バックアップ、電子署名、メール管理など、御社が Microsoft 365 に接続した外部アプリはすべて、パスワードも確認コードもなしにメールやファイルを開ける鍵を持っています。今月、攻撃者が悪用したのはまさにこの点です。彼らは ConnectWise Cloud Backup（旧 SkyKick）のアプリの認証情報を盗み、それを使って世界中の 2,250 を超える Microsoft 365 環境を標的にし、一部では 3 時間足らずでグローバル管理者権限を手に入れました。今日、次の 3 つを行ってください。IT 責任者に自社アカウントに接続されたアプリとその権限の一覧を求めること、見覚えのないものや使っていないものをすべて無効にすること、そして 10 月 1 日以降にグローバル管理者ロールに追加された人を確認することです。

何が起きたのか？

2026 年 10 月 21 日に公開された Microsoft のセキュリティレポートによると、攻撃を行ったのは Microsoft が Storm-0940 と呼ぶ中国系のグループで、AI を活用したオープンソースの侵入テストツール ARTEX を使っていました。10 月 10 日から 14 日にかけて、このグループは自動化されたパスワード推測攻撃を行い、8 つの組織の 327 アカウントに対して 151,000 回を超えるサインイン失敗を記録しました。ピークは 10 月 11 日で、毎分およそ 2,900 回の試行に達しました。

続いて、より危険な段階に入ります。攻撃者は ConnectWise Cloud Backup のアプリの認証情報を入手しました。これは Microsoft 365 のメールやファイルをバックアップするサービスで、多くの企業がシステムを管理する IT サービス事業者を通じて利用しています。これらのアプリには顧客データへのアクセス同意がすでに与えられていたため、攻撃者は従業員ではなくアプリそのものとしてサインインでき、誰のパスワードも二要素コードも必要ありませんでした。侵入後、彼らはアプリの認証情報を変更し、自らにグローバル管理者（Global Administrator）ロールを割り当て、Microsoft Graph を通じて環境を偵察しました。

ConnectWise はどう対応したのか？

ConnectWise Trust Center の公式アドバイザリーページによると、同社は 10 月 14 日に問題を発見し、10 月 16 日に公表、10 月 17 日の 07:00 UTC にサービスに関連する七つのアプリ ID を無効化して、Cloud Backup とともに SaaS Security と Cloud Management を停止しました。ConnectWise はバックアップのアーカイブは暗号化され隔離されたままで侵害の兆候はないとしており、10 月 26 日の月曜日からパートナーへの段階的な提供再開を目指しています。

同じアドバイザリーには、すべての経営者が読むべき一文があります。これらの接続を無効にすると、それを通じた新たなサインインは防げますが、攻撃者がすでに御社のテナント内で行った変更は元に戻りません。攻撃者が追加した管理者アカウントや、鍵を変更されたアプリは、御社のチームが自ら削除するまでそのまま残ります。

ConnectWise を使ったことがなくても無関係ではない理由

これは一つの製品だけの話ではありません。どの Microsoft 365 アカウントにも、いつか従業員や管理者が承認した外部アプリの一覧があります。署名ツール、予約カレンダー、バックアップシステム、メールを読む AI アドオンなどです。その一部は組織全体への権限を持ち、全従業員のメールやファイルを読むことができます。しかもその権限は、誰もがそのアプリを忘れた後も長く残り続けます。アプリの提供元が侵害されれば、その鍵は攻撃者の鍵になります。

もう一つの教訓があります。Cloud Backup に頼っていた企業は、料金を払っているバックアップサービスを一週間以上使えずにいます。一つの業者が唯一のバックアップを保管し、同時に稼働中のデータへの鍵も握っているなら、二つのリスクを一か所に積み重ねていることになります。

今週チームに依頼すべき五つの手順

  • 接続アプリを棚卸しする：Microsoft Entra 管理センターで Enterprise apps、続いて All applications を開き、アプリの権限を確認するための Microsoft 公式ガイドのとおり Permissions タブを確認します。組織全体への権限を持つアプリから始めてください。
  • 削除ではなく無効化する：ConnectWise や SkyKick のアプリが見つかったら、同社が御社のサービス向けの指示を出すまで無効にしておきます。Microsoft は、調査の証拠を失わないよう、アプリを削除せず無効のまま残すことを推奨しています。
  • 管理者ロールを見直す：グローバル管理者ロールを持つ全員の一覧と、10 月 1 日以降のすべての変更を求めてください。一覧のすべての名前を把握しているべきです。
  • ログを確認する：少なくとも 10 月 1 日以降のサインインログと監査ログを確認し、ConnectWise が公表した 144.172.64.99、144.172.64.60、144.172.64.128 からのアクティビティを探します。一致があっただけで侵害の証明にはなりませんが、調査する価値はあります。
  • 安易な承認をやめる：ユーザーの同意を構成する Microsoft のガイドにあるとおり、管理者の同意ワークフローを有効にして、従業員がワンクリックで新しいアプリに会社のデータへのアクセスを与えられないようにします。

改ざんされた LiteLLM のリリースに関する記事をお読みになった方なら、同じパターンだとお気づきでしょう。攻撃者は御社の扉を壊すのではなく、信頼している取引先の扉から入ってきます。これを機にバックアップを見直したい方は、バックアップと災害復旧のガイドもご覧ください。

Origami の視点

今回、攻撃者には Microsoft の脆弱性も、だまされた従業員も必要ありませんでした。企業自身が外部アプリに与え、その後忘れていた信頼を使ったのです。だからこそ Origami では、Microsoft 365 やあらゆるクラウドプラットフォームと構築するすべての連携を、理由・責任者・見直し日が必要な権限として扱っています。連携に必要な最小限のアクセス、定期的に更新される鍵、そしてアプリが御社の名前で何をしているかの明確な記録です。自社アカウントに接続されたアプリを見直したい方、必要以上の権限を持たない連携をお求めの方は、お問い合わせください。

出典