ConnectWise、Microsoft 365テナントへの「不正アクセス」を受けクラウドサービスを停止

IT管理ソフトウェアを手がけるConnectWiseは、不正な第三者がMicrosoft 365テナントにアクセスしていたことが判明したため、複数のクラウドサービスへのアクセスを停止しました。

Microsoft 365テナントとは、組織がMicrosoftのサービスを利用する際に、他の組織とは分離してデータを保管するための専用インスタンスです。Microsoft 365テナントを利用する組織には、それぞれMicrosoftから固有の識別子が割り当てられます。

ConnectWiseは10月15日に不審なアクティビティの調査を開始しました。10月17日までに、「ConnectWise Cloud Backup環境内のアプリケーションIDへの不正アクセス」を特定したと説明しています。

セキュリティアドバイザリーによると、この発見を受け、同社は調査を進める間、Cloud Backup（旧SkyKick）、SaaS Security、Cloud Managementなど複数のクラウドサービスをオフラインにしました。

ConnectWiseは10月19日の更新情報で、「この停止により、お客様がエンドユーザーを支援する業務に支障が出ていることは認識しています。復旧時期はまだ確定していません。確実にお伝えできる段階になり次第、スケジュールを共有します」と述べました。

今回の措置は、ConnectWise Cloud Backupに関連するアプリケーションIDへの不正アクセスが見つかったことを受けたものです。

攻撃者はこのアクセスを悪用し、顧客のMicrosoft 365環境へ不正に侵入できる可能性があります。具体的には、バックアップサービスと同じ方法でテナントのツールを使ってアプリに認証し、アプリに付与済みの権限を持つトークンを取得することで、環境にアクセスします。

このアクセスがあれば、攻撃者はバックアップサービスと同じディレクトリやデータにアクセスでき、テナントのユーザーが持つ企業データが危険にさらされます。

SpecterOpsの最高製品責任者（CPO）であるJustin Kohler氏は、「認証情報はアプリケーション自体に紐づいているため、攻撃者はそのアプリに付与された権限を引き継ぎました。これはアプリケーションとしてのサインインなので、ユーザーもデバイスも多要素認証（MFA）のプロンプトも関与せず、MFAは適用されません」と指摘しました。

同氏はさらに、「バックアップツールは、データの読み取りと復元のために広範なアクセス権を必要とします。アプリの認証情報を握る者は、バックアップサービスと同じメールボックス、OneDriveやSharePointのファイル、Teamsのデータ、ディレクトリ情報にアクセスできてしまいます」と続けました。

Huntressのサイバーセキュリティアナリストも、ConnectWiseのインシデントを追跡しています。同社はブログ記事で、観測している少なくとも1つの顧客テナントで、攻撃者が自らにグローバル管理者ロールを付与したと報告しました。攻撃者はこのアクセスを使い、MSP向け管理アプリケーションやHuntress自身のセキュリティアプリケーションなど、他のアプリケーションの権限を変更しようとしたということです。

ConnectWiseは、パートナーのバックアップデータが侵害された兆候はまだ確認していないとしつつ、「不正アクセスの可能性について引き続き調査します」としています。

攻撃の背後にいる人物や組織は、現時点で特定されていません。ConnectWiseはアドバイザリーで、「現時点では攻撃者の特定についてお答えできません。私たちは調査と復旧、そして影響を受けたパートナーとその顧客の支援に注力しています」と述べました。

ConnectWiseは顧客に対し、インシデントの可能性を特定するため、次の対応を取るよう勧告しています。

• 記載されたアプリケーション接続の状態を確認し、ConnectWiseから復旧手順が示されるまで、影響を受けたアプリケーションを無効のままにする
• 緊急の封じ込め措置を講じつつ、利用可能なサインインログと監査ログを速やかに保全する
• アプリケーションとユーザーの認証、アプリケーションの認証情報とフェデレーション信頼、ディレクトリロール、所有者、同意の付与、最近のポリシー変更を確認する
• メールボックスの不正な転送、受信トレイルールやトランスポートルール、委任されたメールボックスアクセスがないか確認する
• 不審なアクティビティ中に変更または使用された他のIDも調査する。元のアプリケーションを無効にしても、これらの別のアクセス経路は排除されない