Каждое внешнее приложение, которое ваша компания подключила к Microsoft 365 — для резервного копирования, электронной подписи или управления почтой, — хранит ключ, открывающий вашу почту и файлы без пароля и без кода подтверждения. Именно этим злоумышленники воспользовались в этом месяце: они украли учетные данные приложений ConnectWise Cloud Backup (ранее SkyKick), с их помощью атаковали более 2 250 сред Microsoft 365 по всему миру и в некоторых случаях получили права глобального администратора менее чем за 3 часа. Сделайте сегодня три вещи: попросите руководителя ИТ составить список приложений, подключенных к вашей учетной записи, и их разрешений, отключите всё, что вы не узнаете или больше не используете, и проверьте, кого добавили в роль глобального администратора с 1 октября.

Что именно произошло?

Согласно отчету Microsoft по безопасности, опубликованному 21 октября 2026 года, атаку провела связанная с Китаем группа, которую Microsoft отслеживает как Storm-0940. Она использовала ARTEX — инструмент для тестирования на проникновение с открытым исходным кодом на основе ИИ. С 10 по 14 октября группа вела автоматизированную кампанию подбора паролей, которая дала более 151 000 неудачных попыток входа в 327 учетных записей 8 организаций, а 11 октября достигла пика — около 2 900 попыток в минуту.

Затем последовал более опасный шаг. Злоумышленники получили учетные данные приложений ConnectWise Cloud Backup — сервиса, который делает резервные копии почты и файлов Microsoft 365 и которым многие компании пользуются через ИТ-подрядчиков, обслуживающих их системы. Поскольку эти приложения уже получили согласие на доступ к данным клиентов, злоумышленники смогли входить от имени самого приложения, а не сотрудника, и им не понадобились ни чей-либо пароль, ни двухфакторный код. Оказавшись внутри, они изменили учетные данные приложений, назначили себе роль глобального администратора (Global Administrator) и изучали среду через Microsoft Graph.

Как отреагировала ConnectWise?

Согласно официальной странице уведомлений ConnectWise Trust Center, компания обнаружила проблему 14 октября, сообщила о ней 16 октября, а 17 октября в 07:00 UTC отключила семь удостоверений приложений, связанных с сервисом, приостановив Cloud Backup вместе с SaaS Security и Cloud Management. ConnectWise заявляет, что архивы резервных копий остаются зашифрованными и изолированными без признаков компрометации, и планирует поэтапно подключать партнеров с понедельника, 26 октября.

В том же уведомлении есть фраза, которую должен прочитать каждый владелец бизнеса: отключение этих подключений блокирует новые входы через них, но не отменяет изменений, которые злоумышленник уже внес в ваш клиент (tenant). Учетная запись администратора, добавленная злоумышленником, или приложение, ключи которого он сменил, останутся как есть, пока ваша команда их не удалит.

Почему это касается вас, даже если вы никогда не пользовались ConnectWise

Это история не об одном продукте. В каждой учетной записи Microsoft 365 есть список внешних приложений, которые когда-то одобрил сотрудник или администратор: сервис подписи, календарь записи, система резервного копирования, ИИ-надстройка, читающая почту. У некоторых из них есть разрешения на всю организацию, то есть они могут читать почту и файлы всех сотрудников, и это разрешение действует еще долго после того, как все забыли о приложении. Если поставщика приложения взломают, его ключ станет ключом злоумышленника.

Есть и второй урок. Компании, полагавшиеся на Cloud Backup, уже больше недели остаются без сервиса резервного копирования, за который платят. Если один поставщик хранит вашу единственную копию и одновременно владеет ключом к вашим рабочим данным, вы собрали два риска в одном месте.

Пять шагов, которые стоит поручить команде на этой неделе

  • Проведите инвентаризацию подключенных приложений: в центре администрирования Microsoft Entra откройте Enterprise apps, затем All applications, и проверьте вкладку Permissions, как описано в официальном руководстве Microsoft по проверке разрешений приложений. Начните с приложений с разрешениями на всю организацию.
  • Отключайте, а не удаляйте: если найдете приложения ConnectWise или SkyKick, отключите их, пока компания не опубликует инструкции для вашей услуги. Microsoft советует держать приложение отключенным, а не удалять его, чтобы не потерять следы для расследования.
  • Проверьте административные роли: запросите список всех, у кого есть роль глобального администратора, и всех изменений в нем с 1 октября. Вы должны знать каждое имя в этом списке.
  • Проверьте журналы: изучите журналы входа и аудита как минимум с 1 октября и найдите активность с адресов 144.172.64.99, 144.172.64.60 и 144.172.64.128, опубликованных ConnectWise. Совпадение само по себе не доказывает компрометацию, но требует расследования.
  • Прекратите случайные одобрения: включите процесс согласия администратора, чтобы ни один сотрудник не мог одним щелчком дать новому приложению доступ к данным компании, как объясняет руководство Microsoft по настройке согласия пользователей.

Если вы читали нашу статью о скомпрометированной версии LiteLLM, схема та же: злоумышленник не ломает вашу дверь, он входит через дверь поставщика, которому вы доверяете. А если это заставило вас пересмотреть резервное копирование, загляните в наше руководство по резервному копированию и аварийному восстановлению.

Взгляд Origami

Злоумышленникам здесь не понадобились ни уязвимость в Microsoft, ни обманутый сотрудник: они воспользовались доверием, которое компании сами выдали внешнему приложению и забыли. Поэтому в Origami мы рассматриваем каждую интеграцию, которую строим с Microsoft 365 или любой облачной платформой, как разрешение, которому нужны причина, ответственный и дата проверки: минимальный доступ, необходимый интеграции, регулярно обновляемые ключи и понятный журнал того, что приложение делает от имени вашей компании. Если вы хотите проверить приложения, подключенные к учетным записям вашей компании, или получить интеграцию, у которой нет лишних прав, свяжитесь с нами.

Источники