آپ کی کمپنی نے بیک اپ، الیکٹرانک دستخط یا ای میل کے انتظام کے لیے Microsoft 365 سے جو بھی بیرونی ایپ جوڑی ہے، اس کے پاس ایک چابی ہے جو بغیر پاس ورڈ اور بغیر تصدیقی کوڈ کے آپ کی ای میل اور فائلیں کھول دیتی ہے۔ حملہ آوروں نے اس مہینے بالکل اسی کا فائدہ اٹھایا: انہوں نے ConnectWise Cloud Backup (پہلے SkyKick) کی ایپس کی اسناد چرائیں، ان کے ذریعے دنیا بھر میں 2,250 سے زیادہ Microsoft 365 ماحول کو نشانہ بنایا اور بعض صورتوں میں 3 گھنٹے سے کم وقت میں گلوبل ایڈمنسٹریٹر کے حقوق حاصل کر لیے۔ آج تین کام کریں: اپنے IT سربراہ سے اپنے اکاؤنٹ سے جڑی ایپس اور ان کی اجازتوں کی فہرست مانگیں، جو کچھ آپ نہیں پہچانتے یا اب استعمال نہیں کرتے اسے غیر فعال کریں، اور دیکھیں کہ 1 اکتوبر سے گلوبل ایڈمنسٹریٹر کے کردار میں کس کو شامل کیا گیا ہے۔

اصل میں ہوا کیا؟

21 اکتوبر 2026 کو شائع ہونے والی Microsoft کی سکیورٹی رپورٹ کے مطابق یہ حملہ چین سے منسلک ایک گروہ نے کیا جسے Microsoft نے Storm-0940 کا نام دیا ہے، اور اس نے ARTEX استعمال کیا جو مصنوعی ذہانت سے چلنے والا ایک اوپن سورس پینیٹریشن ٹیسٹنگ ٹول ہے۔ 10 سے 14 اکتوبر کے درمیان اس گروہ نے پاس ورڈ کا اندازہ لگانے کی ایک خودکار مہم چلائی جس سے 8 اداروں کے 327 اکاؤنٹس پر 151,000 سے زیادہ ناکام سائن ان ہوئے، اور 11 اکتوبر کو یہ تقریباً 2,900 کوششیں فی منٹ کی انتہا پر پہنچی۔

پھر زیادہ خطرناک قدم آیا۔ حملہ آوروں نے ConnectWise Cloud Backup کی ایپس کی اسناد حاصل کر لیں۔ یہ سروس Microsoft 365 کی ای میل اور فائلوں کا بیک اپ لیتی ہے اور بہت سی کمپنیاں اسے ان IT سروس فراہم کنندگان کے ذریعے استعمال کرتی ہیں جو ان کے سسٹم چلاتے ہیں۔ چونکہ ان ایپس کو گاہکوں کے ڈیٹا تک رسائی کی رضامندی پہلے سے ملی ہوئی تھی، حملہ آور ملازم کے بجائے خود ایپ کے طور پر سائن ان کر سکے، اس لیے انہیں نہ کسی کا پاس ورڈ چاہیے تھا نہ ٹو فیکٹر کوڈ۔ اندر پہنچ کر انہوں نے ایپس کی اسناد بدلیں، خود کو گلوبل ایڈمنسٹریٹر (Global Administrator) کا کردار دیا اور Microsoft Graph کے ذریعے ماحول کی چھان بین کی۔

ConnectWise نے کیا ردعمل دیا؟

ConnectWise Trust Center کے سرکاری اعلانات کے صفحے کے مطابق کمپنی کو 14 اکتوبر کو مسئلے کا پتا چلا، اس نے 16 اکتوبر کو اس کا اعلان کیا اور 17 اکتوبر کو 07:00 UTC پر سروس سے منسلک سات ایپ شناختیں غیر فعال کر دیں، اور Cloud Backup کے ساتھ SaaS Security اور Cloud Management بھی معطل کر دیے۔ ConnectWise کا کہنا ہے کہ بیک اپ آرکائیوز اب بھی خفیہ کاری شدہ اور الگ تھلگ ہیں اور ان میں نقب کا کوئی اشارہ نہیں، اور وہ پیر، 26 اکتوبر سے شراکت داروں کے لیے مرحلہ وار سروس بحال کرنے کا ہدف رکھتی ہے۔

اسی اعلان میں ایک جملہ ہے جو ہر کاروباری مالک کو پڑھنا چاہیے: ان کنکشنز کو غیر فعال کرنے سے ان کے ذریعے نئے سائن ان رک جاتے ہیں، لیکن حملہ آور آپ کے ٹیننٹ میں جو تبدیلیاں پہلے ہی کر چکا ہے وہ واپس نہیں ہوتیں۔ حملہ آور کا شامل کیا ہوا ایڈمن اکاؤنٹ، یا وہ ایپ جس کی چابیاں اس نے بدلیں، اس وقت تک ویسے ہی رہتی ہے جب تک آپ کی اپنی ٹیم اسے نہ ہٹائے۔

اگر آپ نے کبھی ConnectWise استعمال نہیں کیا تب بھی یہ آپ کے لیے کیوں اہم ہے

یہ کسی ایک پروڈکٹ کی کہانی نہیں۔ ہر Microsoft 365 اکاؤنٹ میں بیرونی ایپس کی ایک فہرست ہوتی ہے جسے کسی ملازم یا ایڈمن نے کبھی منظور کیا تھا: دستخط کا کوئی ٹول، ملاقاتوں کا کیلنڈر، بیک اپ سسٹم، یا ای میل پڑھنے والا مصنوعی ذہانت کا ایڈ آن۔ ان میں سے کچھ کے پاس پورے ادارے کی اجازت ہوتی ہے، یعنی وہ ہر ملازم کی ای میل اور فائلیں پڑھ سکتی ہیں، اور یہ اجازت سب کے ایپ کو بھول جانے کے بہت بعد تک قائم رہتی ہے۔ اگر ایپ فراہم کرنے والی کمپنی میں نقب لگتی ہے تو اس کی چابی حملہ آور کی چابی بن جاتی ہے۔

ایک دوسرا سبق بھی ہے۔ جو کمپنیاں Cloud Backup پر انحصار کرتی تھیں وہ ایک ہفتے سے زیادہ عرصے سے اس بیک اپ سروس کے بغیر ہیں جس کی وہ ادائیگی کرتی ہیں۔ اگر ایک ہی فراہم کنندہ آپ کی واحد کاپی رکھتا ہے اور ساتھ ہی آپ کے زندہ ڈیٹا کی چابی بھی اسی کے پاس ہے، تو آپ نے دو خطرے ایک جگہ جمع کر دیے ہیں۔

اس ہفتے اپنی ٹیم سے کرانے کے پانچ اقدامات

  • منسلک ایپس کی فہرست بنائیں: Microsoft Entra ایڈمن سینٹر میں Enterprise apps، پھر All applications کھولیں اور Permissions ٹیب کا جائزہ لیں، جیسا کہ ایپس کی اجازتوں کے جائزے سے متعلق Microsoft کی سرکاری رہنمائی میں بتایا گیا ہے۔ ان ایپس سے شروع کریں جن کے پاس پورے ادارے کی اجازت ہے۔
  • حذف نہ کریں، غیر فعال کریں: اگر آپ کو ConnectWise یا SkyKick کی ایپس ملیں تو انہیں اس وقت تک غیر فعال رکھیں جب تک کمپنی آپ کی سروس کے لیے ہدایات جاری نہ کرے۔ Microsoft مشورہ دیتا ہے کہ ایپ کو حذف کرنے کے بجائے غیر فعال رکھا جائے تاکہ تحقیقات کے شواہد ضائع نہ ہوں۔
  • ایڈمن کرداروں کا جائزہ لیں: گلوبل ایڈمنسٹریٹر کا کردار رکھنے والے ہر شخص کی فہرست اور 1 اکتوبر سے اس میں ہونے والی ہر تبدیلی طلب کریں۔ آپ کو فہرست کا ہر نام معلوم ہونا چاہیے۔
  • لاگز جانچیں: کم از کم 1 اکتوبر سے سائن ان اور آڈٹ لاگز دیکھیں اور ConnectWise کے شائع کردہ پتوں 144.172.64.99، 144.172.64.60 اور 144.172.64.128 سے آنے والی سرگرمی تلاش کریں۔ صرف ایک مطابقت نقب کو ثابت نہیں کرتی، لیکن تحقیق کا تقاضا ضرور کرتی ہے۔
  • لاپروائی سے منظوری بند کریں: ایڈمن رضامندی کا ورک فلو فعال کریں تاکہ کوئی ملازم ایک کلک میں کسی نئی ایپ کو کمپنی کے ڈیٹا تک رسائی نہ دے سکے، جیسا کہ صارف کی رضامندی ترتیب دینے سے متعلق Microsoft کی رہنمائی میں بتایا گیا ہے۔

اگر آپ نے LiteLLM کے متاثرہ ورژن پر ہمارا مضمون پڑھا ہے تو نمونہ وہی ہے: حملہ آور آپ کا دروازہ نہیں توڑتا، بلکہ کسی قابل اعتماد فراہم کنندہ کے دروازے سے اندر آتا ہے۔ اور اگر اس واقعے نے آپ کو اپنے بیک اپ پر دوبارہ سوچنے پر مجبور کیا ہے تو بیک اپ اور آفات کے بعد بحالی پر ہماری رہنمائی دیکھیں۔

Origami کی رائے

یہاں حملہ آوروں کو نہ Microsoft میں کسی خامی کی ضرورت پڑی نہ کسی ملازم کو دھوکا دینے کی؛ انہوں نے وہ اعتماد استعمال کیا جو کمپنیوں نے خود ایک بیرونی ایپ کو دیا اور پھر بھول گئیں۔ اسی لیے Origami میں ہم Microsoft 365 یا کسی بھی کلاؤڈ پلیٹ فارم کے ساتھ بنائے گئے ہر انٹیگریشن کو ایسی اجازت سمجھتے ہیں جس کے لیے ایک وجہ، ایک ذمہ دار اور جائزے کی ایک تاریخ ضروری ہے: انٹیگریشن کو جتنی ضرورت ہو اتنی ہی کم سے کم رسائی، باقاعدگی سے بدلنے والی چابیاں، اور اس کا واضح ریکارڈ کہ ایپ آپ کی کمپنی کے نام پر کیا کرتی ہے۔ اگر آپ اپنی کمپنی کے اکاؤنٹس سے جڑی ایپس کا جائزہ لینا چاہتے ہیں، یا ایسا انٹیگریشن چاہتے ہیں جس کے پاس ضرورت سے زیادہ اختیار نہ ہو، تو ہم سے رابطہ کریں۔

ذرائع