セキュリティ
Huntress、M365アカウントの乗っ取りを指摘
マネージドサービスプロバイダー（MSP）向けにSaaSを提供するConnectWiseは、不正アクセスを検知したとして、一部サービスで「サービス中断」を開始しました。
ConnectWiseは、MSPのニーズに合わせたERPと、MSPが顧客環境を管理するためのツールを提供しています。Cloud Backupはそのひとつで、オンプレミスやクラウド、M365やGoogle WorkspaceといったSaaSに保存されたデータをバックアップする、その名のとおりのサービスです。
同社は10月16日にアドバイザリを公開し、15日に「ConnectWise Cloud Backup環境内のアプリケーションIDに対する不正アクセスを確認した」と明らかにしました。
同社は「今回のサービス中断は、旧SkyKickのCloud Backupを利用するパートナーと顧客に影響する。SaaS SecurityとCloud ManagementはCloud Backupと統合されているため、調査と復旧作業が続くなか、念のためこれらのサービスも停止した」と説明しています。
ただし、今回の停止はMSPやその顧客の環境が侵害されたと決めつけるものではありません。ConnectWiseが現時点でサービスを安全に運用できると確信できていない、ということです。
10月18日16時（UTC）時点でもサービスは復旧しておらず、エンドユーザーはデータのバックアップも、アーカイブへのアクセスも、データの復元もできません。
同社のセキュリティオペレーション担当バイスプレジデントであるJason Ferguson氏は、Redditに次のように投稿しました。「既存のアーカイブは暗号化・隔離された状態で保全されており、不正アクセスの形跡はありません。当社のチームは、影響を受けた環境の監視、フォレンジック分析、脅威ハンティング、復旧作業を続けています」
ConnectWiseはインシデントの詳細をほとんど明らかにしていません。公表したのは、一部のIPアドレスとサードパーティ製アプリとの連携に関連するとみられる侵害指標（IoC）程度です。あわせて、Cloud BackupとExchange、Teams、SharePoint Online、さらに自社製品との間の一部連携も無効にしました。
セキュリティ企業のHuntressは、より厳しい見方を示しています。同社はブログで、「ConnectWise Cloud Backupが保有するMicrosoft 365の認証情報（APIシークレット）が侵害された。Huntressは、これが顧客のM365環境への不正アクセスに使われていることを確認した」と述べました。
「Huntressのパートナーのテナントでは、別のConnectWiseアプリケーションであるConnectWise Cloud Management – MS Teams（アプリケーションID：24205314-2b89-4e07-a2a4-579e898a5640）が自らにグローバル管理者権限を付与しました。続いて、そのテナント内の別の2つのアプリケーションに新しい認証情報を追加しました。そのうち1つは、このパートナー専用のシングルテナントのHuntressアプリケーションです」
Huntressは「悪用されたConnectWiseアプリを含め、M365アプリを無効にしても、すでに追加された認証情報は削除されない」と警告しています。そのうえで、「M365アプリケーションすべての認証情報を確認する必要がある」としています。
ConnectWiseは、「調査、復旧、影響を受けたパートナーとその顧客への支援に注力しているため、現時点では攻撃者の特定については言及できない」としています。
一方で同社は、顧客に対し、管理しているM365環境に侵害の兆候がないか調べるよう呼びかけています。
ここで厄介なのは、ConnectWiseがそうした環境の構成を把握していない点です。同社はプラットフォーム事業者であり、エンドユーザーとの関係を管理するのはMSPの顧客である以上、これは当然のことです。結果としてConnectWiseは、MSPが適切に対応してくれることに頼らざるを得ません。
MSPには、サービス提供に使っているプラットフォームを開示する義務はありません。実際、MSPに任せる魅力は、利用者が中身を知らなくても、パッケージ化されたサービスを使える点にあります。
そのため、自社の事業にConnectWiseが関わっていることを知らないままでいるエンドユーザー企業は、難しい立場に置かれています。
MSPを顧客とする事業者は、攻撃者に狙われやすい存在です。ConnectWiseのような企業を侵害できれば、そのパートナー全社と、各サービスプロバイダーのエンドユーザーにまで侵入できる可能性があるためです。こうしたインシデントで最も悪名高い例が、2021年のKaseyaへの攻撃です。ConnectWiseとしては、今回の件が同じ道をたどらないことを願っているでしょう。 ®
