贵公司接入 Microsoft 365 的每一个外部应用，无论用于备份、电子签名还是邮件管理，都握有一把钥匙，无需密码、无需验证码就能打开您的邮件和文件。攻击者本月利用的正是这一点：他们窃取了 ConnectWise Cloud Backup（前身为 SkyKick）应用的凭据，借此瞄准全球超过 2,250 个 Microsoft 365 环境，并在部分案例中不到 3 小时就拿到了全局管理员权限。今天请做三件事：请 IT 负责人列出连接到您账户的应用及其权限，停用所有您不认识或不再使用的应用，并检查自 10 月 1 日以来有谁被加入了全局管理员角色。

究竟发生了什么？

根据 Microsoft 于 2026 年 10 月 21 日发布的安全报告，这次攻击由 Microsoft 追踪命名为 Storm-0940 的一个与中国有关联的团伙实施，他们使用了 ARTEX，一款由 AI 驱动的开源渗透测试工具。10 月 10 日至 14 日期间，该团伙发起了自动化密码猜测行动，针对 8 家组织的 327 个账户产生了超过 151,000 次失败登录，并在 10 月 11 日达到峰值，约每分钟 2,900 次尝试。

随后是更危险的一步。攻击者获取了 ConnectWise Cloud Backup 应用的凭据。这项服务用于备份 Microsoft 365 的邮件和文件，许多公司通过为其管理系统的 IT 服务商来使用它。由于这些应用此前已获准访问客户数据，攻击者可以以应用本身而非员工的身份登录，因此既不需要任何人的密码，也不需要双重验证码。进入之后，他们修改了应用凭据，为自己分配了全局管理员（Global Administrator）角色，并通过 Microsoft Graph 对环境进行侦察。

ConnectWise 如何应对？

根据 ConnectWise 信任中心的官方公告页面，该公司于 10 月 14 日发现问题，10 月 16 日对外披露，并于 10 月 17 日 UTC 时间 07:00 停用了与该服务相关的七个应用身份，同时暂停了 Cloud Backup 以及 SaaS Security 和 Cloud Management。ConnectWise 表示，备份存档仍然加密并处于隔离状态，没有被入侵的迹象，目标是从 10 月 26 日（星期一）起分阶段为合作伙伴恢复服务。

同一份公告中有一句话值得每位企业主细读：停用这些连接可以阻止通过它们的新登录，但不会撤销攻击者已在您租户（tenant）内做出的更改。攻击者添加的管理员账户，或被其更换了密钥的应用，在您自己的团队删除之前都会原封不动地留在那里。

即使从未用过 ConnectWise，这件事为什么也与您有关

这不是关于某一个产品的故事。每个 Microsoft 365 账户里都有一份外部应用清单，是某位员工或管理员在某个时候批准的：签名工具、预约日历、备份系统、读取邮件的 AI 插件。其中一些拥有全组织权限，也就是能读取所有员工的邮件和文件，而这项权限在所有人都忘记这个应用之后很久依然有效。一旦应用的供应商被攻破，它的钥匙就成了攻击者的钥匙。

还有第二个教训。依赖 Cloud Backup 的公司已经超过一周用不上他们付费购买的备份服务。如果同一家供应商既保管着您唯一的备份，又握有您实时数据的钥匙，您就把两种风险堆在了同一个地方。

本周应让团队完成的五个步骤

  • 盘点已连接的应用：在 Microsoft Entra 管理中心打开 Enterprise apps，再打开 All applications，按照 Microsoft 审查应用权限的官方指南 检查 Permissions 选项卡。先从拥有全组织权限的应用开始。
  • 停用而不是删除：如果发现 ConnectWise 或 SkyKick 应用，请先停用，直到该公司发布适用于您服务的说明。Microsoft 建议保持应用停用而非删除，以免丢失调查证据。
  • 审查管理员角色：索取所有拥有全局管理员角色的人员名单，以及自 10 月 1 日以来的任何变动。名单上的每个名字您都应该认识。
  • 检查日志：至少从 10 月 1 日起审查登录和审计日志，查找来自 ConnectWise 公布的地址 144.172.64.99、144.172.64.60 和 144.172.64.128 的活动。单凭一次匹配并不能证明已被入侵，但值得展开调查。
  • 杜绝随手授权：启用管理员同意工作流，让任何员工都无法一键授予新应用访问公司数据的权限，具体做法见 Microsoft 配置用户同意的指南。

如果您读过我们关于 被篡改的 LiteLLM 版本 的文章，就会发现模式完全相同：攻击者不是撬开您的门，而是从您信任的供应商的门走进来。如果这件事让您重新审视备份策略，请参阅我们的 备份与灾难恢复 指南。

Origami 的观点

这次攻击者既不需要 Microsoft 的漏洞，也不需要骗过任何员工；他们利用的是企业自己授予外部应用、随后又遗忘的信任。正因如此，Origami 在为 Microsoft 365 或任何云平台构建每一项集成时，都把它视为一项需要理由、负责人和审查日期的权限：只给集成所需的最小访问权限，密钥定期轮换，并清楚记录应用以贵公司名义做了什么。如果您希望审查连接到公司账户的应用，或需要一个权限恰到好处的集成，请联系我们。

资料来源