हैं।

इस हफ़्ते अपनी टीम से कराने लायक़ पाँच कदम

  • जुड़े हुए ऐप की सूची बनाएँ: Microsoft Entra एडमिन सेंटर में Enterprise apps, फिर All applications खोलें और Permissions टैब की समीक्षा करें, जैसा कि ऐप अनुमतियों की समीक्षा पर Microsoft की आधिकारिक गाइड में बताया गया है। उन ऐप से शुरू करें जिनके पास पूरे संगठन की अनुमति है।
  • हटाएँ नहीं, निष्क्रिय करें: अगर आपको ConnectWise या SkyKick के ऐप मिलें, तो उन्हें तब तक निष्क्रिय रखें जब तक कंपनी आपकी सेवा के लिए निर्देश जारी न करे। Microsoft सलाह देता है कि ऐप को हटाने के बजाय निष्क्रिय रखें, ताकि जाँच के सबूत न खोएँ।
  • एडमिन भूमिकाओं की समीक्षा करें: ग्लोबल एडमिनिस्ट्रेटर भूमिका वाले हर व्यक्ति की सूची और 1 अक्टूबर से उसमें हुए हर बदलाव की जानकारी माँगें। सूची का हर नाम आपको पता होना चाहिए।
  • लॉग जाँचें: कम से कम 1 अक्टूबर से साइन-इन और ऑडिट लॉग देखें और ConnectWise द्वारा प्रकाशित पतों 144.172.64.99, 144.172.64.60 और 144.172.64.128 से आई गतिविधि खोजें। केवल एक मिलान से सेंध साबित नहीं होती, लेकिन जाँच ज़रूरी हो जाती है।
  • लापरवाह स्वीकृतियाँ बंद करें: एडमिन सहमति वर्कफ़्लो चालू करें ताकि कोई कर्मचारी एक क्लिक में किसी नए ऐप को कंपनी के डेटा तक पहुँच न दे सके, जैसा कि उपयोगकर्ता सहमति कॉन्फ़िगर करने पर Microsoft की गाइड में बताया गया है।

अगर आपने LiteLLM के छेड़छाड़ किए गए संस्करण पर हमारा लेख पढ़ा है, तो पैटर्न वही है: हमलावर आपका दरवाज़ा नहीं तोड़ता, वह आपके भरोसेमंद विक्रेता के दरवाज़े से अंदर आता है। और अगर इस घटना ने आपको अपने बैकअप पर दोबारा सोचने को मजबूर किया है, तो बैकअप और डिज़ास्टर रिकवरी पर हमारी गाइड देखें।

Origami का नज़रिया

यहाँ हमलावरों को न Microsoft में किसी ख़ामी की ज़रूरत पड़ी, न किसी कर्मचारी को धोखा देने की; उन्होंने वह भरोसा इस्तेमाल किया जो कंपनियों ने ख़ुद एक बाहरी ऐप को दिया और फिर भूल गईं। इसीलिए Origami में हम Microsoft 365 या किसी भी क्लाउड प्लेटफ़ॉर्म के साथ बनाए गए हर इंटीग्रेशन को ऐसी अनुमति मानते हैं जिसके लिए एक कारण, एक ज़िम्मेदार व्यक्ति और समीक्षा की एक तारीख़ ज़रूरी है: इंटीग्रेशन को जितनी ज़रूरत हो उतनी ही न्यूनतम पहुँच, बदलती रहने वाली चाबियाँ, और इसका साफ़ रिकॉर्ड कि ऐप आपकी कंपनी के नाम पर क्या करता है। अगर आप अपनी कंपनी के खातों से जुड़े ऐप की समीक्षा करवाना चाहते हैं, या ऐसा इंटीग्रेशन चाहते हैं जिसके पास ज़रूरत से ज़्यादा अधिकार न हों, तो हमसे संपर्क करें।

स्रोत