ConnectWise: credenziale compromessa apre 162 tenant Microsoft 365

ConnectWise ha sospeso Cloud Backup (in passato SkyKick Cloud Backup), il servizio con cui molti MSP salvano posta, OneDrive, SharePoint e Teams dei loro clienti, dopo aver identificato un accesso non autorizzato alle identità applicative del servizio. Una credenziale dell’applicazione multi-tenant è stata usata per autenticarsi nei tenant Microsoft 365 dei clienti con i permessi già concessi al backup. Microsoft ha definito l’episodio un attacco supply chain attivo contro l’applicazione OAuth di Cloud Backup.

Cosa è successo

Il 17 ottobre ConnectWise ha disabilitato sette identità applicative, revocato i certificati delle connessioni e reso non valide le credenziali condivise di Cloud Backup. Il 18 ottobre ha messo offline per precauzione anche SaaS Security e Cloud Management, integrati con il backup. Al 19 ottobre i tre servizi erano ancora sospesi, senza una data di ripristino: i backup pianificati non girano e non si possono consultare gli archivi né ripristinare dati. Secondo l’azienda gli archivi esistenti restano cifrati e isolati, senza indizi di accesso.

Come sia stata esposta la credenziale, e se abbia contribuito una vulnerabilità di prodotto, non è ancora stabilito. ConnectWise non si esprime sull’attore e precisa di non vedere gli ambienti dei clienti: non può dire se un singolo tenant sia stato toccato.

Perché l’MFA non è servita

Cloud Backup esiste in ogni tenant cliente come service principal, con il consenso amministrativo a leggere e scrivere posta, file, chat e dati di directory. Secondo Huntress la credenziale era una client assertion custodita nel tenant del fornitore: chi la possiede si autentica come l’applicazione in tutti i tenant che le hanno dato il consenso. È un accesso applicativo, senza utente, dispositivo né richiesta MFA. Microsoft ritiene probabile l’abuso di permessi già concessi, tra cui Directory.ReadWrite.All.

La sequenza osservata

Huntress, Todyl e Microsoft, riprese da tutte le testate, collegano l’attività all’indirizzo 144.172.64[.]128, di un fornitore di hosting:

• 13–14 ottobre: password spraying contro quattro tenant di studi legali e tentativi di accesso via script (user agent curl/7.88.1), senza accessi utente riusciti.
• 15 ottobre, 06:13–08:34 UTC: l’identità di Cloud Backup ottiene token Microsoft Graph nei tenant, in ordine crescente di identificativo e a pochi secondi di distanza: uno script con un elenco di bersagli. Huntress ha confermato accessi non autorizzati in 162 tenant al 16 ottobre; il dato di 173, attribuito a Huntress nel titolo di The Hacker News, secondo ICT Security Magazine non compare nella pagina di Huntress. Su quasi 1.000 tenant Entra con attività da quell’indirizzo, oltre 300 accessi sono riusciti; dove il service principal non c’era, l’accesso è fallito.
• Stesso giorno, seconda ondata: tentativi mirati, apparentemente manuali, contro 16 organizzazioni dei settori politica, sicurezza nazionale, commercio e minerali critici, quasi tutte senza prodotti ConnectWise. Sono falliti.

Più grave il caso di un singolo tenant: circa due ore e mezza prima dell’ondata principale, l’app ConnectWise Cloud Management - MS Teams si è assegnata il ruolo di Global Administrator e in circa cinque minuti uno script Python ha aggiunto nuovi client secret, validi fino al 2028, a due altre applicazioni: uno strumento di gestione per MSP e l’applicazione di Huntress. L’attività veniva dalla rete interna di Azure, non dall’indirizzo dell’attaccante, e Huntress non l’ha collegata con certezza allo stesso operatore. In circa 50 tenant le app Cloud Management si sono assegnate ruoli di directory, soprattutto Exchange Administrator, con lo user agent delle app del fornitore: per Huntress può essere automazione di ConnectWise, che però non l’ha confermato. Microsoft segnala ricognizione via Graph e tentativi di aggiungere credenziali; Todyl, in nove tenant, ha visto solo accessi, senza modifiche alla directory.

Il furto di dati non è confermato: nel tenant esaminato in dettaglio Huntress non ha trovato accessi registrati a posta o file, ma alcune letture della directory via Graph non lasciano traccia nei log di audit.

Indicatori e tecniche

• IP: 144.172.64[.]128, più 144.172.64[.]99 e 144.172.64[.]60, aggiunti all’avviso di ConnectWise il 18–19 ottobre;
• user agent: python-urllib/3.12, python-requests/2.31, python-requests/2.34.2, curl/7.88.1;
• Application ID: Cloud Backup 506e08f9-6e9a-4da4-942b-a099a03644ae; Cloud Management 2399d300-6fca-4e6a-a686-399fefe75b83; MS Teams 24205314-2b89-4e07-a2a4-579e898a5640; Exchange Online b78f6a77-d4e5-46fb-87e5-d1648bd02519; MS Graph 0de14c77-b9b0-4137-9360-34878a929827; Partner Center 412dcf96-176d-4b3a-a1b0-4981ad66971e; SharePoint Online b2b55f5b-7758-4719-8d8f-88ae172e6bdb. Nei tenant più vecchi le app Cloud Management possono chiamarsi «SkyKick Cloud Manager».

Huntress classifica la persistenza come T1098.001 (Additional Cloud Credentials). Nella nostra lettura sono pertinenti anche T1199 (Trusted Relationship), T1078.004 (Cloud Accounts), T1098.003 (Additional Cloud Roles) e T1110.003 (Password Spraying).

Impatto per le aziende europee e italiane

Molte PMI non sanno quale piattaforma usi il loro MSP, e ConnectWise dipende dagli MSP per i controlli nei tenant. Chi ha affidato Microsoft 365 a un fornitore deve chiedergli se usa, o ha usato in passato, Cloud Backup o SkyKick: gli accessi sono riusciti anche in tenant senza abbonamento attivo. I servizi gestiti TIC rientrano tra i settori NIS2: per i soggetti obbligati un accesso al tenant tramite un fornitore va valutato anche come possibile incidente da notificare, e la sicurezza della catena di fornitura è una delle misure richieste. Finché il servizio è fermo, inoltre, i tenant restano senza backup aggiornati.

Cosa fare subito

1. Conserva i log di accesso e di audit prima di intervenire: con Entra ID Free durano sette giorni.
2. Disabilita, senza cancellarle, le sette applicazioni tra le applicazioni aziendali di Entra, cercandole per Application ID. Non riabilitarle prima delle istruzioni di ConnectWise.
3. Controlla gli accessi dei service principal, non quelli degli utenti, filtrando per l’ID di Cloud Backup e cercando gli indirizzi indicati a partire dal 13 ottobre.
4. Verifica le credenziali di tutte le applicazioni: segreti e certificati aggiunti dal 13 ottobre che nessuno ha creato vanno rimossi. Disabilitare le app ConnectWise non elimina le chiavi aggiunte altrove.
5. Rivedi ruoli e consensi: ruoli amministrativi assegnati ad app, consensi OAuth, federazioni, modifiche recenti ai criteri di Conditional Access; nel registro di audit gli eventi «Add member to role», «Update application» e «Add service principal credentials».
6. Controlla la posta: inoltri, regole di casella e di trasporto, deleghe.
7. Tieni conto dei token già emessi: restano validi fino alla scadenza, e la revoca delle sessioni utente non ferma l’accesso applicativo.
8. Riduci la superficie: rimuovi il consenso alle app di terzi che non usi più e limita chi ha i ruoli Application Administrator e Cloud Application Administrator, che possono aggiungere credenziali.

Come aiuta ARXDOME

ARX Horizon permette di controllare gli indirizzi indicati nelle fonti di threat intelligence e li riconosce negli eventi che la piattaforma arricchisce, come le connessioni registrate dai firewall. La verifica del tenant Microsoft 365 descritta resta da fare nel centro di amministrazione di Entra ID.

Ultimo aggiornamento: 19 ottobre 2026