Setiap aplikasi luar yang telah disambungkan oleh syarikat anda ke Microsoft 365, sama ada untuk sandaran, tandatangan elektronik atau pengurusan e-mel, memegang kunci yang membuka e-mel dan fail anda tanpa kata laluan dan tanpa kod pengesahan. Itulah yang dieksploitasi oleh penyerang bulan ini: mereka mencuri bukti kelayakan aplikasi ConnectWise Cloud Backup (dahulunya SkyKick), menggunakannya untuk menyasarkan lebih 2,250 persekitaran Microsoft 365 di seluruh dunia, dan dalam sesetengah kes memperoleh hak Pentadbir Global dalam masa kurang daripada 3 jam. Lakukan tiga perkara hari ini: minta ketua IT anda senarai aplikasi yang disambungkan ke akaun anda berserta kebenarannya, nyahaktifkan apa-apa yang anda tidak kenali atau tidak lagi gunakan, dan semak siapa yang telah ditambah ke peranan Pentadbir Global sejak 1 Oktober.

Apakah sebenarnya yang berlaku?

Menurut laporan keselamatan Microsoft yang diterbitkan pada 21 Oktober 2026, serangan ini dilakukan oleh kumpulan yang dikaitkan dengan China yang dijejaki Microsoft sebagai Storm-0940, menggunakan ARTEX, alat ujian penembusan sumber terbuka yang dikuasakan AI. Antara 10 dan 14 Oktober, kumpulan itu menjalankan kempen automatik meneka kata laluan yang menghasilkan lebih 151,000 log masuk gagal terhadap 327 akaun dalam 8 organisasi, dengan kemuncak pada 11 Oktober kira-kira 2,900 cubaan seminit.

Kemudian datang langkah yang lebih berbahaya. Penyerang memperoleh bukti kelayakan aplikasi ConnectWise Cloud Backup, perkhidmatan yang membuat sandaran e-mel dan fail Microsoft 365 dan digunakan oleh banyak syarikat melalui penyedia perkhidmatan IT yang mengendalikan sistem mereka. Oleh sebab aplikasi itu sudah diberi kebenaran untuk mengakses data pelanggan, penyerang dapat log masuk sebagai aplikasi itu sendiri dan bukan sebagai pekerja, jadi mereka tidak memerlukan kata laluan sesiapa atau kod dua faktor. Setelah masuk, mereka menukar bukti kelayakan aplikasi, memberikan diri mereka peranan Pentadbir Global (Global Administrator) dan meninjau persekitaran melalui Microsoft Graph.

Bagaimanakah ConnectWise bertindak balas?

Menurut halaman notis rasmi ConnectWise Trust Center, syarikat itu mengesan masalah pada 14 Oktober, mendedahkannya pada 16 Oktober, dan pada pukul 07:00 UTC 17 Oktober menyahaktifkan tujuh identiti aplikasi yang berkaitan dengan perkhidmatan itu, sekali gus menggantung Cloud Backup bersama SaaS Security dan Cloud Management. ConnectWise menyatakan arkib sandaran kekal disulitkan dan diasingkan tanpa tanda dikompromi, dan menyasarkan pengaktifan semula rakan kongsi secara berperingkat mulai Isnin, 26 Oktober.

Notis yang sama mengandungi satu ayat yang patut dibaca oleh setiap pemilik perniagaan: menyahaktifkan sambungan itu menghalang log masuk baharu melaluinya, tetapi tidak membatalkan perubahan yang telah dibuat penyerang di dalam tenant anda. Akaun pentadbir yang ditambah oleh penyerang, atau aplikasi yang kuncinya ditukar, kekal seperti itu sehingga pasukan anda sendiri membuangnya.

Mengapa ini penting walaupun anda tidak pernah menggunakan ConnectWise

Ini bukan kisah tentang satu produk. Setiap akaun Microsoft 365 mempunyai senarai aplikasi luar yang pernah diluluskan oleh seorang pekerja atau pentadbir: alat tandatangan, kalendar temu janji, sistem sandaran, tambahan AI yang membaca e-mel. Sebahagiannya mempunyai kebenaran ke atas seluruh organisasi, bermakna ia boleh membaca e-mel dan fail semua pekerja, dan kebenaran itu kekal lama selepas semua orang melupakan aplikasi tersebut. Jika pembekal aplikasi itu dicerobohi, kuncinya menjadi kunci penyerang.

Ada pengajaran kedua. Syarikat yang bergantung pada Cloud Backup sudah lebih seminggu tanpa perkhidmatan sandaran yang mereka bayar. Jika satu vendor menyimpan satu-satunya salinan anda dan pada masa yang sama memegang kunci data langsung anda, anda telah menghimpunkan dua risiko di satu tempat.

Lima langkah untuk diminta daripada pasukan anda minggu ini

  • Inventori aplikasi bersambung: dalam pusat pentadbiran Microsoft Entra, buka Enterprise apps, kemudian All applications, dan semak tab Permissions seperti yang diterangkan dalam panduan rasmi Microsoft untuk menyemak kebenaran aplikasi. Mulakan dengan aplikasi yang mempunyai kebenaran ke atas seluruh organisasi.
  • Nyahaktifkan, jangan padam: jika anda menemui aplikasi ConnectWise atau SkyKick, nyahaktifkannya sehingga syarikat itu mengeluarkan arahan untuk perkhidmatan anda. Microsoft menasihatkan supaya aplikasi dikekalkan dalam keadaan nyahaktif dan bukan dipadam, supaya bukti siasatan tidak hilang.
  • Semak peranan pentadbir: minta senarai semua orang yang memegang peranan Pentadbir Global dan sebarang perubahan padanya sejak 1 Oktober. Anda sepatutnya mengenali setiap nama dalam senarai itu.
  • Semak log: semak log log masuk dan log audit sekurang-kurangnya sejak 1 Oktober dan cari aktiviti daripada 144.172.64.99, 144.172.64.60 dan 144.172.64.128, alamat yang diterbitkan oleh ConnectWise. Padanan sahaja tidak membuktikan pencerobohan, tetapi wajar disiasat.
  • Hentikan kelulusan sambil lewa: aktifkan aliran kerja kebenaran pentadbir supaya tiada pekerja boleh memberi aplikasi baharu akses kepada data syarikat dengan satu klik, seperti yang diterangkan dalam panduan Microsoft untuk mengkonfigurasi kebenaran pengguna.

Jika anda telah membaca artikel kami tentang keluaran LiteLLM yang dikompromi, coraknya sama: penyerang tidak memecahkan pintu anda, sebaliknya masuk melalui pintu vendor yang anda percayai. Dan jika ini membuatkan anda memikir semula sandaran anda, lihat panduan kami tentang sandaran dan pemulihan bencana.

Pandangan Origami

Di sini penyerang tidak memerlukan kelemahan dalam Microsoft atau pekerja yang ditipu; mereka menggunakan kepercayaan yang diberikan oleh syarikat sendiri kepada aplikasi luar lalu dilupakan. Sebab itu di Origami kami melayan setiap integrasi yang kami bina dengan Microsoft 365 atau mana-mana platform awan sebagai kebenaran yang memerlukan sebab, pemilik dan tarikh semakan: akses paling minimum yang diperlukan oleh integrasi, kunci yang ditukar secara berkala, dan rekod jelas tentang apa yang dilakukan aplikasi atas nama syarikat anda. Jika anda mahu aplikasi yang disambungkan ke akaun syarikat anda disemak, atau integrasi yang tidak memegang lebih daripada yang diperlukan, hubungi kami.

Sumber