Şirketinizin yedekleme, e-imza ya da e-posta yönetimi için Microsoft 365'e bağladığı her dış uygulama, e-postalarınızı ve dosyalarınızı şifre ve doğrulama kodu olmadan açan bir anahtar taşır. Saldırganlar bu ay tam olarak bunu istismar etti: ConnectWise Cloud Backup (eski adıyla SkyKick) uygulamalarının kimlik bilgilerini çaldılar, bunlarla dünya genelinde 2.250'den fazla Microsoft 365 ortamını hedef aldılar ve bazı durumlarda 3 saatten kısa sürede genel yönetici haklarına ulaştılar. Bugün üç şey yapın: BT sorumlunuzdan hesabınıza bağlı uygulamaların ve izinlerinin listesini isteyin, tanımadığınız ya da artık kullanmadığınız her şeyi devre dışı bırakın ve 1 Ekim'den bu yana genel yönetici rolüne kimin eklendiğini kontrol edin.

Tam olarak ne oldu?

Microsoft'un 21 Ekim 2026'da yayımladığı güvenlik raporuna göre saldırıyı, Microsoft'un Storm-0940 adıyla takip ettiği Çin bağlantılı bir grup, yapay zekâ destekli açık kaynaklı bir sızma testi aracı olan ARTEX'i kullanarak gerçekleştirdi. Grup 10 ile 14 Ekim arasında otomatik bir şifre tahmin kampanyası yürüttü; bu kampanya 8 kuruluştaki 327 hesaba karşı 151.000'den fazla başarısız oturum açma denemesi üretti ve 11 Ekim'de dakikada yaklaşık 2.900 denemeyle zirveye ulaştı.

Ardından daha tehlikeli adım geldi. Saldırganlar, Microsoft 365 e-postalarını ve dosyalarını yedekleyen ve birçok şirketin sistemlerini yöneten BT hizmet sağlayıcıları aracılığıyla kullandığı ConnectWise Cloud Backup hizmetinin uygulamalarına ait kimlik bilgilerini ele geçirdi. Bu uygulamalara müşteri verilerine erişim için daha önce onay verilmiş olduğundan, saldırganlar bir çalışan olarak değil uygulamanın kendisi olarak oturum açabildi; kimsenin şifresine ya da iki faktörlü koda ihtiyaç duymadılar. İçeri girdikten sonra uygulama kimlik bilgilerini değiştirdiler, kendilerine genel yönetici (Global Administrator) rolünü atadılar ve ortamı Microsoft Graph üzerinden keşfettiler.

ConnectWise nasıl yanıt verdi?

ConnectWise Trust Center'daki resmî duyurular sayfasına göre şirket sorunu 14 Ekim'de fark etti, 16 Ekim'de kamuoyuna açıkladı ve 17 Ekim'de UTC 07:00'de hizmete bağlı yedi uygulama kimliğini devre dışı bırakarak Cloud Backup ile birlikte SaaS Security ve Cloud Management hizmetlerini askıya aldı. ConnectWise yedek arşivlerinin şifreli ve yalıtılmış kaldığını, ele geçirildiğine dair bir belirti olmadığını söylüyor ve iş ortaklarını 26 Ekim Pazartesi gününden itibaren aşamalı olarak yeniden devreye almayı hedefliyor.

Aynı duyuruda her işletme sahibinin okuması gereken bir cümle var: Bu bağlantıları devre dışı bırakmak, onlar üzerinden yeni oturum açılmasını engeller ama saldırganın kiracınızda (tenant) zaten yaptığı değişiklikleri geri almaz. Saldırganın eklediği bir yönetici hesabı ya da anahtarlarını değiştirdiği bir uygulama, kendi ekibiniz kaldırana kadar olduğu gibi kalır.

ConnectWise'ı hiç kullanmamış olsanız bile bu sizi neden ilgilendiriyor?

Bu tek bir ürünün hikâyesi değil. Her Microsoft 365 hesabında, bir çalışanın ya da yöneticinin bir zamanlar onayladığı dış uygulamaların bir listesi vardır: bir imza aracı, bir randevu takvimi, bir yedekleme sistemi, e-postaları okuyan bir yapay zekâ eklentisi. Bunların bazıları kuruluş genelinde izne sahiptir, yani tüm çalışanların e-postalarını ve dosyalarını okuyabilir ve bu izin, herkes uygulamayı unuttuktan çok sonra bile geçerli kalır. Uygulamanın sağlayıcısı ihlale uğrarsa, onun anahtarı saldırganın anahtarı olur.

İkinci bir ders daha var. Cloud Backup'a güvenen şirketler, parasını ödedikleri yedekleme hizmetinden bir haftadan uzun süredir yoksun. Tek bir sağlayıcı hem tek kopyanızı tutuyor hem de canlı verilerinizin anahtarına sahipse, iki riski aynı yerde toplamışsınız demektir.

Bu hafta ekibinizden isteyeceğiniz beş adım

  • Bağlı uygulamaların envanterini çıkarın: Microsoft Entra yönetim merkezinde Enterprise apps, ardından All applications bölümünü açın ve Permissions sekmesini Microsoft'un uygulama izinlerini gözden geçirme resmî kılavuzunda anlatıldığı şekilde inceleyin. Kuruluş genelinde izni olan uygulamalardan başlayın.
  • Silmeyin, devre dışı bırakın: ConnectWise veya SkyKick uygulamaları bulursanız, şirket hizmetiniz için talimat yayımlayana kadar bunları devre dışı bırakın. Microsoft, soruşturma kanıtları kaybolmasın diye uygulamayı silmek yerine devre dışı tutmanızı öneriyor.
  • Yönetici rollerini gözden geçirin: Genel yönetici rolüne sahip herkesin ve 1 Ekim'den bu yana bu listedeki her değişikliğin dökümünü isteyin. Listedeki her ismi tanımalısınız.
  • Kayıtları kontrol edin: En az 1 Ekim'den itibaren oturum açma ve denetim kayıtlarını inceleyin ve ConnectWise'ın yayımladığı 144.172.64.99, 144.172.64.60 ve 144.172.64.128 adreslerinden gelen etkinlikleri arayın. Bir eşleşme tek başına ihlali kanıtlamaz ama soruşturmayı gerektirir.
  • Gelişigüzel onaylara son verin: Microsoft'un kullanıcı onayını yapılandırma kılavuzunda açıklandığı gibi bir yönetici onayı iş akışı açın, böylece hiçbir çalışan tek tıkla yeni bir uygulamaya şirket verilerine erişim veremez.

Ele geçirilen LiteLLM sürümü hakkındaki yazımızı okuduysanız, örüntü aynı: Saldırgan kapınızı kırmıyor, güvendiğiniz bir tedarikçinin kapısından içeri giriyor. Bu olay yedeklerinizi yeniden düşünmenize yol açtıysa, yedekleme ve felaket kurtarma rehberimize göz atın.

Origami'nin görüşü

Saldırganların burada ne Microsoft'ta bir açığa ne de kandırılmış bir çalışana ihtiyacı oldu; şirketlerin kendilerinin bir dış uygulamaya verip sonra unuttuğu güveni kullandılar. Bu yüzden Origami'de Microsoft 365 ya da herhangi bir bulut platformuyla kurduğumuz her entegrasyonu bir gerekçe, bir sorumlu ve bir gözden geçirme tarihi gerektiren bir izin olarak ele alıyoruz: entegrasyonun ihtiyaç duyduğu en az erişim, yenilenen anahtarlar ve uygulamanın şirketiniz adına ne yaptığının açık bir kaydı. Şirket hesaplarınıza bağlı uygulamaların incelenmesini ya da ihtiyacından fazlasına sahip olmayan bir entegrasyon istiyorsanız bizimle iletişime geçin.

Kaynaklar